Source: https://ingenia-aragon.es/rgpd-lopd-gdd/
Timestamp: 2020-06-03 04:30:44
Document Index: 114854751

Matched Legal Cases: ['Artículo 72', 'artículo 6', 'Artículo 73', 'artículo 8', 'artículo 72', 'artículo 28', 'artículo 34', 'Artículo 74', 'artículo 73', 'artículo 13', 'artículo 89', 'artículo 42', 'artículo 95']

RGPD-LOPD-GDD - Ingenia Aragon
RGPD-LOPD-GDD
LA PROTECCIÓN DE DATOS NO ES SÓLO UN DERECHO, TAMBIÉN ES UN DEBER DE OBLIGADO CUMPLIMIENTO QUE NOS AFECTA A TODOS
Todas las organizaciones deben adaptarse. Se aplica a todos, ciudadanos, empresas y administraciones públicas, establecidas o no en la UE.
En protección de datos todo cuenta y con la nueva normativa las empresas deben tener mucho cuidado. Se contemplan sanciones y multas para aquellos que no hagan un uso adecuado de los datos personales que estén tratando, esto incluye, datos de clientes, trabajadores, proveedores etc.
OFRECE A TUS CLIENTES LA PROTECCIÓN DE DATOS
SI QUIERES QUE TUS CLIENTES CUMPLAN CON LA NORMATIVA
En Informática Ingenia podemos ayudarte. Desde nuestro Departamento Legal RGPD, especializado en protección de datos, tendrás a tu disposición a los mejores profesionales, que te orientarán y aconsejarán en cada fase.
Contarás con un servicio personalizado y adaptado a las necesidades de tu negocio, por eso, cada empresa necesita un estudio previo para adaptar correctamente la normativa.
Normativa europea que se basa en criterios de responsabilidad activa, flexibilidad, la importancia del contexto y la cooperación
Directrices de privacidad de la OCDE. Directrices sobre protección de la privacidad y flujos transfronterizos de datos personales que adoptó en 1980 la Organización para la Cooperación y el Desarrollo Económicos.
Declaración sobre flujos de datos transfronterizos adoptada en 1985 por la OCDE.
Declaración ministerial sobre la protección de la privacidad de las redes globales en 1998, adoptada también por la OCDE.
Convenio 108 del Consejo de Europa, de 28 de enero de 1981, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, que entró en vigor el 1 de octubre de 1985. España pasó a formar parte en 1984. La UE se adhirió en 1999.
Protocolo Adicional al Convenio adoptado para reforzar la aplicación efectiva de los principios contenidos en el Convenio el 23 de mayo de 2001.
Privacy Shield. Acuerdo internacional celebrado el 12 de julio de 2016, en vigor desde el 1 de agosto de 2016, entre el Departamento de Comercio de Estados Unidos, la Comisión Europea y la administración suiza. Protege los derechos fundamentales de cualquier residente en la UE cuando por razones comerciales se transfieran sus datos a EEUU.
Reglamento Europeo (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos (RGPD). Deroga la Directiva 95/46/CE y, por su naturaleza jurídica, todo su contenido es obligatorio y directamente aplicable en todos los Estados miembros de la UE desde el 25 de mayo de 2018. El 6 de julio de 2018 se incorporó el Acuerdo del Espacio Económico Europeo y a partir del 20 de julio de 2018 el RGPD se aplica también a los Estados EEA-EFTA. Actualmente son Islandia, Liechtenstein, Noruega y Suiza.
Directiva e-Privacy. Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, todo lo que no regule esta Directiva será completado por el RGPD.
Directiva 2009/136/CE del Parlamento Europeo y del Consejo de 25 de noviembre de 2009 por la que se modifican la Directiva 2002/22/CE relativa al servicio universal y los derechos de los usuarios en relación con las redes y los servicios de comunicaciones electrónicas, la Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas y, el Reglamento (CE) núm. 2006/2004 sobre la cooperación en materia de protección de los consumidores, introduce un cambio radical en cuanto a la regulación de las cookies.
Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo. En RGPD se aplicará también a todo lo que no regule la Directiva 2016/680.
Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). Supuso la transposición de la derogada Directiva 95/46/CE.
Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos. Derogado por la nueva LOPD.
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, publicada en el BOE el 6 de diciembre de 2018. Que viene a adaptar, que no transponer, la anterior LOPD, de 1999, al RGPD. Sin perjuicio de la DA 14ª y la DT 4ª, deroga la anterior LOPD de 1999 así como el Real Decreto-ley 5/2018.
Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSICE) transpone la Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior.
Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (LGT) transpone la Directiva 2009/136/CE. Introduce el Capítulo III como –Secreto de las comunicaciones y protección de los datos personales y derechos y obligaciones de carácter público vinculados con las redes y servicios de comunicaciones electrónicas. Y modifica la LSSICE acerca del consentimiento para aceptar el tratamiento de datos derivado de las cookies.
Ley 59/2003, de 19 de diciembre, de firma electrónica. Es relevante en esta materia ya que las firmas electrónicas manuscritas tienen la consideración de datos de carácter personal.
Representantes de Responsables y Encargados no establecidos en la UE
Entidades acreditativas de supervisión de códigos de conducta
TIPOS DE INFRACCIONES (LOPD-GDD)
Artículo 72. Prescriben a los 3 años
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. cve: BOE-A-2018-16673 Verificable en http://www.boe.es BOLETÍN OFICIAL DEL ESTADO Núm. 294 Jueves 6 de diciembre de 2018 Sec. I. Pág. 119830
Artículo 73. Prescriben a los 2 años
b) No acreditar la realización de esfuerzos razonables para verificar la validez del consentimiento prestado por un menor de edad o por el titular de su patria potestad o cve: BOE-A-2018-16673 Verificable en http://www.boe.es BOLETÍN OFICIAL DEL ESTADO Núm. 294 Jueves 6 de diciembre de 2018 Sec. I. Pág. 119831 tutela sobre el mismo, conforme a lo requerido por el artículo 8.2 del Reglamento (UE) 2016/679.
o) No cooperar con las autoridades de control en el desempeño de sus funciones en los supuestos no previstos en el artículo 72 de esta ley orgánica. p) El tratamiento de datos personales sin llevar a cabo una previa valoración de los elementos mencionados en el artículo 28 de esta ley orgánica. q) El incumplimiento del deber del encargado del tratamiento de notificar al responsable del tratamiento las violaciones de seguridad de las que tuviera conocimiento.
s) El incumplimiento del deber de comunicación al afectado de una violación de la seguridad de los datos de conformidad con lo previsto en el artículo 34 del Reglamento cve: BOE-A-2018-16673 Verificable en http://www.boe.es BOLETÍN OFICIAL DEL ESTADO Núm. 294 Jueves 6 de diciembre de 2018 Sec. I. Pág. 119832 (UE) 2016/679 si el responsable del tratamiento hubiera sido requerido por la autoridad de protección de datos para llevar a cabo dicha notificación.
Artículo 74. Prescriben al año
d) No atender los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando este, para el ejercicio de esos derechos, haya facilitado cve: BOE-A-2018-16673 Verificable en http://www.boe.es BOLETÍN OFICIAL DEL ESTADO Núm. 294 Jueves 6 de diciembre de 2018 Sec. I. Pág. 119833 información adicional que permita su identificación, salvo que resultase de aplicación lo dispuesto en el artículo 73 c) de esta ley orgánica.
SUPUESTO DE INTERRUPCIÓN DE LA PRESCRIPCIÓN:
Por la iniciación, con conocimiento del interesado, del procedimiento sanción. Se reiniciará el plazo de prescripción si el expediente está paralizado durante más de 6 meses por causas ajenas al presunto infractor.
En los procesos en que la AEPD ostente la condición de autoridad de control principal y se siga el procedimiento del art. 60 RGPD, por el conocimiento formal del interesado del proyecto de acuerdo de inicio que sea sometido a las autoridades de control interesadas.
Se atenderá a los criterios de graduación del art. 83.2 RGPD y 76.2 de la LOPDGDD.
MULTAS DE HASTA 10.000.000 € ó 2% del volumen de negocio global del último año. Infracción de los artículos 8,11,25 a 39, 42 y 43 del RGPD
Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información.
MULTAS DE HASTA 20.000.000 € ó 4% del volumen de negocio global del último año. Infracción de los artículos 5 a7, 9, 12 a 22, 44 a 49 y 58 RGPD.
Derecho de supresión («el derecho al olvido»
-Por importe igual o inferior a 40.000 € ——————– 1 año
-Por importe entre 40.001 € y 300.000 € ——————- 2 años
-Por importe superior a 300.000 €—————————- 3 años
LICITUD DEL TRATAMIENTO (art. 5.1 a RGPD)
LEALTAD Y TRANSPARENCIA (art. 13.2 RGPD)
Además de la información mencionada en el artículo 13. 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
LIMITACIÓN DE LA FINALIDAD (art. 5.1 b RGPD)
Los datos personales serán recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales.
MINIMIZACIÓN DE LOS DATOS (art. 5.1 c RGPD)
EXACTITUD DE LOS DATOS (art. 5.1 d RGPD)
LIMITACIÓN DEL PLAZO DE CONSERVACIÓN (art. 5.1 e RGPD)
INTEGRIDAD Y CONFIDENCIALIDAD (art. 5.1 f RGPD)
PRIVACIDAD DESDE EL DISEÑO Y POR DEFECTO (Considerando 78 y art. 25 RGPD)
Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de estas obligaciones.
La suma de todos estos principios es lo que se denomina responsabilidad proactiva. Es decir, las empresas deben asumir la responsabilidad de anticiparse a la materialización de los riesgos. Deberán adoptar medidas técnicas y organizativas que garanticen y demuestren un tratamiento dentro de la normativa.
1.1. ACTIVA: El propio interesado o, su representante, legal o voluntario, acreditado con el debido documento y la fotocopia del DNI del propio interesado.
1.2. PASIVA: El responsable del tratamiento. El encargado, siempre que se hubiese previsto en el contrato de encargo, también podrá recibir y tramitar las solicitudes.
2. PLAZO DE RESOLUCIÓN
En el plazo de 1 mes improrrogable debe darse una respuesta estimando, desestimando o, indicando que se procederá al estudio de la solicitud cuando revista cierta complejidad o exista concurrencia de solicitudes, en cuyo caso podrá ampliarse a 2 meses más. Es decir, la respuesta motivada, debe darse en el plazo de 1 mes, desde la recepción de la solicitud, con independencia de su contenido.
3. CARÁCTER GRATUITO
No se puede solicitar tasa alguna salvo que las solicitudes resulten manifiestamente infundadas o excesivas, que se podrá cobrar una tasa proporcional a los costes generados o negarse a actuar y, en todo caso deberá motivarse.
1. DERECHO DE TRANSPARENCIA E INFORMACIÓN (Considerandos 60 a 62 RGPD, art. 12.1, 13, 14 RGPD y art. 11 LOPD-GDD)
Uno de los más fundamentales. Es muy importante facilitar al interesado toda la información sobre el tratamiento y, cómo se llevará a cabo en el momento previo al mismo de un modo totalmente transparente y con un lenguaje claro y accesible, sobre todo si nos dirigimos a menores de edad. Podrá realizarse por escrito, electrónicamente o, incluso de manera verbal. No obstante, no es aconsejable realizarlo oralmente debido a la obligación del responsable o encargado del tratamiento de demostrar, con evidencias sostenibles, que ha cumplido con su deber de información.
Para cumplir este deber correctamente, en la práctica habrá que diferenciar entre si los datos han sido o no obtenidos directamente del interesado.
2. DERECHO DE ACCESO (Considerandos 63 y 64 RGPD, art. 15 RGPD y art. 13 LOPD-GDD)
El interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no sus datos personales y, si es así, tiene derecho a recibir toda la información que pueda afectar al tratamiento. En todo caso, recibida la solicitud de acceso, el responsable del tratamiento debe responder confirmando o negando la existencia del tratamiento.
No es estrictamente necesario un formato determinado para remitir la información, lo que sí que se requiere es que se facilite de un modo directo y seguro. No obstante, si el interesado lo solicitó por medios electrónicos éste recibirá copia de sus datos personales por estos mismos medios.
3. DERECHO DE RECTIFICACIÓN (art. 16 RGPD y art. 14 LOPD-GDD)
Es necesario mantener los datos del interesado, exactos y actualizados. La solicitud de modificación debe contener detalladamente qué datos se solicita modificar o actualizar. Además es recomendable que junto con la solicitud se adjunten los documentos que acrediten dichos cambios.
4. DERECHO DE SUPRESIÓN (Considerandos 35 y 66 RGPD, art. 17 RGPD y art.15, 17.1, 93 y 94 LOPD-GDD)
La antigua cancelación pasa ahora a denominarse supresión. Implica la eliminación total de los datos del interesado. Ejercitada la solicitud, el responsable debe resolver en plazo su procedencia y, si procede, eliminarlos. Existen determinas circunstancias bajo las cuales este derecho se puede materializar. Además, existen también motivos excepcionales por los que el responsable podría denegar la supresión.
Hay que tener en cuenta que en algunas ocasiones, éste derecho no podrá estimarse de manera absoluta debido a la concurrencia con la figura del bloqueo de los datos.
Dentro del derecho a la supresión hay que tener en cuenta la relevancia que la supresión tiene en el entorno digital. Se incluyen el derecho al olvido en búsquedas de Internet y el derecho al olvido en servicios de redes sociales y equivalente.
5. DERECHO A LA LIMITACIÓN DEL TRATAMIENTO (Considerando 67, art. 18 RGPD y art. 16 LOPD-GDD)
Supone una barrera sobre los datos del interesado que impide que se puedan seguir utilizando para la finalidad a la que fueron destinados. Para conceder la limitación existen determinadas condiciones que el responsable del tratamiento deberá analizar. En muchas ocasiones no se acciona de modo independiente sino que puede ser una consecuencia de la solicitud de otro derecho.
El responsable deberá enunciar expresamente las limitaciones en los datos personales que se den en su entidad en el registro de actividades de tratamiento como medida proactiva. No sólo se deben atender los derechos de los interesados, sino que se debe actuar en consecuencia y, ser capaz de probar que efectivamente se han atendido estos derechos.
6. DERECHO A LA PORTABILIDAD (Considerando 68 RGPD, art. 20 RGPD y art. 17 y 95 LOPD-GDD)
Es una extensión del derecho de acceso. Cualquier interesado tiene derecho a recibir sus datos del responsable del tratamiento con la finalidad de transmitirlos a otro responsable de su elección. Incluso se tiene derecho a que la portabilidad la realice el propio responsable.
Los únicos condicionantes son que el tratamiento esté basado en el consentimiento, en la ejecución de un contrato y se efectúe por medios automatizados.
Nos remitimos al artículo 95 LOPD-GDD para la regulación del derecho a la portabilidad en redes sociales y servicios equivalentes.
7. DERECHO DE OPOSICIÓN (Considerandos 69 y 70 RGPD, art. 21 RGPD y art. 18 y DF 3ª LOPD-GDD)
Supone, para el responsable, que no podrá seguir tratando los datos del interesado para ciertas actividades de tratamiento concretas, pero para otras sí, sin que esto conlleve un derecho de supresión. Pudiendo conservarlos en tiempo legalmente establecido.
No es necesario justificar causa particular concreta para ejercitar este derecho, lo que sí se debe tener en cuenta, en cuanto al contenido, es que no incluye todo tipo de tratamientos, deben darse determinadas circunstancias y, dándose éstas también presenta ciertas limitaciones que podrían hacer que el responsable del tratamiento denegase la solicitud y siguiese tratando los datos.
8. DERECHO DE OPOSICIÓN A DECISIONES AUTOMATIZADAS, INCLUIDA LA ELABORACIÓN DE PERFILES (Considerandos 71 y 72 RGPD y art. 22 RGPD)
Especialidad del derecho de oposición, pero a éste tratamiento concreto. Presenta ciertas limitaciones si la decisión:
-Es necesaria para la celebración o la ejecución de un contrato entre el interesado y el responsable del tratamiento.
-Está autorizada por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca asimismo medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado.
-Se basa en el consentimiento explícito del interesado.
9. DERECHO A LA COMUNICACIÓN DE UNA VIOLACIÓN DE LA SEGURIDAD DE LOS DATOS PERSONALES DEL INTERESADO (art. 34 RGPD)
¿A QUIÉN VA DIRIGIDA LA NORMATIVA DE PROTECCIÓN DE DATOS?
Su ámbito material lo encontramos en el art. 2 RGPD
No se aplica al tratamiento de datos personales en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión, ni a los Estados miembros cuando lleven a cabo actividades comprendidas en el ámbito de la Política Exterior y de Seguridad Común. Tampoco se aplica al tratamiento efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas. Ni al tratamiento efectuado por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención.
Su ámbito territorial lo encontramos en el art. 3 RGPD
Se aplica al tratamiento de datos personales en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no.
Se aplica al tratamiento de datos personales de interesados que residan en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con:
Se aplica al tratamiento de datos personales por parte de un responsable que no esté establecido en la Unión sino en un lugar en que el Derecho de los Estados miembros sea de aplicación en virtud del Derecho internacional público.
El nuevo marco normativo habilita una nueva figura, la del Delegado de Protección de Datos (DPD) o, más conocido por sus siglas en inglés (DPO), Data Protection Officer.
El DPO es la persona encargada de garantizar el cumplimiento de la Ley de Protección de Datos en la empresa. Debe contar con conocimientos especializados en Derecho y en la práctica de la protección de datos y, por el momento, no se le exige tener que estar certificado oficialmente.
El DPO debe ser independiente y tener autonomía en la toma de decisiones ya que será el interlocutor entre el propio responsable de tratamiento y los encargados de tratamiento, los interesados y la propia AEPD.
Está obligado a mantener el secreto o la confidencialidad de todo lo relativo al desempeño de sus funciones pudiendo desempeñar otras funciones siempre que no exista un conflicto de intereses. Además, desempeñará sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento.
Tendrá como mínimo las siguientes funciones:
Supervisar el cumplimiento de lo dispuesto en el Reglamento, en otras disposiciones de protección de datos de la Unión o de los Estados miembros y en las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento y, las auditorías correspondientes.
No tiene por qué ser un profesional en sentido único, puede tener el carácter de una persona jurídica que ofrece éste servicio. Además existe la posibilidad de que forme parte de la estructura interna de la empresa o, puede externalizarse su servicio.
¿Necesitas un DPD-DPO?
Llámanos al TLFN. 876-903-268 o solicita información a través de ésta web.
¿CUÁNTO ME CUESTA CUMPLIR CON ÉSTA NORMATIVA?
EXISTEN MÚLTIPLES ACTIVIDADES
Y cada empresa necesita un estudio previo y personalizado para adaptar correctamente la normativa a las características de su negocio. Por eso, no es recomendable dar un precio estándar para todo tipo de empresas.
Además del tipo actividad de la empresa, que requerirá además de determinadas particularidades, ajustar los textos y determinados documentos a sus concretas obligaciones, existen otros factores que se deben valorar para poder dar un precio más ajustado a las exigencias de cada uno, entre otros muchos, la existencia o no de página web, los centros de trabajo, si se realiza publicidad, video vigilancia, se comparten datos, se realizan transferencias internacionales etc.
Dicho lo anterior y esperando que por la propia lógica esto se comprenda, podemos darte una estimación, en relación al precio mínimo desde el que partiría la implantación de la normativa adaptada desde una perspectiva básica en cuanto a las características que anteriormente acabamos de mencionar. Esta estimación partiría mínimo desde unos 125 € de implantación, a pagar en una primera y única vez, más 50 € de mantenimiento anual. Pero reiteramos que, en cualquier caso, siempre se debe realizar un estudio previo y personalizado para fijar el precio más ajustado.
DIRIGIDO A EMPRESAS DE PROFESIONALES
LLÁMANOS O INFÓRMATE EN TFNO.: 876 903 268 rgpd@ingenia-aragon.com