Auditorías Internas

PLAN DE AUDITORÍA INTERNA DE DIGIWAY PARA EVALUAR EL CUMPLIMIENTO DE LAS POLÍTICAS DE TRATAMIENTO DE DATOS PERSONALES

1. OBJETIVO El presente plan tiene como objetivo evaluar el grado de cumplimiento de Digiway en relación con las políticas de tratamiento de datos personales, asegurando el respeto a la privacidad de los usuarios y el cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013 y demás normativas aplicables en Colombia.

2. ALCANCE La auditoría abarcará todos los procesos relacionados con la recolección, almacenamiento, uso, transferencia y eliminación de datos personales dentro de Digiway, incluyendo las áreas de tecnología, recursos humanos, servicio al cliente y marketing.

3. FRECUENCIA Las auditorías internas se realizarán de manera semestral. Adicionalmente, podrán llevarse a cabo auditorías extraordinarias en caso de incidentes de seguridad o cambios normativos que requieran una verificación inmediata.

4. METODOLOGÍA La auditoría interna se desarrollará en cuatro fases:

4.1 Planeación

• Definir el alcance específico de cada auditoría.
• Designar el equipo auditor, compuesto por el Oficial de Protección de Datos y personal del área de cumplimiento y seguridad de la información.
• Establecer los criterios de evaluación y los indicadores clave de desempeño (KPIs).

4.2 Ejecución

• Revisión documental de la Política de Tratamiento de Datos y de los registros de autorización de los titulares.
• Evaluación de los sistemas y medidas de seguridad implementadas para la protección de la información.
• Inspección de las prácticas operativas en el manejo de datos.
• Realización de entrevistas con el personal clave para verificar el conocimiento y cumplimiento de los protocolos.
• Simulación de incidentes para probar la efectividad de los planes de respuesta.

4.3 Análisis de Resultados

• Identificación de incumplimientos o riesgos en el tratamiento de datos personales.
• Comparación de los hallazgos con los estándares legales y normativos.
• Elaboración de un informe con hallazgos, riesgos y recomendaciones.

4.4 Seguimiento y Correctivos

• Definición de acciones correctivas con responsables y plazos de implementación.
• Monitoreo continuo del avance en la corrección de hallazgos.
• Revisión de mejoras implementadas en auditorías posteriores.

5. CRITERIOS DE EVALUACIÓN La auditoría se basará en los siguientes criterios:

• Existencia y actualización de la Política de Tratamiento de Datos.
• Registro y almacenamiento de autorizaciones de los titulares.
• Medidas de seguridad aplicadas a la información personal.
• Cumplimiento de procedimientos en la recolección y uso de datos.
• Protocolos de respuesta ante incidentes de seguridad.
• Capacitación del personal en materia de protección de datos.

6. INFORME DE AUDITORÍA Una vez finalizada la auditoría, se emitirá un informe detallado que incluirá:

• Resumen de hallazgos.
• Riesgos identificados y su impacto.
• Acciones correctivas recomendadas.
• Plan de implementación y seguimiento.

7. RESPONSABLES El Oficial de Protección de Datos de Digiway será el encargado de liderar las auditorías internas y coordinar la implementación de mejoras. Las áreas involucradas deberán colaborar proporcionando la información necesaria y ejecutando los correctivos recomendados.

Requerimiento de Legitimación y Delegación en el Tratamiento de Datos Personales

El responsable del tratamiento debe asegurarse de estar legitimado para recolectar, almacenar, procesar y usar datos personales, en cumplimiento con las disposiciones legales vigentes y con la autorización expresa del titular o bajo causales permitidas por la ley. Asimismo, únicamente podrán ejecutar actividades relacionadas con el tratamiento de datos aquellas personas autorizadas dentro de la organización, según sus funciones y conforme a las finalidades previamente establecidas.

---

Roles y Funciones en el Tratamiento de Datos en Digiway

1. Responsable del Tratamiento (Digiway Group)

Digiway, como organización, actúa como responsable del tratamiento de los datos personales recolectados en el ejercicio de sus funciones comerciales, contractuales, administrativas y de servicio.

Funciones:

• Garantizar que el tratamiento de datos se base en una causa legítima: consentimiento, relación contractual, deber legal, entre otras.
• Establecer políticas internas claras sobre el tratamiento de datos y asegurar su correcta difusión y aplicación.
• Validar que las actividades relacionadas con datos personales estén dentro del marco legal y se correspondan con los fines autorizados.
• Mantener evidencia documental de la autorización del titular o de la base jurídica aplicable en cada caso.
• Atender y gestionar los derechos de los titulares de datos personales (acceso, corrección, supresión, revocatoria, entre otros).

2. Coordinador Interno de Protección de Datos (Responsabilidad funcional asignada)

Persona o área designada por la dirección para liderar la implementación, seguimiento y mejora de las prácticas de protección de datos.

Funciones:

• Coordinar las auditorías internas de cumplimiento en protección de datos personales.
• Identificar oportunidades de mejora en los procesos de tratamiento e impulsar su implementación.
• Acompañar a las áreas funcionales en la correcta interpretación de las normas y políticas internas.
• Validar que todo tratamiento de datos realizado por los equipos esté debidamente autorizado y documentado.
• Consolidar y resguardar el registro de actividades de tratamiento.

3. Áreas Funcionales Involucradas (Comercial, Marketing, Soporte, Talento Humano, Tecnología, etc.)

Funciones:

• Recolectar y tratar datos personales exclusivamente para los fines definidos por la organización y autorizados por el titular.
• Aplicar los procedimientos de seguridad y confidencialidad establecidos en las políticas internas.
• Reportar oportunamente cualquier anomalía, incidente de seguridad o tratamiento inadecuado.
• Participar activamente en los procesos de auditoría interna y en la implementación de correctivos.
• Mantener actualizada la documentación y los registros relacionados con el tratamiento de datos bajo su responsabilidad.

---

Observaciones Finales

El cumplimiento normativo en materia de protección de datos personales es una responsabilidad compartida dentro de Digiway. Cada rol involucrado debe actuar con diligencia, transparencia y respeto a los derechos de los titulares, garantizando que toda actividad relacionada con datos personales esté respaldada por una base legal válida y se mantenga dentro de los límites definidos por la ley y las políticas de la organización.

8. MEJORA CONTINUA Digiway se compromete a revisar y actualizar periódicamente sus políticas y procedimientos de tratamiento de datos personales, basándose en los resultados de las auditorías y en los cambios regulatorios que puedan surgir.