Designado
Responsable
La persona responsable de la protección de la información personal está nombrada y publicada, como exige la ley.
ARSENAL 02
Cumplimiento Ley 25
Ponerse en regla progresivamente, sin paralizar la empresa.
La Ley 25 se aplica a toda empresa que opere en Quebec y posea información personal, sea cual sea su tamaño. Establecemos qué debe tener, qué le falta y en qué orden abordarlo. El objetivo es un expediente que pueda presentar a un cliente, a una aseguradora o a la comisión de acceso a la información, no una carpeta que acumule polvo.
Para quién
- Empresas quebequesas que poseen datos de clientes, empleados o proveedores
- Organizaciones a las que un cliente pide documentar sus prácticas antes de firmar
- Pymes que no han designado a nadie como responsable de la protección de datos
- Empresas que usan herramientas en la nube alojadas fuera de Quebec
Lo que vive hoy
- Nadie sabe con precisión qué datos personales posee ni dónde están
- Su política de privacidad se copió de otro sitio hace años
- No existe ningún procedimiento para reaccionar ante un incidente de confidencialidad
- Las solicitudes de acceso o supresión se tratan caso por caso, sin registro
Lo que aporta
Mantenido
Registro
Un registro de incidentes y un inventario de tratamientos que puede presentar cuando se lo pidan.
Escrito
Procedimiento
Quién hace qué en las primeras horas de un incidente, hasta la notificación cuando procede.
Qué incluye
- Mapeo de la información personal: naturaleza, ubicación, plazo de conservación
- Política de privacidad redactada para sus tratamientos reales, en lenguaje claro
- Registro de incidentes y procedimiento de gestión asociado
- Evaluaciones de impacto sobre la privacidad para los proyectos que lo exijan
- Gestión de consentimientos y de las solicitudes de acceso, rectificación y retirada
- Sesión de formación para las personas que manipulan datos personales
Cómo se desarrolla
01
Diagnóstico de brecha
2 a 3 semanasComparamos sus prácticas actuales con las obligaciones que realmente le afectan y clasificamos las brechas por nivel de riesgo.
02
Frentes prioritarios
3 a 5 semanasDesignación del responsable, procedimiento de incidentes y política de privacidad: lo que más le expone si no se hace nada.
03
Documentación completa
4 a 6 semanasRegistro, inventario de tratamientos, consentimientos, acuerdos con proveedores y evaluaciones cuando el proyecto lo requiere.
04
Mantenimiento
Revisión anualEl cumplimiento caduca: nuevas herramientas, nuevos tratamientos, nuevos proveedores. Prevemos una revisión periódica.
Plazos indicativos para una pyme. Un gran volumen de datos o varios sistemas heredados alargan el diagnóstico.
Las preguntas que se hace
¿Nos afecta incluso con cinco empleados?
Sí. La Ley 25 no tiene umbral de plantilla: cubre a toda empresa que opere en Quebec y posea información personal. Algunas obligaciones, como la evaluación de impacto sobre la privacidad, solo se activan en casos concretos, pero la base se aplica a todos.
Nuestros datos están alojados en Estados Unidos. ¿Es un problema?
No está prohibido, pero comunicar información personal fuera de Quebec exige una evaluación previa y, a menudo, cláusulas contractuales adaptadas. Es uno de los puntos que el diagnóstico aborda primero.
¿Cuáles son las sanciones reales?
La ley prevé sanciones administrativas pecuniarias y multas penales con topes elevados. En la práctica, el riesgo más inmediato para una pyme sigue siendo perder un contrato porque un cliente exige garantías que no puede aportar.
Ya cumplimos el RGPD. ¿Es suficiente?
Es una base muy buena y gran parte del trabajo es trasladable, pero ambos regímenes difieren en varios puntos, en particular la designación del responsable y las reglas de comunicación fuera de Quebec. El diagnóstico precisa la brecha restante.
El cumplimiento no es un proyecto, es un estado que se mantiene.
Empezamos con un diagnóstico de brecha que le dice exactamente dónde está y por dónde empezar.
El resto del arsenal