Entradas

Abogados protección de datos

Transferencias internacionales de datos. LETRADOX Abogados

Transferencias internacionales de datos. LETRADOX® Abogados

Nuestro Dpto. de Protección de Datos le asesora en las cuestiones internacionales de Protección de Datos.

 

ÍNDICE

1.    Introducción protección de datos España

 

  1. Impacto del tratamiento de datos en las empresas

 

3.    Transferencias internacionales de datos

 

  1. Nuevas cláusulas contractuales tipo

 

4.1.       Estructura

1.     INTRODUCCIÓN PROTECCIÓN DE DATOS ESPAÑA.

La protección de datos personales aparece ya en el artículo 18.4 de la Constitución Española: “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”.

El 28 de enero de 1981, el Consejo de Europa aprueba el convenio 108 para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal. España no formaba parte de la CEE pero firmó el Convenio.

La Ley Orgánica 5/92 de Regulación del Tratamiento Automatizado de Datos de carácter personal (LORTAD) y la creación de la Agencia Española de Protección de Datos (AEDP) suponen la primera normativa de protección de datos en la legislación española.

La directiva 95/46/CE del Parlamento Europeo se traspuso en España a través de la LO 15/99 de Protección de Datos de carácter personal (LOPD).

A finales de 2018 llegó la vigente LO 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales.

Con anterioridad y fundamental en la regulación está el Reglamento General de Protección de Datos (GDPR) (Reglamento 2016/679) con este reglamento el Parlamento Europeo, el Consejo de la Unión Europea y la Comisión Europea reforzaban y unificaban la protección de datos para todos los individuos dentro de la Unión Europea. También se ocupa de la exportación de datos personales fuera de la UE.

El objetivo principal del GDPR es dar control a los ciudadanos y residentes sobre sus datos personales y simplificar el entorno regulador de los negocios internacionales unificando la regulación dentro de la UE. La aplicación entró en vigor el pasado 25 de mayo de 2018 tras una transición de dos años y, a diferencia de una directiva, no obligó a los gobiernos nacionales a aprobar ninguna legislación habilitante, por lo que es directamente vinculante y aplicable.

El nuevo régimen propuesto de protección de datos de la UE amplía el ámbito de aplicación de la legislación de protección de datos de la UE a todas las empresas extranjeras que procesan datos de residentes de la UE. Proporciona una armonización

de los reglamentos de protección de datos en toda la UE, facilitando así que las empresas no europeas cumplan estas normas.

El GDPR aplica:

A los “controladores” y a los “procesadores” de datos.

Un controlador de datos indica cómo y por qué se procesan los datos personales, mientras que un procesador es la parte que realiza el procesamiento real de los datos. Por lo tanto, el controlador podría ser cualquier organización, desde una empresa con fines de lucro hasta una organización benéfica o un gobierno. Un procesador podría ser una empresa de TI que realice el procesamiento de datos real.

Incluso si los controladores y procesadores están fuera de la UE, el GDPR seguirá aplicándose a ellos siempre y cuando se trate de datos pertenecientes a residentes de la UE.

Es responsabilidad del controlador asegurar que su procesador cumple con la ley de protección de datos y los procesadores deben respetar las reglas para mantener registros de sus actividades de procesamiento. Si los procesadores están involucrados en una violación de datos, son mucho más responsables bajo GDPR que estaban bajo la Ley de Protección de Datos.

Los puntos fundamentales del GDPR

Nueva gestión de los tratamientos: no será necesario notificar los tratamientos a la Agencia Española de Protección de Datos y, en su lugar, se deberá llevar internamente un registro de actividades de tratamiento. Aunque la entidad se pueda acoger a la excepción de menos de 250 trabajadores, por lo menos tendrá que tenerlos identificados.

Categorías especiales de datos: además de los ya existentes, se incluyen los datos genéticos y biométricos.

Base jurídica de los tratamientos: el consentimiento no será ya la causa principal de legalización de los tratamientos, sino que también podrán realizarse por habilitación legal, ejecución de un contrato, en interés vital de interesado o por interés legítimo del responsable. De basarse en el consentimiento, pasa a ser expreso requiriendo una clara acción afirmativa o declaración expresa.

Privacidad por diseño: supone tener presente a la privacidad durante todo el ciclo de vida del dato, desde antes de su obtención, pasando por las diferentes fases de tratamiento, hasta su destrucción.

Privacidad por defecto: supone obtener y tratar sólo aquellos datos necesarios para cumplir con la finalidad del tratamiento.

Responsabilidad proactiva o accountability: el responsable de tratamiento debe cumplir con las obligaciones del RGPD y ser capaz de demostrarlo, por lo que la documentación y trazabilidad son requisitos imprescindibles.

Enfoque basado en el riesgo: los responsables y encargados de tratamiento deberán adoptar medidas técnicas y organizativas apropiadas, para reducir o eliminar los riesgos detectados para los interesados en relación con el tratamiento de sus datos personales. Como el riesgo cero no existe, se debe lograr un riesgo residual aceptable.

Delegado de protección de datos: se deberá nombrar un DPD con carácter obligatorio en las administraciones públicas, cuando las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, y cuando las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales o datos de condenas y sanciones penales.

El Proyecto de Ley Orgánica de Protección de Datos, de aprobarse en los términos actuales, permitirá que cuando exista DPD, la Agencia Española de Protección de Datos les pase durante un mes las reclamaciones que presenten los interesados para que intente dar solución a la misma. De no conseguirlo, continuará el procedimiento sancionador o de tutela de derechos correspondiente.

Evaluaciones de impacto en protección de datos: los tratamientos que impliquen un riesgo para los datos personales de los interesados requerirán una evaluación de impacto en protección de datos previa. En concreto lo requerirán el tratamiento a gran escala de categorías especiales de datos y datos de condenas y sanciones penales, la evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o

que les afecten significativamente de modo similar y la observación sistemática a gran escala de una zona de acceso público.

Notificación de violaciones de seguridad de los datos personales: se deberán notificar aquellas violaciones que afecten a la confidencialidad, integridad o disponibilidad de los datos personales a la Agencia Española de Protección de Datos cuando exista un riesgo para los interesados. Si además, existe un alto riesgo para los interesados, se les deberá notificar a estos salvo que se hubieran tomado medidas previas que imposibilitaran el acceso de la información a terceros como el cifrado o se tomen medidas posteriores que eliminen la alta probabilidad de que se materialice ese riesgo.

2.     IMPACTO DEL TRATAMIENTO DE DATOS EN LAS EMPRESAS.

 

La regulación de protección de datos afecta de lleno a las empresas. Estamos en la era de la información y en este momento el GDPR endurece las condiciones para los ciudadanos y lar organizaciones que manejan información personal ajena.

El incumplimiento puede conllevar multas de hasta 20 millones de euros o el 4% de la facturación de la empresa.

Por ejemplo, la autoridad francesa impuso a Google una sanción de 50 millones de euros porque el tratamiento de los datos no estaba bien descrito. En este sentido se establece que para que el consentimiento de uso se considere informado el usuario debe conocer perfectamente para qué se van a emplear, en este caso se consideró que este requisito no estaba bien implementado.

En Alemania la autoridad alemana impuso a la compañía inmobiliaria Deutsche Wohen una sanción de 14,5 millones de euros por incumplimiento de la política de conservación de datos, al conservar éstos más tiempo del necesario.

Por la gravedad de las sanciones y por los derechos protegidos, los principios de privacidad y de respeto a la normativa deben estar integrados en toda la estructura de la empresa desde los departamentos de ventas y marketing a los de gestión y recursos humanos.

3.     TRANSFERENCIAS INTERNACIONALES DE DATOS.

La AEDP señala que las transferencias internacionales de datos suponen un flujo de datos personales desde el territorio español a destinatarios establecidos en países fuera del Espacio Económico Europeo (los países de la Unión Europea, mas Liechtenstein, Islandia y Noruega)

Las personas responsables y encargadas del tratamiento podrán realizar transferencias internacionales de datos sin necesidad de una autorización de la Agencia Española de Protección de Datos siempre que el tratamiento de datos observe lo dispuesto en el RGPD y se den los siguientes supuestos:

Destinatario declarado de nivel adecuado por la Comisión Europea. Las personas destinatarias de los datos se encuentres en un país, un territorio o uno o varios sectores específicos de este país u organización internacional que hay sido declarado de nivel de protección adecuado por la Comisión Europea. Hasta la fecha los países y territorios declarados como adecuados son:

  • Suiza. Decisión 2000/518/CE de la Comisión, de 26 de julio de 2000.
  • Canadá. Decisión 2002/2/CE de la Comisión, de 20 de diciembre de 2001, respecto de las entidades sujetas al ámbito de aplicación de la ley canadiense de protección de
  • Argentina. Decisión 2003/490/CE de la Comisión, de 3 de junio de
  • Guernsey. Decisión 2003/821/CE de la Comisión, de 21 de noviembre de
  • Isla de Man. Decisión 2004/411/CE de la Comisión, de 28 de abril de 2004.
  • Jersey. Decisión 2008/393/CE de la Comisión, de 8 de mayo 2008.
  • Islas Feroe. Decisión 2010/146/UE de la Comisión, de 5 de marzo de 2010
  • Andorra. Decisión 2010/625/UE de la Comisión, de 19 de octubre de 2010
  • Israel. Decisión 2011/61/UE de la Comisión, de 31 de enero de 2011
  • Uruguay. Decisión 2012/484/UE, de la Comisión, de 21 de agosto de 2012.
  • Nueva Zelanda. Decisión 2013/65/UE de la Comisión, de 19 de diciembre de 2012
  • Estados Unidos. Aplicable a las entidades certificadas en el marco del Escudo de Privacidad UE-EE.UU. Decisión (UE) 2016/1250 de la Comisión, de 12 de julio de 2016 (Decisión invalidada por el Tribunal de Justicia de la Unión Europea (TJUE) el 17 de julio de 2020).
  • Japón. Decisión de 23 de enero de 2019.
  • Reino Unido. Decisión de 28 de junio de 2021 (versión en inglés).

–    A falta de decisión de adecuación, con las siguientes garantías:

  1. Un instrumento jurídicamente vinculante y exigible entre las autoridades u organismos públicos.
  2. Normas corporativas
  3. Cláusulas tipo de protección de datos adoptadas por la Comisión, las cuales abordaremos en el apartado
  4. Cláusulas tipo de protección de datos adoptadas por una autoridad de control y aprobadas por la Comisión.
  5. Códigos de conducta, junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas, incluidas las relativas a los derechos de las personas
  6. Mecanismos de certificación, junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas, incluidas las relativas a los derechos de las personas

A falta de decisión de adecuación y de garantías. Únicamente se podrán realizar si se cumple alguna de las condiciones siguientes:

  1. La persona interesada haya dado explícitamente su

  1. La transferencia sea necesaria para la ejecución de un contrato entre las personas interesada y el responsable del tratamiento o para la ejecución de medidas precontractuales adoptadas a solicitud de la persona
  2.  sea necesaria para la celebración o ejecución de un contrato, en interés de la persona interesada, entre la persona responsable del tratamiento y otra persona física o jurídica.
  3. o por razones importantes de interés público.

  1. La transferencia sea necesaria para la formulación, el ejercicio o la defensa de

  1.    proteger   los   intereses   vitales   de la persona interesada o de otras personas, cuando la persona interesada esté física o jurídicamente incapacitada para dar su consentimiento.
  2.  se realice desde un registro público que, con arreglo al Derecho de la Unión o de los Estados miembros, tenga por objeto facilitar información al público y esté abierto a la consulta del público en general o de cualquier persona que pueda acreditar un interés legítimo, pero sólo en la medida en que se cumplan, en cada caso particular, las condiciones que establece el Derecho de la Unión o de los Estados miembros para la

Cuando tampoco sea aplicable ninguna de estas excepciones, solo se podrá llevar a cabo una transferencia si (1) no es repetitiva, (2) afecta solo a un número limitado de personas interesadas, (3) es necesaria a los fines de intereses legítimos imperiosos perseguidos por el responsable del tratamiento sobre los que no prevalezcan los intereses o derechos y libertades de la persona interesada, y (4) el responsable del tratamiento evalué todas las circunstancias concurrentes en la transferencia de datos y, basándose en esta evaluación, ofrezca garantías apropiadas con respecto a la protección de datos personales.

En este supuesto el responsable del tratamiento informará a la autoridad de control de la transferencia. Además de la información a que hacen referencia los artículos 13 y 14 del RGPD, el responsable del tratamiento informará a la persona interesada de la transferencia y de los intereses legítimos imperiosos perseguidos.

Cuándo se necesita una autorización expresa. Se necesitará autorización expresa de la agencia española de protección de datos cuando las garantía adecuadas se aporten mediante:

  • Cláusulas contractuales entre el responsable o el encargado y el responsable, y el encargado y subencargado, que no hayan sido adoptadas por la Comisión Europea o
  • Disposiciones que se incorporen en acuerdos administrativos entre las autoridades u organismos públicos que incluyan derechos efectivos y exigibles para las personas

Las autorizaciones otorgadas por la Agencia Española de Protección de Datos previamente a la aplicación del RGPD seguirán siendo válidas.

4.     NUEVAS CLÁUSULAS CONTRACTUALES TIPO

 

Con fecha 4 de junio de 2021, la Comisión Europea ha publicado el nuevo conjunto de cláusulas contractuales tipo que, además de sustituir a sus predecesoras, pretenden poder enmarcar un abanico de transferencias ya sea entre responsable y responsable, entre responsable y encargado, entre encargados o entre encargado y responsable.

Las nuevas   cláusulas   se   adaptan   al   RGPD   incorporando   los   principios   de

«accountability» y tratan de adoptar los criterios señalados por el Tribunal de Justicia de la Unión Europea (TJUE) en la sentencia del caso Schrems II. No obstante, sigue siendo necesario que el exportador, en su caso ayudado por el importador, analice el impacto que la legislación del país del importador pueda tener en el nivel de protección proporcionado, de forma que sea esencialmente equivalente al que proporciona el marco europeo. Además, adicionalmente, deberán tenerse en cuenta las directrices del Comité Europeo de Protección de Datos sobre las medidas suplementarias que se considere adecuado adoptar para garantizar ese nivel de protección equivalente.

Las cláusulas contractuales de las Decisiones de la Comisión Europea 2001/497/CE, 2004/915/CE y 2010/87/UE quedarán derogadas a partir del 27 de septiembre de 2021. No obstante, los contratos celebrados antes de dicha fecha con arreglo a las anteriores Decisiones serán válidos hasta el 27 de septiembre de 2022, siempre que las operaciones de tratamiento permanezcan inalteradas y las cláusulas contractuales garanticen que la transferencia de datos personales esté sujeta a garantías adecuadas.

Los contratos que utilicen las cláusulas contractuales de 2001/497/CE, 2004/915/CE o la Decisión 2010/87/UE tendrán un período de 15 meses para su adaptación a las nuevas cláusulas.

Las cuestiones más relevantes son:

4.1  Estructura

 

Tienen una estructura modular, siendo su redactado diferente dependiendo del escenario en el que se utilicen. En este sentido, contemplan cuatro escenarios diferentes de transferencias internacionales de datos:

  1.  responsable a responsable (R-R);
  2.  responsable a encargado (R-E);

  1.  encargado a responsable (E-R); y
  2.  encargado a encargado (E-E).

La estructura modular de las nuevas cláusulas en cuanto escenarios diferentes tiene en cuenta dos escenarios que no se contemplaban con las anteriores (E-R y E-E). De esta manera, las nuevas reflejan mejor la diversidad de escenarios presentes en la realidad.

Así, las cláusulas para todos los escenarios se dividen en cuatro secciones diferentes:

Una primera sección introductoria con cláusulas generales sobre interpretación y jerarquía.

Una segunda sección con las obligaciones de las partes.

Una tercera sección sobre obligaciones de análisis de normas locales y acceso a datos por parte de las autoridades.

Una cuarta sección con cláusulas finales como pueden ser, la cláusula de ley aplicable o la de jurisdicción. Asimismo, los escenarios R-R y E-R contienen dos anexos sobre características del tratamiento y medidas técnicas y organizativas, mientras que los escenarios R-E y E-E contienen un anexo adicional para listar a los subencargados del tratamiento.

Adicionalmente, las nuevas cláusulas contienen toda la información requerida para la contratación de encargados del tratamiento. Por lo tanto, en la medida en la que aplique, no será necesario firmar un contrato de encargo de tratamiento adicional a las cláusulas.

Estas cláusulas actualizadas tratan de solucionar las anteriores deficiencias implementando obligaciones que emanan de la GDPR. Destacando:

  • Se incorporan apartados expresamente previstos en el RGPD como la gestión de brechas de seguridad o la referencia a las medidas técnicas y organizativas del artículo 32 del RGPD. Las partes deben describir las medidas de seguridad técnicas y organizativas aplicadas, que incluirán las medidas adoptadas para ayudar a responder a las solicitudes de los

  • Se integra el principio de responsabilidad proactiva al obligar a las partes a demostrar el cumplimiento del contenido de las

  • Se crean obligaciones más detalladas en comparación con las establecidasen las anteriores CCT, lo que aumenta sustancialmente el nivel de diligencia debida para evaluar el impacto potencial de las leyes locales sobre los En este sentido, se incorporan algunas de las obligaciones señaladas por el TJUE en “Schrems II” y apoyadas por el CEPD.

La suscripción de las CCT actualizadas está condicionada a la realización previa de un análisis de impacto de la transferencia para verificar si el marco legislativo del país de destino es esencialmente equivalente al del país de origen de los datos. La Comisión ha introducido cierta flexibilidad en relación con los diferentes elementos que pueden tenerse en cuenta para realizar este análisis. Puede analizarse desde la jurisprudencia e informes de organismos de supervisión independientes hasta la experiencia practica documentada del exportador y/o del importador de datos.

  • Se refuerzan obligaciones como el deber del importador de notificar el al exportadorante una solicitud de divulgación de datos personales por parte de una autoridad, o el deber del importador de impugnar dicha solicitud y de, incluso, solicitar medidas cautelares si considera que existen razones suficientes para hacerlo. Asimismo, si un importador notifica al exportador la imposibilidad de cumplir con las CCT actaulizadas, el exportador puede identificar medidas adicionales para mitigar el riesgo del Si las medidas adicionales no permiten mitigar debidamente los riesgos, el exportador deberá suspender la transferencia

  • Se admiten las transferencias ulteriores por parte de importadores de datos a otros destinatarios para el ejercicio de reclamaciones legales relacionadas con procedimientos administrativos, judiciales o reglamentarios, así como para proteger intereses vitales del interesado u otra persona física.

  • Se admiten las transferencias ulteriores por parte de importadores de datos a otros destinatarios para el ejercicio de reclamaciones legales relacionadas con procedimientos administrativos, judiciales o reglamentarios, así como para proteger intereses vitales del interesado u otra persona física.

  • Con respecto al derecho del exportador de datos a obtener, previa solicitud, una copia de los contratos de subencargo del importador, se aclara que el importados puede reservarse la facultad de redactar el contrato de forma que proteja sus secretos comerciales u otra información confidencial. Se trata de una mejora con respecto a las anteriores que preveían la obligación de proporcionar copias sobre información comercial sin autorización.

  • Se prevé la adhesión de partes adicionales a las cláusulas ya suscritas, si bien esta cláusula es voluntaria y está sujeta a la aceptación por las partes contratantes y al cumplimiento de los anexos y medidas técnicas y organizativas de las cláusulas por parte del tercero.

 

Para adaptar su empresa a la normativa de protección de datos o bien consultarnos su caso sobre transferencias internacionales datos :

LETRADOX ABOGADOS

Tlf. 912980061 / 645958948

email: info@letradox.es

https://www.letradox.com

Transferencias internacionales de datos. LETRADOX® Abogados

LETRADOX® entrevista al Presidente de la Asociación de Delegados de Protección de Datos. Referente en Privacidad.

LETRADOX® entrevista al Presidente ADPD de España

 

LETRADOX® entrevista al Presidente ADPD de España.

🎯Hoy en #Referentes de LETRADOX®️Abogados el Presidente de la Asociación Española de Delegados de Protección de Datos, don Jorge Badiola. El #Referente en Privacidad. 

La AEDPD está integrada por la élite del conocimiento en España en privacidad. 

¡Disfrutad de la entrevista de la letrada Marián Rojo a todo un #Referente! 

Las entrevistas a los #Referentes del mundo del Derecho y de la Empresa, en LETRADOX 

LETRADOX Abogados 

www.letradox.com 

 

#DPD #Abogadosnuevastecnologias #nuevastecnologias #Abogados #Privacidad #ProteccióndeDatos #DelegadoProtecciondedatos #bigdata #Legaltech #Letradox 

TODO SOBRE PROTECCIÓN DE DATOS. POR LETRADOX ABOGADOS.

TODO SOBRE PROTECCION DE DATOS POR LETRADOX ABOGADOS.

Desde que el pasado 25 de mayo de 2018 entrase en vigor la nueva normativa de Protección de Datos hemos sufrido grandes cambios.

No hay más que ver la cantidad de artículos que desde aquí hemos dedicado a ello. Conscientes de la densidad de información, recogemos en este post todas las claves de manera sucinta. Enlazando para mayor desarrollo a otros escritos sobre los diferentes puntos.

Así pues, esta es toda la información que necesitará sobre protección de datos. Todas las novedades y necesidades que trajo el Reglamento Europeo sobre la materia.

Diariamente estamos facilitando nuestros datos de carácter personal para realizar actividades cotidianas. Y sobre todo, con las nuevas tecnologías el volumen y rapidez con el que se captan tratan estos datos es ingente. 

  • DEFINICIONES DE DATO DE CARÁCTER PERSONAL.

En primer lugar, Según el art 3.a de la LOPD. Es cualquier información concerniente a personas físicas identificadas o identificables.

De otro lado, Según el art. 5.1.f. del RDLOPD. Es cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.

Las novedades que incluye este RDLOPD entre otras es: incluir en su ámbito de aplicación a fallecidos, personas de contacto y empresarios individuales. La regla general de aplicación es a todo tratamiento automatizado o manual de estos datos si existe fichero.

(definición de fichero. Fichero: Todo conjunto organizado de datos de carácter personal, que permita el acceso a los datos con arreglo a criterios determinados, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.)

OTRAS DEFINICIONES DESTACABLES, COMO POR EJEMPLO, RESPONSABLE, ENCARGADO… LES ACONSEJAMOS QUE VISITEN ESTE LINK A NUESTRO POST. 

  • PRINCIPIOS LOPD.

Calidad. en esencia, Los datos inexactos o incompletos deben ser cancelados y sustituidos de oficio. Además los datos deben ser recogidos para finalidades determinadas, explícitas y legítimas. así mismo, los datos recogidos no pueden usarse para finalidades incompatibles.

Por otro lado, Información. El afectado debe ser informado de manera expresa, precisa e inequívoca de lo recogido en el art. 5.1.

“ A) existencia de un fichero. B) finalidad de la recogida. C) destinatarios de la información. D) carácter obligatorio o facultativo de las preguntas. E) consecuencias de la obtención. F)posibilidad de ejercicio de derechos. G) identidad del responsable o su representante. H) dirección del responsable o su representante.”

Así mismo, cuando el dato se recaba de un tercero se informa por el responsable en los tres meses siguientes.:

  • origen de los datos.
  • Identidad del responsable del tratamiento.
  • Extremos a,d y e del art. 5.1.

Para publicidad o prospección comercial cuando los datos sean recogidos de fuentes accesibles al público. Se debe incluir el origen de los datos, identidad del responsable del tratamiento y los derechos que le asisten

Consentimiento. Debe existir una manifestación de la voluntad libre, inequívoca, específica e informada. Tanto para el tratamiento de datos como para la cesión.  Si son datos especialmente protegidos requieren consentimiento por escrito. El consentimiento, además puede ser revocado. Y cuando no sea necesario el consentimiento puede oponerse al tratamiento por motivos fundados y legítimos. (ejemplos de este último caso es por ejemplo datos de fuentes accesibles al Público).

Finalmente, están los principios de Seguridad de los Datos (art.9). El Deber de secreto (art.10). Y el Acceso a datos por cuenta de terceros (art. 12).

  • DERECHOS COMO INTERESADO.

En primer lugar, tener en cuenta que están recogidos en los artículos del 13 al 19 de la LOPD. Los más relevantes los denominamos derechos ARCO. Y son el de Acceso, el derecho de Rectificación, el de Cancelación y el de Oposición. Estos son los derechos sobre los que le podremos asesorar y ayudar a ejercer. Así mismo, estos tienen especialidades reguladas en el RDLOPD.

Sobre estos derechos hacíamos mención en el siguiente post: aquí.  Estaremos completamente a su disposición para esclarecer dudas.

  • ANÁLISIS DE LOS RIESGOS EN PROTECCIÓN DE DATOS.

Llamamos Gestión de riesgos al conjunto de actividades y tareas que permiten controlar la incertidumbre relativa a una amenaza. A través de una secuencia de actividades que incluyen la identificación y evaluación del riesgo.

Por lo tanto, podemos dividirlo en tres etapas. Identificación, evaluación y tratamiento de los riesgos. La evaluación de riesgos es la valoración del impacto de la exposición a la amenaza. La exposición a los riesgos en la protección de datos se produce desde el mismo momento en que se inician los tratamientos.

El responsable (figura que ahora definiremos) debe aplicar unas medidas técnicas y organizativas apropiadas para la protección. 

– pseudonimización, cifrado de datos personales

– Confidencialidad, integridad, disponibilidad, resiliencia permanente de sistemas de tratamiento

– Proceso de verificación, evaluación y valoración regulares de la eficacia.

En primer lugar, será capital la definición la actividad del tratamiento para ver qué medidas emplear.

Sobre todas estas cuestiones enunciadas y de suma importancia, sin duda, le redirigiros a un completo artículo. Vistas las pinceladas más relevantes sobre el asunto desarrollamos todo aquí.

  • NOVEDADES PRINCIPALES DEL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS.

primero, partiendo del modelo de privacidad y la figura del DPO el reglamento incluye.:

Forma de obtención del consentimiento

Nuevos derechos para los interesados (derecho al olvido, portabilidad, limitación).

Necesidad de notificar las violaciones de privacidad a la AGPD en un plazo de 90 días

La obtención del consentimiento la hemos tratado someramente en los principios antes citados. Y es muy curioso y relevante el nuevo derecho al olvido. Un derecho que materializa nuestro deseo de querer “desaparecer”. De hacer desaparecer nuestros datos de determinados lugares y tratamientos.

Por otra parte, ¿Cómo adaptar mi empresa al Reglamento Europeo de Protección de Datos?. De manera muy sencilla los principales puntos, al margen de un asesoramiento más individualizado y profundo, son.:

– Cambia el modelo de gestión de la protección de datos

– Privacidad desde el diseño y por defecto

– No basta con cumplir la normativa, hay que poder demostrarlo, por lo que todo tiene que estar muy bien documentado.

– Importante contar con asesoramiento jurídico experto.

Más datos aquí.

Finalmente, en este punto, quizá lo que más interese saber sean las medidas de seguridad del nuevo Reglamento. Habrá de saber que no existe un catálogo de medidas. Se exige como hemos enunciado el análisis de riesgos y evaluaciones de impacto. Sin embargo, aunque no se recojan todas las medidas de seguridad sí hay medidas obligatorias. Algunas son.: Registrar actividades de tratamiento, deber de información, informar sobre brechas de seguridad, la citada evaluación de impacto y contar con un Delegado de Protección de Datos.

Sobre cómo empezar a implementar las medidas de seguridad dentro de una empresa recogemos el siguiente texto de nuestro blog. Link.

Para concluir daremos la definición de la tan citada figura del Delegado de Protección de Datos. 

En primer lugar. Siempre habrá que tener un DPD en los supuestos del art. 37.1 RGPD. Y en todo caso en 16 supuestos recogidos entre los que citamos.: Los colegios profesionales y sus consejos generales. Centros docentes. Entidades de que presten servicios de comunicaciones electrónicas. también, prestadores de servicios de la sociedad de la información. Establecimientos financieros de crédito. Así mismo, entidades aseguradoras y reasegurados. Distribuidores y comercializadores de energía eléctrica y distribuidores de gas. Centros sanitarios…

el Delegado de Protección de Datos se encargará de garantizar el cumplimiento de normativa de protección de datos en empresa.sería ideal que este contase con conocimientos en derecho. Lo que sí será necesario es que cuente con formación en protección de datos. el art. 39 del RGPD recoge sus funciones. Además, representa a la empresa ante la Agencia Española de Protección de Datos. Y establece protocolos de actuación respecto al cumplimiento de estas normas.

Es muy relevante el paso dado por la Agencia Española de Protección de Datos. Ésta ha desarrollado un modelo de certificación para los delegados. 

Para más información: post.

Así pues, Como han podido comprobar es ingente la cantidad de información sobre el tema. Hemos buscado la mejor manera de condensarla y explicarla de manera clara y sucinta. No obstante, les invitamos a que contacten con Letradox Abogados con cualquier consulta. Contamos con grandes profesionales especialistas en esta materia. 

Letradox Abogados

C/ Jorge Juan 141, 3ºA. Madrid

TLF: 645 958 948 / 91 298 00 61

Correo: info@letradox.es

DELEGADO DE PROTECCIÓN DE DATOS EN EMPRESAS.

Puntos clave sobre el delegado de protección de datos en una empresa.

¿ De qué se encarga el delgado de protección de datos?. Se encarga de garantizar el cumplimiento de normativa de protección de datos en la empresa. Lo ideal es contar con un delegado de protección de datos adecuadamente formado. Será necesario que cuente con conocimientos en derecho y principalmente sobre protección de datos.

Las funciones del delegado de protección de datos (DPO) vienen recogidas en el art. 39 del RGPD. Entre las obligaciones destacan las de informar, asesorar y supervisar el cumplimiento de RGPD. Además, representa a la empresa ante la Agencia Española de Protección de Datos. Y establece protocolos de actuación respecto al cumplimiento de estas normas.

Aunque no es necesario que sea jurista sí que posea conocimientos sobre derecho.

Es muy relevante el paso dado por la Agencia Española de Protección de Datos. Ésta ha desarrollado un modelo de certificación para los delegados. 

Esto atribuye una referencia de cualificación profesional a tener en cuenta para su contratación.

Otro punto relevante que una empresa debería buscar es la independencia del trabajo del DPO. De modo que sería mejor un profesional externo. Desde nuestro punto de vista. No obstante, se podrá optar por un delegado de protección de datos interno.

Aunque no todas las empresas están obligadas a tener un delegado de protección de datos, de nuevo se recomienda. Obligadas estarían aquellas cuya actividad principal se relacione con tratamiento masivo de datos. Aquellas que traten datos especialmente protegidos a gran escala. Y aconsejable en todo caso que trate datos personales sensibles. en nuestro video recogemos algunas de las empresas donde es obligatorio o muy recomendable.

Para más información disponemos de un video explicativo. En el siguiente link.

letradox abogados le ofrece un asesoramiento íntegro sobre la materia. Así mismo un trato con profesionales expertos en la materia.

Abogados protección de datos

El Reglamento de Protección de Datos: La guía definitiva LETRADOX ABOGADOS

Reglamento General de Protección de Datos (EU) 2016/679

LETRADOX ABOGADOS

www.letradox.com

Tlfs: 912980061 / 645958948

info@letradox.es

C/ Jorge Juan 141, 3ºA. Madrid

 

¿Qué es la protección de datos de carácter personal?

Derecho Fundamental e independiente. Derechos vinculados.

Directiva 1995/46 CE y Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal

Reglamento (UE) 1016/679

Normativa complementaria

Orígenes
Declaración Universal de los Derechos Humanos (1948)
Textos que configuran la UE
«Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan» Derecho fundamental recogido en (TFUE) y (CDF)
Legislación europea posterior
Sentencias del TJUE

Además se encuentra la protección de datos en la Constitución Española: El artículo 18, un adelantado a su tiempo.

Artículo 18 de la Constitución Española:
Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen.
El domicilio es inviolable. Ninguna entrada o registro podrá hacerse en el sin consentimiento del titular o resolución judicial, salvo en caso de flagrante delito.
Por tanto se garantiza el secreto de las comunicaciones y, en especial, de las postales, 70 telegráficas y telefónicas, salvo resolución judicial.
También la Ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.»

Por lo que podemos decir que los Conceptos básicos son:
Dato personal
Tratamiento
Fichero
Automatizado/no automatizado
Responsable
Encargado
Interesado
Consentimiento
Cesión o comunicación de datos
Ciclo de vida de los datos
Autoridad de control

Los datos de carácter personal son cualquier información referente a personas físicas identificadas o identificables, pudiendo ser identificable toda persona cuya identidad pueda determinarse mediante un identificador (por ejemplo, un nombre, un número de identificación, datos de localización o un identificador en línea) o mediante el uso de uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de las personas.

Tener en cuenta que el Tratamiento es:

Cualquier operación o procedimiento técnico, sea o no automatizado, que implique la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, bloqueo, modificación, o cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias (AEPD).

Fichero:

Todo conjunto organizado de datos de carácter personal, que permita el acceso a los datos con arreglo a criterios determinados, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.

Automatizado = Informático
No automatizado = en papel

Responsable:

Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente.

En el caso de entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados, se considerará responsable del tratamiento a la persona o personas integrantes de los mismos.

Encargado:

Persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio.

En el caso de entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados, se considerará encargado del tratamiento a la persona o personas integrantes de los mismos.

Interesado: Persona física titular de los datos que sean objeto del tratamiento.

Consentimiento:

Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.

Ciclo de vida de los datos:

Conjunto ordenado de fases que van desde el momento de la obtención de un dato hasta su destrucción.

 

Las principales novedades del RGPD son:

Principio de responsabilidad proactiva
Privacidad desde el diseño y por defecto
Menos obligaciones formales
Desaparece la obligación de inscribir los ficheros
Figura del Delegado de Protección de Datos
Nuevas formas de legitimación y de obtención del consentimiento. Deber de informar.
Registro de Actividades de Tratamiento, Análisis de Riesgos y Evaluaciones de Impacto
Nuevos derechos: Supresión, portabilidad, limitación del tratamiento
Comunicación de brechas de seguridad

 

Toda esta información debe ser analizada y puesta en práctica  a la hora de adaptar una empresa al Reglamento de Protección de Datos.

Además en LETRADOX ABOGADOS muy pronto realizaremos un curso-online a modo de masterclass sobre esta materia, a fin de profundizar en estos y otros muchos aspectos importantes de la protección de datos. Del mismo modo, si quiere que llevemos la protección de datos de su empresa, llámenos sin compromiso.

Muchas gracias por su atención,

EQUIPO DE

LETRADOX ABOGADOS

www.letradox.com