Protección de Datos: RGPD y Obligaciones Legales

Protección de Datos Personales: Obligaciones de Abogados y Procuradores

• El color azul oscuro en un mapa representa países europeos con la normativa aprobada.
• El color azul identifica países adecuados con normativas similares, como el Reino Unido.
• El color azul claro indica países parcialmente adecuados, sujetos a la decisión del trabajador mediante una declaración de la Secretaría de Comercio.
• El color beige indica países sin regulación de protección de datos implementada o prevista.
• Empresas que sirven a ciudadanos residentes en países con regulaciones deben respetar la normativa.

RGPD: Una Cultura de la Privacidad Europea

• El Reglamento General de Protección de Datos (RGPD) es de aplicación directa y actualiza la protección de datos.
• Se caracteriza por unificar la normativa europea de protección de datos.
• Promueve la libre circulación de datos con 4 libertades (bienes, servicios, capital, personas).
• Crea un marco para un mercado único digital.
• Unifica la protección de los derechos y libertades de los residentes en la UE.
• La privacidad se relaciona con la intimidad personal y requiere unificación en la regulación del mercado interno.

Regulación de la Protección de Datos

• Declaración Universal de los Derechos Humanos (1948) influyó en la regulación.
• El Convenio Europeo de Derechos Humanos (CEDH) de 1950 es otro origen.
• El Convenio 108 del Consejo Europeo de 1981 también es relevante.
• Directiva 95/46/CE y LOPD 15/99 son directivas y leyes importantes en la materia.
• La Constitución Española limita el uso de la informática para garantizar el honor, la intimidad personal y el derecho al pleno ejercicio de derechos, según el art 18.4.
• La Doctrina del habeas data surgió en los años 70 para proteger la intimidad ante los riesgos de la informática.
• El Estatuto de Autonomía de Cataluña (artículo 31) prevé la protección de datos personales y el acceso y corrección de estos.
• Autoridad de control catalana: APDCAT (Autoritat de Protecció de Dades de Catalunya).
• La Agencia Española de Protección de Datos es competente en el sector privado y público, excepto en País Vasco, Cataluña y Andalucía.
• El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo protege a las personas físicas en el tratamiento de datos y en la libre circulación de estos, derogando la Directiva 95/46/CE (RGPD).
• La Ley Orgánica 3/2018, de 5 de diciembre, protege datos personales y garantiza derechos digitales (BOE 6 diciembre 2018).

Enfoque RGDP

• Unifica la regulación europea, reemplazando la Directiva 95/46/CE y LOPD 15/1999.
• Promueve la rendición de cuentas (Accountability).
• Se aplica a cualquier tratamiento relacionado con la oferta de bienes o servicios en la UE y el control del comportamiento que tenga lugar en la UE.
• El RGPD entró en vigor el 25 de mayo de 2018.
• Requiere consentimiento expreso para la protección de datos y atención a los derechos de la ciudadanía.
• Exige análisis de riesgos y gestión de transferencias internacionales.
• Requiere un delegado de protección de datos (DPO o DPD).

Aspectos Previos

• Glosario en el Artículo 4 del RGDP.
• "Datos personales" incluyen información sobre personas físicas identificadas o identificables.
• "Tratamiento" se refiere a cualquier operación o conjunto de operaciones realizadas sobre datos personales, automatizadas o no.
• "Limitación del tratamiento" es el marcado de datos personales conservados para limitar su tratamiento futuro.
• "Elaboración de perfiles" es el tratamiento automatizado de datos personales para evaluar aspectos personales de un individuo.
• "Seudonimización" es el tratamiento de datos que impide su atribución directa sin información adicional, sujeta a medidas de seguridad.
• "Fichero" es cualquier conjunto estructurado de datos personales accesibles bajo criterios específicos.
• "Responsable del tratamiento" es quien determina los fines y medios del tratamiento de datos.
• "Encargado del tratamiento" es quien trata datos personales por cuenta del responsable.
• "Destinatario" es la persona o entidad a quien se comunican los datos personales.
• "Tercero" es cualquier entidad distinta del interesado, responsable, encargado y personas autorizadas a tratar los datos.
• "Consentimiento del interesado" es la manifestación de voluntad libre, específica, informada e inequívoca del tratamiento de sus datos.
• "Violación de la seguridad de los datos personales" es cualquier brecha que cause destrucción, pérdida, alteración, acceso no autorizado o ilícito de datos.
• "Datos genéticos" son datos personales sobre características genéticas heredadas o adquiridas que proporcionan información única sobre la fisiología o la salud.
• "Datos biométricos" son datos personales obtenidos mediante un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona.
• "Datos relativos a la salud" son datos personales que revelan información sobre el estado de salud física o mental de una persona.
• "Establecimiento principal" se refiere al lugar de administración central del responsable o encargado del tratamiento en la Unión Europea.
• "Representante" es la persona física o jurídica designada por escrito para representar al responsable o encargado del tratamiento en la Unión.
• "Empresa" es una persona física o jurídica dedicada a una actividad económica, independientemente de su forma jurídica.
• "Grupo empresarial" se refiere a un grupo constituido por una empresa que ejerce control sobre otras empresas.
• "Normas corporativas vinculantes" son políticas de protección de datos asumidas para transferencias de datos dentro de un grupo empresarial.
• "Autoridad de control" es la autoridad pública independiente establecida para supervisar el cumplimiento de las leyes de protección de datos.
• "Autoridad de control interesada" es aquella a la que afecta el tratamiento de datos personales debido a la ubicación del responsable o encargado, residencia de los interesados o presentación de reclamaciones.
• "Tratamiento transfronterizo" es el que se realiza en el contexto de establecimientos en varios Estados miembros o afecta sustancialmente a interesados en más de un Estado miembro.
• "Objeción pertinente y motivada" se refiere a una objeción a una propuesta de decisión sobre infracción del Reglamento que demuestre la importancia de los riesgos para los derechos y libertades fundamentales de los interesados.
• "Servicio de la sociedad de la información" es todo servicio conforme a la definición del artículo 1, apartado 1, letra b), de la Directiva (UE) 2015/1535.
• "Organización internacional" se refiere a una organización internacional y sus entes subordinados de Derecho internacional público o cualquier otro organismo creado mediante un acuerdo entre dos o más países.
• Art 5 RGDP: principios que se deben de cumplir.
• Art. 4 y ss LOPDGDD
• Se implementa una ley interna para complementar y mejorar la normativa comunitaria, permitiendo a los Estados miembros mejorar ciertas cuestiones.
• Se establecen 14 años como la edad a partir de la cual se pueden gestionar los datos personales en España.
• El reglamento indica conductas y sanciones en régimen sancionador, pero no se ajustaba al régimen sancionador del Derecho Administrativo español.

Dato Personal

• Se aplica a cualquier información referente a personas físicas identificadas o identificables, directa o indirectamente.
• Cubre a los autónomos como personas físicas protegidas.
• DNI: ejemplo claro, pues tiene datos identificativos y de contacto.
• El LUPE (localizador de enfermos o personas en situación vulnerable).
• Recogida selectiva de basura para identificar quien la tira, frenada por ser intrusiva y vulnerable a datos.
• Contadores de luz revelan pautas de comportamiento susceptibles de protección.

Categorías Especiales de Datos (Art. 9.3 RGPD)

• Origen étnico o racial.
• Opiniones políticas.
• Convicciones religiosas o filosóficas.
• Afiliación sindical.
• Datos genéticos.
• Datos biométricos: firma manuscrita.
• Salud.
• Vida sexual y/o orientación sexual.
• Más de 100.000 personas se considera tratamiento masivo.

Tratamiento de Datos Personales

• Es cualquier operación o conjunto de operaciones sobre datos personales de forma automatizada o no.
• La obligación de tratamiento nace desde la recogida de datos y finaliza con su destrucción.

Responsable del Tratamiento

• Es la persona física o jurídica que determina los fines y medios del tratamiento.
• No confundir con la titularidad que corresponde a la persona de la que se protegen los datos.
• El responsable es quien gestiona los datos.

Encargado del Tratamiento

• Es un tercero que trata datos personales por cuenta del responsable, como una gestoría o colaborador externo.
• Requiere regulación por escrito en un contrato.
• El responsable tiene un deber de vigilancia sobre el encargado.

Otros Conceptos

• Pseudonimización: Es un proceso de anonimización reversible, un ejemplo son los exámenes de carrera mediante la U.
• Perfiles: perfiles de solvencia, de excelencia, de rendimiento, de productividad.
• Transferencia internacional: Supone el tratamiento de datos fuera de los países de la UE.
• Establecimiento principal: cualquier empresa que ofrezca bienes y servicios tiene que cumplir con el Reglamento.
• Consentimiento: Es uno de los principios legitimadores de la protección de datos.
• Violación de seguridad: Ante ataques cibernéticos aleatorios se pone en riesgo la seguridad.

Principios del Tratamiento

• Documentar todas las actuaciones.
• Información: Informar sobre la política de protección de datos.
• Licitud, lealtad y transparencia: Los datos se tratarán como decimos que estamos haciendo.
• Limitación de la finalidad
• Minimización de datos: Usar los datos estrictamente necesarios.
• Exactitud: El responsable debe velar para que los datos sean exactos y actualizados.
• Limitación del plazo de conservación: Los datos se conservan en un plazo que depende de las obligaciones jurídicas.

Principio/Derecho de Información (2 Capas)

• Datos de contacto del responsable y/o representante.
• Datos de contacto del delegado de protección de datos
• Finalidades del tratamiento y las bases de la legitimación del tratamiento
• Destinatarios o categorías de destinatarios de los datos
• Transferencias internacionales de datos y la decisión de adecuación
• Plazo de conservación
• Forma de solicitar el ejercicio de derechos ARSOLP
• Derecho a retirar el consentimiento
• Derecho a presentar una reclamación ante la autoridad de control.

Licitud del Tratamiento

• Consentimiento: expreso e inequívoco., el que se puede retirar sin que haya consecuencias por ello.
• Relación contractual o precontractual: la base legitimadora es la existencia de un contrato.
• Cumplimiento de obligación legal por parte del responsable.
• Necesario para proteger intereses vitales del interesado o tercero
• Misión de interés público o en ejercicio de poderes públicos: por ejemplo una multa.
• Interés legítimo del responsable

Registro de Actividades de Tratamiento

• Art. 30 RGPD
• Contenido.
• Nombre y datos de contacto RT y DPD (si hay)
• Finalidades del tratamiento
• Categorías de destinatarios.
• Plazos de conservación.
• Medidas de seguridad técnicas y organizativas.

Ejercicios de Derechos de los Interesados

• Procedimiento interno gratis y simple.
• Respuesta en 1 mes (+2 si gran complejidad o número de solicitudes)
• Acceso
• Rectificación.
• Supresión/Olvido
• Limitación
• Portabilidad

Derecho de Supresión

• Ya no sean necesarios para los fines para los que fueron recogidos
• Retire el consentimiento
• Se oponga al tratamiento según el art. 21 (derecho oposición) y no prevalezcan otros motivos legítimos para el tratamiento
• Datos tratados ilícitamente
• Deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión
• Se hayan obtenido en relación con la oferta de servicios de la sociedad de la información

Derecho a Reclamar y Denunciar

• Art. 77 RGPD regula el derecho a reclamar
• Art. 37 de la LOPDGDD
• La persona interessada .
• Derecho al Olvido
• GARANTÍA DE DERECHOS DIGITALES: TITULO X LOPDGDD

Transferencias Internacionales

• Límite territorial: UE
• Fuera UE.
• Países con niveles de protección adecuados (AEPD)
• Garantías en destino
• Normas corporativas vinculantes en la organización

Responsabilidad para la Abogacía

• Garantizar la confidencialidad, integridad y disponibilidad de la información (excelencia profesional).
• Incidentes de seguridad: sanciones de hasta 20.000.000 € o, el 4% del volúmen de negocio total anual global del ejercicio financiero anterior (art. 83 RGDP)

Tratamiento de Datos Personales

• Guardar, ceder, destruir, copiar....

Seguridad por Defecto

• La responsabilidad proactiva obliga a un ejercicio previo de análisis de riesgos individualizado.

Medidas de Seguridad

• Hay dos tipos: Técnicas y Organizativas.
• Técnicas: Infraestructura tecnológica.
• Organizativas: Instrucción y formación del personal.
• Nombramiento responsable en protección de datos.
• Establecimiento de procedimientos y circuitos.
• Nombramiento DPO si fuera necesario.

Delegado de Protección de Datos

• Características:
• Interno o externo.
• Conocimientos en la materia: (certificación).
• Autonomía de funciones

Regimen Sancionador

• Artículo 70 LOPDGDD: Sujetos responsables.
• Artículo 83 RGPD: Condiciones generales para la imposición de multas administrativas.
• OBLIGACIONES DEL ABOGADO (RESUMEN).