¿Cuál es el objetivo?

Es dar control a los ciudadanos y residentes sobre sus datos personales y simplificar el entorno regulador de los negocios internacionales unificando la regulación dentro de la Unión Europea.

Empezar con la prioridad principal

• Comenzar a evaluar los datos, incluyendo cómo se están produciendo y protegiendo. Siendo que con cualquier dato o aplicación, la primera prioridad debe ser proteger la privacidad del usuario.

  
  

• Las empresas deben evaluar sus estrategias de protección de datos, es decir, como exactamente están protegiendo los datos, por ejemplo con encriptación, tokenization o psuedonymisation. Al mismo tiempo, cómo están anonimizando estos datos para proteger la privacidad e identificación de los ciudadanos con los que se relaciona.

Evaluar y documentar riesgos y procesos adicionales

• Evaluar y documentar otros riesgos, con el objetivo de averiguar dónde puede ser que el negocio más vulnerable durante otros procesos.

Revisar y repetir

• Revisar el resultado de los pasos anteriores y remediar cualquier posible eliminación, modificación y actualización cuando sea necesario.

  
  

Las empresa establecida fuera de la Unión Europea y ofrece productos o servicios con datos pertenecientes a residentes de la UE.

Por mencionar algun ejemplo:

Una escuela de enseñanza superior que opera por internet y está establecida fuera de la UE. Su actividad va destinada principalmente a universidades de lengua española y portuguesa de la UE. Ofrece asesoramiento gratuito en varios cursos universitarios y los estudiantes necesitan un nombre de usuario y una contraseña para acceder al material disponible en línea. La empresa ofrece dicho nombre de usuario y contraseña una vez los estudiantes han cumplimentado un formulario de matrícula.

El principio rector de garantiza que el tratamiento de datos se realice de forma transparente y dentro del marco normativo del tratamiento lícito. Por tanto, la equidad y legalidad son dos caras de la misma moneda en lo que respecta a la aplicación del GDPR en la UE.

Finalidad Limitación

Especifica que una organización sólo debe recoger los datos necesarios. Para lograr la limitación de la finalidad, una empresa debe ser capaz de justificar las razones de la recogida de datos. Los motivos de la recogida de datos deben notificarse a los clientes mediante políticas de privacidad.

Minimización de datos

La minimización de datos consiste en recoger sólo los datos necesarios para llevar a cabo la tarea. Por ejemplo, si necesita un nombre y una dirección, pero la fecha de nacimiento no es necesaria para procesar una transacción, asegúrese de tomar sólo el nombre y la dirección. La minimización de los datos es una medida de seguridad importante, ya que reduce el riesgo que corre una persona si sus datos quedan expuestos.

Precisión

Es garantizar que los datos personales que sean inexactos, para que se supriman o rectifiquen sin demora.

Limitación de almacenamiento

No almacenar datos si no es necesario. Sin embargo, si debe conservar copias de los datos, establezca una política de retención de almacenamiento y aplíquela. Además, es esencial garantizar que los datos están protegidos con medidas de seguridad técnicas y organizativas adecuadas.

Integridad y confidencialidad

Utilizar las mejores herramientas de seguridad disponibles para proteger los datos durante el tránsito y el almacenamiento, pero también respáldelas con formación sobre seguridad y simulaciones de phishing para reducir el riesgo de exposición de los datos.

Rendición de cuentas

Rendición de cuentas se refiere al uso de medidas técnicas y organizativas adecuadas por parte de una organización y a la capacidad de demostrar estas medidas si se solicitan.

• Conocer si sus datos de carácter personal están siendo objeto de tratamiento.

  
  

• Sobre el origen de los datos cuando no los haya obtenido del interesado.

  
  

• Plazo previsto para la conservación de los datos personales.

  
  

• Solicitar la rectificación, supresión o limitación del tratamiento o a oponerse al tratamiento de sus datos.

  
  

• El derecho a presentar una reclamación.

  
  

• El derecho a ser informado de las garantías adecuadas en caso de que sus datos se transfieran a un tercer país.

  
  

• El derecho a obtener una copia de los datos personales objeto de tratamiento, sin que ello afecte a derechos de terceros.

Derecho de rectificación

El derecho de rectificación es el derecho que permite al interesado exigir que se corrijan errores o que se modifiquen los datos que sean inexactos o incompletos para garantizar la certeza de la información que se esté tratando.

Derecho de supresión

El derecho de supresión que permite al interesado solicitar que se supriman los datos cuando us datos ya no resulten necesarios para la finalidad para la que fueron recogidos, cuando revoque su consentimiento y no exista otra base jurídica que legitime el tratamiento de sus datos, cuando se oponga al tratamiento de sus datos sin que prevalezcan otros motivos legítimos para conservarlos, si los datos son tratados ilícitamente o cuando se trate de datos de niños menores de edad.

Derecho a la limitación del tratamiento

El derecho que tienen los interesados a que no se apliquen sus datos personales a las operaciones de tratamiento que en cada caso corresponderían.

Derecho a la portabilidad de los datos

El interesado tiene derecho a recibir los datos personales que le incumban y que haya facilitado al responsable. La copia de sus datos que se facilite al interesado debe ofrecerse en un formato estructurado.

Derecho de oposición y decisiones individuales automatizadas

El interesado puede oponerse a que se traten sus datos, por lo que el responsable deberá dejar de tratarlos salvo que acredite motivos legítimos para seguir haciéndolo.

Posible reclamación del afectado

Si un interesado ejercita alguno de estos derechos, recuerde que usted está obligado a contestarle en el plazo de un mes, aunque no tenga datos suyos. Y en caso de no dar curso a su solicitud, deberá informarle de la posibilidad de presentar una reclamación ante la AEPD y de ejercitar acciones judiciales.

Es la manifestación de voluntad libre, específica, informada e inequívoca por la cual una persona acepta, mediante una clara acción afirmativa, el tratamiento de sus datos personales.

¿Cómo debe ser el consentimiento?

Libre para el tratamiento de datos personales tiene que ser prestado en un marco de libertad. La concesión del mismo no puede estar condicionada a, por ejemplo, una rebaja en un servicio, consecución de un producto, o a cualquier otro tipo de condición.

Específico, es decir, un regulador quiere asegurarse de que cuando el tratamiento tenga varias finalidades, se recabe el consentimiento RGPD para cada uno de ellos. Por ejemplo, si la finalidad con la que se recogen se define como tratamiento de los datos para la prestación de un servicio», no podrán ser usados para otra finalidad, como, por ejemplo, elaboración de bases de datos con fines de marketing.

Informado que implica que los interesados siempre deben saber toda la información relativa al tratamiento y gestión de sus datos personales.

Inequívoco para que considerar el consentimiento inequívoco, el interesado debe ser informado de manera clara y sin ambigüedad de para qué está dando su consentimiento. Es decir, la información debe presentarse por separado de otros aspectos. Por ejemplo, no sería válido que la información sobre la prestación de dicho consentimiento en protección de datos viniera oculta o mezclada con las condiciones de prestación de un servicio.

• Sanción por infracciones leves: Hasta 40.000 euros.

  
  

• Sanción por infracciones graves: de 40.001 euros a 300.000 euros.

  
  

• Sanción por infracciones muy graves: de 300.001 euros a 20 millones de euros o el 4% volumen de facturación anual.

La autoridad de control es el organismo que supervisa la aplicación del Reglamento General de Protección de Datos (GDPR) con el fin de proteger los derechos y libertades fundamentales de las personas.

¿Cuáles son sus tareas?

• Facilitar información al interesado de los derechos que le otorga el Reglamento.

• Facilitar la presentación de reclamaciones mediante formularios por vía electrónica u otros medios de comunicación.

• Resolver las reclamaciones presentadas por un interesado.

• Llevar a cabo investigaciones en forma de auditorías de protección de datos.

• Llevar a cabo una revisión de las certificaciones expedidas.

• Notificar al Responsable y al Encargado del tratamiento las presuntas infracciones del Reglamento.

• Obtener del Responsable y del Encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones.

• Obtener el acceso a todos los locales del Responsable y del Encargado del tratamiento, incluidos cualquiera de los equipos y medios de tratamiento de datos.

Es importante reconocer que no todos los datos personales son necesarios, por lo tanto, es importante cuidar que solo algunos datos son importantes, y no todos.

Un resguardo seguro es importante, más cuando se guarda por un tiempo definido, e informar a los usuarios sobre el tratamiento de sus datos y cual esos datos.

Finalmente, debemos saber informar de manera oportuna y correcta a los interesados sobre el tratamiento a tráves de consentimientos mediante formularios u otro documento.

Anónimo. (2024). Grupo Atico34. Obtenido de Grupo Atico34: https://protecciondatos-lopd.com/empresas/infracciones-sanciones-lopdgdd-rgpd/#Sanciones_por_incumplir_la_Ley_de_Proteccion_de_Datos_RGPD_y_LOPDGDD

Anónimo. (2024). PowerData. Obtenido de PowerData: https://www.powerdata.es/gdpr-proteccion-datos

Mackay, J. (2024). Metacompliance. Obtenido de Metacompliance: https://www.metacompliance.com/es/blog/governance-risk-compliance-grc/7-gdpr-principles#:~:text=El%20principio%20rector%20de%20%22Legalidad,a%20la%20aplicaci%C3%B3n%20del%20RGPD.

Salvat, J. A. (22 de Septiembre de 2016). Ateneu. Obtenido de Ateneu: https://ateneu.eu/es/autoridad-control-gdpr-c257