Source: https://www.pablofb.com/documentacion-de-proteccion-de-datos/
Timestamp: 2020-01-23 18:00:32+00:00

Document:
Protección de Datos Personales. España | Pablo F. Burgueño ")}}return a.proceed()});scriptParent=document.getElementsByTagName("script")[0].parentNode;if(scriptParent.tagName.toLowerCase!=="head"){head=document.getElementsByTagName("head")[0];aop_around(head,"insertBefore");aop_around(head,"appendChild")}aop_around(scriptParent,"insertBefore");aop_around(scriptParent,"appendChild");var a2a_config=a2a_config||{};a2a_config.no_3p=1;var addthis_config={data_use_cookies:false};var _gaq=_gaq||[];_gaq.push(["_gat._anonymizeIp"])}
Fecha de la última actualización: 13 de enero de 2020
Temario completo (formato desplegable)
Normativa general y normativa por sectores
Guías sobre RGPD y sobre IoT, Cloud, reconocimiento de huellas…
Consultas a la AEPD
Sentencias de interés y resoluciones AEPD
Recursos legales y técnicos de ciberseguridad
Personas, bienvenidas a mi área privada de ciberseguridad y protección de datos. Soy Pablo Fdez. Burgueño, docente y abogado. A través de esta página os ofrezco una selección de recursos útiles para seguir estudiando y descubrir novedades sobre derecho europeo y español en esta materia.
Si estás estudiando en uno de mis cursos de protección de datos, pulsa aquí: Sección privada del curso (con plantillas de EIPD, formularios, modelos de contratos...).
Haz clic aquí para acceder a mi guía divulgativa 'Fundamentos de la Protección de Datos en España'
1.- TEMARIO COMPLETO
El temario del Dominio I, que puedes desplegar a continuación, para el curso de DPD puede servir como guía para el curso que estés realizando para formarte y obtener el certificado por alguna de las siguientes entidades de certificación para DPD (ver web AEPD):
IVAC INSTITUTO DE CERTIFICACIÓN, SL: Autorizada el 07/09/2018.
ASOCIACIÓN PARA EL FOMENTO DE LA SEGURIDAD DE LA INFORMACIÓN, ISMS FORUM: Autorizada el 11/10/2018.
ASOCIACIÓN ESPAÑOLA PARA LA CALIDAD (AEC): Autorizada el 26/10/2018.
ANF AUTORIDAD DE CERTIFICACIÓN ASOCIACIÓN, ANF AC: Autorizada el 25/01/2019.
CUALICONTROL – ACI, S.A. (Unipersonal): Autorizada el 27/09/2019.
AENOR INTERNACIONAL, S.A. (Unipersonal): Autorizada el 30/09/2019.
Si quieres un curso online o presencial que esté reconocido para certificarte, ahora puedes encontrar las entidades de formación reconocidas, con enlaces a sus programas, precios y fichas de inscripción, en la web de la AEPD sobre Certificación de delegado de protección de datos.
Pulsa aquí para ver el temario completo (versión propia) del Dominio I
Aproximación al GDPR (art. 1 RGPD) y la LOPDGDD
TEMA 2.- REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS (RGPD / GDPR) Y LOPDGDD
Introducción al GDPR (Considerandos 1 a 27 RGPD) y a la LOPDGDD
Considerandos y artículos del GDPR (todos los considerandos e índice de artículos) y LOPDGDD
Directrices de interpretación del GDPR y LOPDGDD: artículos, guías, opiniones, criterios, doctrina judicial y jurisprudencia
Introducción al Documento de Seguridad adecuado al GDPR y LOPDGDD
Quién es quién en el GDPR y la LOPDGDD
Derechos PARSOLO (o SOOPLAR):
Otros derechos desarrollados en la LOPDGDD
Medidas de seguridad y estado de la técnica (Considerando 29, 71, 78, 87 y 156, arts 4, 5, 24, 25, 28, 30, 32 y 34 RGPD y art. 14 LAP)
Documento de Seguridad adaptado al GDPR
Sistemas para la obtención, gestión y custodia de pruebas documentales
Cifrado por archivo
Proceso de Auditoría documental y técnica
2.- Guías y Documentos de ayuda
⚠ Cuidado al usar estos documentos: los documentos publicados por la AEPD, por otras agencias o por el WP29 con anterioridad al 25 de mayo de 2018 solo deben sirvir para tomar ideas y saber interpretar mejor el RGPD para proteger a las personas a través del correcto tratamiento de datos de carácter personal. Para evitar cargarlos en mi web o tener que indicar las fechas he puesto enlaces externos a los mismos, alojados en servidores de terceros, en los que las fechas están visibles. En relación con las respuestas a consultas, están a vuestra disposición desde esta página web, con indicación del origen y su fecha.
– ¿Puedo redifundir los documentos de la AEPD a través de pablofb.com?
Consulta (ver registro de entrada)
Respuesta de la AEPD, de 27 de septiembre de 2018.
2.1.- Autoridades de control
A.- AC Españolas
Viaje a través del tiempo: Web de la AEPD a 24 de mayo de 2018
Autoritat Catalana de Protecció de Dades – Agencia de Protección de Datos de Cataluña
Datuak Babesteko Euskal Bulegoa – Agencia de Protección de Datos del País Vasco
B.- AC de otros países de la Unión
Data Protection Authorities (GT29) [inglés]
2.- Normativa general y normativa por sectores
1.- Códigos de normativa
Las normas principales están en la ppt del Día 1. Estos enlaces solo llevan a algunos textos normativos y otros documentos de refuerzo.
Código de Protección de Datos (BOE)
Selección de normativa de protección de datos (AEPD)
Selección de normativa sobre ciberseguridad (CNPIC)
2.- Protección de Datos – General
A.- Normativa europea:
Reglamento General de Protección de datos – versión consolidada
RGPD – versión originaria
RGPD – corrección de errores
B.- Normativa española:
LO 3/2018 (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales o LOPDGDD).
Sentencia TC que declara nulo el apartado 1 del art. 58 bis de la Ley Orgánica 5/1985 incorporado a esta por la disposición final tercera, apartado dos, de la Ley Orgánica 3/2018 (nota de prensa y descarga de stc.).
LOPD 15/1999: Derogada, salvo por lo indicado en la disposición derogatoria única de la LOPDGDD.
RLOPD 1720/2007: Derogada en todo lo que contradiga, se oponga o resulte incompatible con lo dispuesto en el RGPD y en la LOPDGDD.
C.- LO 3/2018 o LOPDGDD (e histórico del proyecto)
LO 3/2018 (en vigor desde el 7 dic 2018)
Histórico del proyecto para la LOPDGDD:
26 nov 2018 – El Senado aprueba el Proyecto LOPDGDD de 23 oct 2018 (ver procedimiento)
26 oct 2018 – Proyecto LOPDGDD (Aprobación por el Pleno)
24 oct 2018 – Proyecto LOPDGDD
23 oct 2018 – Proyecto LOPDGDD
17 oct 2018 – Proyecto LOPDGDD
09 oct 2018 – Proyecto LOPDGDD
18 abr 2018 – Proyecto LOPDGDD
24 nov 2017 – Proyecto LOPDGDD
D.- Material de interés
[Edición 2018] Manual de legislación europea en materia de protección de datos
Crossover entre el RGPD y la LOPDGDD, por F. Javier Sempere.
Crossover entre la LOPDGDD de España y la norma local de Portugal, por Abanlex
3.- Protección de Datos – Sectorial:
La práctica totalidad del tejido empresarial español está formado por empresas de menos de 250 empleados, con una importante presencia en el sector servicios y menor en los otros tres: agrario, industria y construcción. Más información en el Portal PYME, del Ministerio de Industria.
Estas son las normas y recomendaciones de la AC de protección de datos que considero de mayor interés para estos sectores.
A.- Marketing, comunicación y prensa
Directiva 2000/31/CE sobre el comercio electrónico: Regula determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior
Transposición – Ley 34/2002 (LSSI). Incluye:
Información a mostrar en una web profesional (art. 10)
Responsabilidades por estar en Internet (arts. 13 a 17 LSSI)
Cómo enviar e-mails comerciales (arts. 19 a 22.1 LSSI)
Ley de Cookies (art. 22.2 LSSI)
Cómo vender a través de Internet (art. 23 y 24 LSSI)
RLOPD (arts. 45 a 51 en lo que no contradigan al RGPD): Cómo obtener autorización y tratar los datos para actividades de publicidad y prospección comercial, incluso por vía electrónica.
Ley de Competencia Desleal (art. 29): Derecho de oposición en la propia llamada comercial, sin necesidad de usar otras vías.
Ley de Prensa: Cómo publicar noticias por los periodistas y cuál es el alcance de su deber de secreto.
Ley Orgánica sobre la rectificación periodística: Cómo publicar una réplica en un medio de comunicación.
Ley Orgánica sobre honor, intimidad y propia imagen: Cómo hacer fotos en eventos; y cómo reaccionar ante opiniones de usuarios.
Ley de Consumidores y Usuarios: Cómo vender a través de Internet.
Consejos sobre «Publicidad no deseada» (AEPD)
Informe jurídico sobre Comunicaciones comerciales por medios electrónicos (AEPD)
Informe jurídico sobre comunicaciones comerciales (AEPD)
Lista Robinson, de exclusión publicitaria
B.- Justicia y Defensa
Constitución Española (art. 24): Establece el derecho a no declarar contra uno mismo, a no confesarse culpables y a la presunción de inocencia.
Código Deontológico de la Abogacía Española (art. 5): Impone la obligación de secreto.
Código de Deontología de los Abogados Europeos (art. 2.3): Establece los términos del deber de secreto.
Ley Orgánica 1/2004, contra la Violencia de Género (art. 63): Será protegida la intimidad de las víctimas.
Ley 5/2014 de Seguridad Privada (arts. 15, 42, 48 y 49): Establece la forma correcta para videovigilar y las prácticas legales de los detectives privados, que deberán conservar los informes de investigación por 3 años.
C.- Laboral
Estatuto de los Trabajadores (18, 19, 20…): Determina condiciones sobre la inviolabilidad del trabajador, su seguridad y su salud, así como la forma en que el empleador puede controlar al empleado.
Ley 23/2015, de inspección de trabajo (arts. 16, 18 y 24): Los inspectores de trabajo pueden tener acceso a datos de trabajadores sin su consentimiento.
Real Decreto 1844/1994, de elección a órganos de representación laboral (art. 6): Establece qué datos de los empleados han de hacerse públicos en elecciones a órganos de representación de los trabajadores en la empresa.
En determinados casos, se puede comunicar el RNT (antiguo TC2) y nóminas de salarios de los trabajadores empleados en una subcontrata a la empresa principal (Informe 412/2009)
Una ETT y la empresa usuaria no han de firmar un CET (Informe 172/2006)
[SIN REVISAR, AUNQUE PARECE INTERESANTE] Guía sobre la protección de datos personales en el ámbito de la prevención de riesgos laborales
D.- Sanitario
E.- Financiero
Ley 10/2014, de Entidades de Crédito: Establece cómo ha de ofrecerse la información, por escrito, en precontratos y contratos.
Ley 26/2013, de Cajas de Ahorros y Fundaciones: Legitima las cesiones de datos a Banco de España.
Ley 10/2010, de Prevención del Blanqueo de Capitales: Posibilita la creación de ficheros sin consentimiento de los interesados y sin informarlos e impone la obligación de custodia de los datos por 10 años. Los gestores de los ficheros comunes previstos en el artículo 33 precisan DPO, según interpretación de la AEPD en una de sus respuestas en su Sesión Anual de 2018.
Ley Hipotecaria, de 1946: Establece a los 20 años la prescripción de la acción hipotecaria.
Ley 58/2003, General Tributaria: Impone la obligación de informar a Hacienda, sin consentimiento de los interesados y posibilita la publicación de listados de deudores.
Ley 13/2011, de regulación del juego (arts. 16 y 22): Medidas de seguridad reforzadas en la homologación del software. Se registrarán determinados datos, sin consentimiento de los afectados, de personas vinculadas a operadores de juego o a las que les está prohibido el juego.
F.- Educación
Guía para centros educativos (AEPD)
Informe sobre la utilización por parte de profesores y alumnos de aplicaciones que almacenan datos en nube con sistemas ajenos a las plataformas educativas (AEPD)
Informe sobre las condiciones para la publicación de las calificaciones de asignaturas impartidas en los estudios de Grado (AEPD)
G.- Logística y franquicias
Informe 0263/2009 (AEPD): La regla general es que el franquiciador sea encargado; y el franquiciado, responsable. De esta manera, los datos personales de los clientes solo pueden estar bajo responsabilidad del franquiciador si el franquiciado se los cede previo consentimiento de los interesados.
H.- Telecomunicaciones
Directiva 2002/58/CE, sobre la privacidad y las comunicaciones electrónicas [propuesta de Reglamento]: Establece condiciones para el tratamiento de los datos personales y normas para la protección de la intimidad en el sector de las comunicaciones electrónicas
Ley General de Telecomunicaciones (arts. 39 a 44): Establece las condiciones para una interceptacion de llamadas.
Ley 25/2007, de conservación de datos: Establece qué datos deben conservar los operadores durante 12 meses, reducible a 6 o ampliable a 24.
I.- Administración Pública
Reglamento (UE) 2018/1725: regula la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos.
Ley 23/2011 de depósito legal (art. 8): La Biblioteca Nacional podrá conservar copias de los sitios web que considere.
Ley 59/2003 de firma electrónica (art. 17): Los prestadores podrán tratar datos, e incluso seudonimizar a los interesados, para la emisión de certificados electrónicos.
Ley 19/2013 de transparencia (arts. 5 y 15): Establece la obligación para las administraciones públicas de publicar sus registros de actividad y determina la forma de entregar documentos en los que consten datos personales.
Orden INT/3215/2010, del conductor habitual y del arrendatario a largo plazo: Exige la firma del conductor para su inscripción en el Registro de Vehículos.
J.- Partidos políticos
Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General: Establece las líneas generales para la obtención de datos personales y su uso, incluso para el envío de propaganda electoral por medios electrónicos.
Circular sobre el uso de datos personales por partidos políticos (atención: se debe tener en cuenta la posterior STC antes citada): Establece las condiciones para el tratamiento de datos relativos a opiniones políticas y envío de propaganda electoral por medios electrónicos.
Formulario de exclusión en las copias del censo electoral: la exclusión de estas listas impide a los candidatos el envío de propaganda electoral
2.3.- Guías sobre RGPD y sobre IoT, Cloud, reconocimiento de huellas...
A.- Introducción al RGPD
Guía para el ciudadano (AEPD): Una guía de tipo introductorio en relación con los derechos que tiene el usuario frente a quienes tratan sus datos.
Fundamentos de la protección de datos (Pablo)
B.- Guía para el responsable del tratamiento
Quién es responsable y quién es encargado (GT29)
Responsable del Tratamiento – Guía para el responsable de tratamientos de datos personales (AEPD): Esta guía explica las principales obligaciones del responsable del tratamiento.
C.- Análisis de Riesgos y Evaluación de Impacto sobre la Protección de Datos
Guía práctica para las evaluaciones de impacto en la protección de datos personales (AEPD)
Lista de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos [art 35.4] (AEPD)
Lista orientativa de tipos de tratamientos que no requieren una evaluación de impacto relativa a la protección de datos según el artículo 35.5 RGPD (AEPD)
Guía Práctica para la evaluación de impacto relativa a la protección de datos (APDCAT)
Directrices sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento «entraña probablemente un alto riesgo» a efectos del RGPD (GT29)
D.- Transparencia, legitimidad y consentimiento
Transparencia en el RGPD (GT29)
Consentimiento en el RGPD (GT29)
Decisiones individuales automatizadas y elaboración de perfiles, según RGPD (GT29)
La Portabilidad (GT29) – preguntas frecuentes
El DPO (GT29) – preguntas frecuentes [en inglés]
Interés Legítimo, según la [derogada] Directiva de Protección de Datos (GT29)
E.- Contratos de Encargado del Tratamiento
Directrices para la elaboración de contratos entre responsables y encargados del tratamiento (AEPD): Incluye un modelo de CET que puedes pasar a .docx.
F.- Transferencias internacionales
Directrices sobre las excepciones del artículo 49 del Reglamento 2016/679 (CEPD) [inglés]: Explica el alcance y la forma de las excepciones que permiten transferencias internacionales de datos.
Guía acerca del Escudo de Privacidad UE – EE. UU. (AEPD): Explica detalles de interés sobre el acuerdo entre la Unión Europea y los Estados Unidos.
G.- Ley de Cookies
Guía de Cookies 2019 AEPD (ver Guía pre-RGPD de Cookies AEPD)
Qué hay que poner en el banner de cookies y en la segunda capa.
Sí, también las universidades tienen que cumplir la Ley de Cookies
Sentencia TJUE sobre cookies – Asunto C-673/17 (nota de prensa) – «La información que el proveedor de servicios debe facilitar al usuario incluye el tiempo durante el cual las cookies estarán activas y la posibilidad de que terceros tengan acceso a ellas«.
Informe CNIL (AEPD francesa) sobre cookies, de 18 de julio de 2019 (traducción automática al español): «la pratique qui consiste à bloquer l’accès à un site web ou à une application mobile pour qui ne consent pas à être suivi ( cookie walls ) n’est pas conforme au RGPD» (La práctica consistente en bloquear el acceso a un sitio web o a una aplicación móvil por no aceptar ser rastreado (cookie walls) no es conforme al RGPD).
Sobre corresponsabilidad en el tratamiento:
Por extracción de datos a través de widgets y botones: Stc. TJUE C-40/17 – Fashion ID
Por extracción de datos a través de la página o el usuario de empresa en redes sociales: Stc. TJUE C-210/16 – Wirtschaftsakademie Schleswig-Holstein
2019: Rastreadores analíticos: fingerprinting, pixels, cookies…
2017: Qué plugin para WordPress funciona para cumplir la Ley de Cookies
2014: Cómo hacer una auditoría de cookies
2012: Cómo cumplir la ley de cookies
H.- Miscelánea sobre nuevas tecnologías
IoT: Opinión sobre el Internet de las Cosas (GT29)
BD: Código de buenas prácticas en protección de datos para proyectos big data (AEPD)
Cloud: Opinión sobre el Cloud Computing (GT29)
Cloud (prestador): Orientaciones pata prestadores de servicios de Cloud Computing (AEPD)
Cloud (cliente): Guía para clientes que contraten servicios de Cloud Computing (AEPD)
Android: Análisis de los flujos de información en Android (AEPD)
Smartphones: Opinión sobre aplicaciones en teléfonos inteligentes (GT29)
Red Social: Informe 0184/2013 de la AEPD sobre la aplicación de la antigua LOPD 15/1999 a la creación de una red social, con mención expresa al bloqueo de datos
Orientaciones y garantías en los procedimientos de anonimización de datos personales (AEPD)
Guía sobre el Reglamento General de Protección de Datos (Abanlex-ESET)
K-Anonimidad como medida de la privacidad (AEPD)
Introducción al hash como técnica de seudonimización de datos personales (AEPD)
Se requiere un consentimiento (revocable) expreso separado al de suscripción para usar tracking pixels en campañas de e-mail marketing
Reconocimiento de huellas dactilares y otros datos biométricos
Control de acceso al comedor por huella dactilar (Informe 0065/2015 AEPD)
Fingerprinting o huella digital del dispositivo (Estudio AEPD)
Biométrie sur les lieux de travail : publication d’un règlement type (CNIL)
Web informativa sobre videovigilancia y RGPD (AEPD)
Guía sobre el uso de videocámaras para seguridad y otras finalidades (AEPD)
I.- Brechas de seguridad
Guía sobre la notificación de las violaciones de seguridad (GT29)
Guía para la gestión y notificación de brechas de seguridad (AEPD)
Cómo gestionar una fuga de información en un despacho de abogados (INCIBE)
J.- Autoridades de control y multas administrativas
La Autoridad de control principal (GT29) – preguntas frecuentes
Multas Administrativas en el RGPD y directrices para su aplicación (GT29)
K.- Repositorios de documentos
Respuestas a las preguntas planteadas en la 10ª Sesión Anual AEPD 2018
Opiniones y recomendaciones archivadas del GT29
Selección de documentos, por la Autoridad Catalana de Protección de Datos
L.- Vídeos de la 10ª Sesión Abierta AEPD sobre el RGPD (canal AEPD)
Apertura de la 10ª Sesión Abierta AEPD
Análisis de riesgos, evaluación de impacto y brechas de seguridad
Entrega de Premios Protección de Datos 2017
Ley de sociedad de la información y comercio electrónico
Principio de accountability, papel del DPD y códigos de conducta
Potestad sancionadora, autoridades de control y procedimientos
Orientaciones del GT29 en relación con el RGPD y el papel del CEPD
2.4.- Consultas a la AEPD
1.- Consultas AEPD
A.- ¿Un abogado necesita firmar CET con sus clientes?
Respuesta de la AEPD, de 12 de junio de 2018.
B.- Antes del 25 de mayo de 2018, pedí a mis suscriptores que renovasen el consentimientos para que pudiera seguir enviándoles la newsletter. ¡Casi nadie contestó! ¿Qué hago? ¿Borro la base de datos?
C.- La LOPD 15/1999 no regulaba el tratamiento de los datos de las personas de contacto en las empresas. ¿El RGPD sí?
Respuesta de la AEPD, de 5 de abril de 2018.
D.- Me gustaría seguir usando casillas en negativo y consentimientos obtenidos por el paso 30 días sin oposición. ¿Es posible con el RGPD?
Respuesta de la AEPD, de 9 de febrero de 2018.
E.- La existencia de la Lista Robinson presupone que todo nacido consiente tácitamente la recepción de publicidad dirigida. ¿Seguirá existiendo la Lista Robinson con el RGPD?
Respuesta de la AEPD, de 20 de febrero de 2018.
F.- Un grupo de empresas puede tener un único DPO que no sepa español, no esté en España y no conozca el derecho español, siempre que tenga a su cargo a un gestor español con un equipo en España formado por profesionales que sepan español y dominen el derecho español?
Consulta (ver enunciado)
G.- RGPD para influencers: Consulta jurídica sobre la posibilidad de convertir una base de datos de miles de usuarios obtenida para fines personales en una base de datos para el envío de comunicaciones comerciales de terceros por vía electrónica
Respuesta AEPD, de 20 de junio de 2017.
H.- ¿Es necesario firmar un CEt con empresas de correos y mensajería?
Respuesta AEPD, de 21 de febrero de 2019.
I.- ¿Hay que firmar contrato de encargado del tratamiento con auditores de cuentas?
Respuesta AEPD, de 22 de noviembre de 2018.
J.- ¿Se debe permitir el acceso al interesado a datos que hayan sido bloqueados por el responsable?
Respuesta AEPD, de 4 de julio de 2019
2.5.- sentencias de interés y RESOLUCIONES AEPD
1.- Sentencias de interés
Las sentencias resuelven sobre casos concretos. Cuando se citen palabras de algún tribunal, se debe añadir contexto.
A.- Derecho al Olvido:
TJUE – Sentencia del Derecho al Olvido: Explica qué es y qué alcance tiene el Derecho al Olvido.
TS – Sentencia 964/2016: Google Spain S.L. carece de legitimación pasiva para ser parte en los procedimientos de tutela de derechos seguidos ante la Agencia Española de Protección de Datos.
TS – Sentencia 545/2015 (ver post): Los periódicos digitales deben imposibilitar que los motores de búsqueda indexen ciertas noticias antiguas cuando los afectados se lo soliciten, al entender que que en tales casos los derechos fundamentales al honor, a la intimidad y a la protección de datos prevalecen sobre la libertad de información.
TS – Sentencia 1280/2016: Google Spain SL condenada a indemnizar por no retirar información de un indulto de 1999.
Formularios para ejercitar el derecho al olvido:
Formulario de Bing (Microsoft)
Formulario de Yahoo!
B.- Miscelánea de sentencias imprescindibles:
TJUE – Sentencia Lindqvist: Se condena a una catequista por publicar en su blog datos de terceros sin el correspondiente consentimiento.
TC – Sentencia 292/2000: Sienta que la Protección de Datos es un derecho fundamental autónomo.
TJUE – Sentencia C-362/14 – Schrems: El Tribunal Europeo considera inválida la Decisión por la que se aprobó el Acuerdo de Puerto Seguro.
Repositorio de Sentencias del TEDH (Tribunal Europeo de Derechos Humanos) en relación con la protección de datos personales (hasta junio 2018)
C.- Otras sentencias de interés:
TJUE – Asunto C‑40/17: El Tribunal considera que el responsable de un sitio web y FB son corresponsables en determinados tratamientos vinculados a la extracción de datos a través de un botón «me gusta» integrado en dicho sitio web.
TS – Sentencia 2484/2019: El TS considera que las mediciones de consumo eléctrico son un dato personal.
TC – Sentencia 169/2018: El Tribunal considera inconstitucional el uso genérico de la cámara oculta en el periodismo.
TS – Sentencia 363/2016 (nota de prensa del CGPJ): Prohibición de publicar, incluso por periodistas, fotografías tomadas de Facebook sin los correspondientes consentimientos expresos.
TS – Sentencia 5731/2012: El Tribunal considera una intromisión la toma de fotografías no consentidas (robados) a una famosa en una playa pública.
2.- Resoluciones sancionadoras seleccionadas (bajo RGPD)
Sanciones RGPD en países miembros de la UE: GDPR Enforcement Tracker
Estas son las 9 primeras multas RGPD que se conocieron en España (accede a las demás a través de la web de la AEPD):
PS/00300/2019: VUELING AIRLINES, S.L. (30.000 € reducida a 18.000 €)
PS/00233/2019: VIAQUA XESTIÓN INTEGRAL DE AUGAS DE GALICIA, S.A. (60.000 €)
PS/00159/2019: AVON COSMETICS SAU (60.000 €)
PS/00121/2019: GESTIÓN DE COBROS, YO COBRO SL. (60.000 €)
PS/00092/2019: VODAFONE ONO, S.A.U. (60.000 € reducida a 36.000 €)
PS/00074/2019: ENDESA ENERGÍA XXI, S.L.U. (100.000 €, reducida a 60.000 €)
PS/00411/2018: VODAFONE ESPAÑA, S.A.U. (45.000 €, reducida a 27.000 €)
PS/00331/2018: VODAFONE ESPAÑA, S.A.U. (5.000 €)
PS/00326/2018: LIGA NACIONAL DE FÚTBOL PROFESIONAL (250.000 €)
Apercibimientos de interés:
PS/00195/2019: DESSAU ARTE INMOBILIARIO, S.L. [Incorporación a grupo de WhatsApp sin consentimiento]
A/0023/2019: VOYAGE PRIVE ESPAÑA, S.L. [Incumplimiento de la normativa de cookies]
A/00001/2019: LIVING TERRITORIWEB, S.L. [Incumplimiento de la normativa de cookies]
2.6.- Recursos legales y técnicos de ciberseguridad
1.- Normativa de Ciberseguridad
Ley 34/2002 (LSSI), en especial el artículo 12 bis.
Orden PCI/161/2019, contra el Crimen Organizado y la Delincuencia Grave.
Orden PCI/179/2019, contra el Terrorismo 2019.
Reglamento (UE) 2019/881 relativo a ENISA y a la certificación de la ciberseguridad (ver en BOE): Ver resumen.
Directiva NIS: Medidas para garantizar seguridad en redes y sistemas de información en la Unión.
Transposición: Real Decreto-ley 12/2018
Directiva de Secretos Comerciales: Medidas para la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas.
Transposición: Ley 1/2019 de Secretos Empresariales
Circular 5/2019 sobre registro de dispositivos y equipos informáticos: ver resumen.
2.- Políticas de seguridad para la PYME (por INCIBE)
3.- Cómo certificar el envío de un e-mail
4.- Contraseñas
Recomiendo seguir las recomendaciones de INCIBE dispuestas en su Política de Seguridad de Contraseñas y superar este listado.
A.- Gestor de contraseñas (mis 5 favoritos)
Con estos gestores no tendrás que volver a recordar una contraseña.
Recomendado: Dashlane
B.- Generador de contraseñas
Recuerda: siempre más de 8 caracteres y al menos una mayúscula, una minúscula, un número y un símbolo. No uses fechas ni nombres. Ayúdate con generadores.
Password .es
Passwords Generator .net
Instala y configura correctamente un antivirus profesional. Estas son mis recomendaciones:
Recomendado: ESET Internet Security (Si quieres probar 2 meses gratis, pulsa ⇨aquí⇦)
6.- Herramientas sencillas de cifrado
Recomendado: Boxcryptor (tiene versión gratuita y otra ilimitada muy barata)
7.- Herramientas gratuitas de ciberseguridad
La ciberseguridad completa es un destino deseable e inalcanzable.
Soluciones ciber de analítica web: Estas páginas ayudan a saber qué es lo próximo que debes arreglar en tu web:
SSL LABS – Test SSL para servidores.
HTBridge – Test SSL para servidores.
Observatorio, de Mozilla – Verifica la seguridad de un CMS.
Securi – Escanea el sitio web en busca de malware.
[temporalmente inactiva] Web Inspector – Escanea el sitio web en busca de malware.
Security Headers – Escanea cabeceras de páginas web.
CSP Validator – Comprueba las cabeceras CSP.
CSP Evaluator – Evalúa la Content Security Policy (CSP) de las cabeceras de una página web.
WordPress XML-RPC Validation Service – Comprueba el estado de la característica XML-RPC en el CMS WordPress.
WebHint: Analiza la web y ofrece consejos para su optimización.
Structured Data: Herramienta de prueba de datos estructurados.
Ghostery: Extensión para el navegador que muestra los rastreadores activos en una página web
Herramientas ciber: La Oficina de Seguridad del Internauta (OSI) ofrece un listado de enlaces a sitios desde los que puedes acceder a herramientas de ciberseguridad gratuitas: Herramientas.
8.- Manuales y formación en ciberseguridad
Manuales y formación gratuita online
Vídeos ‘Protege tus derechos’
ISMS Forum y AGERS
Manuales sobre gestión del riesgo
Curso de pago: Curso ‘Fundamentos de la ciberseguridad para futuros DPO’ (Abanlex)
Congresos de pago o gratuitos en España
BitUp – https://www.bitupalicante.es/
Ciberseg – https://ciberseg.uah.es/
CONPilar – http://www.conpilar.es/
Cybercamp – https://cybercamp.es/
Digital Enterprise Show – https://www.des-madrid.com/
Expo Aslan – https://www.congreso.aslan.es
Hack2Progress – http://www.hack2progress.com/
Hackmeeting – https://es.hackmeeting.org/
HoneyCON – https://www.honeycon.eu/
María Pita DefCON – http://www.mariapitadefcon.es/
MorterueloCON – https://www.morteruelo.net/
Mundo Hacker Academy – https://mundohackeracademy.com/
Mundo Hacker Day – https://mundohackerday.com/
Navaja Negra – https://www.navajanegra.com/
NcN – https://www.noconname.org/
Rooted CON – https://www.rootedcon.com/
Security Hell Conference – https://www.sh3llcon.es/
T3chFEST – https://t3chfest.uc3m.es/
Tendencias SIC – https://revistasic.es/
ViCON – https://vicon.gal/
X1RedMásSegura – http://www.x1redmassegura.com/
Ver más en Agenda INCIBE.
Congresos de pago o gratuitos en fuera de España
Colombia 4.0 (Colombia) – https://www.col40.co/
8.8 (Chile) – https://www.8dot8.org/
CE – Constitución Española
CET – Contrato de Encargado del Tratamiento
DPD / DPO – Delegado de Protección de Datos
LAP – Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica
LCD – Ley 3/1991, de 10 de enero, de Competencia Desleal
LO 1/82 – Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen
LO 2/84 – Ley Orgánica 2/1984, de 26 de marzo, reguladora del derecho de rectificación
LOPD 15/1999 – Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal
LOPDGDD – Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
RGPD / GDPR – Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)
RLOPD – Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal
Foto de j zamora en Unsplash.
Publicidad: Curso sobre los Fundamentos de la Ciberseguridad. Pulsa aquí para obtener más información.

References: Real Decreto 
 artículo 33
 artículo 35
 artículo 49
 artículo 12
 Real Decreto