Cumplimiento del RGPD: Notificación de Brechas, Evaluación de Impacto y Derechos Digitales

Notificación de Brechas de Seguridad (Normativa Europea)

Toda entidad tiene la obligación de notificar a los afectados (clientes o empleados) y a la Agencia Española de Protección de Datos (AEPD) las violaciones de seguridad de los datos que se produzcan, en un plazo máximo de 72 horas.

Medidas de Seguridad a Considerar

Es fundamental tener en cuenta las medidas de seguridad. En caso de que la empresa sufra un ataque informático, si puede demostrar a la AEPD y a los clientes que está haciendo todo lo posible para cumplir con la ley, la sanción que pueden imponer será menor.

• Datos en papel: Guardar los datos en archivadores bajo llave para evitar el acceso de personas no autorizadas.
• Sistemas informáticos: Si los datos se guardan en ordenadores, se deben tener contraseñas para acceder y sistemas antivirus actualizados.

Evaluación de Impacto (EIPD)

La evaluación de impacto es necesaria cuando el tratamiento de datos previsto entrañe un alto riesgo para los derechos y libertades de los clientes. Se trata de un informe donde se indican los riesgos detectados sobre la protección de esos datos y las medidas necesarias para eliminarlos o reducirlos.

Factores de Riesgo

• Tratamiento de datos de personas vulnerables (ej. menores).
• Tratamiento de datos sensibles (ej. de salud).
• Elaboración de perfiles de comportamiento (para determinar gustos y preferencias de clientes).
• Uso de tecnologías innovadoras (ej. control de accesos con huella dactilar).

Privacidad desde el Diseño y por Defecto

Antes de iniciar cualquier tratamiento de datos, hay que saber cómo se van a proteger. Esto implica una serie de obligaciones:

• Solo se deben solicitar los datos necesarios para la finalidad para la que se solicitan.
• Los datos se conservarán durante el plazo previsto.
• Solo personas autorizadas acceden a los datos.
• Tener claro qué datos se pueden manejar y qué medidas se implementarán para protegerlos.

Obligaciones Legales en la Página Web

Si se ofrecen servicios a través de una página web, se deben incluir los textos exigidos por la Ley de Protección de Datos y la Ley de Servicios de la Sociedad de la Información (LSSI).

Aviso Legal

Texto en el que se identifica al propietario de la página web. Debe incluir:

• Nombre del propietario o razón social.
• CIF/NIF.
• Dirección.
• Correo electrónico.

Nota: Es obligatorio incluir un enlace visible a este texto desde cualquier página web.

Política de Privacidad

Es importante revisar la política de privacidad de la web y hacer una versión que incluya más información sobre el tratamiento de los datos. En caso de que la web tenga un formulario donde se soliciten datos personales, se tiene que informar de:

• Que se realiza un tratamiento de los datos que se le están solicitando.
• El propósito o finalidad.
• Los destinatarios de aquella información.
• La identidad y dirección del responsable del tratamiento de los datos.
• El derecho a ejercer sus derechos de acceso, rectificación, cancelación y oposición, y de qué forma.

Política de Cookies

Las cookies son ficheros de información que se envían por una página web y se guardan en el navegador del usuario que la visita. Se usan para analizar las visitas de nuestra web o mostrar publicidad dinámica. Si se usa esta tecnología, se está obligado a cumplir con la Ley de Cookies (LSSI).

En este texto se debe informar sobre:

• Las cookies usadas en la página.
• Su finalidad.
• Su duración.
• Un enlace donde analizar las cookies usadas en la web.

Nuevos Derechos del RGPD

Son los derechos que tienen los clientes y usuarios sobre sus datos personales. Afectan a las empresas en que tienen que garantizarles que pueden ejercerlos y darles una respuesta en caso de que lo hagan. El Reglamento Europeo de Protección de Datos (RGPD) reconoce los derechos ARCO: Acceso, Rectificación, Cancelación y Oposición. Se añaden otros derechos específicos como:

Derecho al Olvido

Consiste en el derecho a solicitar, bajo ciertas condiciones, que los enlaces de sus datos personales no figuren en los resultados de búsqueda en internet realizada por su nombre. Tendríamos derecho al olvido, a solicitar que no se nos asocie nuestro nombre con esa web cuando se busque información de nosotros en el navegador.

Derecho a la Portabilidad de los Datos

Otorga a cualquier ciudadano de la Unión Europea el derecho a que cualquier empresa que trate sus datos personales de forma automatizada se los ceda o los transfiera a cualquier empresa que este les indique, en un formato estructurado, inteligible y automatizado. Es decir, el ciudadano puede exigir a las empresas que estén tratando sus datos que se los devuelvan o que los pasen a otra empresa.

Principales Diferencias entre la LOPD y el RGPD

Sanciones

• Sanciones de la LOPD: La LOPD establecía sanciones que variaban según el grado de incumplimiento, de 900 € a 600.000 €.
• Sanciones del RGPD: Con el nuevo RGPD, las sanciones pueden situarse en 20.000.000 € o el 4% de la facturación global anual.

Ámbito de Actuación y Supervisión

• Ámbito de la LOPD: Tenía un ámbito de aplicación dentro del territorio nacional. La LOPD tenía como autoridades de supervisión, además de la AEPD, las agencias catalana y vasca.
• Ámbito del RGPD: Abarca todos los países miembros de la UE. Ahora, con el RGPD, existirá una única ventanilla por país.