Utilizamos cookies para ofrecer a nuestras visitas una experiencia transparente y cómoda a la hora de navegar por nuestra página web. Al utilizar nuestra página web acepta el uso de cookies; puede obtener más información sobre las cookies y su uso en nuestra web en la sección de Política de cookies

Adaptación al Reglamento General de Protección de Datos (RGPD)

¿Qué es el Reglamento General de Protección de Datos (RGPD)?

El nuevo Reglamento General de Protección de Datos (RGPD) aprobado en abril de 2016 por la Unión Europea y de aplicación obligatoria el 25 de mayo de 2018, constituye un nuevo marco jurídico sobre la protección de los datos personales.

Uno de los principales objetivos de la nueva normativa es el de aumentar la protección a las personas físicas ante el tratamiento y la libre circulación de cualquier tipo de datos personales en un contexto de actividades profesionales.

El RGPD está diseñado para otorgar mayor seguridad y control a las personas sobre su información personal, así como para establecer unas reglas comunes en toda Europa de protección de dicha información.

Con todo ello, se dará mayor control de sus datos personales a los ciudadanos, ampliando sus derechos a decidir cómo desean que sus datos sean tratados y cómo quieren recibir información de las empresas.

Adapta tu empresa al nuevo Reglamento General de Protección de Datos

El proceso de adaptación al RGPD no es técnicamente fácil, por lo que será importante para las empresas contar con un asesoramiento jurídico especializado que ofrezca suficientes garantías.

Protección de datos desde el diseño y por defecto

El Reglamento introduce los conceptos de privacidad desde el diseño y privacidad por defecto.

El responsable aplicará las medidas técnicas y organizativas adecuadas para garantizar que, por defecto, sólo se traten los datos personales necesarios para cada finalidad específica del tratamiento.

Esto implica que el responsable aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del tratamiento mismo, las medidas técnicas y organizativas adecuadas (seudoanonimización, el cifrado y las garantías de confidencialidad, integridad, disponibilidad y resiliencia), concebidas para aplicar de manera efectiva los principios de protección de datos, e integrar las garantías necesarias en el tratamiento, para cumplir los requerimientos del Reglamento.

Dos elementos de carácter general constituyen la mayor innovación del RGPD para los responsables y se proyectan sobre todas las obligaciones de las organizaciones:

El RGPD describe este principio como la necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas afín de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento.

En términos prácticos, este principio requiere que las organizaciones analicen qué datos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo. A partir de este conocimiento deben determinar de forma explicita la forma en que aplicaran las medidas que el RGPD prevé́, asegurándose de que esas medidas son las adecuadas para cumplir con el mismo y de que pueden demostrarlo ante los interesados y ante las autoridades de supervisión.

En síntesis, este principio exige una actitud consciente, diligente y proactiva por parte de las organizaciones frente a todos los tratamientos de datos personales que lleven a cabo.

El RGPD señala que las medidas dirigidas a garantizar su cumplimiento deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así́ como el riesgo para los derechos y libertades de las personas.

De acuerdo con este enfoque, algunas de las medidas que el RGPD establece se aplicaran solo cuando exista un alto riesgo para los derechos y libertades, mientras que otras deberán modularse en función del nivel y tipo de riesgo que los tratamientos presenten.

La aplicación de las medidas previstas por el RGPD debe adaptarse, por tanto, a las características de las organizaciones. Lo que puede ser adecuado para una organización que maneja datos de millones de interesados en tratamientos complejos que involucran información personal sensible o volúmenes importantes de datos sobre cada afectado no es necesario para una pequeña empresa que lleva a cabo un volumen limitado de tratamientos de datos no sensibles.

La oferta de SAPD es la Adaptación Total a las exigencias de la RGPD. A todas y al 100%.

SAPD: Marcamos la diferencia en protección de datos

La oferta de SAPD es la Adaptación Total a las exigencias de la RGPD

Una amplia gama de productos y servicios de reconocida calidad nos permite dar respuesta prácticamente a cualquier necesidad en torno a la Protección de Datos.

SAPD se ha posicionado como el proveedor que realiza auditorías de Protección de Datos completas y que además proporciona herramientas informáticas diseñadas para automatizar el mantenimiento que exige la Ley.

Cumplir con la RGPD no sólo implica una única adaptación, sino es un proceso continuo que implica una elevada carga de trabajo para la persona denominada Responsable de Seguridad. Para facilitar y simplificar el trabajo del Responsable de Seguridad de la empresa, las soluciones que ofrece SAPD, engloban herramientas para automatizar el mantenimiento de la documentación de Protección de Datos.

Cumplir con la RGPD: un camino conjunto

Cumplir con el RGPD es garantizar la Protección de Datos de carácter personal en toda la actividad de la empresa. Para SAPD, además, es un trabajo en equipo. Analizamos conjuntamente sus procesos y necesidades, implantamos un modelo que asegura la conformidad con la ley a nivel jurídico y tecnológico y proporcionamos herramientas para facilitar el día a día de las personas implicadas. Cada cliente tiene necesidades individuales. Sin embargo, lo que casi todos tienen en común es que la Protección de Datos es algo que simplemente debe funcionar sin generar incidencias y excesivas dedicaciones. Las soluciones de SAPD están hechas a medida de esta necesidad:

  • Realizamos las Auditorías presencialmente en su empresa. Su consultor SAPD supervisa todo su proyecto de principio a fin.

  • Basado en el análisis inicial, implantamos todas las medidas de seguridad que exige la RGPD.

  • Automatizamos el cumplimiento de importantes obligaciones del Responsable de Seguridad (actualización del documento de seguridad, de ficheros de acceso, etc.), facilitando así al máximo el trabajo de sus colaboradores implicados.

  • ¡Despreocúpese! Nosotros gestionamos y mantenemos totalmente su proyecto RGPD.

En definitiva, SAPD le propone una solución completa y sostenible a la problemática de la Protección de Datos, facilitando considerablemente la labor de mantenimiento a la persona responsable en la empresa.

Servicio de adaptación RGPD

Sanciones por incumplimiento de la RGPD

El nuevo RGPD será una norma todavía más estricta que la LOPD. Las sanciones a las empresas pueden llegar al 4% de la facturación anual mundial o a los 20 millones de euros (lo que sea mayor).

Sanciones <b>RGPD</b> Vs LOPD

Empiece hoy a cumplir la RGPD

PRINCIPALES NOVEDADES DEL RGPD

El nuevo Reglamento Europeo de Protección de Datos (GDPR) será aplicable a partir del próximo 25 de mayo de 2018. Con ello, surgen dudas en todas las empresas respecto a cómo se deben tratar los datos personales de clientes, trabajadores y proveedores.

Principales novedades del RGPD

¿Qué hay que hacer para cumplir con esta nueva ley europea de protección de datos?

Es necesario adaptar todos los procedimientos de la LOPD al nuevo RGPD. Por ello explicamos las principales novedades del nuevo reglamento de protección de datos.

En la LOPD, existía el Registro de ficheros en la Agencia de Protección de Datos. El RGPD suprime, a partir del 25 de mayo de 2018, la necesidad de crear formalmente los ficheros y notificarlos a las autoridades de control.

El Reglamento General de Protección de Datos establece dos nuevas categorías de datos añadidas a las que ya existían en la LOPD.

Estas son los datos genéticos y los datos biométricos:

  • Datos genéticos: datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionan una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica.
  • Datos biométricos: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de esta persona (imágenes faciales, datos dactiloscópicos, etc.).
(ampliación del deber de información)

El RGPD introduce nuevos derechos adicionales a los ya existentes (derechos ARCO por el acrónimo de Acceso, Rectificación, Cancelación y Oposición) en la normativa de protección de como son el derecho a la portabilidad del dato y el derecho a la limitación en el tratamiento.

El nuevo Reglamento de Protección de datos amplía los tratamientos sobre los que es necesario informar con los aspectos siguientes:

  • Los datos de contacto del delegado de protección de datos.
  • La base jurídica del tratamiento.
  • Los intereses legítimos perseguidos en que se fundamente el tratamiento.
  • La intención de transferir los datos a un tercer país o a una organización internacional.
  • El plazo de conservación de los datos.
  • Derecho a la portabilidad de los datos personales.
  • Derecho a retirar en cualquier momento el consentimiento.
  • Si la comunicación de datos es un requisito legal o contractual o un requisito necesario para suscribir un contrato.
  • Derecho a presentar una reclamación ante una autoridad de control.
  • Existencia de decisiones automatizadas, incluida la lógica aplicada y sus consecuencias.

El RGPD prevé que la información a los interesados, tanto respecto a las condiciones de los tratamientos que les afecten como en las respuestas a los ejercicios de derechos, se proporcione de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. En este aspecto, va más allá de lo dispuesto por la LOPD, que tan sólo exige que la información se preste de modo expreso, preciso e inequívoco.

El RGPD prevé que la información a los interesados se facilite por escrito, incluidos, cuando sea apropiado, los medios electrónicos.

El RGPD requiere que el interesado preste el consentimiento mediante una declaración inequívoca o una acción afirmativa clara. A efectos del nuevo Reglamento las casillas ya marcadas, el consentimiento tácito o la inacción no constituirán un consentimiento válido.

El RGPD señala también que los tratamientos iniciados con anterioridad al inicio de su aplicación sobre la base del consentimiento seguirán siendo legítimos siempre que ese consentimiento se hubiera prestado del modo en que prevé el propio RGPD, es decir, mediante una manifestación o acción afirmativa.

Esa adaptación puede llevarse a cabo obteniendo un consentimiento de los interesados acorde con las disposiciones del RGPD o valorando si los tratamientos afectados pueden apoyarse en otra base legal como puede ser, entre otras, el interés legítimo del responsable o del cesionario de los datos que prevalezca sobre los derechos del interesado.

El RGPD contempla algunas situaciones en que el consentimiento ha de ser explícito. Esta garantía adicional afecta a:

  • Tratamiento de categorías especiales de datos
  • Adopción de decisiones automatizadas
  • Transferencias internacionales

Aunque las diferencias entre el consentimiento inequívoco, tal y como lo define el RGPD, y el consentimiento explícito pueden parecer difíciles de apreciar, hay situaciones en que el consentimiento puede ser inequívoco y otorgarse de forma implícita, como por ejemplo cuando se deduce de una acción del interesado que decide seguir navegando por una página web y acepta así el que se utilicen cookies para monitorizar su navegación.

En el ámbito de los servicios de la sociedad de la información, el consentimiento de los menores sólo será válido si tienen más de 16 años. Sin embargo, los estados miembros de la UE pueden rebajar la edad hasta los 13 años.

Además, el lenguaje utilizado para informarles les debe ser comprensible.

El RGPD incorpora el derecho al olvido, como un derecho vinculado al derecho de supresión, el derecho a la limitación del tratamiento y el derecho a la portabilidad:

Los interesados tienen derecho a obtener la supresión de los datos ("derecho al olvido") cuando:

  • Los datos ya no sean necesarios para la finalidad para la que fueron recogidos.
  • Se revoque el consentimiento en el que se basaba el tratamiento.
  • El interesado se oponga al tratamiento.
  • Los datos se hayan tratado ilícitamente.
  • Los datos se tengan que suprimir para el cumplimiento de una obligación legal.
  • Los datos se hayan obtenido en relación con la oferta de servicios de la sociedad de la información dirigidos a menores.

Cuando el responsable haya hecho públicos los datos personales y se tengan que suprimir, adoptará medidas razonables para informar de la supresión a los responsables que están tratando los datos.

Excepciones:

  • El ejercicio del derecho a la libertad de expresión e información.
  • El cumplimiento de una obligación legal.
  • La existencia de fines de archivo en interés público, de investigación científica o histórica o fines estadísticos.
  • La formulación, el ejercicio o la defensa de reclamaciones.
  • Derecho a la limitación del tratamiento.

Un derecho del interesado es la limitación de tratamiento. Por ello, no debe confundirse con el bloqueo de datos actualmente existente en la legislación española.

La limitación de tratamiento supone que, a petición del interesado, no se aplicarán a sus datos personales las operaciones de tratamiento que en cada caso corresponderían.

Una consecuencia de esta regulación es que impide una práctica que se sigue en ocasiones y que consiste en borrar los datos cuando se ejercitan otros derechos, como el de acceso, ya que impediría el ejercicio del derecho a la limitación del tratamiento.

El derecho a la portabilidad de los datos es una forma avanzada del derecho de acceso en la que la persona interesada tiene derecho a recibir los datos personales que le afectan que haya facilitado a un responsable del tratamiento en un formato estructurado, de uso común y de lectura mecánica, y transmitirlos a otro responsable.

Incluye el derecho a que los datos se transmitan directamente de responsable a responsable, cuando sea técnicamente posible.

El RGPD no establece un modo concreto para el ejercicio de derechos, pero sí requiere a los responsables que posibiliten la presentación de solicitudes por medios electrónicos, especialmente cuando el tratamiento se realiza por esos medios.

Con carácter general, el RGPD exige a los responsables que faciliten a los interesados el ejercicio de sus derechos. Este mandato supone que los procedimientos y formas para ello deben ser visibles, accesibles y sencillos.

Esta obligación exige articular procedimientos que permitan fácilmente que los interesados puedan acreditar que han ejercido sus derechos por medios electrónicos, algo que actualmente no es viable en muchas ocasiones.

El responsable deberá informar al interesado sobre las actuaciones derivadas de su petición dentro del plazo de un mes, que podrá extenderse dos meses más cuando se trate de solicitudes especialmente complejas.

Esa ampliación del plazo debe notificarse dentro del primer mes. Si el responsable decide no atender la solicitud, deberá informar de ello, motivando su negativa, dentro del plazo de un mes desde su presentación.

El RGPD modifica algunos principios definidos en la LOPD y contiene nuevas obligaciones que deben ser analizadas y aplicadas por cada organización teniendo en cuenta sus propias circunstancias.

Dos elementos de carácter general constituyen la mayor innovación del RGPD para los responsables:

  • El principio de “responsabilidad proactiva”
  • El “enfoque de riesgo”

El RGPD señala que las medidas dirigidas a garantizar su cumplimiento deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas.

De acuerdo con este enfoque, algunas de las medidas que el RGPD establece se aplicarán sólo cuando exista un alto riesgo para los derechos y libertades, mientras que otras deberán modularse en función del nivel y tipo de riesgo que los tratamientos presenten.

El RGPD no establece un listado de las medidas de seguridad que son de aplicación de acuerdo con la tipología de datos objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas adecuadas al riesgo que conlleva el tratamiento. Ello implicará tener que hacer una evaluación de los riesgos asociados a cada tratamiento, para determinar las medidas de seguridad a implementar.

El Reglamento de Protección de Datos amplía el contenido mínimo del contrato de encargo de tratamiento.

El contrato deberá prever los siguientes puntos adicionales respecto al contenido que ya establecía la LOPD:

  • el objeto y la duración del encargo;
  • la naturaleza del tratamiento;
  • el tipo de datos personales;
  • las categorías de interesados;
  • las obligaciones y los derechos del responsable;
  • la previsión de que las personas que deberán tratar los datos se han comprometido a mantener la confidencialidad;
  • la asistencia del encargado al responsable para que pueda atender las solicitudes de ejercicio de derechos;
  • la supresión o la devolución de los datos al finalizar el encargo;
  • la obligación de poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del encargado del tratamiento y para permitir y contribuir a la realización de auditorías e inspecciones por parte del responsable o de otro auditor autorizado por el responsable.

El RGPD, tiene obligaciones expresamente dirigidas a los encargados. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad, pero en determinadas materias los encargados tienen obligaciones propias que establece el RGPD, que no se circunscriben al ámbito del contrato que los une al responsable y que pueden ser supervisadas separadamente por las autoridades de protección de datos.

Por ejemplo, los encargados deben mantener un registro de actividades de tratamiento, deben determinar las medidas de seguridad aplicables a los tratamientos que realizan o deben designar a un Delegado de Protección de Datos en los casos que prevé el RGPD.

El RGPD establece explícitamente que los responsables habrán de elegir únicamente encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del Reglamento.

Esta previsión se extiende también a los encargados cuando subcontraten operaciones de tratamiento con otros subencargados.

El tipo de análisis variará en función de los tipos de tratamiento, de la naturaleza de los datos que se traten, del número de interesados afectados o de la cantidad y variedad de tratamientos que una misma organización lleve a cabo.

Cuando sea probable que un tratamiento, por su naturaleza, alcance, contexto o finalidades, suponga un riesgo alto para los derechos y libertades de las personas físicas, el responsable debe hacer una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales antes de iniciar el tratamiento.

En el RGPD identifica específicamente tres supuestos en que se considera que los tratamientos conllevan un alto riesgo:

  • Elaboración de perfiles sobre cuya base se tomen decisiones que produzcan efectos jurídicos sobre los interesados o que les afecten significativamente de modo similar
  • Tratamiento a gran escala de datos sensibles
  • Observación sistemática a gran escala de una zona de acceso público

El modelo de transferencias internacionales sólo podrán ser comunicados fuera del Espacio Económico Europeo:

  • A países, territorios o sectores específicos (el RGPD incluye también organizaciones internacionales) sobre los que la Comisión haya adoptado una decisión reconociendo que ofrecen un nivel de protección adecuado.
  • Cuando se hayan ofrecido garantías adecuadas sobre la protección que los datos recibirán en su destino.
  • Cuando se aplique alguna de las excepciones que permiten transferir los datos sin garantías de protección adecuada por razones de necesidad vinculadas al propio interés del titular de los datos o a intereses generales.
  • Desde el punto de vista de los responsables y encargados que actualmente realizan transferencias internacionales o que las efectuarán en el marco del RGPD, hay algunas novedades a tener en cuenta:
  • Las decisiones de adecuación que la Comisión ha adoptado con anterioridad a la aplicación del RGPD seguirán siendo válidas, y por tanto podrán seguir realizándose transferencias basadas en ellas, en tanto la Comisión no las sustituya o derogue.
  • Las decisiones de la Comisión estableciendo cláusulas tipo para los contratos en los que se establecen garantías para las transferencias internacionales seguirán siendo válidas hasta que la Comisión las sustituya o derogue.
  • Las autorizaciones de transferencias que las autoridades nacionales de protección de datos hayan otorgado sobre la base de garantías contractuales seguirán siendo válidas en tanto las autoridades no las revoquen.
  • Las garantías sobre la protección que recibirán los datos en destino las debe ofrecer el exportador, que podrá ser tanto un responsable como un encargado de tratamiento.
  • Se amplía la lista de posibles instrumentos para ofrecer garantías, incluyéndose expresamente, entre otros, las Normas Corporativas Vinculantes para responsables y encargados, los códigos de conducta y esquemas de certificación, así como los cláusulas contractuales modelo que puedan aprobar las autoridades de protección de datos.
  • En los casos de Normas Corporativas Vinculantes, cláusulas contractuales estándar, códigos de conducta y esquemas de certificación, la transferencia no requerirá la autorización de las autoridades de supervisión.

Se añade una excepción al listado que en su momento estableció la Directiva 95/46. Se trata de la posibilidad de que el responsable pueda transferir datos a un país sin nivel adecuado de protección cuando esa transferencia sea necesaria para satisfacer intereses legítimos imperiosos del responsable y la transferencia no es repetitiva y afecta sólo a un número limitado de interesados. En todo caso, la transferencia solo será posible si no prevalecen los derechos, libertades e intereses de los afectados y deberá comunicarse a la autoridad de protección de datos

El Delegado de Protección de Datos, deberá contar con conocimientos especializados del Derecho, y obviamente en protección de datos y que actuará de forma independiente, se le atribuyen una serie de funciones reguladas en el artículo 39 del RGPD, entre las que destacan informar y asesorar, así como supervisar el cumplimiento del citado RGPD por parte del responsable o encargado.

Incluye el derecho a que los datos se transmitan directamente de responsable a responsable, cuando sea técnicamente posible.

Será necesario designar un delegado de protección de datos en los casos siguientes:

  • Cuando el tratamiento lo realice una autoridad u organismo público (excepto juzgados y tribunales). En este caso, se podrá designar un único delegado de protección de datos para diversas de estas autoridades u organismos.
  • Cuando el tratamiento requiera la observación habitual y sistemática de interesados a gran escala.
  • Cuando el tratamiento tenga por objeto categorías especiales de datos personales o datos relativos a condenas o infracciones penales.

El delegado de protección de datos tendrá entre otras las siguientes funciones:

  • Informar y asesorar al responsable o al encargado y a los trabajadores sobre las obligaciones que impone la normativa de protección de datos.
  • Supervisar el cumplimiento de la normativa.
  • Asesorar respecto de la evaluación de impacto relativa a la protección de datos.
  • Cooperar con la autoridad de control.
  • Actuar como punto de contacto para cuestiones relativas al tratamiento.

La designación del delegado de protección de datos y sus datos de contacto deben hacerse públicos por los responsables y encargados y deberán ser comunicados a las autoridades de supervisión competentes.