En las guías de cumplimiento publicadas por la autoridad turca destaca un énfasis: en una infracción responde no solo quien actuó, sino también quien no adoptó las medidas necesarias.
01. Dónde está la responsabilidad
El responsable del tratamiento es la propia organización, no un departamento ni un empleado. El error de un empleado no exime a la organización; al contrario, se examina si existían las medidas técnicas y organizativas necesarias.
02. Un protocolo no basta
Los protocolos de intercambio de datos entre instituciones no constituyen por sí solos una base jurídica. La causa legal de la cesión debe acreditarse aparte. Es una carencia frecuente en contratos con proveedores y socios.
03. La lista de medidas
Autorización de acceso, registro, cifrado, copias de seguridad, formación de concienciación y plan de respuesta a incidentes. Importa su existencia y también el registro de que se operan con regularidad.
04. Cultura de evidencia
Una inspección no pide la práctica sino su registro. Si se hizo la revisión anual de permisos, debe haber acta; si hubo formación, lista de asistencia. La buena práctica sin registro se considera inexistente.
05. La cadena de proveedores
Hay que asegurar que los proveedores que actúan como encargados apliquen las mismas medidas. Incluir un derecho de auditoría en el contrato y ejercerlo al menos una vez al año es lo esperado.
06. Por dónde empezar
Inventario de datos, matriz de permisos y tabla de plazos de conservación. Sin esos tres documentos, el resto de medidas queda en el aire.