El nuevo Reglamento General de Protección de Datos (GDPR) de la Unión Europea empezará a aplicarse el próximo 25 de mayo. Por este motivo, desde Supercomp Digital queremos hacerte llegar este decálogo elaborado por Ausape en el que se recogen los principales puntos a tener en cuenta por parte de las empresas e instituciones si estos quieren adecuarse a la nueva normativa.
Registro de actividades del tratamiento de los datos
Será necesaria la elaboración de registros de datos en los que se determinen, además, cuál es el tratamiento que se está realizando con ellos, partiendo de los ficheros actualmente notificados en la Agencia Española de Protección de Datos y otros qe se puedan estar llevando a cabo.
Consentimientos no tácitos
Hay que concretar cuáles son las bases de licitud del tratamiento de los datos (pueden ser por consentimiento, contratom ley, interés legítimo, etc.), e identificar si existen en la empresa tratamiento de datos en el consentimiento tácito. De ser así, habrá que volver a pedir dicho consentimiento ya que GDPR exige que la persona implicada debe mostrar su interés a través de una manifestación de voluntad.
Información clara y sencilla
Las leyendas informativas utilizadas en los medios de recogida de datos deben ser adecuadas a las nuevas exigencias del reglamento, utilizando un lenguaje sencillo y claro.
Derechos
A atender los derechos de los ciudadanos o interesados ya existentes en anteriores normas: acceso, rectificación, cancelación y oposición, se le suman los nuevos derechos, como el de limitación, el de portabilidad o el de los medios ofertados para poder solicitar dichos derechos (documento en papel, email, perfil de usuario, etc.).
Cumplimiento proactivo
Se deberán establecer políticas y procedimientos desde el diseño y por defecto para determinar qué medidas son las adecuadas.
Análisis de riesgos
Las empresas que manejan datos personales deben realizar análisis de riesgos para establecer las medidas técnicas y organizativas que se utilizarán, ya que son los responsables del tratamiento de dichos datos.
Evaluaciones de impacto
Las empresas cuyos tratamientos impliquen un alto riesgo para la protección de datos están obligadas a realizar una evaluación de impacto. Su objetivo es determinar si los medios, necesidad y proporcionalidad del tratamiento no suponen un riesgo para los derechos y libertadas de los interesados. De ser el caso, deberán consultarlo con la Agencia Española de Protección de Datos.
Delegado de Potección de Datos
Las organizaciones deberán nombrar un delegado de protección de datos (interno o externo a la empresa) cuando se realicen determinados tratamientos de datos como pueden ser a gran escala, una categoría especial, etc. Esta figura suervisará y asesorará sobre el cumplimiento del nuevo reglamento.
Encargado del tratamiento
Si las empresas optan por el uso de servicios clou, o si han decidido externalizar servicios que impliquen el tratamiento de datos, se deberá garantizar que los porveedores cumplen con el GDPR y revisar los contratos firmados, ya que la organización contratante sigue siendo la responsable final de este tratamiento.
Transferencias internacionales de datos
Para exportar datos fuera de los límites de la Unión Europea habrá que considerar si se trata de países con una protección equiparable a la instaurada en el territorio europeo, si hay garantías en la tranferencia o si existe alguna excepción que incluya la normativa.
Esperamos haber resolvido tus dudas. O al menos haberte guiado en el proceso de cambio.