Source: https://xribas.com/tag/gdpr/page/2/
Timestamp: 2019-01-19 04:25:25+00:00

Document:
GDPR | Xavier Ribas | Página 2
Archivo de la etiqueta: GDPR
Cuantía de las sanciones impuestas en el RGPD a las infracciones relacionadas con obligaciones jurídicas y de seguridad
Este artículo forma parte de un análisis del peso real que las medidas jurídicas y las medidas de seguridad tienen en un proyecto RGPD (GDPR por sus siglas en inglés).
Acceso a las conclusiones del análisis
Las obligaciones específicas en materia de seguridad están recogidas en la Sección 2 del capítulo IV del RGPD, aunque hay otras medidas técnicas a lo largo del RGPD que pueden estar asociadas a la seguridad. Esta Sección lleva el título de “Seguridad de los datos personales” e incluye tres artículos relaitivos a la seguridad del tratamiento (Artículo 32), la notificación de una violación de la seguridad de los datos personales a la autoridad de control (Artículo 33) y la comunicación de una violación de la seguridad de los datos personales al interesado (Artículo 34).
Las acciones descritas en esta sección y destinadas a garantizar un nivel de seguridad adecuado para el riesgo detectado incluirán, entre otras, las siguientes medidas:
Proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
Adhesión a un código de conducta aprobado a tenor del artículo 40.
Adhesión a un mecanismo de certificación aprobado a tenor del artículo 42.
Medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable.
Una infracción de estas obligaciones establecidas en materia de seguridad, tendría una sanción de hasta 10 millones o el 2% del volumen de negocio ya que afectaría a los artículos 32, 33 y 34, cuyo incumplimiento está considerado como una infracción grave.
En cambio, la mayor parte de las infracciones relacionadas con las obligaciones jurídicas están consideradas como infracciones muy graves. con sanciones de hasta 20 millones o del 4% del volumen de negocio.
En términos absolutos, el reparto de las infracciones entre las dos disciplinas es el siguiente:
Infracción de obligaciones jurídicas con sanciones de hasta 20 millones contenidas en 21 artículos.
Infracción de obligaciones jurídicas con sanciones de hasta 10 millones contenidas en 16 artículos.
Infracción de obligaciones en materias de seguridad con sanciones de hasta 10 millones contenidas en 3 artículos.
Publicado en RGPD	| Etiquetado GDPR, RGPD
Probabilidad de que una infracción del RGPD llegue a ser conocida, denunciada y sancionada
Análisis a las conclusiones del análisis
Para calcular la probabilidad de que un incumplimiento del RGPD llegue a ser conocido, denunciado y sancionado, depende, en gran medida, de que el incumplimiento tenga sus efectos, o pueda ser percibido por fuera del perímetro de la empresa.
Si valoramos el riesgo de que esto suceda en cada una de las obligaciones del RGPD que pueden ser incumplidas por una empresa, podemos elaborar una tabla como la siguiente, en la que se valora, de forma aproximativa, el riesgo de que una infracción pueda tener efectos o ser percibida fuera del perímetro de la empresa:
Principios relativos al tratamiento – Riesgo alto
Licitud del tratamiento – Riesgo alto
Condiciones para el consentimiento – Riesgo alto
Consentimiento de menores – Riesgo alto
Categorías especiales de datos – Riesgo medio
Datos relativos a condenas e infracciones penales – Riesgo medio
Tratamientos que no requieren identificación – Riesgo bajo
Ejercicio de derechos del interesado – Riesgo alto
Información al interesado en la obtención directa – Riesgo alto
Información al interesado en la obtención indirecta – Riesgo medio
Derecho de acceso del interesado – Riesgo alto
Derecho de rectificación – Riesgo alto
Derecho de supresión – Riesgo alto
Derecho a la limitación del tratamiento – Riesgo alto
Notificación de las acciones relativas a los derechos anteriores – Riesgo alto
Derecho a la portabilidad de los datos – Riesgo alto
Derecho de oposición – Riesgo alto
Decisiones individuales automatizadas y elaboración de perfiles – Riesgo medio
Limitaciones – Riesgo bajo
Responsabilidad del responsable del tratamiento – Riesgo medio
Protección de datos desde el el diseño y por defecto – Riesgo medio
Corresponsables del tratamiento – Riesgo medio
Representantes en la Unión Europea – Riesgo alto
Encargado del tratamiento – Riesgo medio
Tratamiento bajo la autoridad del responsable o del encargado – Riesgo bajo
Registro de las actividades de tratamiento – Riesgo bajo
Cooperación con la autoridad nacional – – Riesgo alto
Seguridad del tratamiento – Riesgo bajo en relación a la disponibilidad y a la integridad y riesgo alto en relación a la confidencialidad
Notificación de una violación de la seguridad a la autoridad de control – Riesgo alto
Comunicación de una violación de la seguridad al interesado – Riesgo alto
Evaluación de impacto – Riesgo bajo
Consulta previa – Riesgo alto
Designación del Delegado de Protección de Datos – Riesgo alto
Posición del Delegado de Protección de Datos – Riesgo bajo
Funciones del Delegado de Protección de Datos – Riesgo bajo
Códigos de conducta – Riesgo alto
Supervisión de los códigos de conducta – Riesgo alto
Certificación – Riesgo alto
Principio general de las transferencias a terceros países – Riesgo alto
Transferencias basadas en una decisión de adecuación – Riesgo alto
Transferencias mediante garantías adecuadas – Riesgo alto
Normas corporativas vinculantes – Riesgo alto
Transferencias no autorizadas por el Derecho de la Unión – Riesgo alto
Excepciones para situaciones específicas – Riesgo alto
Al realizar este ejercicio nos damos cuenta de que todas las obligaciones en las que el interesado puede, de alguna manera, monitorizar o percibir el nivel de cumplimiento son aquellas en las que una eventual infracción tendría una manifestación o unos efectos fuera de la empresa. En cambio, las infracciones que sólo se manifestan o tienen sus efectos dentro de la empresa, son susceptibles de ser ocultadas o subsanadas, con la excepción de las que sean filtradas o denunciadas por alguien que se halle dentro del círculo de confianza de la empresa o sea expulsado del mismo a causa de un confilcto o de un despido.
En el caso de infracción de una obligación jurídica con riesgo alto de conocimiento por parte del interesado, la empresa no tiene muchas opciones para ocultar, corregir o eliminar los efectos de la infracción, ya que éstos han salido de su ámbito de control. Por ejemplo, si la empresa realiza un envío masivo de publicidad por correo electrónico y sin consentimiento, la prueba de la infracción está en cada uno de los buzones de entrada de los múltiples destinatarios.
En el caso de infracción de una obligación específica en materia de seguridad, como las relacionadas con las violaciones de datos, el Grupo de Trabajo del Artículo 29 ha identificado tres opciones:
Las violaciones de la integridad.
Las violaciones de la disponibilidad.
Las violaciones de la confidencialidad.
En el caso de las dos primeras, la empresa puede actuar de forma rápida y solucionar el problema sin que el interesado llegue a darse cuenta. En el caso de una violación de la confidencialidad, la existencia de la divulgación de los datos puede llegar a conocimiento del interesado o no, ya que puede deberse a un incidente involuntario intrascendente o a un ataque que no ha sido hecho público.
El gran impacto reputacional y la desconfianza en la seguridad de la empresa que puede generar la divulgación de una violación de datos hace que, en la mayoría de los casos, las empresas sólo publiquen datos de las violaciones de datos que ya han sido conocidas por los interesados.
No parece que esta estrategia vaya a cambiar a pesar de la obligación de comunicar las violaciones de datos. Las empresas, especialmente las de aquellos sectores en los que los datos personales sea un activo crítico, intentarán no tener que comunicar la existencia de la violación. Salvo que la brecha de seguridad haya sido dada a conocer por terceros, en la medida de lo posible, y especialmente en los casos de violación de la integridad y de la disponibilidad, estos incidentes seguirán siendo de ámbito interno muy probablemente.
Si a ello unimos las conclusiones del análisis histórico de sanciones, en el que las cuestiones relativas a la seguirdad prácticamente no aparecen, es posible afirmar que existe una mayor probabilidad de que el incumplimiento de una obligación jurídica sea sancionado, frente a la menor probabilidad de sanción del incumplimiento de una obligación de seguridad.
Publicado en LOPD, RGPD	| Etiquetado GDPR, RGPD
Probabilidad de que se produzca una infracción de las obligaciones jurídicas y de las obligaciones de seguridad
Teniendo en cuenta que las características esenciales de las obligaciones establecidas en la LOPD y en el RGPD en materia de protección de datos son bastante parecidas, podemos acudir a las estadísticas publicadas anualmente por la Agencia Española de Protección de Datos (AEPD) para ver cuáles son los incumplimientos más frecuentes.
De acuerdo con la última memoria anual publicada por la AEPD, que corresponde a 2016, los datos relativos a las sanciones impuestas a empresas son los siguientes:
Videovigilancia: 170 sanciones
Ficheros de morosidad: 141 sanciones
Comunicaciones electrónicas (Spam): 77 sanciones
Contratación fraudulenta: 74 sanciones
Publicidad y marketing (Excepto spam): 54 sanciones
Información insuficiente: 1 sanción
Cookies: 9 sanciones
Documentación desechada sin destruir o borrar: 3 sanciones
Como podemos ver, de un total de 529 sanciones analizadas, sólo 3 tendrían relación con un incumplimiento de las medidas de seguridad. Es decir, un 1%.
Publicado en RGPD, Sin categoría	| Etiquetado GDPR, RGPD
Número de infracciones del RGPD que guardan relación con las medidas jurídicas y con las medidas de seguridad
Las infracciones que establece el artículo 83 del RGPD se distribuyen en dos grandes grupos:
A) Infracciones con sanciones de hasta 20 millones o el 4% del volumen de negocio, cuyo contenido es exclusivamente jurídico, ya que se refieren a:
Los principios básicos del tratamiento (Artículos 5, 6, 7 y 9)
Los derechos de los interesados (Artículos 12 a 22)
Las transferencias de datos personales a un tercer país (Artículos 44 a 49)
El incumplimiento de obligaciones en virtud del Derecho de los Estados miembros (Artículos 85 a 91)
El incumplimiento de resoluciones de la autoridad de control (Artículo 58)
B) Infracciones con sanciones de hasta 10 millones o el 2% del volumen de negocio, cuyo contenido es predominantemente jurídico, ya que se refieren a:
Las obligaciones del responsable y del encargado del tratamiento
Las obligaciones de los organismos de certificación
Las obligaciones de las autoridades de control
Las infracciones en materia de seguridad están incluidas en el punto 1, relativo a las obligaciones del responsable y del encargado del tratamiento, que están descritas en los artículos 8, 11, 25, 26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39, 42 y 43.
Por lo tanto, una infracción de las obligaciones establecidas en materia de seguridad, tendría una sanción de hasta 10 millones o el 2% del volumen de negocio y afectaría a 3 de los 19 artículos del RGPD cuya infracción comportaría este tipo de sanciones.
Cabe añadir que dos de los tres artículos relativos a medidas de seguridad se refieren a la obligación de notificar y comunicar las violaciones de datos.
Publicado en Datos personales, LOPD, RGPD	| Etiquetado GDPR, RGPD
Número de obligaciones del RGPD que guardan relación con las medidas jurídicas y con las medidas de seguridad
El RGPD tiene 99 artículos, de los que:
44 contienen obligaciones de contenido jurídico.
5 contienen obligaciones relativas a medidas técnicas que pueden incuir medidas de seguridad (Artículos 5, 17, 24, 25 y 28)
3 contienen obligaciones específicas en materia de seguridad (Artículos 32, 33 y 34)
Los restantes artículos tienen un contenido general y directrices para los estados y las autoridades de control
Si miramos la proporción entre las dos disciplinas, de los 44 artículos que contienen obligaciones:
El 84% contiene obligaciones de contenido jurídico
El 10% contiene obligaciones en materia de medidas técnicas
El 6% contiene obligaciones específicas en materia de seguridad
Si relacionamos las obligaciones contenidas en estos 44 artículos y las agrupamos por conceptos, el resultado es el siguiente:
Principios relativos al tratamiento (Artículo 5)
Licitud del tratamiento (Artículo 6)
Condiciones para el consentimiento (Artículo 7)
Consentimiento de menores (Artículo 8)
Categorías especiales de datos (Artículo 9)
Datos relativos a condenas e infracciones penales (Artículo 10)
Tratamientos que no requieren identificación (Artículo 11)
Ejercicio de derechos del interesado (Artículo 12)
Información al interesado en la obtención directa (Artículo 13)
Información al interesado en la obtención indirecta (Artículo 14)
Derecho de acceso del interesado (Artículo 15)
Derecho de rectificación (Artículo 16)
Derecho de supresión (Artículo 17)
Derecho a la limitación del tratamiento (Artículo 18)
Notificación de las acciones relativas a los derechos anteriores (Artículo 19)
Derecho a la portabilidad de los datos (Artículo 20)
Derecho de oposición (Artículo 21)
Decisiones individuales automatizadas y elaboración de perfiles (Artículo 22)
Limitaciones (Artículo 23)
Responsabilidad del responsable del tratamiento (Artículo 24)
Protección de datos desde el el diseño y por defecto (Artículo 25)
Corresponsables del tratamiento (Artículo 26)
Representantes en la Unión Europea (Artículo 27)
Encargado del tratamiento (Artículo 28)
Tratamiento bajo la autoridad del responsable o del encargado (Artículo 29)
Registro de las actividades de tratamiento (Artículo 30)
Cooperación con la autoridad nacional (Artículo 31)
Seguridad del tratamiento (Artículo 32)
Notificación de una violación de la seguridad a la autoridad de control (Artículo 33)
Comunicación de una violación de la seguridad al interesado (Artículo 34)
Evaluación de impacto (Artículo 35)
Consulta previa (Artículo 36)
Designación del Delegado de Protección de Datos (Artículo 37)
Posición del Delegado de Protección de Datos (Artículo 38)
Funciones del Delegado de Protección de Datos (Artículo 39)
Códigos de conducta (Artículo 40)
Supervisión de los códigos de conducta (Artículo 41)
Certificación (Artículo 42)
Principio general de las transferencias a terceros países (Artículo 44)
Transferencias basadas en una decisión de adecuación (Artículo 45)
Transferencias mediante garantías adecuadas (Artículo 46)
Normas corporativas vinculantes (Artículo 47)
Transferencias no autorizadas por el Derecho de la Unión (Artículo 48)
Excepciones para situaciones específicas (Artículo 49)
La distribución de las obligaciones relativas a estos artículos es la representada en el siguiente gráfico:
El artículo 35 del RGPD distribuye el alcance mínimo de la evaluación de impacto en cuatro apartados de contenido jurídico y cita las medidas de seguridad como uno de los cuatro grupos de medidas a aplicar para afrontar los riesgos identificados en la evaluación de impacto.
El artículo 37 del RGPD establece que el delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 39, que son de naturaleza jurídica y organizativa.
El proyecto de Ley relativo a la nueva LOPD sólo contiene obligaciones relacionadas con las medidas de seguridad tangencialmente en los artículos 8 y 9 al hablar de los tratamientos amparados por una ley, en la Disposición adicional primera, relativa a las medidas de seguridad en el ámbito del sector público y en la Disposición adicional desimosegunda, al hablar del tratamiento de datos relacionados con incidentes de seguridad por parte de los equipos de respuesta a incidentes (CERT y CSIRT).
Publicado en Datos personales, Reglamento UE de protección de datos, RGPD	| Etiquetado GDPR, RGPD, Xavier Ribas
Categorías Elegir categoría 30 aniversario (5) Absentismo presencial (2) Actualidad (21) Administración electrónica (2) Análisis de riesgos (1) Aplicación Compliance 3.0 (5) Arbitraje tecnológico (2) Big data (2) Blogs (5) Buen gobierno (2) BYOD (3) Campañas en redes sociales (2) Canon digital (4) Checklists (2) Ciberespionaje (2) Ciberseguridad (1) Cloud computing (5) Comercio electrónico (16) Competencia (3) Compliance (69) Compliance officer (54) Comunicaciones comerciales (3) Continuidad del negocio (3) Contratos (2) Contratos tecnológicos (12) Control de proveedores (2) Control del correo electrónico (3) Cookies (12) Corporate compliance (40) Corporate defense (23) corrupción (3) Crisis 2.0 (5) Cultura de cumplimiento (1) Datos personales (28) Delitos informáticos (12) Directores de Sistemas (4) DNI electrónico (3) DPO (3) E-learning (4) Economía colaborativa (1) Encargado del tratamiento (1) Enviar a un amigo (1) Error humano (2) Escrow (4) Estrategia (1) EU-US Privacy Shield (1) Factura electrónica (8) Firma electrónica (4) Forensics (3) Formación (7) Hacking (1) Homenajes (6) Infografías (2) Infraestructuras críticas (2) Internet (7) Internet de las cosas (1) Intimidad (31) ISO 37001 (4) Juego por Internet (1) Juegos (1) Legislación (6) LOPD (37) LSSI (2) Mapa de riesgos (1) Marcas (2) Marketing online (2) Medios de comunicación (1) Modelos de contratos (1) Normas de uso de los recursos TIC (2) P2P (6) Patentes (2) Phishing (1) Presentaciones Flash (4) Productividad (4) Propiedad intelectual (25) Protección de datos (19) Proyectos tecnológicos (3) Pruebas electrónicas (5) Publicidad (7) Redes sociales (10) Reglamento UE de protección de datos (13) Relatos cortos (1) Reputación 2.0 (13) Responsabilidad civil (15) Responsabilidad del Compliance Officer (24) Responsabilidad ISP (6) Responsabilidad penal (39) Responsabilidad prestadores de servicios (7) RGPD (25) Rumores (1) Safe Harbor (2) Segmentación (3) Seguridad (23) Sin categoría (144) Telecomunicaciones (2) Transferencias internacionales (3) Twitter (1) Vídeos (1) Videoconferencia (1) Videovigilancia (1) Wiki (2) Xavier Ribas (47)
Archivo Elegir mes enero 2019 (1) diciembre 2018 (2) noviembre 2018 (1) octubre 2018 (2) septiembre 2018 (7) julio 2018 (6) junio 2018 (1) abril 2018 (1) febrero 2018 (6) noviembre 2017 (10) octubre 2017 (6) septiembre 2017 (5) agosto 2017 (1) julio 2017 (2) junio 2017 (7) mayo 2017 (15) abril 2017 (3) marzo 2017 (8) febrero 2017 (9) enero 2017 (5) diciembre 2016 (3) noviembre 2016 (1) octubre 2016 (1) septiembre 2016 (6) julio 2016 (2) junio 2016 (3) mayo 2016 (6) abril 2016 (2) marzo 2016 (5) febrero 2016 (5) enero 2016 (8) diciembre 2015 (4) noviembre 2015 (5) octubre 2015 (2) septiembre 2015 (2) agosto 2015 (2) julio 2015 (1) junio 2015 (3) abril 2015 (3) marzo 2015 (5) enero 2015 (3) diciembre 2014 (4) noviembre 2014 (5) octubre 2014 (5) septiembre 2014 (3) julio 2014 (1) junio 2014 (4) mayo 2014 (2) abril 2014 (1) marzo 2014 (6) febrero 2014 (3) noviembre 2013 (3) octubre 2013 (4) septiembre 2013 (2) julio 2013 (2) junio 2013 (2) mayo 2013 (2) abril 2013 (5) marzo 2013 (1) febrero 2013 (3) enero 2013 (8) diciembre 2012 (3) noviembre 2012 (7) octubre 2012 (4) septiembre 2012 (2) agosto 2012 (1) julio 2012 (1) junio 2012 (7) mayo 2012 (1) abril 2012 (3) marzo 2012 (1) febrero 2012 (2) enero 2012 (1) noviembre 2011 (4) octubre 2011 (2) agosto 2011 (2) julio 2011 (1) mayo 2011 (6) marzo 2011 (5) febrero 2011 (2) enero 2011 (1) noviembre 2010 (3) octubre 2010 (1) septiembre 2010 (1) julio 2010 (1) junio 2010 (2) mayo 2010 (4) abril 2010 (1) marzo 2010 (1) febrero 2010 (1) enero 2010 (2) diciembre 2009 (6) noviembre 2009 (6) octubre 2009 (1) septiembre 2009 (1) julio 2009 (1) junio 2009 (2) mayo 2009 (3) abril 2009 (3) marzo 2009 (3) enero 2009 (2) noviembre 2008 (2) octubre 2008 (1) septiembre 2008 (5) julio 2008 (1) junio 2008 (1) mayo 2008 (1) abril 2008 (1) marzo 2008 (1) febrero 2008 (4) enero 2008 (16) diciembre 2007 (5) noviembre 2007 (1) octubre 2007 (5) septiembre 2007 (1) agosto 2007 (10) julio 2007 (7) junio 2007 (5) mayo 2007 (2) abril 2007 (13) marzo 2007 (6)
30 aniversario Absentismo presencial Actualidad Administración electrónica Aplicación Compliance 3.0 Arbitraje tecnológico Big data Blogs Buen gobierno BYOD Campañas en redes sociales Canon digital Checklists Ciberespionaje Cloud computing Comercio electrónico Competencia Compliance Compliance officer Comunicaciones comerciales Continuidad del negocio Contratos Contratos tecnológicos Control del correo electrónico Control de proveedores Cookies Corporate compliance Corporate defense corrupción Crisis 2.0 Datos personales Delitos informáticos Directores de Sistemas DNI electrónico DPO E-learning Error humano Escrow Factura electrónica Firma electrónica Forensics Formación Homenajes Infografías Infraestructuras críticas Internet Intimidad ISO 37001 Legislación LOPD LSSI Marcas Marketing online Normas de uso de los recursos TIC P2P Patentes Presentaciones Flash Productividad Propiedad intelectual Protección de datos Proyectos tecnológicos Pruebas electrónicas Publicidad Redes sociales Reglamento UE de protección de datos Reputación 2.0 Responsabilidad civil Responsabilidad del Compliance Officer Responsabilidad ISP Responsabilidad penal Responsabilidad prestadores de servicios RGPD Safe Harbor Segmentación Seguridad Sin categoría Telecomunicaciones Transferencias internacionales Wiki Xavier Ribas

References: artículo 40
 artículo 42
 Artículo 29
 artículo 83
 artículo 35
 artículo 37
 artículo 39