1. ¿Está tu empresa obligada a nombrar un Delegado de Protección de Datos?

2. En caso afirmativo, ¿lo has comunicado a la AEPD?

3. En caso negativo, ¿puedes acreditar que tu empresa no está obligada?

4. Aunque no sea obligatorio para tu empresa, ¿se ha valorado si es recomendable tenerlo?

1. ¿Has realizado el Registro de Actividades de Tratamiento y cuentas con controles que permitan verificar su actualización?

2. En caso afirmativo, ¿puedes acreditarlo?

1. ¿Has realizado un Análisis de Riesgos?

2. En caso afirmativo, ¿cuentas con controles que permitan actualizarlo en caso de que tu entidad realice nuevos tratamientos, nuevas finalidades o recoja otras categorías de datos personales?

3. Si cuentas con controles, ¿puedes acreditarlo?

1. ¿Realiza tu empresa alguna actividad de tratamiento que haya requerido una Evaluación de Impacto?

2. En caso afirmativo, ¿se ha realizado la EIPD y tiene el correspondiente informe?

3. En caso negativo, ¿figura en el Análisis de Riesgos el resultado negativo de la necesidad de EIPD?

1. ¿Has implementado todas las medidas de seguridad, tanto técnicas como organizativas, derivadas del AR y/o la EIPD?

2. ¿Cuentas con mecanismos y políticas que permitan analizar su eficacia con cierta frecuencia? (controles de verificación, auditorías, etc).

3. En caso afirmativo, ¿puedes acreditarlo?

1. ¿Realiza tu empresa alguna actividad de tratamiento cuya base legal sea el consentimiento del interesado?

2. En caso afirmativo, ¿se recaba de forma correcta (libre, inequívoco y expreso) y guardas evidencias de tenerlo?

3. ¿Ofreces formas y sistemas suficientes para que el interesado revoque su consentimiento?

1. ¿Realiza tu empresa alguna actividad de tratamiento cuya base legal sea el interés legítimo?

2. En caso afirmativo, ¿has realizado el juicio de ponderación de cada una de esas actividades y puedes acreditarlo?

1. ¿Cumples con el deber de información, en el momento correcto y a través de todos los canales de recogida de datos? (información básica, adicional, textos en facturas y/o emails corporativos, cartel de videovigilancia, etc).

2. En caso afirmativo, ¿puedes acreditarlo?

1. ¿Cuentas con plantilla de trabajadores?

2. En caso afirmativo, ¿has informado a todos los empleados que intervienen en una o varias operaciones de tratamiento, sobre el tratamiento de sus datos y los deberes de confidencialidad y secreto profesional?

3. Si has informado a todos los empleados, ¿puedes acreditarlo?

1. ¿Tienes diseñados protocolos que permitan gestionar diligentemente situaciones específicas como la gestión de una brecha de seguridad o derechos que se ejerciten en materia de protección de datos?

2. En caso afirmativo, ¿has comprobado que los empleados que intervengan en operaciones de tratamiento los conocen y saben utilizarlos?

3. Si los empleados los conocen y saben utilizarlos, ¿puedes acreditarlo?

1. ¿Tienes página web corporativa?

2. En caso afirmativo, ¿has implementado los textos informativos que necesite tu web? (Aviso Legal, Política de Privacidad, Política de Cookies, Condiciones Generales de Contratación, etc.).

3. Además ¿cuentas con una casilla de verificación para controlar que los usuarios de la web han leído tu Política de Privacidad en el momento en que recoges sus datos personales a través de un formulario de contacto?

4. En caso afirmativo, ¿puedes acreditarlo?

1. ¿Tienes firmados y debidamente almacenados los contratos de encargo con tus Encargados de tratamiento?

2. ¿Has cumplido con tu deber de diligencia en relación a exigirle a tus encargados que acrediten el cumplimiento de la protección de datos en relación a los datos que tratan por tu cuenta?

3. ¿Has implementado sistemas o controles para supervisar que el cumplimiento se mantiene?

4. En caso afirmativo, ¿puedes acreditarlo todo?