Source: https://dataseg.es/proteccion-de-datos/tag/rgpd/
Timestamp: 2019-10-15 23:56:25
Document Index: 406263549

Matched Legal Cases: ['artículo 28', 'artículo 33', 'artículo 12', 'artículo 28', 'artículo 33', 'Artículo 28', 'Artículo 28', 'Artículo 4', 'artículo 28', 'artículo 28', 'artículo 28', 'Artículo 73', 'artículo 28', 'artículo 28', 'artículo 18']

RGPD Archivos - Protección de datos RGPD/LOPD y Derecho TIC. Tenerife - Canarias
El contrato de protección de datos es un acuerdo que deben formalizar las empresas o profesionales, con aquellos proveedores que les prestan servicios. Será obligatorio si la prestación de los servicios requiere acceso directo o indirecto a datos personales.
La obligación de este contrato está en el artículo 28 del Reglamento General de Protección de Datos -en adelante RGPD-, así como el artículo 33, de la nueva Ley de protección de datos, la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales – en adelante LOPD o LOPDGDD indistintamente-.
En este artículo le contaremos:
Generalidades sobre el contrato de protección de datos
¿Cuál es el nombre correcto, o cómo debemos llamarlo?
¿Qué es el contrato de protección de datos?
1.3. No es un documento nuevo, ya en la LOPD 15/1999 existía.
¿Qué características debe tener? Forma, medio y modo de formalización.
¿Quién debe facilitar el documento?
¿Qué persona debe firmar el documento?
¿Quién es el responsable y quién el encargado de tratamiento?
OJO: Si usted es responsable, tiene la obligación de SOLO contratar encargados que cumplan con la normativa de protección de datos.
¿Qué contenido mínimo debe tener el contrato?
Otros contenidos frecuentes, y algunos a los que hay que estar atento.
Consecuencias de no formalizar el contrato de protección de datos.
Beneficios. Además de cumplir con el RGPD y la LOPD.
1. Generalidades sobre el contrato de protección de datos
1.1. ¿Cuál es el nombre correcto o cómo debemos llamarlo?
Es importante saber que no hay un nombre único, y siempre que cumplan con el RGPD y la nueva LOPD, todos los nombres son correctos.
El nombre ha variado tanto como ha evolucionado la normativa de protección de datos. También tanto como profesionales deciden poner nombres «personalizados». Algunas de las variantes más conocidas son:
Contrato o acuerdo de encargo de tratamiento de datos.
Contrato de tratamiento de datos por cuenta de terceros.
Contrato de acceso a datos por cuenta de terceros.
1.2. ¿Qué es el contrato de protección de datos?
El RGPD lo define como un «contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable«.
Total, que como ya dijimos antes, es un documento a formalizar entre las partes de una prestación de servicios, en las que el proveedor trate datos personales de los que sea responsable el cliente.
Pues eso, que el artículo 12 de la LOPD 15/99 ya exigía su formalización. La cuestión es que no era tan exigente con los prestadores de servicio con lo es el artículo 28 RGPD. Luego, si además le sumamos los añadidos del artículo 33 de la nueva LOPD 3/2018, se puede decir que los encargados/proveedores tendrán mucho más que hacer, y por lo que responder.
1.4. Formato, medio y modo de formalización.
1.4.1 Es un acuerdo que debe constar por escrito. Artículo 28.9 RGPD.
Es un documento que define las responsabilidades, vínculos y acuerdos de las partes. Y debe estar por escrito. En este caso no valen los acuerdos verbales.
1.4.2. Puede ser físico o electrónico. Artículo 28.9 RGPD.
Puede estar en soporte físico, es decir en papel. También puede estar en formato electrónico.
1.4.3. Puede ser aceptado o firmado por medios electrónicos.
Si el acuerdo escrito puede estar en soporte electrónico, queda claro que también puede ser aceptado por ese medio. La firma electrónica será sin duda la reina, pero no será la única forma de aceptación.
1.4.4. Se podrá aceptar mediante marcado de casillas. Siempre que se guarden los logs necesarios para trazar la voluntad de las partes y los datos asociados al acto del acuerdo.
También podrán tenerse como válidas otras formas de aceptación, por ejemplo mediante un correo electrónico en el que se acepte el contenido. Entre otros.
1.5. ¿Quién debe facilitar el documento?
El documento es obligación de ambas partes, aunque quien tiene la obligación principal de escoger un prestador que cumpla la LOPD y el RGPD, y formalizar el acuerdo previamente a la prestación de los servicios es el responsable.
Aún así, cualquiera de las partes puede facilitarlo, siempre que queden plasmadas las instrucciones del responsable, es decir el cliente; también las particularidades de la prestación del servicio y las medidas de seguridad, o incluso medidas de apoyo al responsable que debe cumplir en encargado (el proveedor).
Total, que en primer lugar debería ser un documento facilitado por el responsable, pero si no, debería como mínimo ayudar a configurar el contenido y la forma. En definitiva, no debe ser un contenido impuesto por el proveedor, en propio beneficio.
1.6. ¿Qué persona debe firmar el documento?
El contrato debe ser firmado o aceptado por una persona con capacidad de vincular a la empresa o empresario individual, con su proveedor. Puede ser el propietario o titular, administrador, gerente, o cualquier otra persona con capacidad para realizar la vinculación, bien por motivos del cargo que ostenta o porque lo haga por encargo de un superior.
2. ¿Cuáles son las partes? ¿Quién es el responsable y quién el encargado del tratamiento?
El Reglamento General de Protección de Datos tiene las siguiente definiciones, que en sí son bastante claras:
Artículo 4 RGPD:
7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento;
2.2. ¿Quién soy yo?
Depende de la posición que ostente en cada momento. Así en plan rápido:
El responsable suele ser el cliente de la prestación del servicio.
El encargado suele ser el prestador/proveedor de servicios.
También existe el subencargado: el proveedor que presta servicios al encargado, y durante los cuales tiene o podría tener acceso a los datos de los que es responsable jurídicamente, el responsable.
2.3. Si usted es responsable, tiene la obligación de SOLO contratar encargados que cumplan con la normativa de protección de datos.
OJO: El artículo 28.1. dice textualmente (y su inclumplimiento es una infracción grave de la LOPD 3/2018):
El responsable «…elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado.
3. ¿Qué contenido mínimo debe tener el contrato?
El contrato de protección de datos tiene un contenido mínimo definido por el artículo 28 RGPD, en particular su número 3. Si un contrato no lo tiene todo, podemos decir que o no es válido, o está incompleto.
Ahora bien, la nueva LOPD 3/2018, incluye algunas aclaraciones que deberán ser tenidas en cuenta durante el desarrollo y finalización del contrato.
3.1 El contrato debe contener conforme a lo que dispone el artículo 28 del RGPD lo siguiente:
Objeto, duración, naturaleza y finalidad del tratamiento de datos que se encarga.
Categorías de interesados de los que el encargado tratará datos directa o indirectamente.
Reglas para la subcontratación de servicios.
Las obligaciones del encargado. Estas se listan de forma particular, y son:
Tratar los datos solo siguiendo instrucciones del responsable
Garantizar que el personal que tratará los datos está formada en protección de datos y respetará el deber de confidencialidad.
Aplicará las medidas de seguridad técnicas y organizativas que resulten de la evaluación de riesgos que le corresponde.
No acudirá a otro encargado sin informar y ser autorizado por el responsable.
Asistir al responsable en el ejercicio de derechos (o no, según contrato).
ayudar al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36.
Suprimir o devolver los datos personales una vez finalice la prestación de los servicios. Con excepciones según obligaciones legales.
Poner a disposición del responsable información para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 RGPD.
3.2. Otros contenidos frecuentes, y algunos a los que hay que estar atento.
La AEPD tiene una guía con directrices para elaborar contratos entre responsables y encargados, y contiene una plantilla que está siendo muy utilizada y que contiene contenidos adicionales tales como:
La obligación de llevar el registro de actividades de tratamiento que se realizan como encargado.
Una lista de medidas de seguridad conforme el art. 32 RGPD
Toda la información sobre violaciones y brechas de seguridad
Obligaciones del responsable: en las que incluye la realización de las Evaluaciones de impacto en la privacidad cuando sean necesarias, la supervisión del encargado, etc.
Destino de los datos, en los que se incluye la opción de pasarlos a otros encargados.
5. ¿Qué consecuencias tiene no formalizar el contrato de protección de datos?
La no formalizacion del acuerdo de encargo de tratamiento de datos es infracción de la normativa de protección de datos. En España esta tipificada en la nueva LOPDgdd como:
Infracciones grave. Artículo 73:
«j) La contratación … de un encargado de tratamiento que no ofrezca las garantías suficientes para aplicar las medidas técnicas y organizativas apropiadas…»
«k) Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito conforme el artículo 28.3 RGPD»
«l) La contratación por un encargado … de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles.» (Subcontratación)
m) La infracción por un encargado de lo dispuesto en el RGPD y en la LOPD, al determinar los fines y los medios del tratamiento…»
Infracción muy grave. Art. 74:
«j) Que el encargado no comunique al responsable acerca de la posible infracción por una instrucción recibida de este de las disposiciones del RGPD…»
«k) El incumplimiento por el encargado de las estipulaciones impuestas en el contrato o acto jurídico que regula el tratamiento o las instrucciones del responsable del tratamiento, salvo (varios)»
6. Beneficios. Además de cumplir con el RGPD y la LOPD.
El contrato de protección de datos no solo da cumplimiento a la normativa en cuestión, además es una forma de definir las responsabilidades entre las partes.
En muchas ocasiones, por desgracia, este el único documento que recoge de forma escrita y formal los servicios prestados, las obligaciones, y aunque parezca extraño, la responsabilidad y titularidad de los datos.
Para muchas pymes y profesionales cumplir con esta obligación es una salvaguarda ante sus prestadores de servicio que ahora ven como el RGPD en su artículo 28 por fin exige a los encargados, más responsabilidad y definición de obligaciones.
Formalizar el acuerdo de tratamiento de datos es una obligación legal de todos los responsables (empresas, ongs, asociaciones, comunidades de propietarios, profesionales, empresarios individuales, fundaciones, etc.) que subcontraten servicios durante los cuales el proveedor acceda a datos personales de su responsabilidad.
Por otro lado, su cumplimiento beneficia la formalización de acuerdos y responsabilidades de las partes, y es un punto de agarre y defensa entre las mismas.
En Dataseg te ofrecemos nuestro servicio de consultoría y asesoramiento en materia de protección de datos, estaremos encantados de echarle una mano con este y otros temas de su interés.
10 enero, 2019 /0 Comentarios/por Dataseg
https://dataseg.es/proteccion-de-datos/wp-content/uploads/El-contrato-de-protección-de-datos-RGPD-LOPD.jpg 640 960 Dataseg https://dataseg.es/proteccion-de-datos/wp-content/uploads/logotipo-dataseg-web-250.png Dataseg2019-01-10 13:50:362019-01-17 14:52:41El contrato de protección de datos RGPD LOPD
La reforma de la Ley Orgánica de Protección de Datos es ya un hecho. El pasado viernes 23 de junio, el ministro de Justicia, D. Rafael Catala Polo, presentó ante el Consejo de Ministros, un informe sobre el anteproyecto de Ley Orgánica de Protección de Datos para adaptarla al reglamento UE 2016/679.
[Actualización 28/06/2017] Hoy se ha publicado el Trámite de Audiencia de información pública del Anteproyecto de modificación de la Ley Orgánica de Protección de Datos. El plazo para presentar observaciones, finaliza el 19/07/2016. [Actualización 14/01/17] Finalmente el 24/11/2017 el Consejo de Ministros, elevó al Congreso la propuesta de Proyecto de Ley de Protección de Datos. Vamos a ver las enmiendas… Aquí el doc.
Razones por las que se modifica la LOPD
La modificación de la Ley Orgánica de Protección de Datos, obedece a los cambios legislativos introducidos por la Unión Europea, con la aprobación del Reglamento UE 2016/679 (RGPD EU) que entró en vigor el 25 de mayo del 2016, y será de aplicación a partir del próximo 25 de mayo de 2018.
Como es sabido los Reglamentos EU no requieren de una transposición al ordenamiento jurídico interno de los estados. Son de aplicación directa. Pero, como el RGPD en su contenido ha dispuesto que algunos puntos polémicos sean legislados por los estados, por eso se modifica la LOPD. Ahora, no hay carta blanca para nuestro legislador, todo lo que haga debe estar siempre dentro de los marcos establecidos por el Reglamento.
En el caso de España, se ha previsto modificar nuestra actual Ley Orgánica de Protección de Datos. No se creará una regulación nueva, sino que se adaptará la actual para que no contravenga el RGPD, y a su vez legisle aquellos puntos que están al arbitrio de nuestro legislador.
¿Porqué una Ley Orgánica?
Teniendo en cuenta que hablamos del derecho fundamental a la protección de datos, que se encuentra amparado en el artículo 18.4 de la Constitución española, nuestro ordenamiento requiere que su regulación se haga a través de una Ley Orgánica. Esto presupone una garantía adicional durante el proceso legislativo, ya que requiere una mayoría absoluta para su aprobación, así como para cualquier tipo de reforma.
Si nos basamos en el contenido del informe presentado por el ministro de justicia, hablamos de
Tratamiento de datos de personas fallecidas por parte de sus herederos.
La edad para el consentimiento, se reduce desde los 14 a los 13 años.
Aparece el principio de transparencia.
Se regulan los sistemas de información crediticia, videovigilancia, exclusión publicitaria (listas Robinson), la función estadística pública y las denuncias internas en el sector privado (whistleblowing).
Se incide también en los derechos de:
Se introduce la obligación de bloqueo.
Ahora bien, no son los únicos cambios que introducirá, también hemos de recodar que el Reglamento Europeo de Protección de Datos, nuestro querído RGPD, incluye una nueva forma de hacer las cosas. Ya no es «demuestra que no lo has hecho mal» ahora debemos demostrar que lo hemos hecho bien. Es el accountability, o cumplimiento activo.
Ya no tendremos una lista de medidas de seguridad, ahora hemos de hacer una evaluación de riesgos. Y a partir del resultado, hemos de implantar cuantas medidas de seguridad necesitemos, independientemente de su naturaleza.
Y claro, no podemos olvidarnos, en este recuento -genérico- de novedades, de las Evaluaciones de Impacto en la Privacidad. Esas que traerán un tanto de cabeza a las organizaciones que deban realizarlas; y tampoco podemos terminar este apartado sin nombrar al Delegado de Protección de Datos –DPO/DPD.
Vamos, que novedades hay muchas, y nuestro antiguo proyecto de adecuación LOPD va a tener que evolucionar a la fuerza. Tendremos que mejorar nuestro cumplimiento de la Ley Orgánica de Protección de Datos para cumplir con el RGPD y evitar las sanciones, que ¡oh sorpresa! también será modificado el régimen sancionador.
Se deberá presentar la propuesta de modificación al Congreso de los Diputados acompañada de una Exposición de Motivos y de los antecedentes necesarios para que se pronuncien sobre ella. Luego vendrán las enmiendas, las votaciones, los acuerdos, etc. Uff, nos queda un largo tramo, y al ser una Ley Orgánica y con nuestro parlamento tan fraccionado tenemos que cruzar los dedos para que llegue a tiempo.
¿Cuándo entrará en vigor la nueva LOPD?
La respuesta es «depende». Depende de que se cumplan los plazos que conocemos a día de hoy. Son los siguientes:
La directora de la Agencia Española de Protección de Datos, Dª. Mar España, el pasado 28 de mayo dijo que esperaban tener la nueva LOPD aprobada y publicada poco antes de que iniciara la aplicación del RGPD.
OJO: Hoy, 26 de junio gracias a el DiarioLaLey de WK hemos tenido acceso al documento en pdf del anteproyecto y dice que la nueva Ley Orgánica de Protección de Datos entrará en vigor el 28 de mayo del 2018, el mimo día que el RGPD.
Lo que nos queda es empezar a cumplir el RGPD
Definitivamente no podemos dormirnos en los laureles esperando la nueva LOPD. Hay que iniciar un proceso de evaluación de nuestros sistemas de tratamiento de datos, para ir aplicando el RGPD. Iniciar cuanto antes nuestro proceso de adecuación es el plan más idóneo.
Si queréis podéis echar un vistazo al contenido del anteproyecto, que es un buen primer paso. Pero recordad que todavía quedan las enmiendas y todo lo relacionado con el proceso legislativo; a día de hoy LA FUENTE es el Reglamento Europeo de Protección de Datos.
Si necesitáis ayuda para la adecuación a la normativa de protección de datos, no dudéis en contactar con nosotros. Estaremos encanados de prestaros nuestros servicios.
26 junio, 2017 /0 Comentarios/por Dataseg
https://dataseg.es/proteccion-de-datos/wp-content/uploads/Ley-Orgánica-de-Protección-de-Datos.jpg 666 1000 Dataseg https://dataseg.es/proteccion-de-datos/wp-content/uploads/logotipo-dataseg-web-250.png Dataseg2017-06-26 16:00:062018-01-14 22:35:35Habemus Anteproyecto de Ley Orgánica de Protección de Datos
El pasado 5 de Abril, empezó la campaña de la renta. Los ciberdelincuentes no se han hecho esperar y por eso ya tenemos noticias de campañas masivas de phishing y ramsomware; algo nuevo y algo viejo, lo prestado será el dinero de los pobres incautos que piquen. Está claro que los ciberdelincuentes, son muy madrugadores, y que aprovechan cualquier oportunidad, para embaucar a sus victimas.
¿Qué engaños han soltado este año los ciberdelincuentes?
Como mencionamos antes, vuelven con un viejo conocido, el phishing. El nieto del timo de la estampita, que ahora se hace por internet. En esta ocasión, se trata de una modalidad en la que los ciberdelincuentes, remiten de forma masiva, correos electrónicos a victimas potenciales, y luego, como buenos pescadores, se sientan a esperar a que un buen número de ellos pique.
Ojo con el phishing de este año
Este año la división de delitos telemáticos de la Guardía civil, y la Policía, han informado de una campaña, en el que los ciberdelincuentes se remiten un correo en el que se hacen pasar por la AEAT. Notifican al usuario de una supuesta devolución de dinero, referente a una campaña de la renta anterior, y le facilitan un enlace en la que piden que se confirmen los datos que necesitan para hacer la devolución del dinero.
Así es como se ve el correo. Por favor, si os llega, eliminadlo de inmediato. Y si picaste, cambia las contraseñas del banco de inmediato, y llegado el caso, denuncia a la policía.
Ransomware en esta campaña
Este es el nuevo, que ya a estas alturas, no es tan nuevo. Se trata de un virus que se remite también a través de correo electrónico. Claro, no es fácil, por así decirlo, detectarlo ya que suele venir escondido en un algo que aparenta ser un documento, como una factura, o un borrador de la renta, o un excel. Cualquier forma de documento vale. Lo malo es que no son documentos sino programas maliciosos que al darles click para abrirlos, instalan el virus.
El ransomware, es el famoso virus secuestra ordenadores. En cuanto se ejecuta, toma el control del ordenador y cifra todos los archivos que contiene. A partir de ahí, los ciberdelincuentes te piden que pagues una cantidad de dinero, a cambio de descifrar la información. La cantidad solicitada varía entre los 150 euros, y los 1000 euros, o más, si es un ataque dirigido a empresas.
¿Qué hacer si he sido victima de ransomware?
En este caso, y como mencionamos en el programa de radio, los expertos en seguridad, la polícia y la GC, recomiendan no pagar. No se paga para no financiar ciberdelincuentes, y porque no hay certeza de que realmente nos devuelvan la información.
En estos casos, lo mejor es apagar, formatear el ordenador y reinstalar todo. Que lo haga un experto informático mejor, que suena fácil pero no lo es tanto. Pero claro, es necesario tener una copia de seguridad. Si no tiene ninguna, hágala, que la información es muy valiosa.
Los usuarios pueden solicitar la ayuda del INCIBE, que cuenta con oficina de atención al usuario, y también para empresas. Según sea el caso, se debe denunciar a la Policía o a la Guardia Civil.
Y si el incidente lo sufre una empresa, no se olviden de registrar la incidencia, que esa es grande, y los ojos la Ley de Protección de Datos – LOPD 15/1999, no es poca cosa. Y menos lo será cuando entre en vigor el Reglamento Europeo de Protección de Datos, RGPD.
Hay que ver lo eficientes que son los ciberdelincuentes, así que por favor, evitad abrir correos que no esperáis, de desconocidos, con archivos raros, etc.
Una forma de identificar los correos maliciosos son las faltas de ortografía, y no por un Zapato escrito con S, que debería ser delito, sí, sino por aquellas que nos dejan ese saborcillo a… mmm esto ha sido traducido por un traductor automático….
Las formas típicas de documento que usan para distribuir ransomware son, certificados de correos, borradores de la renta, facturas, así como confirmaciones de pago o transferencia. Curiosamente, casi todos aparentan ser un PDF, aunque también hay excel y word. Pero bueno, tened esta información en cuenta, será útil.
Este tema lo tratamos, el pasado 10/04/2017, en nuestra colaboración semanal con Radio Club Tenerife de la Cadena SER. Podéis escuchar nuestra participación a partir del minuto 01:44:16.
Os invitamos a escuchar nuestra participación en la radio, todos los lunes a las 10:40 am, hora en Canarias. En el espacio Internet en Familia, del Hoy por Hoy Tenerife de Radio Club SER Tenerife. Solemos hablar de Internet, apps, seguridad, privacidad, tecnología, derecho tecnológico, protección de datos, y muchos más temas de interés para el público en general.
19 abril, 2017 /0 Comentarios/por Dataseg
https://dataseg.es/proteccion-de-datos/wp-content/uploads/Ciberdelincuentes-aprovechan-la-campaña-de-la-renta-1.jpg 631 960 Dataseg https://dataseg.es/proteccion-de-datos/wp-content/uploads/logotipo-dataseg-web-250.png Dataseg2017-04-19 07:00:382017-05-18 09:17:51Ciberdelincuentes aprovechan la campaña de la renta