Volver a página de inicio

El Reglamento General de Protección de Datos de la UE en la empresa: novedades prácticas (1)

Alfonso ORTEGA GIMÉNEZ

Profesor Contratado Doctor de Derecho Internacional privado de la Universidad Miguel Hernández de Elche y Socio-Director de COEX INTERNATIONAL TRADE, S.L.U.

Diario La Ley, Nº 15, Sección Ciberderecho, 7 de Marzo de 2018, Wolters Kluwer

LA LEY 2042/2018

I. Introducción

A partir del 25 de mayo de 2018 será de aplicación el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (LA LEY 6637/2016) relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (LA LEY 5793/1995) (Reglamento General de Protección de Datos (LA LEY 6637/2016) —RGPD—) (2) . Para esta fecha todas las empresas deben haberse adaptado a las nuevas exigencias que se establecen; es decir, conocer los nuevos derechos que tendrán que proporcionar como responsables de datos ante los interesados propietarios de éstos, así como cumplir con las nuevas obligaciones.

El RGPD estará regido por los siguientes principios:

• • Los datos se tratarán de forma lícita, con lealtad y transparencia.
• • Serán recogidos para fines determinados, explícitos y legítimos y no serán tratados para otros fines; es una limitación de la finalidad.
• • Adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados; minimización de datos.
• • Exactos y, si fuera necesario, actualizados.
• • Serán mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos.
• • Se garantizará una seguridad adecuada de los datos, incluida la protección frente a usos no autorizados. Prima la integridad y confidencialidad.
• • Responsabilidad proactiva del responsable con el fin de que lleve a cabo las medidas oportunas para garantizar los principios anteriores.
• • La protección de datos debe hacerse desde el diseño y por defecto.

El Reglamento es una norma con alcance general y obligatorio en todos sus aspectos. La nueva normativa europea modifica el régimen actual, añadiendo nuevas obligaciones que los responsables tienen que tener en cuenta y aplicarlas según sus propias circunstancias, siguiendo en todo momento el principio de responsabilidad PROACTIVA o ACCOUNTABILITY.

II. Principales novedades introducidas por el RGPD

1. El registro de actividad

El art. 30 del RGPD (3) elimina la obligación de elaborar y notificar ficheros a la autoridad de control, si bien la empresa que cuente con más de 250 trabajadores sí deberá contar con un registro de actividades de tratamiento por escrito, de naturaleza interna pero a disposición de las autoridades, cuyo contenido obligatorio amplía el de los ficheros de la normativa anterior.

2. Información al interesado

En virtud del art. 12 del RGPD (4) , la empresa deberá proporcionar al interesado información concisa, transparente, inteligible y accesible, en lenguaje claro y sencillo, especialmente si es un menor de edad.

La información deberá ser proporcionada por escrito o por medios telemáticos, o incluso verbalmente, si lo solicita el afectado y es posible acreditar su identidad por otros medios.

3. Principios relativos al tratamiento

Conforme al art. 5 del RGPD (5) , la empresa deberá cumplir una serie de obligaciones en relación en relación con el tratamiento que realice de los datos personales:

• • Tratar los datos de manera lícita, leal y transparente.
• • Recoger los datos con fines determinados, explícitos y legítimos, limitándose su uso posterior a dichos fines.
• • Recabar únicamente los datos que sean adecuados, pertinentes y limitados a la finalidad del tratamiento.
• • Mantener los datos exactos y actualizados, adoptándose las medidas necesarias para su supresión o rectificación sin dilación.
• • Mantener los datos durante el tiempo estrictamente necesario para los fines de tratamiento.
• • Tratar los datos de tal manera que se garantice su seguridad y confidencialidad.

La modificación más relevante reside en la introducción de los principios de licitud y de seguridad, pues vinculan la legalidad de los datos y de su tratamiento al consentimiento prestado por el interesado, el primero, y a la adopción de medidas de protección, el segundo. Ello no supone la necesidad de adoptar ninguna medida concreta por parte de la empresa, si bien contribuye con el cambio de enfoque que la nueva regulación pretende implementar.

4. Bases de legitimación del tratamiento

Conforme al principio de licitud del tratamiento la empresa deberá tratar los datos en virtud de una base jurídica que le legitime. El art. 6 del RGPD (6) regula una nueva configuración novedosa en cuanto a su enfoque: en lugar de regular excepciones a la necesidad de contar con el consentimiento, las bases de legitimación se formulan de manera positiva.

5. Medios para el ejercicio de los derechos de los afectados

El RGPD amplía el catálogo de derechos de los interesados en relación con sus datos personales, e introduce nuevas medidas en cuanto a la forma de canalizar las solicitudes de ejercicio que se presenten a la empresa. En cuanto al catálogo de derechos, los arts. 15 y siguientes del RGPD recogen los fundamentos de la normativa anterior, modificando los tradicionales derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) en algunos puntos, e introduciendo nuevas categorías de derechos de manera expresa.

La empresa debe habilitar los medios necesarios para el ejercicio del derecho de acceso por los interesados, a los que deberá facilitar una copia de sus datos, que deberá ser en formato electrónico si la solicitud se presenta por este medio.

6. El contrato de encargo de tratamiento

Conforme al art. 28 RGPD (7) , la empresa, como parte del principio de responsabilidad proactiva, deberá ser diligente en la elección de los encargados de tratamiento, contratando únicamente a aquellos que ofrezcan garantías suficientes del cumplimiento de las medidas técnicas y organizativas apropiadas.

La norma también amplía los requisitos mínimos del contrato de encargo.

El RGPD no requiere que se informe a los interesados de la contratación de un encargado de tratamiento, si bien, en aras de la responsabilidad proactiva, ello redunda en mayor transparencia. En todo caso, los contratos suscritos con los encargados de tratamiento deberán revisarse y adaptarse a la nueva normativa.

7. Medidas de responsabilidad activa

A) Medidas de seguridad

La responsabilidad proactiva de la empresa no se debe limitar al establecimiento de unas determinadas medidas de seguridad.

Deberán tomarse medidas en relación con:

• • La seudonimización: técnica que permite desvincular los datos personales de la persona a la que identifican, que limita la trazabilidad de la identificación, pero permite volver a vincular los datos y la persona.
• • El cifrado de los datos: de manera que impida el acceso a los mismos a personas no autorizadas.
• • La confidencialidad, integridad, disponibilidad y resiliencia: permanente de los sistemas y servicios de tratamiento.
• • La capacidad de restaurar la disponibilidad y el acceso a los datos personales: de forma rápida en caso de incidente físico o técnico.
• • El proceso de verificación, evaluación y valoración regulares: de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

B) Quiebras de seguridad

Introduce una de las novedades más relevantes, prevista en los arts. 33 y 34 RGPD (8) , en cuanto al deber que atañe a todos los responsables de comunicar las violaciones de seguridad que se produzcan en sus sistemas, cuando aquellas supongan la destrucción, pérdida, alteración, acceso o comunicación no autorizada, ya sea accidental o ilícita, a los datos personales de la empresa.

La empresa debe contar con medios ágiles de detección y notificación de las violaciones, a fin de minimizar los riesgos, y contar con un plan de contingencia que permita eliminar los potenciales perjuicios cuanto antes. Asimismo, la empresa debe documentar los hechos relacionados con la violación, sus efectos y las medidas adoptadas para su corrección.

En cuanto al deber de comunicar las violaciones, la empresa lo deberá notificar, en primer lugar, a la autoridad de control correspondiente cuanto antes, y, en cualquier caso, en el plazo de 72 horas desde que se ha detectado.

C) Evaluaciones de Impacto sobre la Protección de Datos

El art. 35 del Reglamento regula las Evaluaciones de Impacto sobre la Protección de Datos (EIPD) (9) , que permiten analizar los riesgos que un producto o servicio puede entrañar para la protección de datos de los afectados y cómo gestionar dichos riesgos mediante la adopción de las medidas adecuadas.

D) Delegado de Protección de Datos (DPD)

Otra de las grandes novedades introducidas por el RGPD es la creación de la figura del Delegado de Protección de Datos, regulada en sus arts. 37 a 39 (10) (11) , la cual será obligatoria en aquellos casos contemplados en la norma:

• • Cuando el tratamiento sea llevado a cabo por una autoridad u organismo público.
• • Cuando la actividad principal del responsable o encargado consista en operaciones que requieran la observación habitual de interesados a gran escala.
• • Cuando la actividad principal de la empresa consista en el tratamiento de datos de categorías especiales a gran escala.

La empresa podrá designar un DPD interno o externo, atendiendo a sus cualidades profesionales, si bien no es preciso que sea jurista, aunque sí deberá contar con formación especializada.

El DPD debe asesorar a la empresa en todo lo relativo a la normativa de protección de datos y actuar como punto de contacto para los interesados y las autoridades de control, por lo que deberá contar con autonomía en su gestión y con los recursos necesarios para ello.

El DPD cubre la necesidad de las empresas de contar con la ayuda de una persona con conocimientos especializados en la práctica de protección de datos personales, siendo la figura que rinde cuentas ante el cumplimiento de la normativa.

a) Designación obligatoria

El nombramiento de un DPD dentro de toda organización no es obligatorio, estableciendo el art. 37.1 del RGPD, tres supuestos específicos en los que sí lo es. Estos tres casos son:

• • Cuando el tratamiento lo lleva a cabo una autoridad u organismos públicos;
• • Cuando las actividades principales del responsable o el encargado del tratamiento consisten en operaciones de tratamiento que requieren el seguimiento regular y sistemático de los interesados a gran escala; o
• • Cuando las actividades principales del responsable o el encargado del tratamiento consisten en el tratamiento a gran escala de categorías especiales de datos o datos personales relacionados con condenas y delitos penales.

Si una organización no está obligada a nombrar DPD, podrá nombrarlo de forma voluntaria igualmente, siguiendo con los mismos requisitos exigidos en cuanto a su designación, posición y funciones.

Se deberá nombrar un DPD cuando el tratamiento lo lleve a cabo una autoridad u organismos públicos.

No hay obligación de designación en las organizaciones privadas que lleven a cabo tareas o ejerzan autoridad pública y que su actividad cubra también todas las operaciones de tratamiento llevadas a cabo, incluidas las que no están relacionadas con el desempeño de una tarea pública o el ejercicio de una función pública.

Segundo supuesto que dicta el RGPD para la designación obligatoria de un DPD, es cuando las actividades principales del responsable o el encargado del tratamiento consistan en operaciones de tratamiento que requieren una observación habitual y sistemática de interesados a gran escala.

b) Funciones del DPD

Las funciones que, como mínimo, realizará el DPD, son las siguientes:

• a) Informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del RGPD y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;
• b) Supervisar el cumplimiento de lo dispuesto en el RGPD, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;
• c) Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación;
• d) Cooperar con la autoridad de control;
• e) Actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa, y realizar consultas, en su caso, sobre cualquier otro asunto. En el desempeño de estas funciones, el DPD deberá actuar de manera independiente, disponer de las herramientas necesarias para la correcta aplicación de sus funciones, manteniendo el secreto o la confidencialidad a lo largo de todo el proceso.

c) La EIPD y el DPD

Otra de las grandes novedades del reglamento europeo son las evaluaciones de impacto relativas a la protección de datos, o EIPD.

Es el responsable del tratamiento quien debe llevar a cabo la EIPD, pero deberá solicitar el asesoramiento al delegado de protección de datos.

El contenido mínimo de la Evaluación será:

• a) Una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
• b) Una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento en relación con sus finalidades;
• c) Una evaluación de los riesgos para los derechos y libertades de los interesados;
• d) Las medidas previstas para hacer frente a los riesgos, incluidas las garantías, las medidas de seguridad y los mecanismos para garantizar la protección de los datos personales y para demostrar el cumplimiento del RGPD, teniendo en cuenta los derechos e intereses legítimos de los interesados y demás personas interesadas.

El DPD debe tener un papel activo, pudiendo realizar la evaluación él mismo o dando las directrices necesarias en el diseño y ejecución de la misma. Así como supervisar la correcta implantación de las medidas y decisiones que se recojan al final del proceso.

III. Comparativa de obligaciones esenciales introducidas por el RGPD

IV. Conclusiones

PRIMERA.- El RGPD configura un nuevo enfoque de transparencia y protección de los datos personales, ampliando sustancialmente las obligaciones informativas frente a los interesados y el catálogo de derechos que les corresponden. La seguridad se convierte en un elemento esencial de la estructura de la empresa, que no solo debe garantizar la confidencialidad, integridad e indemnidad de los datos que trata, sino que debe ser capaz de demostrar que ha adoptado las medidas oportunas para ello.

SEGUNDA.- Solo debe garantizar la confidencialidad, integridad e indemnidad de los datos que trata, sino que debe ser capaz de demostrar que ha adoptado las medidas oportunas para ello.

TERCERA.- La nueva normativa sí supone un giro en el enfoque de la protección, no como una obligación más, sino como una oportunidad de ofrecer servicios mejores y más seguros, pudiendo adaptar las medidas de seguridad a sus circunstancias particulares. En este sentido, sí es recomendable que la empresa cuente con un asistente en la gestión de la privacidad, aun no siendo obligatorio, pues el sistema legal implementado por el RGPD es complejo y las sanciones por incumplimiento mucho más elevadas.

CUARTA.- El DPD deberá apoyar al responsable del tratamiento cuando solicite su asesoramiento en elegir una metodología de EIPD, integrar los procesos existentes de la organización para el diseño, desarrollo, cambio, riesgo y revisión operacional, de acuerdo con los procesos internos, el contexto y la cultura de la organización, involucrar a las partes relacionadas con el tratamiento y, en su caso, definir claramente sus responsabilidades, así como proporcionar el informe de EIPD a la autoridad de supervisión competente cuando así se requiera, consultar a la autoridad de supervisión cuando no haya podido determinar medidas suficientes para mitigar los riesgos elevados, revisar periódicamente la EIPD y documentar todas las decisiones adoptadas.

V. Bibliografía consultada y recomendada

• — ABERASTURI GORRIÑO, Unai, «Derecho a ser olvidado en Internet y medios de comunicación digitales. A propósito de la Sentencia del Tribunal Supremo de 15 de octubre de 2015», Revista española de Derecho Administrativo, núm. 175/2016, Civitas, Pamplona, 2016.
• — CALVO CARAVACA, Alfonso-Luis y CARRASCOSA GONZÁLEZ, Javier, Conflictos de leyes y conflictos de jurisdicción en Internet, Colex, Madrid, 2001.
• — CAZURRO BARAHONA, Víctor, «Transferencias internacionales de datos», Practicum Protección de Datos 2015, Aranzadi, Cizur Menor. 2014. Diario LA LEY, n.^o 8725, Wolters Kluwer, Madrid, 2016.
• — DE MIGUEL ASENSIO, Pedro Alberto, «Competencia y Derecho aplicable en el Reglamento General sobre Protección de Datos de la Unión Europea», en Revista Española de Derecho Internacional, vol. 69/1, enero-junio 2017, Madrid, pp. 75-108.
• — DE MIGUEL ASENSIO, Pedro, Derecho privado de Internet, 5.ª ed., Civitas, Cizur Menor (Navarra), 2015.
• — GARCÍA ROMERO, Susana, «Nuevo marco jurídico europeo en protección de datos: novedades conocidas y otras no tan conocidas», Diario LA LEY, n.^o 8691, Wolters Kluwer, Madrid, 2016.
• — GRANDE SANZ, Marta, «La transferencia internacional de datos personales: presente y future» Diario LA LEY, n.^o 8808, LA LEY, Madrid, 2016.
• — GUASCH PORTAS, Vicente, Las transferencias internacionales de datos en la normativa española y comunitaria, Agencia Española de Protección de Datos-Agencia Estatal Boletín Oficial del Estado, Madrid, 2014.
• — LÓPEZ CARBALLO, Daniel, «A vueltas con las transferencias internacionales de datos: actualidad y seguridad jurídica», Actualidad Jurídica Aranzadi, núm. 922/2016, Aranzadi, Cizur Menor, 2016.
• — ORTEGA GIMÉNEZ, Alfonso, El nuevo régimen jurídico de la Unión Europea para las empresas en materia de protección de datos de carácter personal, Thomson Reuters Aranzadi, Cizur Menor (Navarra), 2017.
• — ORTEGA GIMÉNEZ, Alfonso, Transferencias internacionales de datos de carácter personal ilícitas, Aranzadi, Cizur Menor, 2016.
• — ORTEGA GIMÉNEZ, Alfonso, «La (des) protección del titular del derecho a la protección de datos derivada de una transferencia internacional ilícita en Derecho internacional privado español», Diario LA LEY, n.^o 8661, LA LEY, Madrid, 2015.
• — ORTEGA GIMÉNEZ, Alfonso, «Propuestas ante un futuro incierto para la protección en la Unión Europea del titular del derecho a la protección de datos derivada de una transferencia internacional de datos de carácter personal ilícita: ¿unificación de la norma de conflicto vs. Armonización a través de unos principios comunes?», Revista Aranzadi Unión Europea, núm. 10/2015, Aranzadi, Cizur Menor, 2015.
• — ORTEGA GIMÉNEZ, Alfonso y MARZO PORTERA, Ana, Empresa y transferencia internacional de datos personales, Instituto Español de Comercio Exterior (ICEX), Madrid, 2013.
• — ROSSELLÓ RUBERT, Francisca María, «La transferencia de datos personales entre PYMEs españolas y proveedores norteamericanos de Cloud Computing tras la reciente anulación del Acuerdo Safe Harbor por el Tribunal de Justicia de la Unión Europea».
• — SANCHO LÓPEZ, Marina, «Consideraciones procesales del ejercicio del derecho al olvido: examen de jurisprudencia reciente y del nuevo marco legal», Revista Aranzadi de Derecho y Nuevas Tecnologías, núm. 41/2016, Aranzadi, Cizur Menor, 2016.
• — SANCHO VILLA, Diana, Negocios Internacionales de Tratamiento de Datos Personales, Civitas, Cizur Menor (Navarra), 2010.
• — SANCHO VILLA, Diana, Transferencia internacional de datos personales, Agencia de Protección de Datos, Madrid, 2003.
• — VILLARINO MARZO, Jorge, «La privacidad desde el diseño en la propuesta de reglamento europeo de protección de datos», Revista Aranzadi de Derecho y Nuevas Tecnologías, núm. 32/2013, Aranzadi, Cizur Menor, 2013.
• — Publicación realizada en el marzo del Proyecto de investigación «La era digital: nuevos problemas para el Derecho», (AICO/2017/161. Generalitat Valenciana).

(1)

Publicación realizada en el marco del Proyecto de investigación «La era digital: nuevos problemas para el Derecho» (AICO/2017/161. Generalitat Valenciana).

Ver Texto

(2)

DO L 119/1 de 5.5. 2016.

Ver Texto

(3)

Art. 30 RGPD «Registro de las actividades de tratamiento

1. Cada responsable y, en su caso, su representante llevarán un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la información indicada a continuación:

• a) El nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
• b) Los fines del tratamiento;
• c) Una descripción de las categorías de interesados y de las categorías de datos personales;
• d) Las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
• e) En su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
• f) Cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
• g) Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1.

2. Cada encargado y, en su caso, el representante del encargado, llevará un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de un responsable que contenga:

• a) El nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del encargado, y del delegado de protección de datos;
• b) Las categorías de tratamientos efectuados por cuenta de cada responsable;
• c) En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
• d) Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 30, apartado 1.

3. Los registros a que se refieren los apartados 1 y 2 constarán por escrito, inclusive en formato electrónico.

4. El responsable o el encargado del tratamiento y, en su caso, el representante del responsable o del encargado pondrán el registro a disposición de la autoridad de control que lo solicite.

5. Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.»

Ver Texto

(4)

Art. 12 RGPD «Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado

1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.

2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado.

3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.

4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales.

5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:

• a) cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
• b) negarse a actuar respecto de la solicitud.

El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.

6. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado.

7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente.

8. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados.»

Ver Texto

(5)

Art. 5 RGPD «Principios relativos al tratamiento

1. Los datos personales serán:

• a) tratados de manera lícita, leal y transparente en relación con el interesado ("licitud, lealtad y transparencia");
• b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales ("limitación de la finalidad");
• c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados ("minimización de datos");
• d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan ("exactitud");
• e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado ("limitación del plazo de conservación");
• f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas ("integridad y confidencialidad").

2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo ("responsabilidad proactiva").»

Ver Texto

(6)

Art. 6 RGPD "" Licitud del tratamiento

1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

• a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
• b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
• c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
• d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
• e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
• f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:

• a) el Derecho de la Unión, o
• b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.

La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.

4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

• a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
• b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
• c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
• d) las posibles consecuencias para los interesados del tratamiento ulterior previsto.

Ver Texto

(7)

Art. 28 RGPD «Encargado del tratamiento

1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado.

2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios.

3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:

• a) tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
• b) garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
• c) tomará todas las medidas necesarias de conformidad con el artículo 32;
• d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
• e) asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
• f) ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
• g) a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
• h) pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable.

En relación con lo dispuesto en la letra h) del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros.

4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado.»

Ver Texto

(8)

Art. 33 RGPD «Notificación de una violación de la seguridad de los datos personales a la autoridad de control

1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.

2. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento.

3. La notificación contemplada en el apartado 1 deberá, como mínimo:

• a) describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
• b) comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
• c) describir las posibles consecuencias de la violación de la seguridad de los datos personales;
• d) describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.

5. El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo.»

Art. 34 RGPD «Comunicación de una violación de la seguridad de los datos personales al interesado

1. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida.

2. La comunicación al interesado contemplada en el apartado 1 del presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y contendrá como mínimo la información y las medidas a que se refiere el artículo 33, apartado 3, letras b), c) y d).

3. La comunicación al interesado a que se refiere el apartado 1 no será necesaria si se cumple alguna de las condiciones siguientes:

• a) el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado;
• b) el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado a que se refiere el apartado 1;
• c) suponga un esfuerzo desproporcionado. En este caso, se optará en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los interesados.

4. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3.»

Ver Texto

(9)

Art. 35 RGPD «Evaluación de impacto relativa a la protección de datos

1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Una única evaluación podrá abordar una serie de operaciones de tratamiento similares que entrañen altos riesgos similares.

2. El responsable del tratamiento recabará el asesoramiento del delegado de protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa a la protección de datos.

3. La evaluación de impacto relativa a la protección de los datos a que se refiere el apartado 1 se requerirá en particular en caso de:

• a) evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;
• b) tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, o
• c) observación sistemática a gran escala de una zona de acceso público.

4. La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1. La autoridad de control comunicará esas listas al Comité a que se refiere el artículo 68.

5. La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos. La autoridad de control comunicará esas listas al Comité.

6. Antes de adoptar las listas a que se refieren los apartados 4 y 5, la autoridad de control competente aplicará el mecanismo de coherencia contemplado en el artículo 63 si esas listas incluyen actividades de tratamiento que guarden relación con la oferta de bienes o servicios a interesados o con la observación del comportamiento de estos en varios Estados miembros, o actividades de tratamiento que puedan afectar sustancialmente a la libre circulación de datos personales en la Unión.

7. La evaluación deberá incluir como mínimo:

• a) una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
• b) una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;
• c) una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y
• d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas.

8. El cumplimiento de los códigos de conducta aprobados a que se refiere el artículo 40 por los responsables o encargados correspondientes se tendrá debidamente en cuenta al evaluar las repercusiones de las operaciones de tratamiento realizadas por dichos responsables o encargados, en particular a efectos de la evaluación de impacto relativa a la protección de datos.

9. Cuando proceda, el responsable recabará la opinión de los interesados o de sus representantes en relación con el tratamiento previsto, sin perjuicio de la protección de intereses públicos o comerciales o de la seguridad de las operaciones de tratamiento.

10. Cuando el tratamiento de conformidad con el artículo 6, apartado 1, letras c) o e), tenga su base jurídica en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento, tal Derecho regule la operación específica de tratamiento o conjunto de operaciones en cuestión, y ya se haya realizado una evaluación de impacto relativa a la protección de datos como parte de una evaluación de impacto general en el contexto de la adopción de dicha base jurídica, los apartados 1 a 7 no serán de aplicación excepto si los Estados miembros consideran necesario proceder a dicha evaluación previa a las actividades de tratamiento.

11. En caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento.

Ver Texto

(10)

Art. 37 RGPD «Designación del delegado de protección de datos

1. El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:

• a) el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;
• b) las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, o
• c) las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales con arreglo al artículo 9 y de datos relativos a condenas e infracciones penales a que se refiere el artículo 10.

2. Un grupo empresarial podrá nombrar un único delegado de protección de datos siempre que sea fácilmente accesible desde cada establecimiento.

3. Cuando el responsable o el encargado del tratamiento sea una autoridad u organismo público, se podrá designar un único delegado de protección de datos para varias de estas autoridades u organismos, teniendo en cuenta su estructura organizativa y tamaño.

4. En casos distintos de los contemplados en el apartado 1, el responsable o el encargado del tratamiento o las asociaciones y otros organismos que representen a categorías de responsables o encargados podrán designar un delegado de protección de datos o deberán designarlo si así lo exige el Derecho de la Unión o de los Estados miembros. El delegado de protección de datos podrá actuar por cuenta de estas asociaciones y otros organismos que representen a responsables o encargados.

5. El delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 39.

6. El delegado de protección de datos podrá formar parte de la plantilla del responsable o del encargado del tratamiento o desempeñar sus funciones en el marco de un contrato de servicios.

7. El responsable o el encargado del tratamiento publicarán los datos de contacto del delegado de protección de datos y los comunicarán a la autoridad de control.»

Art. 38 RGPD «Posición del delegado de protección de datos

1. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales.

2. El responsable y el encargado del tratamiento respaldarán al delegado de protección de datos en el desempeño de las funciones mencionadas en el artículo 39, facilitando los recursos necesarios para el desempeño de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento, y para el mantenimiento de sus conocimientos especializados.

3. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones. No será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones. El delegado de protección de datos rendirá cuentas directamente al más alto nivel jerárquico del responsable o encargado.

4. Los interesados podrán ponerse en contacto con el delegado de protección de datos por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo del presente Reglamento.

5. El delegado de protección de datos estará obligado a mantener el secreto o la confidencialidad en lo que respecta al desempeño de sus funciones, de conformidad con el Derecho de la Unión o de los Estados miembros.»

Ver Texto

(11)

Art. 39 RGPD «Funciones del delegado de protección de datos

1. El delegado de protección de datos tendrá como mínimo las siguientes funciones:

• a) informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;
• b) supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;
• c) ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación de conformidad con el artículo 35;
• d) cooperar con la autoridad de control;
• e) actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto.

2. El delegado de protección de datos desempeñará sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento.»

Ver Texto