Qué es el registro de actividades de tratamiento del artículo 30 RGPD, quién debe llevarlo y un repaso campo a campo de lo que debe contener.
¿Qué son los registros de actividades de tratamiento?
De conformidad con el artículo 30 RGPD, es obligatorio llevar un registro de las actividades de tratamiento. El registro de actividades de tratamiento describe el tratamiento datos personales dentro de una organización y los detalles de dicho tratamiento. Su objetivo es garantizar que las organizaciones sean transparentes y responsables de sus actividades de tratamiento datos, y demostrar el cumplimiento del RGPD. El registro sirve de referencia central para todas las actividades de tratamiento datos y debe actualizarse periódicamente para garantizar su exactitud e integridad. Mantener un registro de las actividades de tratamiento es crucial para que las organizaciones cumplan con sus obligaciones en virtud del RGPD y demuestren su cumplimiento a los reguladores y otras partes interesadas.¿Por qué llevar un registro de las actividades de tratamiento?
El artículo 30 RGPD exige que las organizaciones mantengan un registro de las actividades de tratamiento, lo que constituye un requisito legal. El registro de actividades de tratamiento sirve como herramienta de gestión para la protección de datos al proporcionar una visión general del tratamiento. Cuando el tratamiento datos personales se asigna a este registro, ayuda a cumplir otros requisitos del RGPD, como la aplicación de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, como exige el artículo 32. El registro se convertirá en la herramienta de gestión para alinear los esfuerzos de la organización en su cumplimiento RGPD.Exenciones para disponer de un registro de actividades de tratamiento.
El artículo 30(4) exime a las organizaciones con menos de 250 empleados de tener que llevar registros de las actividades de tratamiento, pero sólo si su tratamiento datos personales no lo hace:- supongan un riesgo para los derechos y libertades de los interesados,
- ocurren sólo ocasionalmente, o
- impliquen categorías especiales de datos, según lo dispuesto en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales, según lo dispuesto en el artículo 10.
Artículo 30: Registro de las actividades de tratamiento
An organization, whether a data controller or a data processor, must keep a record of their processing activities. Estos registros deben constar por escrito y ponerse a disposición de la autoridad de control a petición de ésta. Las dos secciones siguientes describen los requisitos relativos a los registros de actividades de tratamiento para responsables y encargados del tratamiento tratamiento, respectivamente.Responsable del tratamiento: Los Registros de Actividades de Tratamiento
El artículo 30, apartado 1, RGPD establece los requisitos mínimos de la información que debe incluirse en sus registros de actividades de tratamiento cuando actúa como responsable del tratamiento tratamiento. Estos requisitos mínimos son los siguientes:- Anote el nombre y los datos de contacto de su organización para que los interesados sepan quién es el responsable del tratamiento del tratamiento sus datos. Si determina la finalidad y los medios del tratamiento conjuntamente con otro responsable del tratamiento, es decir, otra organización, deberá mencionar también sus datos de contacto. En caso de que haya designado a un responsable de la protección de datos, también deberá indicar los datos de contacto.
- Describa todos los fines del tratamiento datos personales.
- Describa las categorías de interesados, por ejemplo, visitantes del sitio web o solicitantes de empleo. También debe describir las categorías de datos personales, por ejemplo, categorías especiales de datos personales o datos personales generales, y los tipos de datos específicos dentro de estas categorías.
- Describa las categorías de destinatarios a los que revelará datos personales, que podrían ser una filial de la empresa, un socio comercial, una agencia tributaria, etc. Lo mismo ocurre con los beneficiarios de terceros países o de organizaciones internacionales.
- Describa las transferencias de datos personales a terceros países u organizaciones internacionales y, si procede, la documentación de las garantías adecuadas.
- Describa los criterios o plazos para borrar las distintas categorías de datos personales; por ejemplo, ¿cuándo borraría los datos de un candidato a un puesto de trabajo si éste no lo obtuviera?
- Haga una descripción general de las medidas de seguridad para garantizar un nivel de seguridad adecuado al riesgo.
Responsable del tratamiento: Los Registros de Actividades de Tratamiento
Un encargado del tratamiento debe mantener un registro de las actividades tratamiento que realiza por cuenta del responsable del tratamiento. Estos requisitos difieren ligeramente de los del responsable del tratamiento y se recogen en el artículo 30, apartado 2, del RGPD. Los requisitos para el registro de las actividades de tratamiento son los siguientes para los encargados del tratamiento:- Anote el nombre y los datos de contacto del encargado del tratamiento y del responsable del tratamiento por cuenta del cual actúa el encargado.
- Describa las actividades de tratamiento realizadas por cuenta del responsable del tratamiento.
- Describa las transferencias de datos personales a terceros países u organizaciones internacionales.
- Haga una descripción general de las medidas de seguridad para garantizar un nivel de seguridad adecuado al riesgo.
Los Registros de Actividades de Tratamiento y Complementos
Para que el cumplimiento RGPD sea más manejable, recomendamos añadir categorías adicionales a sus registros de actividades de tratamiento. Aunque el artículo 30 esboza ciertas normas de cumplimiento y documentación, el RGPD contiene muchos más requisitos. El registro de las actividades de tratamiento es una herramienta excelente para documentar el cumplimiento de todas estas normas. Ampliar el registro de actividades de tratamiento para incluir sujetos de cumplimiento adicionales puede ayudarle a aplicar mejor RGPD y documentar su cumplimiento. Aunque esto pueda parecer más trabajo al principio, a la larga le ahorrará tiempo. Una de las complejidades del cumplimiento RGPD es el requisito de documentar el cumplimiento de todas las normas. Esto puede ser una tarea aparentemente imposible para las pequeñas empresas, pero adaptando los registros de las actividades de tratamiento, puede gestionar la documentación de su cumplimiento de forma más eficaz. Recomendamos mantener un registro de las actividades de tratamiento que abarque todas las secciones siguientes.1) Actividades de tratamiento
El primer paso para crear sus registros de actividades de tratamiento es asignar y definir todas sus actividades de tratamiento. En primer lugar, debe describir todos los procesos de su empresa en los que se tratan datos personales. Debe definir y denominar sus actividades de tratamiento forma que tengan sentido desde una perspectiva empresarial y puedan distinguirse de otras actividades de tratamiento, para no mezclarlas. Por ejemplo, una actividad de tratamiento podría ser "atención al cliente" o "promoción de ventas". Dado que estas actividades son distintas entre sí y que las llevarían a cabo distintos empleados en equipos diferentes, desde el punto de vista empresarial tiene sentido documentarlas como dos actividades de tratamiento separadas. La actividad de tratamiento "atención al cliente" implica tratamiento datos personales de clientes existentes, mientras que la "promoción de ventas" implica tratamiento datos personales para captar nuevos clientes. También sirven para fines distintos y tendrán premisas jurídicas diferentes. Una empresa típica con 50 empleados puede tener hasta 30 actividades de tratamiento, mientras que una empresa con 1.500 empleados podría tener hasta 100. La definición de actividades de tratamiento puede variar y es en parte subjetiva, ya que las empresas tienen necesidades individuales. Definir las actividades de tratamiento una manera significativa es la base del cumplimiento RGPD. La documentación RGPD GPD se basará en estas actividades, y deben ser el principal motor de la implantación RGPD en su organización para cubrir todos sus procesos. Encontrará más información al respecto en otro sitio.2) Equipo
Algunas actividades de tratamiento están relacionadas, ya que pueden referirse al mismo tema general. Por ejemplo, el equipo de RRHH puede realizar las siguientes actividades de tratamiento:- Solicitudes de empleo
- Solicitudes de empleo no solicitadas.
- Cazatalentos
- Incorporación de nuevos empleados
- Evaluaciones del rendimiento de los empleados
- Despido de empleados
- ...Y muchas más actividades de tratamiento.
- Ventas
- Marketing
- Asistencia al cliente
- Finanzas
- Recursos Humanos
- TI
- Etc.
3) Descripción de la actividad de tratamiento
Le recomendamos que describa cada una de las actividades de tratamiento con el mayor detalle posible y centrándose en el tratamiento datos personales. Esta descripción le ayudará a aclarar cómo define la actividad de tratamiento y le ayudará a distinguirla de otras actividades de tratamiento. La descripción también le servirá cuando tenga que volver para actualizar este registro de actividad de tratamiento. Además, ayudará a cualquier persona que lea sus registros de actividades de tratamiento y que no haya definido la actividad por sí misma, por ejemplo, su director general o las partes interesadas de la organización.4) Responsable o encargado del tratamiento
Como se mencionó al principio, hay una diferencia en los requisitos para mantener un registro de las actividades de tratamiento si usted es un responsable del tratamiento o un procesador de datos. Por lo tanto, debe indicar si es responsable del tratamiento o encargado del tratamiento para cada actividad de tratamiento. Esto le ayudará a identificar sus obligaciones para las distintas actividades cuando consulte los registros de actividades de tratamiento. Por ejemplo, cuando tratar datos personales como encargado del tratamiento, debe seguir los procedimientos del responsable del tratamiento tratamiento, ya que simplemente está tratamiento datos personales en su nombre. Si cree que puede estar tratamiento datos personales en nombre de otra persona, debería leer sobre el "encargado del tratamiento".5) Finalidad del tratamiento
Definir el propósito de sus actividades de tratamiento no solo es un requisito, sino que también puede ser útil para cumplir con RGPD. Según los artículos 12 a 14, los fines de sus actividades de tratamiento deben comunicarse a los interesados cuando recoja sus datos y, por lo tanto, estos fines también deben incluirse en su política de privacidad. En el tratar de definición de los fines de las actividades de tratamiento puede parecer repetitivo, ya que algunos de estos procesos son similares y pueden solaparse ligeramente. Si define los fines de dos actividades de tratamiento y descubre que son muy similares, esto podría indicar que necesita combinarlas en una sola actividad. Sin embargo, no es un requisito. Ejemplo: Atención al cliente Si nos fijamos en la finalidad del tratamiento datos personales para la "asistencia al cliente", está claro que necesita datos personales básicos para prestarles la asistencia requerida. Deberá identificar al cliente y su historial de compras. En este caso, la finalidad del tratamiento los datos personales de los clientes sería;- Para asegurarse de que ha identificado al cliente correcto,
- Ofrecer un buen servicio,
- y, lo que es más importante, cumplir las condiciones del acuerdo de compra.
6) Otros fines
También debe tener en cuenta si está tratamiento datos personales para fines distintos de los originales. Si tiene intención de seguir tratar los datos, deberá informar de ello al interesado en el momento de obtener los datos personales, de conformidad con el apartado 3 del artículo 13.7) Activos de información y procesadores de datos
El RGPD exige que tratar los datos personales de forma adecuada. El tratamiento de datos personales suele implicar el uso de algún tipo de programa informático, ya sea propio, externo o de un proveedor de servicios. Por lo tanto, le sugerimos que añada información sobre la ubicación de su tratamiento datos a sus Registros de actividades de tratamiento. Para cada actividad de tratamiento, debe especificar los activos de información que se utilizan para tratar la información. Utilizamos el término "activos de información" para referirnos a los activos que contienen información, como los datos personales. Esto incluye sistemas de software, sitios web, hojas de Excel, unidades de almacenamiento de datos, sistemas de ficheros, unidades de disco, clientes de correo, archivos y otros activos utilizados para tratar información. Algunos activos de información pueden ser software como servicio (SaaS), lo que significa que la información es procesada por terceros. Esto significa a menudo que estas partes externas son encargados del tratamiento, pero tendríamos que comprobarlo en todos los casos para confirmarlo. Ciertas actividades de tratamiento se subcontratan a menudo a consultores externos, como contables o agencias de marketing. Estas personas se consideran encargados del tratamiento tratamiento porque realizan el tratamiento por cuenta del responsable del tratamiento. Es importante determinar si encargados del tratamiento participan en las actividades de tratamiento para garantizar que el tratamiento datos cumple con RGPD cuando se lleva a cabo en su nombre. Mapear sus activos de información y encargados del tratamiento puede ayudar a su empresa a comprender los flujos de datos dentro de los sistemas y garantizar una gestión adecuada. Este mapeo también proporciona una visión organizada de los contratos y proveedores, lo que puede mejorar la gestión de compras y contratos.8) Volumen de datos
Para todas las actividades de tratamiento de datos, es importante anotar el número de personas cuyos datos se están tratando y añadir esta información a su Registro de Actividades de Tratamiento (RoPA). Esto aclarará la importancia y prioridad de la actividad en sus esfuerzos de cumplimiento RGPD, y le ayudará con su evaluación de riesgos. Una aproximación al volumen de datos es suficiente, así que no hay necesidad de enredarse en los detalles. El volumen de datos también proporciona información valiosa a la dirección de la empresa sobre la distribución tratamiento datos entre cada actividad de tratamiento.9) Datos personales
Debe enumerar todos los tipos de datos personales que se tratan en cada actividad. Esto garantizará la total transparencia de la actividad de tratamiento. Además, esta información puede utilizarse para cumplir su obligación de informar a los interesados de su tratamiento y para su evaluación de riesgos de la actividad. He aquí algunas sugerencias sobre los tipos de datos personales que podrían añadirse:- Nombre
- Apellido
- Segundo nombre
- Género
- Raza u origen étnico
- Estado civil
- Ocupación
- Puesto
- Nombre de la empresa
- Dirección de correo electrónico del trabajo
- Teléfono de trabajo
- Teléfono particular
- Información de contacto en caso de emergencia
- Diagnósticos médicos
- Información sobre el tratamiento médico
- Información sobre la prescripción
- Datos de geolocalización
10) Categorías de interesados
Debe describir las categorías de interesados en los registros de actividades de tratamiento. Ejemplos de categorías de interesados podrían ser:- Menores de 16 años.
- Clientes
- Pensionistas
- Pacientes
- Delincuentes, etc.
11) Categorías de datos personales
También debe registrar las categorías de datos personales en los registros de actividades de tratamiento. Estas categorías de datos personales son:- Datos personales (o datos personales generales).
- Categorías especiales de datos personales
- Datos personales relativos a condenas e infracciones penales.
- Raza y origen étnico
- Creencias políticas
- Creencias religiosas o filosóficas
- Afiliación sindical
- Datos genéticos
- Datos biométricos para una identificación única
- Información sanitaria
- Relaciones sexuales u orientación sexual.
12) Base jurídica del tratamiento
El artículo 30 no establece explícitamente que deba inscribirse la base jurídica del tratamiento datos personales en los registros de actividades de tratamiento. Sin embargo, según los artículos 13-14, debe proporcionar al interesado información sobre la base jurídica del tratamiento en el momento en que se obtienen los datos personales. Por lo tanto, es una buena práctica dejar constancia de la base jurídica de sus actividades de tratamiento de datos en sus registros de actividades de tratamiento. Esto garantiza que dicha información esté fácilmente disponible para todas sus actividades de tratamiento. Además, anotar la base jurídica en la RoPA le ayuda a documentar que está cumpliendo con el RGPD, que es un requisito según el artículo 5 del RGPD. Usted siempre debe tener una base legal para el tratamiento datos personales en el artículo 6 del RGPD - de lo contrario su tratamiento datos personales sería ilegal. Una empresa típica podrá utilizar la siguiente base jurídica para el tratamiento datos personales:- Artículo 6(a) "consentimiento".
- Ejemplo: Cuando alguien se suscribe a su boletín, debe dar su consentimiento para que usted le envíe el boletín por correo electrónico.
- Artículo 6(b) "contrato".
- Ejemplo: Al celebrar un contrato con un cliente, a menudo es necesario tratar datos sobre ese cliente.
- Artículo 6(c) "obligaciones legales".
- Ejemplo: A efectos contables, la legislación contable le obliga a tratar facturas y documentos similares.
- Artículo 6(f) "intereses legítimos".
- Ejemplo: Supervisar la actividad web dentro de una organización puede ser un interés legítimo con fines de seguridad informática.
Datos personales sensibles.
Si tratar datos personales sensibles, debe tener una base jurídica para tratamiento conforme al artículo 9, además del artículo 6. Por lo tanto, es necesaria una base jurídica tanto en el artículo 6 como en el artículo 9 del RGPD. Esto sugeriría que también debería añadir su premisa legal para el tratamiento datos personales sensibles a sus registros de actividades de tratamiento cuando este pudiera ser el caso. Una empresa típica puede tratar datos personales sensibles sobre sus empleados si están relacionados con un problema de salud que afecte a la empresa, como la baja por enfermedad de un empleado. También puede ser relevante para la organización registrar si un empleado es miembro de un determinado sindicato. Estos ejemplos de datos personales sensibles pueden tratarse sobre la base jurídica del artículo 9, apartado 2, letra b), ya que el empresario debe cumplir la legislación laboral y sus obligaciones en materia de seguridad social.13) Leyes relacionadas
Las actividades empresariales se ven a menudo afectadas por diversas leyes, como las normativas laborales, las leyes de construcción o las leyes de consumo, entre otras. Estas leyes pueden obligar a las organizaciones a tratar los datos personales de determinadas formas, como mantener una duración mínima de almacenamiento requerida. Por lo tanto, sería útil incluir cualquier información sobre la normativa relacionada que cubra la actividad de tratamiento.14) Fuente de datos
En el contexto del RGPD, es necesario distinguir entre la obtención de datos personales directamente del interesado o de terceros. Cuando los datos personales se obtengan del interesado, deberá facilitar información sobre el tratamiento los datos personales con arreglo al artículo 13 y, cuando se obtengan por otros medios, con arreglo al artículo 14. Cuando los datos personales no se hayan obtenido del sujeto, está obligado a informar de qué fuente proceden los datos personales y, en su caso, si proceden de fuentes accesibles al público. Por tanto, si mantiene un registro de esta información, podrá utilizarla como indicador de la información que debe facilitar al interesado al obtener sus datos. Será su lista de comprobación sobre cómo cumplir los artículos 13 y 14 en todas sus actividades de tratamiento.15) Métodos de recogida de datos
El requisito de los artículos 13-14 es que usted proporcione información al interesado en el momento de recoger sus datos para la actividad de tratamiento. Por lo tanto, debe hacer un seguimiento de cómo facilita esta información en la práctica, para poder garantizar el cumplimiento en estos casos. Por ejemplo, los datos recogidos podrían obtenerse de un formulario de contacto de un sitio web, cuando un cliente se suscribe al boletín de noticias. También podría obtenerse a través de una conversación telefónica entre un agente del servicio de atención al cliente y un cliente que presenta una queja. Registrar las fuentes de datos en sus registros de actividades de tratamiento añade transparencia a su actividad de tratamiento y le permite proporcionar información adicional a los interesados, como un enlace a su política de privacidad. El RGPD le exige que documente su cumplimiento. Al mantener un registro de las fuentes utilizadas en las actividades de tratamiento, puede mejorar su documentación de cumplimiento RGPD. También debe asegurarse de que sus sistemas de software están correctamente configurados para proporcionar información al interesado y de que el tratar de suministro de esta información cumple con RGPD. Por ejemplo, si tratamiento basa en el consentimiento, debe poder demostrar que el interesado ha dado su consentimiento para tratar sus datos, y que usted le ha facilitado información sobre el tratamiento sus datos en el momento de recabarlos.16) ¿Cómo se facilita la información al interesado?
Es necesario proporcionar información al interesado cuando se recogen sus datos personales y, para gestionarlo eficazmente, debe especificar cómo se hace. Es probable que sus actividades de tratamiento tengan distintas formas de recoger los datos y, por tanto, también distintas formas de proporcionar la información necesaria a los interesados. Una forma de informar al interesado de esta confirmación en un intercambio de correo electrónico podría ser proporcionar un enlace a su política de privacidad a través de su firma de correo. En atención al cliente, podría ser un enlace a su política de privacidad a través de un módulo de chat antes de que se inicie el chat. Hay muchas otras formas, y dependen de su tratamiento datos específico. Añadir esta información a sus registros de actividades de tratamiento le ayuda a documentar el cumplimiento RGPD.17) Divulgación de datos personales
Si tiene previsto revelar datos a otro destinatario, debe informar al interesado a más tardar en el momento de la primera revelación de los datos personales. Ejemplo de divulgación: Un médico puede tener que revelar el historial médico de un paciente a una compañía de seguros o a la seguridad social para que el paciente reciba una ayuda. La información sobre la divulgación debe añadirse a su política de privacidad si divulga los datos a otros destinatarios, por lo que sería útil añadirla a los registros de actividades de tratamiento.18) Acceso de terceros a los datos personales
¿Contrata consultores de marketing, contabilidad, informática, inteligencia artificial o abogados? Entonces podrían acceder a los datos personales de su empresa al prestar su servicio. Son partes externas, ya que no están empleadas en su organización. Como las partes externas no forman parte de su organización, debe limitar su acceso a los datos personales bajo su control. Además, cualquier parte externa tratamiento datos personales bajo su control debe recibir directrices sobre cómo tratar datos personales, recibir formación sobre estas directrices y rendir cuentas mediante un contrato. Considere si las partes externas que tratar datos personales en su nombre están clasificadas como encargados del tratamiento. Si lo son, tendrá que cumplir las normas RGPD que se aplican a los encargados del tratamiento. Entre otras cosas, tendrá que firmar un acuerdo de tratamiento datos. Las partes externas también podrían ser simplemente contratistas que tienen acceso a datos personales, pero sin que el tratamiento los datos sea la finalidad de su trabajo, es decir. no serían encargados del tratamiento. Este podría ser el caso de profesionales ocasionales de reparación de hardware, informáticos, autónomos de marketing, abogados, contables, trabajadores temporales, etc. Estos contratistas están a medio camino entre ser encargados del tratamiento, empleados y controladores por derecho propio. Para garantizar la responsabilidad y el cumplimiento de sus políticas de tratamiento datos personales, puede hacer que el contratista firme un acuerdo de confidencialidad. Es importante documentar en sus registros cuándo las partes externas tienen acceso a sus actividades de tratamiento. Esto le permite evaluar las funciones de cada profesional implicado en las actividades de tratamiento. Al hacerlo, sus registros de actividades de tratamiento pueden convertirse en una herramienta de gestión útil para el cumplimiento RGPD.19) Transferencias a terceros países
Los terceros países, con respecto al RGPD, se refieren a cualquier país fuera de la UE o del EEE (Noruega, Islandia, Liechtenstein). Ejemplos de terceros países son Estados Unidos, China, India, Australia, Canadá y muchos otros. Se produce una transferencia de datos personales cuando éstos se tratan en terceros países. Esto podría implicar tener acceso de lectura, almacenar información o editar información. Muchas soluciones de software de uso común son propiedad de empresas con sede en Estados Unidos o hacen uso de servidores alojados en empresas con sede en Estados Unidos, como Amazon Web Services, Microsoft Azure o Google Cloud, para tratar sus datos. El uso de estas soluciones suele implicar la transferencia de datos personales a un tercer país, lo que indica que estas transferencias son habituales. Cuando se transfieren datos personales a terceros países, es necesario tener una base jurídica para hacerlo. Por lo tanto, es importante evaluar todas las actividades de tratamiento para las transferencias a terceros países, incluidas las transferencias a socios, subdivisiones, contratistas, proveedores de software, etc., que estén situados en terceros países.20) Fundamento jurídico de la transferencia a un tercer país
Si ha determinado que transfiere datos a terceros países, tendrá que determinar cómo cumplir las condiciones especificadas en el capítulo 5 del RGPD. Estas condiciones le exigen una base jurídica para cualquier transferencia a terceros países. El capítulo 5 del RGPD establece las siguientes bases jurídicas para las transferencias a terceros países:- Artículo 45: Transferencias basadas en una decisión de adecuación
- Artículo 46: Transferencias mediante garantías adecuadas
- Artículo 47: Normas corporativas vinculantes
- Artículo 48: Transferencias o comunicaciones no autorizadas por el Derecho de la Unión
- Artículo 49: Excepciones para situaciones específicas
21) Limitación de almacenamiento
Al documentar sus actividades de tratamiento, es obligatorio documentar los"plazos previstos para la supresión de las distintas categorías de datos". Por lo tanto, debe incluir esta información para todas sus actividades de tratamiento. El RGPD también exige la supresión de los datos personales una vez que ya no sean necesarios para los fines tratamiento, de conformidad con el principio de limitación del almacenamiento recogido en el artículo 5. Las limitaciones al almacenamiento de datos personales pueden suponer un reto para las empresas, por lo que es importante abordarlas con diligencia. Para garantizar el cumplimiento RGPD en su flujo de trabajo diario, también debe determinar cómo eliminar estos datos. Hay que tener en cuenta dos aspectos:- ¿Qué acontecimiento o acción indica que el tratamiento datos personales ya no es necesario para una actividad de tratamiento?
- Por ejemplo, cuando un usuario cancela una suscripción de pago.
- ¿Durante cuánto tiempo se almacenarán los datos personales tras el suceso desencadenante?
- Por ejemplo, el perfil del usuario se borrará inmediatamente después de la cancelación.
- Un usuario cancela una suscripción de pago.
- Se cancela una suscripción al boletín.
- Se publica un informe anual.
- Se ha prestado y completado un servicio para el cliente.