Sistema de proactividad en materia de protección de datos en el cumplimiento normativo del Reglamento General Protección de Datos (RGPD) y de la LO 3/2018 (LOPDGDD)

TIEMPO DE LECTURA:

  • Estado: Redacción actual VIGENTE
  • Orden: Administrativo
  • Fecha última revisión: 31/05/2021

La protección de los derechos y libertades de las personas físicas con respecto al tratamiento de datos personales exige la adopción de medidas técnicas y organizativas apropiadas con el fin de garantizar el cumplimiento de los requisitos del RGPD. Pues bien, esta obligación de implementar diversas medidas destinadas a dar efectivo cumplimiento a las disposiciones establecidas por el RGPD ha supuesto la introducción del denominado «principio de responsabilidad proactiva» o «accountability».

Responsabilidad proactiva en materia de protección de datos Responsabilidad proactiva del responsable del tratamiento en el RGPD

Artículo 5 del RGPD

«1. Los datos personales serán:

a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);

b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales ("limitación de la finalidad");

c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);

d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan ("exactitud");

e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado ("limitación del plazo de conservación");

f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas ("integridad y confidencialidad").

2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo ("responsabilidad proactiva")».

En lo que nos ocupa, el responsable del tratamiento de datos será responsable del cumplimiento de lo regulado en el apartado primero del artículo 5 del RGPD y, además, tendrá que ser capaz de demostrarlo.

A TENER EN CUENTA. Tan pronto como el responsable del tratamiento tenga conocimiento de que se ha producido una violación de la seguridad de los datos personales, el responsable debe, sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, notificar la violación de la seguridad de los datos personales a la autoridad de control competente, a menos que el responsable pueda demostrar, atendiendo al principio de responsabilidad proactiva, la improbabilidad de que la violación de la seguridad de los datos personales entrañe un riesgo para los derechos y las libertades de las personas físicas. Si dicha notificación no es posible en el plazo de 72 horas, debe acompañarse de una indicación de los motivos de la dilación, pudiendo facilitarse información por fases sin más dilación indebida (considerando 85 del RGPD).

CUESTIONES

1. ¿Qué principios se regulan en el apartado primero del artículo 5 del RGPD?

El art. 5 del RGPD hace referencia a los siguientes principios:

- Principio de licitud, lealtad y transparencia.

- Principio de limitación de la finalidad.

- Principio de minimización de datos.

- Principio de exactitud.

- Principio de limitación del plazo de conservación.

- Principio de integridad y confidencialidad.

2. ¿Cuáles son las obligaciones generales del responsable del tratamiento y encargado del tratamiento?

Las obligaciones generales del responsable y encargado del tratamiento se encuentran en las siguientes normas del RGPD:

- Responsabilidad del responsable del tratamiento (artículo 24 del RGPD).

- Protección de datos desde el diseño y por defecto (artículo 25 del RGPD).

- Corresponsables del tratamiento (artículo 26 del RGPD).

- Representantes de responsables o encargados del tratamiento no establecidos en la Unión (artículo 27 del RGPD).

- Encargado del tratamiento (artículo 28 del RGPD).

- Tratamiento bajo la autoridad del responsable o del encargado del tratamiento (artículo 29 del RGPD).

- Registro de las actividades de tratamiento (artículo 30 del RGPD).

- Cooperación con la autoridad de control (artículo 31 del RGPD).

En concreto, el apartado primero del artículo 24 del RGPD establece que el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPDestimando diversos factores como:

- La naturaleza del tratamiento.

- El ámbito del tratamiento.

- El contexto del tratamiento.

- Los fines del tratamiento.

- Los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas.

Ahora bien, dichas medidas se revisarán y actualizarán cuando sea necesario.

2. ¿Qué función de las encomendadas al delegado de protección de datos (DPD) se refiere al control de cumplimiento del RGPD?

En virtud de lo dispuesto en el artículo 39.1.b) del RGPD, el DPD deberá dentro de las funciones mínimas que tiene encomendadas:

«b) supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes».

Además, con respecto a las funciones de la referida figura de control, las Directrices sobre delegados de protección de datos (DPD) del grupo de trabajo sobre protección de datos del artículo 29, recogidas en la página web de la Agencia Española de Protección de Datos (AEPD), aclaran lo siguiente:

 «4.1. Supervisión de la observancia del RGPD

El artículo 39, apartado 1, letra b), encomienda a los DPD, entre otras obligaciones, la de supervisar la observancia del RGPD. El considerando 97 especifica además que, "al supervisar la observancia interna del presente Reglamento, el responsable o el encargado del tratamiento debe contar con la ayuda" del DPD. 

Como parte de esas obligaciones de supervisión de la observancia, los DPD pueden, en particular:

- Recabar información para determinar las actividades de tratamiento;

- Analizar y comprobar la conformidad con la normativa de las actividades de tratamiento;

- Informar, asesorar y emitir recomendaciones al responsable o al encargado del tratamiento.

Supervisar la observancia no significa que el DPD sea personalmente responsable de cualquier caso de inobservancia. El RGPD establece claramente que es el responsable y no el DPD quien está obligado a aplicar "medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento" (artículo 24, apartado 1). El cumplimiento de las normas en materia de protección de datos es responsabilidad corporativa del responsable del tratamiento, no del DPD».

Medidas de responsabilidad activa de la LOPDGDD

Artículo 28.1 de la LOPDGDD

«1. Los responsables y encargados, teniendo en cuenta los elementos enumerados en los artículos 24 y 25 del Reglamento (UE) 2016/679, determinarán las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar que el tratamiento es conforme con el citado reglamento, con la presente ley orgánica, sus normas de desarrollo y la legislación sectorial aplicable. En particular valorarán si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa a que se refiere la Sección 3 del Capítulo IV del citado reglamento».

En suma, los responsables y encargados del tratamiento de datos, sin perjuicio de lo dispuesto en los artículos 24 y 25 del RGPD, acordarán las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento es conforme a las siguientes normas:

  • RGPD.
  • LOPDGDD.
  • Normas de desarrollo.
  • Legislación sectorial aplicable.

Asimismo valorarán si es pertinente realizar una evaluación de impacto en la protección de datos y la consulta previa de la sección tercera del capítulo cuarto del RGPD.

CUESTIÓN

¿Qué deberes de los responsables y encargados del tratamiento regulan los artículos 24 y 25 del RGPD?

Los arts. 24 y 25 del RGPD regulan lo siguiente:

- Responsabilidad del responsable del tratamiento (artículo 24 del RGPD).

- Protección de datos desde el diseño y por defecto (artículo 25 del RGPD).

Artículo 28.2 de la LOPDGDD

«2. Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos:

a) Cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los afectados.

b) Cuando el tratamiento pudiese privar a los afectados de sus derechos y libertades o pudiera impedirles el ejercicio del control sobre sus datos personales.

c) Cuando se produjese el tratamiento no meramente incidental o accesorio de las categorías especiales de datos a las que se refieren los artículos 9 y 10 del Reglamento (UE) 2016/679 y 9 y 10 de esta ley orgánica o de los datos relacionados con la comisión de infracciones administrativas.

d) Cuando el tratamiento implicase una evaluación de aspectos personales de los afectados con el fin de crear o utilizar perfiles personales de los mismos, en particular mediante el análisis o la predicción de aspectos referidos a su rendimiento en el trabajo, su situación económica, su salud, sus preferencias o intereses personales, su fiabilidad o comportamiento, su solvencia financiera, su localización o sus movimientos.

e) Cuando se lleve a cabo el tratamiento de datos de grupos de afectados en situación de especial vulnerabilidad y, en particular, de menores de edad y personas con discapacidad.

f) Cuando se produzca un tratamiento masivo que implique a un gran número de afectados o conlleve la recogida de una gran cantidad de datos personales.

g) Cuando los datos personales fuesen a ser objeto de transferencia, con carácter habitual, a terceros Estados u organizaciones internacionales respecto de los que no se hubiese declarado un nivel adecuado de protección.

h) Cualesquiera otros que a juicio del responsable o del encargado pudieran tener relevancia y en particular aquellos previstos en códigos de conducta y estándares definidos por esquemas de certificación».

Es decir, para la adopción de las referidas medidas, los responsables y encargados del tratamiento considerarán los posibles peligros derivados de los siguientes casos:

  • Situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los afectados.
  • Privación de derechos y libertades de los afectados o pudiese impedirles el ejercicio de control sobre sus datos personales.
  • Tratamiento no meramente incidental o accesorio de las categorías especiales de datos o de los datos relacionados con la comisión de infracciones administrativas.
  • Evaluación de aspectos personales de los afectados con el fin de crear o utilizar perfiles personales de los mismos (rendimiento en el trabajo, situación económica, salud, preferencias o intereses personales, fiabilidad o comportamiento, solvencia financiera, localización o sus movimientos).
  • Tratamiento de datos de grupos de afectados en situación de especial vulnerabilidad (menores de edad y personas con discapacidad).
  • Tratamiento masivo con un gran número de afectados o comporte la recogida de una gran cantidad de datos personales.
  • Datos personales objeto de transferencia ordinaria a terceros Estados u organizaciones internacionales con un nivel de protección no adecuado. 
  • Otros que a criterio del responsable o del encargado del tratamiento pudieran ser relevantes, en concreto, los regulados en códigos de conducta y estándares definidos por esquemas de certificación.

CUESTIÓN

¿A qué categorías de datos se refieren los artículos 9 y 10 del RGPD y de la LOPDGDD?

Los referidos artículos se refieren a las siguientes categorías de datos:

- Categorías especiales de datos (artículo 9 de la LOPDGDD).

- Tratamiento de datos de naturaleza penal (artículo 10 de la LOPDGDD).

- Tratamiento de categorías especiales de datos personales (artículo 9 del RGPD).

- Tratamiento de datos personales relativos a condenas e infracciones penales (artículo 10 del RGPD).

A este respecto, la Guía del Reglamento General de Protección de datos para responsables del tratamiento de la Agencia Española de Protección de datos (AEPD) enumera las siguientes medidas de responsabilidad activa:

  • Análisis de riesgo.
  • Registro de actividades de tratamiento.
  • Protección de datos desde el diseño y por defecto.
  • Medidas de seguridad.
  • Notificación de «violaciones de seguridad de los datos».
  • Evaluación de impacto sobre la protección de datos.
  • Delegado de protección de datos.

 

No hay versiones para este comentario

Datos personales
Encargado del tratamiento
Protección de datos
Responsable del tratamiento
Tratamiento de datos personales
Persona física
Violación de la seguridad de los datos personales
Interés publico
Principio de responsabilidad
Minimización de datos
Limitación del plazo de conservación de datos
Dilaciones indebidas
Autoridad de control de datos
Daños y perjuicios
Responsabilidad del responsable del tratamiento
Registro de las actividades de tratamiento
Delegado de protección
Actividades de tratamiento de datos
Suplantación de identidad
Fraude
Perjuicios económicos
Perjuicio económico
Secreto profesional
Infracciones administrativas
Reversión
Anonimización de datos
Menor de edad
Categorías especiales de datos
Código de conducta
Categorías de datos personales
Datos confidenciales
Discapacidad
Seguridad de los datos personales
Datos personales relativos a condenas e infracciones penales
Tratamiento de categorías especiales
Documentos relacionados
Ver más documentos relacionados
  • Principio de confidencialidad en la LOPDGDD y en el RGPD

    Orden: Administrativo Fecha última revisión: 01/06/2021

    El artículo 5.1.f) del RGPD expone que los datos personales serán tratados de tal manera que se garantice la confidencialidad e integridad. Ya en la LOPDGDD se establece el deber de confidencialidad de los datos en su artículo 5.El deber de con...

  • Aspectos comunes del responsable y el encargado de tratamiento de datos

    Orden: Administrativo Fecha última revisión: 03/05/2022

    El título V de la LOPDGDD regula el responsable y el encargado del tratamiento. En concreto, en los arts. 28 y siguientes, establece algunas obligaciones y aspectos comunes a ambas figuras. Estos artículos están relacionados con la regulación dad...

  • Obligaciones y deberes en la protección de datos en la comunidad de propietarios

    Orden: Administrativo Fecha última revisión: 18/08/2021

    La garantía de un ejercicio adecuado de los derechos que correspondan a los comuneros y a los «terceros» en la comunidad, así como un garante del cumplimiento por parte de los propietarios de las obligaciones que le son impuestas en la LPH. Obli...

  • Obligaciones en materia de protección de datos en las relaciones laborales

    Orden: Laboral Fecha última revisión: 21/05/2021

    Dentro de las obligaciones que el RGPD fijan en materia de proteción de datos personales para la empresa encontramos el Registro de actividades de tratamiento (RAT), el Análisis de riesgos y una evaluación de impacto (EIPD).Registro de activi...

  • Infracciones en materia de protección de datos (LOPDGDD y RGPD)

    Orden: Administrativo Fecha última revisión: 22/07/2021

    Las infracciones se recogen de manera sucinta en el artículo 83 del RGPD y, de un modo más específico, en los artículos 71 a 74 de la LOPDGDD.Conductas infractoras en materia de protección de datosComo recoge el artículo 71 de la LOPDGDD, const...

Ver más documentos relacionados
Ver más documentos relacionados
Ver más documentos relacionados
Ver más documentos relacionados

Libros y cursos relacionados