FAQ – ADAPTACIÓN Y MANTENIMIENTO

Para saber si tienes que adaptarte a la normativa de protección de datos, simplemente debes de analizar los datos que manejas y contestar las siguientes preguntas:

1. ¿Manejas datos personales de clientes, proveedores, asociados, comuneros, pacientes o cualquier otra persona con la que tengas algún tipo de relación comercial?
2. ¿Tienes trabajadores a tu cargo?
3. ¿Tienes instaladas cámaras de video vigilancia?
4. ¿Tienes página web? En caso afirmativo, ¿la página web tiene formularios de contacto en los que solicitas datos personales como el correo electrónico?
5. ¿Tratas datos personales para prestarle un servicio a otras entidades?

Si tu respuesta ha sido “SI” a alguna de estas cuestiones, estás realizando tratamientos de datos personales y, por lo tanto, te encuentras obligado al cumplimiento del Reglamento General de Protección de Datos y de la Ley Orgánica 3/2018 de protección de datos personales y garantía de los derechos digitales.

En AICOR llevamos más de 10 años asesorando a todo tipo de entidades con la finalidad de ayudarles a cumplir con la normativa en protección de datos. Si estás interesado en conocer más sobre nuestros servicios no dudes en ponerse en contacto con nosotros.

Las actuaciones que tienes que realizar para adaptarte al RPGD y la LOPDGDD son:

• Designar, en caso de que sea obligatorio, un delegado de protección de datos.
• Analizar las bases jurídicas de los tratamientos.
• Elaborar el registro de actividades de tratamiento.
• Efectuar un análisis de riesgos.
• Revisar las medidas de seguridad en función del análisis realizado.
• Establecer mecanismos y procedimientos de gestión y notificación de brechas de seguridad.
• Llevar a cabo, en caso de ser necesario, una evaluación de impacto de la protección de datos.
• Adecuar los formularios de recogida de datos al contenido del derecho de información del RGPD.
• Elaborar procedimientos para atender a los derechos de los afectados en relación al tratamiento de sus datos personales.
• Formalizar contratos con los encargados de tratamiento.
• Confeccionar e implantar políticas de protección de datos.

El artículo 5 del RGPD establece que los siguientes principios relativos al tratamiento de datos:

• Licitud, lealtad y transparencia: los datos serán tratados de manera lícita, leal y transparente en relación al interesado.
• Limitación de la finalidad: los datos serán tratados con fines determinados, explícitos y legítimos, y no serán tratados posteriormente de manera incompatible con dichos fines.
• Minimización de datos: los datos tratados serán adecuados, pertinentes y limitados a lo necesario.
• Exactitud: los datos tratados serán exactos y estarán actualizados. Se adoptarán medidas razonables para suprimir o rectificar los datos que sean inexactos con respecto a los fines para los que se tratan.
• Limitación del plazo de conservación: los datos no serán mantenidos durante más tiempo del necesario para los fines del tratamiento.
• Integridad y confidencialidad: se deberá de garantizar la seguridad de los datos de tratamiento no autorizado o ilícito, pérdida, destrucción, etc., es decir, para garantizar al confidencialidad, integridad y disponibilidad de la información.
• Responsabilidad proactiva: el responsable del tratamiento será responsable de cumplir con los principios del RGPD y debe ser capaz de demostrarlo.

El RGPD suprime la obligación de inscribir ficheros en el Registro de la Agencia Española de Protección de Datos. En su lugar, debes de llevar un registro de las actividades de tratamiento efectuadas bajo tu responsabilidad. Este registro deberá de contener, como mínimo, la información establecida en el artículo 30 del RGPD.

El tratamiento será lícito si cumple una de estas condiciones:

• El interesado dio su consentimiento para uno o varios fines específicos.
• El tratamiento es necesario para:
  • ejecutar un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales,
  • cumplir con una obligación legal aplicable al responsable
  • proteger intereses vitales del interesado o de otra persona
  • cumplir una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable
  • satisfacer intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, cuando no prevalezcan los intereses, derechos y libertades del interesado.

Por lo tanto, no será necesario obtener el consentimiento de los interesados si la condición en la que basa el tratamiento de los datos es distinta al consentimiento.

El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen.

El consentimiento en el marco del RGPD se caracteriza por:

• Se debe de facilitar información de forma clara y sencilla sobre el tratamiento de los datos antes de obtener el consentimiento.
• En una declaración escrita, la solicitud del consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos.
• No se consideran formas válidas de obtener el consentimiento el uso de casillas ya marcadas o la inacción.
• Se debe de prestar de forma libre.
• El responsable debe de poder demostrar que ha obtenido el consentimiento del interesado.
• El interesado podrá revocar su consentimiento en cualquier momento y debe ser tan fácil retirar dicho consentimiento como fue darlo.
• No se debe de supeditar la prestación de un servicio a la obtención del consentimiento de datos que no son necesarios para prestar dicho servicio.

Un encargado del tratamiento es toda persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable.

Podrán ser encargados del tratamiento las entidades que presten los servicios como:

• Asesor fiscal, laboral y contable
• Asesor jurídico
• Prevención de riesgos laborales
• Mantenimiento informático
• Desarrollo de software
• Cloud computing
• Alojamiento correo electrónico
• Almacenaje y custodia de documentos
• Destrucción de papel y soportes
• Formación a trabajadores
• Selección de personal

Esta es una lista orientativa no exhaustiva de encargados del tratamiento. Deberás de analizar tu sistema de información para determinar cuáles son tus encargados del tratamiento.

Entre las obligaciones que el RGPD establece para los encargados del tratamiento, se encuentran:

• Tratar los datos personales únicamente siguiendo las instrucciones del responsable.
• Mantener un registro de actividades de los tratamientos realizados a terceros.
• Determinar las medidas de seguridad aplicables a los tratamientos con realicen.
• Designar un Delegado de Protección de datos en los casos previstos.
• No subcontratar a terceros sin autorización previa del responsable.
• Asistir al responsable, siempre que sea posible, en la atención al ejercicio de los interesados.

El RGPD establece un modelo de protección de datos muy dinámico y enfocado a la gestión continua de los riesgos potenciales asociados al tratamiento de los datos desde su diseño.

Para cumplir con la normativa, debes de analizar y evaluar los riesgos inherentes al tratamiento a fin de poder determinar cuáles son las medidas oportunas para mitigarlos y garantizar:

• La confidencialidad
• La integridad
• La disponibilidad
• La eficacia de las medidas adoptadas
• La licitud de los tratamientos

El análisis de datos que realices tiene que ser verificado periódicamente y variará en función de:

• los tipos de tratamiento,
• la naturaleza de los datos,
• el número de interesados afectados,
• la cantidad y variedad de tratamientos que una misma organización lleve a cabo.

Entre las medidas de responsabilidad proactiva se encuentra la figura de la protección de datos desde el diseño y por defecto (artículo 25 del RGPD):

Protección desde el diseño

Debes de aplicar medidas técnicas y organizativas apropiadas, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, es decir, antes y durante el tratamiento.

Protección por defecto

Debes de aplicar medidas técnicas y organizativas apropiadas para que, por defecto, sólo sean objeto de tratamiento los datos necesarios para cada uno de los fines específicos, en lo relativo a:

• La cantidad de datos recogidos
• La extensión del tratamiento
• El plazo de conservación
• La accesibilidad de los datos.

El RGPD otorga a los interesados los siguientes derechos:

Transparencia e información al interesado

Se deberá de facilitar información a los interesados, tanto respecto a las condiciones de los tratamientos que les afecten como en las respuestas a los ejercicios de derechos. Esta información deberá de proporcionarse de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo.

Derecho de Acceso al interesado

Se reconoce a los interesados el derecho a obtener una copia de los datos personales objeto del tratamiento.

Derecho de Supresión (derecho al olvido)

Es el derecho a suprimir sin dilación indebida los datos personales del interesado cuando concurra alguna de las circunstancias:

• Los datos ya no sean necesarios en relación a la finalidad para la que fueron recogidos.
• El interesado retire su consentimiento.
• El interesado se oponga al tratamiento.
• Los datos hayan sido tratados ilícitamente.
• Los datos deban suprimirse para cumplir con una obligación legal.
• Se trate de datos de niños que se hayan obtenido en relación con la oferta de servicios de la sociedad de la información.

Derecho a la Limitación del tratamiento

La limitación de tratamiento supone que, a petición del interesado, no se aplicarán a sus datos personales las operaciones de tratamiento que en cada caso corresponderían.

Derecho a la Portabilidad de los datos

El derecho a la portabilidad de los datos es una forma avanzada del derecho de acceso, el interesado tendrá derecho a recibir una copia de sus datos en un formato estructurado, de uso común y lectura mecánica.

Derecho a la Oposición

Es el derecho a oponerse en cualquier momento a que sus datos sean tratados cuando el objeto del tratamiento sea:

• El cumplimiento de una misión en interés público o para la satisfacción de intereses legítimos del responsable del tratamiento o de un tercero, incluida la elaboración de perfiles
• La mercadotecnia directa

Decisiones individuales automatizadas

El interesado tendrá derecho a no ser objeto de una decisión basada en un tratamiento automatizado, excepto cuando:

• Sea necesario para la celebración y ejecución de un contrato
• Esté autorizada por el Derecho de la Unión o de los Estados miembros, o
• El interesado haya consentido explícitamente.

Si se produce una violación de la seguridad de los datos en tu sistema de información, debes de notificarla a la autoridad de protección de datos competente, a menos que sea improbable que la violación suponga un riesgo para los derechos y libertades de los afectados.

La notificación de la quiebra a las autoridades hay que hacerla sin dilación indebida y, a ser posible, dentro de las 72 horas siguientes a que el responsable tenga constancia de ella. Debe de incluir:

• Naturaleza de la violación
• Categorías de datos y de interesados afectados
• Medidas adoptadas por el responsable para solventar la quiebra
• Si procede, las medidas aplicadas para paliar los posibles efectos

En los casos en que sea probable que la violación de seguridad entrañe un alto riesgo para los derechos o libertades de los interesados, la notificación a la autoridad de supervisión deberá complementarse con una notificación dirigida a estos últimos.