Cómo revisar quién ha visto qué documento
El registro que se pide en una inspección de protección de datos y qué mirar en él.
Texto oficial: Reglamento (UE) 2016/679 en EUR-Lex. Esta ficha explica cómo se hace, no sustituye a la norma.
Antes de empezar necesitas
- El registro de accesos activo
- El criterio de qué es un acceso normal en tu organización
-
Comprueba primero que el registro está activo y completo
Un registro que empezó hace tres meses no responde a una pregunta sobre el año pasado.
-
Define qué es normal antes de buscar lo anómalo
Sin línea base, cualquier acceso parece sospechoso o ninguno lo parece.
-
Revisa accesos fuera de horario y en volumen
Son los dos patrones que más señalan algo, y los más fáciles de mirar.
-
Comprueba los accesos de quien cambió de puesto
Es donde se acumulan permisos que ya no corresponden.
-
Documenta la revisión aunque no encuentres nada
La revisión periódica documentada es parte de las medidas organizativas que se exigen.
-
Ten definido qué hacer si encuentras algo
Improvisar la respuesta a un acceso indebido es la peor forma de gestionarlo.
Matriz de control para cómo revisar quién ha visto qué documento
No basta con completar los pasos: cada uno debe dejar una entrada identificada, una comprobación explícita y una evidencia que otra persona pueda revisar sin reconstruir el trámite.
| Paso | Entrada necesaria | Control de excepción | Evidencia de cierre |
|---|---|---|---|
| 1. Comprueba primero que el registro está activo y completo | Para cómo revisar quién ha visto qué documento: El registro de accesos activo | En cómo revisar quién ha visto qué documento, registro activado tarde: No cubre el periodo por el que preguntan. | El cierre de cómo revisar quién ha visto qué documento responde a «¿Cuánto hay que conservar el registro de accesos?»: Lo suficiente para poder responder a un requerimiento, equilibrado con el propio principio de minimización. Consúltalo con tu DPO. |
| 2. Define qué es normal antes de buscar lo anómalo | Para cómo revisar quién ha visto qué documento: El criterio de qué es un acceso normal en tu organización | En cómo revisar quién ha visto qué documento, buscar anomalías sin línea base: No se distingue lo raro de lo habitual. | El cierre de cómo revisar quién ha visto qué documento responde a «¿Hay que avisar a los empleados de que se registra?»: Sí: forma parte de la información que hay que darles sobre el tratamiento de sus datos. |
| 3. Revisa accesos fuera de horario y en volumen | Para cómo revisar quién ha visto qué documento: El registro de accesos activo | En cómo revisar quién ha visto qué documento, no documentar las revisiones sin hallazgos: La revisión periódica es en sí una medida exigible. | El cierre de cómo revisar quién ha visto qué documento responde a «¿Cuánto hay que conservar el registro de accesos?»: Lo suficiente para poder responder a un requerimiento, equilibrado con el propio principio de minimización. Consúltalo con tu DPO. |
| 4. Comprueba los accesos de quien cambió de puesto | Para cómo revisar quién ha visto qué documento: El criterio de qué es un acceso normal en tu organización | En cómo revisar quién ha visto qué documento, registro activado tarde: No cubre el periodo por el que preguntan. | El cierre de cómo revisar quién ha visto qué documento responde a «¿Hay que avisar a los empleados de que se registra?»: Sí: forma parte de la información que hay que darles sobre el tratamiento de sus datos. |
| 5. Documenta la revisión aunque no encuentres nada | Para cómo revisar quién ha visto qué documento: El registro de accesos activo | En cómo revisar quién ha visto qué documento, buscar anomalías sin línea base: No se distingue lo raro de lo habitual. | El cierre de cómo revisar quién ha visto qué documento responde a «¿Cuánto hay que conservar el registro de accesos?»: Lo suficiente para poder responder a un requerimiento, equilibrado con el propio principio de minimización. Consúltalo con tu DPO. |
| 6. Ten definido qué hacer si encuentras algo | Para cómo revisar quién ha visto qué documento: El criterio de qué es un acceso normal en tu organización | En cómo revisar quién ha visto qué documento, no documentar las revisiones sin hallazgos: La revisión periódica es en sí una medida exigible. | El cierre de cómo revisar quién ha visto qué documento responde a «¿Hay que avisar a los empleados de que se registra?»: Sí: forma parte de la información que hay que darles sobre el tratamiento de sus datos. |
Los errores que más lo devuelven
No cubre el periodo por el que preguntan.
No se distingue lo raro de lo habitual.
La revisión periódica es en sí una medida exigible.
Preguntas frecuentes
¿Cuánto hay que conservar el registro de accesos?
¿Hay que avisar a los empleados de que se registra?
Texto listo para copiar y pegar en tu usuario
Completa los campos entre corchetes y pégalo para empezar a configurar el proceso con tu contexto.
Quiero poner en marcha este proceso: Cómo revisar quién ha visto qué documento.
Mi contexto:
- Empresa o equipo: [indicar]
- Personas o sistemas que aportan información: [indicar]
- Destino final de los datos o documentos: [indicar]
- Frecuencia y fecha límite: [indicar]
Configura conmigo estos pasos:
1. Comprueba primero que el registro está activo y completo
2. Define qué es normal antes de buscar lo anómalo
3. Revisa accesos fuera de horario y en volumen
4. Comprueba los accesos de quien cambió de puesto
5. Documenta la revisión aunque no encuentres nada
6. Ten definido qué hacer si encuentras algo
Para cada paso, pregúntame qué entra, quién responde, cómo se valida, qué ocurre si falla y qué evidencia queda. No inventes datos que no te haya facilitado.Procedimiento revisado el . Las normas cambian: si el sistema oficial no se parece a lo que lees aquí, manda la pantalla del sistema.
Cuando cambie algo de este trámite, te avisamos
Una vez al mes: qué obligación entra en vigor, a quién afecta y qué hay que empezar a pedir. Nada más.
Y si lo que quieres es que esto ocurra solo
Pedir el documento, insistir por el canal que el otro sí contesta, leerlo, comprobar que cuadra y dejarlo demostrable: es exactamente lo que hace Code Contract. Sin que la otra parte se registre en nada.
Programar una demo de 30 minutos