Entradas

Paz Martin

10 cosas que tienes que saber de la nueva Ley Orgánica de Protección de Datos y de garantía de los derechos digitales

/en , /por

El 7 de diciembre de 2018 ha entrado en vigor la esperada nueva Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos Personales y garantía de derechos digitales.

En una primera lectura (cuyo contenido ya conocíamos en parte por los proyectos que hemos ido manejando) sobra una buena parte de la ley al remitir en muchos artículos a lo que dice el Reglamento (UE) 2016/679 General de Protección de Datos si bien en la exposición de motivos, se justifica por razones de coherencia.

Como sabemos el RGPD es directamente aplicable y sólo en aquellos puntos que remite al desarrollo de los estados miembros es en lo que se tenía que haber metido la Ley. No obstante, al ser redundante en muchos puntos, no molesta. Peor sería que contradijese el RGPD.

Sin ánimo de ser exhaustivos y en una primera lectura destacamos algunos puntos importantes (ojo que no están todos). En futuros posts desarrollaremos algunos artículos que consideramos lo suficientemente relevantes como para dedicarles un capítulo aparte.

Aquí nuestro decálogo:

1.- No sólo regula el derecho a la privacidad

Una de las cuestiones que más llama la atención es que además de regular el derecho fundamental a la protección de datos, se dedica un capítulo entero a los llamados derechos digitales, algo completamente novedoso y que desde luego darán que hablar en su aplicación práctica.

No obstante, esta Ley tiene una función fundamental: adaptar el ordenamiento jurídico patrio al RGPD. La mayor parte de los artículos y las disposiciones adiciones tienen este cometido.

2.- El tratamiento de datos de los menores de edad

Aquí uno de los puntos en los que el RGPD deja plena libertad a los estados miembros para que entre los 13 y los 16 años fijen la edad a partir de la cual los menores pueden dar su consentimiento sin la intervención de sus padres o tutores.

La edad fijada es de 14 años: nos quedamos como estábamos (y en el fondo lo agradecemos especialmente tras las tentativas de bajarlo a 13 en las redacciones iniciales).

3.- El tratamiento de los datos de contacto, empresarios individuales y profesionales liberales

A este tema dedicamos un post anterior. Que sí. Que sí se pueden utilizar estos datos con base al interés legítimo del responsable pero sólo para contactar con estos destinatarios como contactos de una persona jurídica o en su calidad de profesionales.

Este artículo aclara el RGPD en este punto que para el día a día de las empresas es vital. Ojo, que una cosa es el tratamiento de datos y otra es la publicidad comercial por medios electrónicos… (aquí entra en juego la LSSI. No mezclemos).

4.- Sistemas de información de denuncias internas

Otro punto interesante por cuanto tras la reforma del Código Penal en el año 2015 se “bendicen” los sistemas de prevención de riesgos penales (“compliance” para los amigos) que incluyen canales para comunicar infracciones y otras conductas. Hasta la fecha (aunque se había hecho la vista gorda) en España no se admitían las denuncias anónimas en dichos canales de denuncia internos, criterio de nuestra Agencia Española de Protección de Datos que contradecía lo que el entonces Grupo de Trabajo del Artículo 29 admitía en supuestos excepcionales en los que no se pudiera garantizar la confidencialidad.

Al tratarse de tratamientos de datos específicos, el artículo 24 los regula.

Ojo, que además establece un plazo de conservación de TRES MESES tras los cuales deben suprimirse salvo que la finalidad sea dejar evidencia del funcionamiento del modelo de prevención de riesgos penales. En tal caso, las denuncias a las que no se haya dado curso deberán ser anonimizadas.

5.- Otros tratamientos

Se dedican artículos específicos a los sistemas de información crediticia, los tratamientos relacionados con la realización de determinadas operaciones mercantiles, tratamientos con fines de videovigilancia, sistemas de exclusión publicitaria, tratamientos de datos en el ámbito de la función estadística pública, tratamiento de datos con fines de archivo en interés público por parte de las administraciones públicas y los tratamientos de datos relativos a infracciones y sanciones administrativas.

Iremos desarrollando estos tratamientos por las peculiaridades que presentan.

6.- El Delegado de protección de datos

El Delegado de Protección de Datos (DPD o DPO), figura creada por el Reglamento General de Protección de Datos encuentra en esta Ley algunas respuestas:

– En qué casos concretos es obligatorio designar un DPO (por ejemplo colegios profesionales, los centros docentes, entidades aseguradoras y reaseguradoras, y un largo etc que desarrolla el artículo 34.

– Si no se está obligado pero se designa se considerará como una buena práctica y en caso de procedimiento sancionador, será tenido en cuenta para minorar en su caso la posible sanción.

– Se matizan algunas funciones del Delegado de Protección de Datos como la facultad de inspeccionar los procedimientos relacionados con la ley y emitir, recomendaciones, servir de paso previo a la reclamación ante la Agencia Española de Protección de Datos y por supuesto servir de interlocutor con la Agencia.

7.- La obligación de bloqueo

Una novedad de esta Ley Orgánica y que no contempla el RGPD es la de bloquear los datos cuando se proceda a su rectificación o supresión. El bloqueo consiste en identificar los datos, reservar los mismos con las medidas de seguridad correspondientes para impedir su tratamiento (incluyendo la visualización) excepto para ponerlos a disposición de las Administraciones Públicas, jueces y tribunales etc y sólo durante el plazo de prescripción de las obligaciones.

Con lo cual, aunque se solicite la rectificación o la supresión de los datos, no podremos eliminarlos directamente hasta que prescriba el plazo de prescripción para cumplir con las obligaciones legales. Esos datos no se podrán utilizar por nadie.

8.- Las infracciones

Por fin tenemos un catálogo de infracciones que nos dan pistas de los incumplimientos sancionables. La lista es larga y bastante exhaustiva.

Por decirlo de una forma directa, todo lo que no se cumpla o haga bien es sancionable. Si hacemos una lectura al revés de las infracciones nos sale un catálogo de obligaciones (incluso, por qué no, un check list) que se parece bastante al listado de cumplimiento normativo publicado por la Agencia Española de Protección de Datos hace unos meses.

Las infracciones se clasifican en muy graves, graves y leves.

También se establecen unos plazos de prescripción que curiosamente se supeditan a cuantías lo cual no significa que esas cantidades se vinculen a la gravedad.

9.- Los derechos digitales

Aunque sin categoría de derechos fundamentales, el legislador ha aprovechado la coyuntura para definir los nuevos derechos de las personas en su relación con los entornos digitales: derechos como el de la desconexión, el límite en los entornos laborales, de videovigilancia, en la geolocalización, derechos de los menores, etc.

Lo verdaderamente interesante de estos derechos será cómo van a encontrar su aplicación práctica y cómo los ciudadanos podremos hacerlos valer y cumplir.

10.- Modificación de algunas normas

La nueva LOPD modifica diferentes normas que regulan tratamientos de datos específicos y que hacían referencia a la antigua LOPD (la LO 15/1999):

  • Ley Orgánica 5/1985, de 19 de junio del Régimen Electoral General
  • Ley Orgánica 1/1985, de 1 de julio de, del Poder Judicial
  • Ley 14/1986, de 25 de abril, General de Sanidad
  • Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa
  • Ley 1/2000, de 7 de enero de Enjuiciamiento civil
  • Ley Orgánica 6/2001, de 21 de diciembre de Universidades
  • Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica
  • Ley Orgánica 2/2006, de 3 de mayo de Educación
  • Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno
  • Ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas
  • Estatuto de los Trabajadores aprobado por Real Decreto Legislativo 2/2015 de 23 de octubre
  • Estatuto Básico del Empleado Público aprobado por Real Decreto Legislativo 5/2015 de 30 de octubre

Este es nuestro modesto resumen en el que nos hemos dejado aspectos polémicos sobre el posible uso que los partidos políticos pueden hacer de los datos u otros interesantes como el uso de los datos con fines de investigación.

De ellos hablaremos en futuros artículos.

En estas fechas, además de los dulces navideños, que no se nos atragante la nueva legislación.

18 de diciembre de 2018

Paz Martín

#losdetallesimportan

Paz Martin

Se publica la nueva Ley Orgánica de Protección de Datos y garantía de los derechos digitales

/en /por

Hoy 6 de diciembre, día en que se celebra el 40 Aniversario de la Constitución, tenemos el placer de anunciar la publicación en el BOE de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

La esperada nueva LOPD desarrolla aquellos aspectos del Reglamento General de Protección de Datos que entró en funcionamiento el pasado 25 de mayo e incorpora además nuevos derechos en el entorno digital.

6 de diciembre de 2018

Paz Martin

Las tarjetas de visita y el RGPD

/en /por
O de cómo el RGPD no se carga las tarjetas comerciales.

Pregunta recurrente: ¿ya no podremos entregar tarjetas de visita comerciales en las ferias o en los eventos profesionales? ¿Tendré que pedir un consentimiento con check-in o firmado para enviar información? ¿Qué haremos ahora?

La respuesta ha de ser rápida y sencilla: más o menos lo mismo.

Es decir, no es el fin de las tarjetas. Y la respuesta nos la da, entre otros, el artículo 19 del proyecto (en breve texto aprobado) de la nueva Ley Orgánica de Protección de Datos (y a lo mejor también de Derechos Digitales como título). También la Directiva de comercio electrónico que dio base a nuestra Ley 34/2002 de Servicios de la Sociedad de la Información y de comercio electrónico (la famosa LSSI).

Pero antes de entrar en materia pongamos sobre la mesa algo que si bien aparece en el Reglamento General de Protección de Datos (y por cierto, también en la normativa anterior) tenemos que explicar casi a diario. El consentimiento no es la única base jurídica que legitima un tratamiento de datos…

¿Qué significa esto?

Que a menudo tratamos datos y no es necesario pedir consentimiento: por ejemplo, para suscribir un contrato, por ejemplo, para poner una cámara de seguridad o por ejemplo, sin ir más lejos porque hay una ley que lo dice y son “lentejas”. Todos estos casos y algunos otros más están recogidos en el artículo 6 del RGPD, un artículo importante y que merece ser leído y releído por quienes se preguntan cosas como la que da título a este post.

Es decir, que si vamos a hacer un tratamiento de datos tenemos que tener claro por qué lo hacemos. Y ese por qué es la base jurídica que legitima el tratamiento. (El “porque me da la gana” no está definido como base, que conste).

¿Qué pasa con las personas de contacto de las personas jurídicas (p.e. El Director de tal empresa, su comercial o el administrativo a quien le tenemos que enviar las facturas….? ¿Tenemos que pedirle el consentimiento para contactar con ellos? La respuesta es no. Porque la base jurídica de esta relación no será el consentimiento sino el interés legítimo, ese agujero negro que casi nadie se atreve a traspasar pero que existe y no de ahora.

En una redacción inicial del proyecto de nueva Ley Orgánica de Protección de Datos apareció el artículo para regocijo de los profesionales que agradecemos claridad en este tipo de cuestiones. Posteriormente desapareció y en las últimas redacciones ha vuelto a aparecer.

Transcribimos a continuación para no dejarnos nada:

Artículo 19. Tratamiento de datos de contacto, de empresarios individuales y de profesionales liberales.

1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el artículo 6.1 f) del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto y en su caso los relativos a la función o puesto desempeñado de las personas físicas que presten servicios en una persona jurídica siempre que se cumplan los siguientes requisitos:
a) Que el tratamiento se refiera únicamente a los datos necesarios para su localización profesional.
b) Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus servicios.

2. La misma presunción operará para el tratamiento de los datos relativos a los empresarios individuales y a los profesionales liberales, cuando se refieran a ellos únicamente en dicha condición y no se traten para entablar una relación con los mismos como personas físicas.
3 (nuevo). Los responsables o encargados del tratamiento a los que se refiere el artículo 77.1 de esta ley orgánica podrán también tratar los datos mencionados en los dos apartados anteriores cuando ello se derive de una obligación legal o sea necesario para el ejercicio de sus competencias.

Como el interés legítimo (artículo 6.1.f) del RGPD) no es una base de legitimación absoluta (no en vano ya existía la prueba de sopesamiento), se somete, en este caso, a dos requisitos:

  • que el tratamiento se ciña a los datos necesarios para la localización (p.e. Email, teléfono, dirección) y
  • que la finalidad sea la de mantener relaciones de cualquier índole con la persona jurídica.

Es decir, que si como abogado me quiero dirigir al Director de una empresa para ofrecerle mis servicios y tengo su teléfono o su email no le pediré consentimiento sino que basaré el tratamiento en mi interés legitimo como responsable de dicho tratamiento.

Lo que no podré hacer es “machacarle” directamente a publicidad o a newsletter porque, aquí sí, entra en juego no tanto la legislación sobre protección de datos sino la famosa Ley de Comercio Electrónico (LSSI y próximamente el Reglamento e-privacy actualmente en el horno) que dice que no puedo enviar información comercial a quien no haya consentido salvo que exista una relación previa (p.e. Que sea un cliente).

Pero hablamos de publicidad, no de enviar un email de presentación, o una invitación a un evento o unas tarifas… A ver si vamos a ser más papistas que el papa. No está de más recordar aquí que la Directiva de comercio electrónico ya decía que No se consideran comunicaciones comerciales en sí mismas las siguientes:

a)  los datos que permiten acceder directamente a la actividad de dicha empresa, organización o persona y, concretamente el nombre de dominio o la dirección de correo electrónico,
b) las comunicaciones relativas a los bienes, servicios o a la imagen de dicha empresa, organización o persona, elaboradas de forma independiente de ella, en particular cuando estos se realizan sin contrapartida económica.

Hemos abordado el interés legítimo… pero acaso no es un consentimiento explícito entregar una tarjeta a una empresa, comercial o interlocutor que nos interesa? ¿No entra dentro de la definición de consentimiento como una «manifestación de voluntad libre, específica, informada e inequívoca» mediante una «clara acción afirmativa. ¿Podemos considerar vigente la Sentencia de la Audiencia Nacional de 17 de mayo de 2007 que afirmó: «Es de reseñar, frente a lo señalado en la resolución recurrida, que la entrega por una persona de una tarjeta de visita en la que consta su dirección de correo electrónico, en un contexto como es la feria del SIMO, a la que para promocionar su producto acudió el denunciado, con el que contactó la persona en cuestión por estar interesada en el mismo, impide que se pueda tener por acreditado a efectos sancionadores la falta del consentimiento. Además, con posterioridad se ha constatado la remisión de un email aludiendo a la conversación mantenida en dicha feria, lo que abona la conclusión de que, en el caso concreto atendiendo a las circunstancias existentes, existe un consentimiento previo o autorización expresa, que no es necesario que figure por escrito, para la remisión de una comunicación comercial relacionada con el producto promocionado en la citada feria.»?

Moraleja: sigamos utilizando tarjetas (ya en creciente desuso para dar paso a los contactos “electrónicos”), sigamos agradeciendo la visita al stand de la feria, sigamos contactando con las empresas y los profesionales pero… eso sí:

  • No pedir el consentimiento no significa que no informemos de lo que dispone el artículo 13 del RGPD. ¿Cuándo? Pues en ese primer email de cortesía por ejemplo. Algunos ya han colocado “atriles” con la cláusula de información a la vista en los propios stands… Es una idea..
  • Si queremos enviar información comercial de forma regular y en lo sucesivo, mejor pedir permiso pues el interés legítimo se nos quedaría un poquito corto en este caso aunque quién sabe…
  • El resto de las obligaciones del RGPD deberán cumplirse religiosamente.

El RGPD y la ahora nueva LOPD no han venido a fastidiar, han venido a dotar de garantías y de seguridad jurídica a las relaciones y a los tratamientos de datos.

Estamos ante un derecho fundamental que merece respeto y protección. Hacer interpretaciones sesgadas de la norma no beneficia a nadie. Seamos transparentes en los tratamientos y sigamos trabajando, vendiendo y entregando tarjetas, eso sí, cumpliendo la ley.

Paz Martin
#losdetallesimportan

Noviembre 2018

Paz Martin

EL RGPD en Portugal: LEGAL THINGS participa con una ponencia en una jornada organizada por LCG

/en /por

El Reglamento UE 2016/679 General de Protección de Datos (RGPD) es de directa aplicación en todos los estados miembros de la Unión Europea.

No todos los estados contaban con el mismo nivel de madurez en el cumplimiento de la normativa de protección de datos. Sin embargo, el RGPD ha obligado a todos los países a coger el mismo ritmo. O al menos a intentarlo.

Portugal no ha sido, hasta la fecha, uno de los estados punteros en cumplimiento pero el RGPD está obligando a que grandes y pequeñas empresas se adapten. También las propias autoridades están realizando un enorme esfuerzo por ofrecer soluciones y estructuras acordes con el RGPD.

En este marco, el pasado verano, nuestro despacho fue invitado por nuestros colegas portugueses especialistas en protección de datos LCG . Tuvimos la oportunidad de compartir con un nutrido auditorio nuestra experiencia y visión de cumplimiento como país vecino. Intentamos transmitir todo lo que se ha hecho y todo lo que se está haciendo y se va a hacer para que el cumplimiento del RGPD sea una realidad a todos los niveles. La jornada titulada «Desafios na Implementaçao do RGPD» contó con expertos nacionales de la empresa, la Universidad y de la propia Administración para abordar precisamente los desafíos que la nueva legislación nos ha planteado a todos los ciudadanos de la Unión Europea.

Particularmente nos llamó la atención el hecho de que exista una gran diferencia de cumplimiento entre las grandes compañías y corporaciones y las pymes y los profesionales. Estos últimos tendrán que hacer un doble esfuerzo: reflexionar sobre la privacidad y cumplir con el nuevo RGPD en Portugal. La Autoridad de Control de Protección de Datos en Portugal (Comissão Nacional de Protecção de Dados), ya está trabajando en acercar el RGPD a estos colectivos.

Evidentemente ya ha habilitado los canales obligatorios de notificar tanto los Delegados de Protección de Datos como las violaciones de seguridad.

 

Octubre 2018

 

Paz Martin

LEGAL THINGS ABOGADOS imparte formación sobre el RGPD en la Cámara de Comercio de Torrelavega

/en /por

Seguimos con nuestra apuesta por acercar el RGPD y la protección de datos a las empresas y profesionales explicando y «aterrizando» los conceptos para hacer posible su aplicación práctica

La nueva legislación de protección de datos –RGPD– necesita ser explicada y acercada a las empresas y profesionales que tratan datos personales.

El Reglamento UE 2016/679 General de Protección de Datos o RGPD entró en pleno funcionamiento el pasado 25 de mayo de 2018. Todos los que manejen datos de carácter personal están obligados a cumplirlo.

LEGAL THINGS ABOGADOS ha sido invitado  como despacho especializado, a impartir formación práctica sobre el RGPD en la Cámara de Comercio de Torrelavega en colaboración con SODERCAN.

Con un importante éxito de asistencia y presentada por el Director de la Cámara, durante una mañana nuestra Directora Paz Martín ha expuesto las nuevas obligaciones, los nuevos principios y los derechos que la nueva normativa (el RGPD) conlleva.

Los asistentes han actuado de forma participativa y muy interesados por la materia y se han repasado los aspectos más importantes que afectan sobre todo a empresas y profesionales de Torrelavega:

  • La nueva cultura de la privacidad y de la protección de la información.
  • La importancia de abordar la protección de los datos desde una perspectiva global: jurídica, técnica y organizativa.
  • La necesidad de involucrar a todas las áreas de negocio que manejen datos.
  • La formación del personal.
  • El enfoque desde el riesgo en la adopción de medidas de seguridad.
  • La transparencia en la información.

Estas iniciativas ponen de manifiesto el interés de la empresa cántabra en el cumplimiento y la importancia de acercan normas de esta envergadura al día a día de las actividades de las empresas.

Exponemos el programa y recordamos a nuestros seguidores que la formación a los empleados es una obligación que cualquier sistema de seguridad de la información establece para que el cumplimiento sea real y efectivo:

1.- Introducción a la protección de datos

  • El porqué de una nueva legislación.
  • Diferencias con la normativa anterior.
  • Conceptos básicos

2.- El nuevo Reglamento General de Protección de Datos

  • Principios
  • Derechos
  • Obligaciones

3.- Las obligaciones que todo empresario tiene en materia de protección de datos

  • Registro de actividades de tratamiento
  • Cómo atender los derechos
  • Deber de Información
  • Consentimientos y bases jurídicas de los tratamientos
  • Análisis de riesgos y evaluación de impacto
  • Relaciones con terceros
  • Brechas de seguridad
  • Qué es un Delegado de Protección de Datos

4.- Herramientas y concienciación en materia de seguridad

  • Medidas de seguridad
  • Situaciones de riesgo
  • Qué hacer si…
  • Herramientas, guías y referencias

 

Septiembre de 2018

 

Paz Martin

Se aprueban medidas urgentes para cumplir con el RGPD

/en /por

El RGPD comenzó su andadura el pasado 25 de mayo pero para que se pueda aplicar plenamente, hacen faltan algunas medidas internas.

El lunes 30 de julio y con las maletas a punto para las vacaciones, el Boletín Oficial del Estado ha publicado el Real Decreto-ley 5/2018 de 27 de julio de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, es decir el RPGD.

¿Por qué esto y ahora?

Porque el Reglamento (UE) 2016/679 General de Protección de Datos remite en su articulado a la legislación interna de los estados miembros para determinados aspectos -entre ellos el procedimiento sancionador- y una nueva Ley Orgánica de Protección de Datos (LOPD) recogerá dichos aspectos.

Dicha nueva LOPD está todavía en el horno. Es decir que debiendo haber estado lista el pasado 25 de mayo (ya sabíamos que no llegaba a tiempo) se la espera al menos, para finales de año. Pero mientras tanto la vida sigue y, o aplicábamos antigua LOPD en lo no compatible con el RGPD o nos ponían un «parche» hasta la llegada de la tan ansiada nueva LOPD.

Dicho lo cual, el Real Decreto-ley reseñado recoge básicamente lo siguiente:

1.- Quién tiene competencias para inspección en materia de protección de datos
(artículos 1 y 2)

2.- Régimen sancionador en materia de protección de datos
(artículos 3 a 6)

3.- Procedimientos en caso de posible vulneración de la normativa de protección de datos
(artículos 7 a 14)

Establece igualmente una disposiciones finales entre las que destacan la Disposición transitoria segunda sobre los contratos de encargo de tratamiento (sí esos que las empresas están recibiendo de forma constante en las últimas semanas) y confirma lo que ya decía el proyecto de LOPD: RELAX (esto no lo dice pero se deduce). Los contratos de encargo de tratamiento suscritos antes del 25 de mayo de 2018 bajo el antiguo artículo 12 de la antigua LOPD, mantendrán su vigencia hasta su fecha de vencimiento y si es indefinida hasta el 25 de mayo de 2022.

Dicho lo cual, el que no haya adaptado los contratos, tiene tiempo aunque no conviene dormirse. No obstante, ahí queda y sigue diciendo el artículo que durante estos plazos cualquiera de las partes puede exigir a la otra la modificación del contrato para que se adapte al RGPD, contratos que ahora incluyen más garantías para ambas partes.

Algunas reflexiones:

Al referirse al régimen sancionador se dedica un artículo (el 6) a la prescripción de las sanciones y sorprendentemente se mantiene el baremo de multas que se aplicaba bajo la anterior LOPD aunque sin hacer referencia a su grado (leve, grave o muy grave). ¿Qué lectura podemos hacer? Pues que la Agencia Española de Protección de Datos seguirá aplicando criterios sancionadores similares a los que aplicaba hasta la fecha sólo que sin el techo de los anteriores 600.000 euros. Es una reflexión que tal vez se confirme con la nueva LOPD o no.
Mientras tanto, las infracciones «normales» (es decir las que pueden ser sancionadas con hasta 10 millones de euros) prescribirán en dos años. Y las muy graves (hasta 20 millones en tres años.

Las sanciones prescribirán de la siguiente forma:

a) Hasta 40.000 euros, en un año
b) de 40.001 a 300.000 en dos años
c) Más de 300.001, en tres años.

Ya tenemos procedimiento sancionador para ir tirando con los nuevos procedimientos que se pongan en marcha. La seguridad jurídica es importante.

Necesitamos la nueva LOPD para otras cuestiones para dejar el menor espacio a las interpretaciones sobre la vigencia de la ya obsoleta LOPD anterior.

Superado el «trauma» del 25 de mayo, todos empezamos el rodaje del RGPD. Las empresas empiezan a entender cuáles son sus obligaciones más importantes. Lo importante, que no se nos olvide: proteger los derechos de las personas y el derecho a la privacidad, que hoy en día, es uno de los que más necesitados se encuentra.

Paz Martín
31 de julio de 2018

Paz Martin

Comienza la cuenta atrás: Aprobado el Proyecto de nueva Ley Orgánica de Protección de Datos de carácter personal

/en /por

El pasado viernes 10 de noviembre el Consejo de Ministros aprobó la remisión a las Cortes Generales el Proyecto de Ley Orgáncica de Protección de Datos (LOPD), el nuevo texto que sustituirá a la actual LOPD.

El propósito de este proyecto es adaptar la legislación española a las exigencias del Reglamento UE 2016/679 General de Protección de Datos, reglamento que como sabemos entrará en pleno funcionamiento el próximo 25 de mayo de 2018.

Destacamos a continuación algunas novedades significativas en el entendimiento de que esta Ley Orgánica no podrá legislar contraviniendo lo ya regulado en el Reglamento aunque sí matizar algunos aspectos. Recordemos igualmente que los reglamentos comunitarios no precisan de trasposición, por lo que esta nueva LOPD contemplará aspectos que el Reglamento no deja desarrollados o remite a la regulación de los estados miembros.

La mayoría de edad para los datos personales

Se adelanta la edad de consentimiento para el tratamiento de datos a 13 años. Un menor de 13 años podrá facilitar sus datos personales por sí mismo y sin el consentimiento de sus padres o tutores (actualmente la edad es de 14 años).

Tratamiento de datos de las personas fallecidas

Se toma en cuenta especialmente en lo que se refiere a la solicitud de los herederos (pensemos en las nuevas realidades de las redes sociales y la posible cancelación de los datos ejercitada lógicamente por los herederos de las personas fallecidas).

Consentimientos

Siendo este uno de los temas críticos del nuevo RGPD, se contempla igualmente en el proyecto eliminándose el consentimiento tácito y por silencio para dar paso a la acción afirmativa y expresa. Se acabó el «acepto» para múltiples finalidades o el «si no nos dice lo contrario»…

Principio de transparencia

Otro principio acuñado por el RGPD y que se traduce en el derecho de los afectados (los titulares de los datos) a ser informados sobre los tratamientos de una forma clara y sobre más aspectos de los que hasta ahora contemplaba el artículo 5 de la LOPD, además de contemplar los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición.

Categorías especiales de datos

Se mantiene la prohibición de almacenar datos de ideología, religión, afiliación sindical, religición, orientación sexcual, origen racial o étnico y creencias. No basta con el consentimiento para el tratamiento de estos datos

Interés legítimo

El tratamiento de datos será lícito si se basa en el consentimiento, en una norma con rango de ley pero también en el interés legítimo de quien trata los datos (en determinadas cuestiones). La nueva LOPD contemplará situaciones en las que prevalece el interés legítimo del responsable del tratamiento como en los sistemas de intervención crediticia y probablemente alineado con el reciente pronunciamiento de la Agencia Española de Protección de Datos a través del Informe 0195/2017 del Gabinete Jurídico aclarando precisamente este aspecto.

El Delegado de Protección de Datos

La nueva LOPD recogerá obligaciones de esta nueva figura así como un catálogo no exhaustivo de responsables de tratamiento que estarán obligados a designar esta figura.

Otras cuestiones

Mecanismos de autorregulación, nuevos derechos (limitación y portabilidad), la posibilidad de que los canales internos de denuncias puedan ser anónimos, coordinación con otras autoridades tanto autonómicas como de otros estados miembros a través de procedimientos de cooperación, serán algunas cuestiones que abordarán el nuevo texto.

Se nos plantean algunas incógnitas una vez el proyecto avance en sede parlamentaria ante el actual panorama político y la particular configuración parlamentaria. Recordemos que el derecho a la protección de datos es un derecho fundamental, recogido en el artículo 18 de nuestra Constitución y su regulación se hace imprescindible para garantizarlo.

Seguiremos informando pero desde luego es hora, si no lo han hecho ya, de ponerse manos a la obra para adaptarse a la nueva legislación pues la nueva LOPD no va a ampliar el Reglamento europeo sino en todo caso lo va a matizar. Esperar a su aprobación sería una temeridad para las organizaciones pues un cambio legislativo como al que nos enfrentamos no se aborda de un día para otro.

La idea es que la nueva Ley Orgánica de Protección de Datos de Carácter Personal entre en vigor a la vez que el nuevo Reglamento…

Es hora de reflexionar sobre lo que se está haciendo, cómo se tratan los datos, qué novedades nos exige el RGPD y empezar a hacer los cambios para que el 25 de mayo de 2018 estemos tranquilos.

Paz Martin

Paz Martin

¿Qué va a pasar con los ficheros de datos declarados ante la Agencia Española de Protección de Datos?

/en /por

Como ya sabemos, el 25 de mayo de 2018 será de plena aplicación el nuevo Reglamento UE 2016/679 General de Protección de Datos (al que nos referimos ya como RGPD). Esta nueva legislación establece nuevas obligaciones y sobre todo exige un cambio de mentalidad en la organizaciones en lo que a la protección de la privacidad se refiere.

Sin embargo, una de las obligaciones que hasta la fecha era casi la «protagonista» del cumplimiento formal de la normativa de protección de datos, desaparece: nos estamos refiriendo a la obligación de declarar los ficheros de datos ante el Registro de la Agencia Española de Protección de Datos.

Esta obligación era considerada para muchos la única y principal en lo que a cumplimiento de la ahora vigente LOPD: nada más lejos de la realidad. Sin embargo sí ha servido durante estos casi dieciocho años para comprobar la estructura de los tratamientos en las organizaciones, la tipología de los datos tratados, las actividades e incluso la propia estructura interna de las organizaciones (si tienen o no canal de denuncias, si tienen o no cámaras de videovigilancia, etc).

El RGPD no contempla esta obligación y por lo tanto, a partir del 25 de mayo, ya no será necesario comunicar los ficheros ante la Agencia Española de Protección de Datos.

Hasta entonces ¿sigue siendo obligatorio declarar ficheros?

La respuesta es sí. La actual LOPD quedará sin efecto con la entrada en vigor del nuevo Reglamento que como sabemos deroga la Directiva 95/46/CE de la que deriva nuestra actual LOPD. Por lo tanto, y mientras tanto, será obligatorio declarar ficheros, actualizar lo que corresponda y cancelar los que ya no existan.

Pero además existe una nueva obligación contemplada en el RGPD para la que la declaración actual de los ficheros es clave: la obligación de registro de las actividad de tratamiento establecida en el artículo 30. Pero ojo, esta obligación no aplica en todos los casos:

  • No se aplica a empresas u organizaciones que emplee a menos de 250 personas
  • A menos que el tratamiento que realice pueda entrañar un reisgo para los derechos y libertades de los intereados
  • No sea ocasional
  • o incluya categorías especiales de datos personales
  • o datos personales relativos a condenas e infracciones penales

¿En qué consiste ese «registro de actividades de tratamiento» que establece la nueva legislación?

Pues se trata de llevar una relación de lo que se hace en materia de datos que incluya, al menos:

a) El nombre y los datos de contacto del responsable así como del Delegado de protección de datos

b) Los fines del tratamiento

c) Una descripción de las categorías de interesados y de las categorías de datos personales

d) Las categorías de destinatarios a quienes se comunicaron o cumunicarán los datos personales, incluidos lo que se encuentren en terceros países u organizaciones internacionales

e) las transferencias internacionales de datos

f) Los plazos previstos para la supresión de las diferentes categorías de datos

g) Una descripción, cuando sea posible, de las medidas técnicas y organizativas adoptadas

También los encargados de tratamiento deberán indicar las actividades de tratamiento realizadas para un responsable.

Al que haya declarado ficheros ante la Agencia Española de Protección de Datos, lo anterior no le resultará completamente ajeno por lo que los actuales ficheros podrán servir, sin lugar a dudas, como base para cumplir con la obligación de llevar un registro de actividades de tratamiento puesto que gran parte de la información ya está recogida.

No en vano, la propia Agencia Española de Protección de Datos acaba de habilitar recientemente una nueva funcionalidad en su sede electrónica precisamente para solicitar copia de los ficheros inscritos que será facilita en formato electrónico.

Lo que pase a partir del 25 de mayo de 2018 con ese registro, es, en principio un misterio pues al dejar de ser obligatoria la declaración, el Registro de la Agencia quedará desactualizado aunque no sabemos si se mantendrá un tiempo para facilitar a los responsables la «reconversión» de sus ficheros o si quedará sin acceso. No obstante, antes de la citada fecha, conviene hacer los deberes en los casos en los que la empresa u organización vengan obligados a llevar ese registro.

Por lo tanto y como recomendación:

1.- Revisar los ficheros actuales, actualizando y modificando lo que proceda pues nos van a servir de base para otras obligaciones que sí establece el RGPD.

2.- Solicitar en su caso a la propia Agencia Española de Protección de Datos esa copia para comenzar a confeccionar el registro de actividades de tratamiento descrita en el artículo 30 del RGPD.

3.- Reflexionar y abordar la transición al nuevo Reglamento para que el cumplimiento, llegada la fecha, sea adecuado y no «entren prisas».

4.- Y sobre todo y no menos importante, no está de más, dejarse asesorar por profesionales cualificados que diseñen planes a medida y ayuden en el cumplimiento más adecuado para cada organización.

Paz Martin