Source: http://www.dpoitlaw.com/blog/
Timestamp: 2017-06-28 00:08:49+00:00

Document:
Blog - DPO & it lawDPO & it law
HomeBlog - DPO & it law	Blog - DPO & it law	27
LOPD, Protección de Datos El pasado 24 de junio a propuesta del ministro de Justicia, Rafael Catalá, el Consejo de Ministros ha impulsado el anteproyecto de Ley Orgánica de Protección de Datos con el fin de mejorar la regulación de la protección de datos de carácter personal y adaptar la legislación española a las disposiciones contenidas en el RGPD (Reglamento UE 2016/679) antes de su definitiva entrada en vigor fijada para el próximo 25 de mayo de 2018.
La figura del delegado de protección de datos adquiere una destacada importancia en el Reglamento (UE) 2016/679 y así lo recoge la ley orgánica, que parte del principio de que puede tener un carácter obligatorio o voluntario, estar o no integrado en la organización del responsable o encargado y ser tanto una persona física como una persona jurídica. La designación del delegado de protección de datos ha de comunicarse a la autoridad de protección de datos competente. La Agencia Española de Protección de Datos mantendrá una relación pública y actualizada de los delegados de protección de datos, accesible por cualquier persona. Los conocimientos en la materia se podrán acreditar mediante esquemas de certificación. El responsable o el encargado deberán dotar al delegado de medios materiales y personales suficientes y no podrán removerle, salvo en los supuestos de dolo o negligencia grave. Es de destacar que el delegado de protección de datos permite configurar un medio para la resolución amistosa de reclamaciones, pues el interesado podrá reproducir ante él la reclamación que no sea atendida por el responsable o encargado del tratamiento. Así mismo dentro de los 78 artículos podemos encontrar las siguientes novedades.
Sólo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte. Respecto a la Portabilidad de los datos solo es necesario respecto de los datos facilitados y generados, NO a los datos inferidos utilizando estos últimos.
A pesar de que el RGPD no habla del bloqueo de datos, salvo en algunos casos o supuestos en los que hace referencia a mantener los para la defensa del Responsableo, el Anteproyecto expresamente y con muy buen criterio permite el bloqueo de datos Artículo 29. Bloqueo de los datos.
Según el art 5 c del RLOPD
“La cesión o comunicación de datos consiste en un tratamiento de datos que supone su revelación a una persona distinta del interesado”
Así mismo el art 11 de la LOPD establece en detalle las condiciones en las que podrán o no ser cedidos los datos:
La regla general por tanto de toda cesión o comunicación de datos es, la obtención del consentimiento del interesado para la cesión o comunicación de datos.
Los principales supuestos concretos que nos podemos encontrar en el ámbito de la relación laboral serían los siguientes:
Cesión de datos de trabajadores a empresas del grupo.
Cesión de datos de trabajadores a sindicatos y representantes de trabajadores.
Comunicación de datos a empresas para la prevención de riesgos laborales.
Comunicación de datos de trabajadores a mutuas de accidentes de trabajo y enfermedades profesionales.
Supuesto de comunicación de datos por empresas subcontratistas.
Cesión de datos de trabajadores a empresas del grupo
En atención a lo establecido en el Informe de la Agencia de Protección de Datos 0494/2008 y de acuerdo a la Sentencia de la Sección Novena de la sala de lo contencioso-Administrativo del Tribunal Superior de Justicia de 16 de Octubre de 2000:
Las sociedades que se integren dentro de un Grupo de Empresas, tienen personalidad jurídica plena e independiente entre sí, y por tanto todo intercambio de datos que se produzca entre las distintas empresas del Grupo se considerará como una cesión o comunicación de datos. En este sentido, cada empresa del grupo deberá previamente:
Informar de la cesión y su finalidad al afectado.
Recabar su consentimiento.
No obstante lo anterior, es común en los grupos de empresas la existencia de una sociedad matriz que normalmente se encarga de la gestión de los datos de las otras empresas para la prestación servicios de elaboración de nóminas, llevanza de la contabilidad, soporte informático, marketing etc. En estos supuestos si bien estamos ante una cesión o comunicación de datos de trabajadores habrá de tenerse en cuanta que:
Para evitar que esta comunicación sea interpretada como una cesión, se deberá formalizar un contrato de encargado de tratamiento entre la empresa matriz y aquella que le remita sus datos.
La empresa matriz es la empresa encargada de tratamiento, y tratará los datos conforme a instrucciones que le remitan las empresas responsables de los datos.
La empresa remitente de los datos sigue siendo responsable de sus ficheros.
Por tanto, salvo en supuestos de prestación de servicios por parte de la empresa matriz a las filiales, o entre las mismas, toda cesión o comunicación de datos de trabajadores que no suponga el acceso datos por cuenta de terceros requerirá el consentimiento del trabajador, así como el deber de información establecido en el art. 15 de la LOPD.
Cesión de datos de trabajadores a sindicatos y representantes de trabajadores
En el el artículo 64 del Estatuto de los Trabajadores se otorga a los delegados sindicales y a los miembros del comité de empresa la facultad de acceder a determinada documentación e información, entre otros:
estadísticas sobre el índice de absentismo y sus causas,
los accidentes de trabajo y enfermedades profesionales y sus consecuencias,
índices de siniestralidad,
estudios de medio ambiente laboral y mecanismos de prevención utilizados,
ser informado por faltas muy graves impuestas,
acceso a la copia básica de los contratos de trabajo.
En definitiva los Comités de empresa o Delegados Sindicales están facultados según el art 64 de Estatuto para recibir información de “ todos los temas y cuestiones señalados en cuanto directa o indirectamente tengan o puedan tener repercusión en las relaciones laborales”. De esta manera, la empresa estaría obligada a facilitar toda esta información que afecte directa o indirectamente a las relaciones laborales excepto aquella que pertenezca a la esfera de la intimidad del trabajador. En este sentido:
No sería necesario informar respecto al salario de los trabajadores. A este respecto la Sentencia del Tribunal Supremo de 19 de febrero de 2009 establece:
“la información de los salarios por categorías y departamentos, (…) cumple suficientemente con las exigencias que al respecto establece el artículo 1 de la Ley 2/1991” () por lo que no sería necesario concretar individualizadamente el salario de todos los trabajadores bastando informar respecto de los salarios por categorías y departamentos.
No se tendría la obligación de informar de las direcciones de correo electrónico de los trabajadores por cuanto éstas no repercuten en las relaciones laborales.
En relación a los datos de absentismo y, en concreto a las ausencias por incapacidad temporal de los trabajadores (enfermedades y accidentes), la empresa deberá informar sobre las causas y consecuencias de los mismos pero no (en caso de conocerse) respecto de las patologías médicas de los trabajadores.
Respecto al contrato de trabajo, el empresario entregará a la representación legal de los trabajadores una copia básica de todos los contratos que deban celebrarse por escrito, a excepción de contratos de relación laboral especial (alta dirección). La copia básica contendrá todos los datos del contrato a excepción de DNI, domicilio, estado civil, y cualquier otro que de acuerdo con la Ley Orgánica 1/1982, de 5 de Mayo, pudiera afectar a su intimidad personal.
Comunicación de datos a empresas de prevención de riesgos laborales
Supuesto de comunicación de datos de la empresa a la Mutua de Prevención de Riesgos Laborales sobre datos de sus empleados:
De acuerdo con el artículo 14.2 de la Ley 31/1995 de Prevención de Riesgos Laborales (LPRL) se establece la obligación a la empresa de establecer un sistema de prevención y protección de riesgos laborales. Para el desarrollo de dicha actividad deberá contar bien con un servicio de prevención propio o contratar un servicio ajeno debidamente acreditado.
Por tanto, en los supuestos en los que se contrate un servicio prevención ajeno a la empresa se deberá formalizar el correspondiente contrato de prestación de servicios con la empresa de Servicios de Prevención de Riesgos Laborales. Dicha empresa accederá a los datos en calidad de encargado de tratamiento y el contrato de prestación de servicios deberá cumplir con las previsiones del art 12 de la LOPD.
Supuesto especial actividades de vigilancia y control de la salud de los trabajadores:
No obstante lo anterior, la actividad de vigilancia y control de la salud de los trabajadores no se considerará como un acceso a datos por cuenta de terceros en los supuestos de servicios de prevención de riesgos laborales ajenos.
De acuerdo con los sucesivos informes de la Agencia Española de Protección de datos, Informes 0391/2006, 198/2008 y 024/2009, la empresa de servicios de Prevención de Riesgos será considerada en estos supuestos como responsable del tratamiento.
En consecuencia cuando la empresa contrate con una Mutua la protección de las contingencias profesionales de los trabajadores o la prestación económica de incapacidad temporal derivada de contingencias comunes, será considerada responsable del tratamiento de datos que realizan de acuerdo con las funciones que tiene legalmente atribuidas, y no con un mero tratamiento por cuanta de terceros.
Podemos concluir que tanto las empresas encargadas de la Prevención de Riesgos Laborales como las Mutuas de Accidentes tienen la consideración de responsables del tratamiento de datos que realizan, al amparo de las funciones que tiene legalmente atribuidas.”
El artículo 22 de la LPRL en su apartado 6 establece expresamente que “las medidas de vigilancia y control de la salud de los trabajadores se llevarán a cabo por el personal sanitario con competencia técnica, formación y capacidad acreditada”. El apartado 4 del mismo artículo determina que “el acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador”. Por tanto, las empresas solo pueden tener conocimiento de las conclusiones que se deriven de los reconocimientos en relación a la aptitud del trabajador para el desempeño de su puesto. En este sentido, la empresa de Prevención de Riesgos Laborales deberá remitir a la empresa las conclusiones que se deriven de los reconocimientos efectuados y en relación con la aptitud del trabajador para el puesto desempeñado siendo responsable de los datos de salud relativos a la revisión médica.
Comunicación de datos a mutuas de accidentes de trabajo y enfermedades profesionales
El empresario de acuerdo con el artículo 99 de la Ley General de la Seguridad Social debe proceder a la afiliación de sus trabajadores y establecer la protección de los mismos a través de un sistema de una entidad gestora o de una Mutua de Accidentes. En estos supuestos de cesión o comunicación de daos no se requerirá consentimiento de los trabajadores pues resulta necesaria para el cumplimiento de las coberturas y prestaciones que son exigidas de acuerdo al artículo 99 de la Ley General de la Seguridad Social y sin las cuales no podría mantenerse lícitamente la relación laboral.
El cumplimiento de la obligación legal de facilitar datos de los trabajadores respecto de las contingencias de accidentes de trabajo y enfermedad profesional, implica la necesidad de comunicar a la mutua correspondiente los datos identificativos de los empleados objeto de la cobertura. En este sentido, únicamente podrán cederse datos necesarios para el cumplimiento de la obligación y solamente aquellos datos que sean elaborados por la Mutua relativos a datos de salud de los trabajadores serán de su responsabilidad y no podrán ser comunicados a los empresarios, excepto habilitación legal o el oportuno consentimiento previo del trabajador.
Supuesto de comunicación de datos por las empresas subcontratadas
El Estatuto de los trabajadores, establece en su artículo Artículo 42.1 que:
“Los empresarios que contraten o subcontraten con otros la realización de obras o servicios, correspondientes a la propia actividad de aquellos deberán comprobar que dichos contratistas están al corriente del pago de las cuotas de la seguridad social a tal efecto recabarán por escrito, con identificación de la empresa afectada, certificación negativa por descubiertos en la Tesorería de la Seguridad Social”.
Esto supone la responsabilidad solidaria del empresario principal, durante el año siguiente a la terminación de su encargo, de las obligaciones de naturaleza salarial contraídas por los contratistas y subcontratistas con sus trabajadores.
Es práctica habitual en la subcontratación de servicios que se envíen entre las empresas los documentos TC1 y TC2 como acreditativos de estar al corriente de los pagos a la Seguridad Social, ya que los mismos recogen la relación nominal de los trabajadores respecto a los cuales el empresario ha dado cumplimiento de sus obligaciones de abono de la correspondiente cuota a la seguridad Social, pero.
La AEPD ha estableció a través de sus informes en sucesivas ocasiones que no existe ninguna habilitación legal que posibilitase la cesión de datos, y por tanto que no se encontraba recogida ni en el Estatuto de los Trabajadores ni en la Ley de Prevención de Riesgos Laborales, siendo por tanto necesario el consentimiento previo de los afectados antes de proceder a la cesión. Sin embargo en su informe 412/2009 estableció lo siguiente:
El artículo 42.2 del Estatuto de los Trabajadores, impone al contratista principal una responsabilidad solidaria, responsabilidad que implica atender el cumplimiento de una obligación de naturaleza salaria y las referidas a la Seguridad Social durante el período de vigencia de la contrata. Las obligaciones, según el Código Civil en su artículo 1089 “nacen de la ley, contratos ” En el supuesto que nos ocupa la obligación nace de una Ley, el Estatuto de los Trabajadores, asimismo continúa señalando el Código Civil en el artículo 1088 que “Toda obligación consiste en dar, hacer o no hacer alguna cosa”. El Estatuto de los Trabajadores impone una obligación solidaria definida a sensu contrario en el artículo 1137 del ya citado Código Civil como “La concurrencia de dos o más acreedores o dos o más deudores en una sola obligación no implica que cada uno de aquéllos tenga derecho a pedir, ni cada uno de éstos deba prestar íntegramente la cosa objeto de la misma. Sólo habrá lugar a esto cuando la obligación expresamente lo determine, constituyéndose con el carácter de solidaria.” De la definición se desprende que cuando estemos en presencia de una obligación solidaria cada uno de los deudores deberá prestar íntegramente la cosa objeto de la misma. Por tanto, si el contratista principal es obligado solidariamente de la deuda salarial y a las referidas a la Seguridad Social durante el período de vigencia de la contrata, deberá de conocer el contenido íntegro de dicha obligación para poder cumplirlas. Por todo ello, dado que el Estatuto de los Trabajadores impone una un deber al empresario principal, la comunicación de ciertos datos tales como el TC2, resulta conforme con al Ley Orgánica 15/1999 y el Reglamento de desarrolla, pues se haya expresamente prevista en una norma con rango de Ley. Además el propio Código Civil exige atender íntegramente las obligaciones solidarias por lo que es preciso conocer el contenido de la misma. En consecuencia, la cesión de los TC2 estaría amparada en el artículo 7.3 de la Ley Orgánica 15/1999, en relación con el artículo 42.2 del Estatuto de los Trabajadores y por el alcance que el Código Civil impone a las obligaciones solidarias. 21
APEP, Asociación Profesional Española de Privacidad Durante el V Congreso de la Asociación Profesional Española de Privacidad, en el que se celebró la Asamblea de Socios, Fernando Ramos Suárez socio director de DPO & IT Law, fue nombrado Vocal de la Junta Directiva con el fin de reforzar el área de Formacion y, entre otra cuestiones, para la creación e impartición del curso de Especialización en Data Protection Officer.
El Congreso, que se celebró los pasados 8 y 9 de junio en Madrid, tuvo una gran acogida con más de 250 asistentes.
V Congreso APEP 2017
Medidas de responsabilidad Proactiva (II)
5. El control del Cumplimiento de las Obligaciones de los Trabajadores por parte del Empresario
5.1 Cuestiones previas
La posibilidad que tiene el empleador o empresario de poder controlar la forma en que los trabajadores cumplen con sus funciones en la empresa se recoge en el art.20.3 del Estatuto de los Trabajadores que establece:
“El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso”. Para llevar a cabo este control, la obtención de datos ha de ser legítima, y proporcional, es decir, los datos recabados deberán ser adecuados, pertinentes y no excesivos en relación con la necesidad que justificó su recogida.
Además, si bien no es necesario el consentimiento del trabajador para dicho control, si deberán estar suficientemente informados sobre la existencia de dicho control, sobre su actividad, las razones que lo motivan, las horas en que se aplica, los métodos y técnicas utilizados y los datos acopiados. (Recomendación de la Oficina Internacional del Trabajo).
5.2 Sistemas de control personal: los controles “tecnológicos”
Como mecanismos de control tecnológico de la actividad de los trabajadores, nos podemos encontrar con distintos controles de la actividad del trabajador como por ejemplo el control del uso del correo electrónico, el control de las llamadas telefónicas efectuadas, el control del uso de Internet, o incluso la grabación de imágenes de su actividad laboral o la videovigilancia en el lugar de trabajo.
Dichas medidas de control que puede utilizar el empresario par el control del trabajo del empleado, en principio estarían legitimadas siempre y cuando el medio utilizado para el control sea proporcional para la finalidad con la que se utilice y la información se utilice exclusivamente en el marco de la relación laboral.
Una vez obtenido el juicio de proporcionalidad para el control del trabajador, entendemos que el empresario podrá implantar dichos controles tecnológicos siempre y cuando informe de la implantación de los mismos al trabajador. En este sentido sería necesario:
Informar a los trabajadores y sus representantes, del tipo de tecnología y medios utilizados por el empresario en relación con la vigilancia, seguimiento y control de la actividad laboral.
Los representantes de los trabajadores obtendrán cumplida información sobre la introducción de cualquier nuevo sistema de control que afecte al conjunto de los trabajadores.
Solo cuando haya una firme sospecha de actividades delictivas o dolosas cometidas por un trabajador, podrá excepcionarse la obligación de informar. En dicho supuesto se justificaría la vigilancia encubierta. (Documento de trabajo del Grupo de Trabajo “Artículo 29” relativo a la vigilancia y el control de las comunicaciones electrónicas en el lugar de trabajo).
El Estatuto de los Trabajadores sólo establece la facultad de control del empresario pero no regula la forma concreta en la que esta debe de llevar a cabo. De ahí la importancia de la AUTOREGULACIÓN. La empresa deberá establecer un protocolo interno en el que se informe al trabajador de la existencia de mecanismos de control y del alcance de los mismos.
5.3 Grabación de imágenes y videovigilancia en el lugar de trabajo
El uso de videocámaras en el ámbito laboral ha generado una importante controversia, ya que hace entrar en contraposición dos importantes derechos:
El derecho a la intimidad personal, refrendado por el artículo 18 de la Constitución y desarrollado por la LO 1/1982 de protección civil del derecho a la intimidad.
El Estatuto de los Trabajadores que en su artículo 3 faculta al empresario a adoptar las medidas de vigilancia y control que estime más oportunas para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales.
El uso de la videovigilancia para la verificación del cumplimiento de las obligaciones laborales, se encuentra plenamente sometido a la normativa sobre Protección de Datos, y en particular a lo dispuesto en la Instrucción 1/2006 de la Agencia Española de Protección de Datos.
El tratamiento se limitará a las finalidades previstas por el Estatuto de los Trabajadores, y/o en todo caso a finalidades legítimas reconocidas por la normativa vigente, debiendo cumplir en este último caso adicionalmente las previsiones específicas que sean de aplicación. En este sentido podemos resumirlas en las siguientes medidas:
Se ha de respetar de modo riguroso el principio de proporcionalidad:
Deberán ser tenidos en cuenta los derechos específicos de los trabajadores respetando:
La vida privada en el entorno laboral no registrando, en particular las conversaciones privadas.
Se deberá garantizar el derecho a la información en la recogida de las imágenes:
Mediante el cartel anunciador y el impreso establecidos.
Se garantizará la cancelación de las imágenes en el plazo máximo de 30 días y únicamente podrán conservarse aquellas que registren una infracción o incumplimiento de los deberes laborales, a disposición de las Administraciones Públicas, Jueces y Tribunales.
Se garantizarán los derechos de acceso y cancelación. Para evitar perjudicar derechos de terceras personas, el ejercicio de acceso quedará garantizado mediante un escrito certificado donde conste la fecha de la grabación, las horas que estuvo grabado y la finalidad del registro de la imagen.
Se formalizarán en su caso contratos de acceso a los datos por cuenta de terceros en los supuestos en los que el servicio se subcontrate con la correspondiente empresa de seguridad privada que pueda visualizar las imágenes siendo esta encargada del tratamiento.
Por último se elaborará el correspondiente Documento de Seguridad que contemple todas las medidas que deberán de aplicarse sobre el fichero y en particular:
El responsable del fichero, o en su caso el encargado del tratamiento deberán garantizar que no se produzca ningún acceso no autorizado a las imágenes.
El documento de seguridad establecerá el procedimiento para el acceso y las medidas que al efecto deban adoptarse.
Solo podrán tener acceso a las imágenes las personas que figuren en el Documento de Seguridad mediante un sistema de control basado en usuario/ contraseña.
1.3.1 REGISTRO DE ACTIVIDADES
El Registro de actividades viene regulado en el art. 30 y considerandos 82 y 89 del RGPD.
Artículo 30: Registro de las actividades de tratamiento
Cada responsable y, en su caso, su representante llevará un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la información indicada a continuación:
en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49 (Excepciones para situaciones específicas), apartado 1, párrafo segundo, la documentación de garantías adecuadas;
cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32 (Seguridad del tratamiento), apartado 1.
en su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo (Excepciones para situaciones específicas), la documentación de garantías adecuadas;
cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 30, (Registro de las actividades de tratamiento) apartado 1.
Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, (Tratamiento de categorías especiales de datos personales) apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10 (Tratamiento de datos personales relativos a condenas e infracciones penales).
Los responsables o los encargados del tratamiento deberán mantener registros de las actividades de tratamiento que se encuentren bajo su responsabilidad. Ambos se encuentran obligados a cooperar con la autoridad de control y a poner a su disposición, previa solicitud, dichos registros de modo que puedan servir para supervisar las operaciones de tratamiento.
El cumplimiento de esta medida es obligatorio para:
Organizaciones o empresas que empleen a más de 250 trabajadores.
Organizaciones o empresas que realicen tratamientos de datos con las siguientes características:
Tratamientos que puedan ocasionar un riesgo para los derechos y libertades de los interesados o incluya categorías especiales de datos o aquellos relativos a condenas e infracciones penales.
Tratamientos que no sean ocasionales.
La información que debe contener dichos registros, difiere en función de si se trata de un responsable de tratamiento o un encargado.
En el caso de los responsables de tratamiento, los registros de actividades deberán incluir la siguiente información:
El Nombre y los datos de contacto del responsable, y, en su caso, del corresponsable, del representante del responsable, y del Delegado de Protección de Datos;
Las categorías de interesados;
Las categorías de destinatarios;
Las transferencias internacionales de datos y la documentación de las garantías adecuadas adoptadas;
Por otro lado, en el caso de los encargados de tratamiento el Registro de Actividades deberá incluir la siguiente información:
Las categorías de datos personales efectuadas por cuenta de cada responsable;
Por último, se establece que dichos Registros de Actividades deberán constar por escrito y quedar a disposición de la Autoridad de Control que lo solicite.
Podemos concluir, que el Registro de Actividades es obligatorio para aquellas empresas con empleados superiores a 250 trabajadores o que teniendo menos trabajadores sus tratamientos supongan un mayor riesgo para los derechos y libertades de los interesados. No obstante, entendemos que, junto con el enfoque de aproximación al riesgo, esta medida es clave para identificar y organizar el cumplimiento de las medidas en función del tipo de tratamiento o actividades identificadas. Es altamente recomendable que dicho trabajo de identificación y registro de actividades o tratamientos de datos se realice previamente a la adopción de las medidas técnicas y organizativas en materia de protección de datos, sea o no obligatorio para la empresa, ya que de esta manera podremos determinar el ámbito de aplicación de las políticas o procesos de protección de datos. A su vez, es aconsejable completar el contenido de dichos registros de actividades con más información de la realmente exigida y permitir así cumplir con otras obligaciones, como por ejemplo la relativa al consentimiento informado del interesado. Es deseable, por tanto, incluir información adicional relacionada con el cumplimiento de los principios de protección de datos como, por ejemplo:
Procedimiento para la obtención del consentimiento, y sistema empleado para la conservación y localización del mismo.
Marco o base jurídica aplicable al consentimiento.
Cláusulas de información utilizadas e identificación de los formularios, contratos o documentos que las incluyan, así como el procedimiento utilizado para su conservación y localización.
Áreas o departamentos responsables del tratamiento, identificando la o las personas de contacto responsables.
Áreas o departamentos que pueden realizar tratamiento o acceso a los datos personales.
Información de la/s personas de contacto incluyendo el área o departamento para el ejercicio de los derechos de los interesados.
Volumen de datos tratados y número de personas afectadas.
Aunque de forma completamente distinta, el Registro de Actividades vendría en cierta medida a cubrir la obligación establecida por la normativa anterior respecto de la notificación de ficheros a las Autoridades de Control de datos, la cual expresamente ha sido eliminada por el RGPD a través del considerando 89:
(89) Eliminación de la obligación de notificación de ficheros.
responsables y encargados de tratamiento con más de 250 trabajadores estarán obligados a llevar un Registro de Actividades de los tratamientos de datos realizados por su organización.
Los responsables y encargados de tratamiento con menos de 250 trabajadores también estarán obligados si realizan tratamientos no ocasionales y los mismos suponen un riesgo para los derechos y libertadas de los interesados o incluyen categorías especiales de datos o datos sobre condenas e infracciones.
El registro de actividades es un elemento clave para determinar el ámbito de aplicación de las políticas de protección de datos.
4. El deber de información y consentimiento en la relación laboral
Con motivo de la formalización de la relación laboral, y de forma similar a como se ha realizado con los potenciales trabajadores o candidatos, es necesario con carácter previo al tratamiento de los datos de los trabajadores informar de las circunstancias del mismo, en el propio contrato laboral o en un formulario establecido al efecto de conformidad con lo establecido en el artículo 5 de la LOPD. De esta manera se deberá informar en el contrato o anexo al contrato:
De la existencia de un fichero o tratamiento de datos de carácter personal.
De la finalidad de la recogida.
4.1.1 Acreditación del cumplimiento del deber de información
Desaparición de la Exigencia de formalidades para acreditar el cumplimiento del principio de información.
El artículo 18 del RLOPD establecía que el deber de información debería llevarse a cabo a través de un medio que permitiera acreditar su cumplimiento y que debería conservarse mientras persistiera el tratamiento de los datos del afectado. (En plasmación de lo expuesto en SAN 24-1-2003 y SAN 20-1-2006).
El Responsable del tratamiento debía conservar el soporte en que constase el cumplimiento del deber de información (ficha/factura/contrato/…) pudiendo utilizar medios informáticos o telemáticos (posibilidad de escanear soportes en papel siempre que se garantice que en su automatización no ha mediado alteración).
Una Sentencia del Tribunal Supremo suprime totalmente el artículo 18 al estimar que establece una obligación adicional al margen de la Ley de Protección de Datos, de este modo, aunque la carga de la prueba siga estando del lado del responsable del tratamiento de los datos, ésta deja de estar sometida a exigencias formales.
4.1.2 Información al inicio de la relación laboral
4.1.2.1 Comunicación al trabajador de normativa interna en materia de LOPD
Además de la información señalada, existen otros aspectos relativos a la seguridad de los datos de los que debe informarse a los trabajadores. Podemos decir por tanto, que para una correcta gestión en materia de protección de datos es imprescindible que los usuarios o trabajadores colaboren en la misma, por ello han de estar informados en todo momento de los protocolos y medios existentes establecidos en la empresa tendentes a garantizar la confidencialidad y seguridad del tratamiento así como la seguridad del dato personal. Por ello resulta recomendable informar de la siguiente documentación:
Medidas de Seguridad y Manual de Usuario.
Reparto a los trabajadores con acceso a datos de carácter personal responsabilidad de la empresa, de la normativa interna en materia de seguridad en el tratamiento de datos personales con indicación de las medidas de seguridad aplicables al tratamiento de los que sean participes, junto con las indicaciones para su correcta ejecución. En muchas ocasiones y dependiendo del tipo de tratamiento de datos a realizar es recomendable la impartición de sesiones de sensibilización sobre la protección de datos así como formación en materia de seguridad.
Además del traslado de la normativa interna en materia de seguridad en el tratamiento de datos, es necesario recabar el compromiso de confidencialidad del trabajador sobre los datos a los que en el desempeño de sus funciones tenga conocimiento. Por ello es recomendable al inicio de la relación laboral hacer firmar al trabajador compromisos de confidencialidad que pueden estar incluidos en el propio contrato de trabajo o a través de los correspondientes anexos.
4.1.2.1 Trabajadores externos
Si bien con los trabajadores de la empresa parece claro y evidente que los mismos deben de ser informados de los derechos que les asisten así como de la normativa de seguridad que deben de cumplir a la hora de tratar el dato personal, no ocurre lo mismo con los trabajadores subcontratados o que presten servicios en instalaciones de la empresa. En la actualidad el acceso de los trabajadores externos al tratamiento de datos responsabilidad de la empresa, no queda convenientemente regulado de forma similar a como si de un trabajador interno se tratara. En los supuestos de subcontratación de servicios o prestación de servicios que impliquen acceso a datos a través de los sistemas de información de la empresa bien físicamente en modo local o bien informáticamente en modo remoto, los trabajadores externos deberán adquirir los mismos compromisos que los trabajadores internos en la medida en que puedan acceder a datos de carácter personal en el desempeño de sus funciones. Se deberá por tanto establecer en el contrato de subcontratación o prestación de servicios con el proveedor externo cuales son las condiciones de acceso y las obligaciones del personal externo en materia de seguridad para el tratamiento de datos personales responsabilidad de la empresa contratante. Uno de los frecuentes errores que se encuentran en el cumplimiento de estas medidas es la obligación de otorgar accesos personalizados e individualizados para cada trabajador externo que acceda en modo remoto. En la actualidad es frecuente otorgar accesos genéricos a los sistemas de información por parte de las empresas receptoras de los servicios, produciéndose incumplimientos en materia de Seguridad ya que según el art. 85, relativo al acceso a datos a través de redes de comunicaciones, establece que:
“Las medidas de seguridad exigibles a los accesos a datos de carácter personal a través de redes de comunicaciones, sean o no públicas, deberán garantizar un nivel de seguridad equivalente al correspondiente a los accesos en modo local”.
En este sentido el art. 93 del RLOPD es claro al establecer en su apartado segundo que:
“El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado”.
Es por tanto recomendable prestar especial atención a las medidas de seguridad que deben de ser trasladadas al personal externo que acceda los sistemas de información de la empresa debiéndose ser considerado a los efectos del cumplimiento de la normativa interna en materia de seguridad como un usuario más de los sistemas de información de la empresa. Así se ha visto reflejado en el RLOPD que traslada la obligación de identificar en el documento de seguridad todos aquellos supuestos de acceso a datos por cuenta del responsable que supongan un acceso físico en modo local o informático en modo remoto a los sistemas de información de la empresa, a los efectos de garantizar la seguridad de la información del datos personal ya no sólo respecto del acceso de los trabadores propios si no respecto del acceso de trabajadores externos.
4.2 Consentimiento para el tratamiento de datos de los trabajadores
Como hemos comentado anteriormente la ley exceptúa la necesidad del consentimiento para el tratamiento de datos “con ocasión de la celebración de un contrato o precontrato o de la existencia de una relación negocial, laboral o administrativa de la que sea parte el afectado y sean necesarios para su mantenimiento o cumplimiento”. (art.10.3.b, RD 1720/2007).
Por tanto no será necesario el consentimiento de los trabajadores para el tratamiento de sus datos, lo que no debe confundirse con el deber de informar, que es obligatorio siempre para todos los trabajadores de la empresa.
Por otro lado tampoco sería necesario el consentimiento cuando:
Se autorice por una norma con rango legal (art.10.2.a RD1720/2007).
Resulte necesario para la prevención o diagnósticos médicos, prestación de asistencia sanitaria o gestión de servicios sanitarios. ( art. 10.3 c) RD 1720/2007 y art. 7.6 LOPD).
Esta excepción no es una regla general para cualquier tratamiento en el ámbito de la relación laboral, si no que ésta debe interpretarse en sentido restringido, por lo que el tratamiento de los datos para una finalidad distinta de la expresamente excepcionada requerirá de la autorización del trabajador. En este sentido, debe recordarse que el tratamiento de datos por la empresa sin el consentimiento del trabajador, en los casos en que sea necesario, es considerado como una infracción grave y en caso de que además sean cedidos a terceros como una infracción muy grave.
4.2.1 Datos especialmente protegidos
Como hemos comentado anteriormente se consideran datos especialmente protegidos los relativos a la salud, al origen racial, a la vida sexual, ideología, creencias, religión y afiliación sindical según el art. 7 de la LOPD.
Por tanto con carácter general la recogida y tratamiento de estos datos exigirá:
Contar con el consentimiento expreso (y por escrito para los datos de afiliación sindical, ideología, religión o creencias) del afectado.
Adopción de medidas de seguridad de nivel alto.
En el ámbito laboral se producen una serie de excepciones respecto de los requisitos exigidos para el tratamiento de datos especialmente protegidos, así, no es preciso obtener el consentimiento expreso del afectado cuando:
Se establezca por una norma con rango de Ley. Son los casos por ejemplo de la prestación de planes de pensiones o seguros que son impuestos legalmente y que por tanto no necesitan el consentimiento del trabajador ya que en caso contrario debe requerirse el consentimiento. En este sentido es recomendable contar con el consentimiento del trabajador para el tratamiento de datos que no vengan excepcionados legalmente y que no sean necesarios para el mantenimiento de la relación laboral.
Por otro lado conviene señalar respecto al tratamiento de datos especialmente protegidos que no es preciso adoptar las medidas de seguridad de nivel alto en determinados supuesto:
Respecto de aquellos datos de salud referentes al grado de discapacidad o la simple declaración de la condición de discapacidad o invalidez del afectado, con motivo del cumplimiento de deberes públicos.
Realización de transferencias a las entidades de las que los afectados sean asociados o miembros (Detracción de la Cuota Sindical).
Ambos supuestos han sido introducidos por el RLOPD y suponen un avance significativo en la gestión de protección de datos en el departamento de RRHH de la empresa. Con anterioridad a la entrada en vigor del RLOPD, el nivel de seguridad aplicable a los ficheros de personal generalmente era de nivel alto debido a la existencia de trabajadores discapacitados. Al ser un dato de salud y por tanto de especial protección, requería el cumplimiento de medidas de seguridad de nivel alto en la gestión de RRHH con los consiguientes esfuerzos económicos por llegar al cumplimiento de las medidas de seguridad de nivel alto, y en particular por el cumplimiento de la medida de seguridad de “Registro de Accesos” que suponía la obligación de establecer procedimientos técnicos e control de acceso a las aplicaciones de RRHH capaces de registrar la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. Con la publicación del RLOPD dicha obligación de aplicación de medidas de seguridad de nivel alto cambia en el supuesto de cumplimiento de deberes públicos (grado de discapacidad) y en los supuestos de realización de transferencias dinerarias que revelen datos de nivel alto (detracción de la cuota sidical)
4.2.2. Necesidad de consentimiento para el tratamiento de datos para finalidades especiales
Como hemos comentado anteriormente será necesario recabar el consentimiento del trabajador para aquellos tratamientos de datos que no vengan excepcionados legalmente y que no sean necesarios para el mantenimiento o gestión de la relación laboral. En este sentido podemos encontrarnos con distintos supuestos que requerirán el correspondiente consentimiento del trabajador para el tratamiento de sus datos de carácter personal.
4.2.2.1 Seguros médicos
Será necesario el consentimiento del empleado para el tratamiento de sus datos con el fin de contratar un seguro médico, y para la comunicación de los mismos a las compañías de seguros, siempre que se trate de seguros médicos voluntarios y no seguros obligatorios establecidos por ley, ya que si existe obligación legal o la contratación del seguro viene regulada por convenio colectivo, estaríamos ante la excepción del art. 10,2 a) del RDLOP. No obstante lo anterior, debe de tenerse siempre en consideración que habrá que informar al trabajador tanto del tratamiento como de la cesión de los datos que se va a producir.
4.2.2.2 Uso de fotos identificativas
En el supuesto de fotos identificativas, al considerarse la imagen como un dato de carácter personal, será necesario informar del tratamiento al trabajador y si la imagen se utiliza con finalidades que no sean estrictamente el mantenimiento o cumplimiento de la relación laboral, será necesario recabar también el consentimiento. Las tarjetas o carnets con foto identificativa de control de acceso a las instalaciones o locales del responsable de fichero se considerarán necesarias para el mantenimiento de la relación laboral, no siendo por tanto necesario recabar el consentimiento para el tratamiento, pero si informar de su fianlidad y tratamiento. En estos casos, el acto de posar no puede considerarse un consentimiento genérico para tratar la imagen. El consentimiento que se deduce del acto de posar solo será válido para la finalidad que justificó ese posado, es decir la tarjeta de acceso, no se podrá utilizar con fines diferentes (memorias, página web etc.).
4.2.2.3 Revistas internas, publicaciones y actividades lúdicas
En estos casos estamos fuera del estricto marco de la relación laboral por lo que será necesario el consentimiento del trabajador para publicar cualquiera de sus datos en publicaciones internas, en las que por ejemplo se informe de cumpleaños, bodas, nacimientos, etc. o participación en actividades lúdicas o sociales de cualquier tipo.
El principio de Accountability o de Responsabilidad Proactiva
El principio de “Accountability” o “Responsabilidad Proactiva” viene regulado en al art. 5.2 y 24 así como en el considerando 74 del RGPD.
Artículo 5: Principios relativos al tratamiento
El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva“).
Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario.
La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.
A través de este principio de protección de datos, el responsable y encargado de tratamiento estarán obligados a demostrar que sus actividades de tratamiento de datos cumplen con los principios relativos al tratamiento de datos (art. 5.1 del RGPD). Para ello deberán implantar unas medidas técnicas y organizativas apropiadas a fin de demostrar que los tratamientos que realizan son conformes con el RGPD. Estas medidas deberán ser actualizadas y revisadas periódicamente a través de procedimientos internos o externos de auditoría, o con la adhesión a códigos de conducta o procesos de certificación.
El principio de “Accountability” o de “Responsabilidad Proactiva” es un principio ya introducido en 1980 por la OECD en el Códigos de Conducta o Guías de Protección de la Privacidad y flujo transfronterizo de datos personales y en el año 2010 por el Grupo de Trabajo del artículo 29 a través de la opinión 3/2010 sobre el principio de la Responsabilidad Proactiva o “Principio de Accountability”. En este informe el GT 29 presentó una propuesta concreta para introducir el principio de “Responsabilidad Proactiva” en la normativa de protección de datos, de tal forma que los responsables del tratamiento pongan en marcha procedimientos y medidas eficaces para garantizar el cumplimiento de los principios y obligaciones establecidos en la Directiva, y poder así demostrar ante las autoridades el cumplimiento de la misma.
Estas recomendaciones establecidas por el GT 29 fueron llevadas a la práctica por la Autoridad de Control Francesa el CNIL, la cual aprueba en enero de 2015, una norma de cumplimiento en materia de protección de datos. Dicha norma define las reglas y las mejores prácticas que debe implantar y desarrollar una organización para garantizar una gestión respetuosa con los principios de protección de datos de datos. La norma se divide en 25 apartados o requisitos relativos entre otras cuestiones, a la existencia de políticas de privacidad internas y externas, el nombramiento de un responsable de protección de datos, la gestión de las incidencias y siniestros etc. De esta manera la Autoridad de Control Francesa (CNIL) introduce en la normativa de protección de datos francesa el principio de “Responsabilidad Proactiva”, de tal forma que aquellas organizaciones que demuestren que cumplen con dicha norma de cumplimiento obtendrán un “sello de cumplimiento del principio de Responsabilidad proactiva” emitido por la Autoridad de Control Francesa (CNIL) garantizando el cumplimiento de la normativa francesa de protección de datos.
Nos encontramos, por tanto, con un principio que establece para los responsables y encargados una obligación “proactiva y sistemática” del cumplimiento de la normativa de protección de datos a través de la implantación de medidas técnicas y organizativas apropiadas, las cuales deberán incluir la protección de datos desde el diseño y por defecto en aquellas áreas de la organización donde sean necesarias. El objetivo final de la implantación de dichas políticas o medidas de protección de datos o programas de gestión interna de la privacidad no es otro que garantizar que las actividades de tratamiento realizadas por el responsable cumplen con lo establecido en RGPD.
Es conveniente aclarar que las medidas técnicas y organizativas que señala el principio de Responsabilidad Proactiva, no deben de asimilarse o confundirse con a las medidas técnicas y organizativas de seguridad que marca nuestro RLOPD, ya que las mismas, como veremos más adelante, constituirían un apartado de dichas medidas, políticas o procesos en materia de protección de datos que es necesario implantar por los responsables y encargados.
Existe un cambio importante en cuanto al enfoque con respecto a la Directiva 95/46/CE, ya que si bien con la Directiva se buscaba evitar la infracción de los derechos de los interesados como obligación principal con el RGPD se busca la anticipación a la infracción o lesión de derechos. Se busca el cumplimiento con antelación para evitar así la lesión o infracción del derecho o libertad del interesado. Por tanto, es un cambio de enfoque con consecuencias reales, ya que el hecho de la falta de adopción de alguna de las medidas u obligaciones establecidas por el RGPD puede originar la imposición de una sanción al responsable o encargado de tratamiento sin que previamente exista una lesión de los derechos y libertades del afectado o interesado.
Las medidas a las que hace referencia el RGPD se podrían resumir en las siguientes:
Medidas de Protección de Datos desde el Diseño.
Medidas de Protección de Datos por Defecto.
Autorización previa o Consultas previas con la Autoridad de Control.
Notificación de Violación de Seguridad.
Nos encontramos con un principio fundamental en la normativa de protección de datos (incluido dentro de los principios fundamentales de tratamiento del art. 5 del RGPD) que no es otro que la obligación de los responsables y encargados de implantar un sistema interno de cumplimiento en materia de protección de datos. Sistema que estará integrado por distintas políticas o procesos internos de privacidad que deberán ser actualizados y auditados periódicamente de manera que permitan demostrar el cumplimiento del RGPD.
En comparación con nuestra normativa de protección de datos, podemos por tanto comprobar que si bien durante años lo servicios de Auditoría Bienal, y por tanto el cumplimiento de las medidas técnicas y organizativas de seguridad, se constituían como los servicios o las obligaciones que marcaban el cumplimiento de una organización en materia de protección de datos, con el RGPD se produce un giro importante de 180º en la forma de gestionar dicho cumplimiento normativo, pasando a tener una mayor relevancia la adecuación jurídica o el cumplimiento normativo de protección de datos, siendo el cumplimiento técnico o en materia de seguridad uno de los elementos a tener en cuenta en el sistema empresarial de cumplimiento de protección de datos. Vemos por tanto que sistema de cumplimiento normativo de protección de datos va a tener muchas similitudes en cuanto a los procedimientos y procesos con sistemas de cumplimiento normativo ya existentes en nuestra normativa, como pueden ser los sistemas de cumplimiento normativo en materia de Prevención de Blanqueo de Capitales y Responsabilidad Penal Corporativa.
El sistema interno de cumplimiento de la normativa de protección de datos, deberá incluir diversas políticas o procesos internos de protección de datos o privacidad que deberán ser actualizados y auditados periódicamente.
El principio de Accountability o Responsabilidad Proactiva establece una obligación proactiva y sistemática del cumplimiento de la normativa de protección de datos, a través de la implantación de medidas técnicas y organizativas apropiadas.
1.1 Enfoque de aproximación al riesgo
El enfoque de aproximación al Riesgo se recoge en el art. 24 y en los considerandos 75 a 77 del RGPD.
Para el cumplimiento del principio de “Responsabilidad Proactiva” el responsable y encargado de tratamiento deberán previamente realizar un análisis y estudio del cumplimiento en materia de protección de datos basado en el riesgo. Es decir, deberán analizar qué medidas de protección de datos son necesarias implantar para garantizar el cumplimiento del RGPD, en función de naturaleza, alcance, contexto y finalidades del tratamiento de datos que realicen, así como de los riesgos o probabilidades de intromisión en los Derechos y libertades de los interesados.
De esta manera cuanto más probable y grave sea el riesgo del tratamiento, más medidas de protección de datos serán necesarias implantar para contrarrestarlos (nuevamente conviene aclarar que no se trata únicamente de medidas de seguridad técnica). Según el considerando 75:
“Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variable, pueden deberse a tratamientos de datos que pudiera provocar daños y perjuicios físicos, materiales o inmateriales.”
Con el objeto de poder tener una idea aproximada de lo que debe de ser considerado como riesgo, el considerando 75 del RGPD enumera aquellos tratamientos de datos que pueden ser considerados de riesgo para los derechos y libertades de los interesados:
Tratamiento que puede dar lugar problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo;
Tratamiento que pueda privar a los interesados de sus derechos y libertades o impedirles ejercer el control sobre sus datos personales;
Tratamiento de datos personales sensibles que revelen origen étnico o racial, las opiniones políticas, la religión o creencias filosóficas, la militancia en sindicatos y el tratamiento de datos genéticos, datos relativos a la salud o datos sobre la vida sexual, o las condenas e infracciones penales o medidas de seguridad conexas;
Tratamiento en la elaboración de perfiles, en particular el análisis o la predicción de aspectos referidos al rendimiento en el trabajo, situación económica, salud, preferencias o intereses personales, fiabilidad o comportamiento, situación o movimientos, con el fin de crear o utilizar perfiles personales;
Tratamiento de datos personales de personas físicas vulnerables, en particular de niños;
Tratamiento que implica una gran cantidad de datos personales y que afecta a un gran número de interesados.
Por otro lado, y según el considerando 76, dicho riesgo deberá ponderarse en algunos casos y evaluarse de forma objetiva en otros para determinar si existe un “riesgo” o un “riesgo alto“.
Por último, dado que el RGPD puede introducir situaciones de indeterminación en cuanto al riesgo a considerar en el tratamiento de datos, el considerando 77 establece que podrá proporcionarse más orientación sobre la identificación y evaluación de los riesgos del tratamiento de datos, y sobre la identificación de enfoques de mejores prácticas para mitigar esos riesgos, a través de códigos de conducta, certificaciones y directrices aprobadas por Comité el Grupo de Trabajo del artículo 29, o incluso por el propio Delegado de Protección de Datos de la Organización.
Por tanto, podemos comprobar que a diferencia de nuestra actual normativa el enfoque de aproximación al riesgo supone que las medidas y políticas de protección de datos a implantar no serán aplicables por igual por todos los responsables y encargados, si no que se adoptarán en función del riesgo que se produzca en el tratamiento de datos para los derechos y libertades de los afectados. En este sentido, el enfoque de aproximación al riesgo en la implantación de medidas podrá jugar en un doble sentido:
Adopción de medidas. Se aplicarán determinadas medidas en función de si se produce un alto riesgo para los derechos y libertades de los interesados.
Ponderación dentro de la propia medida. En otros casos el riesgo funcionará como un factor de ponderación en la propia medida que deba ser implantada, estableciendo determinadas acciones específicas en función del riesgo existente.
El enfoque basado en el riesgo se configura como un factor clave dentro del proceso de adecuación o cumplimiento de la normativa de protección de datos, ya que todo responsable o encargado deberán previamente analizar el nivel de riesgo en el que se encuentra respecto de los tratamientos de datos que realice o asuma.
Los responsables de tratamiento deben de aplicar las medidas de protección de datos en función del enfoque de aproximación al riesgo atendiendo a la naturaleza, alcance, contexto y finalidades del tratamiento de datos, así como de los riesgos o probabilidades de intromisión en los Derechos y libertades.
Los tratamientos que pueden ser considerados de riesgo son: aquellos que produzcan perjuicios económicos o sociales, priven del control de los datos a los interesados, traten datos sensibles, elaboren perfiles de comportamiento, afecten a personas vulnerables (niños), e impliquen una gran cantidad de datos o afecten a un gran número de interesados.
El enfoque de aproximación al riesgo supone que las medidas y políticas de protección de datos a implantar no serán aplicables por igual por todos los responsables y encargados.

References: resolución 
 Artículo 29
 artículo 64
 artículo 1
 artículo 14
 artículo 22
 artículo 99
 artículo 99
 Artículo 42
 artículo 42
 artículo 1089
 artículo 1088
 artículo 1137
 artículo 7
 artículo 42
 artículo 18
 artículo 3

Artículo 30
 artículo 49
 artículo 32
 artículo 49
 artículo 30
 artículo 9
 artículo 10
 artículo 5
 artículo 18
 artículo 18

Artículo 5
 artículo 40
 artículo 42
 artículo 29
 artículo 29