Registro de actividades

Inscripción ficheros y registro actividades

Una de las novedades que introduce el Reglamento General Europeo de Protección de datos es que desaparece la obligación de inscribir los ficheros en el Registro de la Agencia Española de Protección de Datos (AEPD).

No obstante, la obligación queda sustituida por otra similar: la obligación de tener un REGISTRO DE ACTIVIDADES.

Veamos qué es eso exactamente:

Lo dice su artículo 30: el responsable de fichero y, en su caso, su representante llevarán un registro de actividades de tratamiento efectuadas bajo su responsabilidad. Lo que se traduce en la obligación de describir qué datos se recogen, con qué fin se tratan, a quién o quiénes se comunican, si se transfieren a terceros países, qué medidas técnicas y organizativas se aplicará para preservar su seguridad, y cuándo se puede proceder a su  supresión.

Es un control muy similar al que se viene realizando a través de los formularios NOTA, para la inscripción de ficheros en el Registro de la AEPD, salvo por algún detalle.

En el formulario NOTA se ha de hacer constar quién recoge datos y sus datos de contacto exactos, qué datos se recogen, con qué fin, de quién se recogen, qué medidas de seguridad se van tomar sobre los mismos, si el fichero es automatizado, manual o mixto y si esos datos van a cederse a terceros o si van a transferirse fuera del Espacio Económico Europeo.

El contenido no se modifica a penas, pero sí la forma.

No habrá que formalizar esta obligación mediante la inscripción obligatoria por el formulario NOTA, pero sí llevar el REGISTRO DE ACTIVIDADES  a nivel interno.

Y como indica la propia AEPD, “la existencia del Registro de Ficheros puede convertirse en una herramienta de ayuda y un punto de partida ante la tarea que será obligatoria a partir del 25 de mayo de 2018.”

Es decir, que si bien el referido Registro pierde su obligatoriedad, sí que sirve como modelo y punto de partida para hacer el Registro de Actividades.

Mi opinión personal es que resulta una modificación poco afortunada, ya que el Registro público al menos otorgaba certeza al ciudadano sobre la identidad del responsable de fichero y la forma en que podía contactarse con el mismo.

¿Qué comunicar a la AEPD?

Registro Agencia Española Proteccion Datos

A lo largo de las entradas de este blog, he ido hablando de este tema, pero dado que es una de las preguntas que más me hacen a lo largo del día, le quiero dedicar hoy un artículo especial.

Se trata de una cuestión que preocupa mucho a empresarios, profesionales y responsables de otras entidades, a la hora de adaptarse a la normativa sobre protección de datos de carácter personal.

Es la siguiente:

– Pero Vanesa, ¿qué datos le tengo que comunicar yo a la Agencia Española de Protección de Datos?

A esa pregunta, muchos clientes inquietos añaden otra –sin darme tiempo para contestar la primera-, que es ésta:

– ¡¿No tendré que decirle a la Agencia los nombres y datos de todos mis clientes, verdad, Vanesa?!

Tranquilidad.

No, señor.

No tienes que decirle a la Agencia los datos de tus clientes, ni mucho menos.

Realmente los datos que la Ley te obliga a comunicarle a la Agencia son muy pocos:

1º. Tienes que comunicarle a la AEPD qué ficheros de datos de carácter personal vas a almacenar y tratar. Esto se hace mediante un formulario que se notifica al referido organismo, donde tienes que especificar tus datos profesionales de contacto (nombre, domicilio social, CIF, actividad y poco más) y el tipo de datos que manejarás. En ningún momento tienes que trasladar a la Administración información sobre tus clientes, trabajadores, proveedores, contactos…

2º. Brechas o incidentes de seguridad que afecten a datos personales: pero ojo, que esta obligación sólo te afecta si eres un proveedor de servicios de comunicaciones electrónicas. No se te aplica en el resto de los casos.

Y para de contar.

Por supuesto, que en términos más amplios, estás sujeto a lo que se conoce como deber de colaboración con la administración, de tal modo que si te abren un expediente en la Agencia y te requieren para que aportes algún datos, en principio, tendrás que hacerlo.

¡Ah, Vanesa, espera –me añaden los clientes más avispados-, te olvidas de las auditorías bienales!

Pues no, te equivocas. No me he olvidado.

Sencillamente, ni la LOPD ni su Reglamento de desarrollo exigen que envíes a la Agencia el resultado de la auditoría. Sólo se especifica que deberá estar a disposición de una posible inspección.

Cierro esta entrada comentando el tema de los Códigos Tipo, por si has oído hablar de ellos y te han dicho que se tienen que registrar en la AEPD.

Eso sí es correcto.

No obstante, los Códigos Tipo no son obligatorios y sólo los elaboras si así lo quieres. Tienen el carácter de códigos deontológicos o de buena práctica profesional.

Espero haber aclarado estas cuestiones de una vez.