Source: https://www.prodat.es/blog/tag/responsable%20del%20tratamiento.html
Timestamp: 2020-08-06 22:58:15+00:00

Document:
PRODAT Protección de Datos para empresas RGPD, LOPDGDD y LSSI - Mostrando artículos por etiqueta: responsable del tratamiento
Miércoles, 08 Marzo 2017 16:34
La consulta previa en el RGPD
El Reglamento General Europeo habilita la posibilidad de que los responsables consultemos a la autoridad de control competente antes de proceder a un tratamiento de datos, si como resultado de la realización de una evaluación de impacto, se muestra que el tratamiento entrañará un alto riesgo si no se toman las medidas necesarias para mitigar dicho riesgo.
El artículo 36.2 del RGPD establece que cuando la autoridad de control considere que el tratamiento previsto podría infringir el RGPD debido, principalmente, a que el responsable no ha identificado o mitigado suficientemente el riesgo. La autoridad de control deberá, en un plazo máximo de ocho semanas desde que se formula la consulta, asesorar por escrito al responsable y al encargado, si procede, en el caso en concreto.
Asimismo, la norma europea lista la información que se deberá facilitar a la autoridad de control para que resuelva convenientemente:
Martes, 28 Febrero 2017 13:56
La evaluación de impacto relativa a la protección de datos en el RGPD. Parte II
Siguiendo con nuestro análisis de esta nueva obligación de RGPD, como ya comentábamos la semana pasada, el RGPD nos proporciona una lista indicativa de supuestos en que se considera que los tratamientos conllevan un alto riesgo. La AEPD por su parte, deberá elaborar listas con los tipos de operaciones de tratamiento que requieran una evaluación de impacto.
Por otro lado, el RGPD habilita la posibilidad para que las autoridades de control puedan establecer y publicar listas con los tipos de tratamiento que no requieren de una evaluación de impacto.
Sin embargo, como bien indica nuestra Agencia, la existencia de estos listados no excluye el que los responsables deban realizar el correspondiente análisis de riesgo, que vimos cuando hablamos de las medidas de seguridad, y en caso de que concluyan que existe un alto riesgo para los derechos y libertades de los interesados, lleven a cabo una evaluación de impacto, aun cuando el tratamiento en cuestión no esté incluido en ninguna de las dos listas mencionadas.
El RGPD establece un contenido mínimo que deberán incluir las evaluaciones de impacto (art.35.7):
Viernes, 24 Febrero 2017 09:47
La evaluación de impacto relativa a la protección de datos en el RGPD. Parte I
La obligación de realizar una evaluación de impacto relativa a la protección de datos (EIPD) es, sin duda, una de las novedades destacadas en el Reglamento General de Protección de Datos.
En diferentes considerandos y de forma específica en el artículo 35 del RGPD encontramos su regulación.
La obligación nace en aquellos casos en los que sea probable que las operaciones de tratamiento entrañen un alto riesgo para los derechos y libertades de las personas físicas. El responsable del tratamiento, con carácter previo a la puesta en marcha de aquellos tratamientos, debe realizar una evaluación de impacto que analice, en particular, el origen, la naturaleza, la particularidad y la gravedad de dicho riesgo.
El resultado de la evaluación deberá tenerse en cuenta para que el responsable aplique las medidas adecuadas con el fin de demostrar que el tratamiento de los datos personales es conforme con el RGPD.
Será posible realizar una única EIPD para varios tratamientos similares que entrañen altos riesgos también similares.
Comunicación de violaciones de seguridad en el RGPD. Parte II
Esta misma semana os hablábamos de una de las novedades del RGPD, la notificación de violaciones de seguridad a las autoridades de control competentes, por parte tanto de los responsables del tratamiento como de los encargados.
La norma europea no se limita a exigir lo anteriormente mencionado, sino que en su artículo 34 establece la obligación del responsable del tratamiento de comunicar las violaciones de seguridad de los datos a los propios afectados/ interesados, cuando la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas.
La comunicación dirigida al interesado deberá realizarse mediante un lenguaje claro y sencillo, y deberá contener como mínimo:
Notificación de violaciones de seguridad en el RGPD. Parte I
Una novedad del Reglamento General de Protección de Datos es la obligación de que todo responsable de tratamiento debe notificar las violaciones de seguridad tanto a la autoridad de control competente (art.33 RGPD) como a los interesados/afectados (Art.34 RGPD).
Actualmente, la Directiva 2002/58/CE establece la obligación de notificar las quiebras de seguridad sólo respecto de los proveedores de servicios de comunicaciones electrónicas disponibles para el público, obligación incorporada al Derecho español por la reforma del artículo 34 de la Ley General de Telecomunicaciones. Para ello la AEPD tiene establecido un sistema de notificación de quiebras de seguridad a través de su Sede Electrónica.
La norma europea define violación de la seguridad de los datos personales, como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
La obligación recogida en el RGPD consiste en que el responsable del tratamiento, ante cualquier violación de seguridad, deberá notificarla ante la autoridad competente de su país. Una vez más el RGPD recurre al término sin dilación indebida para indicar el plazo de notificación, estableciendo un máximo de 72 horas desde que se tuvo constancia de la violación. Si se realiza la notificación pasadas esas 72 horas, la misma deberá ir acompañada de la justificación del retraso.
Jueves, 29 Diciembre 2016 16:29
Corresponsables del tratamiento. Nueva figura en el RGPD
Ya habéis podido observar, a través de los diferentes artículos que semanalmente vamos publicando con el análisis pormenorizado del Reglamento General de Protección de Datos, que la norma europea está llena de novedades bien en forma de principios, derechos u obligaciones que debemos empezar ya a tomar conciencia de las mismas, para que nuestra adaptación al RGPD se realice de forma adecuada.
En el presente artículo hablaremos de los <corresponsables> nueva figura que encontramos en el artículo 26 del RGPD.
A pesar de que el RGPD no define a los corresponsables como tal en su artículo 4, el mencionado artículo 26 nos da las pautas para entender cuándo estaremos ante un corresponsable, es decir: “cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento”. Realmente lo que hace el RGPD es dar un nombre a algo que ya veníamos aplicando.
Pero además la norma europea nos indica qué obligaciones deberán cumplir los corresponsables, esto es, deberán:
El Responsable del Tratamiento en el RGPD
Como ya analizamos de forma detallada en un anterior artículo de nuestro blog, esencia del RGPD es el principio de responsabilidad proactiva del responsable del tratamiento, pues además de estar obligado a cumplir con todas las medidas que se recogen a lo largo del texto, debe ser capaz de demostrar dicho cumplimiento.
Hasta ahora, podemos entender que la exigencia es no infringir la normativa, pero el Reglamento va un paso más allá, ya que no considera suficiente el hecho de no incumplir sino que su línea de cumplimiento sienta las bases en prevenir los incumplimientos.
La responsabilidad por parte del responsable del tratamiento viene determinada en el art. 24 del RGPD donde indica que está obligado a aplicar las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar la conformidad de las actividades de tratamiento con el Reglamento, incluida la eficacia de las medidas.
Esto es (tal y como ha manifestado la AEPD), el Reglamento entiende que actuar sólo cuando ya se ha producido una infracción no es suficiente como estrategia, toda vez que esa infracción puede causar daños a los interesados en ocasiones muy difíciles de compensar o reparar.
Por ello, será la adopción de políticas internas y aplicación de medidas que cumplan los principios de protección de datos desde el diseño y por defecto las que sirvan para demostrar y garantizar el cumplimiento. El Reglamento nos ayuda y dispone a lo largo de su texto una serie de medidas, de las que hablaremos y analizaremos detalladamente, como son:

References: artículo 36
 artículo 35
 artículo 34
 artículo 34
 artículo 26
 artículo 4
 artículo 26