¿Preguntas frecuentes sobre el RGPD?

¿Cuál es el propósito del RGPD?

Proteger a los ciudadanos contra usos maliciosos de sus datos personales y responsabilizar a las organizaciones. De hecho, deben garantizar una protección óptima de los datos y poder demostrarla (documentación).

Cómo entender “datos personales”?

Dato personal es cualquier información relativa a una persona física identificada o identificable. En efecto, una persona física puede ser identificada directa o indirectamente (por ejemplo, nombre, número de identificación, datos de ubicación, identificador en línea, elementos específicos de su identidad física, fisiológica, genética, psicológica, económica, cultural o social). Por lo tanto, es probable que identificadores como una dirección IP identifiquen al menos indirectamente a una persona física.

L¿Los territorios se ven afectados por el RGPD?

El RGPD establece criterios territoriales especialmente amplios. Además, el RGPD cubre casi todos los tratamientos realizados por actores ubicados en la Unión Europea o relacionados con personas ubicadas en este territorio.

¿Cuáles son los tratamientos en cuestión?

Desde el 25 de mayo de 2018, todas las estructuras que procesan datos personales deben cumplir con el RGPD.
Además, el RGPD se aplica al procesamiento automatizado de datos personales y al procesamiento no automatizado de estos datos (contenidos o destinados a aparecer en un archivo).

Para cumplir con la normativa, el procesamiento debe ser legal. ¿Cuáles son las condiciones?

Cualquier tratamiento debe ser:

• necesario para:
  • salvaguardar los intereses vitales del interesado
  • cumplimiento de una obligación legal que incumbe al responsable del tratamiento
  • la gestión de una misión de servicio público, una misión de interés público relacionada con el ejercicio del poder público conferido al controlador
  • la ejecución de un contrato al cual o medidas precontractuales,
  • el interés legítimo perseguido, sin perjuicio de preservar el interés o los derechos y libertades fundamentales del interesado
• han recibido el consentimiento previo del interesado.

¿Qué nuevas obligaciones?

Las organizaciones tienen las siguientes obligaciones:

1. designar un delegado de protección de datos (DPO) para determinadas organizaciones
2. llevar un registro de procesamiento cuando tengan más de 250 empleados o realicen ciertos tipos de procesamiento
3. implementar procedimientos internos para garantizar la protección de datos desde el diseño del procesamiento
4. realizan análisis de impacto previos a la implementación de determinados tratamientos
5. revisar los avisos informativos, así como los métodos para la obtención del consentimiento para el tratamiento sujeto al consentimiento.
6. ha creado un sistema de notificación a la CNIL en caso de violación de datos que suponga un riesgo para los derechos y libertades de las personas físicas (la notificación se extiende a todas ellas si el riesgo es elevado).
7. establecen contratos escritos con subcontratistas y con responsables conjuntos de datos dividiendo claramente las funciones y responsabilidades de cada uno.

¿Quién debe nombrar un DPO?

Las organizaciones:

• • que son “autoridades u organismos públicos, con excepción de los tribunales que actúan en el ejercicio de su función jurisdiccional” (incluidos los organismos de derecho privado encargados de una misión de interés público o que ejercen prerrogativas del poder público)
  • cuyas actividades básicas consisten en “operaciones de tratamiento que, por su naturaleza, su alcance y/o sus finalidades, requieren un seguimiento regular y sistemático a gran escala de las personas interesadas”
  • cuya actividad es el procesamiento a gran escala de categorías de datos sensibles o datos relacionados con delitos o condenas.

¿A qué organizaciones afecta el registro de procesamiento?

El registro de procesamiento es obligatorio para todas las organizaciones. Sin embargo, para tener en cuenta la situación particular de las micro, pequeñas y medianas empresas, el RGPD prevé una exención para las organizaciones con menos de 250 empleados. Sin embargo, estas exenciones no son válidas si:

1. las operaciones de tratamiento pueden implicar un riesgo para los derechos y libertades de las personas interesadas,
2. si no son ocasionales
3. si se refieren a las categorías especiales de datos mencionadas en el artículo 9, apartado 1 (revelan origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas o afiliación sindical), el procesamiento de datos genéticos, datos biométricos, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física, o datos relativos a condenas penales y delitos mencionados en el artículo 10.

¿Cuándo realizar un análisis de impacto?

Se debe realizar un análisis de impacto para operaciones de procesamiento que puedan generar un alto riesgo para los derechos y libertades de las personas físicas.

¿Qué nuevas disposiciones para los subcontratistas?

El contrato es obligatorio. De lo contrario, cada parte podrá ser severamente sancionada. Además, incluso cuando los subcontratistas no sean solidariamente responsables del tratamiento, podrán serlo solidariamente.

¿Qué pasa con las sanciones en caso de incumplimiento de lo dispuesto en el RGPD?

El RGPD añade dos multas administrativas cuyo importe varía según la situación, siendo el mayor de los dos importes entre:

• 10 millones de euros y el 2% de la facturación total anual mundial del ejercicio anterior
• 20 millones de euros y el 4% de la facturación total anual mundial del ejercicio anterior

Por lo tanto, se requieren procedimientos complejos pero imperativos.
Le apoyamos para lograr el cumplimiento. ¡Contáctanos!