Source: http://www.juditgarridofontova.com/category/gpdr/
Timestamp: 2019-10-17 22:45:07
Document Index: 399155648

Matched Legal Cases: ['artículo 12', 'artículo 12', 'artículo 12', 'artículo 12', 'artículo 290', 'Artículo 29', 'Artículo 29', 'artículo 37']

GDPR – Judit Garrido Fontova – Abogada
Si bien la LOPD y el RLOPD no dedican un artículo concreto a la regulación de los iconos normalizados, la AEPD en su documento “20 años de Protección de Datos”[1] del año 2013, indica que uno de los principios básicos en materia de protección de datos es el de la claridad y comprensibilidad de la información destinada a los interesados, que puede incluir diferentes niveles de profundidad y recurrir también al uso de iconos que identifiquen los tipos de tratamiento de datos, sus condiciones y sus consecuencias. Asimismo, la AEPD añade que la información al interesado debe adecuarse a las posibilidades de éste para su comprensión en tanto que consumidor medio, o a los conocimientos y capacidades del segmento específico de usuarios a los que vaya dirigida; por ejemplo, en el caso de los menores.
Trasladándonos a las nuevas exigencias legales que el RGPD establece, se observa la inclusión de una serie de requisitos en relación con los mencionados iconos. En este sentido, el Considerando 60[2] determina en base a los principios de tratamiento leal y transparente, el responsable del tratamiento deberá facilitar al interesado toda la información complementaria que sea necesaria para garantizar dichos principios teniendo en cuenta las circunstancias y el contexto específico en que se traten los datos personales. Asimismo, indica el presente Considerando, que dicha información puede transmitirse en combinación con unos iconos normalizados que ofrezcan, de forma fácilmente visible, inteligible y claramente legible, una adecuada visión de conjunto del tratamiento previsto. Asimismo, cuando los iconos se presenten en formato electrónico deberán ser legibles mecánicamente.
Siguiendo con lo dispuesto en el RGPD, el artículo 12[3], relativo al principio de transparencia de la información, en su apartado 7 indica que la información que se facilita al interesado cuando se obtengan sus datos por él mismo o a través de terceros, podrá transmitirse mediante iconos normalizados. Ahora bien, con la condición de que los mismos, tal y como indica el Considerando 60, mencionado anteriormente, sean fácilmente visible, inteligibles y claramente legibles a fin de garantizar que el interesado tenga una visión adecuada del tratamiento que se llevará a cabo con sus datos. Asimismo, tanto el apartado 8[4] del mismo artículo 12, como el Considerando 166[5], establecen la facultad de la Comisión para adoptar actos delegados que especifiquen con más detalle la información que se ha de presentar mediante iconos normalizados, así como los procedimientos que se deberán llevar a cabo para proporcionar dichos iconos.
Por otro lado, cabe mencionar que la AEPD se ha pronunciado en su “Guía del Reglamento General de Protección de Datos para Responsables del Tratamiento”[6] sobre la utilización de los iconos estandarizados. En este sentido, la AEPD indica que se podrá combinar la información que se da a los interesados con distintos iconos estandarizados, siempre y cuando ofrezcan una “visión de conjunto del tratamiento previsto”.
Además, la autoridad de control de Reino Unido, ICO (Information Commissioner’s Office), en su guía “Privacy notices, transparency and control. A code of practice on communicating privacy information to individuals”[7] establece que se podrán utilizar iconos y símbolos cuando se informe por capas a los clientes. Esta autoridad, entiende que podrá aparecer un icono que indique o signifique que la información será utilizada para fines relacionados con actividades de marketing, una vez el usuario haya incorporado su dirección de correo electrónico. Asimismo, se podrá utilizar un icono para que cuando el interesado ponga encima del icono el cursor del ordenador, el icono indique “marketing” y si el usuario desea obtener más información deberá clicar sobre dicho icono.
La mencionada guía también establece que los iconos deberán ser claros y limitados, es decir, cuantos más iconos aparezcan más difícil será para el interesado entender el significado de los mismos. En este sentido, se recomienda realizar pruebas con los usuarios para ver si los iconos que se pretenden utilizar permiten una comprensión fácil y clara por parte del usuario. Así pues, se aconseja incorporar pocos iconos pero entendibles, en vez de muchos iconos difíciles de comprender.
Por lo tanto, de todo lo anterior se concluye que si bien, por un lado, será posible la utilización de iconos normalizados siempre y cuando cumplan los requerimientos legales mencionados del RGPD, entendemos que dicha utilización deberá ser desarrollada de una manera más pormenorizada con el fin de cumplir el objetivo perseguido que no es otro que el de facilitar al usuario, a través de mensajes más cortos y visuales, el entendimiento del tratamiento concreto de sus datos personales
[1] Agencia Española de Protección de Datos.”20 años de Protección de Datos”. La Agencia Española de Protección de Datos permite a los responsables del tratamiento de datos recurrir a la utilización de iconos normalizados para cumplir con el deber de información, siempre que dichos iconos identifiquen fácilmente los tipos de tratamientos de datos que se llevarán a cabo. https://www.agpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/monografias/20_anos_Proteccion_Datos_Espana.pdf
[2] Considerando 60 del RGPD: “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específico en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran. Dicha información puede transmitirse en combinación con unos iconos normalizados que ofrezcan, de forma fácilmente visible, inteligible y claramente legible, una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presentan en formato electrónico deben ser legibles mecánicamente”.
[3] El artículo 12.7 del RGPD permite que la información que deba facilitarse a los interesados se pueda transmitir mediante la combinación de iconos normalizados que permitan proporcionar de “forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto”. Asimismo, los iconos que se presenten en formato electrónico deberán ser legibles mecánicamente.
[4] Añade el apartado 8 del artículo 12 del RGPD que la Comisión estará facultada para adoptar actos delegados de conformidad a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados.
[5] Considerando 166 del RGPD: “A fin de cumplir los objetivos del presente Reglamento, a saber, proteger los derechos y las libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales, y garantizar la libre circulación de los datos personales en la Unión, debe delegarse en la Comisión el poder de adoptar actos de conformidad con el artículo 290 del TFUE. En particular, deben adoptarse actos delegados en relación con los criterios y requisitos para los mecanismos de certificación, la información que debe presentarse mediante iconos normalizados y los procedimientos para proporcionar dichos iconos. Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos. Al preparar y redactar los actos delegados, la Comisión debe garantizar la transmisión simultánea, oportuna y apropiada de los documentos pertinentes al Parlamento Europeo y al Consejo”.
[6] http://www.agpd.es/portalwebAGPD/temas/reglamento/common/pdf/guia_rgpd.pdf
[7] https://ico.org.uk/media/for-organisations/guide-to-data-protection/privacy-notices-transparency-and-control-1-0.pdf
Mapa de Riesgos en Materia de Protección de Datos
by juditgarridofontova	on 19 noviembre, 2017
En algunos casos es necesario que, antes de empezar a realizar ciertos tratamientos de datos, se realice un análisis de riesgos para valorar si dichos tratamientos pueden tener consecuencias negativas para los derechos y libertades de las personas. De esta manera, mediante el análisis de riesgos podremos llevar a cabo una valoración objetiva y decidir las medidas que se pueden utilizar para mitigar los posibles efectos negativos.
El análisis de riesgos forma parte del principio de responsabilidad proactiva de los responsables, con el fin de poder demostrar la licitud de los tratamientos particularizada a sus circunstancias específicas. Es decir, permite elaborar un mapa de riesgos y salvaguardas adecuados a cada tratamiento.
¿Cuáles son los pasos para la mitigación?
Determinar las medidas de seguridad técnica y organizativa para proteger los datos personales.
La protección de datos desde el diseño y por defecto.
En la práctica, el análisis de riesgos es un estudio metódico y sistemático para cuantificar el grado de riesgo. Para llevar a cabo este estudio es necesario utilizar una metodología que nos ayudará a trazar los niveles de riesgo aceptables en cada caso. Estas metodologías pueden venir del sector corporativo, del mundo normativo (ISO) o de las propias Administraciones. En este sentido, cabe indicar que existen en el mercado estándares y normas que pueden ser tenidas en cuenta para la realización de análisis de riesgos, por ejemplo las normas ISO 31OOO y 31010 para el análisis y la gestión del riesgo o la norma ISO 27005 para los riesgos de la seguridad de la información.
La suma de los posibles riesgos de una organización constituye su mapa de riesgos. Cada tratamiento de datos personales y cada organización tendrán su propio mapa, ya que el mismo tratamiento puede tener diferente mapa en función de la organización o el espacio físico en el que tenga lugar.
El catálogo o mapa de riesgos debe de estar actualizado con los cambios y experiencias de la organización. A cada riesgo, siempre que sea posible, se le asociará al menos una salvaguarda y, por lo tanto, existirá un mapa de riesgos y otro de salvaguardas.
¿Qué aspectos hay que tener en cuenta para preparar un mapa de riesgos/salvaguardas?
Estructurar el análisis de riesgos dentro de una organización.
Gestionar el riesgo en línea con los objetivos que se hubieran planteado en la fase anterior. Es decir, valorar si tras la gestión del riesgo el valor residual es aceptable y por lo tanto se encuentra dentro de los objetivos del marco de trabajo.
Mejorar el diseño del marco de trabajo en base a los resultados.
En conclusión, las principales fases para implementar una política de riesgos son:
by juditgarridofontova	on 13 noviembre, 2017
El Consejo de Ministros ha aprobado el Proyecto de Ley Orgánica de Protección de Datos que adaptará nuestra legislación a las disposiciones del Reglamento UE 2016/679, introduciendo novedades y mejoras en la regulación de este derecho fundamental en nuestro país. A continuación, se destacan las principales observaciones:
Se adelanta a los 13 años la edad de consentimiento para el tratamiento de datos en consonancia con la normativa de otros países de nuestro entorno.
Se incorpora el principio de transparencia en cuanto al derecho de los afectados a ser informados sobre dicho tratamiento y contempla de forma expresa los derechos de acceso, rectificación, supresión, derecho a la limitación del tratamiento, así como a la portabilidad y oposición.
Se introduce algunos supuestos en los que el legislador contempla como presunción, la prevalencia del interés legítimo del responsable del tratamiento de los datos en cumplimiento de determinados requisitos, como en el caso de los sistemas de información crediticia.
Se regula situaciones en las que se aprecia la existencia de interés público, como los relacionados con la videovigilancia y sistemas de exclusión publicitaria (listas Robinson), la función estadística pública y las denuncias internas en el sector privado.
Se destaca la potenciación de la figura del delegado de protección de datos, persona física o jurídica cuya designación ha de ser comunicada a la autoridad competente, que mantendrá relación con la Agencia Española de Protección de Datos (AEPD).
La AEPD se configura como autoridad administrativa independiente cuyas relaciones con el Gobierno se realizan a través del Ministerio de Justicia. Se establece la necesaria cooperación y coordinación con las correspondientes autoridades autonómicas de protección de datos.
Se promueve la existencia de mecanismos de autorregulación tanto en el sector público como en el privado e introduce la obligación de bloqueo que garantiza que los datos queden a disposición de un tribunal, el Ministerio Fiscal u otras autoridades competentes (como la AEPD) para la exigencia de posibles responsabilidades derivadas de su tratamiento, evitando así que se puedan borrar para encubrir el incumplimiento.
A continuación recojo las consideraciones que establece el Grupo de Trabajo del Artículo 29 acerca de la figura del DPO, en sus Directrices adoptadas el 13 de diciembre de 2016 y revisadas por última vez el 5 de abril de 2017:
Identificación de tratamiento de datos a gran escala: el Grupo de Trabajo establece unas pautas a la hora de considerar que se está llevando a cabo un tratamiento de datos a gran escala:
El número de sujetos interesados afectados,
el volumen de datos o el rango de tipos de datos diferentes que se traten,
la duración o continuidad del tratamiento y
extensión geográfica del tratamiento.
Noción de monitorización “regular y sistemática” relativa a la elaboración de perfiles y a la trazabilidad de los interesados en Internet: en la guía se establece que se considerará como regular y sistemática toda observación que se lleve a cabo de forma recurrente tanto en ciertos momentos puntuales como de forma periódica así como si dicho control forma parte de una estrategia de negocio o en el marco de un plan de recogida de datos predeterminada.
Competencias profesionales y nivel de experiencia exigibles al DPO: el DPO debe contar con requisitos competenciales específicos entre los cuales se encuentran (i) conocimientos especializados en Derecho y, en particular, un nivel alto de experiencia probada en materia de protección de datos, (ii) la capacidad para desempeñar las funciones exigibles al DPO por parte del GDPR (principios del tratamiento de datos, derechos de los sujetos interesados, “Privacy by Default and by Design”, notificación de incidentes de seguridad, etc.), (iii) la independencia y transparencia en el ejercicio de sus funciones y (iv) la capacidad de reportar a la Alta Dirección de la compañía. Por el momento no se considera necesaria ningún tipo de certificación pero en todo caso se deberá contar con las aptitudes detalladas anteriormente. No obstante, el Grupo de Trabajo recomienda a las Autoridades de control de los Estados Miembros que promuevan cursos de formación especializada para DPOs.
Funciones del DPO: entre las principales funciones que atribuye el GDPR a la figura del DPO, el Grupo de Trabajo del Artículo 29 destaca (i) la de monitorizar y controlar el cumplimiento de la compañía de lo dispuesto en el GDPR, (ii) el rol fundamental de éste en la realización de Evaluaciones de Impacto relativas a la protección de datos (PIAs), (iii) la de identificar y analizar los riesgos asociados a las operaciones de tratamiento de datos por la naturaleza, alcance, contexto y finalidades de éstas y (iv) la de apoyar al Responsable o Encargado en la creación y llevanza de un registro actualizado de los tratamientos de datos que la realice la compañía.
Recursos necesarios para que el DPO pueda desempeñar sus funciones: tras el nombramiento del DPO la compañía debe facilitar el desempeño de sus funciones garantizando, entre otros aspectos, que: (i) el DPO participe y aporte su asesoramiento en todas las cuestiones relativas a protección de datos que lleve a cabo la compañía,(ii) que se dote de carácter vinculante a las recomendaciones del DPO y (iii) que se notifique de forma inmediata al DPO en caso de que se produzca un incidente de seguridad.
Asimismo, conforme a lo establecido en el artículo 37 de GDPR, el Responsable o Encargado de tratamiento podrá optar entre otras opciones, por externalizar las funciones relativas al DPO y que estas sean asumidas por una empresa especializada externa, así como por nombrar un DPO interno que sea empleado de la compañía y que éste a su vez cuente con el apoyo de una oficina técnica de funciones de DPO que asuma una empresa especializada externa a la compañía.
El pasado 24 de junio, el Consejo de Ministros recibió por parte del Ministerio de Justicia el Anteproyecto de Ley Orgánica de Protección de datos de Carácter Personal. Si bien la Disposición final séptima del mencionado Anteproyecto indica que la ley orgánica entrará en vigor el 25 de mayo de 2018, podemos empezar a deducir cómo se aplicará el GDPR (General Data Protection Regulation), es decir, el nuevo Reglamento europeo en materia de protección de datos, en España.
A continuación señalo los aspectos más relevantes y novedosos que nos ofrece el Anteproyecto:
Se incluye en el ámbito de la protección de datos el tratamiento de los datos de personas fallecidas por parte de sus herederos. No obstante, se deberá tener en cuenta que, en caso de que la persona fallecida hubiese prohibido de manera expresa el acceso a sus datos, el heredero no tendrá derecho a ello.
Se excluye, tal y como ya íbamos apreciando en el GDPR, el “consentimiento tácito”. Es decir, el consentimiento deberá ser expreso y afirmativo, ya sea mediante una declaración o una acción.
Se da por válida la presunción de exactitud y actualización de los datos personales que sean obtenidos directamente del interesado.
En relación con los menores, el tratamiento de los datos de los mismos solamente se podrá basar en su consentimiento cuando el menor sea mayor de trece años y no de catorce como venía siendo hasta el momento.
Se regulan nuevos aspectos, que si bien ya conocíamos, la actual LOPD no contemplaba o no lo hacía con tanta exactitud. Dichos aspectos son:
Los sistemas de exclusión publicitaria
La función estadística pública
Tratamientos relacionados con ciertas operaciones mercantiles
Las denuncias internas en el sector privado
Respecto a los derechos de los interesados, se regulan los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. En concreto, sobre el bloqueo de los datos, se indica que los datos bloqueados quedarán a disposición exclusiva de: (i) el tribunal, (ii) el Ministerio Fiscal, (iii) Administraciones Públicas competentes y (iv) autoridades de protección de datos.
En el siguiente enlace podréis encontrar el Anteproyecto de Ley:
http://diariolaley.laley.es/Content/Documento.aspx?params=H4sIAAAAAAAEAFXMsQrCMBAG4LfJfI3SuNzUuDpll2vvDwTDRVJb6NuLi9D94yuq_LgT0XC5-nALbkdfSzP2NAQa_eisKVKceDNFLgb9kZKP2JZ0vMFZ6gqHubXXaXr-h6VCepQPJqkwlc6pb_gCXYZF-HoAAAA=WKE