Preguntas frecuentes

El Reglamento General de Protección de Datos (RGPD) es el nuevo marco legal en la Unión Europea que reemplazo a la Directiva de Protección de Datos.

Entró en vigor en mayo de 2016, es de aplicación obligatoria para todos los estados miembros de la Unión Europea a partir del 25 de mayo de 2018, y otorga un mayor control y seguridad a los ciudadanos sobre su información personal en el mundo 2.0.  El RGPD amplía sus derechos a decidir cómo desean que sus datos sean tratados y a cómo quieren recibir información de las entidades.

El objetivo de la LOPDGDD es adaptar la legislación española a la normativa europea, definida por el Reglamento General de Protección de Datos (RGPD), vigente desde el 25 de mayo de 2018. Esta ley entró en vigor el 6 de diciembre de 2018, sustituyendo y derogando a la antigua Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal.

Por tanto, si hablamos de protección de datos en España, actualmente la norma de referencia es la LOPDGDD.

Garantía de los Derechos Digitales “GDD”: Se incorpora un nuevo Título X de la Ley, con una novedosa regulación relativa a la “Garantía de Derechos Digitales” en la que se recogen derechos que introducen, en el ordenamiento jurídico, aspectos necesarios para adaptar la normativa a la sociedad actual, cuya actividad pivota en gran medida en un entorno digital.

En este título se desarrollan los nuevos derechos digitales y se regula cómo se quiere garantizar para todas las personas el derecho al acceso a Internet. Incluye desde el artículo 79 al 97. Vamos a verlos:

• Artículos de 79 al 84. Consagran una serie de derechos universales.
• Artículos 85 y 86. Son los artículos referentes a la rectificación en Internet y derecho a la actualización de informaciones en medios digitales “fake news”
• Artículos 87 al 91. Son los más específicos del ámbito laboral. Tratan de fijar las normas para la desconexión digital, la privacidad en el uso de dispositivos electrónicos, videovigilancia en el trabajo o la geolocalización.
• Artículo 92. Trata la privacidad de los datos de menores en Internet.
• Artículos 93 al 95. Se refieren al derecho al olvido en las búsquedas y redes sociales y servicios equivalentes.
• Artículo 96. Aborda el testamento digital para regular cómo pueden los familiares o la persona designada dirigirse a los medios y servicios digitales donde el fallecido disponga de datos y contenidos para dar las oportunas instrucciones para recuperarlos o suprimirlos.
• Artículo 97. Impulso de los derechos digitales, el Gobierno elaborará un Plan de Acceso a Internet para superar las brechas digitales de colectivos vulnerables, fomentar los espacios de conexión de acceso público, promoción de acciones para que los menores de edad hagan un uso equilibrado y responsable de los dispositivos digitales, entre otras acciones.

Nuevos derechos digitales en el ámbito laboral

A nivel laboral, los nuevos derechos incluidos tienen especial relevancia en los siguientes aspectos:

• Derecho a la desconexión digital.
• Derecho a la intimidad frente al uso de dispositivos de videovigilancia.
• Derecho a la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboral.
• También se reconoce el derecho de establecer garantías y derechos digitales adicionales en los convenios colectivos de cada sector.

En el estado español hay que cumplir las dos, el RGPD y la LOPDGDD.

Todas las entidades públicas y privadas que utilicen cualquier dato personal en el desarrollo de sus actividades.

Es decir, si en su trabajo diario trata datos personales de terceros, por ejemplo: datos de empleados, datos de clientes, datos de asociados, datos de contactos del web, datos de suscriptores, alumnos, pacientes, datos de navegación de usuario que recaba mediante cookies analíticas, etc., debe cumplir con el RGPD y la LOPDGDD, sin excepciones.

Da igual que sea autónomo o empresa, tenga más o menos empleados, pertenezca al sector público o privado, si es una ONGs o una entidad sin ánimo de lucro; debe cumplir las exigencias del RGPD y la LOPDGDD y ofrecer las garantías suficientes a todos los que le facilitan sus datos.

Todas las entidades que traten datos personales de ciudadanos europeos, independientemente de su tamaño, están obligadas a cumplir con la Ley de protección de datos europea, el RGPD.

Si la entidad está ubicada fuera de la Unión Europea, también deberá cumplir si trata datos de ciudadanos europeos.

Este es un breve resumen de las acciones a realizar:

1) Deber de informar y obtención del consentimiento. Es obligatorio informar a las personas interesadas sobre las circunstancias relativas al tratamiento de sus datos. El consentimiento puede recabarse únicamente mediante declaración explícita de los interesados o una acción positiva que indique su consentimiento.

2) Cláusulas informativas y avisos de privacidad. Es fundamental asegurarse que están actualizadas a las vigentes normativas las cláusulas informativas y avisos legales.

Deben incluir cuestiones como: responsable del tratamiento, base jurídica del tratamiento, plazo de conservación, criterios para su determinación, información sobre los derechos…

Además, deberán ser concisas, transparentes, inteligibles, accesibles, con un lenguaje claro y sencillo, por escrito y de acceso gratuito.

3) Compromiso de confidencialidad con los empleados/as, tiene una doble vertiente, la primera que el trabajador/a (usuario con acceso a datos) se comprometa a tratar de forma confidencial los datos a los que tiene acceso en su día a día para realizar su actividad laboral, la segunda, informar al/la trabajador/a para que consienta el tratamiento de sus datos de carácter personal por parte de la entidad para diferentes finalidades (gestión RRHH, elaboración de nóminas, seguros, etc.) así como informarle de sus derechos.

4) Los contratos con terceros encargados de tratamiento (ET). Los encargados de tratamiento (ET) son todos los colaboradores externos que nos prestan algún servicio y, para realizarlo, les facilitamos datos personales nuestros y de terceros.

5) Disponer del protocolo de ejercicio de derechos. Todas las personas podemos ejercer el derecho de acceso, rectificación, supresión, portabilidad de los datos y limitación u oposición de su tratamiento, así como no ser objeto de decisiones individuales automatizadas.

6) Implantación de procedimientos para notificar incidentes de seguridad. También conocidas como brechas de seguridad. Estas se deben de comunicar a los afectados y a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas.

7) Medidas de seguridad técnicas y organizativas. El responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas adecuadas al riesgo que conlleva el tratamiento. Ello implicará tener que hacer una evaluación de los riesgos asociados a cada tratamiento, para determinar las medidas de seguridad a implementar.

8) Registro de actividades de tratamiento. El registro deberá constar en todo caso por escrito, inclusive en formato electrónico, y deberá ser puesto a disposición de la autoridad de control que lo solicite.

9) Análisis de riesgos. Desde el punto de vista de la seguridad de la información un análisis de riesgos requiere identificar las amenazas (por ejemplo, acceso no autorizado a los datos personales), valorar cuál es la probabilidad de que se produzca y el impacto que tendría en las personas afectadas.

10) Designar Delegado de Protección de Datos (DPD), si procede. El Reglamento introduce la figura del delegado de protección de datos, que puede formar parte de la plantilla del responsable o el encargado o bien actuar en el marco de un contrato de servicios.

11) Realizar evaluación de impacto, si procede. Cuando un tratamiento, por su naturaleza, alcance, contexto o fines suponga un alto riesgo para los derechos y libertades de las personas físicas, especialmente cuando se utilicen nuevas tecnologías, el responsable debe hacer una evaluación del impacto en la protección de datos (EIPD).

12) Video vigilancia, si disponen de cámaras de captación de imágenes es necesario cumplir con los requisitos legales y conocer el protocolo de solicitud de las imágenes.

13) Wifi, si disponen de wifi a disposición de clientes, usuarios, empleados, etc., es necesario cumplir con los requisitos legales y conservar los registros de conexión dos años.

14) Página web. Debe disponer de las cláusulas y avisos legales en cumplimiento de la LSSIce.

Sí, y las autoridades de control pertinentes no sólo están poniendo multas a las grandes compañías como Facebook o Google. Hay muchas otras compañías de menor tamaño que también están sufriendo las consecuencias infringir con la ley de protección de datos.

Si a esto, le añadimos que el Gobierno español el pasado 2019 aumentó los presupuestos para la Agencia Española de Protección de Datos, quizá nos haga entender la importancia que está adquiriendo la protección de datos personales en el seno de la Unión Europea.

Detallamos los diferentes tipos de datos:

Este principio se define como la necesidad (obligatoriedad) de que el responsable del tratamiento de datos aplique medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento de datos personales es conforme con el Reglamento. Es decir, no basta con cumplir con la normativa de protección de datos, también hay que poder demostrar que se está cumpliendo con la normativa.

Este principio viene recogido en el artículo 5 apartado 2 del RGPD: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)”.

La imagen es un dato de carácter personal ya que identifica o hace identificable a una persona. En este sentido, la instalación de cámaras, con diversas finalidades como podría ser la seguridad, el control laboral, el acceso a zonas restringidas captando la matrícula del coche y la imagen del conductor, o incluso la monitorización de una UVI, supondría un tratamiento de datos de carácter personal y en consecuencia, se le aplicaría las normativas de protección de datos.

Es necesario tener mucha precaución a la hora de publicar imágenes en Internet, sean fotografías o vídeos, si en ellas aparecen personas..

Las fotografías de una persona son también datos de carácter personal y no pueden ser tratados de manera diferente a la finalidad para la que se hayan obtenido, ni ser publicadas sin un consentimiento previo y expreso de la persona afectada. Esto se aplica a cualquier actividad empresarial o profesional que trate con fotografías de sus clientes, asociados, alumnos, etc.

Por ejemplo, una empresa dedicada a las actividades de montaña, que ofrece rutas en grupo y que hace fotografías de la actividad, no podría publicarlas en su web o redes sociales, sin haber obtenido el consentimiento previo de sus clientes y haberles informado de su posterior publicación.

Si bien el artículo 8.1 párrafo segundo del RGPD, no consideraba lícito el tratamiento de datos personales de un niño/a menor de 16 años en relación con la oferta directa a niños/as de servicios de la sociedad de la información, salvo que los Estados miembros establecieran por ley una edad inferior, el legislador estatal en la LOPDGDD ha optado en su artículo 7 por establecer como lícito el tratamiento de datos de carácter personal de los menores cuando estos sean mayor de 14 años, en cualquiera de los casos.

Resumiendo, que el consentimiento para el tratamiento de datos de personales podrá prestarse por el propio menor cuando éste sea mayor de 14 años.

Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento.

El tratamiento de los datos personales de los menores de catorce años, será lícito si el consentimiento lo otorga el padre, madre o el titular de la patria potestad o tutela.

La LOPDGDD, amplía los derechos reconocidos a las personas vinculadas a los fallecidos permitiendo ejercitar, además de la cancelación o supresión, los derechos de acceso y rectificación. Así mismo, establece como excepción, que los herederos o personas vinculadas no podrán acceder, rectificar o suprimir los datos de los fallecidos, si dicha persona lo hubiese prohibido o si una ley así lo establece, sin perjuicio de aquellos datos de carácter patrimonial a los que tuviesen derecho a acceder.

Se establece además que en caso de producirse el fallecimiento de un menor o una persona con discapacidad dichos derechos podrán ejercitarse por sus representantes legales o por el Ministerio Fiscal.

El artículo 96 de la LOPDGDD establece además, en relación a la eliminación de los perfiles de redes sociales de fallecidos, el derecho al testamento digital señalando que “las personas legitimadas podrán decidir acerca del mantenimiento o eliminación de los perfiles personales de personas fallecidas en redes sociales o servicios equivalentes, a menos que el fallecido hubiera decidido acerca de esta circunstancia, en cuyo caso se estará a sus instrucciones. El responsable del servicio al que se le comunique, con arreglo al párrafo anterior, la solicitud de eliminación del perfil, deberá proceder sin dilación a la misma” por lo que parece más claro que nunca el reconocimiento de ciertas garantías en el tratamiento de datos de personas fallecidas.

Diariamente muchas empresas alrededor del mundo se ven afectadas por brechas de seguridad. Los tratamientos de datos y el uso de las nuevas tecnologías implican que, de forma permanente, las empresas puedan ser afectadas por las brechas de seguridad.

Con la aplicación del RGPD surge la obligación de notificar las brechas o violaciones de seguridad a la Agencia Española de Protección de Datos y a las personas afectadas, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.

Es conveniente establecer un procedimiento para gestionar las brechas de seguridad en las empresas que incluyan las medidas técnicas y organizativas para poder afrontar un incidente, así como la identificación de los agentes implicados en la gestión de la brecha, el análisis de riesgos y/o evaluación de impacto y definición de planes de respuesta a incidente o plan de contingencia.