# data[].attributes.body
La clasificación de los datos pueden determinar qué datos son más vitales para proteger, sobre la base de su clasificación. Esto también significa saber quién es responsable de controlar y procesar los datos, y asegurarse de que todos los contratos correctos están en su lugar.

Empezar con la prioridad principal

Comenzar a evaluar los datos, incluyendo cómo se están produciendo y protegiendo. Siendo que con cualquier dato o aplicación, la primera prioridad debe ser proteger la privacidad del usuario.

Las empresas deben evaluar sus estrategias de protección de datos, es decir, como exactamente están protegiendo los datos, por ejemplo con encriptación, tokenization o psuedonymisation. Al mismo tiempo, cómo están anonimizando estos datos para proteger la privacidad e identificación de los ciudadanos con los que se relaciona.

Evaluar y documentar riesgos y procesos adicionales

Evaluar y documentar otros riesgos, con el objetivo de averiguar dónde puede ser que el negocio más vulnerable durante otros procesos.

Revisar y repetir

Revisar el resultado de los pasos anteriores y remediar cualquier posible eliminación, modificación y actualización cuando sea necesario.

# data[].attributes.body
¿Qué es el consentimiento en el GDPR?

Es la manifestación de voluntad libre, específica, informada e inequívoca por la cual una persona acepta, mediante una clara acción afirmativa, el tratamiento de sus datos personales.

¿Cómo debe ser el consentimiento?

Libre para el tratamiento de datos personales tiene que ser prestado en un marco de libertad. La concesión del mismo no puede estar condicionada a, por ejemplo, una rebaja en un servicio, consecución de un producto, o a cualquier otro tipo de condición.

Específico, es decir, un regulador quiere asegurarse de que cuando el tratamiento tenga varias finalidades, se recabe el consentimiento RGPD para cada uno de ellos. Por ejemplo, si la finalidad con la que se recogen se define como tratamiento de los datos para la prestación de un servicio», no podrán ser usados para otra finalidad, como, por ejemplo, elaboración de bases de datos con fines de marketing.

Informado que implica que los interesados siempre deben saber toda la información relativa al tratamiento y gestión de sus datos personales.

Inequívoco para que considerar el consentimiento inequívoco, el interesado debe ser informado de manera clara y sin ambigüedad de para qué está dando su consentimiento. Es decir, la información debe presentarse por separado de otros aspectos. Por ejemplo, no sería válido que la información sobre la prestación de dicho consentimiento en protección de datos viniera oculta o mezclada con las condiciones de prestación de un servicio.

# data[].attributes.attachment_link.authors[].name
Grupo Atico34 | Protección de datos Madrid

# data[].attributes.body
Es un reglamento de protección de datos personales definido por la Unión Europea, y tienen como objetivo reforzar y unificar la protección de datos para todos los individuos dentro de la Unión Europea y entro en vigor en Mayo del 2016, pero se aplico en Mayo del 2018.

¿Cuál es el objetivo?

Es dar control a los ciudadanos y residentes sobre sus datos personales y simplificar el entorno regulador de los negocios internacionales unificando la regulación dentro de la Unión Europea.

# data[].attributes.headline
Los pricipios rectores que rigen la GDPR

# data[].attributes.subject
Los pricipios rectores que rigen la GDPR

# data[].attributes.body
Legalidad, equidad y transparencia

El principio rector de garantiza que el tratamiento de datos se realice de forma transparente y dentro del marco normativo del tratamiento lícito. Por tanto, la equidad y legalidad son dos caras de la misma moneda en lo que respecta a la aplicación del GDPR en la UE.

Finalidad Limitación

Especifica que una organización sólo debe recoger los datos necesarios. Para lograr la limitación de la finalidad, una empresa debe ser capaz de justificar las razones de la recogida de datos. Los motivos de la recogida de datos deben notificarse a los clientes mediante políticas de privacidad.

Minimización de datos

La minimización de datos consiste en recoger sólo los datos necesarios para llevar a cabo la tarea. Por ejemplo, si necesita un nombre y una dirección, pero la fecha de nacimiento no es necesaria para procesar una transacción, asegúrese de tomar sólo el nombre y la dirección. La minimización de los datos es una medida de seguridad importante, ya que reduce el riesgo que corre una persona si sus datos quedan expuestos.

Precisión

Es garantizar que los datos personales que sean inexactos, para que se supriman o rectifiquen sin demora.

Limitación de almacenamiento

No almacenar datos si no es necesario. Sin embargo, si debe conservar copias de los datos, establezca una política de retención de almacenamiento y aplíquela. Además, es esencial garantizar que los datos están protegidos con medidas de seguridad técnicas y organizativas adecuadas.

Integridad y confidencialidad

Utilizar las mejores herramientas de seguridad disponibles para proteger los datos durante el tránsito y el almacenamiento, pero también respáldelas con formación sobre seguridad y simulaciones de phishing para reducir el riesgo de exposición de los datos.

Rendición de cuentas

Rendición de cuentas se refiere al uso de medidas técnicas y organizativas adecuadas por parte de una organización y a la capacidad de demostrar estas medidas si se solicitan.

# data[].attributes.body
Los sujetos obligados a quienes se aplica el reglamento, son las empresas o entidades que trata datos personales como parte de sus actividades establecidas en la Unión Europea independientemente del lugar donde sean tratados los datos.

Las empresa establecida fuera de la Unión Europea y ofrece productos o servicios con datos pertenecientes a residentes de la UE.

Por mencionar algun ejemplo:

Una escuela de enseñanza superior que opera por internet y está establecida fuera de la UE. Su actividad va destinada principalmente a universidades de lengua española y portuguesa de la UE. Ofrece asesoramiento gratuito en varios cursos universitarios y los estudiantes necesitan un nombre de usuario y una contraseña para acceder al material disponible en línea. La empresa ofrece dicho nombre de usuario y contraseña una vez los estudiantes han cumplimentado un formulario de matrícula.

# data[].attributes.body
Derecho de acceso

Conocer si sus datos de carácter personal están siendo objeto de tratamiento.

Sobre el origen de los datos cuando no los haya obtenido del interesado.

Plazo previsto para la conservación de los datos personales.

Solicitar la rectificación, supresión o limitación del tratamiento o a oponerse al tratamiento de sus datos.

El derecho a presentar una reclamación.

El derecho a ser informado de las garantías adecuadas en caso de que sus datos se transfieran a un tercer país.

El derecho a obtener una copia de los datos personales objeto de tratamiento, sin que ello afecte a derechos de terceros.

Derecho de rectificación

El derecho de rectificación es el derecho que permite al interesado exigir que se corrijan errores o que se modifiquen los datos que sean inexactos o incompletos para garantizar la certeza de la información que se esté tratando.

Derecho de supresión

El derecho de supresión que permite al interesado solicitar que se supriman los datos cuando us datos ya no resulten necesarios para la finalidad para la que fueron recogidos, cuando revoque su consentimiento y no exista otra base jurídica que legitime el tratamiento de sus datos, cuando se oponga al tratamiento de sus datos sin que prevalezcan otros motivos legítimos para conservarlos, si los datos son tratados ilícitamente o cuando se trate de datos de niños menores de edad.

Derecho a la limitación del tratamiento

El derecho que tienen los interesados a que no se apliquen sus datos personales a las operaciones de tratamiento que en cada caso corresponderían.

Derecho a la portabilidad de los datos

El interesado tiene derecho a recibir los datos personales que le incumban y que haya facilitado al responsable. La copia de sus datos que se facilite al interesado debe ofrecerse en un formato estructurado.

Derecho de oposición y decisiones individuales automatizadas

El interesado puede oponerse a que se traten sus datos, por lo que el responsable deberá dejar de tratarlos salvo que acredite motivos legítimos para seguir haciéndolo.

Posible reclamación del afectado

Si un interesado ejercita alguno de estos derechos, recuerde que usted está obligado a contestarle en el plazo de un mes, aunque no tenga datos suyos. Y en caso de no dar curso a su solicitud, deberá informarle de la posibilidad de presentar una reclamación ante la AEPD y de ejercitar acciones judiciales.

# data[].attributes.attachment_link.title
Derecho a la Protección de Datos Personales

# data[].attributes.body
Algunas sanciones impuestas en la GDPR

Sanción por infracciones leves: Hasta 40.000 euros.

Sanción por infracciones graves: de 40.001 euros a 300.000 euros.

Sanción por infracciones muy graves: de 300.001 euros a 20 millones de euros o el 4% volumen de facturación anual.

# data[].attributes.body
Incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información que exigen los artículos 13 y 14 del RGPD.

Pedir un pago al interesado para poder acceder a la información que exigen los artículos 13 y 14 del RGPD o para atender las solicitudes de ejercicio de derechos contempladas en los artículos 15 a 22 del citado Reglamento.

No atender las solicitudes de los ejercicios de los derechos que se establecen en los artículos 15 a 22 del RGPD.

No atender los derechos de acceso, rectificación, supresión, limitación del tratamiento o portabilidad de los datos cuando no se requiera la identificación del afectado.

No cumplir con la obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamiento que exige el artículo 19 del RGPD

No cumplir con la obligación de informar al afectado de los destinatarios a los que se haya comunicado la rectificación, supresión o limitación del tratamiento.

No cumplir con la supresión de datos referidos a una persona fallecida cuando así lo exige el artículo 3 de la LOPDGDD.

Incumplimiento de las obligaciones de los responsables y encargados del tratamiento.

Que el registro de actividades de tratamiento no contenga toda la información que exige el artículo 30 del RGPD.

Informar tarde o de forma incompleta a la AEPD de una brecha de seguridad.

Dar información inexacta a la AEPD en los supuestos en los que el responsable del tratamiento debe elevar una consulta previa, de acuerdo al artículo 36 del RGPD.

No publicar los datos de contacto del delegado de protección de datos o comunicarlos a la AEPD.

Incumplimiento de las obligaciones de los organismos de certificación de informar a la AEPD de la expedición, renovación o retirada de una certificación.

Incumplimiento de los organismos acreditados de supervisión de un código de conducta de la obligación de informar a la AEPD de las medidas que resulten oportunas en caso de infracción del código.

# data[].attributes.body
Tratar datos de menores de edad sin recabar su consentimiento, cuando tenga edad para ello, o de sus padres o tutores.

No acreditar esfuerzos razonables para verificar la validez del consentimiento del menor o de sus padres o tutores.

No atender de forma reiterada u obstaculizar la solicitud de los derechos de acceso, rectificación, supresión, limitación del tratamiento o portabilidad de los datos en los tratamientos en los que no se requiere la identificación del afectado.

No adoptar las medidas técnicas y organizativas apropiadas para aplicar la protección de datos desde el diseño.

Brechas de seguridad ocurridas por no haber adoptado las medidas adecuadas de seguridad.

No designar un representante del responsable o encargado del tratamiento no establecido en territorio de la UE, de acuerdo al artículo 27 del RGPD.

No atender las solicitudes de las agencias de protección de datos.

Contratar un encargado del tratamiento que no ofrezca las garantías suficientes para aplicar las medidas técnicas y organizativas necesarias, de acuerdo al Capítulo IV del RGPD.

Encargar el tratamiento de datos a un tercero sin el debido contrato.

Contratación por parte del encargado del tratamiento de otros encargados sin contar con la autorización del responsable.

Infracción de lo dispuesto en el artículo 28.10 del RGPD respecto a la determinación de los fines y los medios de tratamiento por parte del encargado.

El tratamiento de datos personales sin cumplir con lo recogido en el artículo 28 de la LOPDGDD.

Incumplir el deber de informar de las violaciones de seguridad por parte del encargado del tratamiento al responsable.

No informar de las violaciones de seguridad a la AEPD, según el artículo 33 del RGPD.

No informar al afectado de una violación de seguridad de datos personales.

Llevar a cabo el tratamiento de datos sin realizar una evaluación de impacto cuando esta es exigible.

No permitir que el delegado de protección de datos pueda cumplir con sus funciones.

Utilizar sellos o certificaciones en materia de protección de datos que no hayan sido otorgados por una entidad de certificación acreditada o estén expirados.

# data[].attributes.body
Tratamiento de datos personales que vulneren las garantías y principios establecidos en el artículo 5 del RGPD.

Trata datos personales sin la legitimación establecida en el artículo 6 del RGPD.

No cumplir con los requisitos exigidos en el artículo 7 del RGPD para la validez del consentimiento.

Utilizar los datos personales recogidos con una finalidad diferente para la que se dio el consentimiento.

Trata datos personales de las categorías recogidas en el artículo 9 del RGPD sin que concurra alguna de las circunstancias previstas de dicho artículo y del artículo 9 de la LOPDGDD.

Tratar datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas fuera de los supuestos del artículo 10 del RGPD y el artículo 10 de la LOPDGDD.

Tratar datos personales relacionados con infracciones y sanciones administrativas fuera de los supuestos establecidos en el artículo 27 de la LOPDGDD.

La omisión del deber de informar al afectado sobre el tratamiento de sus datos personales.

Vulnerar el deber de confidencialidad.

Exigir el pago de un canon para facilitar la información al afectado a la que se refieren los artículos 13 y 14 del RGPD.

No atender u obstaculizar la solicitud del ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD.

Transferencias internacionales de datos personales sin las debidas garantías.

Incumplir las resoluciones dictadas por la AEPD.

No facilitar el acceso a la AEPD a los datos personales, información, locales, equipos y medios de tratamiento cuando así sea requerido durante una investigación.

Obstruir una inspección de la AEPD.

Reversión deliberada de un procedimiento de anonimización para que se pueda reindentificar a los afectados.

# data[].attributes.attachment_link.title
RGPD y por qué es tan importante para Email Marketing

# data[].attributes.body
La autoridad de control es el organismo que supervisa la aplicación del Reglamento General de Protección de Datos (GDPR) con el fin de proteger los derechos y libertades fundamentales de las personas.

¿Cuáles son sus tareas?

Facilitar información al interesado de los derechos que le otorga el Reglamento.

Facilitar la presentación de reclamaciones mediante formularios por vía electrónica u otros medios de comunicación.

Resolver las reclamaciones presentadas por un interesado.

Llevar a cabo investigaciones en forma de auditorías de protección de datos.

Llevar a cabo una revisión de las certificaciones expedidas.

Notificar al Responsable y al Encargado del tratamiento las presuntas infracciones del Reglamento.

Obtener del Responsable y del Encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones.

Obtener el acceso a todos los locales del Responsable y del Encargado del tratamiento, incluidos cualquiera de los equipos y medios de tratamiento de datos.

# data[].attributes.headline
¿Qué se debe cuidar para cumplir con este reglamento? 

# data[].attributes.subject
¿Qué se debe cuidar para cumplir con este reglamento? 

# data[].attributes.body
En primer momento se debe cuidar que los datos personales de cada individuo este bien protegido a tráves de diferentes sistemas y estrategias de seguridad, que logren generar confianza en las personas afectadas de quienes se estan obteniendo los datos.

Es importante reconocer que no todos los datos personales son necesarios, por lo tanto, es importante cuidar que solo algunos datos son importantes, y no todos.

Un resguardo seguro es importante, más cuando se guarda por un tiempo definido, e informar a los usuarios sobre el tratamiento de sus datos y cual esos datos.

Finalmente, debemos saber informar de manera oportuna y correcta a los interesados sobre el tratamiento a tráves de consentimientos mediante formularios u otro documento.

# data[].attributes.body
Anónimo. (2024). Expansión. Obtenido de Expansión: https://www.expansion.com/especiales/2018/GDPR/derechos-de-los-interesados.html

Anónimo. (2024). Grupo Atico34. Obtenido de Grupo Atico34: https://protecciondatos-lopd.com/empresas/infracciones-sanciones-lopdgdd-rgpd/#Sanciones_por_incumplir_la_Ley_de_Proteccion_de_Datos_RGPD_y_LOPDGDD

Anónimo. (2024). PowerData. Obtenido de PowerData: https://www.powerdata.es/gdpr-proteccion-datos

Mackay, J. (2024). Metacompliance. Obtenido de Metacompliance: https://www.metacompliance.com/es/blog/governance-risk-compliance-grc/7-gdpr-principles#:~:text=El%20principio%20rector%20de%20%22Legalidad,a%20la%20aplicaci%C3%B3n%20del%20RGPD.

Salvat, J. A. (22 de Septiembre de 2016). Ateneu. Obtenido de Ateneu: https://ateneu.eu/es/autoridad-control-gdpr-c257