Categoría: Proteccion de datos

¿Cómo me adapto al RGPD?

Adaptarse al RGPD

Si el mes pasado hablábamos de que la Agencia Española de Protección de Datos había publicado una guía u hoja de ruta para que las Administraciones públicas pudieran dar los pasos oportunos para adaptarse al Reglamento General de Protección de Datos europeo (RGPD), este mes tenemos que hablar de la misma guía, pero para el sector privado (empresas y profesionales y otras entidades privadas), igualmente publicada por la Agencia en su web.

Si eres por tanto un profesional autónomo, asociación privada, fundación privada o empresario, te interesa esta información, y debes tener en cuenta que la nueva normativa se aplicará plenamente desde el 25 de mayo de 2018.

La breve guía se puede consultar en este enlace oficial:

http://www.agpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/infografias/Adaptacion_RGPD_sector_privado.pdf

Estos son los pasos a seguir:

1º. Nombramiento de un Delegado de Protección de Datos. Ojo, que no todos los profesionales, entidades o empresas tienen que designarlo. Sólo procede en los casos que indica la normativa. Como siempre que aparece una legislación nueva (o no tan nueva) empiezan a circular infinidad de bulos y datos erróneos. Este es uno de ellos. Son muchas las personas que me llaman preocupadas porque les han asegurado que tienen que designar un Delegado de protección de datos. En la mayoría de los casos eso es totalmente incorrecto.

2º. Redactar el Registro de Actividades de Tratamiento. No lo aclara la Agencia, pero se hará cuando la Ley lo exija. También aquí hay excepciones en el RGPD.

3º. Realizar un análisis de riesgos: este sí que lo tienen que hacer todos los responsables de tratamiento y encargados de tratamiento. Pero también es cierto que en unos casos será un trámite muy sencillo y en otros, será más complicado.

4º. Revisión de medidas de seguridad destinadas a la protección de los datos de carácter personal, teniendo en cuenta el análisis de riesgos anterior.

5º. Crear mecanismos y procedimientos para la notificación de las violaciones de seguridad de los datos de carácter personal.

6º. Elaborar un informe de Evaluación de Impacto cuando proceda (ni mucho menos es aplicable a todos los responsables y encargados de tratamiento).

7º. Modificar las cláusulas informativas que se puedan firmar con clientes, que pueda haber en las webs y en otros supuestos.

8º. Adaptar mecanismos y procedimientos para facilitar el ejercicio de los derechos de los ciudadanos (acceso, rectificación, supresión, oposición, etc…).

9º. Revisar y actualizar los contratos de encargados de tratamiento y verificar si estos últimos cumplen las exigencias del RGPD.

10º. Revisar la política de privacidad de la entidad en general.

11º. Por último, se insiste en la importancia de dejar documentada la realización de todo lo anterior.

 

 

Derechos ARCO en el RGPD

Derechos ARCO

Hace unos días, publicaba la Agencia Española de Protección de Datos en su web una reseña sobre los derechos de los ciudadanos en materia de protección de datos, haciendo énfasis y recordando que el Reglamento General de Protección de Datos europeo refuerza dichos derechos, lo que inevitablemente ha de ser tenido en cuenta por los responsables de fichero en su actividad diaria.

Estos son los puntos que se destacan:

1º. Además de los ya conocidos derechos ARCO (acceso, rectificación, cancelación y oposición), el Reglamento añade los derechos de portabilidad, supresión y limitación.

2º. Una vez más se recuerda que el Reglamento cambia el modo en que las organizaciones gestionan la protección de datos, siendo ahora necesaria la adopción de medidas conscientes, diligentes y proactivas.

3º. La Agencia Española de Protección de Datos pone de manifiesto que ha publicado una infografía específica sobre estos derechos, que se puede leer en el siguiente enlace:

http://www.agpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/infografias/RGPD_Derechos_ciudadanos_AEPD.pdf

4º. El derecho de portabilidad consiste en la posibilidad de alguien que haya proporcionado sus datos a un proveedor de servicios, pueda pedir la recuperación y traslado de esos datos a otra plataforma cuando sea técnicamente posible.

5º. El derecho de supresión vendría a sustituir al actual derecho de cancelación.

6º. El citado Reglamento refuerza no sólo los derechos ejercitables antes empresas de la Unión Europea, sino también ante las ubicadas fuera de la Unión.

7º. La forma de ejercitar estos derechos será, primero, dirigir una petición a la entidad que trate los datos (la AEPD cuenta en su web con formularios para ello). Y si dicha entidad no contesta o la respuesta no se considera satisfactoria, el ciudadano ya sí podrá acudir a la AEPD y formular reclamación.

8º. Por último, la AEPD recuerda que ha lanzado un espacio web con consejos sobre cómo evitar la publicidad no deseada y otro para ayudar a reclamar sus derechos en materia de telecomunicaciones. Se pueden consultar aquí:

http://www.agpd.es/portalwebAGPD/CanalDelCiudadano/Publicidad_no_deseada/index-ides-idphp.php

http://www.agpd.es/portalwebAGPD/CanalDelCiudadano/reclamaciones_telecomunicaciones/index-ides-idphp.php

También se deja de manifiesto la existencia de un sistema voluntario de mediación al que se han adherido las principales empresas de telecomunicaciones, con el objetivo de resolver de forma ágil las reclamaciones sobre protección de datos.

Transferencias internacionales de datos

Transferencia internacional datos

¿Conlleva alguna modificación el Reglamento General de Protección de Datos europeo en lo que a transferencias internacionales de datos de carácter personal se refiere?

La respuesta es sí y no.

No, porque mantiene los mismos criterios generales que ya se contenían en la LOPD y su Reglamento de desarrolla.

Sí, porque introduce cambios en todo el régimen de transferencias internacionales.

La norma general sigue siendo que sólo cabe transmitir datos a países, territorios, sectores u organismos internacionales que se considera que cuentan con un nivel adecuado de protección, o bien cuando se aporten garantías suficientes o se den algunas de las circunstancias previstas como excepciones, y siempre y cuando se observen los demás requisitos del RGPD.

Estos son algunos de los cambios introducidos:

  • El exportador de datos ya puede ser también un encargado de tratamiento y no sólo un responsable de tratamiento.
  • Se amplía el número de instrumentos para incluir y aportar las medidas de garantía adecuadas para proteger los derechos de los afectados por las transferencias internacionales (Códigos de Conducta, Certificaciones, Normas Corporativas Vinculantes).
  • Se suprime la obligación de solicitar autorización previa o notificar la transferencia internacional a la autoridad de control, en la mayoría de los casos.

En definitiva, se pretende facilitar las relaciones comerciales internacionales, pero –por supuesto- garantizado la protección de los derechos de las personas.