¿En que consiste el derecho de acceso?

INFORMACIÓN QUE SE DEBE APORTAR ANTE UNA SOLICITUD DE ACCESO

Según indica el artículo 15 del RGPD en su apartado 1 que pasamos a transcribir íntegramente, se debe aportar la siguiente información:

“a) los fines del tratamiento;

b) las categorías de datos personales de que se trate;

c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;

d) de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;

e) la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;

f) el derecho a presentar una reclamación ante una autoridad de control;

g) cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;

h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”.

Tal como indicábamos en el artículo anterior, el plazo para cumplir con el requerimiento del interesado es de 30 días, con las excepciones ya comentadas anteriormente.

A pesar de que este derecho ya se encuentra recogido en la actual LOPD, existe una diferencia fundamental con respecto al nuevo reglamento, ya que, si bien hasta ahora bastaba con facilitar al interesado todos los datos base de que se disponía y no era necesario suministrar copias o documentos salvo en el caso de los historiales médicos, ahora el interesado tiene derecho a obtener una copia de los datos personales que son objeto de este tratamiento.

PUNTOS A TENER EN CUENTA

• Aunque el ejercicio del derecho es gratuito, el responsable o encargado en su caso, podrá percibir un canon por cualquier otra copia que el interesado solicite. Este canon deberá estar basado en los costes administrativos que supone el aportar al interesado la documentación que solicita.
• Cuando el interesado realice la solicitud por medios electrónicos, la misma se deberá aportar en un formato electrónico de uso común a menos que el interesado solicite que la información se le facilite de otra forma.
• Hay que tener en cuenta que se trata de un derecho personal del interesado, por lo que el responsable del tratamiento o en su caso el encargado del mismo deberá verificar la identidad del interesado para asegurarse de la legitimidad de la petición.

Descubra como afecta el nuevo reglamento a su organización y que medidas puede tomar para evitar sanciones accediendo a nuestra zona de descargas. Puede encontrar mas información en la Agencia Española de Protección de Datos (www.agpd.es) o solicitando información en nuestra zona de contacto

Procedimiento para el ejercicio de los derechos de los interesados.

PLAZOS DE RESPUESTA

Todas las peticiones recibidas por el responsable deben ser respondidas al interesado en el plazo de un mes, ampliable a dos en el caso de que la solicitud sea especialmente compleja, teniendo en cuenta que en el plazo establecido de un mes se deberá informar al interesado sobre esta ampliación. En la respuesta al interesado, se le comunicarán las actuaciones realizadas como consecuencia de su petición. En los casos en que el responsable decida no atender la solicitud, deberá informar al interesado de la negativa, indicando los motivos de la misma, igualmente en el plazo de un mes.

A TENER EN CUENTA

Aparte de lo expuesto en los párrafos anteriores, se ha de tener en cuenta:

• Que los responsables deben tomar medidas para verificar la identidad de los interesados ante una solicitud de ejercicio de los derechos.
• Que en el caso de que el responsable trate una gran cantidad de información sobre el interesado, se podrá solicitar al mismo que especifique a que información se refiere su solicitud.
• En el caso de existir encargados del tratamiento, el responsable podrá contar con la colaboración de los mismos para atender los derechos de los interesados, siendo conveniente incluir esta colaboración en el contrato de encargo del tratamiento.

Descubra como afecta el nuevo reglamento a su organización y que medidas puede tomar para evitar sanciones accediendo a nuestra zona de descargas. Puede encontrar mas información en la Agencia Española de Protección de Datos (www.agpd.es) o solicitando información en nuestra zona de contacto

Novedades en la transparencia e información a los interesados.

Sin embargo, el nuevo reglamento establece nuevas exigencias en cuanto a los principios de transparencia e información a los interesados, de manera que esta información ha de prestarse de manera concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Esto quiere decir en líneas generales que deben evitarse el uso de expresiones o formulas especialmente farragosas y evitar las referencias a los textos legales, incorporando a la información suministrada al interesado los siguientes datos:

• La base jurídica o legitimación del tratamiento de los datos.
• El plazo o los criterios de conservación de la información.
• Los datos de contacto del Delegado de Protección de Datos, si lo hubiera.
• Si se realizan transferencias de datos a terceros países.
• Si los datos se utilizan para la elaboración de perfiles o decisiones automatizadas.
• El derecho a presentar reclamaciones ante las Autoridades de Control.
• Los datos de contacto del responsable del tratamiento para el ejercicio de los derechos del interesado.
• El origen y categorías de los datos en los casos en que se no obtengan del propio interesado.

Como consecuencia de lo anterior, es necesario adaptar los formularios y procedimientos que existan en la organización a la nueva realidad para garantizar el cumplimiento del RGPD antes de la fecha de entrada en vigor del mismo.

Pero, ¿cuál es la mejor manera de adaptar nuestros formularios y procedimientos a los requerimientos del RGDP?. Hay que tener en cuenta, que el nuevo reglamento es más exigente en cuanto a la información que hay que suministrar al interesado, mientras que al mismo tiempo exige que la información sea concisa y fácilmente comprensible. Bajo este prisma se recomienda que la información se suministre por capas o niveles, de manera que:

• En un primer nivel se presente una información básica resumida, en el mismo momento y en el mismo medio en que recojan los datos.
• Se remita a un segundo nivel para obtener información más detallada dónde se encontrará el resto de las informaciones. Está segunda podrá estar contenida en un medio que se considere más adecuado para presentar esta información. Por ejemplo, puede hacerse referencia a una página web que contenga la información requerida.

Descubra como afecta el nuevo reglamento a su organización y que medidas puede tomar para evitar sanciones accediendo a nuestra zona de descargas, desde donde podrá descargar la «Guía para el cumplimiento del deber de informar» editada por la Agencia Española de Protección de Datos, junto con las autoridades catalana y vasca de protección de datos. Puede encontrar mas información en la Agencia Española de Protección de Datos (www.agpd.es) o solicitando información en nuestra zona de contacto

¿Qué son las bases de legitimación?

Esto significa que las organizaciones deben documentar la base legal que legitima cada uno de sus tratamientos de datos y proporcionar información a los interesados en el momento de recoger los datos de los mismos. Además, las organizaciones deben estar en condiciones de demostrar que han ejercido una responsabilidad activa a la hora de proporcionar esta información a los interesados.

En base a lo anterior, ya no es válida la formula tan común hasta ahora de seguir obteniendo el consentimiento por omisión, ya que este debe “inequívoco”.

CONSENTIMIENTO INEQUÍVOCO

Según la “Guía del Reglamento General de Protección de Datos para responsables de tratamiento” elaborado por la Agencia Española de Protección de Datos, junto a la Agencia Catalana de Protección de Datos y la Agencia Vasca de protección de Datos, y que reproducimos íntegramente:

“El consentimiento inequívoco es aquel que se ha prestado mediante una manifestación del interesado o mediante una clara acción afirmativa.

A diferencia del Reglamento de Desarrollo de la LOPD, no se admiten formas de consentimiento tácito o por omisión, ya que se basan en la inacción.”

Hay que tener en cuenta además que, en algunos casos, el consentimiento además de ser inequívoco ha de ser explícito, como, por ejemplo:

• En el tratamiento de datos sensibles.
• En la adopción de decisiones automatizadas.
• En las transferencias internacionales.

Pero ¿qué ocurre con los tratamientos que ya se están realizando y para los cuales se ha obtenido el consentimiento por omisión?. ¿Pueden seguir realizándose?

En este caso es necesario obtener el consentimiento de los interesados para adaptarse a la nueva situación o analizar si el tratamiento en cuestión puede apoyarse en otra base legal que lo legitime.

Descubra como afecta el nuevo reglamento a su organización y que medidas puede tomar para evitar sanciones accediendo a nuestra zona de descargas. Puede encontrar mas información la Agencia Española de Protección de Datos (www.agpd.es) o solicitando información en nuestra zona de contacto

LOPD vs RGPD. ¿Qué ha cambiado?

En primer lugar, hay que destacar que el RGPD es una norma directamente aplicable que ya está en vigor y que no requiere de trasposición a la norma interna de cada país miembro de la UE, ni normas de desarrollo o aplicación. Esto implica ante todo que tanto responsables como encargados de los tratamientos deben asumir que la norma de referencia es el RGPD, y no las normas nacionales, a pesar de que la futura ley que venga a sustituir a la LOPD podrá incluir alguna precisión en las materias que el RGPD permite.

Son varias las nuevas obligaciones que contiene el nuevo reglamento, al mismo tiempo que se modifican algunos aspectos del reglamento actual, pero la principal novedad es el enfoque distinto que se incorpora y que obliga a las organizaciones a replantear su estrategia de cumplimiento. Hasta ahora, se establecían tres niveles de seguridad (bajo, medio y alto), en base al tipo de información de que se tratase. En función de esta clasificación debíamos aplicar como mínimo una serie de medidas de seguridad ya definidas en el propio reglamento.

Con el nuevo RGPD nos encontramos con un enfoque distinto basado en dos pilares:

• El principio de responsabilidad proactiva
• El riesgo asociado a los tratamientos

El principio de responsabilidad proactiva

Según la “Guía del Reglamento General de Protección de Datos para responsables de tratamiento” elaborado por la Agencia Española de Protección de Datos, junto a la Agencia Catalana de Protección de Datos y la Agencia Vasca de protección de Datos, y que reproducimos íntegramente:

“El RGPD describe este principio como la necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento.

En términos prácticos, este principio requiere que las organizaciones analicen qué datos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo. A partir de este conocimiento deben determinar de forma explícita la forma en que aplicarán las medidas que el RGPD prevé, asegurándose de que esas medidas son las adecuadas para cumplir con el mismo y de que pueden demostrarlo ante los interesados y ante las autoridades de supervisión.

En síntesis, este principio exige una actitud consciente, diligente y proactiva por parte de las organizaciones frente a todos los tratamientos de datos personales que lleven a cabo”.

Esto quiere decir que no es suficiente con el cumplimiento de unos artículos determinados, sino que se ha de estar en condiciones de poder acreditar ese cumplimiento ante el requerimiento de las autoridades competentes.

Este principio de responsabilidad proactiva no afecta tan solo al tratamiento de datos de carácter personal que las organizaciones realicen en su papel de responsable, afecta también al tratamiento de datos de carácter personal que las organizaciones puedan realizar en calidad de encargados del tratamiento. Es obligación del responsable ser diligente y proactivo en la elección de encargados que ofrezcan garantías suficientes en cuanto al cumplimiento del reglamento, por lo que puede exigir al encargado que acredite el cumplimiento de las medidas de seguridad necesarias en el tratamiento de datos objeto del encargo.

El riesgo asociado a los tratamientos

A continuación, reproducimos íntegramente el contenido de la “Guía del Reglamento General de Protección de Datos para responsables de tratamiento” indicada en el punto anterior:

“El RGPD señala que las medidas dirigidas a garantizar su cumplimiento deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas.

De acuerdo con este enfoque, algunas de las medidas que el RGPD establece se aplicarán sólo cuando exista un alto riesgo para los derechos y libertades, mientras que otras deberán modularse en función del nivel y tipo de riesgo que los tratamientos presenten.

La aplicación de las medidas previstas por el RGPD debe adaptarse, por tanto, a las características de las organizaciones. Lo que puede ser adecuado para una organización que maneja datos de millones de interesados en tratamientos complejos que involucran información personal sensible o volúmenes importantes de datos sobre cada afectado no es necesario para una pequeña empresa que lleva a cabo un volumen limitado de tratamientos de datos no sensibles.”

Es decir, cada organización deberá determinar cuál es el nivel de riesgo asociado a los tratamientos que realiza en base a la sensibilidad de los mismos o su volumen, en el caso de grandes organizaciones u organizaciones que traten datos sensibles o grandes volúmenes de información puede ser necesario la elaboración de análisis de riesgos basado en alguna de las metodologías disponibles en la actualidad tales como Magerit, ISO 27001, etc., mientras que en el caso de pequeñas organizaciones que realicen tratamiento de datos no sensibles puede bastar con un pequeño análisis meditado y mínimamente documentado.

Descubra como afecta el nuevo reglamento a su organización y que medidas puede tomar para evitar sanciones accediendo a nuestra zona de descargas. Puede encontrar mas información la Agencia Española de Protección de Datos (www.agpd.es) o solicitando información en nuestra zona de contacto

Si necesita ayuda para aumentar la seguridad de su organización, solicite información en nuestra zona de contacto

¿Cómo afecta el nuevo RGPD a las organizaciones?