¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer el procedimiento que debe seguir tu empresa para identificar y eliminar archivos temporales creados como resultado del tratamiento de datos personales.
Este procedimiento complementa el Procedimiento de Acceso, Corrección y Borrado de Datos Personales. Su objetivo es verificar si, luego de aprobar una solicitud de borrado, existen archivos temporales relacionados con esos datos en los sistemas de la organización.
Este documento es importante porque eliminar información únicamente de una base de datos principal puede no ser suficiente. La empresa también debe validar si permanecen archivos temporales relacionados con los datos cuya eliminación ya haya sido autorizada.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar la realidad técnica y operativa de tu empresa, definiendo el flujo real para solicitar la validación de los datos, realizar la búsqueda y el borrado, y cómo comunicar el resultado de los archivos temporales.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance del procedimiento.
Verifica que el objetivo se enfoque en asegurar la eliminación de archivos temporales derivados del tratamiento de datos personales.
Asegúrate de que el alcance incluya los sistemas que manejan datos personales dentro de la organización y/o todos aquellos alcanzados por tu SGPI.
Este procedimiento debe aplicarse cuando, conforme al Procedimiento de Acceso, Corrección y Borrado de Datos Personales, ya se haya determinado que corresponde eliminar la información.
⚖️ Recomendación legal: Este procedimiento no reemplaza el análisis previo sobre si la eliminación de datos personales procede, o si existen obligaciones legales, contractuales o regulatorias de conservación. Es ESENCIAL identificar primero los puntos anteriores, y que la decisión se resuelva antes de iniciar la búsqueda de archivos temporales.
Formaliza la solicitud de validación de archivos temporales.
El Oficial de Protección de Datos Personales o rol equivalente dentro de la empresa, debe enviar la solicitud a los responsables pertinentes para confirmar si existen archivos temporales asociados a los datos cuya eliminación fue aprobada.
La solicitud debe incluir los datos personales asociados, la identificación del titular y la información necesaria para facilitar la búsqueda.
Ajusta el medio de comunicación utilizado, por ejemplo, correo electrónico, sistema de tickets o herramienta interna definida por la empresa.
Realiza la búsqueda de archivos temporales.
Los responsables pertinentes deben revisar los sistemas o medios de almacenamiento bajo su gestión para validar si existen archivos temporales relacionados con los datos personales indicados.
Si no existen archivos temporales, deben comunicarlo al Oficial de Protección de Datos Personales o a alguien del Comité de Privacidad.
Si existen, se debe continuar con el borrado seguro de la información conforme lo establezcas en este procedimiento.
Define el método de borrado aplicable.
Debes indicar los métodos de borrado seguro que efectivamente usen o puedan usar en la organización, y qué perfil o área será responsable de aplicarlos.
El template contempla tres alternativas como ejemplos que podrías adaptar a las capacidades / necesidades reales de tu empresa:
Borrado simple: eliminación vía software de los datos personales asociados a la solicitud.
Borrado moderado o limpieza: formateo del disco o medio de almacenamiento donde se encuentren los datos.
Borrado seguro o depuración: sobrescritura de la información utilizando distintos patrones de datos y repitiendo el proceso para reforzar la eliminación.
⚖️ Recomendación legal: La evidencia debe demostrar qué sistema o medio fue revisado y qué acción se aplicó. No basta con informar que un archivo fue eliminado; debe poder acreditarse que la búsqueda y el borrado se realizaron conforme al procedimiento.
Comunicación del resultado de la solicitud.
Los responsables pertinentes deben responder al Oficial de Protección de Datos Personales y/o al Comité de Privacidad por el mismo medio utilizado para la solicitud:
Si no se localizaron archivos temporales, e indicar los sistemas o medios de almacenamiento revisados.
Si se encontraron archivos, y por ende, se está notificando su eliminación. Además se adjunta la evidencia disponible.
Posteriormente, también se debe realizar la comunicación pertinente de los resultados al titular de datos o al solicitante acreditado.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para orientar la solicitud de validación, búsqueda, borrado y comunicación del resultado, pero recuerda que debe ajustarse a los sistemas, responsables y medios de comunicación que efectivamente utilice tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Mantén actualizado un listado de responsables técnicos o funcionales por sistema para que el Oficial de Protección de Datos Personales sepa a quién solicitar cada validación. Podrían ser directamente los dueños de activos asignados dentro del módulo de Activos.
Coordina este procedimiento con el Inventario de Datos Personales y el Inventario de Activos para identificar con mayor facilidad los sistemas donde pueden existir archivos temporales.
Define una forma uniforme de conservar la evidencia de búsqueda y borrado, evitando que quede dispersa en correos, mensajes o dispositivos personales.
Revisa este procedimiento cuando se incorporen nuevos sistemas, herramientas de almacenamiento o procesos que puedan generar archivos temporales con datos personales.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.