Principales novedades del RGPD

El Reglamento amplía el ámbito de aplicación territorial a los responsables y a los encargados del tratamiento no establecidos en la UE, cuando las actividades de tratamiento están relacionadas con la oferta de bienes o servicios o con el control del comportamiento de las personas que se encuentran en la UE.

El RGPD incorpora muchos de los conceptos, principios y obligaciones que establecían la Directiva 95/46 y las normas nacionales que lo aplicaban. No obstante, el RGPD ha modificado algunos aspectos del régimen anterior y contiene nuevas obligaciones que cada organización tiene que analizar y aplicar teniendo en cuenta sus propias circunstancias.

La mayor innovación del RGPD para los responsables la constituyen dos elementos de carácter general:

• El principio de “responsabilidad proactiva” 

El RGPD describe este principio como la necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas, con el fin de garantizar y poder demostrar que el tratamiento es conforme al Reglamento.

En términos prácticos, este principio requiere que las organizaciones analicen qué datos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo. A partir de este conocimiento deben determinar de forma explícita la forma en que aplicarán las medidas que prevé el RGPD, asegurándose de que esas medidas son las adecuadas para cumplir con el mismo y de que pueden demostrarlo ante las personas interesadas y ante las autoridades de supervisión. 

En síntesis, este principio exige una actitud consciente, diligente  y proactiva por parte de las organizaciones frente a todos los tratamientos de datos personales que lleven a cabo.

• “El enfoque de riesgo” 

El RGPD señala que las medidas dirigidas a garantizar su cumplimiento<A[cumplimiento|cumplido]> tienen que tener en cuenta la naturaleza, el ámbito, el contexto y las finalidades del tratamiento, así como el riesgo para los derechos y las libertades de las personas.

De acuerdo con este enfoque, algunas de las medidas que el RGPD establece se aplicarán sólo cuando exista un alto riesgo para los derechos y libertades, mientras que otras deberán modularse en función del nivel y tipo de riesgo que los tratamientos presenten.

La aplicación de las medidas previstas por el RGPD debe adaptarse, por tanto, a las características de las organizaciones. Lo que puede ser adecuado para una organización que trata datos de millones de personas interesadas en tratamientos complejos que involucran información personal sensible o volúmenes importantes de datos sobre cada persona afectada no es necesario para una pequeña entidad que lleva a cabo un volumen limitado de tratamientos de datos no sensibles.

Estos dos elementos se proyectan sobre todas las obligaciones de las organizaciones.

Aparte de los datos especialmente protegidas que ya preveía la LOPD, que ahora pasan a llamarse "categorías especiales de datos", el Reglamento incluye dos nuevas categorías especiales de datos: 

• Datos genéticos: datos personales relativos a las características genéticas heredadas o adquiridas de una persona física, que proporcionan una información única sobre la fisiología o la salud de esta persona, obtenidas en particular del análisis de una muestra biológica. 

• Datos biométricos: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física, que permiten o confirman la identificación única de esta persona (imágenes faciales, datos dactiloscópicos, etc.).

El RGPD requiere que la persona interesada preste el consentimiento mediante una declaración inequívoca o una acción afirmativa clara. A los efectos del nuevo Reglamento, las casillas ya marcadas, el consentimiento tácito o la inacción no constituyen un consentimiento válido.

• ¿Qué sucede con los tratamientos que se efectúan sobre la base del consentimiento por omisión?

Estas formas de consentimiento no son compatibles con el RGPD, ya que se basan en la inacción de la persona interesada. El RGPD también señala que los tratamientos basados en el consentimiento iniciados antes de la aplicación del Reglamento seguirán siendo legítimos, siempre que este consentimiento se hubiera prestado de la manera que prevé el propio RGPD, es decir mediante una manifestación o acción afirmativa. 

Por lo tanto, los responsables que antes de 25 de mayo de 2018 efectuaban tratamientos basados en este consentimiento por omisión tienen que cesar en el tratamiento a menos que obtengan nuevamente un consentimiento que se adecue a las exigencias del RGPD o que cuenten con otra base jurídica. En cualquier caso y si se considera que esta segunda opción es posible, hay que informar a las personas interesadas, de que pueden ejercer los derechos específicamente aplicables a la nueva base jurídica utilizada.

• ¿En qué situaciones hace falta que el consentimiento sea explícito?

El RGPD contempla algunas situaciones en que el consentimiento ha de ser explícito. Esta garantía adicional afecta a:

-Tratamiento de categorías especiales de datos

-Adopción de decisiones automatizadas

-Transferencias internacionales

Aunque las diferencias entre el consentimiento inequívoco, tal y como lo define el RGPD, y el consentimiento explícito pueden parecer difíciles de apreciar, hay situaciones en que el consentimiento puede ser inequívoco y otorgarse de forma implícita.

De acuerdo con el RGPD, en el ámbito de los servicios de la sociedad de la información, el consentimiento de los menores sólo es válido si tienen más de 16 años. No obstante, permite que los estados miembros de la UE rebajen la edad hasta los 13 años. La LOPDGDD ha fijado esta edad en los 14 años, pero no sólo en el ámbito de los servicios de la sociedad de la información, sino para cualquier tratamiento de datos de menores, excepto que una norma con rango de ley exija la asistencia de los titulares de la potestad parental o tutela.

Además, el lenguaje utilizado para informarles les debe ser comprensible.

• ¿Qué otras referencias a los menores contiene el RGPD?

El RGPD se refiere en varios lugares<A[lugares|sitios]> a los tratamientos de los datos de los menores. Por ejemplo, en los casos siguientes:

-En la regulación de los intereses legítimos del responsable como base legal para el tratamiento; se señala -   que no es aplicable cuando prevalecen los derechos, las libertades o los intereses de las personas   interesadas que requieren protección de datos personales, especialmente cuando estas personas   interesadas son niños.

-Al señalar que, cuando las personas interesadas son niños, la información que se ofrece en relación con el   tratamiento o con el ejercicio de derechos deberá ser especialmente concisa, transparente, inteligible y   proporcionada con lenguaje claro y sencillo.

-En el contexto del derecho al borrado de los datos personales.

-Al establecer que las actividades de formación y sensibilización dirigidas a los niños deberán estar entre las   prioridades de las autoridades de protección de datos.

-En el contexto de las explicaciones que ofrecen los considerandos del RGPD, cuando se refieren a la   realización de perfiles.

El Reglamento configura la información como un derecho de las personas afectadas y amplía las cuestiones sobre las que es necesario informarlas, con los aspectos siguientes: los datos de contacto del delegado de protección de datos; la base jurídica del tratamiento; los intereses legítimos perseguidos en que se fundamente el tratamiento, en su caso; la intención de transferir los datos a un tercer país o a una organización internacional y la base para hacerlo, en su caso; el plazo durante el cual se conservarán los datos; el derecho a solicitar la portabilidad o la limitación del tratamiento; el derecho a retirar en cualquier momento el consentimiento que se haya prestado; si la comunicación de datos es un requisito legal o contractual o un requisito necesario para suscribir un contrato; el derecho a presentar una reclamación ante una autoridad de control; la existencia de decisiones automatizadas, incluida la lógica aplicada y sus consecuencias.

• ¿Cómo debe proporcionarse la información a los interesados?

El RGPD prevé que la información a las personas interesadas, tanto respecto a las condiciones de los tratamientos que les afecten como en las respuestas a los ejercicios de derechos, se proporcione de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. En este aspecto, va más allá de lo que disponía la LOPD, que tan sólo exigía que la información se prestara de modo expreso, preciso e inequívoco.

Estas exigencias implican que debería evitarse acudir a fórmulas especialmente farragosas y que incorporen remisiones a los textos legales. Sería necesario que las cláusulas informativas expliquen el contenido al que inmediatamente nos referiremos de una forma clara y accesible para los interesados, con independencia de sus conocimientos en la materia.

La importancia que el RGPD concede a la claridad y la accesibilidad de la información se refleja en el hecho de que prevé que se pueda proporcionar en combinación con iconos estandarizados que ofrezcan una visión de conjunto del tratamiento previsto. El diseño de estos iconos la tiene que hacer la Comisión Europea.

El RGPD prevé que la información a los interesados se facilite por escrito, incluidos, cuando sea apropiado, los medios electrónicos.

El LOPDGDD ha previsto la posibilidad de utilizar un mecanismo de doble capa para dar cumplimiento<A[cumplimiento|cumplido]> a las obligaciones de información, de manera que se facilite la información básica que sea pertinente, en función de sí los datos se han obtenido de la propia persona interesada o de un tercero, con la posibilidad de remitir a una dirección de correo electrónico u otro medio que permita a la persona interesada acceder al resto de información prevista en el RGPD.

La Autoridad Catalana de Protección de Datos, la Agencia Española de Protección de Datos y la Agencia Vasca de Protección de Datos han elaborado una Guía sobre el cumplimiento del deber de informar en el RGPD donde se ofrecen modelos de cláusulas informativas.

El RGPD incorpora el derecho al olvido como un derecho vinculado al derecho de supresión, al derecho a la limitación del tratamiento y al derecho a la portabilidad:

• Las personas interesadas tienen derecho a obtener la supresión de los datos ("derecho al olvido"), cuando: 

-Los datos ya no son necesarios para la finalidad para la cual se recogieron.

-Se revoca el consentimiento en el cual se basaba el tratamiento.

-La persona interesada se opone al tratamiento.

-Los datos se hayan tratado ilícitamente.

-Los datos se tengan que suprimir para cumplir una obligación legal.

-Los datos se hayan obtenido en relación con la oferta de servicios de la sociedad de la información dirigida a   menores.

Cuando el responsable haya hecho públicos los datos personales y se tengan que suprimir, adoptará medidas razonables para informar de la supresión a los responsables que están tratando los datos.

Se prevén algunas excepciones en el ejercicio de este derecho:

-El ejercicio del derecho a la libertad de expresión e información.

-El cumplimiento de una obligación legal.

-La existencia de fines de archivo en interés público, de investigación científica o histórica o fines estadísticos.

-La formulación, el ejercicio o la defensa de reclamaciones.

• Derecho a la limitación del tratamiento 

La limitación de tratamiento se presenta al RGPD como un derecho de las personas interesadas. Por eso, no se tiene que confundir con el bloqueo de datos actualmente existente a la legislación española, aunque el hecho de que se haya incluido como nuevo derecho no supone, por<A[por|para]> sí solo, que la figura del bloqueo desaparece. De hecho, la LOPDGDD sigue recogiendo la figura como una obligación del responsable del tratamiento cuando se supriman o se rectifiquen datos personales. Consiste en la identificación y reserva de los datos y la adopción de medidas técnicas y organizativas que impidan su tratamiento, de manera que sólo estén disponibles para juzgados y tribunales, el Ministerio Fiscal y las administraciones públicas para la exigencia de responsabilidades mientras estas no hayan prescrito.

La limitación de tratamiento supone que, a petición de la persona interesada, no se aplicarán a sus datos personales las operaciones de tratamiento que en cada caso corresponderían. La limitación  puede solicitarse cuando:

• La persona interesada ha ejercido los derechos de rectificación u oposición y mientras el responsable determina si procede atender la solicitud.

• El tratamiento es ilícito, cosa que determinaría el borrado de los datos, pero la persona interesada se opone y solicita, en cambio, la limitación del tratamiento.

• Los datos ya no son necesarios para el tratamiento, lo cual determinaría la supresión, pero la persona interesada solicita la limitación.

A este derecho se le aplican los mismos plazos y procedimientos que a los  restantes de derechos previstos en el RGPD.

Mientras dure la limitación, el responsable sólo puede tratar los datos afectados, más allá de conservarlas, en los casos siguientes:

- Con el consentimiento la persona interesada.

- Para formular, ejercer o defender reclamaciones.

- Para proteger los derechos de otra persona física o jurídica.

- Por razones de interés público importante de la Unión o del estado miembro correspondiente.

• Derecho a la portabilidad:

El derecho a la portabilidad de los datos es una forma avanzada del derecho de acceso en la que la persona interesada tiene derecho a recibir los datos personales que le afectan que haya facilitado a un responsable del tratamiento en un formato estructurado, de uso común y de lectura mecánica, y transmitirlos a otro responsable, si se cumplen los requisitos siguientes:

- El tratamiento está basado en el consentimiento o en un contrato.

- El tratamiento se hace por medios automatizados.

- La persona interesada lo solicita respecto de los datos que ha proporcionado al responsable y que lo          conciernen, incluidos los datos derivados de la propia actividad de la persona interesada. Eso supone que no es aplicable a los datos de terceras personas que una persona interesada haya facilitado a un responsable. Tampoco se aplica si la persona interesada solicita la portabilidad de datos que lo incumben, pero que han sido proporcionadas al responsable por terceros.

Incluye el derecho a que los datos se transmitan directamente de responsable a responsable, si es técnicamente posible.

El grupo de autoridades europeas de protección de datos (Grupo del artículo 29) ha adoptado una opinión en la cual se analiza detalladamente este derecho. Esta opinión se puede consultar aquí.

• ¿Cuál es el procedimiento para ejercer los derechos previstos por el RGPD?

Con carácter general, el RGPD exige a los responsables que faciliten a las personas interesadas el ejercicio de sus derechos. Este mandato supone que los procedimientos y formas para ello deben ser visibles, accesibles y sencillos. El RGPD no establece un modo concreto para el ejercicio de derechos, pero sí requiere a los responsables que posibiliten la presentación de solicitudes por medios electrónicos, especialmente cuando el tratamiento se realiza por esos medios.

Esta obligación exige articular procedimientos que permitan fácilmente que los interesados puedan acreditar que han ejercido sus derechos por medios electrónicos, algo que actualmente no es viable en muchas ocasiones.

Con respecto a estos mecanismos la LOPDGDD permite que el derecho de acceso se facilite mediante un sistema de acceso remoto, directo y seguro a los datos personales y que la comunicación de la manera de acceder a este sistema pueda servir para considerar atendida la solicitud de ejercicio del derecho. Eso sin perjuicio que la persona solicitante pueda pedir igualmente la información referida a los otros aspectos no incluidos en el sistema de acceso remoto.

El RGPD prevé también que el ejercicio de derechos será gratuito para el interesado. Este criterio de gratuidad puede no seguirse en los casos en que se formulen solicitudes manifiestamente infundadas o excesivas, especialmente por repetitivas, cuando el responsable podrá cobrar un canon que compense los costes administrativos de atender a la petición o negarse a actuar. Es el responsable el que debe demostrar ese carácter infundado o excesivo. En todo caso el canon no podría implicar un ingreso adicional para el responsable, sino que debería corresponderse efectivamente con el verdadero coste de la tramitación de la solicitud. Así, en el caso del derecho de acceso la LOPDGDD ha establecido que se puede considerar repetitivo su ejercicio en más de una ocasión durante el plazo de seis meses, excepto que haya una causa legítima para hacerlo.

El responsable deberá informar al interesado sobre las actuaciones derivadas de su petición dentro del plazo de un mes, que podrá extenderse dos meses más cuando se trate de solicitudes especialmente complejas. Esa ampliación del plazo debe notificarse dentro del primer mes. Si el responsable decide no atender la solicitud, deberá informar de ello, motivando su negativa, dentro del plazo de un mes desde su presentación.

De acuerdo con el RGPD, los responsables deberán tomar todas las medidas razonables para verificar la identidad de las personas afectadas que soliciten acceso y, en general, de las personas afectadas que ejercen los restantes derechos previstos en los artículos 15 a 22 del RGPD.

El responsable que trate una gran cantidad de información sobre una persona interesada podrá pedir a éste que especifique la información a que se refiere su solicitud de acceso.

El responsable podrá contar con la colaboración de los encargados del tratamiento para atender al ejercicio de derechos de las personas interesadas, pudiendo incluir esta colaboración en el contrato de encargo de tratamiento. 

El RGPD suprimió, a partir del 25 de mayo de 2018, la necesidad de crear formalmente los ficheros y notificarlos al registro de protección de datos de las autoridades de control.

El RGPD prevé nuevas obligaciones de documentación del tratamiento para los responsables o los encargados del tratamiento. Sólo se exceptúan de esta obligación los responsables o encargados del tratamiento que cuenten con menos de 250 trabajadores. Sin embargo, esta excepción no es de aplicación si se da alguna de las circunstancias siguientes:

- Es probable que haya un riesgo para los derechos y libertades de los sujetos afectados.

- El tratamiento no es ocasional.

- El tratamiento incluye categorías especiales de datos o relativas a infracciones y condenas penales.

Estos responsables y encargados del tratamiento tienen que llevar un registro de las actividades de tratamiento que lleven a cabo. Este registro debe contener, respecto de cada actividad, la información que establece el artículo 30 del RGPD.

Esta información incluye cuestiones como las siguientes:

• Nombre y datos de contacto del responsable y, en su caso del corresponsable, así como del Delegado de Protección de Datos si existiese.

• Finalidades del tratamiento.

• Descripción de categorías de personas interesadas y categorías de datos personales tratados.

• Transferencias internacionales de datos.

• Cuando sea posible, plazos previstos para suprimir los datos.

• Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad.

El LOPDGDD establece que los sujetos vinculados al sector público a que se refiere el artículo 77.1 de la misma Ley orgánica deben hacer público un inventario de sus actividades del tratamiento accesible por medios electrónicos, en el cual debe constar la información prevista en el artículo 30 del RGPD, donde se indique, además, la base legal del tratamiento.

¿Cómo debe organizarse el registro de operaciones de tratamiento?

El registro se puede organizar en torno a operaciones de tratamiento concretas, vinculadas a una finalidad básica común de todas ellas (por ejemplo gestión de clientes, “gestión contable” o “gestión de recursos humanos y nóminas”), o bien de acuerdo con otros criterios diferentes.

La APDCAT ha desarrollado una aplicación sencilla para llevar el registro de actividades del tratamiento para que  los responsables y los encargados del tratamiento que lo deseen, la puedan utilizar. Se puede descargar en este enlace.

El Reglamento amplía el contenido mínimo del contrato de encargo de tratamiento. Entre otros aspectos, el contrato deberá prever los siguientes puntos adicionales respecto al contenido que ya establecía la LOPD: el objeto y la duración del encargo; la naturaleza del tratamiento; el tipo de datos personales; las categorías de personas interesadas; las obligaciones y los derechos del responsable; la previsión de que las personas que deberán tratar los datos se han comprometido a mantener la confidencialidad; la asistencia del encargado al responsable para que pueda atender las solicitudes de ejercicio de derechos; la supresión o la devolución de los datos al finalizar el encargo; la obligación de poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del encargado del tratamiento y para permitir y contribuir a la realización de auditorías e inspecciones por parte del responsable o de otro auditor autorizado por el responsable. 

• Obligaciones específicas de los encargados

El RGPD no sólo prevé las obligaciones del responsable del tratamiento sino también obligaciones expresamente dirigidas a los encargados del tratamiento. La responsabilidad última sobre el tratamiento continúa atribuida al responsable, que es quien determina la existencia y la finalidad del tratamiento. Pero, en determinadas materias, los encargados tienen obligaciones propias que el RGPD establece, que no se circunscriben al ámbito del contrato que los vincula al responsable y que las autoridades de protección de datos tienen que supervisar separadamente. Por ejemplo, los encargados tienen que mantener un registro de actividades de tratamiento, tienen que determinar las medidas de seguridad aplicables a los tratamientos que realizan o tienen que designar un delegado de protección de datos, en los casos en que así lo prevé el RGPD. 

El RGPD también prevé que los encargados se puedan adherir a códigos de conducta o certificarse en el marco de los esquemas de certificación previstos en el mismo RGPD.

El RGPD establece explícitamente que los responsables sólo tienen que escoger encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme a los requisitos del Reglamento. Esta previsión también se extiende a los encargados, cuando subcontratan operaciones de tratamiento con otros subencargados.

Aunque en el caso español el Reglamento de desarrollo del LOPD ya establecía la necesidad de diligencia en la selección de los encargados, la novedad de esta previsión del RGPD deriva de su relación con el principio de responsabilidad proactiva. Según este principio, el responsable debe adoptar las medidas apropiadas, incluida la elección de encargados, de manera que garantice y esté en condiciones de demostrar que el tratamiento se lleva a cabo conforme al RGPD.

El hecho de que los encargados o subencargados se hayan adherido a códigos de conducta o estén certificados dentro de los esquemas previstos por el RGPD se puede utilizar para demostrar que ofrecen las garantías suficientes que el Reglamento exige.

La Autoridad Catalana de Protección de Datos, la Agencia Española de Protección de Datos y la Agencia Vasca de Protección de Datos han elaborado unos materiales de ayuda para redactar estos encargos, que pueden consultarse aquí

¿Qué sucede con los contratos de encargo formalizados con anterioridad a la aplicación del RGPD?

De acuerdo con la Disposición transitoria quinta del LOPDGDD, los contratos y acuerdos de encargo del tratamiento establecidos antes de 25 de mayo de 2018 mantienen su vigencia hasta la fecha de vencimiento señalada en los mismos.

Cuando se trate de encargos con duración indefinida, mantienen la vigencia hasta el 25 de mayo de 2022.

En cualquier caso, durante la vigencia del contrato o acuerdo, cualquiera de las partes puede exigir a la otra la modificación del contrato para adaptarla a lo que establece el artículo 28 del RGPD.

Cuando un tratamiento, por su naturaleza, alcance, contexto o fines suponga un alto riesgo para los derechos y libertades de las personas físicas, especialmente cuando se utilicen nuevas tecnologías, el responsable debe hacer antes una evaluación del impacto en la protección de datos (EIPD). 

El artículo 35.3 del RGPD establece que, entre otros supuestos, hay que hacer una evaluación de impacto relativa a la protección de datos en los siguientes supuestos:

“a) Evaluación sistemática y exhaustiva de aspectos personales de personas físicas basada en un tratamiento automatizado, como la elaboración de perfiles, sobre la base de la cual se toman decisiones que producen efectos jurídicos para las personas físicas o que las afectan significativamente de manera similar.
b) Tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.
c) Observación sistemática a gran escala de una zona de acceso público.”

Para determinar qué debe entenderse por "gran escala" se puede tener en cuenta que el Grupo del artículo 29, en su dictamen sobre la designación de delegados de protección de datos, considera que para valorar si el tratamiento se hace a gran escala se debe tener en cuenta el siguiente:

• El número de personas afectadas, ya sea en términos absolutos o como proporción de una determinada población.

• El volumen y la variedad de datos tratados.

• La duración o permanencia de la actividad de tratamiento.

• La extensión geográfica de la actividad de tratamiento.

El artículo 35.4 del RGPD prevé que las autoridades de control deben publicar una lista de los tipos de operaciones de tratamiento que requieren una evaluación de impacto relativa a la protección de datos. Esta Autoridad considera que se debe realizar una evaluación del impacto relativa a la protección de datos en los tratamientos incluidos en la siguiente lista.

Esta lista recoge las Directrices sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento conlleva probablemente un alto riesgo a efectos del Reglamento (UE) 2016/679, adoptadas por el Grupo de Trabajo del Artículo 29 el 4 de abril de 2017 (en adelante, WP 248) y asumidas por el Comité Europeo de Protección de datos en su reunión de 25 de mayo de 2018.

Esta lista no es exhaustiva y se irá actualizando. Si una operación de tratamiento no figura no significa que no se requiera hacer una EIPD. Debe verificarse siempre que el tratamiento no supone un alto riesgo para los derechos y libertades de las personas, especialmente si se utiliza nuevas tecnologías.

Estos criterios son de aplicación no sólo a los responsables que quieran llevar a cabo alguno de los tratamientos incluidos, sino también a los órganos e instituciones que elaboren un proyecto de disposición normativa que conlleve alguno de estos tratamientos. En este caso, si el proyecto normativo se ha sometido a una evaluación de impacto relativa a la protección de datos no será necesario que lo elaboren después los responsables del tratamiento.

Una vez realizada la EIPD, el responsable debe formular, con carácter previo al inicio del tratamiento, una consulta a esta Autoridad salvo que la existencia de alto riesgo para los derechos y libertades de las personas se haya podido mitigar con la adopción de medidas técnicas y organizativas adecuadas.

Para más información consultar las Directrices del Grupo de trabajo del artículo 29 sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento comporta probablemente un alto riesgo a efectos del Reglamento (UE) 2016/679 (WP 248), asumidas por el Comité Europeo de protección de datos en su reunión de 25 de mayo de 2018, y la Guía práctica de la APDCAT sobre la evaluación de impacto relativa a la protección de datos en el RGPD (disponible en versión original).

Pueden encontrar una plantilla de evaluación de impacto relativa a la protección de datos (en versión original) en el siguiente enlace. 

Si de la evaluación de impacto sobre la protección de datos resulta que el tratamiento previsto puede infringir el RGPD, en particular cuando el responsable no ha identificado o mitigado suficientemente el riesgo, el responsable debe hacer una consulta a la autoridad de verificación de protección de datos competente. La consulta tiene que ir acompañada de la documentación que prevé el RGPD, incluida la misma evaluación de impacto.

La autoridad de control debe asesorar por escrito al responsable y, en su caso, al encargado, y puede hacer uso de todos los poderes que le confiere el Reglamento, entre ellos el de prohibir la operación de tratamiento.

El Reglamento introduce los conceptos de protección de datos desde el diseño y protección de datos por defecto.

Esto implica que el responsable aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del tratamiento mismo, las medidas técnicas y organizativas adecuadas (como por ejemplo la seudonimización) concebidas para aplicar de manera efectiva los principios de protección de datos, e integrar las garantías necesarias en el tratamiento, para cumplir los requerimientos del Reglamento.

Asimismo, el responsable aplicará las medidas técnicas y organizativas adecuadas para garantizar que, por defecto, sólo se traten los datos personales necesarios para cada finalidad específica del tratamiento.

El RGPD también regula los códigos de conducta que pueden promover las asociaciones y otros organismos representativos de categorías de responsables del tratamiento o encargados del tratamiento para la correcta aplicación del Reglamento.

El código de conducta debe presentarse a la autoridad de control competente para que lo apruebe, lo registre y lo publique. También corresponde a la autoridad de control acreditar al organismo de supervisión que prevea el código.

La adhesión y el cumplimiento de un código de conducta es un elemento a tener en cuenta a la hora de demostrar el cumplimiento obligaciones del responsable del tratamiento, en especial, en el momento de realizar la evaluación de impacto sobre la protección de datos.

De acuerdo con la disposición transitoria segunda de la LOPDGDD los promotores de códigos tipos inscritos en la Agencia Española de Protección de Datos o en alguna autoridad autonómica deben adaptar su contenido al RGPD, en el plazo de un año desde su entrada en vigor. Es decir que para aquellos códigos tipos que no sean adecuados antes del 7 de diciembre de 2019, se cancelará su inscripción.

Por otra parte, la LOPDGDD prevé que los responsables del tratamiento o encargados del tratamiento que se adhieran a un código de conducta se obligan a someter al organismo de supervisión previsto por el código, las reclamaciones que les sean formuladas por las personas afectadas, en caso de considerar que no procede atender lo solicitado en  la reclamación.

El Reglamento también promueve los mecanismos de certificación, como certificados, sellos o marcas, para demostrar que se cumple el RGPD.

El Reglamento introduce la figura del delegado de protección de datos, que puede formar parte de la plantilla del responsable o el encargado o bien actuar en el marco de un contrato de servicios. Será necesario designar un delegado de protección de datos en los casos siguientes:

• Cuando el tratamiento lo lleve a cabo una autoridad o un organismo público (excepto juzgados y tribunales). En este caso, se puede designar un único delegado de protección de datos para diversas de estas autoridades u organismos.

• Cuando el tratamiento requiere la observación habitual y sistemática de personas interesadas a gran escala.

• Cuándo el tratamiento tiene por objeto categorías especiales de datos personales o datos relativos a condenas o infracciones penales.

El delegado de protección de datos tiene, entre otras, las funciones siguientes:

• Informar y asesorar al responsable o el encargado y los trabajadores sobre las obligaciones que impone la normativa de protección de datos.

• Supervisar que se cumple la normativa.

• Asesorar respecto de la evaluación de impacto relativa a la protección de datos.

• Cooperar con la autoridad de control.

• Actuar como punto de contacto para cuestiones relativas al tratamiento.

La designación del delegado de protección de datos y sus datos de contacto deben hacerse públicos por los responsables y encargados y deberán ser comunicados a la autoridad de supervisión competente.

La posición del DPD en las organizaciones tiene que cumplir los requisitos que el RGPD establece. Entre ellos se cuentan la autonomía en el ejercicio de sus funciones, la necesidad de que se relacione con el nivel superior de la dirección o la obligación de que el responsable o el encargado faciliten al DPD todos los recursos necesarios para desarrollar su actividad.

El Grupo de Trabajo del Artículo 29 ha elaborado unas directrices sobre la designación de los DPD que puede consultarse aquí, en el que pueden encontrarse también una serie de preguntas frecuentes sobre los diversos aspectos de esta figura.

• ¿Qué requisitos o calificaciones debe tener el delegado de protección de datos?

El DPD ha de ser nombrado atendiendo a sus cualificaciones profesionales y en particular a su conocimiento de la legislación y la práctica de la protección de datos. Esto no significa que el DPD deba tener una titulación específica. Teniendo en cuenta que entre las funciones del DPD se incluye el asesoramiento al responsable o encargado en todo aquello relativo a la normativa sobre protección de datos, los conocimientos jurídicos en la materia son sin duda necesarios, pero también es necesario contar con conocimientos ajenos a lo estrictamente jurídico, como por ejemplo en materia de tecnología aplicada al tratamiento de datos o en relación con el ámbito de actividad de la organización en la que el DPD desempeña su tarea.

La LOPDGDD ha previsto la posibilidad de acreditar el cumplimiento<A[cumplimiento|cumplido]> de los requisitos de cualificación previstos en el RGPD a través de mecanismos voluntarios de certificación, que tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos en derecho y la práctica en materia de protección de datos. No obstante, se pueden acreditar también por otras vías.

El modelo de transferencias internacionales diseñado por el RGPD sigue los mismos criterios que establecían la Directiva 95/46 y las legislaciones nacionales de transposición. De acuerdo con el RGPD, los datos sólo podrán ser comunicados fuera del Espacio Económico Europeo en los casos siguientes:

• A países, territorios o sectores específicos (el RGPD también incluye organizaciones internacionales) sobre los que la Comisión haya adoptado una decisión reconociendo que ofrecen un nivel de protección adecuado.

• Cuando se han ofrecido garantías adecuadas sobre la protección que los datos recibirán en su destino.

• Cuando se aplique alguna de las excepciones que permiten transferir los datos sin garantías de protección adecuada por razones de necesidad vinculadas al propio interés del titular de los datos o a intereses generales. 

El RGPD, incorpora algunas novedades a tener en cuenta:

• Las decisiones de adecuación que la Comisión ha adoptado con anterioridad a la aplicación del RGPD seguirán siendo válidas, y por tanto podrán seguir realizándose transferencias basadas en ellas, en tanto la Comisión no las sustituya o derogue.

• Las decisiones de la Comisión estableciendo cláusulas tipo para los contratos en los que se establecen garantías para las transferencias internacionales seguirán siendo válidas hasta que la Comisión las sustituya o derogue.

• Las autorizaciones de transferencias que las autoridades nacionales de protección de datos hayan otorgado sobre la base de garantías contractuales seguirán siendo válidas en tanto las autoridades no las revoquen.

• Las garantías sobre la protección que recibirán los datos en destino las debe ofrecer el exportador, que podrá ser tanto un responsable como un encargado de tratamiento.

• Se amplía la lista de posibles instrumentos para ofrecer garantías, incluyéndose expresamente, entre otros, las Normas Corporativas Vinculantes para responsables y encargados, los códigos de conducta y esquemas de certificación, así como los cláusulas contractuales tipo que puedan aprobar las autoridades de protección de datos.

• En los casos de Normas Corporativas Vinculantes, cláusulas contractuales estándar, códigos de conducta y esquemas de certificación, la transferencia no requiere la autorización de las autoridades de supervisión.

• Se incluye una nueva excepción para que el responsable pueda transferir datos en un país sin el nivel adecuado de protección, cuando es necesario para satisfacer intereses legítimos imperiosos del responsable, la transferencia no es repetitiva y afecta sólo a un número limitado de personas interesadas. En cualquier caso, la transferencia solamente es posible si no prevalecen los derechos, las libertades y los intereses de las personas afectadas y se tiene que comunicar a la autoridad de protección de datos. 

A diferencia de la normativa anterior, el Reglamento no establece un listado de las medidas de seguridad que son de aplicación de acuerdo con la tipología de datos objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas adecuadas al riesgo que conlleva el tratamiento. Ello implicará tener que hacer una evaluación de los riesgos asociados a cada tratamiento, para determinar las medidas de seguridad a implementar.

En cualquier caso, para las entidades del sector público hay que tener en cuenta que la disposición adicional primera de la LOPDGDD establece que las entidades enumeradas en el artículo 77.1 de la misma Ley orgánica deben cumplir las medidas de seguridad que correspondan de acuerdo con el esquema Nacional de Seguridad. De acuerdo con el apartado primero de esta disposición adicional, el esquema Nacional de Seguridad deberá tener en cuenta el riesgo del tratamiento de los datos personales de acuerdo con el RGPD.

• ¿Cómo se realiza un análisis de riesgos?

Desde el punto de vista de la seguridad de la información un análisis de riesgos requiere identificar las amenazas (por ejemplo, acceso no autorizado a los datos personales), valorar cuál es la probabilidad de que se produzca y el impacto que tendría en las personas afectadas.

El tipo de análisis varía según:

-Los tipos de tratamiento

-La naturaleza de los datos que se tratan

-El número de personas interesadas afectadas

-La cantidad y variedad de tratamientos que hace una misma organización

-Las tecnologías utilizadas

En las grandes organizaciones, como norma general, este análisis de riesgos y la determinación de las medidas/controles a implantar puede llevarse a cabo utilizando alguna de las metodologías o estándares de análisis de riesgo existentes: MAGERIT, ISO, etc. En responsables de dimensiones menores y con tratamientos de poca complejidad, este análisis puede ser el resultado de una reflexión documentada, sobre las implicaciones de los tratamientos en los derechos y las libertades de las personas interesadas. Esta reflexión debe analizarse en el contexto en que se lleva a cabo el tratamiento (medios, instalaciones, usuarios etc.) y tiene que dar respuesta a cuestiones como las siguientes:

-¿Se tratan categorías especiales de datos?

-¿Se tratan datos de colectivos vulnerables (por ejemplo, menores)?

-¿Se tratan datos de una gran cantidad de personas?

-¿Los datos tratados permiten la elaboración de perfiles?

-¿La revelación, alteración o pérdida de los datos puede tener consecuencias importantes   para las personas   afectadas?

-¿Se tratan los datos fuera de los equipos o instalaciones del responsable?

-¿Tienen acceso a los datos terceras personas que prestan servicios por cuenta del responsable?

-Se utilizan tecnologías especialmente invasivas para la privacidad, (geolocalización, videovigilancia, internet   de las cosas etc.)?

En cualquier caso, es obvio que como mayor es el número de respuestas afirmativas a estas preguntas, más elevado es el riesgo que se puede derivar del tratamiento.

Son muchas las cuestiones que pueden impactar de forma negativa en los derechos y libertades de las personas si se tratan inadecuadamente los datos. Por lo tanto, es muy importante que, si no se utiliza una metodología estándar, fácilmente auditable y objetivable, se documenten detalladamente las cuestiones que se han tenido en cuenta a la hora de determinar el nivel de riesgo existente y concretar las medidas de seguridad que hay que aplicar. Eso nos servirá para cumplir con el principio de responsabilidad proactiva.

• ¿Este cambio de enfoque del RGPD significa que las medidas que una entidad aplicaba siguiendo el RLOPD, no son correctas? 

No. Tal vez sean adecuadas, pero debemos, en cualquier caso, hacer el análisis de riesgos para determinar si las medidas tomadas son correctas o si hay alguna deficiencia.

En cualquier caso, las medidas concretas que deban aplicarse deberán garantizar:

• La confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. 

• La capacidad de restablecer la disponibilidad y el acceso a los datos personales rápidamente, en caso de incidente físico o técnico. 

• La existencia de un proceso para verificar y evaluar periódicamente la efectividad de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

Si se produce una violación de la seguridad, el responsable debe notificarlo a la Autoridad Catalana de Protección de Datos sin dilación indebida y, si es posible, en un plazo máximo de 72 horas desde que tenga constancia, a no ser que sea improbable que constituya un riesgo para los derechos y las libertades de las personas.

Se considera que existe constancia de una violación de seguridad cuando hay una certeza que se ha producido y se tiene un conocimiento suficiente de la naturaleza y el alcance. La mera sospecha de que ha habido un fallo o la constatación de que ha sucedido algún tipo de incidente, sin que se conozcan mínimamente las circunstancias, no daria lugar a la notificación ya que, en la mayoría de los casos, en estas condiciones no se puede determinar hasta qué punto puede haber un riesgo para los derechos y las libertades de las personas interesadas.

No obstante, en casos de violaciones que por<A[por|para]> sus características puedan tener un gran impacto, sí que puede ser recomendable contactar con la APDCAT tan pronto como haya evidencias que se ha producido una situación irregular respecto de la seguridad de los datos. Eso, sin perjuicio que estos primeros contactos se completen con una notificación formal, más completa, dentro del plazo legalmente previsto.

Puede haber casos en que la notificación de alguno de los aspectos requeridos no se pueda hacer dentro de las 72 horas, por ejemplo, a causa de la complejidad para determinar completamente el alcance. En estos casos, la notificación de estos aspectos se puede hacer posteriormente, acompañada de una explicación de los motivos que han ocasionado el retraso.

La notificación de la violación de seguridad debe hacerse mediante el siguiente formulario de notificación.

Además, cuando sea probable que la violación comporte un alto riesgo para los derechos de las personas interesadas, el responsable debe comunicárselo sin dilaciones indebidas y en un lenguaje claro y sencillo, a no ser que:

• El responsable haya adoptado medidas de protección adecuadas, como que los datos no sean inteligibles para personas no autorizadas.

• El responsable haya aplicado medidas posteriores a que garanticen que ya no sea probable que se concrete el alto riesgo.

• Suponga un esfuerzo desproporcionado.

• ¿Cuál debe ser el contenido de la notificación a la autoridad de control de una violación de seguridad?

La notificación ha de incluir un contenido mínimo que el propio RGPD establece y que incluye elementos como la naturaleza de la violación, categorías de datos y de personas afectadas, las medidas adoptadas por el responsable para solventar la quiebra y, si procede, las medidas aplicadas para paliar los posibles efectos negativos sobre los interesados. También la información puede proporcionarse de forma escalonada cuando no sea posible hacerlo en el mismo momento de la notificación.

Con independencia de la notificación a las autoridades, los responsables deben documentar todas las violaciones de seguridad. Se trata de una obligación que establece el RGPD y que se aproxima en gran medida al Registro de Incidencias que prevé el Reglamento de Desarrollo de la LOPD.

• ¿Cuándo es probable que una violación de seguridad pueda comportar un alto riesgo para los derechos de las personas interesadas? 

Existe alto riesgo cuando sea probable que la violación de seguridad ocasione daños importantes a las personas interesadas. Eso puede suceder, por ejemplo, si se revela información confidencial, como contraseñas o la participación en determinadas actividades, si se difunden datos sensibles de forma masiva o si se pueden producir perjuicios económicos para las personas afectadas.

• ¿Cómo se debe comunicar a las personas afectadas una violación de seguridad?

El objetivo de esta comunicación es permitir que las personas afectadas puedan tomar medidas para protegerse de las consecuencias de la violación de seguridad. Por eso, el RGPD requiere que se les notifique sin dilación indebida.

El propósito es siempre que la persona interesada afectada pueda reaccionar tan pronto como sea posible. Por eso, el RGPD añade a los contenidos de la notificación las recomendaciones sobre las medidas que pueden tomar las personas interesadas para hacer frente a las consecuencias de la violación.

Este sistema permite que los ciudadanos y también los responsables establecidos en diferentes estados miembros o que hagan tratamientos que afectan a diferentes estados miembros tengan una única autoridad de protección de datos como interlocutora.