Cómo cambia el Reglamento General de Protección de Datos?

Las nuevas medidas de seguridad quieren garantizar la integridad de la información, permitir la recuperación en caso de incidentes y evitar los accesos no autorizados

Los usuarios tienen que ser avisados siempre que se recojan datos en su navegación
Los usuarios tienen que ser avisados siempre que se recojan datos en su navegación

Menos de 30 días porque ya sea aplicable el Reglamento General de Protección de Datos. Y muchas empresas se preguntan "por donde empezar?". La Agencia de Protección de Datos ha publicado una serie de guías porque las empresas puedan adaptarse a la nueva normativa. La misma Agencia diferencia entre las compañías y organizaciones que tratan datos personales de mayor riesgo y las entidades de menor tamaño y con tratamientos de poca complejidad. Las empresas, por lo tanto, tendrán que llevar a cabo un análisis sobre las implicaciones de los tratamientos en los derechos y libertades de los interesados.

Este análisis se puede resumir en las cuestiones que la Agencia nos recomienda que contestamos después de un análisis de nuestra organización. Cuanto mayor sea el número de respuestas afirmativas mayor sería el riesgo que podría derivarse del tratamiento. Si la respuesta a estas preguntas y otras del mismo tipo fuera negativa, es razonable concluir que la organización no realiza tratamientos que generan un elevado nivel de riesgo y que, por lo tanto, no tiene que poner en marcha las medidas previstas para esos casos.

Más info: La llei que pot canviar internet

Por ejemplo: se tratan datos sensibles? Se incluyen datos de una gran cantidad de personas? Incluye el tratamiento la elaboración de perfiles? Se cruzan los datos obtenidos de los interesados con otros disponibles en otras fuentes? Se pretende utilizar los datos obtenidos para una finalidad para otro tipo de finalidades? Se están tratando grandes cantidades de datos, incluido con técnicas de análisis masivo tipo big fecha? Se utilizan tecnologías especialmente invasivas para la privacidad, como las relativas a geolocalizació, videovigilància a gran escala o ciertas aplicaciones de la internet de las cosas? Y como tienen que entonces adaptarse al RGPD este tipos de empresas?

Auditoría o verificación simplificada

Los responsables que realizan un número limitado de tratamientos que probablemente presentan un bajo nivel de riesgo para los derechos y libertades de los interesados, podrán simplificar la valoración de los aspectos relevantes a la hora de determinar que están en condiciones de aplicar adecuadamente el RGPD.

Estos responsables serán en muchos casos pymes o micropymes, aunque también pueden incluirse entre ellos organizaciones de mayor tamaño. El elemento realmente decisivo es el tipo de tratamientos que lleven a cabo.

Empresas que realizan tratamientos básicos sobre los datos de sus empleados, clientes y proveedores, o comunidades de copropietarios que hagan tratamientos limitados a la gestión de las tareas propias de la comunidad, se encontrarían entre ellos.

Ejercicio de derechos de los interesados

El responsable tiene que prever mecanismos para facilitar el ejercicio de derechos y la respuesta a las solicitudes. Establecer una dirección de correo electrónico específica que sea operativa y que permita identificar a los interesados y atribuir a una persona de la organización que se responsabilizo de tramitar todas las solicitudes que eventualmente se reciben.

Identificación de medidas de seguridad

Las medidas de seguridad tienen como finalidades principales garantizar la integridad de la información, permitir su recuperación en caso de incidentes y evitar los accesos no autorizados a las mismas. Los tratamientos que implican un bajo riesgo para los derechos o libertades de los interesados no requerirían, en principio, medidas de seguridad más complejas que las que actualmente establece el Reglamento de Desarrollo de la LOPD para el nivel básico.

Verificación de las relaciones con los encargados de tratamiento

La empresa tiene que verificar que los contratos por encargo de tratamiento con prestamistas de servicios incluye todos los aspectos que establece el RGPD, especialmente en cuanto a que el encargado sólo tratará los datos para las finalidades que le encomiendo el responsable, que aplicará las medidas de seguridad adecuadas y que mantendrá estricta confidencialidad sobre la información tratada. En algunos casos, el modelo de contrato será ofrecido por el prestamista.

Sanciones del Reglamento General de Protección de Datos

20.000.000 euros como máximo, una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, tratándose de una empresa.

Más Información
"Internet nos ha permitido acumular datos que no hemos sabido procesar"
Cómo afecta a las empresas el nuevo reglamento de protección de datos?
Juegan con nuestros datos?
Hoy Destacamos
Comentarios