Competencia y concienciación (7.2 y 7.3)
La formación se dirige a los puestos que tocan datos: atención al cliente que recibe solicitudes de derechos, recursos humanos, sistemas. Hay que conservar evidencia de la competencia y comprobar que la concienciación se traduce en conducta.
Comunicación (7.4)
La organización decide qué comunica sobre privacidad, a quién y cuándo, incluidas las comunicaciones con autoridades de control y clientes. En una brecha no es momento de improvisar quién habla.
Información documentada (7.5)
Políticas, procedimientos y registros deben estar identificados, revisados, protegidos y disponibles. Los propios registros del sistema contienen a menudo datos personales y necesitan sus controles de acceso y conservación.
Lo que suele pedir el auditor
- Plan de formación en privacidad por puesto
- Registros de asistencia y evaluación de la formación
- Plan de comunicación, incluida la relación con autoridades
- Control de versiones y accesos de la documentación del PIMS
Cómo cubrir el apoyo en Kimobox
- 1Asigna la formación de privacidad desde la matriz de formación por puesto.
- 2Gestiona políticas y procedimientos como documentos controlados con su aprobador.
- 3Limita por perfil quién ve los registros que contienen datos personales.
El registro de auditoría guarda quién consultó o cambió cada documento del sistema.