Reglamento Europeo 679/2016. Parte 2.

Determinación de Fines y Medios del Tratamiento según el RGPD

• El responsable del tratamiento determina los fines y medios del tratamiento de datos personales.
• El responsable del tratamiento define el propósito y los métodos del tratamiento, siendo el principal responsable ante la ley.

Funciones del Encargado del Tratamiento según el RGPD

• El encargado del tratamiento debe tratar los datos siguiendo las instrucciones del responsable del tratamiento.
• El encargado del tratamiento actúa por cuenta del responsable, aplicando sus instrucciones sin autonomía en las decisiones sobre fines o medios del tratamiento.

Documento entre Responsable y Encargado del Tratamiento

• Se debe firmar un contrato de encargo de tratamiento entre el responsable y el encargado.
• Este contrato regula las condiciones en que el encargado tratará los datos personales por cuenta del responsable, incluyendo duración, naturaleza, finalidad y medidas de seguridad, según el artículo 28 del RGPD.

Entidad que No Puede ser Encargada del Tratamiento

• El propio responsable del tratamiento no puede ser el encargado del tratamiento.
• El encargado debe ser una entidad distinta del responsable, ya que su papel es tratar los datos por encargo de otro, y una misma entidad no puede asumir ambos roles legalmente.

Contenido del Registro de Actividades de Tratamiento (Artículo 30 del RGPD)

• El registro debe contener el nombre del DPD, fines del tratamiento, categorías de interesados y datos, destinatarios y transferencias internacionales.
• El registro de actividades de tratamiento es un documento obligatorio (con excepciones para PYMEs) que refleja cómo se manejan los datos en una organización y está regulado en el artículo 30 del RGPD.

Responsabilidad de Llevar el Registro de Actividades de Tratamiento

• Tanto el responsable como el encargado del tratamiento deben llevar el registro si su organización no cumple los criterios de excepción.
• El registro sirve como prueba del cumplimiento del RGPD y debe estar disponible para la autoridad de control.

Medida No Técnica u Organizativa para la Seguridad de Datos Personales

• El análisis de mercado no es una medida de seguridad de los datos personales.
• Las medidas técnicas y organizativas protegen contra pérdidas, accesos no autorizados o alteraciones mediante cifrado o seudonimización.

Implicaciones de la Seudonimización de Datos Personales

• La seudonimización implica separar los datos personales de su identificador para que no puedan vincularse sin información adicional.
• La seudonimización permite que los datos personales no se atribuyan a un sujeto específico sin usar información adicional protegida, mejorando la seguridad sin eliminar completamente el riesgo como en el anonimato.

Cuándo Realizar una Evaluación de Impacto Relativa a la Protección de Datos (EIPD)

• Una EIPD debe realizarse cuando sea probable que un tratamiento entrañe un alto riesgo para los derechos y libertades de las personas.
• La EIPD es obligatoria cuando el tratamiento puede implicar un alto riesgo para los derechos fundamentales, como vigilancia masiva, evaluación de personas mediante perfiles o tratamiento de datos sensibles a gran escala.

Contenido de una Evaluación de Impacto Relativa a la Protección de Datos

• Una EIPD debe incluir una descripción del tratamiento, evaluación de riesgos y medidas previstas para mitigarlos.
• La EIPD es un análisis para anticipar y mitigar riesgos en el tratamiento de datos personales, siendo un requisito clave del principio de responsabilidad proactiva.

Quién Puede Solicitar Acceso al Registro de Actividades de Tratamiento

• Solo la autoridad de control competente puede solicitar acceso al registro de actividades de tratamiento.
• El registro no es público y está destinado a facilitar la supervisión del cumplimiento del RGPD por la autoridad de control.

Medidas de Seguridad del RGPD

• Las medidas de seguridad del RGPD se basan en el principio de proporcionalidad según el riesgo.
• El RGPD exige que las medidas de seguridad sean "adecuadas", adaptándose al nivel de riesgo del tratamiento, sin medidas universales sino soluciones ajustadas al contexto.

Acciones del Responsable Ante un Alto Riesgo No Mitigable Tras una EIPD

• Si, tras una EIPD, no se pueden reducir suficientemente los riesgos, el responsable debe consultar a la autoridad de control.
• La autoridad puede emitir recomendaciones o incluso prohibir el tratamiento en casos graves.

Descripción del Principio de Responsabilidad Proactiva en el RGPD

• El responsable debe poder demostrar que cumple con el RGPD.
• La responsabilidad proactiva implica cumplir el RGPD y poder probarlo mediante registros, evaluaciones, políticas y medidas de seguridad documentadas.

Responsabilidad del Encargado del Tratamiento al Subcontratar Sin Autorización

• El encargado del tratamiento será responsable por incumplimiento del RGPD si subcontrata sin autorización.
• El RGPD exige autorización del responsable para cualquier subencargado; subcontratar sin ella viola el contrato de encargo y el Reglamento, pudiendo ser sancionado.

Norma que Obliga a Cooperar con la Autoridad de Control

• El artículo 31 del RGPD obliga al responsable y al encargado a cooperar con la autoridad de control.
• El artículo 31 del RGPD facilita la información que requiera la autoridad de control en el ejercicio de sus funciones.

Principal Objetivo de las Medidas de Seguridad Técnicas y Organizativas Según el RGPD

• El principal objetivo es garantizar un nivel de seguridad adecuado al riesgo del tratamiento.
• El RGPD obliga a implementar las medidas necesarias para asegurar la confidencialidad, integridad y disponibilidad de los datos en función de los riesgos detectados.

Tratamientos Exentos de Registro de Actividades de Tratamiento

• Los tratamientos ocasionales que no impliquen riesgo para los derechos y libertades de los interesados están exentos del registro.
• El RGPD permite que pequeñas organizaciones queden exentas del registro cuando el tratamiento es ocasional, no implica categorías especiales ni riesgo para los derechos, dependiendo más del impacto que del tamaño de la empresa.

Tipos de Datos que Requieren Medidas de Seguridad Reforzadas

• Los datos de categorías especiales o que afecten a menores requieren medidas de seguridad reforzadas.
• Estos datos son especialmente sensibles y su tratamiento puede suponer un mayor riesgo para la privacidad, exigiendo salvaguardas adicionales como el cifrado, la seudonimización y controles de acceso más estrictos.

Responsable de Garantizar la Aplicación de Medidas de Seguridad por el Encargado Según el RGPD

• El responsable del tratamiento es quien debe garantizar que el encargado aplique las medidas de seguridad exigidas.
• Aunque el encargado debe aplicar medidas de seguridad, el responsable tiene la obligación de asegurarse de su cumplimiento, incluyendo supervisión, auditorías y la firma del contrato de encargo.

Casos Obligatorios para Nombrar un Delegado de Protección de Datos (DPD)

• Es obligatorio nombrar un DPD cuando el tratamiento lo lleven a cabo entidades públicas, salvo tribunales.
• El RGPD obliga al nombramiento de un DPD en ciertos casos, como autoridades u organismos públicos (excepto tribunales actuando en su función jurisdiccional).

Obligación Directa del Encargado del Tratamiento Según el RGPD

• El encargado tiene la obligación directa de aplicar medidas de seguridad técnicas y organizativas adecuadas.
• El encargado tiene la obligación de proteger los datos que trata, siguiendo las instrucciones del responsable y aplicando las medidas necesarias para garantizar la confidencialidad, integridad y disponibilidad de la información.

Acciones Antes de Iniciar un Tratamiento que Pueda Entrañar un Alto Riesgo

• Una organización debe realizar una evaluación de impacto relativa a la protección de datos (EIPD) antes de iniciar un tratamiento que pueda entrañar un alto riesgo.
• La EIPD es un requisito previo para tratamientos que puedan suponer un alto riesgo, como la vigilancia sistemática, elaboración de perfiles o tratamiento de datos sensibles a gran escala.

Acciones Ante una Violación de Seguridad que Afecte a Datos Personales

• El responsable debe notificar la violación a la autoridad de control en un plazo máximo de 72 horas.
• El RGPD exige que cualquier brecha de seguridad que pueda afectar a los derechos y libertades de las personas se notifique sin dilación indebida y, como máximo, dentro de las 72 horas siguientes a su detección.

Significado del Principio de Confidencialidad en el RGPD

• El principio de confidencialidad significa que los datos solo deben ser accesibles a las personas autorizadas.
• La confidencialidad es uno de los pilares de la seguridad del tratamiento, permitiendo que solo las personas con permisos y necesidad legítima puedan acceder a los datos personales, para evitar accesos no autorizados o fugas de información.