Porque tienes un negocio (autónomo) o representas a una Empresa o a un Organismo Público y, por ello, manejas «cualquier información concerniente a personas físicas identificadas e identificables»
Y, en consecuencia, debes para cumplir el Reglamento General de Protección de Datos de la U.E. del 2016 y la Ley Orgánica de Protección de Datos y Garantías Digitales del Estado español del 2018 (que transpone el Reglamento Europeo)
¿Qué ocurre si no cumplo la Ley?
La AEPD (Agencia Española de Protección de Datos) tiene la potestad para sancionar a organizaciones y particulares que incumplan la normativa en Protección de Datos de carácter personal.
A raíz del RGPD se mantiene el poder sancionador en la AEPD y, además se endurecen las multas:
- Las más bajas serán de 10 millones de euros o el 2% de la facturación global anual.
- Las más elevadas serán de 20 millones de euros o el 4% de la facturación global anual.
¿Qué nos exige el RGPD y la LOPDGDD?
El Reglamento UE 2016/679 establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos.
El Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales.
La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales
RVC está especializada en adecuar a las PYMES y Autónomos a los requerimientos y obligaciones derivados del RGPD 2016/679 y la LOPDGDD 3/2018
Objetivos de la RGPD
La RGPD tiene por objeto garantizar y proteger el tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor, intimidad y privacidad personal y familiar.
Su objetivo principal es regular el tratamiento de los datos y ficheros de carácter personal (independientemente del soporte en el cual sean tratados), los derechos de los ciudadanos sobre ellos y las obligaciones de aquellos que los crean o tratan.
Así pues, debes adaptar tu empresa o negocio Al RGPD y LOPDgdd si:
- Tienes personal ó
- Tienes colaboradores comerciales ó
- Tienes clientes a los que les emites facturas ó
- Tienes cámaras de videovigilancia ó
- Tienes una página web y/o haces venta online ó
- Realizas control presencial y horario mediante procedimientos biométricos ó
- Controlas tus vehículos de empresa por geolocalización ó
- Manejas datos de menores, imágenes de personas, datos de salud, datos políticos y/o sindicales.
* Es una lista indicativa, no exhaustiva. Si tiene duda de si su empresa o negocio está obligada a cumplir el RGPD, consulte con nosotros.
Toda información sobre una persona física identificada o identificable. Se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.
* Categorías especiales de datos personales (Datos sensibles)
Origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.
La mejor opción para cumplir con la normativa y asegurarse de no tener sanciones es la de contratar a un experto en protección de datos.
¿Cómo se aplica el RGPD?
En protección de datos tenemos los siguientes actores:
- Responsable del tratamiento (Responsable): Persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento.
- Encargado del tratamiento (Encargado): Persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.
- Destinatario: Persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero.
- Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento.
- Usuario autorizado*: Sujeto autorizado, por parte del Responsable, para acceder y/o tratar datos personales.
- Delegado de protección de datos: Sujeto de obligada designación por la norma en algunos casos, encargado de hacer garante las medidas de responsabilidad activa implantas por el Responsable.
El Responsable debe realizar una valoración sobre el tratamiento de datos personales, medidas de responsabilidad activa, tipo de empresa, cantidad de datos tratados, tipos de datos, transferencia internacional, etc.
A partir de los datos recogidos en el análisis, plasmándolo en un documento y valorando objetivamente todos los puntos, se determinará la necesidad, o no, de la realización de una evaluación de impacto de protección de datos.
¿Cuándo será obligatoria una evaluación de impacto de protección de datos (EIPD)?
Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el Responsable realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales.
En particular en caso de:
- Evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;
- Tratamiento a gran escala de las categorías especiales de datos o de los datos personales relativos a condenas e infracciones penales.
- Observación sistemática a gran escala de una zona de acceso público.
- Cuando la autoridad de control, Agencia Española de Protección de Datos(AEPD), así lo establezca.
¿Cuándo será obligatoria la figura del DPO?
- Cuando las actividades principales de la organización consistan en operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala.
- Cuando las actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos personales y datos relativos a condenas e infracciones penales.
- Cuando se realice por autoridad u organismo público.
- Cuando así lo establezca el derecho de la UE o de los Estados Miembros.
- En grupos de empresas.
¿Funciones del DPO?
- Informar y asesorar sobre las obligaciones derivadas de la normativa de protección de datos.
- Supervisar el cumplimiento de la normativa, incluyendo la asignación de responsabilidades, concienciación y formación del personal y las autorías correspondientes.
- Ofrecer asesoramiento sobre EIPD
- Cooperar con la AEPD y actuar como punto de contacto en cuestiones relativas al tratamiento.
¿Qué condiciones debe cumplir el DPO?
- Cualidades profesionales para desempeñar su función.
- Capacidades para desempeñar sus funciones.
- Tenga conocimientos especializados del Derecho y la práctica en materia de protección de datos atendiendo, en particular, al tipo de tratamiento y nivel de protección de cada organización.
- Que exista relación laboral o contratación del servicio.
- Que las funciones de DPD sea compatible con otras funciones, solo en el caso de conflicto de intereses.
- No podrá recibir ninguna instrucción en sus funciones.
- No podrá ser destituido ni sancionado por ejercer sus funciones.
- Rendirá cuentas directamente al más alto nivel jerárquico.
- Podrá ser contactado por encargados y la AEPD.
