Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (Text with EEA rele
Fecha y vigencia tomadas de la base de datos de la Oficina de Publicaciones de la UE el 28 de agosto de 2026. Esta página explica cómo se cumple, no sustituye al texto oficial ni constituye asesoramiento jurídico.
2 procedimientos escritos para esta norma: qué documentos hacen falta, a quién se le piden y qué se comprueba cuando llegan.
Quién trata datos por cuenta tuya, con qué contrato y con qué garantías.
6 pasos · Tres horas el primer inventario →El registro que se pide en una inspección de protección de datos y qué mirar en él.
6 pasos · 30 minutos de revisión periódica →La referencia 32016R0679 se convierte en un control distinto cuando se separan su objeto, quién aporta cada evidencia y qué decisión debe poder reconstruirse después.
En RGPD, Legal debe delimitar este ámbito antes de automatizarlo. La evidencia se vincula a 32016R0679, a su versión vigente y a la decisión tomada sobre este punto concreto.
En RGPD, Legal debe documentar este ámbito antes de automatizarlo. La evidencia se vincula a 32016R0679, a su versión vigente y a la decisión tomada sobre este punto concreto.
| Evidencia o dato | Quién lo aporta | Momento del control | Rastro que debe quedar |
|---|---|---|---|
| Inventario de proveedores que tratan datos personales por cuenta tuya | legal | Cómo controla un DPO los contratos de encargado de tratamiento | RGPD · 32016R0679 · control 1: origen, fecha, versión y resultado de revisión. |
| Los contratos de encargo firmados | legal | Cómo controla un DPO los contratos de encargado de tratamiento | RGPD · 32016R0679 · control 2: origen, fecha, versión y resultado de revisión. |
| Las transferencias internacionales, si las hay | legal | Cómo controla un DPO los contratos de encargado de tratamiento | RGPD · 32016R0679 · control 3: origen, fecha, versión y resultado de revisión. |
| El registro de accesos activo | legal | Cómo revisar quién ha visto qué documento | RGPD · 32016R0679 · control 4: origen, fecha, versión y resultado de revisión. |
| El criterio de qué es un acceso normal en tu organización | legal | Cómo revisar quién ha visto qué documento | RGPD · 32016R0679 · control 5: origen, fecha, versión y resultado de revisión. |
La fuente oficial define la obligación. El proceso interno debe traducirla en información, responsables, revisión y evidencia sin sustituir la interpretación profesional.
Comprueba en 32016R0679 qué productos, actividades, territorios y fechas afectan realmente a la organización.
Legal suele coordinar este control, con apoyo jurídico o técnico cuando la interpretación lo requiera.
Los procedimientos enlazados concretan documentos, emisores, comprobaciones y errores habituales para RGPD.
Registra fuente, versión, vigencia, decisión y fecha de próxima revisión; un cambio normativo no debe quedar oculto en una plantilla antigua.
Completa los campos entre corchetes y pégalo para empezar a configurar el proceso con tu contexto.
OPERATIVA — RGPD
La fuente oficial define la obligación. El proceso interno debe traducirla en información, responsables, revisión y evidencia sin sustituir la interpretación profesional.
Fase 1 — Delimitar la operación
Documentos: referencia normativa o contractual aplicable y descripción de la actividad que se revisa.
Datos: operación [referencia], objeto [producto, servicio o centro], mercado [país], responsable [rol] y fecha objetivo [fecha].
Control: confirmar el alcance con el responsable competente; no tratar todas las evidencias de esta plantilla como obligaciones universales.
Fase 2 — Inventario de proveedores que tratan datos personales por cuenta tuya
Documentos o evidencias: Inventario de proveedores que tratan datos personales por cuenta tuya.
Origen de la información: legal.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Inventario de proveedores que tratan datos personales por cuenta tuya» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 3 — Los contratos de encargo firmados
Documentos o evidencias: Los contratos de encargo firmados.
Origen de la información: legal.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Los contratos de encargo firmados» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 4 — Las transferencias internacionales, si las hay
Documentos o evidencias: Las transferencias internacionales, si las hay.
Origen de la información: legal.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Las transferencias internacionales, si las hay» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 5 — El registro de accesos activo
Documentos o evidencias: El registro de accesos activo.
Origen de la información: legal.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «El registro de accesos activo» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 6 — El criterio de qué es un acceso normal en tu organización
Documentos o evidencias: El criterio de qué es un acceso normal en tu organización.
Origen de la información: legal.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «El criterio de qué es un acceso normal en tu organización» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 7 — Cerrar y conservar
Documentos: conjunto de evidencias revisadas y decisiones sobre las excepciones.
Datos: estado de cada requisito, aprobación, fecha de cierre y próxima revisión.
Destino: expediente de RGPD.
Control: separar lo exigible por norma, contrato o política interna. Esta configuración operativa no sustituye una evaluación jurídica ni acredita por sí sola el cumplimiento.Code Contract lo pide por donde esa persona sí contesta, insiste solo, lo lee al entrar y lo deja demostrable. Y quien lo manda no se registra en nada.