El Reglamento General de Protección de Datos (UE 2016/679) entró en vigor el 25 de mayo de 2018 añadiendo nuevos elementos y mejoras significativas al régimen de protección de datos existente.
Roles y responsabilidades
En el período previo a la entrada en vigor del RGPD, es posible que haya considerado si necesitaba designar formalmente un DPO, lo cual es necesario si:
- Usted es una autoridad u organismo público; o
- Sus actividades principales requieren un seguimiento regular, sistemático y a gran escala de las personas; o
- Sus actividades principales consisten en el procesamiento a gran escala de categorías especiales de datos o datos relacionados con condenas y delitos penales.
Muchas organizaciones optan por garantizar que una persona o departamento sea responsable de las actividades de privacidad sin necesidad de un nombramiento formal de un DPD. Garantizar que las funciones y responsabilidades en materia de protección de datos sean bien conocidas y documentadas en su organización es un requisito clave de cumplimiento.
ROPA – Registro de Actividades de Tratamiento
La documentación de las actividades de tratamiento realizadas por la organización es un requisito del Artículo 30 del RGPD (tanto para el Reino Unido como para la UE) si su organización tiene más de 250 empleados. También es un requisito para las empresas más pequeñas si los datos que trata:
- no son ocasionales
- es probable que afecten los derechos y libertades de las personas; y
- involucrar datos de categorías especiales o datos sobre condenas y delitos penales.
Su ROPA debe contener un mapa de datos de sus sistemas que contienen datos personales junto con información sobre la base legal del procesamiento, los propósitos y métodos de procesamiento de datos, políticas y procedimientos de intercambio de datos y retención de datos.
Es importante garantizar que se realicen revisiones periódicas de esta documentación, ya que es probable que se actualice con el tiempo.
ofrece orientación sobre las mejores prácticas de ROPA.
Políticas y procedimientos
Sus políticas y procedimientos deben describir claramente los roles y responsabilidades en su organización cubriendo una serie de áreas relacionadas con la privacidad:
- Protección de datos y gestión de registros
- Seguridad de la información, incluidas las infracciones y la gestión de incidentes
- El suministro de información tras solicitudes de derechos individuales, como solicitudes de acceso de sujetos y avisos de información.
- Protección de datos por diseño y por defecto para garantizar que los problemas se consideren y documenten (evaluaciones de impacto de la privacidad) cuando se implementan nuevos sistemas, servicios, productos y procesos, o se modifican los existentes.
- La política de privacidad de su sitio web debe revisarse periódicamente y la fecha de la última actualización debe mostrarse claramente.
Gestión de proveedores
Es fundamental que existan contratos con las organizaciones que procesan datos en su nombre. Los contratos deben detallar el procesamiento, incluyendo:
- El objeto del tratamiento
- Duración del tratamiento
- Naturaleza y finalidad del tratamiento
- Tipo de datos personales y categorías de interesados
- Si se utilizan subprocesadores.
Se necesita un marco de controles de diligencia debida para garantizar que estas organizaciones estén aplicando los requisitos técnicos y organizativos adecuados para cumplir con el RGPD.
Se recomienda revisar periódicamente los contratos y acuerdos de intercambio de datos que tenga vigentes con otras organizaciones.
Capacitación
Es fundamental garantizar que su personal conozca sus responsabilidades en relación con el tratamiento de datos personales. La formación inicial y de actualización debe incluir información sobre protección de datos, posibles amenazas a la seguridad y las políticas y estructuras de gobernanza de la información de su organización. Supervisar y documentar la finalización de la formación es fundamental para demostrar su cumplimiento.
Otras leyes y reglamentos
Existen otras leyes y reglamentos en el Reino Unido que afectan a la seguridad de los datos. Entre ellos se incluyen:
- Reglamento de Privacidad y Comunicaciones Electrónicas (PECR) de 2003, que abarca el correo basura (spam) y los correos masivos de marketing. También se emiten periódicamente reglamentos en virtud del PECR. Por ejemplo, la normativa sobre el uso de cookies en sitios web, y en 2016, la exigencia de que cualquier persona que realice una llamada de marketing muestre su número.
- Ley de Derechos de Autor, Diseño y Patentes: modificada en 2002 para cubrir el robo de software
- Es posible que existan otras normas y reglamentaciones de TI aplicables: por ejemplo, las empresas que procesan transacciones con tarjetas de crédito deben garantizar el cumplimiento de los Estándares de seguridad de datos de la industria de tarjetas de pago (PCI DSS) .
Fuentes y enlaces
Página de inicio de la ICO para organizaciones
Portal del RGPD de la UE: www.gdpreu.org
