FAQ'S Preguntas Frecuentes RGPD 2018
JUDIPROt S.L. ha elaborado un documento de preguntas y respuestas relativas al nuevo RGPD, dirigido a facilitar al emprendedor/ciudadano conocimientos a cerca de la materia.
- 1.¿Cuál es el ámbito de aplicación del RGPD?
-
El RGPD, además de aplicarse como hasta ahora a responsables o encargados de tratamientos de datos establecidos en la Unión Europea, contempla su aplicación a aquellos responsables y encargados, que si bien no se encuentran establecidos en la Unión, realicen tratamientos derivados de una oferta de bienes o servicios destinados a ciudadanos de la Unión o como consecuencia de una monitorización y seguimiento de su comportamiento. Para que esa ampliación del ámbito de aplicación pueda hacerse efectiva, esas organizaciones deberán nombrar un representante en la Unión Europea, que actuará como punto de contacto de las Autoridades de supervisión y de los ciudadanos y que, en caso necesario, podrá ser destinatario de las acciones de supervisión que desarrollen esas autoridades. Los datos de contacto de ese representante en la Unión deberán proporcionarse a los interesados entre la información relativa a los tratamientos de sus datos personales
- 2.Según el RGPD ¿Cómo debe solicitarse el consentimiento de los interesados para tratar sus datos personales?
- El RGPD requiere que el consentimiento sea “inequívoco”, lo que supone que se preste mediante una manifestación del interesado o mediante una clara acción afirmativa. Esto excluye la utilización del llamado consentimiento tácito, que todavía permite la normativa española de protección de datos. Así, no se consideran formas válidas de obtener el consentimiento el uso de casillas ya marcadas o la inacción. En cambio, sí son acordes al RGPD, la utilización de una declaración por escrito, o la marcación de casillas en un sitio web de internet. El consentimiento en el marco del RGPD se caracteriza por lo siguiente: -Puede ser para uno o varios fines. -Debe ser prestado de forma libre. -Revocable. -El responsable debe poder probar en todo momento que ha obtenido el consentimiento. -Utilizar un lenguaje claro y sencillo. Por otra parte, también debe ser tenido en cuenta lo siguiente: Si se usa para obtenerlo una declaración escrita, debe quedar claramente diferenciada la parte referente a protección de datos del resto de declaraciones. Si se recaba el consentimiento para varias finalidades: -Sería posible agruparlas en virtud de su vinculación (por ejemplo, consentimiento para la recepción de publicidad propia o de terceros). -Pero deberían desagregarse cuando los tratamientos impliquen conductas distintas (por ejemplo tratamiento por quien recaba los datos y cesión a terceros). Asimismo, existen supuestos en que además de inequívoco, el consentimiento ha de ser explícito: -Tratamiento de datos sensibles. -Adopción de decisiones automatizadas. -Transferencias internacionales.
- 3.¿Qué es el Delegado de Protección de Datos?
- El RGPD regula la figura del Delegado de Protección de Datos (DPD) en los artículos 37 a 39, sin perjuicio de que aparece mencionado en otras partes del articulado así como en los considerandos de la norma. Según el RGPD (artículo 37.5 y considerando 97), el DPD será una persona con conocimientos especializados del Derecho y la práctica en materia de protección de datos y con capacidad para desempeñar las funciones que el RGPD le atribuye. Estos conocimientos serán exigibles en relación con los tratamientos que se realicen, así como las medidas que deban adoptarse para garantizar un tratamiento adecuado de los datos personales objeto de esos tratamientos
- 4.¿Cuándo es obligatorio nombrar un Delegado de Protección de Datos?
- El RGPD en su artículo 37.1 contiene los supuestos en los que es obligatorio designar un Delegado, y que son siempre que: -El tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial. -Las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala. -Las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales con arreglo al artículo 9 y de datos relativos a condenas e infracciones penales a que se refiere el artículo 10
- 5.Ya cumplo la ley vigente de protección de datos. ¿Debo hacer algo?
- Probablemente sí. El RGPD deja sin efecto toda la legislación actual de protección de datos de los Estados miembros de la UE (en el caso de España, la LOPD). Los requisitos del RGPD van mucho más allá de la ley vigente de protección de datos, por lo que es muy poco probable que una empresa ya los cumpla.
- 6.La instalación de videocámaras ¿Supone un tratamiento de datos de carácter personal?
- La imagen es un dato de carácter personal ya que identifica o hace identificable a una persona. En este sentido, la instalación de cámaras, con diversas finalidades como podría ser la seguridad, el control laboral, el acceso a zonas restringidas captando la matrícula del coche y la imagen del conductor, o incluso la monitorización de una UVI, supondría un tratamiento de datos de carácter personal y en consecuencia, se le aplicaría la normativa de protección de datos.
- 7.¿Cómo afecta el RGPD a las aplicaciones de Internet?
- Desde el punto de vista del usuario, el RGPD establece o refuerza una cierta cantidad de protecciones. Por ejemplo, las empresas primero deben obtener el consentimiento por escrito, explícito del usuario antes de cualquier procesamiento de datos personales, o asegurarse de que los niños menores de cierta edad hayan recibido la información necesaria de sus padres antes de registrarse en una red social. El RGPD también incluye el reconocimiento de un derecho a ser olvidado para obtener el retiro o el borrado de datos personales en caso de invasión de la privacidad, el derecho a la portabilidad de datos, para poder pasar una red social a otro, de un ISP a otro o de un sitio de transmisión a otro sin perder su información, el derecho a estar informado en caso de piratería de datos.
- 8.¿Qué es una transferencia internacional de datos?
- Una transferencia internacional de datos consiste en el tratamiento de datos que suponga la transmisión de los mismos fuera del territorio del Espacio Económico Europeo, bien constituya una cesión o comunicación de datos, bien tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero establecido en territorio español. En este sentido, en una transferencia internacional intervienen: - Exportador de datos: la persona física o jurídica, pública o privada, u órgano administrativo situado en territorio español que realice, conforme a lo dispuesto en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de la LOPD, una transferencia de datos de carácter personal a un país tercero. - Importador de datos personales: la persona física o jurídica, pública o privada, u órgano administrativo receptor de los datos en caso de transferencia internacional de los mismos a un tercer país, ya sea responsable del tratamiento, encargada del tratamiento o tercero.