El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos; en adelante, RGPD), establece, entre otras disposiciones, los requisitos documentales necesarios para poder cumplir con el RGPD y poder ser capaz de demostrar dicho cumplimiento.

Entre la documentación mínima que debe dispone la entidad se encuentra:

    El Registro de Actividades de Tratamiento, tanto como responsable del tratamiento, como encargado del tratamiento, en su caso.

    Documentación del análisis de riesgos realizado.

    La/s Evaluación/es de Impacto relativa/s a la Protección de Datos, en su caso. Sólo para Pymes que traten datos especiales y perfiles informatizados.

    Las medidas de seguridad implantadas.

    Las funciones y obligaciones del personal con acceso a datos personales.

    El registro de incidencias y el registro de las notificaciones de las violaciones de la seguridad a la Autoridad de Control, en su caso.

    Los protocolos de atención a los derechos de los interesados.

    Los compromisos de confidencialidad con los trabajadores.

    Los contratos de acceso a datos por cuenta de terceros.

    La documentación relativa a las transferencias internacionales de datos, así como las garantías apropiadas obtenidas o las excepciones utilizadas como base jurídica para su realización.

    Toda la documentación adicional que sea necesaria para demostrar el cumplimiento de la normativa de protección de datos en la entidad (cláusulas legales, consentimientos otorgados por los interesados, autorizaciones para la contratación de subencargados del tratamiento, ponderaciones del interés legítimo, etc.).

Esta documentación debe mantenerse en todo momento actualizada y debe ser revisada siempre que se produzcan cambios que puedan repercutir en el cumplimiento de la normativa de protección de datos o en las medidas de seguridad implantadas, como son cambios relevantes en:

- la organización

- el contenido de la información incluida en los tratamientos

- los tratamientos de datos personales realizados

- los sistemas de tratamiento empleados


Debe mantenerse adecuada, en todo momento, a las disposiciones vigentes en materia de protección de los datos de carácter personal.