Entrenamiento sobre el Cumplimiento del RGPD: Requisitos y Mejores Prácticas

¿En qué consiste el entrenamiento sobre el cumplimiento del RGPD?

El entrenamiento sobre el cumplimiento del RGPD enseña a los empleados cómo tratar los datos personales de acuerdo con el Reglamento General de Protección de Datos (RGPD), la normativa de la UE que regula la forma en que las organizaciones recogen, almacenan y tratan los datos personales.

Un buen entrenamiento va más allá de la mera explicación de la ley. Muestra a las personas qué implican las normas para su puesto concreto: cómo identificar los datos personales, cómo responder a la solicitud de un cliente, qué hacer cuando surge un problema y cómo evitar los errores cotidianos que pueden dar lugar a una violación de datos.

En resumen, es la diferencia entre un equipo que ha oído hablar del RGPD y un equipo que sabe cómo actuar en consecuencia.

¿Es obligatorio el entrenamiento sobre el cumplimiento del RGPD?

El RGPD no contiene ni una sola línea que diga «debe impartir entrenamiento anual». Sin embargo, el entrenamiento es, en la práctica, obligatorio por dos razones.

En primer lugar, el reglamento así lo espera. El principio de responsabilidad implica que debe demostrar el cumplimiento, no solo afirmarlo, y la sensibilización del personal forma parte de ello. Cuando una organización nombra a un delegado de protección de datos, el artículo 39 le encomienda explícitamente la tarea de sensibilizar y formar al personal que participa en el tratamiento de datos.

En segundo lugar, y desde un punto de vista más práctico: ¿qué ocurre si no se forma al personal? El error humano está detrás de una gran parte de las violaciones de datos, y las sanciones pueden ser severas. Más allá de la multa, está el coste de la propia violación: la investigación regulatoria y el daño duradero a la reputación ante los clientes cuyos datos no se han protegido.

Así pues, aunque el término «obligatorio» tiene una respuesta técnica, la respuesta práctica es más sencilla: si trata datos personales, debe formar a las personas que tienen acceso a ellos.

¿Quién necesita entrenamiento sobre el cumplimiento del RGPD?

Cualquier persona que maneje datos personales necesita entrenamiento, pero la profundidad y el enfoque deben variar en función del puesto que se ocupe. Un módulo único para todos es la razón más habitual por la que el entrenamiento no se asimila.

Entrenamiento sobre el cumplimiento del RGPD para empleados

Todos los empleados que entren en contacto con datos personales —desde los registros de clientes hasta los datos de sus compañeros de trabajo— necesitan un entrenamiento básico sobre el cumplimiento del RGPD. Este entrenamiento abarca los principios fundamentales, cómo identificar los datos personales, los hábitos de tratamiento seguro y cómo reconocer y notificar un problema. Es fundamental a este nivel, ya que acciones cotidianas como un correo electrónico enviado a una dirección errónea, una contraseña poco segura o un enlace de phishing son las causas de la mayoría de las violaciones de datos. Es la base sobre la que se asienta el resto de su programa.

Entrenamiento sobre el cumplimiento del RGPD para directivos

Los directivos son responsables de cómo sus equipos gestionan los datos y, a menudo, deciden qué datos se recogen y por qué. Su entrenamiento debe ir un paso más allá: las bases legales para el tratamiento, la supervisión de las prácticas del equipo, marcar la pauta sobre la seriedad con la que se aborda la protección de datos y saber cuándo remitir un problema al delegado de protección de datos.

Entrenamiento sobre el cumplimiento del RGPD para los equipos de RR. HH. y de formación y desarrollo

Los equipos de RR. HH. tratan algunos de los datos personales más sensibles de cualquier organización, desde solicitudes de empleo hasta información sanitaria y de nóminas. RR. HH. y Entrenamiento y Desarrollo necesitan una formación específica sobre la conservación de datos (incluido el plazo de conservación de los datos de los candidatos tras el proceso de selección), el consentimiento, los datos de categorías especiales y las normas relativas a la supervisión de los empleados. El departamento de Formación y Desarrollo (L&D) también asume una responsabilidad que pocos otros tienen: impartir la formación en toda la empresa y mantener los registros de finalización que demuestren que se ha llevado a cabo.

Entrenamiento sobre el cumplimiento del RGPD para contratistas y terceros

Sus obligaciones no se limitan a su propia plantilla. Los contratistas, autónomos y proveedores que tratan datos personales en su nombre están sujetos a las mismas normas, y usted es responsable de garantizar que las cumplan. Extiende el entrenamiento, o exige una prueba de la misma, a cualquier persona que gestione datos en su nombre.

Una vez que sepa quién necesita entrenamiento y con qué nivel de profundidad, la siguiente cuestión es qué exige el reglamento respecto a dicho entrenamiento.

Requisitos de entrenamiento del RGPD

El RGPD no establece un programa de entrenamiento fijo, pero sí define claramente qué debe lograr su entrenamiento y cómo debe acreditarse. Hay tres preguntas que surgen con mayor frecuencia: qué exige el reglamento, con qué frecuencia se debe impartir la formación y si se requiere una certificación.

¿Qué exige el RGPD?

El RGPD no prescribe un plan de estudios, pero varias de sus obligaciones solo son aplicables si su personal ha recibido entrenamiento. Se le exige que demuestre el cumplimiento, no que simplemente lo afirme. Se le exige que proteja los datos personales con las garantías adecuadas y que se asegure de que cualquier persona que trabaje bajo su autoridad trate los datos únicamente según sus instrucciones, lo que, en la práctica, significa enseñarles cómo hacerlo. Las organizaciones que cuentan con un delegado de protección de datos tienen la sensibilización y la formación del personal explícitamente incluidas en las funciones de dicho cargo. Y las multinacionales que operan bajo normas corporativas vinculantes deben formar a todas las personas con acceso a datos personales.

En la práctica, esto significa que el entrenamiento debe estar documentado, mantenerse actualizado, estar respaldado por registros que indiquen quién completó qué y cuándo y, en el mejor de los casos, adaptarse a los riesgos propios de cada puesto.

¿Con qué frecuencia deben recibir entrenamiento los empleados?

El RGPD no establece un intervalo fijo. La mejor práctica consiste en formar a los nuevos empleados durante su incorporación, actualizar los conocimientos de toda la organización al menos una vez al año y impartir entrenamiento adicional cada vez que cambien sus procesos, se actualice la legislación o un incidente ponga de manifiesto una deficiencia.

¿Es obligatoria la certificación del RGPD?

No. No existe ningún certificado obligatorio del RGPD que haga que una organización esté «en cumplimiento». El artículo 42 permite la existencia de mecanismos de certificación y sellos homologados, pero estos son voluntarios. Los profesionales a título individual pueden obtener titulaciones y expedir certificados de finalización de su propio entrenamiento, lo cual constituye una prueba útil, pero ninguno de ellos es exigido por ley.

¿Qué debe abarcar el entrenamiento sobre el cumplimiento del RGPD?

Un programa eficaz abarca cinco áreas fundamentales.

1. Principios del RGPD

Comience por los siete principios que constituyen el núcleo del reglamento. En términos sencillos:

• Tenga una razón válida para utilizar los datos de una persona y sea transparente al respecto (licitud, lealtad y transparencia).

• Utilícelos únicamente para la finalidad para la que los recopiló (limitación de la finalidad).

• Recopile únicamente lo que necesite (minimización de datos).

• Manténgalos correctos y actualizados (exactitud).

• No los conserve más tiempo del necesario (limitación de la conservación).

• Manténgalos seguros (integridad y confidencialidad).

• Y sea capaz de demostrar que está cumpliendo con todo lo anterior (responsabilidad).

Los empleados no tienen que memorizar estos principios. Deben ser capaces de reconocer cuándo una solicitud o tarea entra en conflicto con alguno de ellos, como por ejemplo, cuando se les pide que reutilicen una lista de clientes para una campaña para la que nunca se recopilaron dichos datos. El resto del entrenamiento se deriva de estos principios.

2. Datos personales y derechos de los interesados

En primer lugar, el concepto de «datos personales» es más amplio de lo que la mayoría de la gente supone. No se trata solo de nombres y datos de contacto, sino de cualquier información que permita identificar a una persona de forma directa o indirecta: una dirección IP, un número de identificación de cliente, una fotografía o incluso un cargo profesional en un equipo pequeño. Un subconjunto, denominado «datos de categorías especiales», abarca información sensible como la salud, el origen étnico, la religión y los datos biométricos, y está sujeto a normas más estrictas. Los empleados que no sean capaces de reconocer los datos personales no podrán protegerlos.

En segundo lugar, las personas tienen derechos sobre sus datos: el derecho a consultarlos (acceso), a corregirlos (rectificación), a que se eliminen (supresión), a suspender su uso (limitación), a trasladarlos a otro lugar (portabilidad) y a oponerse a su uso. El personal no tiene por qué gestionar estas solicitudes, pero sí debe identificarlas cuando se reciban y remitirlas de inmediato, ya que el plazo comienza a contar en el momento en que se reciben.

3. Seguridad de los datos y riesgos habituales

Aquí es donde se originan la mayoría de las filtraciones. Los riesgos cotidianos son los más importantes: enviar datos personales al destinatario equivocado, poner en copia (CC) a una lista de correo en lugar de en copia oculta (CCO), hacer clic en un enlace de phishing, copiar datos de clientes en una hoja de cálculo personal o en una herramienta no autorizada, o dejar un ordenador portátil sin bloquear fuera de la oficina.

Aborde los hábitos que permiten evitarlos: contraseñas seguras y autenticación multifactorial; acceder únicamente a los datos que requiere su puesto; compartir archivos a través de canales autorizados; proteger los dispositivos cuando se está fuera de la oficina; y eliminar adecuadamente los datos, tanto digitales como en papel, cuando ya no sean necesarios.

Relacione cada riesgo con una situación que su personal pueda reconocer de su propio día a día.

4. Notificación de fugas de datos

Todo el mundo debe saber cómo detectar una posible filtración y notificarla de inmediato, ya que el tiempo apremia. En virtud del artículo 33, una filtración sujeta a notificación debe comunicarse a la autoridad de control en un plazo de 72 horas. Su entrenamiento debe facilitar que la notificación interna sea rápida y no dé lugar a culpas.

5. Políticas y procedimientos de la empresa

Todo lo anterior es lo que establece la ley. Esta parte se refiere a lo que ello significa en su empresa, y es el aspecto que un curso estándar no puede ofrecerle.

Los empleados deben finalizar el entrenamiento sabiendo qué sistemas y herramientas están autorizados para el tratamiento de datos personales (y que añadir uno nuevo no es solo una decisión del departamento de TI); cuánto tiempo conserva su organización los distintos tipos de datos y cuál es su papel para evitar que se generen copias aisladas que perduren más allá de dicho plazo; qué les exige su política de protección de datos en el día a día y, sobre todo, a quién deben acudir exactamente en caso de tener alguna pregunta o inquietud. Indique el nombre de esa persona o cargo. Si hay algo que los empleados deben recordar de su formación, debería ser precisamente esto.

Esto es lo que convierte el conocimiento general en acción dentro de su organización.

En conjunto, estas cinco áreas llevan a una persona desde la comprensión de las normas hasta su aplicación en su trabajo diario. El siguiente paso consiste en convertir ese contenido en un programa que las personas puedan completar y del que usted pueda demostrar que lo han completado.

Cómo crear un programa de entrenamiento sobre el cumplimiento del RGPD

Saber qué temas tratar es una cosa. Poner en marcha un programa que las personas completen —y cuya finalización pueda demostrar— es otra muy distinta. A continuación le ofrecemos una secuencia práctica.

Evalúe las lagunas de conocimiento y defina quién necesita qué

Comience por identificar dónde reside el riesgo real. ¿Qué equipos gestionan los datos más sensibles? ¿Dónde se han producido errores anteriormente? Utilice esa información para determinar quién necesita un entrenamiento básico y quién requiere un entrenamiento más específico para su puesto, en lugar de asignar a todos el mismo módulo.

Elabore o adquiera su contenido formativo

Convierta los cinco temas fundamentales tratados anteriormente en lecciones centradas y fáciles de asimilar. Mantenga los módulos breves, utilice situaciones reales de su propia organización e incluya preguntas para que los participantes tengan que aplicar lo aprendido, en lugar de limitarse a hacer clic en «siguiente».

Asigne, realice un seguimiento y documente la finalización

Asigne el entrenamiento adecuada a los grupos correspondientes, establezca plazos y mantenga un registro de quién ha completado qué, cuándo y con qué puntuación. Esa documentación no es una mera tarea administrativa; es la prueba que demuestra el cumplimiento normativo en caso de que se le solicite.

Manténgala actualizada con cursos de actualización

La formación sobre el RGPD no es algo puntual. Programe cursos de actualización, actualice los contenidos cuando cambien las normativas o los procesos internos, y vuelva a impartir la formación tras cualquier incidente. Un programa dinámico es mucho más defendible que un certificado de hace tres años.

De este modo, dispondrá de un programa que funciona. Pero lo que distingue a un programa que simplemente funciona de uno que cambia el comportamiento se reduce a unos pocos principios que conviene incorporar desde el principio.

Buenas prácticas en la formación sobre el cumplimiento del RGPD

Abordar los temas adecuados le permite contar con un programa conforme sobre el papel. Estas prácticas son las que hacen que el programa surta efecto, de modo que las personas retengan lo que aprenden y cambien su forma de gestionar los datos.

Adapte la formación a las diferentes funciones

Una formación genérica es una formación que se olvida fácilmente. Cuando las personas se enfrentan a situaciones propias de su trabajo, aumentan tanto su implicación como la retención de los conocimientos, y con ello también la probabilidad de que cambien su forma de actuar.

Utilice métodos de aprendizaje interactivos

Las presentaciones pasivas no modifican el comportamiento. Los cuestionarios, los escenarios y las breves pruebas de conocimientos obligan a los participantes a involucrarse y le proporcionan datos sobre los puntos en los que la comprensión es deficiente.

Ofrezca cursos de actualización periódicos

Las personas olvidan. Las normativas y los procesos cambian. Los cursos de repaso breves y periódicos mantienen el RGPD presente en la mente de los participantes y sus registros actualizados, en lugar de depender de una única sesión maratoniana anual.

Cada una de estas tareas resulta más difícil de llevar a cabo manualmente a medida que su equipo crece: adaptar el contenido, gestionar las interacciones y realizar un seguimiento de los cursos de actualización. Ahí es donde la herramienta adecuada marca la diferencia.

Cómo ayuda un sistema de gestión del aprendizaje (LMS) a impartir formación sobre el cumplimiento del RGPD en línea

Hacer todo esto manualmente en toda una organización se vuelve rápidamente inmanejable. Un sistema de gestión del aprendizaje (LMS) hace que la formación sobre el cumplimiento del RGPD sea práctica y escalable en línea.

Con un LMS, puede crear cursos específicos para cada función una sola vez y asignarlos a los grupos adecuados, añadir cuestionarios y certificados, y automatizar los recordatorios para no tener que estar persiguiendo a los empleados.

Y lo más importante en un tema de cumplimiento normativo: dispone de informes: un registro claro y exportable de quién completó qué formación, cuándo y qué puntuación obtuvo, que es exactamente la documentación que exige el principio de rendición de cuentas.

Cree formación sobre el cumplimiento del RGPD con EasyLMS 

EasyLMS le ofrece todo lo que necesita para crear, impartir y realizar un seguimiento de la formación sobre el cumplimiento del RGPD en un único lugar. Cree cursos y exámenes, agrupe a sus alumnos, expida certificados al finalizar y genere informes por participante siempre que necesite pruebas de quién ha recibido la formación.

Si imparte formación a clientes o en varias ubicaciones, puede mantener cada grupo por separado con su propio contenido e informes, y personalizar la experiencia con su propia marca. Es una forma sencilla de llevar a cabo un programa de cumplimiento normativo que resulta fácil de gestionar para los administradores y de completar para los participantes.

Comience hoy mismosu prueba gratuita y cree su primer curso de cumplimiento del RGPD.

Recursos útiles

1. Reglamento General de Protección de Datos (RGPD)