2º Resumen 9ª Sesión Anual Abierta AEPD

, ,

Ayer, tuvo lugar la 9ª Sesión Anual Abierta AEPD, de la Agencia Española de Protección de Datos. Sobre las 10 de la mañana hicimos un breve resumen de la primera parte de la jornada. Hoy pretendemos hacer un resumen de la segunda parte de la jornada, que no será más corto, pero si más sustancial.

Hemos de decir que mucha parte de la jornada transcurrió en la reivindicación de lo que ha hecho la agencia hasta ahora respecto a su plan estratégico. En este artículo nos centramos solo en los datos de la jornada que consideramos relevantes, o nuevos, que no se encontrarán en guías o documentos ya publicados. Esperamos que os sea de utilidad.

La jornada de la AEPD. Expectativas

Las expectativas eran muy altas, todos esperábamos, el que más o el que menos:

    1. El borrador de la propuesta de modificación de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, pero no llegó.
    2. RGPD: Nueva información sobre los criterios de la AEPD, aclaración de términos indeterminados o ambiguos, etc. y claro, documentación.

Por los comentarios de twitter, y corrillos que se formaron en el evento, podemos decir que la jornada se inició con grandes expectativas, que a medida de su desarrollo, no se vieron del todo alcanzadas. Quizás es que la agencia tampoco tiene claro muchas de las cosas que esperamos conocer. Podéis ver los vídeos de la jornada, aquí.

Sobre la modificación de la LOPD

Como antes dijimos, casi todos esperábamos el borrador de la propuesta de modificación de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal. Nos hubiéramos conformado con una fecha de publicación del mismo. Pero no, nada de nada, excepto una calendario previsible.

La única información facilitada a este respecto, es la que dio la directora de la AEPD, Dª. Mar España, en su intervención.

El pasado viernes 19/05/17 se aprobó en la Comisión General de Codificación, el texto presentado por la ponencia de Agencia Española de Protección de Datos, ahora es el momento, del impulso legislativo por parte del ministerio. Comenzara a circular próximamente a través de la Comisión de Secretarias y subsecretarias de estado, y antes de verano previsiblemente será publico el trámite de información pública, donde todos ustedes podrán hacer propuestas. Ha sido una ley compleja …. Me van a perdonar, que por el principio de confidencialidad no pueda dar más detalles.

Confiemos que pueda estar aprobada, dependiendo de la tramitación, para mayo del 2018

 

Re-resumen de la primera parte 

  • La AEPD está trabando con ENAC sobre el certificado del  Delegado de Protección de Datos DPO – DPD, en España. Están preparando directrices sobre requisitos técnicos y de evaluación.
  • La AEPD está trabajando con CCNCERT para adaptar la herramienta PILAR al RGPD, para que sea a utilizada por los Responsables de Tratamiento Públicos y así facilitar su cumplimiento.
  • Anuncia la colaboración con los distintos ministerios para la difusión y formación en materia de Reglamento Europeo de Protección de Datos para todas las Administraciones Públicas AAPP.
  • Para después del verano según les concedan medios, la AEPD tiene previsto la puesta en marcha Unidad de atención a los responsables y profesionales de privacidad. Solo habrán dos personas, así que la agencia sugiere sistematizar y canalizar las consultas de los profesionales a través de las asociaciones profesionales. No coment.
  • El grupo del artículo 29, está trabajando en varios documentos de directrices sobre, Consentimiento, Perfilado, Certificaciones, Transparencia,  Notificaciones de violación de seguridad y Herramientas de transferencias internacionales. La adopción de estos documentos está prevista para el año 2018, pero algunas serán aprobados y publicados para recoger las opiniones  de los interesados, en el próximo plenario del grupo, a principios de junio.
  • El consentimiento tácito que se darán indicaciones y sugerencias, algunos ejemplos en los cuales la AEPD, entiende que podrá encontrarse en algunas causas de legitimación en casos concretos.
  • Presentación de la Herramienta NanoPymes
Herramienta NanoPymes.

Se trata de una herramienta diseñada por la AEPD para facilitar el cumplimiento de micro pymes, que traten datos con nivel de riesgo para la privacidad, muy bajo (prácticamente inexistente). La herramienta es una herramienta web, gratuita y que facilita parte del cumplimiento por parte de los sujetos antes mencionados.

Resaltamos la aclaración del D. Andrés Calvo, coordinador de Evaluación y Estudios tecnológicos de la AEPD:

La cumplimentación de los formularios de la herramienta, no significa que se haya cumplido con la herramienta. El asesoramiento por parte de la Agencia o un tercero va a seguir siendo necesaria.

En ningún caso se va a reducir el cumplimiento a pulsar un botón o rellenar un formulario.

 

Ahora sí, la segunda parte de la jornada

Quien escribe este post, cree que la segunda parte fue muy atropellada, mucha información a la vez que los ponentes batían récords de palabras por minuto. Por este motivo, hablaremos de forma global de las ponencias de esta parte:

Ponencia Exposición nuevas directrices para aplicación del RGPD

El ponente, D. Rafael García Gonzalo. Jefe del Departamento Internacional de la AEPD. Habló de las 4 guías hasta ahora presentadas, por el Grupo del Artículo 29. El ponente procuró comentar el contenido de las guías, y a su manera, aclarar en parte su contenido. Aclaraciones importantes:

    1. Aceptación significativa o sustancial en Tratamientos Transfonterizos: no hay definición pero facilitan elementos para determinar si existe tal afectación. Y así se mantiene. Ver el RGPD.
    2. El Delegado de Protección de Datos:
      1. Que sea externo deberá cumplir con los mismos requisitos técnicos y profesionales exigibles a los delegados internos.
      2. Para evitar conflictos de intereses, se debe hacer una lista de actividades compatibles e incompatibles, en las que podrá o no participar el delegado.
    3. Sobre el derecho a la portabilidad, no supone que los Responsables del tratamiento, tengan que adoptar sistemas compatibles sino interoperables. Importante, ¡eh
    4. Sobre los criterios para evaluar si es necesario hacer una Evaluación de Impacto en la Privacidad. Si de la lista facilitada por el Grupo del Artículo 29. Regla básica, si aparecen 2 o más de los criterio se debería hacer la EIPD.
    5. La Consulta  a la Autoridad de Protección de Datos, es exclusiva para aquellas situaciones en las que una vez realizada la EIPD, y puestas las medidas correctivas, persiste un alto nivel riesgo que no puede ser corregido.
Ponencia. Nuevas funciones de las autoridades de control y evaluaciones de impacto.

Ponente, D. Pedro Colmenares, Subdirector General de Inspección de la AEPD. Os diremos que fue una de las ponencias más entretenidas. La ponencia versó sobre los retos de cambio que deben afrontar las Autoridades de Control, deberán cambiar a la realidad del RGPD. Sobre los cambios generales que introducirá la aplicación del reglamento en la memoria anual de la AEPD.  

El segundo tema de esta ponencias fue las EIPD, y nos gustaría destacar una aclaración hecha por el ponente.

Teniendo capacidad de hacer la EIPD,  aunque  no se vean obligados a hacerla,  pues seguramente, será muy oportuno que en su caso, ante la duda, las realicen

Ponencia.  Informes y sentencias Relevantes

Ponencia de D. Agustín Puente. Como siempre, en este punto los temas tratados son completamente variopintos, y útiles. Algunas de las sentencias mencionadas que recomendamos ver, tienen que ver con pseudoanonimización; condiseración de la IP dinámica como dato personal; acceso y utilización de datos de los clientes del franquiciado por la franquicia; recogida de datos de internet con software; publicación en youtube de ceremonia religiosa; uso de datos de personas de contacto; culpa in vigilando de Responsable respecto al cumplimiento del Encargado. Entre muchos otros.

Ponencia. Actualización de criterios

Ponente, D. Jesús Rubí. Esta ponencia fue muy práctica, D. Jesús, sentencias en mano, se dedicó a recordar los criterios clásicos de la AEPD, aplicadas en las instrucciones y expedientes sancionadores.

      • Cruce de de bases de datos publicitarios con la Lista Robinson, siempre, salvo que se tenga autorización expresa. pantallazo
      • Acceso indebido a historias clínicas, por parte de profesionales. La AEPD sanciona al Responsable, pero le solicita que depure responsabilidades del profesional. 

Consultas planteadas por los asistentes durante la inscripción.

La mayoría de presuntas tuvo que ver con el Reglamento Europeo de Protección de Datos. No cabe duda que es un tema que preocupa e interesa a la par. Datos que podríamos considerar aclaratorios y se pueden considerar interesantes.

        • El Delegado de Protección de Datos:
          • Puede ser externo o interno, pero en cualquier caso deberán cumplir con todos los requisitos exigidos. Por ser externo no se rebajan.
          • Debe ser una persona concreta, con independencia de si le apoya un grupo o un departamento completo. Consulta contestada por D. Agustín Puente.
          • Lista orientativa de la AEPD, sobre  Responsables que seguramente necesitarán un DPO.
        • Certificación de profesionales.
          • No es requisito indispensable para acceder al puesto de DPO.
          • Habrán otras maneras de acreditar los conocimientos y cualidades profesionales que el reglamento requiere.
            • Cualidades profesionales. Especialización y práctica.
            • Capacidad para desempeñar las funciones.
          • Será un instrumento para garantizar transparencia y garantía.
        • Desaparece la exención del artículo 2.2 RDLOPD sobre tratamiento de datos de contacto. Son datos personales en todo caso, aunque a veces exista legitimación para tratarlos. Pantallazo
        • Consentimiento.
          • En el RGPD es una clara acción informativa.
          • Se podrán agrupar las finalidades en lugar de tener mil casillas.
          • Si en el aviso legal está claro todo, con la aceptación del mismo el usuario está aceptando.
          • Mencionan la opción de consentimientos en sentido negativo. Siempre que el usuario manifieste su aceptación.
          • El consentimiento tácito en la publicidad se considera nulo y genera un efecto en cascada respecto a todos las partes inmersas en el tratamiento de los datos.
          • El marketing como interés legítimo.
          • Con el RGPD decimos adiós al concepto de datos accesibles al público.
          • Las opciones puestas en la presentación son múltiples, miradlas.
        • No se puede considerar el Título VIII del RDLOPD como metodología de Análisis de riesgos.

Conclusiones

Como antes mencionamos, esperábamos que la jornada diera mucho más de sí. Más información sobre el Reglamento, sobre los criterios que aplicará la agencia, materiales, en fin, mucho más. Ahora bien, tal como salió, también fue de gran utilidad, y estamos seguros que lo dicho, ya ha abierto caminos y opciones.

Esperemos que en breve tengamos noticias de la modificación de la LOPD, más guías de la agencia y del grupo del artículo 29. Esa es la única manera de que podamos llegar al 25 de mayo del 2018, cuando inicia la aplicación total del Reglamento Europeo de Protección de Datos, y que estemos cumpliendo al máximo.

/0 Comentarios/por

¿Fotos de perfil? Siempre con Consentimiento de su Titular

, ,

Hablamos de fotos de perfil en las que aparece el titular del perfil, su familia, o amigos. Sujetos protegidos por el derecho a la protección de datos, al honor, la propia imagen, intimidad personal y familiar. Para usar la foto, es obligatorio tener el consentimiento del titular, salvo en algunas, pocas, excepciones.

Este post nace a colación de la STS 363/2017. En ella vemos dos cosas, la primera, que el periódico actuó correctamente en el ámbito del derecho a la información. La segunda, que se olvidó del derecho a la intimidad personal y familiar, y a la propia imagen del afectado.

¿De verdad es tan nuevo que no se puedan usar fotos de perfil sin consentimiento?

No, no lo es. Pero se armó una polvareda ya que muchos medios sacan imágenes de las redes sociales, ilustran con ellas sus noticias, y al no tener una resistencia férrea, siguen haciéndolo. Pues bien, la sentencia viene a recordar lo que pocas veces llega a tan alta esfera de los tribunales. Hay que pedir consentimiento para usar la imagen de una persona en una publicación.

Luego, si no es nuevo, ¿dónde está la justificación para no poder usar las fotos de  perfil en una red social que se supone pública? Es sencillo, está en los derechos fundamentales que amparan a su titular.

Derechos de la persona que aparece en una fotografía

 

Derecho a la intimidad familiar, personal y a la propia imagen

Aprovecharemos parte del contenido de la sentencia para aclarar de qué va esté derecho:

El derecho a la intimidad personal y familiar garantiza a la persona un ámbito reservado de su vida personal y familiar, vinculado con el respeto de su dignidad como persona, frente a la acción y el conocimiento de los demás, sean estos poderes públicos o particulares. Este derecho atribuye a su titular el poder de resguardar ese ámbito reservado, tanto personal como familiar, frente a la divulgación del mismo por terceros y frente a la publicidad no consentida. Así lo ha declarado tanto el Tribunal Constitucional (entre las más recientes, sentencia 176/2013, de 21 de octubre ) y esta sala (sentencia 478/2014, de 2 de octubre )

Derecho a la protección de datos personales

Para ser precisos, usaremos el fundamento 7º de la ST. 292/2000 de 30/11/2000

Es un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de éstos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles este tercero puede recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión y usos.

El derecho fundamental a protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal.

 

Según la ST. 292/2000 de 30/11/2000 estos dos derechos comparten.

el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar

 

Pero, ¿las fotos de perfil no son públicas?

En realidad depende de lo que entendamos por público. Es pública, accesible a todos, en el ámbito de la red social en la que fue publicada. Ahora bien, aunque se vea desde un buscador, fuera de la red social, no se entiende de dominio público. La propia sentencia indica,

Que en la cuenta abierta en una red social en Internet, el titular del perfil haya «subido» una fotografía suya que sea accesible al público en general, no autoriza a un tercero a reproducirla en un medio de comunicación sin el consentimiento del titular

La finalidad de una cuenta abierta en una red social en Internet es la comunicación de su titular con terceros y la posibilidad de que esos terceros puedan tener acceso al contenido de esa cuenta e interactuar con su titular, pero no que pueda publicarse la imagen del titular de la cuenta en un medio de comunicación.

Por lo tanto, no es publica, de uso común y sin limitaciones del mismo, por cualquiera que tenga acceso a directo o indirecto a ella. Esto es así pese a que al estar visible en internet podamos llegar a tener esa sensación.

A este respecto, hay que aclarar que Internet no es una fuente accesible al público. Ver lista de fuentes en la LOPD 15/1999.

Excepciones

Hay excepciones, las fotos de personas con relevancia pública, en su esfera pública. También está el caso del material audiovisual del lugar de la noticia.

¿Subir una foto a internet, es consentir que los demás la usen?

Subir un contenido a internet, no es un consentimiento para que cualquiera lo use. Es así como en la sentencia encontramos un recordatorio al respecto.

Que una persona suba contenido y esté sea público,

«[…] esto no equivaldría a un consentimiento que […] tiene que ser expreso y, además, revocable en cualquier momento». sentencia 746/2016, de 21 de diciembre

En resumen

Es necesario contar con el consentimiento del titular de las fotos de perfil, o de las personas que en ella aparezcan, antes de publicarlas en un medio.

Lo que publiquemos en las redes sociales solo se puede usar en su ámbito, y en teoría, con la finalidad que lo hicimos. Esto último ya es otro jardín, para otro día, u otra sentencia.

 

En breve este tema lo mencionaremos en la colaboración que tenemos con Radio Club Tenerife, en el espacio Internet en familia, en el que participamos cada semana donde siempre tratamos  temas sobre internet, seguridad, privacidad, LOPD, protección de datos, comercio electrónico y otros de interés general para la familia.

Actualización 27.03.2017. Os dejamos el audio de la participación que tuvimos en Radio Club SER Tenerife, el pasado 13.03.2017. En el enlace, a partir del minuto 29.54, podréis escuchar el desarrollo de este tema.

/0 Comentarios/por

Cumplir la LOPD en Prestaciones de Servicios

, ,

Contrato de tratamiento de datos por cuenta de terceros ¿Qué es y qué pasa si no lo firmo?

Existe una obligación formal que establece la LOPD en su artículo 12, que es regular en un contrato por escrito, o en alguna otra forma que permita acreditar su celebración y contenido, el acceso a los datos por parte de terceros para que estos posteriormente realicen un tratamiento sobre ellos en el marco de una relación de prestación de servicios.

Hay que tener en cuenta que se debe hacer cuándo nosotros somos los clientes, pero también cuando somos los proveedores. El caso es regularizar la comunicación de los datos entre las partes, para que el intercambio de información sea conforme a la ley.

Para ver la razón de la obligación, es necesario remitirse a la L.O. 15/99 de Protección de Datos de Carácter Personal, más conocida como LOPD.

Puntos clave de la LOPD

  1. Art. 6.1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.
  2. Art. 7.3 Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente.
  3. Art. 11.1 Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.
  4. Art. 12.1 No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.

La ley es clara, solo se pueden tratar o comunicar los datos, si tenemos el consentimiento del afectado. En este sentido, el contrato de tratamiento de datos por cuenta de terceros, es una estupenda herramienta para comunicar datos durante una relación de prestación de servicios, sin tener que interrumpir la fluidez de la comunicación a expensas de obtener el consentimiento individual de los afectados.

La obligación de la firma de este contrato, aparece en el art. 12 de la LOPD. Un artículo dedicado por completo a este recurso, en el que se aprecia no solo la obligación de regular el acceso a los datos, sino que también establece cómo debe hacerse, y el contenido mínimo que debe tener.

Apreciemos más de cerca el contenido del Artículo 12 LOPD

2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas.

En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.

3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.

 

Responsable del tratamiento y al Encargado del tratamiento. ¿Pero quién es quién?

En Dataseg respondemos a esta pregunta continuamente ya que suele ser motivo de confusión.

Responsable del tratamiento

El responsable del tratamiento es el titular del fichero. Usando la definición rápida de la AEPD para sus resoluciones diremos que,

“…Conforme al artículo 3.d) el responsable del fichero o del tratamiento es “la persona física o jurídica (…) que decida sobre la finalidad, contenido y uso del tratamiento”

Encargado del tratamiento

Se denomina encargado del tratamiento a los prestadores de servicio con acceso a los datos. Así, según la AEPD. en sus resoluciones,

«…Conforme al artículo 3.g), es “la persona física o jurídica (…) que solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”

Posibles Infracciones

En caso de no cumplir con esta obligación, podemos ser sancionados por la Agencia Española de Datos (AEPD).. Estas son las posibles infracciones de la LOPD:Art. 44.2. leves 900 a 40 mil €

d – La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley.

Art. 44.3 Graves 40.001 a 300mil

b – Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.

d – La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.

k – La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave.

El cumplimiento de esta formalidad puede evitar una sanción económica importante para los encargados y responsables de ficheros. Por destacar, muchas veces es el único documento que sienta las bases sobre la titularidad de los ficheros, así como las obligaciones y deberes que tienen los prestadores de servicios sobre los datos a los que tienen acceso, y que tratan a nombre de sus clientes.

Para verlo más claramente nos remitimos al mismo artículo 12, en su apartado 4, que dice:

Art. 12.4“…En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.”

Conclusión

Este contrato es es una formalidad exigida de la ley, una obligación expresa y con indicaciones claras sobre su cumplimiento. Además, es herramienta que usada correctamente, representará beneficios a corto y largo plazo entre las partes. Decía mi abuela: “Las cuentas claras y el chocolate espeso”.

/1 Comentario/por

Qué nos depara el 2017 en Protección de Datos

, , ,

 El 2017 nos depara a nivel de protección de datos, un periodo de transición, reestructuración y adaptación en lo que concierne al Reglamento EU General de Protección de Datos, también en lo referido al Privacy Shield y las transferencias internacionales de datos, muchos tira y afloja con las políticas de privacidad de las grandes empresas tecnológicas, y finalmente, estamos seguros que traerá grandes retos en cuanto los tratamientos de datos realizados en el ámbito de los avances tecnológicos, entre ellos, la inteligencia artificial (AI), la robótica, los drones, el Big Data, la investigación genética, etc.

Definitivamente el 2017 trae curvas, y, si el gran giro en materia de protección de datos se dio este año con la publicación y entrada en vigor del Reglamento UE 2016/679 General de Protección de Datos – RGPD,  será en el 2017 cuando se empiecen a materializar los cambios que este introduce, empezando por la misma Agencia Española de Protección de Datos que ya ha anunciado cambios, siguiendo por los sujetos obligados a cumplir con la normativa de Protección de Datos que deberán prepararse para estar adecuados el 25 de mayo del 2018, cuando empiece la aplicación del reglamento.   

 

Cambios relacionados con la Agencia Española de Protección de Datos

Sobre los cambios que anunció La Agencia Española de Protección de Datos -AEPD, durante su 8ª sesión anual abierta, el pasado 29 de junio (2016), podemos vislumbrar tres líneas claras de actuación, ambas relacionadas con el Reglamento General de Protección de Datos.

  • La primera, se refiere a la modificación de los estatutos de la propia agencia, habrá una reestructuración de sus departamentos, así como de las funciones de los mismos.
  • La segunda tiene que ver con el anunció de la actualización de Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (a ver qué pasa con su Reglamento de Desarrollo el RD 1720/2007) que según dijo la directora de la Agencia, Dª. Mar España, esperan presentar la propuesta de modificación a la Comisión General de Codificación durante el primer trimestre del 2017, esperemos que así sea, que nos vendría bien conocer por donde van los tiros de la Agencia.
  • Y para terminar, la tercera línea de actuación será la creación de material informativo y divulgativo para todos los afectados: los ciudadanos, las empresas responsables y los encargados de tratamiento. También han anunciado la creación de herramientas y recursos de apoyo para el entendimiento y cumplimiento del Reglamento General, especialmente centrándose en las Pymes que realizan tratamientos de riesgo bajo o muy bajo.

 

Cambios relacionados con los sujetos obligados a cumplir la normativa de Protección de Datos. Responsables y encargados.

Desde luego que aquí es sencillo vislumbrar el cambio: las empresas y profesionales han de empezar a adecuarse al Reglamento Europeo General de Protección de Datos. Es así de simple.

La directora de la AEPD, dejo claro en la 8ª sesión anual abierta, que:

  • Los dos años de transición –ahora ya un año y medio- son para que los sujetos obligados al cumplimiento de esta normativa se adecuen, y que el 28 de mayo del 2018 cuando empiece la aplicación del RGPD, estén ciento por cien adecuadas.
  • Que se deben a empezar a aplicar los principios del RGPD. Si los consentimientos recabados al inicio de aplicación del RGPD no se obtuvieron o se actualizaron para que fueran conforme a los mismos, entonces serán inválidos.
  • Se debe realizar una revisión de lo hecho hasta ahora, revisar contratos, compromisos, cláusulas, etc… y comprobar que cumplen con los principios y exigencias básicas del RGPD, en caso de que no, se deberán actualizar, y poner medidas para que los nuevos contenidos cumplan con ellos.
  • Se deben empezar a realizar las evaluaciones de impacto en la privacidad, y claro, poner en marcha las medidas de seguridad y mitigación de riesgos, necesarias para proteger el derecho a la protección de datos de los afectados en los tratamientos de datos.

Otros temas

Privacy Shield

Este acuerdo que inició su andadura el primero de agosto de este 2016, apenas está empezando a ver como su lista adheridos crece, después que durante los primeros meses estuviera casi estancada.

Esperamos que dure lo suficiente como para mantener un poco la “estabilidad” de las transferencias de datos realizadas a su amparo, aunque los escépticos no le auguran mucho tiempo, ya que lo consideran un parche con las mismas grietas que tuvo su antecesor el Safe Harbour, y que el triunfo del el sr. Trump, hace que crezcan las dudas sobre el cumplimiento de EEUU. en materia de derechos fundamentales.

Tira y afloja con empresas tecnológicas

Lo estamos viendo ahora mismo con WhatsApp y Facebook, que si te obligo a aceptar mi política de privacidad, que si las agencias de protección de datos de la UE no están contentas, que si ahora digo que nunca hemos compartido los datos y no lo volveremos a hacer… así nos va.

Las grandes empresas conocen el valor de nuestros datos, y cada día encuentran una nueva forma de explotarlos, de conseguir que se los demos, de pasárselos entre ellos, etc. Y ahí, claro, chocan con el muro de la legislación europea que protege “férreamente” los derechos de sus ciudadanos.

Os avisamos, esta película la viviremos más a menudo, a cada cual se le ocurrirán nuevas formas de liarse la manta de nuestros datos a la cabeza, y según el caso lo lograrán… al tiempo.

Tratamientos de datos asociados a evoluciones tecnológicas

Como ya está largo el post, no entraremos a tocar cada una de ellas, pero si mencionaremos que los retos en protección de datos y derechos de la personalidad que están surgiendo y surgirán, son tremendos.

En el RGPD se establecieron los principios básicos para el uso de los datos personales en estas evoluciones tecnológicas, ahora bien, seguramente no sean suficientes debido al desconocimiento integral de su alcance, por algo están en desarrollo. Aun así es grato ver que por primera vez una norma incluye indicaciones sobre temas tan complejos, y que están en plena efervescencia, y no solo de temas que ya han pasado.

 

Pues ya está, parece fácil, pero cuando tengamos que empezar a adecuar nuestras empresas, y en nuestro caso, nosotros a nuestros clientes, puede que el filtro se opaque un poco y ya no sea tan sencillo. Recordad, si cumplís correctamente con la normativa actual de protección de datos, el paso al RGPD será subir un escalón, o dos, pero no mucho más, así que os recomendamos revisar, actualizar y prepararse para lo que viene en el 2017, y especialmente para estar listos el 25 de mayo del 2018 cuando inicia su aplicación el RGPD-EU.

 

/2 Comentarios/por