Source: http://perkinshumanmedia.net/brand/calendario-2017-la-lopd-agosto/
Timestamp: 2017-09-26 00:08:12
Document Index: 305683735

Matched Legal Cases: ['Artículo 33', 'artículo 33', 'Artículo 33', 'artículo 33', 'artículo 55', 'artículo 34', 'artículo 34', 'artículo 34']

Calendario 2017 para la LOPD - Agosto - Perkins Human Media
Continuando con esta serie de entradas relativas a la readecuación y reimplantación del Sistema de Protección de Datos de Carácter Personal al nuevo RGPD 2016/679, se sigue en ésta los contenidos según el post Calendario 2017 para la LOPD-Agosto que se corresponde con la notificación de una violación de la seguridad de los datos personales a la autoridad de control y Comunicación de una violación de la seguridad de los datos personales al interesado (Artículo 33 y 34 del RGPD).
Antes de proseguir, la firma Perkins Human Media, desea dejar constancia de su impronta pedagógica. Así mismo, se está intentado recalcar, a través de esta serie de artículos -Calendario 2017 para la LOPD-, los cambios más significativos que nos trae la aprobación del RGPD.
Dicho ésto, y por si a estas alturas aún no lo tuviere usted claro, el objetivo de esta serie de artículos es comentar los aspectos más novedosos de la nueva norma así como de ir guiándole a los cambios a tener en cuenta. En este sentido, puede que usted se haya formulado la cuestión ¿Qué diferencias provoca el nuevo reglamento europeo de protección de datos?
Se enumeran ocho aspectos significativos:
Notificación de una violación de la seguridad de los datos personales a la autoridad de control y Comunicación de una violación de la seguridad de los datos personales al interesado (artículo 33 y 34 respectivamente).
Automatización del PIA (Privacy Impact Assesment -evaluación de impacto en la privacidad-)
Se selecciona para esta entrada la Notificación de una violación de la seguridad de los datos personales a la autoridad de control. Indirectamente se hará breve mención respecto de la Comunicación de una violación de la seguridad de los datos personales al interesado.
De dicho título (Artículo 33) quizás lo que más resalte es la expresión violación de seguridad. Por ésta se entiende:
«…toda destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos…»
El mero hecho de que los datos hayan sido expuestos se considera fuga de datos.
Por otro lado los artículos son bastante claro en cuanto a:
A Quiénes se debe de comunicar la fuga de datos y,
Qué se debe comunicar a la autoridad de control.
Del artículo 33.1: La comunicación a las autoridades.
Obviamente la comunicación a la autoridad de control competente –conforme al artículo 55 del RGPD– se entiende que será para España la AEPD o las de ámbito de Comunidad Autónoma (Cataluña, País Vasco y Madrid). El plazo: 72 horas desde que se produzca el suceso. En este caso el artículo advierte que si la notificación supera dicho plazo, el Responsable del Fichero o Responsable del tratamiento, debe proporcionar una justificación razonable ante dicha autoridad de control.
Siguiendo el apartado 1 del artículo en curso, se aprecia en el mismo, una excepción clave o cuándo no es necesario notificar:
«…a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas…»
Lo anterior, deja lugar al criterio y discusión por parte de la organización a la hora de decidir si notificar o no una fuga de datos.
Siguiendo en esta línea, el artículo 34 (Comunicación de una violación de la seguridad de los datos personales al interesado), la pregunta es la misma que ante la Autoridad de control ¿Cuándo? El artículo 34 señala que se deberá notificar si la violación de los datos pudiera afectar negativamente a la intimidad o a los datos personales.
Respecto de las consecuencias también hay que trasladárselas si: existe fraude, usurpación de identidad, daño físico y/o psicológico, humillación o perjuicio reputacional.
Por último en este ítem, la comunicación al afectado se realizará por vías de comunicación que garanticen una “pronta recepción de la información y sean seguras con arreglo al estado actual de la técnica”.
¿Cuándo no es preceptivo la comunicación al afectado? El artículo 34 señala:
Cuando el responsable del tratamiento “ha adoptado medidas de protección técnicas y organizativas apropiadas”
El responsable del tratamiento ha tomado “medidas ulteriores” para evitar que el riesgo para los interesados se materialice.
Cuando la notificación supusiese un “esfuerzo desproporcionado” en cuyo caso se optaría por una comunicación pública o una “medida semejante por la que se informe de manera igualmente efectiva a los interesados”.
¿Qué debemos de notificar a la Autoridad de Control? La comunicación tendrá los siguientes extremos conforme el punto tercero del artículo:
Por último ¿Qué tipo de retos plantea a las empresas la comunicación de brechas de seguridad?
Desarrollar Procedimientos de modo que éstos permitan:
Fuente-Información: © RGPD 2016/679 / © securityartwork.es
← Calendario 2017 para la LOPD – Julio
Calendario 2017 para la LOPD – Septiembre →