PROTECCIÓN DE DATOS

Las empresas y profesionales que manejan o tratan datos de carácter personal, como responsables o encargados del tratamiento,  tienen que establecer procedimientos de control que garanticen cumplir los principios de protección de datos desde el diseño del negocio o de las operaciones con datos y cumplir una serie de obligaciones. Tienen que aplicar medidas oportunas y eficaces y han de poder demostrar la conformidad de las actividades de tratamiento con el Reglamento General de Protección de Datos, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.

Entre las obligaciones cabe destacar:

• Recabar el consentimiento o tener otra habilitación para manejar los datos.
• Informar a los interesados.
• Analizar los riesgos (que puedan afectar a la integridad, disponibilidad o confidencialidad de los datos).
• Determinar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado en función de los riesgos detectados.
• Llevar un registro de actividades del tratamiento.
• Mantener documentados todos los procesos, en especial en lo que se refiere a la identificación del riesgo relacionado con el tratamiento y la evolución del mismo, con el objetivo de acreditar la diligencia en el cumplimiento del RGPD.
• Establecer procedimientos para atender el ejercicio de derechos y los incidentes de seguridad que puedan comprometer los datos de los que son responsables.

Las empresas y profesionales deben determinar si están obligados, o no, a designar un Delegado de Protección de Datos (DPD, o DPO por sus siglas en inglés), así como si deben realizar una Evaluación de Impacto en la Protección de Datos (EIPD).

En España la Agencia Española de Protección de Datos (AEPD) vela por el cumplimiento de la normativa y tiene capacidad inspectora y sancionadora. Como regla general, cuando se produzca una brecha de seguridad de los datos, el responsable debe notificarla a la Agencia.

Las multas que prevé el RGPD alcanzan, según los casos,  los  10 o 20 millones de euros o, tratándose de una empresa, una cuantía equivalente al 2 o 4% del máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por el de mayor cuantía.

Las resoluciones de la AEPD son recurribles ante la jurisdicción contencioso-administrativa.