Tema 4. Legislación y jurisprudencia en materia de protección de datos PDF

Tema 4. Legislación y jurisprudencia en materia de protección de datos 4.2. Privacidad y protección de datos Como así señala el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a...

Tema 4. Legislación y jurisprudencia en materia de protección de datos 4.2. Privacidad y protección de datos Como así señala el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos - RGPD), la protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental en toda Europa. Efectivamente, el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea («la Carta») y el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea (TFUE) establecen que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan. Internet, por otra parte, se ha convertido en una realidad omnipresente tanto en nuestra vida personal como colectiva. Una gran parte de nuestra actividad profesional, económica y privada se desarrolla en la Red y adquiere una importancia fundamental tanto para la comunicación humana como para el desarrollo de nuestra vida en sociedad. Hoy identificamos con bastante claridad los riesgos y oportunidades que el mundo de las redes ofrece a la ciudadanía. Corresponde a los poderes públicos impulsar políticas que hagan efectivos los derechos de la ciudadanía en Internet promoviendo la igualdad de los ciudadanos y de los grupos en los que se integran para hacer posible el pleno ejercicio de los derechos fundamentales en la realidad digital. La transformación digital de nuestra sociedad es ya una realidad en nuestro desarrollo presente y futuro tanto a nivel social como económico. En este contexto, países de nuestro entorno ya han aprobado normativa que refuerza los derechos digitales de la ciudadanía. Programa Profesional en Ciberseguridad 11 Tema 4. Legislación y jurisprudencia en materia de protección de datos 1 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Así pues, los principios y normas relativos a la protección de las personas físicas en lo que respecta al tratamiento de sus datos de carácter personal deben, cualquiera que sea su nacionalidad o residencia, respetar sus libertades y derechos fundamentales, en particular el derecho a la protección de los datos de carácter personal. El RGPD pretende contribuir a la plena realización de un espacio de libertad, seguridad y justicia y de una unión económica, al progreso económico y social, al refuerzo y la convergencia de las economías dentro del mercado interior, así como al bienestar de las personas físicas. La integración económica y social resultante del funcionamiento del mercado interior en Europa ha llevado a un aumento sustancial de los flujos transfronterizos de datos personales. En toda la Unión se ha incrementado el intercambio de datos personales entre los operadores públicos y privados, incluidas las personas físicas, las asociaciones y las empresas. El Derecho de la Unión insta a las autoridades nacionales de los Estados miembros a que cooperen e intercambien datos personales a fin de poder cumplir sus funciones o desempeñar otras por cuenta de una autoridad de otro Estado miembro. La rápida evolución tecnológica y la globalización han planteado nuevos retos para la protección de los datos personales. La magnitud de la recogida y del intercambio de datos personales ha aumentado de manera significativa. La tecnología permite que tanto las empresas privadas como las autoridades públicas utilicen datos personales en una escala sin precedentes a la hora de realizar sus actividades. Las personas físicas difunden un volumen cada vez mayor de información personal a escala mundial. La tecnología ha transformado tanto la economía como la vida social, y ha de facilitar aún más la libre circulación de datos personales dentro de la Unión y la transferencia a terceros países y organizaciones internacionales, garantizando al mismo tiempo un elevado nivel de protección de los datos personales. Programa Profesional en Ciberseguridad 11 Tema 4. Legislación y jurisprudencia en materia de protección de datos 2 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Estos avances requieren un marco más sólido y coherente para la protección de datos en la Unión Europea, respaldado por una ejecución estricta, dada la importancia de generar la confianza que permita a la economía digital desarrollarse en todo el mercado interior. Las personas físicas deben tener el control de sus propios datos personales. Hay que reforzar la seguridad jurídica y práctica para las personas físicas, los operadores económicos y las autoridades públicas. Lo mismo cabe decir de España, como así lo pone de manifiesto nuestra Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, cuando señala: «La protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental protegido por el artículo 18.4 de la Constitución española. De esta manera, nuestra Constitución fue pionera en el reconocimiento del derecho fundamental a la protección de datos personales cuando dispuso que «la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». Se hacía así eco de los trabajos desarrollados desde finales de la década de 1960 en el Consejo de Europa y de las pocas disposiciones legales adoptadas en países de nuestro entorno» (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales). El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, Programa Profesional en Ciberseguridad 11 Tema 4. Legislación y jurisprudencia en materia de protección de datos 3 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. A nivel legislativo, la concreción y desarrollo del derecho fundamental de protección de las personas físicas en relación con el tratamiento de datos personales tuvo lugar en sus orígenes mediante la aprobación de la Ley Orgánica 5/1992, de 29 de octubre, reguladora del tratamiento automatizado de datos personales, conocida como LORTAD. La Ley Orgánica 5/1992 fue reemplazada por la Ley Orgánica 15/1999, de 5 de diciembre, de protección de datos personales, a fin de trasponer a nuestro derecho a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Esta ley orgánica supuso un segundo hito en la evolución de la regulación del derecho fundamental a la protección de datos en España y se complementó con una cada vez más abundante jurisprudencia procedente de los órganos de la jurisdicción contencioso-administrativa. En los últimos años de la pasada década se intensificaron los impulsos tendentes a lograr una regulación más uniforme del derecho fundamental a la protección de datos en el marco de una sociedad cada vez más globalizada. Así, se fueron adoptando en distintas instancias internacionales propuestas para la reforma del marco vigente. Y en este marco la Comisión lanzó el 4 de noviembre de 201O su Comunicación titulada «Un enfoque global de la protección de los datos personales en la Unión Europea», que constituye el germen de la posterior reforma del marco de la Unión Europea. Al propio tiempo, el Tribunal de Justicia de la Unión ha venido adoptando a lo largo de los últimos años una jurisprudencia que resulta fundamental en su interpretación. El último hito en esta evolución tuvo lugar con la adopción del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos Programa Profesional en Ciberseguridad 11 Tema 4. Legislación y jurisprudencia en materia de protección de datos 4 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), así como de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo. Programa Profesional en Ciberseguridad 11 Tema 4. Legislación y jurisprudencia en materia de protección de datos 5 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos 4.3. El Reglamento General de Protección de Datos (RGPD) El Reglamento General de Protección de Datos (RGPD) pretende con su eficacia directa superar los obstáculos que impidieron la finalidad armonizadora de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos. La transposición de la directiva por los Estados miembros se ha plasmado en un mosaico normativo con perfiles irregulares en el conjunto de la Unión Europea lo que, en último extremo, ha conducido a que existan diferencias apreciables en la protección de los derechos de los ciudadanos. Asimismo, se atiende a nuevas circunstancias, principalmente el aumento de los flujos transfronterizos de datos personales como consecuencia del funcionamiento del mercado interior, los retos planteados por la rápida evolución tecnológica y la globalización, que ha hecho que los datos personales sean el recurso fundamental de la sociedad de la información. El carácter central de la información personal tiene aspectos positivos, porque permite nuevos y mejores servicios, productos o hallazgos científicos. Pero tiene también riesgos, pues las informaciones sobre los individuos se multiplican exponencialmente, son más accesibles, por más actores, y cada vez son más fáciles de procesar mientras que es más difícil el control de su destino y uso. El RGPD supone la revisión de las bases legales del modelo europeo de protección de datos más allá de una mera actualización de la vigente normativa. Procede a reforzar la seguridad jurídica y transparencia a la vez que permite que sus normas sean especificadas o restringidas por el Derecho de los Estados miembros en la medida en que sea necesario por razones de coherencia y para que las Programa Profesional en Ciberseguridad 11 Tema 4. Legislación y jurisprudencia en materia de protección de datos 6 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos disposiciones nacionales sean comprensibles para sus destinatarios. Así, el RGPD contiene un buen número de habilitaciones, cuando no imposiciones, a los Estados miembros, a fin de regular determinadas materias, permitiendo incluso en su considerando 8, y a diferencia de lo que constituye principio general del Derecho de la Unión Europea que, cuando sus normas deban ser especificadas, interpretadas o, excepcionalmente, restringidas por el Derecho de los Estados miembros, estos tengan la posibilidad de incorporar al derecho nacional previsiones contenidas específicamente en el reglamento, en la medida en que sea necesario por razones de coherencia y comprensión. El RGPD es aplicable desde el 25 de mayo de 2018. Es decir, el RGPD es una norma europea directamente aplicable, que no requiere de normas internas de trasposición. El RGPD contiene muchos conceptos, principios y mecanismos similares a los establecidos por la anterior Directiva 95/46 y por las normas nacionales que la aplican. Sin embargo, el RGPD modifica algunos aspectos del régimen actual y contiene nuevas obligaciones que deben ser analizadas y aplicadas por cada organización teniendo en cuenta sus propias circunstancias. Dos son los elementos esenciales que configuran el RGPD: ► Principio de Responsabilidad Proactiva: El responsable del tratamiento debe aplicar medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforma con el RGPD. Las organizaciones deben analizar qué datos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo. Programa Profesional en Ciberseguridad 11 Tema 4. Legislación y jurisprudencia en materia de protección de datos 7 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos ► El enfoque en el riesgo: Las medidas dirigidas a garantizar su cumplimiento deber tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas. De acuerdo con este enfoque, algunas de las medidas que el RGPD establece se aplicarán sólo cuando exista un alto riesgo para los derechos y libertades, mientras que otras deberán modularse en función del nivel y tipo de riesgo que los tratamientos presenten. Objeto y definiciones previas El objeto del RGPD es establecer las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos, protegiendo los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. Seguidamente, se incluyen algunas definiciones conceptuales que es necesario conocer antes de proseguir. Programa Profesional en Ciberseguridad 11 Tema 4. Legislación y jurisprudencia en materia de protección de datos 8 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Aplicación del RGPD El RGPD se aplica a Responsables o Encargados de Tratamiento de datos establecidos en la Unión Europea y se amplía a responsables y encargados no establecidos en la UE siempre que realicen tratamientos derivados de una oferta de Programa Profesional en Ciberseguridad 11 Tema 4. Legislación y jurisprudencia en materia de protección de datos 9 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos bienes o servicios destinados a ciudadanos de la UE o como consecuencia de una monitorización y seguimiento de su comportamiento. ¿Qué implica para los ciudadanos que el RGPD amplíe el ámbito de aplicación territorial? Esta novedad supone una garantía adicional a los ciudadanos europeos. En la actualidad, para tratar datos no es necesario mantener una presencia física sobre un territorio, por lo que el RGPD pretende adaptar los criterios que determinan qué empresas deben cumplirlo a la realidad del mundo de internet. Ello permite que el RGPD sea aplicable a empresas que, hasta ahora, podían estar tratando datos de personas en la UE y, sin embargo, se regían por normativas de otras regiones o países que no siempre ofrecen el mismo nivel de protección que la normativa europea ¿Qué nuevas herramientas de control de sus datos poseen los ciudadanos? El RGPD mantiene los derechos ARCO (acceso, rectificación, cancelación y oposición) de la legislación anterior, pero introduce nuevos elementos, como el derecho al olvido y el derecho a la portabilidad, que mejoran la capacidad de decisión y control de los ciudadanos sobre los datos personales que confían a terceros. Efectivamente, el "derecho al olvido" es el derecho que tienen los ciudadanos a solicitar, y obtener de los responsables, que los datos personales sean suprimidos cuando, entre otros casos, estos ya no sean necesarios para la finalidad con la que fueron recogidos, cuando se haya retirado el consentimiento o cuando estos se hayan recogido de forma ilícita. Asimismo, según la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014, que reconoció por primera vez el derecho al olvido recogido ahora en el RGPD, supone que el interesado puede solicitar que se bloqueen en las listas de resultados de los buscadores los vínculos que conduzcan a informaciones que le Programa Profesional en Ciberseguridad 12 Tema 4. Legislación y jurisprudencia en materia de protección de datos 0 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos afecten que resulten obsoletas, incompletas, falsas o irrelevantes y no sean de interés público, entre otros motivos. Por su parte, el "derecho a la portabilidad" implica que el interesado que haya proporcionado sus datos a un responsable que los esté tratando de modo automatizado podrá solicitar recuperar esos datos en un formato que le permita su traslado a otro responsable. Cuando ello sea técnicamente posible, el responsable deberá trasferir los datos directamente al nuevo responsable designado por el interesado. Las medidas de seguridad El RGPD entiende que actuar sólo cuando ya se ha producido una infracción es insuficiente como estrategia, dado que esa infracción puede causar daños a los interesados que pueden ser muy difíciles de compensar o reparar. Para ello, el RGPD prevé una batería completa de medidas: ► Protección de datos desde el diseño ► Protección de datos por defecto ► Medidas de seguridad ► Mantenimiento de un registro de tratamientos ► Realización de evaluaciones de impacto sobre la protección de datos ► Nombramiento de un delegado de protección de datos ► Notificación de violaciones de la seguridad de los datos ► Promoción de códigos de conducta y esquemas de certificación. El principio de protección de datos desde el diseño tiene como objetivo cumplir los requisitos definidos en el RGPD y, por tanto, los derechos de los interesados y busca Programa Profesional en Ciberseguridad 12 Tema 4. Legislación y jurisprudencia en materia de protección de datos 1 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos que la protección de datos se encuentre presente en las primeras fases de concepción de un proyecto. Estos requisitos se van a traducir en medidas técnicas y organizativas con el objeto de aplicar de forma efectiva los principios de protección de datos e integrar las garantías necesarias en el tratamiento. Un ejemplo de dichas medidas, es que el propio tratamiento incorpore medidas para la minimización de datos, así como la seudoanonimización temprana de los datos personales, es decir, el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional. En el caso de adquisición de productos o contratación de servicios que sean utilizados para la implementación de un tratamiento, entre los elementos que se utilizarán para determinación de la elección entre los disponibles en el mercado ha de figurar el hecho de que se pueda demostrar que en su desarrollo se han implementado los principios de privacidad desde el diseño. El concepto de privacidad por defecto se refiere a que sólo sean objeto de tratamiento los datos personales que sean estrictamente necesarios para cada uno de los fines de tratamiento. Es decir, independientemente del conjunto de datos recogidos por el responsable con el objeto de implementar los distintos servicios que se proporcionan al sujeto de los datos, el responsable ha de compartimentar el uso del conjunto de datos entre los distintos tratamientos, de tal forma que no todos los tratamientos accedan a todos los datos, sino que actúen solo sobre aquellos que sean necesarios y en los momentos en que sea estrictamente necesario. Posibles estrategias básicas que permiten implementar la privacidad por defecto: ► Recogida de datos: analizar los tipos de datos que se recaban con un criterio de minimización en función de los productos y servicios seleccionados por el usuario; ► Tratamiento de los datos: analizar los procesos asociados a dichos tratamientos para que se acceda a los mínimos datos personales necesarios para ejecutarlos; Programa Profesional en Ciberseguridad 12 Tema 4. Legislación y jurisprudencia en materia de protección de datos 2 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos ► Conservación: implementar una política de conservación de datos que permita, con un criterio restrictivo, eliminar aquellos datos que no sean estrictamente necesarios; ► Accesibilidad: limitar el acceso por parte de terceros a dichos datos personales. Por todo ello, el RGPD supone un mayor compromiso de las organizaciones, públicas o privadas, con la protección de datos. En todos los casos: el RGPD prevé que la obligación de adoptar estas medidas, o el modo en que se apliquen, dependerá de factores tales como el tipo de tratamiento, los costes de implantación de las medidas o el riesgo que el tratamiento presenta para los derechos y libertades de los titulares de los datos. Por ello, es necesario que la Organización, cuando trata datos de carácter personal, realice un análisis de riesgo de sus tratamientos para poder determinar qué medidas ha de aplicar y cómo hacerlo. Este análisis podrán ser operaciones muy simples puesto que no lleva a cabo más que unos pocos tratamientos sencillos que no impliquen, por ejemplo, datos sensibles, u operaciones más complejas en entidades que desarrollen muchos tratamientos, que afecten a gran cantidad de interesados o que por sus características requieren de una valoración cuidadosa de sus riesgos. Sea como fuere, Las medidas técnicas y organizativas deberán establecerse teniendo en cuenta: ► El coste de la técnica ► Los costes de aplicación ► La naturaleza, el alcance, el contexto y los fines del tratamiento ► Los riesgos para los derechos y libertades Programa Profesional en Ciberseguridad 12 Tema 4. Legislación y jurisprudencia en materia de protección de datos 3 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Legitimación de los tratamientos El RGPD mantiene el principio recogido en la Directiva 95/46 de que todo tratamiento de datos necesita apoyarse en una base que lo legitime. En concreto, estas bases legitimadoras pueden ser: ► Consentimiento ► Relación contractual. ► Intereses vitales del interesado o de otras personas. ► Obligación legal para el responsable. ► Interés público o ejercicio de poderes públicos. ► Intereses legítimos prevalentes del responsable o de terceros a los que se comunican los datos. Por tanto, en todo tratamiento de datos personales: ► Hay que incluir la base legal sobre la que se desarrolla el tratamiento al proporcionar la información en el momento de recoger los datos de los interesados. ► Hay que especificar y documentar los intereses legítimos en que se fundamentan las operaciones de tratamiento en casos como las Evaluaciones de Impacto sobre la Protección de Datos o en determinadas transferencias internacionales. ► La identificación de la base legal es indispensable para estar en condiciones de demostrar que se cumple con las previsiones del RGPD. ► La identificación y documentación debe adaptarse al tipo de tratamiento y a las características de las organizaciones. Programa Profesional en Ciberseguridad 12 Tema 4. Legislación y jurisprudencia en materia de protección de datos 4 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Respecto del consentimiento como base legitimadora, el RGPD señala que es: >Toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen» (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales). La figura siguiente lo esquematiza: De lo anterior se deduce que no se admiten formas de consentimiento tácito o por omisión, ya que se basan en la inacción. Por otro lado, hay situaciones en las que el consentimiento, además de inequívoco, ha de ser explícito: ► Tratamiento de datos sensibles. ► Adopción de decisiones automatizadas (perfilado). ► Transferencias internacionales. El consentimiento puede ser inequívoco y otorgarse de forma implícita cuando se deduzca de una acción del interesado (por ejemplo, cuando el interesado continúa navegando por una web y acepta así el que se utilicen cookies para monitorizar su navegación). Programa Profesional en Ciberseguridad 12 Tema 4. Legislación y jurisprudencia en materia de protección de datos 5 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Por último, es necesario señalar que el consentimiento tiene que ser verificable y la Organización debe ser capaz de demostrar que el afectado les otorgó su consentimiento. Por ello, es importante revisar los sistemas de registro del consentimiento para que sea posible verificarlo ante una auditoría. Transparencia El deber de transparencia impuesto por el RGPD comporta los siguientes requisitos: ► La información a los interesados, tanto respecto a las condiciones de los tratamientos que les afecten como en la respuesta al ejercicio de derechos, deberá proporcionarse de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. ► Se deberán evitar las fórmulas farragosas y que incorporan remisiones a los textos legales. ► Las cláusulas informativas deberán explicar el contenido al que se refieren de forma clara y accesible para los interesados, con independencia de sus conocimientos en la materia. En relación con la información, se establece una lista exhaustiva de la información que debe proporcionarse a los interesados, en la que se contempla, entre otra: ► Base jurídica del tratamiento ► Intención de realizar transferencias internacionales ► Datos del Delegado de Protección de Datos (si lo hubiere) ► Existencia de decisiones automatizadas (Elaboración de perfiles) La información a los interesados deberá facilitarse por escrito, incluidos los medios electrónicos cuando sea apropiado. Programa Profesional en Ciberseguridad 12 Tema 4. Legislación y jurisprudencia en materia de protección de datos 6 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos La importancia que el RGPD concede a la claridad y accesibilidad de la información se refleja en el hecho de que prevé que pueda proporcionarse en combinación con iconos estandarizados que ofrezcan una visión de conjunto del tratamiento previsto. El diseño de estos iconos deberá hacerlo la Comisión Europea, que ya está trabajando para presentar una propuesta. Principios del tratamiento El RGPD enumera los principios del tratamiento a los que deben estar sometidos todos los tratamientos de datos personales. Son los siguientes: Principio de licitud, lealtad y transparencia Cuando se recaben los datos de carácter personal deben ser tratados de manera lícita, leal y transparente, es decir: ► El tratamiento de los datos personales debe estar amparado en alguna de las bases jurídicas que regula el RGPD. ► Este principio excluye que los datos personales sean tratados de forma desleal o sin proporcionar toda la información necesaria sobre el objeto y fines del tratamiento, sus consecuencias y posibles riesgos, obligando a los responsables que traten los datos personales a ofrecer la mayor transparencia posible sobre el citado tratamiento. Principio de limitación de la finalidad Lo que significa que: ► Los datos personales serán recogidos para unos fines determinados, explícitos y legítimos, y no serán tratados de manera incompatible con otros fines. Programa Profesional en Ciberseguridad 12 Tema 4. Legislación y jurisprudencia en materia de protección de datos 7 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos ► La finalidad del tratamiento de los datos personales ha de estar claramente definida, así como permitida por el ordenamiento jurídico. ► No es posible tratar los datos recabados para una finalidad que no sea compatible con la misma, ya que el RGPD prohíbe el tratamiento de datos para fines no compatibles. Principio de minimización de datos Lo que significa que: ► Los datos personales serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. ► No es posible, según este principio, recabar y tratar datos simplemente por si pudieran resultar útiles o "por tenerlos". Principio de exactitud Lo que significa que: ► Los datos personales serán exactos y si fuera necesario actualizados... ►... , adoptándose medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos respecto a los fines para los que se tratan. Principio del plazo de conservación Lo que implica: ► Los datos personales serán mantenidos de forma que se permita la identificación de los interesados por un plazo de tiempo no superior al necesario para cumplir con los fines del tratamiento. Programa Profesional en Ciberseguridad 12 Tema 4. Legislación y jurisprudencia en materia de protección de datos 8 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos ► La conservación de datos debe limitarse a las finalidades para las cuales se han recabado dichos datos. Una vez cumplidas estas finalidades, los datos deben ser borrados o, al menos, desprovistos de todo elemento que permita identificar a los interesados. Principio de integridad y seguridad Lo que significa: ► Los datos personales serán tratados de manera que se garantice su adecuada seguridad, incluyendo la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, aplicando las medidas técnicas y de organización apropiadas. ► De acuerdo a este principio, los que traten los datos personales deben actuar proactivamente con el objetivo de protegerlos frente a cualquier riesgo que amenace su seguridad. Principio de responsabilidad proactiva Lo que implica que: ► Los responsables y encargados de tratamiento deben cumplir estos principios y capaz de demostrar dicho cumplimiento. ► El RGPD establece un catálogo de medidas que ambos deben aplicar para garantizar que los tratamientos de los datos son conformes con ambas normas. Derechos de los ciudadanos Como hemos dicho, e RGPD contiene los ya tradicionales derechos ARCO (acceso, rectificación, cancelación y oposición) y también algunos nuevos derechos. Además, establece condiciones concretas sobre el procedimiento a seguir para atender a los interesados en el ejercicio de sus derechos. Programa Profesional en Ciberseguridad 12 Tema 4. Legislación y jurisprudencia en materia de protección de datos 9 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos E I procedimiento para el ejercicio de derechos debe atenerse a los siguientes elementos: ► Con carácter general, los responsables deben facilitar a los interesados el ejercicio de sus derechos, y los procedimientos y las formas para ello deben ser visibles, accesibles y sencillos. Se requiere que los responsables posibiliten la presentación de solicitudes por medios electrónicos, especialmente cuando el tratamiento se realiza por estos medios. ► El ejercicio de los derechos será gratuito para el interesado, excepto en los casos en que se formulen solicitudes manifiestamente infundadas o excesivas, especialmente por repetitivas, el responsable podrá cobrar un canon que compense los costes administrativos de atender a la petición o negarse a actuar (el canon no podrá implicar un ingreso adicional para el responsable, sino que deberá corresponderse efectivamente con el verdadero coste de la tramitación de la solicitud). Por su parte, las obligaciones de los Responsables pasarán, entre otras, por: ► Articular procedimientos que permitan que los interesados puedan acreditar que han ejercido sus derechos por medios electrónicos (actualmente, en muchas ocasiones, no es viable). ► El responsable debe demostrar el carácter infundado o excesivo de las solicitudes que tengan un coste para el interesado. ► El responsable deberá informar al interesado sobre las actuaciones derivadas de su petición en el plazo de un mes (podrá extenderse dos meses más cuando se trate de solicitudes especialmente complejas y deberá notificar esta ampliación dentro del primer mes). ► Si el responsable decide no atender una solicitud, deberá informar de ello, motivando su negativa, dentro del plazo de un mes desde su presentación. Programa Profesional en Ciberseguridad 13 Tema 4. Legislación y jurisprudencia en materia de protección de datos 0 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Se analizan seguidamente los extremos más importantes de cada uno de los derechos. Derecho de acceso Se reconoce el derecho a obtener una copia de los datos personales objeto del tratamiento. Los responsables podrán atender a este derecho facilitando el acceso remoto a un sistema seguro que ofrezca al interesado un acceso directo a sus datos personales. Derecho al olvido No está considerado un derecho autónomo o diferenciado de los clásicos derechos ARCO, sino la consecuencia de la aplicación del derecho al borrado de los datos personales. Es una manifestación de los derechos de cancelación u oposición en el entorno online (según la jurisprudencia que el Tribunal de Justicia de la UE estableció en el caso Google Spain). Los responsables que actualmente aplican esta jurisprudencia no tienen que introducir ninguna modificación en sus prácticas. Los responsables que hayan hecho públicos los datos personales deberán adoptar medidas técnicas para informar a otros responsables de la solicitud del interesado de borrar su información personal. Limitación de tratamiento La limitación de tratamiento supone que, a petición del interesado, no se aplicarán a sus datos personales las operaciones de tratamiento que en cada caso corresponderían. Programa Profesional en Ciberseguridad 13 Tema 4. Legislación y jurisprudencia en materia de protección de datos 1 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos ► Se puede solicitar la limitación cuando: El interesado ha ejercido los derechos de rectificación u oposición y el responsable está en proceso de determinar si procede atender a la solicitud. El tratamiento es ilícito, lo que determinaría el borrado de los datos, pero el interesado se opone a ello. Los datos ya no son necesarios para el tratamiento, que también determinaría su borrado, pero el interesado solicita la limitación porque los necesita para la formulación, el ejercicio o la defensa de reclamaciones. En el tiempo que dure la limitación, el responsable sólo podrá tratar los datos afectados, más allá de su conservación: ► Con el consentimiento del interesado ► Para la formulación, el ejercicio o la defensa de reclamaciones ► Para proteger los derechos de otra persona física o jurídica ► Por razones de interés público importante de la Unión o del Estado miembro correspondiente. La limitación de tratamiento es un derecho de los interesados que no debe confundirse con el bloqueo de datos que existe en la legislación española. A este derecho se le aplican los mismos plazos y procedimientos que a los restantes derechos previstos en el RGPD. Como consecuencia de esta regulación, se impide la práctica habitual consisten te en borrar los datos cuando se ejercitan otros derechos, como el de acceso, ya que impediría el ejercicio del derecho a la limitación del tratamiento. Programa Profesional en Ciberseguridad 13 Tema 4. Legislación y jurisprudencia en materia de protección de datos 2 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Portabilidad El derecho a la portabilidad de los datos es una forma avanzada del derecho de acceso por el cual la copia que se proporciona al interesado debe ofrecerse en un formato estructurado, de uso común y lectura mecánica. Este derecho sólo puede ejercerse: ► Cuando el tratamiento se efectúe por medios automatizados ► Cuando el tratamiento se base en el consentimiento o en un contrato ► Cuando el interesado lo solicita respecto a los datos que haya proporcionado al responsable y que le conciernan, incluidos los datos derivados de la propia actividad del interesado. El derecho a la portabilidad implica que los datos personales del interesado se transmiten directamente de un responsable a otro, sin necesidad de que sean transmitidos previamente al propio interesado, siempre que ello sea técnicamente posible. Este derecho no es aplicable: ► A los datos de terceras personas que un interesado haya facilitado a un RT. ► En caso de que el interesado haya solicitado la portabilidad de datos que le incumban pero que hayan sido proporcionados al RT por terceros. El Comité Europeo de Protección de Datos (antes Grupo de Autoridades Europeas de Protección de Datos o Grupo del Artículo 29) ha señalado unas Directrices (13.12.2016) en las que se analizan detalladamente este derecho. Programa Profesional en Ciberseguridad 13 Tema 4. Legislación y jurisprudencia en materia de protección de datos 3 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Relaciones Responsable - Encargado Con la regulación europea anterior (Directiva 95/46) y, en general, las leyes nacionales se centran en la actividad de los responsables. Tres la plena aplicación del RGPD, este Reglamento contiene obligaciones expresamente dirigidas a los encargados. En todo caso, la responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. En determinadas materias los encargados tienen obligaciones propias que establece el RGPD (no circunscritas al ámbito del contrato que los une al responsable), y que pueden ser supervisadas separadamente por las autoridades de protección de datos. Por ejemplo: ► Deben mantener un registro de actividades de tratamiento. ► Deben determinar las medidas de seguridad aplicables a los tratamientos que realizan. ► Deben designar a un Delegado de Protección de Datos en los casos previstos por el RGPD. Los encargados pueden adherirse a códigos de conducta o certificarse en el marco de los esquemas de certificación previstos por el RGPD. Respecto de la elección del Encargado del Tratamiento por parte del Responsable, según el RGPD, el responsable deberá adoptar medidas apropiadas, incluida la elección de encargados, de forma que garantice y esté en condiciones de demostrar que el tratamiento se realiza conforme el RGPD (principio de responsabilidad activa). Programa Profesional en Ciberseguridad 13 Tema 4. Legislación y jurisprudencia en materia de protección de datos 4 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Por otra parte, las relaciones entre el responsable y el encargado deben formalizarse en un contrato que vincule al encargado respecto al responsable. El RGPD regula de forma minuciosa el contenido mínimo de los contratos de encargo, debiendo preverse aspectos como: ► Objeto, duración, naturaleza y la finalidad del tratamientos ► Tipo de datos personales y categorías de interesados ► Obligación del encargado de tratar los datos personales únicamente siguiendo instrucciones documentadas del responsable ► Condiciones para que el responsable pueda dar su autorización previa, específica o general, a las subcontrataciones ► Asistencia al responsable, siempre que sea posible, en la atención al ejercicio de derechos de los interesados... La AEPD y las autoridades de protección de datos autonómicas han preparado unas directrices para la redacción de estos contratos. Posteriormente, y de acuerdo con lo previsto en el Reglamento, la AEPD podrá elaborar clausulados modelo que deberán ser aprobados por el futuro Comité Europeo de Protección de Datos. La Comisión Europea también podrá preparar cláusulas contractuales modelo. Programa Profesional en Ciberseguridad 13 Tema 4. Legislación y jurisprudencia en materia de protección de datos 5 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Análisis de riesgos El RGPD condiciona la adopción de las medidas de responsabilidad activa al RIESGO que los tratamientos puedan suponer para los derechos y libertades de los interesados. Se maneja el riesgo de dos maneras: ► En algunos casos, prevé que determinadas medidas solo deberán aplicarse cuando el tratamiento suponga un alto riesgo para los derechos y libertados (por ejemplo, Evaluaciones de impacto sobre la Protección de Datos). ► En otros casos, las medidas deberán modularse en función del nivel y tipo de riesgo que el tratamiento conlleve (por ejemplo, con las medidas de Protección de Datos desde el Diseño o con las medidas de seguridad). Todos los RT deberán realizar una valoración del riesgo de los tratamientos que realicen, a fin de poder establecer QUÉ medidas deben aplicar y CÓMO deben hacerlo. El tipo de análisis variará en función de: ► los tipos de tratamiento, ► la naturaleza de los datos, ► el número de interesados afectados, ► la cantidad y variedad de tratamientos que una misma organización lleve a cabo. Grandes organizaciones: como regla general, el análisis deberá llevarse a cabo utilizando alguna de las metodologías de análisis de riesgo existentes. Organizaciones de menor tamaño y con tratamientos de poca complejidad: el análisis será el resultado de una reflexión documentada, sobre las implicaciones de los tratamientos en los derechos y libertades de los interesados. Programa Profesional en Ciberseguridad 13 Tema 4. Legislación y jurisprudencia en materia de protección de datos 6 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Podemos formular una serie de preguntas para determinar el riesgo: ► ¿Se tratan datos sensibles? ► ¿Se incluyen datos de una gran cantidad de personas? ► ¿Incluye el tratamiento la elaboración de perfiles? ► ¿Se cruzan los datos obtenidos de los interesados con otros disponibles en otras fuentes? ► ¿Se pretende utilizar los datos obtenidos para una finalidad para otro tipo de finalidades? ► ¿Se están tratando grandes cantidades de datos, incluido con técnicas de análisis masivo tipo big data? ► ¿Se utilizan tecnologías especialmente invasivas para la privacidad, como las relativas a geolocalización, videovigilancia a gran escala o ciertas aplicaciones del Internet de las Cosas? Registro de actividades de tratamiento Responsables y encargados deberán mantener un registro de operaciones de tratamiento en el que se contenga la información: ► Nombre y datos de contacto del responsable y del Delegado de Protección de Datos, si existiese. ► Finalidades del tratamiento. ► Descripción de categorías de interesados y categorías de datos personales tratados. ► Transferencias internacionales de datos... Programa Profesional en Ciberseguridad 13 Tema 4. Legislación y jurisprudencia en materia de protección de datos 7 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Están exentas las organizaciones que empleen a menos de 250 trabajadores, salvo que el tratamiento que realicen pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional o incluya categorías especiales de datos o datos relativos a condenas e infracciones penales. Al objeto de satisfacer estos requisitos, pueden realizarse las siguientes recomendaciones: En primer lugar, las posibilidades para organizar el registro de actividades de tratamiento pueden ser: ► Partir de los ficheros actualmente notificados a la AEPD, detallando todas las operaciones que se realizan sobre cada conjunto estructurado de datos. ► En torno a operaciones de tratamiento concretas vinculadas a una finalidad básica común de todas ellas (por ejemplo, "gestión del padrón", "gestión contable" o "gestión de recursos humanos y nóminas") o con arreglo a otros criterios distintos. Con la finalidad de facilitar a los responsables la constitución de estos registros, la AEPD permitió, con antelación suficiente a la fecha de aplicación del RGPD, que los responsables puedieran obtener de forma automatizada toda la información que sobre sus propios ficheros o tratamientos hayan notificado al Registro General. Programa Profesional en Ciberseguridad 13 Tema 4. Legislación y jurisprudencia en materia de protección de datos 8 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Notificaciones de violaciones de datos El RGPD define las violaciones de seguridad de los datos ("brechas de seguridad'), de la siguiente forma: «TODO INCIDENTE que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos» (Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)). Cuando se produzca una violación de la seguridad de los datos, el responsable debe notificarla a la autoridad de protección de datos competente, salvo que sea improbable que la violación suponga un riesgo para los derechos y libertades de los afectados. La notificación de la quiebra a las autoridades debe producirse sin dilación indebida y, a ser posible, dentro de las 72 horas siguientes a que el responsable tenga constancia de ella. La notificación ha de incluir un contenido mínimo: ► la naturaleza de la violación ► categorías de datos y de interesados afectados ► medidas adoptadas por el responsable para solventar la quiebra ► si procede, las medidas aplicadas para paliar los posibles efectos negativos sobre los interesados. Los Responsables de Tratamiento deben documentar todas las violaciones de seguridad. Programa Profesional en Ciberseguridad 13 Tema 4. Legislación y jurisprudencia en materia de protección de datos 9 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos En los casos en que sea probable que la violación de seguridad entrañe un alto riesgo para los derechos o libertades de los interesados, la notificación a la autoridad de supervisión deberá complementarse con una notificación dirigida a los interesados (objetivo a permitir que puedan tomar medidas para protegerse de sus consecuencias. Debe realizarse sin dilación indebida, sin hacer referencia ni al momento en que se tenga constancia de ella ni tampoco a la posibilidad de efectuar la notificación dentro de un plazo de 72 horas.) El RGPD añade a los contenidos de la notificación las recomendaciones sobre las medidas que pueden tomar los interesados para hacer frente a las consecuencias de la brecha. Se trata de establecer hasta qué punto el incidente, por sus características, el tipo de datos a los que se refiere o el tipo de consecuencias que puede tener para los afectados puede causar un daño en sus derechos o libertades. Los daños pueden ser materiales o inmateriales, e ir desde la posible discriminación de los afectados como consecuencia de su uso por quien ha accedido a ellos de forma no autorizada hasta usurpación de identidad, pasando por perjuicios económicos o la exposición pública de datos confidenciales. La mera sospecha de quiebra o la constatación de que ha sucedido algún tipo de incidente sin que se conozcan mínimamente sus circunstancias no deberían dar lugar, todavía, a la notificación, dado que en esas condiciones no sería posible, en la mayoría de los casos, determinar hasta qué punto puede existir un riesgo para los derechos y libertades de los interesados. Programa Profesional en Ciberseguridad 14 Tema 4. Legislación y jurisprudencia en materia de protección de datos 0 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos En caso de quiebras que pudieran tener gran impacto, sí podría ser recomendable contactar con la autoridad de supervisión tan pronto como existan evidencias, sin perjuicio de que esos primeros contactos puedan completarse con una notificación formal más completa dentro del plazo legalmente previsto. Si la notificación no puede realizarse dentro de esas 72 horas (por la complejidad en determinar su alcance), es posible hacer la notificación con posterioridad, acompañándola de una explicación de los motivos que han ocasionado el retraso. La información puede proporcionarse de forma escalonada cuando no sea posible hacerlo en el mismo momento de la notificación. El criterio de alto riesgo debe entenderse en el sentido de que sea probable que la violación de seguridad ocasione daños significativos a los interesados a Por ejemplo, en casos en que se desvele información confidencial, como contraseñas o participación en determinadas actividades, se difundan masivamente datos sensibles o se puedan producir perjuicios económicos para los afectados. La notificación a los interesados no será necesaria cuando: ► El RT hubiera tomado medidas técnicas u organizativas apropiadas con anterioridad a la violación de seguridad, en particular las medidas que hagan ininteligibles los datos para terceros, como sería el cifrado. ► Cuando el RT haya tomado con posterioridad a la quiebra medidas técnicas que garanticen que ya no hay posibilidad de que el alto riesgo se materialice. ► Cuando la notificación suponga un esfuerzo desproporcionado, debiendo en estos casos sustituirse por medidas alternativas como puede ser una comunicación pública. Programa Profesional en Ciberseguridad 14 Tema 4. Legislación y jurisprudencia en materia de protección de datos 1 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos La AEPD estableció en su momento un canal específico para la notificación de las quiebras de seguridad en el ámbito de las comunicaciones electrónicas, que resultaba obligatoria en aplicación de las previsiones de la Directiva 2002/58 y la normativa nacional de trasposición. Durante el periodo transitorio hasta la aplicación del RGPD la AEPD adaptará este canal para que pueda ser utilizado para la comunicación de las violaciones de seguridad en el marco del RGPD. Asimismo, el Grupo del Artículo 29 preparará un formulario estandarizado a nivel europeo tanto para ayudar a los responsables a presentar unas notificaciones completas de acuerdo con los criterios del RGPD como para que esas notificaciones se realicen de forma armonizada a en toda la Unión Europea. Evaluaciones de impacto Los Responsables de Tratamiento deberán realizar una Evaluación de Impacto sobre la Protección de Datos (EIPD) con carácter previo a la puesta en marcha de aquellos tratamientos que sea probable que conlleven un alto riesgo para los derechos y libertades de los interesados. El RGPD establece un contenido mínimo de las Evaluaciones de Impacto sobre la Protección de Datos, aunque no contempla ninguna metodología específica para su realización (La AEPD publicó en 2014 una Guía sobre estas Evaluaciones que será actualizada y publicada durante el periodo transitorio para incorporar las novedades del RGPD). Si EIPD hayan identificado un alto riesgo que, a juicio del RT no pueda mitigarse por medios razonables en términos de tecnología disponible y costes de aplicación, el RT deberá consultar a la autoridad de protección de datos competente. Programa Profesional en Ciberseguridad 14 Tema 4. Legislación y jurisprudencia en materia de protección de datos 2 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos La consulta debe ir acompañada de la documentación que prevé el RGPD, incluyendo la propia Evaluación de Impacto, y la autoridad de supervisión puede emitir recomendaciones o ejercer cualquier otro de los poderes que el RGPD le confiere, entre ellos el de prohibir la operación de tratamiento. Lista indicativa de supuestos que conllevan un ALTO RIESGO: ► Elaboración de perfiles sobre cuya base se tomen decisiones que produzcan efectos jurídicos sobre los interesados o que les afecten significativamente de modo similar ► Tratamientos a gran escala de datos sensibles ► Observación sistemática a gran escala de una zona de acceso público Para valorar si un tratamiento se realiza A GRAN ESCALA debe tenerse en cuenta: ► El número de interesados afectados (en términos absolutos o como proporción de una determinada población) ► El volumen de datos y la variedad de datos tratados ► La duración o permanencia de la actividad de tratamiento ► La extensión geográfica de la actividad de tratamiento Las autoridades de protección de datos están obligadas a confeccionar listas adicionales de tratamientos que requerirán una EIPD. La AEPD elaborará esa lista con anterioridad a la aplicación del RGPD, dado que tiene que ser sometida a la aprobación del futuro Comité Europeo de Protección de Datos y éste sólo se constituirá a partir de la fecha de aplicación del RGPD. También está previsto que las autoridades puedan elaborar listas de tratamientos en los que NO se precisa EIPD. Programa Profesional en Ciberseguridad 14 Tema 4. Legislación y jurisprudencia en materia de protección de datos 3 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos La existencia de estos listados no excluye el que los Responsables de Tratamiento deban realizar el correspondiente análisis de riesgo y, en su consecuencia, lleven a cabo una EIPD. El RGPD se basa en un principio de responsabilidad activa del Responsables de Tratamiento y es éste siempre en último extremo el que debe decidir qué medidas aplicar y cómo hacerlo. La intervención de las autoridades de supervisión o las previsiones del propio RGPD aclaran sus disposiciones o las especifican, pero no sustituyen la responsabilidad de quienes tratan los datos. Es posible realizar una única EIPD para varios tratamientos similares que entrañen altos riesgos también similares. Puede ser necesario llevar a cabo una nueva evaluación cuando cambien las condiciones del tratamiento o cuando varíen los riesgos asociados al mismo. La AEPD y las autoridades de protección de datos autonómicas publicarán, durante el periodo transitorio, herramientas que ayuden a las empresas a determinar la necesidad de realizar EIPD. Igualmente, el Grupo del Artículo 29 prepara un dictamen, que se publicará en el primer semestre de 2017, sobre la noción de alto riesgo asociada a la obligatoriedad de llevar a cabo Evaluaciones de Impacto. Programa Profesional en Ciberseguridad 14 Tema 4. Legislación y jurisprudencia en materia de protección de datos 4 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Delegado de Protección de Datos El RGPD establece la figura del Delegado de Protección de Datos (DPD), que será OBLIGATORIO en: ► Autoridades y organismos públicos (Se podrá designar un único delegado de protección de datos para varios organismos, teniendo en cuenta su estructura organizativa y tamaño). ► RT o ET que tengan entre sus actividades principales las operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala ► RT o ET que tengan entre sus actividades principales el tratamiento a gran escala de datos sensibles El DPD ha de ser nombrado atendiendo a sus cualificaciones profesionales y, en particular, a su conocimiento de la legislación y la práctica de la protección de datos. Los conocimientos jurídicos en la materia son imprescindibles necesarios. También es necesario contar con conocimientos en materia de tecnología aplicada al tratamiento de datos o en relación con el ámbito de actividad de la organización en la que el DPD desempeña su tarea. El DPD podrá formar parte de la plantilla del RT o del ET del tratamiento o desempeñar sus funciones en el marco de un contrato de servicios. La designación del DPD y sus datos de contacto deben hacerse públicos por los RT y ET y deberán ser comunicados a las autoridades de supervisión competentes. Programa Profesional en Ciberseguridad 14 Tema 4. Legislación y jurisprudencia en materia de protección de datos 5 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos ► La posición del DPD en las organizaciones tiene que cumplir los requisitos establecidos, entre los que se encuentran: total autonomía en el ejercicio de sus funciones necesidad de que se relacione con el nivel superior de la dirección obligación de que el RT o el ET faciliten al DPD todos los recursos necesarios para desarrollar su actividad Se permite nombrar un solo DPD para un grupo empresarial siempre que sea accesible desde cada establecimiento del grupo. La AEPD ha optado por promover un sistema de certificación de profesionales de protección de datos como herramienta útil a la hora de evaluar que los candidatos a ocupar el puesto de DPD reúnen las cualificaciones profesionales y los conocimientos requeridos. Las certificaciones serán otorgadas por entidades certificadoras debidamente acreditadas por la Entidad Nacional de Acreditación, siguiendo criterios de acreditación y certificación elaborados por la AEPD en colaboración con los sectores afectados. La certificación no será un requisito indispensable para el acceso al cargo de DPD, ► Es solo una opción a disposición de responsables y encargados para facilitar su selección de los profesionales llamados a ocupar el puesto de DPD. ► Los responsables y encargados pueden tomar en consideración otras cuestiones u otros medios para demostrar la competencia de los DPD. Programa Profesional en Ciberseguridad 14 Tema 4. Legislación y jurisprudencia en materia de protección de datos 6 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos Se permite que el DPD mantenga con RT o ET una relación laboral o mediante un contrato de servicios. Es decir, permite que pueda contratarse el servicio de DPD con personas físicas o jurídicas ajenas a la organización. El DPD puede desarrollar sus funciones a tiempo completo o parcial. Es preciso evitar que existan conflictos de intereses. Estos conflictos pueden surgir cuando el DPD, en su tarea de supervisión de las actividades de tratamiento de datos llevadas a cabo por la organización, debe valorar su propio trabajo dentro de ella, como sucede si se designa DPD al responsable de tecnologías de la información (cuando estas tecnologías se emplean para el tratamiento de datos) o al responsable de un área de negocio que decide sobre determinados tratamientos. El RGPD prevé también el catálogo de funciones del DPD, entre las que se incluyen las relativas a actuar como punto de contacto para los interesados en todo lo que tenga relación con el tratamiento de sus datos personales. Programa Profesional en Ciberseguridad 14 Tema 4. Legislación y jurisprudencia en materia de protección de datos 7 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos El Grupo del Artículo 29 ha publicado un Dictamen sobre la designación de los DPD y diversos aspectos de esta figura. El Esquema de Certificación de la AEPD contempla: Prerrequisitos de los candidatos: ► Posibilidad 1 a Experiencia 5 años ► Posibilidad 2 a Experiencia 3 años+ Formación 60h. ► Posibilidad 3 a Experiencia 2 años + Formación 100h. ► Posibilidad 4 a Formación 180h. Formación por entidad reconocida: Universidades, colegios profesionales, asociaciones profesionales o instituciones equivalentes, públicas o privadas, reguladas por una administración pública. E I EXAMEN engloba una prueba que consta de 150 preguntas tipo test, siendo necesario para su aprobación haber superado el 75% de las mismas. El 20% de las Programa Profesional en Ciberseguridad 14 Tema 4. Legislación y jurisprudencia en materia de protección de datos 8 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos preguntas, es decir, 30 preguntas, describirán un escenario práctico (de carácter normativo, organizativo y técnico) sobre el que versará la pregunta. Transferencias internacionales El modelo de transferencias internacionales diseñado por el RGPD sigue los mismos criterios que el establecido por la Directiva 95/46 y por las legislaciones nacionales de trasposición. Los datos solo podrán ser comunicados fuera del Espacio Económico Europeo: ► A países, territorios o sectores específicos (el RGPD incluye también organizaciones internacionales) sobre los que la Comisión haya adoptado una decisión reconociendo que ofrecen un nivel de protección adecuado ► Cuando se hayan ofrecido garantías adecuadas sobre la protección que los datos recibirán en su destino ► Cuando se aplique alguna de las excepciones que permiten transferir los datos sin garantías de protección adecuada por razones de necesidad vinculadas al propio interés del titular de los datos o a intereses generales Aspectos a tener en cuenta: ► Las decisiones de adecuación que la Comisión ha adoptado con anterioridad a la aplicación del RGPD seguirán siendo válidas y podrán seguir realizándose transferencias basadas en ellas, en tanto la Comisión no las sustituya o derogue. ► Las decisiones de la Comisión estableciendo cláusulas tipo para los contratos en los que se establecen garantías para las transferencias internacionales seguirán siendo válidas hasta que la Comisión las sustituya o derogue. ► Las autorizaciones de transferencias que las autoridades nacionales de protección de datos hayan otorgado sobre la base de garantías contractuales seguirán siendo válidas en tanto no se revoquen. Programa Profesional en Ciberseguridad 14 Tema 4. Legislación y jurisprudencia en materia de protección de datos 9 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos ► Las garantías que recibirán los datos en destino las debe ofrecer el exportador (un responsable o un encargado de tratamiento). Por otro lado, se amplía la lista de posibles instrumentos para ofrecer garantías: las Normas Corporativas Vinculantes para RT y ET, los códigos de conducta y esquemas de certificación, así como los cláusulas contractuales modelo que puedan aprobar las autoridades de protección de datos. En los casos de Normas Corporativas Vinculantes, cláusulas contractuales estándar, códigos de conducta y esquemas de certificación, la transferencia no requerirá la autorización de las autoridades de supervisión. Excepción: Posibilidad de que el RT pueda transferir datos a un país sin nivel adecuado de protección cuando la transferencia sea necesaria para satisfacer intereses legítimos imperiosos del responsable, no es repetitiva y afecta sólo a un número limitado de interesados, siendo solo posible si no prevalecen los derechos, libertades e intereses de los afectados y debiendo comunicarse a la Autoridad de Protección Datos. Tratamiento de datos de menores El RGPD se refiere en varios lugares a los tratamientos de los datos de los menores: ► En la regulación de los intereses legítimos del RT como base legal para el tratamiento, señalándose que no será aplicable cuando prevalezcan los derechos, libertades o intereses de los interesados que requieran protección de datos personales, especialmente cuando esos interesados sean niños. ► Al señalar que la información que se ofrece a los interesados... deberá ser especialmente concisa, transparente, inteligible y proporcionada con lenguaje claro y sencillo cuando los interesados sean niños. ► En el contexto del derecho al borrado de los datos personales. Programa Profesional en Ciberseguridad 15 Tema 4. Legislación y jurisprudencia en materia de protección de datos 0 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos ► Al establecer que las actividades de formación y sensibilización dirigidas a los niños. ► Los Considerandos del RGPD en la realización de perfiles. La mención más explícita a los menores (niños, en la terminología del RGPD) está relacionada con la obtención del consentimiento en el ámbito de la oferta directa de servicios de la sociedad de la información. El RGPD prevé que en ese entorno, el consentimiento solo será válido a partir de los 16 años, debiendo contar con la autorización de los padres o tutores legales por debajo de esa edad. El RGPD permite a los estados miembros establecer una edad inferior, siempre que no sea menor de 13 años. Es de esperar que muchos estados miembros hagan uso de esta posibilidad y adopten regulaciones propias. En el caso de España, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de datos personales y garantías de los derechos digitales el consentimiento de los menores es válido en los 14 años con carácter general. El RGPD requiere que los RT hagan esfuerzos razonables, teniendo en cuenta la tecnología disponible, para verificar que, para los niños menores de la edad que se fije como límite, el consentimiento se ha dado o se ha autorizado por los padres o tutores del menor. Es una obligación de medios o procedimientos razonables para establecer la intervención real de padres o tutores. Sanciones La LOPDGDD prevé importantes sanciones por incumplimiento, a saber: ► Sanciones para infracciones Leves: multa de hasta 40.000 € ► Sanciones Graves: multa de 40.001 € a 300.000 € Programa Profesional en Ciberseguridad 15 Tema 4. Legislación y jurisprudencia en materia de protección de datos 1 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos ► Sanciones Muy Graves: multa entre 300.001 € a 20.000.000 € Finalmente, sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro. Acciones de cumplimiento Para asegurar el cumplimiento con la normativa de Protección de Datos (RGPD y LOPDGDD) es necesario desarrollar las siguientes acciones: ► Identificar las finalidades y la base jurídica de los tratamientos que se llevan a cabo. ► Cuando el tratamiento persiga el cumplimiento de una tarea en interés público o el ejercicio de poder públicos, es necesario que el interés público como los poderes públicos que justifican el tratamiento deben estar establecidos en una norma de rango legal. ► Cuando la base jurídica de los tratamientos sea el consentimiento, tal consentimiento debe ser informado, libre, específico y otorgado por los interesados mediante una manifestación que muestre su voluntad de consentir o mediante una clara acción afirmativa. ► Debe adecuarse la información que se ofrece a los interesados a las exigencias del RGPD (arts. 13 y 14), cuando se recaban sus datos. ► Deben establecerse mecanismos visibles, accesibles y sencillos, incluidos los medios electrónicos, para el ejercicio de derechos. ► Deben establecerse procedimientos que permitan responder a los ejercicios de derechos en los plazos previstos por el RGPD. ► Debe valorarse si los encargados con los que haya contratado (o vaya a contratar) Programa Profesional en Ciberseguridad 15 Tema 4. Legislación y jurisprudencia en materia de protección de datos 2 © Universidad Internacional de La Rioja (UNIR)  Tema 4. Legislación y jurisprudencia en materia de protección de datos operaciones de tratamiento ofrecen garantías de cumplimiento del RGPD. ► Deben adecuarse los contratos de encargo que actualmente tengan suscritos a las previsiones del RGPD. ► Hay que desarrollar un análisis del riesgo para los derechos y libertades de los ciudadanos de todos los tratamientos de datos que se acometan. ► Debe establecerse un Registro de Actividades de Tratamiento. ► Deben revisarse las medidas de seguridad que se aplican a los tratamientos, a la luz de los resultados del análisis de riesgo de los mismos. ► Deben establecerse mecanismos para identificar con rapidez la existencia de violaciones de seguridad de los datos y reaccionar ante ellas. ► Necesidad de valorar si los tratamientos que se realizan requieren una Evaluación de Impacto sobre la Protección de Datos porque supongan un alto riesgo para los derechos y libertades de los interesados y de disponer de una metodología para llevarla a cabo. ► Valorar la necesidad de designar un Delegado de Protección de Datos (DPD/DPO). ► Valorar la necesidad de adaptar los instrumentos de transferencia internacional de datos personales a las previsiones del RGPD. Programa Profesional en Ciberseguridad 15 Tema 4. Legislación y jurisprudencia en materia de protección de datos 3 © Universidad Internacional de La Rioja (UNIR)