Qué abarca esta lista de verificación
La lista de verificación de cumplimiento de privacidad de datos PDPL es un cuadro de puntuación de 15 puntos sobre la recogida de datos personales, el consentimiento, los avisos de privacidad, la cesión de datos, la conservación y las obligaciones del responsable del tratamiento según la PDPL. Cada criterio se puntúa del 1 al 5 según lo que el auditor observa ese día, y cada deficiencia pasa a un plan de acción con un responsable y una fecha de cierre.
Consejo de AutoSmart: El cumplimiento de la PDPL (Ley de Protección de Datos Personales) de Arabia Saudita lo supervisa la SDAIA y su incumplimiento conlleva sanciones económicas. Los datos de clientes recogidos a través del DMS, el CRM, el historial de servicio y los sistemas de marketing entran en el ámbito de la PDPL. Preste especial atención al consentimiento de marketing: usar datos de clientes para comunicaciones promocionales sin un consentimiento documentado es una de las deficiencias de cumplimiento más comunes en los concesionarios.
Los puntos de verificación
Toque Sí, No o Tal vez para probarlo: sus respuestas se quedan en esta página y se borran al actualizarla. Para una explicación detallada, descargue nuestro PDF o reserve una demo.
Recogida de datos personales y consentimiento
- ¿Los datos personales de los clientes se recogen solo con fines determinados, explícitos y legítimos, como exige la PDPL de Arabia Saudita (promulgada por el Real Decreto M/19)?
- ¿Se obtiene el consentimiento del cliente antes de recoger datos personales para fines no esenciales (por ejemplo, comunicaciones de marketing, cesión de datos a terceros)?
- ¿Está documentada la base del tratamiento de cada categoría de datos personales (consentimiento, ejecución de un contrato, obligación legal, interés legítimo), conforme a los requisitos de la PDPL?
- ¿Los datos personales sensibles (según los define la PDPL) se identifican y tienen medidas de protección reforzadas, recogiéndose solo con consentimiento explícito o una base legal específica?
Avisos de privacidad y cesión de datos
- ¿Se entrega a los clientes un aviso de privacidad en el momento de recoger los datos o antes, con los fines del tratamiento, las categorías de datos recogidas y los derechos de las personas?
- ¿El aviso de privacidad está redactado en árabe sencillo (o en árabe e inglés), es accesible para el cliente y está vigente?
- Cuando los datos personales se ceden a terceros (financieras, aseguradoras, fabricante o distribuidor, agencias de marketing), ¿está documentada la base de la cesión y cumple la PDPL?
- ¿Hay acuerdos de tratamiento de datos con los encargados externos que tratan datos personales por cuenta del concesionario?
Conservación de datos y derechos de los clientes
- ¿Existe una política de conservación de datos que defina cuánto tiempo se guarda cada categoría de datos personales y la base de ese plazo?
- ¿Los datos personales se eliminan o anonimizan cuando vence el plazo de conservación, en lugar de conservarse indefinidamente?
- ¿Existe un proceso para responder a las solicitudes de los clientes de acceder a sus datos personales, corregirlos o eliminarlos, dentro del plazo que exige la PDPL?
Gestión de brechas y obligaciones del responsable del tratamiento
- ¿Existe un proceso documentado de respuesta ante brechas de datos personales, que abarque la detección, la contención, la evaluación, la notificación y la corrección?
- ¿Se entiende y está documentada la obligación de la PDPL de notificar a la SDAIA (Autoridad Saudí de Datos e Inteligencia Artificial) las brechas de datos que lo requieran dentro del plazo exigido?
- ¿Existe un programa de concienciación sobre protección de datos para el personal que trata datos personales, que abarque las obligaciones de la PDPL propias de su puesto?
- ¿Hay un delegado de protección de datos con nombre o un responsable equivalente designado en el concesionario o en el grupo, encargado del cumplimiento de la PDPL?
Cómo aplicarla
Cómo funciona la puntuación
Antes de la visita, indique el concesionario o centro, el auditor, la fecha y el ciclo de auditoría. Luego puntúe cada uno de los 15 puntos de verificación del 1 al 5 según lo que vea ese día, no según lo que el concesionario o centro pretende lograr, y súmelos sobre 75.
- 1 No implementado
- 2 Intentado
- 3 Definido
- 4 Gestionado
- 5 Plenamente consolidado
- Verde 60 a 75 · 80 a 100 % Conforme. Mantener el estándar.
- Ámbar 38 a 59 · 50 a 79 % Necesita mejorar: un plan de acción estructurado en un plazo de 30 días.
- Rojo0 a 37 · Menos del 50 %Intervención prioritaria, escalada a la dirección regional.
Después, cierre cada deficiencia
Cada deficiencia pasa al seguimiento del plan de acción y avanza por cuatro etapas hasta que el auditor la cierra.
- 1 Pendiente Responsable y fecha de cierre asignados
- 2 En curso Trabajo en marcha, evidencias reunidas
- 3 Completada Evidencia enviada para revisión
- 4 Aprobada Verificada y cerrada por el auditor
