¿Qué es el RGPD?

El nuevo Reglamento General de Protección de Datos (RGPD) es una norma de aplicación directa en toda la Unión Europea, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. El RGPD sustituye desde de mayo de 2018 a la actual Ley Orgánica de Protección de Datos (LOPD).
Contiene muchos conceptos, principios y mecanismos similares a los establecidos por la LOPD. Por ello, las organizaciones que en la actualidad cumplen adecuadamente con la LOPD tienen una buena base de partida para evolucionar hacia una correcta aplicación del nuevo Reglamento.
Dos elementos de carácter general constituyen la mayor innovación del RGPD para los responsables:
• Responsabilidad proactiva: requiere que las organizaciones analicen qué datos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo. A partir de este conocimiento deben determinar de forma explícita la forma en que aplicarán las medidas que el RGPD prevé, asegurándose de que esas medidas son las adecuadas para cumplir con el mismo y de que pueden demostrarlo ante los interesados y ante las autoridades de supervisión
• Enfoque de riesgo: las medidas dirigidas a garantizar su cumplimiento deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas.

Principales cambios respecto a la LOPD

LEGITIMACIÓN PARA EL TRATAMIENTO DE DATOS

Hay que incluir la base legal sobre la que se desarrolla el tratamiento (consentimiento, relación contractual, ejercicio de poderes públicos, etc.).
El consentimiento debe ser “inequívoco”, mediante una manifestación del interesado o mediante una clara acción afirmativa. RECOMENDACIÓN: No seguir obteniendo consentimiento por omisión y revisar esos tratamientos para que, a partir mayo de 2018, se hayan adecuado a las previsiones del RGPD.

TRANSPARENCIA E INFORMACIÓN A LOS INTERESADOS

La información a los interesados tanto respecto a las condiciones de los tratamientos que les afecten como en las respuestas a los ejercicios de derechos, deberá proporcione de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo.
DERECHOS
El RGPD contiene los ya tradicionales derechos ARCO y también algunos nuevos derechos:
• Derecho de acceso: Se reconoce el derecho a obtener una copia de los datos personales objeto del tratamiento.
IS5-RGPD 2

• Derecho al olvido: consecuencia de la aplicación del derecho de cancelación u oposición en el entorno online.
• Limitación de tratamiento: supone que, a petición del interesado, no se aplicarán a sus datos personales las operaciones de tratamiento que en cada caso corresponderían.
• Portabilidad: forma avanzada del derecho de acceso por el cual la copia que se proporciona al interesado debe ofrecerse en un formato estructurado, de uso común y lectura mecánica

Medidas de responsabilidad activa

ANÁLISIS DE RIESGO

Todos los responsables deberán realizar una valoración del riesgo de los tratamientos que realicen, a fin de poder establecer qué medidas deben aplicar y cómo deben hacerlo.
En las organizaciones de menor tamaño y con tratamientos de poca complejidad, el análisis será el resultado de una reflexión, mínimamente documentada, sobre las implicaciones de los tratamientos en los derechos y libertades de los interesados.

REGISTRO DE ACTIVIDADES DE TRATAMIENTO

Están exentas las organizaciones que empleen a menos de 250 trabajadores, a menos que el tratamiento que realicen pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional o incluya categorías especiales de datos o datos relativos a condenas e infracciones penales.

PROTECCIÓN DE DATOS DESDE EL DISEÑO Y POR DEFECTO

En el RGPD, los responsables y encargados establecerán las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado en función de los riesgos detectados en el análisis previo.

NOTIFICACIÓN DE “VIOLACIONES DE SEGURIDAD DE LOS DATOS”

Cuando se produzca una violación de la seguridad de los datos, el responsable debe notificarla a la autoridad de protección de datos competente, a menos que sea improbable que la violación suponga un riesgo para los derechos y libertades de los afectados.

TRANSFERENCIAS INTERNACIONALES

Los datos solo podrán ser comunicados fuera del Espacio Económico Europeo:
• A países, territorios o sectores específicos (el RGPD incluye también organizaciones internacionales) sobre los que la Comisión haya adoptado una decisión reconociendo que ofrecen un nivel de protección adecuado
• Cuando se hayan ofrecido garantías adecuadas sobre la protección que los datos recibirán en su destino
• Cuando se aplique alguna de las excepciones que permiten transferir los datos sin garantías de protección adecuada por razones de necesidad vinculadas al propio interés del titular de los datos o a intereses generales
IS5-RGPD 3

Aplicación del RGPD
Con la finalidad de facilitar la adecuación al RGPD a las empresas y profesionales (responsables o encargados de tratamientos) que traten datos personales de escaso riesgo para los derechos y libertades de las personas, la Agencia Española de Protección de Datos pone su disposición la herramienta ‘Facilita RGPD’.
‘Facilita RGPD’ es una herramienta fácil y gratuita, orientada a empresas que tratan datos personales de escaso riesgo, como por ejemplo, datos personales de clientes, proveedores o recursos humanos.
La herramienta genera diversos documentos adaptados a la empresa concreta, cláusulas informativas que debe incluir en sus formularios de recogida de datos personales, cláusulas contractuales para anexar a los contratos de encargado de tratamiento, el registro de actividades de tratamiento, y un anexo con medidas de seguridad orientativas consideradas mínimas.
Una vez finalizada su ejecución, los datos aportados durante el desarrollo de la misma se eliminan, por lo que la Agencia Española de Protección de Datos en ningún caso puede conocer la información que haya sido aportada.
Se accede desde el siguiente enlace: http://www.servicios.agpd.es/Facilita
1. En primer lugar, la herramienta realiza una serie de preguntas para determinar que los datos tratados por la empresa son de nivel bajo. En caso contrario no es posible utilizar la herramienta.
IS5-RGPD 4

2. Se introducen los datos identificativos de la empresa.

3. Se va completando la información relativa a los datos de carácter personal que gestiona la empresa referente a: clientes, empleados, candidatos, proveedores y videovigilancia.
IS5-RGPD 5

4. También es necesario indicar si dichos datos los gestiona la empresa o se hace a través de un tercero, como una gestoría.

5. Finalmente, es necesario identificar los servicios contratados a terceras empresas, como mantenimiento de la Web, desarrollo de programas informáticos, proveedores de hosting/correo electrónico, etc.
IS5-RGPD 6

6. Tras finalizar la introducción de datos, el programa genera un documento Word con toda la información.

El fichero generado contiene lo siguiente:
• Las cláusulas informativas que debe incluir en los formularios de solicitud de información
• El documento a anexar en cada uno de los contratos de prestación de servicios
• El registro de actividades de tratamiento
• Un anexo con recomendaciones sobre medidas de seguridad y tratamientos de datos personales (imágenes) captados por cámaras de videovigilancia.

Aunque la herramienta ofrece los documentos mínimos indispensables para estar en disposición de cumplir con el Reglamento de Protección de Datos, la empresa también debe realizar las siguientes acciones:
1. Incluir las cláusulas informativas en los formularios de solicitud de información, bien si utiliza formularios en papel o a través de su página web.
2. Implantar las medidas técnicas y organizativas que se le indican en el documento correspondiente.
3. Revisar los contratos que dispone actualmente e incluir las cláusulas contractuales y firmarlas en la última hoja.
IS5-RGPD 7

4. Elaborar aquellos contratos que todavía no tiene e igualmente incluir las cláusulas contractuales y firmarlas en la última hoja.
5. Custodiar y mantener actualizados todos los documentos.
6. No olvide que no debe enviar nada a la Agencia Española de Protección de Datos, tan solo debe entregárselos si se los solicita.aa