Tratamiento de Datos Personales

Tratamiento y tipos de tratamiento

• El tratamiento de datos personales abarca una amplia gama de operaciones, como la recolección, registro, organización, estructuración, conservación, modificación, extracción, consulta, utilización, comunicación por transmisión, difusión, puesta a disposición, cotejo o interconexión, limitación, supresión o destrucción de los datos.
• La limitación del tratamiento implica marcar los datos personales almacenados para restringir su uso futuro.
• La elaboración de perfiles, un tipo de tratamiento automatizado, consiste en usar datos personales para evaluar diversos aspectos de una persona, por ejemplo, para analizar o predecir su rendimiento profesional, situación económica, salud, preferencias, intereses, fiabilidad, comportamiento, ubicación o movimientos.
• La seudonimización implica el tratamiento de datos personales de manera que ya no puedan ser atribuidos a un individuo sin información adicional, la cual debe estar separada y estar sujeta a medidas para garantizar que los datos no se atribuyan a una persona identificable.
• Un fichero se define como un conjunto organizado de datos personales, accesible mediante criterios específicos, ya sea centralizado, descentralizado o distribuido funcional o geográficamente.
• El responsable del tratamiento es la persona, entidad, autoridad pública u organismo que determina los fines y medios del tratamiento, bien sea solo o junto con otros.
• El encargado del tratamiento es la persona, entidad, autoridad pública u organismo que procesa datos personales en nombre del responsable.
• Un destinatario es la persona, entidad, autoridad pública u organismo que recibe datos personales, ya sea un tercero o no.

Consentimiento para el tratamiento de datos personales

• El consentimiento del interesado para el tratamiento de sus datos personales debe ser específico e inequívoco si se pretende usarlo para múltiples finalidades.
• No se debe condicionar la ejecución de un contrato a que el afectado acepte el tratamiento de sus datos personales para fines que no estén relacionados con el mantenimiento, desarrollo o control de la relación contractual.

Tratamiento de datos de menores de edad

• El tratamiento de datos personales de un menor de edad solo puede estar basado en su consentimiento si tiene al menos catorce años.
• Existen excepciones a la regla anterior cuando la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración de un acto o negocio jurídico en cuyo contexto se busca el consentimiento para el tratamiento.
• Para el tratamiento de datos de menores de catorce años basado en el consentimiento, se requiere el consentimiento del titular de la patria potestad o tutela, con el alcance que determinen estos.

Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos

• El tratamiento de datos personales únicamente puede considerarse fundado en el cumplimiento de una obligación legal exigible al responsable cuando lo exija una norma de derecho de la Unión Europea o una norma con rango de ley.
• La norma puede establecer condiciones generales de tratamiento, tipos de datos y cesiones derivadas del cumplimiento de la obligación legal.
• El tratamiento de datos personales solo puede estar basado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos cuando derive de una competencia atribuida por una norma con rango de ley.

Categorías especiales de datos

• El derecho de acceso se considera otorgado si el responsable del tratamiento facilita un sistema de acceso remoto, directo y seguro a los datos personales que garantiza acceso permanente a su totalidad.
• El afectado puede solicitar al responsable información adicional más allá del sistema de acceso remoto, según lo establecido en el artículo 15.1 del Reglamento (UE) 2016/679.
• El ejercicio del derecho de acceso se considera repetitivo durante un plazo de seis meses, a menos que exista una causa legítima.
• La solicitud de acceso se considera excesiva si el afectado elige un medio que conlleva un coste desproporcionado, y en este caso, el afectado asume el exceso de costes.

Derecho de rectificación

• Para ejercer el derecho de rectificación, el afectado debe especificar los datos a rectificar y la corrección necesaria en su solicitud.
• Debe acompañarse la documentación justificativa de la inexactitud o carácter incompleto de los datos objeto de tratamiento, si corresponde.

Derecho de supresión

• El derecho de supresión se ejerce de acuerdo con lo establecido en el artículo 17 del Reglamento (UE) 2016/679.
• Cuando la supresión se deriva del ejercicio del derecho de oposición, el responsable puede conservar los datos identificativos necesarios para evitar el tratamiento para fines de mercadotecnia directa.

Derecho a la limitación del tratamiento

• El derecho a la limitación del tratamiento se ejerce según lo establecido en el artículo 18 del Reglamento (UE) 2016/679.
• La limitación del tratamiento es aplicable en varios casos específicos, incluyendo:
  • Cuando se cuestione la exactitud de los datos personales.
  • Cuando el tratamiento sea ilícito.
  • Cuando los datos se necesiten para el ejercicio de derechos en procedimientos judiciales.
  • Cuando el responsable ya no necesite los datos, pero el afectado los necesita para la formulación, el ejercicio o la defensa de reclamaciones.
  • Cuando el tratamiento pueda privar a los afectados de sus derechos y libertades o impida el ejercicio de control sobre sus datos personales.
  • Cuando se produzca tratamiento no incidental de categorías especiales de datos.
  • Cuando el tratamiento implique una evaluación de aspectos personales de los afectados para crear o utilizar perfiles personales.
  • Cuando se trate datos personales de grupos de afectados en situación de vulnerabilidad especial.
  • Cuando se lleve a cabo tratamiento masivo que implique a un gran número de afectados o que recopile una gran cantidad de datos personales.
  • Cuando los datos personales vayan a ser transferidos a terceros países u organizaciones internacionales sin un nivel adecuado de protección.
  • En otros casos que, a juicio del responsable o del encargado, puedan tener relevancia, especialmente aquellos previstos en códigos de conducta y estándares de esquemas de certificación.

Corresponsabilidad en el tratamiento

• Las responsabilidades de los corresponsables del tratamiento se determinan en función de las actividades que cada uno realiza.

Representantes de los responsables o encargados del tratamiento no establecidos en la Unión Europea

• Se considera responsable del tratamiento a quien, en su propio nombre y sin actuar por cuenta de otro, establezca relaciones con los afectados, incluso si existe un contrato o acuerdo jurídico con el contenido del artículo 28.3 del Reglamento (UE) 2016/679, con la excepción de los encargos de tratamiento realizados en el marco de la legislación de contratación del sector público.
• Se considera responsable del tratamiento a quien, actuando como encargado, utilice los datos para sus propias finalidades.
• El responsable del tratamiento determina el destino de los datos personales tras finalizar la prestación de servicios del encargado, ya sea su destrucción, devolución al responsable o entrega a un nuevo encargado.
• Los datos no se destruyen si existe una obligación legal de conservación, en cuyo caso se devolverán al responsable, quien garantizará su conservación mientras persista la obligación.
• El encargado del tratamiento puede conservar los datos bloqueados, si pueden derivarse responsabilidades de su relación con el responsable.
• En el ámbito del sector público, se pueden atribuir las competencias de un encargado del tratamiento a un determinado órgano de la Administración, mediante la adopción de una norma reguladora que incorporará el contenido del artículo 28.3 del Reglamento (UE) 2016/679.

Delegado de protección de datos

• Los responsables y encargados del tratamiento deben designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, cuando se trate de entidades como colegios profesionales, consejos generales, centros docentes de cualquier nivel, y universidades públicas y privadas.