Gobierno distribuido de la privacidad en un organismo estatal
Desafio
Un organismo estatal con una estructura jerárquica muy extensa, formada por miles de nodos y unidades organizativas (servicios centrales, delegaciones territoriales, centros especializados, organismos dependientes…), necesitaba gestionar de forma eficaz el cumplimiento en materia de protección de datos personales.
El mapa de responsables y corresponsables de tratamiento era especialmente complejo y capilarizado, con cada unidad gestionando tratamientos, bases de datos, aplicaciones y procedimientos propios.
El reto principal consistía en:
- Implantar un modelo de gestión central de la privacidad liderado desde la sede corporativa.
- Mantener, al mismo tiempo, la autonomía operativa de cada unidad para gestionar sus tratamientos, contratos, incidencias y obligaciones específicas.
- Evitar la dispersión de excels, plantillas y herramientas locales, garantizando criterios homogéneos de cumplimiento, pero adaptables a la realidad de cada nodo de la organización.
Enfoque
ECIX Tech implantó la solución ePrivacy como plataforma única para la gestión de la privacidad en todo el organismo. El enfoque se orientó a conciliar control central y autonomía local:
-
Modelo de gobierno multinivel
-
Definición de un esquema de roles y permisos en ePrivacy adaptado a la estructura jerárquica:
- Nivel central (DPD y equipo corporativo), con visión global y capacidad de supervisión.
- Niveles intermedios (direcciones generales, unidades territoriales) con visión agregada de su ámbito.
- Nivel local (servicios, centros, unidades) con capacidad de gestionar sus propios tratamientos y obligaciones.
-
Definición de un esquema de roles y permisos en ePrivacy adaptado a la estructura jerárquica:
-
Configuración de ePrivacy para gestión individualizada por unidad
-
Parametrización de ePrivacy para que cada nodo de la estructura pudiera:
- Mantener su Registro de Actividades de Tratamiento.
- Gestionar sus encargados de tratamiento y contratos.
- Registrar y tramitar incidencias y posibles brechas de seguridad.
- Colaborar en evaluaciones de impacto (EIPD) relacionadas con sus procesos.
- Uso de plantillas, catálogos y criterios comunes definidos desde la corporación, garantizando homogeneidad de enfoque sin limitar las particularidades de cada unidad.
-
Parametrización de ePrivacy para que cada nodo de la estructura pudiera:
-
Soporte al despliegue
- Acompañamiento en la puesta en marcha y formación de la red de responsables de tratamiento y contactos locales de privacidad.
- Soporte continuado para resolver dudas, ajustar flujos de trabajo y consolidar un modelo de operación estable y sostenible.
Resultados
Gracias a la implantación de ePrivacy y al modelo de despliegue diseñado por ECIX Tech, el organismo estatal consiguió:
- Disponer de una visión centralizada y en tiempo real de la situación de privacidad en miles de unidades, sin tener que intervenir en la gestión del día a día de cada una.
- Permitir que cada unidad gestionara de forma individualizada sus tratamientos, contratos y registros, pero dentro de un marco común, con reglas y criterios de cumplimiento definidos a nivel corporativo.
- Reducir drásticamente la fragmentación de información y herramientas, sustituyendo plantillas dispersas por una plataforma única que integra toda la gestión de la privacidad.
- Mejorar la capacidad de respuesta ante auditorías y requerimientos de autoridades de control, gracias a la trazabilidad completa y a la consolidación de datos en ePrivacy.
- Convertir la red de responsables de tratamiento en una estructura coordinada y eficiente, donde la corporación marca el estándar y cada unidad lo aplica con autonomía, pero sin perder el control global.
