![\"\"](\"http:\/\/bufeteperezalfonso.com\/wp-content\/uploads\/foto-11-150x150.jpg\" "\\"ENTRADA")
<\/p>\n<\/p>\n
RESUMEN DE LOS ASPECTOS MAS RELEVANTES DEL NUEVO REGLAMENTO, SUS PRINCIPIOS, Y LAS \u00a0MEDIDAS QUE DEBEN SER ADOPTADAS PARA SU CUMPLIMIENTO POR LAS EMPRESAS.<\/strong><\/span><\/p>\n El pr\u00f3ximo 25 de mayo de 2018 entra en vigor el nuevo Reglamento General de Protecci\u00f3n de Datos (RGPD)<\/strong>, normativa que va a suponer cambios en las obligaciones vigentes establecidas por la Ley Org\u00e1nica de Protecci\u00f3n de Datos.<\/p>\n El RGPD se aplicar\u00e1, como hasta ahora, a las empresas que procesan datos personales de residentes en la UE y que est\u00e9n establecidas en la UE.<\/p>\n INTRODUCCI\u00d3N.- RESUMEN DE LOS ASPECTOS FUNDAMENTALES DEL REGLAMENTO<\/span><\/p>\n I.- \u00bfA QU\u00c9 TIPO DE DATOS HACE REFERENCIA EL NUEVO RGPD?<\/span><\/p>\n II.- EL CONSENTIMIENTO DEL INTERESADO PARA TRATAR SUS DATOS PERSONALES.<\/span><\/p>\n III.- PRINCIPALES ACTORES QUE INTERVIENEN EN EL TRATAMIENTO DE DATOS EN LA EMPRESA.<\/span><\/p>\n IV.- EL REGISTRO DE LAS ACTIVIDADES DE TRATAMIENTO DE DATOS OBTENIDOS.<\/span><\/p>\n V.- EL NUEVO R\u00c9GIMEN SANCIONADOR PREVISTO EN EL RGPD.<\/span><\/p>\n ANEXO 1: EJEMPLOS DE CLAUSULAS INFORMATIVAS<\/span><\/p>\n ANEXO 2: CONTENIDO DEL REGISTRO DE ACTIVIDADES DE TRATAMIENTO.<\/span><\/p>\n ANEXO 3: DONDE OBTENER M\u00c1S INFORMACI\u00d3N Y HERRAMIENTAS PARA APLICAR EL REGLAMENTO EN LA EMPRESA.<\/span><\/p>\n Se enumeran a continuaci\u00f3n brevemente, las principales novedades y obligaciones que incorpora el nuevo Reglamento.<\/span><\/p>\n 1\u00ba.- Establece que no ser\u00e1 suficiente adoptar una serie de medidas de prevenci\u00f3n, sino que las empresas deben estar en condiciones de poder demostrar que esas medidas cumplen con el Reglamento y son verdaderamente eficaces (responsabilidad proactiva).<\/span><\/p>\n 2\u00ba.- No es posible tratar datos bajo la f\u00f3rmula del consentimiento t\u00e1cito (silencio, casillas ya marcadas, inacci\u00f3n del afectado). Se requiere una manifestaci\u00f3n de voluntad inequ\u00edvoca y para cada uno de los fines del tratamiento.<\/span><\/p>\n 3\u00ba.- Si se pretende realizar un tratamiento ulterior para un fin distinto, que no sea aquel para el que se recogieron los datos, se deber\u00e1 previamente informar al interesado.<\/span><\/p>\n 4\u00ba.- Las medidas t\u00e9cnicas y organizativas a adoptar ya no se clasifican por niveles de seguridad, sino que ser\u00e1 el Responsable del tratamiento quien \u201cdise\u00f1e\u201d las mismas en atenci\u00f3n al estado de la t\u00e9cnica, coste, tipo de datos, naturaleza, \u00e1mbito, contexto y fines del tratamiento y los riesgos concretos que en su actividad y organizaci\u00f3n puedan existir para los derechos y libertades de las personas.<\/span><\/p>\n 5\u00ba.- La Empresa deber\u00e1 contar con un registro de las actividades de tratamiento.<\/span><\/p>\n 6\u00ba.- En el supuesto de que el tratamiento entra\u00f1e un elevado riesgo para los derechos y libertades de las personas, y en determinados supuestos (tratamientos de datos a gran escala, elaboraci\u00f3n de perfiles personales automatizado, etc.), ser\u00e1 obligatorio realizar una evaluaci\u00f3n de impacto antes de iniciar el tratamiento.<\/span><\/p>\n 7\u00ba.- Obligatoriedad en determinados supuestos de designar y contar con los servicios de un Delegado de Protecci\u00f3n de Datos o DPO (por sus siglas en ingl\u00e9s Data Protection Officer).<\/span><\/p>\n El RGPD se centra en los datos de personas f\u00edsicas,<\/strong> que se clasifican en dos categor\u00edas:<\/span><\/p>\n A) Datos personales:<\/strong> Toda informaci\u00f3n sobre una persona f\u00edsica identificada o identificable (\u00abel interesado\u00bb). Se considerar\u00e1 persona f\u00edsica identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante un identificador, como por ejemplo:<\/span><\/p>\n \u2022 Nombre y apellidos.<\/span><\/p>\n \u2022 N\u00famero de identificaci\u00f3n.\u00a0 \u00a0 \u00a0 \u00a0<\/span><\/p>\n \u2022 Datos de localizaci\u00f3n.<\/span><\/p>\n \u2022 Un identificador online.<\/span><\/p>\n \u2022 Uno o varios elementos propios de la identidad f\u00edsica, fisiol\u00f3gica, gen\u00e9tica, ps\u00edquica, econ\u00f3mica, cultural o social de dicha persona.<\/span><\/p>\n B) Datos personales sensibles:<\/strong> El Reglamento establece categor\u00edas especiales de datos, mencionando lo que considera como datos sensibles que exigen una protecci\u00f3n especial:<\/span><\/p>\n <\/p>\n El nuevo RGPD ha introducido algunas novedades respecto al consentimiento. En concreto destaca la introducci\u00f3n del car\u00e1cter inequ\u00edvoco del consentimiento, lo que implica que para obtenerlo se requiera una declaraci\u00f3n o acci\u00f3n afirmativa por parte del interesado.<\/span><\/p>\n Seg\u00fan la definici\u00f3n contenida en el propio Reglamento:<\/strong><\/span><\/p>\n \u201cEl consentimiento es toda manifestaci\u00f3n de voluntad libre, espec\u00edfica, informada e inequ\u00edvoca por la que el interesado acepta, ya sea mediante una declaraci\u00f3n o una clara acci\u00f3n afirmativa, el tratamiento de datos personales que le conciernen.\u201d<\/span><\/p>\n El Reglamento a\u00f1ade expresamente el elemento inequ\u00edvoco con respecto a la regulaci\u00f3n anterior, exige que el interesado acepte el tratamiento de sus datos personales a trav\u00e9s de una declaraci\u00f3n o una clara acci\u00f3n afirmativa, que puede ser realizada por medios electr\u00f3nicos o por escrito.<\/span><\/p>\n Este consentimiento debe obtenerse de manera independiente al hecho de celebrar un contrato, o al hecho de aceptar los t\u00e9rminos y condiciones generales aplicables a un servicio que se contrate.<\/span><\/p>\n Por tanto, y esto es importante, el silencio, introducir en formularios casillas que ya aparecen marcadas o la mera inacci\u00f3n del interesado en cl\u00e1usulas de estilo como: “Si en el plazo de 5 d\u00edas no se manifiesta oposici\u00f3n, se entender\u00e1 que se acepta el tratamiento de los datos facilitados”, no supone bajo ninguna circunstancia prestar consentimiento. Es decir, el consentimiento t\u00e1cito no ser\u00e1 v\u00e1lido a partir del 25 de mayo de 2018.<\/span><\/p>\n El silencio, las casillas ya marcadas o la inacci\u00f3n NO constituir\u00e1n prueba de consentimiento (Considerando 32 del GDPR).<\/strong><\/span><\/p>\n \u00bfHay que obtener el consentimiento expl\u00edcito de clientes ya existentes seg\u00fan el nuevo GDPR?<\/span><\/strong><\/span><\/p>\n \u00bfcomo se regulan los consentimientos de nuestros clientes o usuarios\u00a0que fueron obtenidos con anterioridad\u00a0a la entrada en vigor del nuevo Reglamento?.<\/span><\/p>\n En este sentido, el nuevo GDPR es tajante: si el consentimiento no se encontraba claramente identificado o se bas\u00f3 en formas t\u00e1citas o por omisi\u00f3n,\u00a0deber\u00e1 volverse a solicitar.<\/strong><\/span><\/p>\n Habr\u00e1 que tenerlo muy en cuenta, porque el tratamiento de datos sin el consentimiento de los usuarios se entiende como una infracci\u00f3n muy grave seg\u00fan el nuevo reglamento.<\/span><\/p>\n La opci\u00f3n que recomendamos es volver a solicitar el consentimiento de clientes y de proveedores de forma expresa, bien mediante el env\u00edo de un formulario al efecto por email para que se firme y se devuelva, bien en los supuestos de formularios online en las p\u00e1ginas web, introduciendo un link a tales efectos.<\/span><\/p>\n En este marco es recomendable que el cliente o proveedor firme el formulario prestando consentimiento con su FIRMA ELECTR\u00d3NICA<\/strong><\/span> en el documento.<\/span><\/p>\n Si la firma es manuscrita<\/strong><\/span>, debe constar la fecha en la que se prest\u00f3 el consentimiento<\/strong>.<\/span><\/p>\n Es muy importante guardar y conservar esta aceptaci\u00f3n expresa en un registro, de manera que en cualquier momento y a requerimiento de la Agencia de Protecci\u00f3n de Datos se pueda demostrar que la Empresa dispone de los consentimientos emitidos.<\/span><\/p>\n \u00bfQu\u00e9 informaci\u00f3n hay que ofrecer a nuestros clientes o proveedores cuando solicitemos su consentimiento para tratar sus datos<\/span>?<\/span><\/strong><\/p>\n El nuevo Reglamento exige la obligaci\u00f3n de informar a los interesados sobre los siguientes aspectos:<\/strong><\/span><\/p>\n 1. La finalidad del tratamiento de los datos facilitados u obtenidos.<\/span><\/p>\n 2. La identidad y datos de contacto del responsable del tratamiento o encargo en su caso.<\/span><\/p>\n 3. Los derechos de los interesados y la forma en la cual se pueden ejercitar.<\/span><\/p>\n 4.- La existencia de una relaci\u00f3n mercantil o contractual entre la Empresa y sus clientes, proveedores, etc.<\/span><\/p>\n 6. El plazo que se corresponder\u00e1 con la duraci\u00f3n de la relaci\u00f3n contractual o mercantil entre las partes.<\/span><\/p>\n 7. El derecho a presentar una reclamaci\u00f3n ante las autoridades de control.<\/span><\/p>\n La revocaci\u00f3n del consentimiento<\/strong><\/span><\/span><\/p>\n El nuevo RGPD establece el derecho del interesado a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectar\u00e1 a la licitud del tratamiento basada en el consentimiento previo a su retirada.<\/span><\/p>\n Lo importante para cumplir con el nuevo Reglamento es que debe ser tan f\u00e1cil retirar el consentimiento como darlo. Por ello, la Empresa tambi\u00e9n deben poner a disposici\u00f3n de sus clientes mecanismos para revocar f\u00e1cilmente su consentimiento, e informar adem\u00e1s sobre dichos mecanismos, por ejemplo un breve formulario que pueda ser firmado mediante firma digital y remitido a una direcci\u00f3n de correo electr\u00f3nico de la Empresa.<\/span><\/p>\n \u00a0 \u00a0 \u00a0\u00a0 Acreditaci\u00f3n del Consentimiento<\/strong><\/span>\u00a0<\/strong><\/span>\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0<\/strong><\/p>\n Debemos tener presente que, en caso de tener que acreditar que el consentimiento se ha obtenido conforme al Reglamento, se debe poder demostrar fehacientemente que el consentimiento fue prestado de manera l\u00edcita y con los requisitos exigidos por el RGPD. Para ello, es necesario poder responder y acreditar las siguientes cuestiones o preguntas:<\/span><\/p>\n \u2022 \u00bfQui\u00e9n otorg\u00f3 el consentimiento?<\/span><\/p>\n \u2022 \u00bfCu\u00e1ndo y c\u00f3mo se otorg\u00f3 el consentimiento?<\/span><\/p>\n \u2022 \u00bfQu\u00e9 informaci\u00f3n recibi\u00f3 el interesado en el momento de otorgar el consentimiento?<\/span><\/p>\n Se adjunta un ANEXO donde se incluyen ejemplos de clausulas a introducir en los documentos de la empresa en relaci\u00f3n con los clientes, potenciales clientes y proveedores.<\/span><\/em><\/p>\n <\/p>\n El Reglamento General Protecci\u00f3n Datos (RGPD) determina la intervenci\u00f3n de diferentes personas en el tratamiento y en la responsabilidad relativa a los datos de car\u00e1cter personal que se obtengan. A continuaci\u00f3n se hace un breve resumen de cada una de tales personas y su \u00e1mbito de actuaci\u00f3n.<\/span><\/p>\n Todos ellos son considerados responsables de la aplicaci\u00f3n del RGPD en sus respectivos \u00e1mbitos de actuaci\u00f3n:<\/span><\/p>\n A) El\u00a0RESPONSABLE DEL FICHERO<\/strong>\u00a0o del tratamiento es la persona f\u00edsica o jur\u00eddica que decide sobre el tratamiento de los datos; lo que va hacer con ellos. Por ejemplo, si los va a conservar, los va a ceder o los va a eliminar.<\/span><\/p>\n B) El\u00a0ENCARGADO DEL TRATAMIENTO<\/strong>, es la persona f\u00edsica o jur\u00eddica que trata datos personales\u00a0por cuenta del responsable del fichero, como consecuencia de la existencia de una relaci\u00f3n contractual que le vincula con el mismo. (por ejemplo, una asesor\u00eda de protecci\u00f3n de datos, una mutua prevenci\u00f3n de riesgos, etc.).<\/span><\/p>\n No existe ning\u00fan impedimento en que el responsable y el encargado sean la misma persona. Cuando se encarga a un tercero la realizaci\u00f3n del tratamiento, la relaci\u00f3n deber\u00e1 estar regulada en un contrato por escrito en el que consten las obligaciones concretas que asume.<\/span><\/p>\n Entre sus obligaciones destacan como principales<\/strong> las siguientes:<\/span><\/p>\n a)\u00a0 Se deber\u00e1 realizar una valoraci\u00f3n y an\u00e1lisis del riesgo<\/strong> de los tratamientos que se realicen y que deber\u00e1 constar en un documento interno de la Empresa.<\/span><\/p>\n b)\u00a0 Deber\u00e1n determinar las medidas de seguridad<\/strong> aplicables a los tratamientos que realicen.<\/span><\/p>\n c)\u00a0\u00a0 Se deber\u00e1 establecer una pol\u00edtica interna de protecci\u00f3n de datos<\/strong>, que deber\u00e1 ser conocida por todos los trabajadores debiendo probarse dicho conocimiento.<\/span><\/p>\n d)\u00a0 Instauraci\u00f3n de pol\u00edticas de obtenci\u00f3n y tratamiento de los m\u00ednimos datos posibles<\/strong>.<\/span><\/p>\n e)\u00a0 Notificaci\u00f3n de \u201cviolaciones de seguridad de los datos\u201d o \u201cquiebras de seguridad\u201d.<\/strong> Esto incluye todo incidente que ocasione destrucci\u00f3n, p\u00e9rdida o alteraci\u00f3n accidental o il\u00edcita de datos personales.<\/span><\/p>\n C) El DELEGADO DE PROTECCI\u00d3N DE DATOS<\/u><\/strong>, por sus siglas DPD, es una figura nueva que ha sido introducida por el RGPD, y asume competencias en materia de coordinaci\u00f3n y control del cumplimiento de la normativa<\/strong> en materia de protecci\u00f3n de datos.<\/span><\/p>\n \u00a0\u00a0\u00a0\u00a0\u00a0 <\/strong>Esta figura no es obligatoria para todas las organizaciones<\/u>: <\/strong>solo tendr\u00e1n que contar con un delegado: a) las empresas p\u00fablicas, b) las que tengan un tratamiento de datos a gran escala<\/u> y c) las que recojan datos especialmente sensibles o relativos a condenas o infracciones penales<\/u>.<\/strong><\/span><\/p>\n \u00a0\u00a0\u00a0\u00a0\u00a0 El Delegado puede elegirse de entre personal existente en la organizaci\u00f3n del responsable de los Datos<\/u> o cumplir las tareas propias de esta figura a trav\u00e9s de un contrato de servicios con un tercero (persona f\u00edsica o jur\u00eddica)<\/u>.<\/span><\/p>\n <\/p>\n La AEPD (Agencia Espa\u00f1ola de Protecci\u00f3n de Datos) define el Tratamiento de datos como:\u00a0cualquier operaci\u00f3n o procedimiento t\u00e9cnico, sea o no automatizado, que implique la recogida, grabaci\u00f3n, conservaci\u00f3n, elaboraci\u00f3n, modificaci\u00f3n, consulta, utilizaci\u00f3n, bloqueo, modificaci\u00f3n, o cancelaci\u00f3n, as\u00ed como las cesiones de datos que resulten de comunicaciones, consultas, etc.<\/span><\/p>\n El Reglamento establece que cada Responsable o, en su caso el Encargado, llevar\u00e1n un REGISTRO de las actividades de tratamiento de datos<\/strong> recabados efectuadas bajo su responsabilidad.<\/span><\/p>\n El REGISTRO se define como<\/span>: El documento, bien en formato papel o formato inform\u00e1tico, en el cual se describe: qu\u00e9 datos recogen por la empresa, con qu\u00e9 fin son tratados o usados, a qui\u00e9n se les comunica, si se transfieren a terceros pa\u00edses, qu\u00e9 medidas t\u00e9cnicas y organizativas aplica la Empresa para preservar su seguridad, y cu\u00e1ndo se prev\u00e9 podr\u00e1n ser suprimidos por el Responsable de su tratamiento.<\/span><\/p>\n \u00bfQui\u00e9n est\u00e1 obligado a realizar el Registro de Actividades de Tratamiento de los Datos?<\/span><\/p>\n Dicha obligaci\u00f3n corresponde tanto al Responsable del fichero como al\u00a0Encargado del tratamiento (si fuera una persona diferente). Sin embargo, el RGPD no obliga a cualquier responsable o encargado a realizar ese Registro de actividades de tratamiento si no que establece unos requisitos<\/span>:<\/span><\/p>\n 1.<\/strong> La empresa u organizaci\u00f3n tenga\u00a0m\u00e1s de 250 empleados.<\/span><\/p>\n 2.<\/strong>Se realicen tratamientos que puedan entra\u00f1ar un\u00a0riesgo para los derechos y libertades\u00a0de los interesados, no sean ocasionales, o incluyan\u00a0categor\u00edas especiales de datos\u00a0personales.<\/span><\/p>\n 3.\u00a0<\/strong> Se realice un tratamiento de datos personales relativos a\u00a0condenas e infracciones penales.<\/span><\/p>\n No obstante lo anterior y sin perjuicio de que la Empresa no se encuentre entre las obligadas, hay que decir que se trata de una pr\u00e1ctica\u00a0muy recomendable y una herramienta que va a permitir tanto al Responsable o encargado del tratamiento demostrar el cumplimiento de la normativa<\/strong>, ya que, recordemos, el RGPD trae como novedad el\u00a0principio de responsabilidad proactiva, por el cual, el responsable del tratamiento no solo deber\u00e1 cumplir con la normativa, sino que deber\u00e1 ser capaz de demostrarlo si as\u00ed se lo requiere la Autoridad competente en materia de Protecci\u00f3n de Datos.<\/span><\/p>\n Finalizamos el documento haciendo menci\u00f3n al nuevo r\u00e9gimen de sanciones que contempla el Reglamento, indicar que establecen unas sanciones con cuant\u00edas mucho m\u00e1s elevadas que las dispuestas en la anterior normativa con la LOPD.<\/span><\/p>\n Estas sanciones INDICE DEL DOCUMENTO<\/strong><\/span><\/h3>\n
INTRODUCCI\u00d3N<\/span><\/strong><\/span><\/span><\/h3>\n
RESUMEN DE LOS ASPECTOS FUNDAMENTALES DEL REGLAMENTO:<\/strong><\/span><\/h3>\n
![\"\"](\"http:\/\/bufeteperezalfonso.com\/wp-content\/uploads\/foto-4-150x150.jpg\")
<\/p>\nI.- \u00bfA QU\u00c9 TIPO DE DATOS HACE REFERENCIA EL NUEVO RGPD?<\/span><\/strong><\/span><\/h3>\n
\n
![\"\"](\"http:\/\/bufeteperezalfonso.com\/wp-content\/uploads\/foto-9-150x150.jpg\")
II.- EL CONSENTIMIENTO DEL INTERESADO PARA TRATAR SUS DATOS PERSONALES.<\/span><\/strong><\/h3>\n![\"\"](\"http:\/\/bufeteperezalfonso.com\/wp-content\/uploads\/images-2-150x150.jpg\")
<\/p>\n![\"\"](\"http:\/\/bufeteperezalfonso.com\/wp-content\/uploads\/foto-2-150x150.jpg\")
III.-PRINCIPALES ACTORES QUE INTERVIENEN EN EL TRATAMIENTO DE DATOS EN LA EMPRESA.<\/strong><\/span><\/h3>\n![\"\"](\"http:\/\/bufeteperezalfonso.com\/wp-content\/uploads\/foto-10-150x150.jpg\")
IV.- EL REGISTRO DE LAS ACTIVIDADES DE TRATAMIENTO DE DATOS OBTENIDOS<\/strong><\/span><\/h3>\n![\"\"](\"http:\/\/bufeteperezalfonso.com\/wp-content\/uploads\/images-150x150.png\")
<\/strong><\/span><\/h3>\n\u00a0V.- EL NUEVO R\u00c9GIMEN SANCIONADOR PREVISTO EN EL RGPD.<\/strong><\/span><\/h3>\n