Adaptación Reglamento Europeo Protección de Datos

Reglamento Europeo Protección de Datos
Reglamento Europeo Protección de Datos

 

La Agencia Española de Protección de Datos (AEPD), publicó el pasado 29 de julio de 2016, una nota de prensa titulada IMPLICACIONES PRÁCTICAS DEL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS PARA ENTIDADES EN EL PERIODO DE TRANSICIÓN. Veamos un resumen de lo que se ha dicho, ya que sin duda, afecta a profesionales, empresas y organizaciones para su adecuación futura al Reglamento europeo:

1º. La AEPD recomienda que las empresas se vayan adaptando a la nueva situación, aunque el reglamento no se aplique hasta 2018.

2º. Se ha de tener en cuenta que el consentimiento que las personas otorguen para tratamiento de sus datos, deberá ser siempre expreso, claro e inequívoco. Los consentimientos tácitos que pudieran existir, dejarán de tener validez, por lo que siempre se habrán de obtener de forma expresa.

3º. Las cláusulas informativas sobre protección de datos, se han de revisar, con objeto de adaptarlas al Reglamento.

4º. En algunas organizaciones se hace obligatoria la realización de un informe de evaluación de impacto. Se habrá de revisar si procede en cada caso.

5º. Se prevé la emisión de certificaciones en materia de protección de datos, al igual que ya se viene haciendo con temas como calidad o medio ambiente.

6º. Se crea la figura del Delegado de Protección de Datos. No se aclara de momento si este delegado debe cumplir algún requisito profesional. No obstante, la AEPD entiende que servirá que se acredite ser profesional con conocimiento y experiencia en la materia.

7º. Se han de revisar los contratos de encargados de tratamiento, para adaptarlos al Reglamento. La Agencia emitirá más adelante, recomendaciones al respecto.

8º. No obstante, se ha de seguir atento a las instrucciones de la AEPD, pues según la misma manifiesta:

La AEPD está trabajando en la preparación de herramientas que ayuden a responsables y encargados al entendimiento y cumplimiento del Reglamento. Entre ellas, hay que destacar un recurso online orientado a las pymes que realicen tratamientos de bajo o muy bajo riesgo, de forma que puedan constatar de una manera sencilla que se encuentran en esa situación y, a la vez, disponer de una lista de las medidas que tienen que implantar en función de ese bajo nivel de riesgo. 

Está previsto que este recurso se complemente con otros más avanzados, orientados a las pymes que desarrollan tratamientos que conllevan un nivel de riesgo algo mayor como consecuencia de alguna circunstancia concreta -como puede ser el manejo de datos sensibles- y que incluirá un apartado dedicado a las medidas de seguridad que deben implantarse.

La AEPD está trabajando junto a las Agencias autonómicas en cláusulas informativas adaptadas al nuevo Reglamento para sectores o tratamientos diferenciados. Así, está previsto ofrecer una serie de recomendaciones o criterios para ayudar a reflejar los distintos puntos que el Reglamento exige en la información.

Guia Evaluacion Impacto

Guía Evaluación Impacto Protección de Datos

Como os adelanté en mi entrada de fecha 30 de marzo, la Agencia Española de Protección de Datos, ya ha publicado de forma definitiva su GUÍA PARA UNA EVALUACIÓN DE IMPACTO EN LA  PROTECCIÓN DE DATOS PERSONALES, cuyo texto íntegro podréis descargaros en este enlace de la web de la referida Agencia:

http://www.agpd.es/portalwebAGPD/revista_prensa/revista_prensa/2014/notas_prensa/news/2014_10_29-ides-idphp.php

Ante todo, que no cunda el pánico.

Recordemos que la Evaluación de Impacto no es obligatoria por ahora según la normativa española. Aunque también es cierto que es muy probable que lo sea en el futuro, pues la propuesta de Reglamento Europeo de Protección de Datos así lo recoge.

La Guía, de 71 páginas, incluye modelos para llevar a cabo la evaluación y el detalle del procedimiento a seguir.

El Anexo I de la Guía recoge un cuestionario muy completo dirigido a determinar si en un determinado producto o servicio, se han tenido en cuenta todos los aspectos de la normativa de protección de datos de carácter personal.

Una vez realizada la Evaluación, se emitirá un informe escrito que al menos deberá incluir:

––Identificación del proyecto, persona o personas responsables de la EIPD y sus datos de contacto, la fecha de realización del informe y su número de versión.

––Resumen del informe con indicación de los resultados.

––Introducción y descripción general del proceso de evaluación.

––Resultado del análisis de necesidad de la evaluación y su justificación.

––Descripción general del proyecto.

––Descripción detallada de los flujos de datos personales.

––Riesgos identificados.

––Identificación de partes interesadas o a las que afecta el proyecto, tanto internas como externas a la organización, y resultados de las consultas llevadas a cabo con éstas.

––Análisis de cumplimiento normativo y detalle de posibles deficiencias detectadas y propuestas para su solución.

––Recomendaciones del equipo de la EIPD y medidas adoptadas o que deben adoptarse para eliminar o evitar, mitigar, transferir o aceptar los riesgos para la privacidad.

En el capítulo 6 de la Guía, se incluye un “catálogo de riesgos” cuya existencia deberá ser comprobada en relación con el producto o servicio que se quiera poner en marcha.

Evaluacion Impacto Proteccion Datos

La Agencia Española de Protección de Datos está elaborando una Guía de evaluación del impacto en la Protección de Datos (de forma abreviada: EIPD).

De hecho, incluso ha publicado hace poco un borrador de la Guía en su web, que puedes leer aquí:

http://www.agpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/Guias/GuiaEIPDPBorrador.pdf

La Guía está en fase de consulta pública, a la que se puede acceder también desde la web de la Agencia.

La idea de la Evaluación de Impacto no es otra que llevar a cabo un análisis de los riesgos que los sistemas de información, productos o servicios de una empresa, entidad o profesional, puedan suponer para el derecho fundamental de protección de datos. Con esa evaluación se quiere lograr la gestión de los riesgos, adoptando medidas para eliminarlos o mitigarlos lo más posible.

Ante todo, debe quedar claro que la EIPD no es una obligación legal en este momento en España, aunque puede serlo en el futuro, si así se aprueba finalmente en el  Reglamento General de Protección de Datos europeo. La Agencia Española de Protección de Datos lo presenta como una herramienta que puede resultar muy útil para mejorar las políticas y prácticas de protección de datos en las organizaciones, si bien no es ni mucho menos la única herramienta que puede servir a ese fin.

La forma de desarrollar esta EIPD se describe ordenada y detalladamente en la Guía, fijándose incluso cómo debe ser la estructura del informe de Evaluación de Impacto.

En palabras de la AEPD:

“La Agencia Española de Protección de Datos confía en que esta Guía promueva la concienciación de las organizaciones y que impulse y promueva la utilización de esta herramienta para conseguir que la protección de datos personales sea, cada vez más, parte indisoluble de la cultura de entidades públicas y privadas y que, de esta manera, se contribuya a la creación de confianza entre los ciudadanos, confianza que tan necesaria resulta para el despegue y correcto funcionamiento de los servicios de la Sociedad de la Información.”

 

Y como ya habrás imaginado, la idea de la EIPD viene de la preocupación creciente por la pérdida de control sobre los datos personales que pueden producirse por el uso de internet, cloud computing, transferencias internacionales de datos y el desarrollo constante de las tecnologías de la información en general.