El Reglamento general de protección de datos en 20 puntos. RGPD
13 de abril de 2018
¿Cuáles son las principales novedades del Reglamento General de Protección de Datos (RGPD)?
- Ámbito de aplicación
- Principios
- Nuevas categorías especiales de datos
- Consentimiento
- Consentimiento de los menores
- Derecho de información
- Derechos de los interesados
- Inscripción y notificación de ficheros
- Documentación de las operaciones de tratamiento: registro de actividades de tratamiento
- Encargo del tratamiento
- Evaluaciones de impacto relativas a la protección de datos
- Consulta previa
- Protección de datos desde el diseño y por defecto
- Códigos de conducta
- Mecanismos de certificación
- Delegado de protección de datos (DPD)
- Transferencias internacionales
- Medidas de seguridad
- Notificación de violaciones de seguridad
- Ventanilla única
1. Ámbito de aplicación
El Reglamento amplía el ámbito de aplicación territorial a los responsables y los encargados del tratamiento no establecidos en la UE cuando las actividades tratamiento están relacionadas con la oferta de bienes o servicios o con el control del comportamiento de las personas, si tienen lugar en la UE.
2. Principios
El RGPD contiene muchos conceptos, principios y mecanismos similares a los establecidos por la Directiva 95/46 y por las normas nacionales que la aplican. Por ello, las organizaciones que en la actualidad cumplen adecuadamente con la LOPD española tienen una buena base de partida para evolucionar hacia una correcta aplicación del nuevo Reglamento.
Sin embargo, el RGPD modifica algunos aspectos del régimen actual y contiene nuevas obligaciones que deben ser analizadas y aplicadas por cada organización teniendo en cuenta sus propias circunstancias.
Dos elementos de carácter general constituyen la mayor innovación del RGPD para los responsables:
- El principio de “responsabilidad proactiva”
El RGPD describe este principio como la necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento.
En términos prácticos, este principio requiere que las organizaciones analicen qué datos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo. A partir de este conocimiento deben determinar de forma explícita la forma en que aplicarán las medidas que el RGPD prevé, asegurándose de que esas medidas son las adecuadas para cumplir con el mismo y de que pueden demostrarlo ante los interesados y ante las autoridades de supervisión.
En síntesis, este principio exige una actitud consciente, diligente y proactiva por parte de las organizaciones frente a todos los tratamientos de datos personales que lleven a cabo.
- El “enfoque de riesgo”
El RGPD señala que las medidas dirigidas a garantizar su cumplimiento deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas.
De acuerdo con este enfoque, algunas de las medidas que el RGPD establece se aplicarán sólo cuando exista un alto riesgo para los derechos y libertades, mientras que otras deberán modularse en función del nivel y tipo de riesgo que los tratamientos presenten.
La aplicación de las medidas previstas por el RGPD debe adaptarse, por tanto, a las características de las organizaciones. Lo que puede ser adecuado para una organización que maneja datos de millones de interesados en tratamientos complejos que involucran información personal sensible o volúmenes importantes de datos sobre cada afectado no es necesario para una pequeña empresa que lleva a cabo un volumen limitado de tratamientos de datos no sensibles.
Estos dos elementos se proyectan sobre todas las obligaciones de las organizaciones.
3. Nuevas categorías especiales de datos
Aparte de los datos especialmente protegidos que ya preveía la LOPD, que ahora pasan a denominarse "categorías especiales de datos", el Reglamento incluye dos nuevas categorías especiales de datos:
- Datos genéticos: datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionan una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica.
- Datos biométricos: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de esta persona (imágenes faciales, datos dactiloscópicos, etc.).
4. Consentimiento
El RGPD requiere que el interesado preste el consentimiento mediante una declaración inequívoca o una acción afirmativa clara. A efectos del nuevo Reglamento las casillas ya marcadas, el consentimiento tácito o la inacción no constituirán un consentimiento válido.
- ¿Qué sucede con aquellos tratamientos que se realizan con base en el consentimiento por omisión?
Estas formas de consentimiento no son compatibles con el RGPD, ya que se basan en la inacción del interesado. El RGPD señala también que los tratamientos iniciados con anterioridad al inicio de su aplicación sobre la base del consentimiento seguirán siendo legítimos siempre que ese consentimiento se hubiera prestado del modo en que prevé el propio RGPD, es decir, mediante una manifestación o acción afirmativa.
Por tanto, los responsables que realizan tratamientos basados en ese consentimiento por omisión deberían evitar seguir obteniendo esta modalidad de consentimiento y revisar esos tratamientos de forma que a partir de mayo de 2018 se hayan adecuado a las previsiones del RGPD. Esa adaptación puede llevarse a cabo obteniendo un consentimiento de los interesados acorde con las disposiciones del RGPD o valorando si los tratamientos afectados pueden apoyarse en otra base legal como puede ser, entre otras, el interés legítimo del responsable o del cesionario de los datos que prevalezca sobre los derechos del interesado. En todo caso, y si se considera que cabe esta segunda opción, los interesados deben ser informados y podrán ejercitar los derechos que, como el de oposición, sean específicamente aplicables a la nueva base legal elegida.
- ¿En qué situaciones el consentimiento tiene que ser explícito?
El RGPD contempla algunas situaciones en que el consentimiento ha de ser explícito. Esta garantía adicional afecta a:
- Tratamiento de categorías especiales de datos
- Adopción de decisiones automatizadas
- Transferencias internacionales
Aunque las diferencias entre el consentimiento inequívoco, tal y como lo define el RGPD, y el consentimiento explícito pueden parecer difíciles de apreciar, hay situaciones en que el consentimiento puede ser inequívoco y otorgarse de forma implícita, como por ejemplo cuando se deduce de una acción del interesado que decide seguir navegando por una página web y acepta así el que se utilicen cookies para monitorizar su navegación.
5. Consentimiento de los menores
En el ámbito de los servicios de la sociedad de la información, el consentimiento de los menores sólo será válido si tienen más de 16 años. Sin embargo, los estados miembros de la UE pueden rebajar la edad hasta los 13 años.
Además, el lenguaje utilizado para informarles les debe ser comprensible.
- ¿Qué otras referencias a los menores contiene el RGPD?
El RGPD se refiere en varios lugares a los tratamientos de los datos de los menores. Por ejemplo, en los siguientes casos:
- En la regulación de los intereses legítimos del responsable como base legal para el tratamiento, señalándose que no será aplicable cuando prevalezcan los derechos, libertades o intereses de los interesados que requieran protección de datos personales, especialmente cuando esos interesados sean niños
- Al señalar que la información que se ofrece a los interesados en relación con el tratamiento o con el ejercicio de derechos deberá ser especialmente concisa, transparente, inteligible y proporcionada con lenguaje claro y sencillo cuando los interesados sean niños
- En el contexto del derecho al borrado de los datos personales
- Al establecer que las actividades de formación y sensibilización dirigidas a los niños deberán estar entre las prioridades de las autoridades de protección de datos
- En el contexto de las explicaciones que ofrecen los Considerandos del RGPD cuando se refieren a la realización de perfiles
6. Derecho de información
El nuevo Reglamento configura la información como un derecho de las personas afectadas y amplía las cuestiones sobre las que es necesario informarlas, con los aspectos siguientes: los datos de contacto del delegado de protección de datos; la base jurídica del tratamiento; los intereses legítimos perseguidos en que se fundamente el tratamiento, en su caso; la intención de transferir los datos a un tercer país o a una organización internacional y la base para hacerlo, en su caso; el plazo durante el cual se conservarán los datos; el derecho a solicitar la portabilidad; el derecho a retirar en cualquier momento el consentimiento que se haya prestado; si la comunicación de datos es un requisito legal o contractual o un requisito necesario para suscribir un contrato; el derecho a presentar una reclamación ante una autoridad de control; la existencia de decisiones automatizadas, incluida la lógica aplicada y sus consecuencias.
- ¿Cómo debe proporcionarse la información a los interesados?
El RGPD prevé que la información a los interesados, tanto respecto a las condiciones de los tratamientos que les afecten como en las respuestas a los ejercicios de derechos, se proporcione de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. En este aspecto, va más allá de lo dispuesto por la LOPD, que tan sólo exige que la información se preste de modo expreso, preciso e inequívoco.
Estas exigencias implican que debería evitarse acudir a fórmulas especialmente farragosas y que incorporan remisiones a los textos legales. Sería necesario que las cláusulas informativas expliquen el contenido al que inmediatamente nos referiremos de una forma clara y accesible para los interesados, con independencia de sus conocimientos en la materia.
La importancia que el RGPD concede a la claridad y accesibilidad de la información se refleja en el hecho de que prevé que pueda proporcionarse en combinación con iconos estandarizados que ofrezcan una visión de conjunto del tratamiento previsto. El diseño de estos iconos deberá hacerlo la Comisión Europea, que está ya trabajando para presentar una propuesta.
El RGPD prevé que la información a los interesados se facilite por escrito, incluidos, cuando sea apropiado, los medios electrónicos.
La Autoridad Catalana de Protección de Datos, la Agencia Española de Protección de Datos y la Agencia Vasca de Protección de Datos están preparando un modelo de cláusula informativa para ser utilizado por las administraciones públicas. Durante el periodo transitorio se presentarán igualmente directrices para entidades privadas.
7. Derechos de los interesados
El RGPD incorpora el derecho al olvido, como un derecho vinculado al derecho de supresión, el derecho a la limitación del tratamiento y el derecho a la portabilidad:
Los interesados tienen derecho a obtener la supresión de los datos ("derecho al olvido") cuando:
- Los datos ya no sean necesarios para la finalidad para la que fueron recogidos.
- Se revoque el consentimiento en el que se basaba el tratamiento.
- El interesado se oponga al tratamiento.
- Los datos se hayan tratado ilícitamente.
- Los datos se tengan que suprimir para el cumplimiento de una obligación legal.
- Los datos se hayan obtenido en relación con la oferta de servicios de la sociedad de la información dirigidos a menores.
Cuando el responsable haya hecho públicos los datos personales y se tengan que suprimir, adoptará medidas razonables para informar de la supresión a los responsables que están tratando los datos.
Se prevén algunas excepciones al ejercicio de este derecho:
- El ejercicio del derecho a la libertad de expresión e información.
- El cumplimiento de una obligación legal.
- La existencia de fines de archivo en interés público, de investigación científica o histórica o fines estadísticos.
- La formulación, el ejercicio o la defensa de reclamaciones.
- Derecho a la limitación del tratamiento
La limitación de tratamiento se presenta en el RGPD como un derecho de los interesados. Por ello, no debe confundirse con el bloqueo de datos actualmente existente en la legislación española, aunque su inclusión como nuevo derecho no supone por sí sola la desaparición de la figura del bloqueo.
La limitación de tratamiento supone que, a petición del interesado, no se aplicarán a sus datos personales las operaciones de tratamiento que en cada caso corresponderían. La limitación puede solicitarse cuando:
- El interesado ha ejercido los derechos de rectificación u oposición y mientras el responsable determina si procede atender a la solicitud
- El tratamiento es ilícito, lo que determinaría el borrado de los datos, pero el interesado se opone a ello
- Los datos ya no son necesarios para el tratamiento, lo que nuevamente determinaría su borrado, pero el interesado solicita la limitación porque los necesita para la formulación, el ejercicio o la defensa de reclamaciones
A este derecho se le aplican los mismos plazos y procedimientos que a los restantes derechos previstos en el RGPD.
En el tiempo que dure la limitación, el responsable sólo podrá tratar los datos afectados, más allá de su conservación:
- Con el consentimiento del interesado
- Para la formulación, el ejercicio o la defensa de reclamaciones
- Para proteger los derechos de otra persona física o jurídica
- Por razones de interés público importante de la Unión o del Estado miembro correspondiente
Una consecuencia de esta regulación es que impide una práctica que se sigue en ocasiones y que consiste en borrar los datos cuando se ejercitan otros derechos, como el de acceso, ya que impediría el ejercicio del derecho a la limitación del tratamiento.
- Derecho a la portabilidad:
El derecho a la portabilidad de los datos es una forma avanzada del derecho de acceso en la que la persona interesada tiene derecho a recibir los datos personales que le afectan que haya facilitado a un responsable del tratamiento en un formato estructurado, de uso común y de lectura mecánica, y transmitirlos a otro responsable, si se cumplen los requisitos siguientes:
- El tratamiento esté basado en el consentimiento o en un contrato
- El tratamiento se haga por medios automatizados
- Cuando el interesado lo solicita respecto a los datos que haya proporcionado al responsable y que le conciernan incluidos los datos derivados de la propia actividad del interesado. Esto supone que no es aplicable a los datos de terceras personas que un interesado haya facilitado a un responsable. Como tampoco se aplicaría si el interesado solicita la portabilidad de datos que le incumban pero que hayan sido proporcionados al responsable por terceros.
Incluye el derecho a que los datos se transmitan directamente de responsable a responsable, cuando sea técnicamente posible.
El Grupo de Autoridades Europeas de Protección de Datos (Grupo del Artículo 29) ha adoptado una opinión en la que se analiza detalladamente este derecho, que puede consultarse aquí.
- ¿Cuál es el procedimiento para el ejercicio de los derechos recogidos por el nuevo Reglamento?
Con carácter general, el RGPD exige a los responsables que faciliten a los interesados el ejercicio de sus derechos. Este mandato supone que los procedimientos y formas para ello deben ser visibles, accesibles y sencillos. El RGPD no establece un modo concreto para el ejercicio de derechos, pero sí requiere a los responsables que posibiliten la presentación de solicitudes por medios electrónicos, especialmente cuando el tratamiento se realiza por esos medios.
Esta obligación exige articular procedimientos que permitan fácilmente que los interesados puedan acreditar que han ejercido sus derechos por medios electrónicos, algo que actualmente no es viable en muchas ocasiones.
El RGPD prevé también que el ejercicio de derechos será gratuito para el interesado. Este criterio de gratuidad puede no seguirse en los casos en que se formulen solicitudes manifiestamente infundadas o excesivas, especialmente por repetitivas, cuando el responsable podrá cobrar un canon que compense los costes administrativos de atender a la petición o negarse a actuar. Es el responsable el que debe demostrar ese carácter infundado o excesivo. En todo caso el canon no podría implicar un ingreso adicional para el responsable, sino que debería corresponderse efectivamente con el verdadero coste de la tramitación de la solicitud.
El responsable deberá informar al interesado sobre las actuaciones derivadas de su petición dentro del plazo de un mes, que podrá extenderse dos meses más cuando se trate de solicitudes especialmente complejas. Esa ampliación del plazo debe notificarse dentro del primer mes. Si el responsable decide no atender la solicitud, deberá informar de ello, motivando su negativa, dentro del plazo de un mes desde su presentación.
De acuerdo con el RGPD, los responsables deberán tomar todas las medidas razonables para verificar la identidad de quienes soliciten acceso y, en general, de quienes ejerzan los restantes derechos ARCO.
El responsable que trate una gran cantidad de información sobre un interesado podrá pedir a éste que especifique la información a que se refiere su solicitud de acceso.
El responsable podrá contar con la colaboración de los encargados para atender al ejercicio de derechos de los interesados, pudiendo incluir esta colaboración en el contrato de encargo de tratamiento.
8. Inscripción y notificación de ficheros
El RGPD suprime, a partir del 25 de mayo de 2018, la necesidad de crear formalmente los ficheros y notificarlos al Registro de protección de datos de las autoridades de control.
9. Documentación de las operaciones de tratamiento: registro de actividades de tratamiento
El RGPD prevé nuevas obligaciones de documentación del tratamiento para los responsables o los encargados del tratamiento. Sólo se exceptúan de esta obligación los responsables o encargados del tratamiento que cuenten con menos de 250 trabajadores y que lleven a cabo tratamientos que no puedan suponer un riesgo -salvo que sea ocasionalmente-, para los derechos y las libertades de las personas interesadas, y que no incluyan categorías especiales de datos personales, o datos personales relativos a condenas e infracciones penales.
Estos responsables y encargados del tratamiento tienen que llevar un registro de las actividades de tratamiento que lleven a cabo. Este registro debe contener, respecto de cada actividad, la información que establece el artículo 30 del RGPD.
Esta información incluye cuestiones como:
- Nombre y datos de contacto del responsable y, en su caso, corresponsable, así como del Delegado de Protección de Datos si existiese.
- Finalidades del tratamiento.
- Descripción de categorías de interesados y categorías de datos personales tratados.
- Transferencias internacionales de datos.
- Cuando sea posible, plazos previstos para la supresión de los datos.
- Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad.
- ¿Cómo debe organizarse el registro de operaciones de tratamiento?
Una posibilidad para organizar este registro de actividades de tratamiento es partir de los ficheros que actualmente han sido notificados los responsables en el Registro de Protección de Datos de Cataluña, detallando todas las operaciones que se realizan sobre cada conjunto estructurado de datos.
No obstante, el Registro también podría organizarse en torno a operaciones de tratamiento concretas vinculadas a una finalidad básica común de todas ellas (por ejemplo, “gestión de clientes”, “gestión contable” o “gestión de recursos humanos y nóminas”) o con arreglo a otros criterios distintos.
10. Encargo del tratamiento
El Reglamento amplía el contenido mínimo del contrato de encargo de tratamiento. Entre otros aspectos, el contrato deberá prever los siguientes puntos adicionales respecto al contenido que ya establecía la LOPD: el objeto y la duración del encargo; la naturaleza del tratamiento; el tipo de datos personales; las categorías de interesados; las obligaciones y los derechos del responsable; la previsión de que las personas que deberán tratar los datos se han comprometido a mantener la confidencialidad; la asistencia del encargado al responsable para que pueda atender las solicitudes de ejercicio de derechos; la supresión o la devolución de los datos al finalizar el encargo; la obligación de poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del encargado del tratamiento y para permitir y contribuir a la realización de auditorías e inspecciones por parte del responsable o de otro auditor autorizado por el responsable.
- Obligaciones específicas de los encargados
La Directiva 95/46 y en general las leyes nacionales de trasposición se centran en la actividad de los responsables. El RGPD, por el contrario, contiene obligaciones expresamente dirigidas a los encargados. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Pero en determinadas materias los encargados tienen obligaciones propias que establece el RGPD, que no se circunscriben al ámbito del contrato que los une al responsable y que pueden ser supervisadas separadamente por las autoridades de protección de datos. Por ejemplo, los encargados deben mantener un registro de actividades de tratamiento, deben determinar las medidas de seguridad aplicables a los tratamientos que realizan o deben designar a un Delegado de Protección de Datos en los casos que prevé el RGPD.
El RGPD también prevé que los encargados puedan adherirse a códigos de conducta o certificarse en el marco de los esquemas de certificación previstos en el propio RGPD.
El RGPD establece explícitamente que los responsables habrán de elegir únicamente encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del Reglamento. Esta previsión se extiende también a los encargados cuando subcontraten operaciones de tratamiento con otros subencargados.
Aunque en el caso español, el Reglamento de Desarrollo de la LOPD ya establece la necesidad de diligencia debida en la selección de los encargados, la novedad de esta previsión del RGPD deriva de su relación con el principio de responsabilidad activa, según el cual el responsable deberá adoptar las medidas apropiadas, incluida la elección de encargados, de forma que garantice y esté en condiciones de demostrar que el tratamiento se realiza conforme al RGPD.
El hecho de que los encargados o subencargados se hayan adherido a códigos de conducta o estén certificados dentro de los esquemas previstos por el RGPD puede utilizarse para demostrar que ofrecen las garantías suficientes que el RGPD exige.
La Autoridad Catalana de Protección de Datos, la Agencia Española de Protección de Datos y la Agencia Vasca de Protección de Datos han preparado unos materiales de ayuda para la redacción de estos encargos que pueden consultarse aquí. Estos materiales están pensados para ayudar a responsables y encargados durante el periodo transitorio hasta la entrada en aplicación del RGPD. Posteriormente, y de acuerdo con lo previsto en el Reglamento, las autoridades de protección de datos podrán elaborar clausulados modelo que deberán ser aprobados por el futuro Comité Europeo de Protección de Datos. La Comisión Europea también podrá preparar cláusulas contractuales modelo.
11. Evaluaciones de impacto relativas a la protección de datos
Cuando sea probable que un tratamiento, especialmente si se utilizan las nuevas tecnologías, por su naturaleza, alcance, contexto o finalidades, suponga un riesgo alto para los derechos y libertades de las personas físicas, el responsable debe hacer una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales antes de iniciar el tratamiento.
¿Cómo se determina la necesidad de realizar una evaluación de impacto y cuál debe ser su contenido?
El RGPD contiene una lista indicativa de tres supuestos en que se considera que los tratamientos conllevan un alto riesgo:
- Elaboración de perfiles sobre cuya base se tomen decisiones que produzcan efectos jurídicos sobre los interesados o que les afecten significativamente de modo similar
- Tratamiento a gran escala de datos sensibles
- Observación sistemática a gran escala de una zona de acceso público
Estos criterios incluyen la noción de “gran escala”. El RGPD no determina qué debe entenderse por “gran escala”. El Grupo del Artículo 29, en su dictamen sobre la designación de delegados de protección de datos (que posteriormente se menciona), considera que para valorar si el tratamiento se realiza a gran escala debe tenerse en cuenta:
- El número de interesados afectados, bien en términos absolutos, bien como proporción de una determinada población
- El volumen de datos y la variedad de datos tratados
- La duración o permanencia de la actividad de tratamiento
- La extensión geográfica de la actividad de tratamiento
Junto con estos tres supuestos, el RGPD obliga a las autoridades de protección de datos a que confeccionen listas adicionales de tratamientos que requerirán una evaluación de impacto.
También prevé el RGPD que las autoridades puedan elaborar listas de tratamientos en que no se precisa evaluación de impacto.
La existencia de estos listados no excluye el que los responsables deban realizar el correspondiente análisis de riesgo y, en caso de que concluyan que existe un alto riesgo para los derechos y libertades de los interesados, lleven a cabo una evaluación de impacto, aun cuando el tratamiento en cuestión no esté incluido en ninguna de las dos listas mencionadas. El RGPD se basa en un principio de responsabilidad activa del responsable y es siempre en último extremo el responsable el que debe decidir qué medidas aplicar y cómo hacerlo. La intervención de las autoridades de supervisión o las previsiones del propio RGPD aclaran sus disposiciones o las especifican, pero no sustituyen la responsabilidad de quienes tratan los datos.
Al margen de las listas expresamente previstas por el RGPD, la Autoridad Catalana de Protección de Datos, la Agencia Española de Protección de Datos y la Agencia Vasca de Protección de Datos publicarán durante el periodo transitorio recursos que ayuden a los responsables a determinar la necesidad de realizar una evaluación de impacto.
El RGPD establece un contenido mínimo de las evaluaciones de impacto sobre la protección de datos, aunque no contempla ninguna metodología específica para su realización.
Debe tenerse en cuenta que es posible realizar una única evaluación de impacto para varios tratamientos similares que entrañen altos riesgos también similares.
Para la delimitación de la noción de alto riesgo a los efectos de la obligatoriedad de llevar a cabo una evaluación de impacto y sobre los criterios para llevarla a cabo, se recomienda consultar la Guía de evaluación de impacto en la protección de datos (DPIA) adoptada por el Grupo de Trabajo del Artículo 29 con fecha 4 de abril de 2017, que se puede consultar aquí.
- ¿Qué sucede con los tratamientos iniciados antes del 25 de mayo de 2018 a los cuales sea exigible la evaluación de impacto sobre la protección de datos con la nueva normativa?
En la medida en que esos tratamientos se prolonguen más allá del 25 de mayo de 2018, y el análisis de riesgo que las organizaciones lleven a cabo sobre los tratamientos iniciados con anterioridad a la fecha de aplicación del RGPD indiquen que esos tratamientos presentan alto riesgo para los derechos o libertades de los interesados, la Guía de evaluación de impacto en la protección de datos (DPIA) adoptada por el Grupo de Trabajo del Artículo 29 también recomienda que se llevé a cabo una DPIA “para los tratamientos de datos que hayan tenido lugar antes de mayo de 2018 y los cuales, por lo tanto, no estén sujetos a un DPIA, para asegurarse de que 3 años después de esta fecha o antes, dependiendo del contexto, los riesgos de los derechos y libertades están siendo mitigados.”.
12. Consulta previa
Si de la evaluación de impacto sobre la protección de datos resulta que el tratamiento previsto podría infringir el RGPD, en particular cuando el responsable no haya identificado o mitigado suficientemente el riesgo, el responsable debe hacer una consulta a la autoridad de control en materia de protección de datos competente.
En los casos en que las EIPD hayan identificado un alto riesgo que a juicio del responsable de tratamiento no pueda mitigarse por medios razonables en términos de tecnología disponible y costes de aplicación, el responsable deberá consultar a la autoridad de protección de datos competente. La consulta debe ir acompañada de la documentación que prevé el RGPD, incluyendo la propia Evaluación de Impacto.
La autoridad de control debe asesorar por escrito al responsable y, en su caso, al encargado, y puede hacer uso de todos los poderes que le confiere el Reglamento, entre ellos el de prohibir la operación de tratamiento.
13. Protección de datos desde el diseño y por defecto
El Reglamento introduce los conceptos de privacidad desde el diseño y privacidad por defecto.
Esto implica que el responsable aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del tratamiento mismo, las medidas técnicas y organizativas adecuadas (como por ejemplo la seudonimización) concebidas para aplicar de manera efectiva los principios de protección de datos, e integrar las garantías necesarias en el tratamiento, para cumplir los requerimientos del Reglamento.
Asimismo, el responsable aplicará las medidas técnicas y organizativas adecuadas para garantizar que, por defecto, sólo se traten los datos personales necesarios para cada finalidad específica del tratamiento.
14. Códigos de conducta
El RGPD también regula los códigos de conducta que pueden promover las asociaciones y otros organismos representativos de categorías de responsables del tratamiento o encargados del tratamiento para la correcta aplicación del Reglamento.
El código de conducta debe presentarse a la autoridad de control competente para su aprobación, registro y publicación. También corresponde a la autoridad de control acreditar al organismo de supervisión que prevea el código.
La adhesión y el cumplimiento de un código de conducta es un elemento a tener en cuenta a la hora de demostrar el cumplimiento obligaciones del responsable del tratamiento, en especial, en el momento de realizar la evaluación de impacto sobre la protección de datos.
15. Mecanismos de certificación
El Reglamento también promueve los mecanismos de certificación, tales como certificados, sellos o marcas, como mecanismo para demostrar el cumplimiento del RGPD.
16. Delegado de protección de datos (DPD)
El Reglamento introduce la figura del delegado de protección de datos, que podrá formar parte de la plantilla del responsable o encargado o actuar en el marco de un contrato de servicios. Será necesario designar un delegado de protección de datos en los casos siguientes:
- Cuando el tratamiento lo realice una autoridad u organismo público (excepto juzgados y tribunales). En este caso, se podrá designar un único delegado de protección de datos para diversas de estas autoridades u organismos.
- Cuando el tratamiento requiera la observación habitual y sistemática de interesados a gran escala.
- Cuando el tratamiento tenga por objeto categorías especiales de datos personales o datos relativos a condenas o infracciones penales.
El delegado de protección de datos tendrá entre otras las siguientes funciones:
- Informar y asesorar al responsable o al encargado y a los trabajadores sobre las obligaciones que impone la normativa de protección de datos.
- Supervisar el cumplimiento de la normativa.
- Asesorar respecto de la evaluación de impacto relativa a la protección de datos.
- Cooperar con la autoridad de control.
- Actuar como punto de contacto para cuestiones relativas al tratamiento.
La designación del delegado de protección de datos y sus datos de contacto deben hacerse públicos por los responsables y encargados y deberán ser comunicados a las autoridades de supervisión competentes.
La posición del DPD en las organizaciones tiene que cumplir los requisitos que el RGPD establece expresamente. Entre ellos se cuentan la total autonomía en el ejercicio de sus funciones, la necesidad de que se relacione con el nivel superior de la dirección o la obligación de que el responsable o el encargado faciliten al DPD todos los recursos necesarios para desarrollar su actividad.
El Grupo del Artículo 29 ha publicado un dictamen sobre la designación de los DPD que puede consultarse aquí, en el que pueden encontrarse también una serie de Preguntas Frecuentes sobre los diversos aspectos de esta figura.
- ¿Qué requisitos o cualificaciones debe tener el Delegado de protección de datos?
El DPD ha de ser nombrado atendiendo a sus cualificaciones profesionales y en particular a su conocimiento de la legislación y la práctica de la protección de datos. Esto no significa que el DPD deba tener una titulación específica. En la medida en que entre las funciones del DPD se incluye el asesoramiento al responsable o encargado en todo lo relativo a la normativa sobre protección de datos, los conocimientos jurídicos en la materia son sin duda necesarios, pero también es necesario contar con conocimientos ajenos a lo estrictamente jurídico, como por ejemplo en materia de tecnología aplicada al tratamiento de datos o en relación con el ámbito de actividad de la organización en la que el DPD desempeña su tarea.
17. Transferencias internacionales
El modelo de transferencias internacionales diseñado por el RGPD sigue los mismos criterios que el establecido por la Directiva 95/46 y por las legislaciones nacionales de trasposición. Según este modelo, los datos sólo podrán ser comunicados fuera del Espacio Económico Europeo:
- A países, territorios o sectores específicos (el RGPD incluye también organizaciones internacionales) sobre los que la Comisión haya adoptado una decisión reconociendo que ofrecen un nivel de protección adecuado.
- Cuando se hayan ofrecido garantías adecuadas sobre la protección que los datos recibirán en su destino.
- Cuando se aplique alguna de las excepciones que permiten transferir los datos sin garantías de protección adecuada por razones de necesidad vinculadas al propio interés del titular de los datos o a intereses generales.
Desde el punto de vista de los responsables y encargados que actualmente realizan transferencias internacionales o que las efectuarán en el marco del RGPD, hay algunas novedades a tener en cuenta:
- Las decisiones de adecuación que la Comisión ha adoptado con anterioridad a la aplicación del RGPD seguirán siendo válidas, y por tanto podrán seguir realizándose transferencias basadas en ellas, en tanto la Comisión no las sustituya o derogue.
- Las decisiones de la Comisión estableciendo cláusulas tipo para los contratos en los que se establecen garantías para las transferencias internacionales seguirán siendo válidas hasta que la Comisión las sustituya o derogue.
- Las autorizaciones de transferencias que las autoridades nacionales de protección de datos hayan otorgado sobre la base de garantías contractuales seguirán siendo válidas en tanto las autoridades no las revoquen.
- Las garantías sobre la protección que recibirán los datos en destino las debe ofrecer el exportador, que podrá ser tanto un responsable como un encargado de tratamiento.
- Se amplía la lista de posibles instrumentos para ofrecer garantías, incluyéndose expresamente, entre otros, las Normas Corporativas Vinculantes para responsables y encargados, los códigos de conducta y esquemas de certificación, así como los cláusulas contractuales modelo que puedan aprobar las autoridades de protección de datos.
- En los casos de Normas Corporativas Vinculantes, cláusulas contractuales estándar, códigos de conducta y esquemas de certificación, la transferencia no requerirá la autorización de las autoridades de supervisión.
- Se añade una excepción al listado que en su momento estableció la Directiva 95/46. Se trata de la posibilidad de que el responsable pueda transferir datos a un país sin nivel adecuado de protección cuando esa transferencia sea necesaria para satisfacer intereses legítimos imperiosos del responsable y la transferencia no es repetitiva y afecta sólo a un número limitado de interesados. En todo caso, la transferencia solo será posible si no prevalecen los derechos, libertades e intereses de los afectados y deberá comunicarse a la autoridad de protección de datos.
18. Medidas de seguridad
A diferencia de la normativa actual, el Reglamento no establece un listado de las medidas de seguridad que son de aplicación de acuerdo con la tipología de datos objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas adecuadas al riesgo que conlleva el tratamiento. Ello implicará tener que hacer una evaluación de los riesgos asociados a cada tratamiento, para determinar las medidas de seguridad a implementar.
- ¿Cómo se lleva a cabo un análisis de riesgo?
El tipo de análisis variará en función de los tipos de tratamiento, de la naturaleza de los datos que se traten, del número de interesados afectados o de la cantidad y variedad de tratamientos que una misma organización lleve a cabo.
En las grandes organizaciones este análisis deberá como regla general llevarse a cabo utilizando alguna de las metodologías de análisis de riesgo existentes. En responsables de menor tamaño y con tratamientos de poca complejidad este análisis sería el resultado de una reflexión, mínimamente documentada, sobre las implicaciones de los tratamientos en los derechos y libertades de los interesados. Esa reflexión debería dar respuesta a cuestiones como las siguientes:
- ¿Se tratan datos sensibles?
- ¿Se tratan datos de una gran cantidad de personas?
- ¿Incluye el tratamiento la elaboración de perfiles?
- ¿Se cruzan los datos obtenidos de los interesados con otros disponibles en otras fuentes?
- ¿Se pretende utilizar los datos obtenidos con una finalidad para otro tipo de finalidades?
- ¿Se están tratando grandes cantidades de datos, incluido con técnicas de análisis masivo tipo big data?
- ¿Se utilizan tecnologías especialmente invasivas para la privacidad, como las relativas a geolocalización, videovigilancia a gran escala o ciertas aplicaciones del internet de las cosas?
Cuanto mayor fuera el número de respuestas afirmativas mayor sería el riesgo que podría derivarse del tratamiento. De este modo, si la respuesta a estas preguntas y otras del mismo tipo fuera negativa, es razonable concluir que la organización no realiza tratamientos que generen un elevado nivel de riesgo y que, por tanto, no debe poner en marcha las medidas previstas para esos casos.
19. Notificación de violaciones de seguridad
Si se produce una violación de la seguridad, el responsable debe notificarlo a la autoridad de control en un plazo máximo de 72 horas, a menos que sea improbable que constituya un riesgo para los derechos y libertades de las personas.
Además, cuando sea probable que la violación pueda comportar un alto riesgo para los derechos de los interesados, el responsable lo deberá comunicar a las personas afectadas sin dilaciones indebidas y en lenguaje claro y sencillo, excepto que:
- El responsable hubiera adoptado medidas de protección adecuadas, como que los datos no sean inteligibles para personas no autorizadas.
- Haya aplicado medidas ulteriores que garanticen que ya no existe la probabilidad de que se concrete el alto riesgo.
- Suponga un esfuerzo desproporcionado.
- ¿Cuál es el plazo para notificar a la autoridad de control una violación de la seguridad?
La notificación de la quiebra a las autoridades debe producirse sin dilación indebida y, a ser posible, dentro de las 72 horas siguientes a que el responsable tenga constancia de ella. Este criterio puede ser objeto de interpretaciones variadas. En general, se considera que se tiene constancia de una violación de seguridad cuando hay una certeza de que se ha producido y se tiene un conocimiento suficiente de su naturaleza y alcance. La mera sospecha de que ha existido una quiebra o la constatación de que ha sucedido algún tipo de incidente sin que se conozcan mínimamente sus circunstancias no deberían dar lugar, todavía, a la notificación, dado que en esas condiciones no sería posible, en la mayoría de los casos, determinar hasta qué punto puede existir un riesgo para los derechos y libertades de los interesados.
No obstante, en casos de quiebras que por sus características pudieran tener gran impacto, sí podría ser recomendable contactar con la autoridad de supervisión tan pronto como existan evidencias de que se ha producido alguna situación irregular respecto a la seguridad de los datos, sin perjuicio de que esos primeros contactos puedan completarse con una notificación formal más completa dentro del plazo legalmente previsto.
Puede haber casos en que la notificación no pueda realizarse dentro de esas 72 horas, por ejemplo, por la complejidad en determinar completamente su alcance. En esos casos, es posible hacer la notificación con posterioridad, acompañándola de una explicación de los motivos que han ocasionado el retraso.
- ¿Cuál debe ser el contenido de la notificación a la autoridad de control de una violación de seguridad?
La notificación ha de incluir un contenido mínimo que el propio RGPD establece y que incluye elementos como la naturaleza de la violación, categorías de datos y de interesados afectados, o medidas adoptadas por el responsable para solventar la quiebra y, si procede, las medidas aplicadas para paliar los posibles efectos negativos sobre los interesados. También la información puede proporcionarse de forma escalonada cuando no sea posible hacerlo en el mismo momento de la notificación.
El Grupo del Artículo 29 preparará un formulario estandarizado a nivel europeo tanto para ayudar a los responsables a presentar unas notificaciones completas de acuerdo con los criterios del RGPD como para que esas notificaciones se realicen de forma armonizada a en toda la Unión Europea.
Con independencia de la notificación a las autoridades, los responsables deben documentar todas las violaciones de seguridad. Se trata de una obligación que establece el RGPD y que se aproxima en gran medida al Registro de Incidencias que prevé el Reglamento de Desarrollo de la LOPD.
- ¿Cuándo es probable que una violación de seguridad pueda comportar un alto riesgo para los derechos de los interesados?
El criterio del alto riesgo que menciona el RGPD debe entenderse en el sentido de que sea probable que la violación de seguridad ocasione daños de entidad a los interesados. Esto ocurriría, por ejemplo, en casos en que se desvele información confidencial, como contraseñas o participación en determinadas actividades, se difundan de forma masiva datos sensibles o se puedan producir perjuicios económicos para los afectados.
- ¿Cuál es régimen jurídico de la notificación a los afectados de una violación de seguridad?
El objetivo de esta notificación ha de ser el permitir que los afectados puedan tomar medidas para protegerse de sus consecuencias. Por ello, el RGPD requiere que se realice sin dilación indebida, sin hacer referencia ni al momento en que se tenga constancia de ella ni tampoco a la posibilidad de efectuar la notificación dentro de un plazo de 72 horas. El propósito es siempre que el interesado afectado pueda reaccionar tan pronto como sea posible.
Por los mismos motivos, el RGPD añade a los contenidos de la notificación las recomendaciones sobre las medidas que pueden tomar los interesados para hacer frente a las consecuencias de la quiebra.
20. Ventanilla única
Este sistema permite que los ciudadanos y también los responsables establecidos en diferentes estados miembros o que hagan tratamientos que afectan a diferentes estados miembros tengan una única autoridad de protección de datos como interlocutora.
Fuente: Autoritat Catalana de Protecció de Dades http://apdcat.gencat.cat/ca/inici/