En este post, nos adentraremos en el universo de la protección de datos de la mano de la Agencia Española de Protección de Datos (AEPD) y la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), repasando conceptos clave como la LOPD, el RGPD y la Ley 3/2018.

¿Qué es la AEPD?

La Agencia Española de Protección de Datos (AEPD) es el organismo independiente encargado de velar por el cumplimiento de la normativa de protección de datos en España. Entre sus funciones principales se encuentran:

• Informar y asesorar a los ciudadanos sobre sus derechos en materia de protección de datos.
• Supervisar el cumplimiento de la LOPDGDD y el RGPD por parte de las empresas y organizaciones.
• Tramitar las reclamaciones y denuncias relacionadas con la protección de datos.
• Imponer sanciones en caso de incumplimiento de la normativa.

¿Qué es la LOPDGDD?

La Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) es la normativa vigente en España en materia de protección de datos. Esta ley, que entró en vigor en diciembre de 2018, actualiza y adapta la Ley Orgánica de Protección de Datos Personales y de garantía de los derechos digitales (LOPD) a las disposiciones del Reglamento General de Protección de Datos (RGPD) de la Unión Europea.

¿Qué es la LOPD?

La Ley Orgánica de Protección de Datos Personales y de garantía de los derechos digitales (LOPD) fue la primera ley de protección de datos en España. Esta ley, que estuvo en vigor desde 1995 hasta 2018, establecía los principios básicos para la protección de los datos personales, como el derecho de acceso, rectificación, cancelación y oposición.

¿Qué es el RGPD?

El Reglamento General de Protección de Datos (RGPD) es un reglamento de la Unión Europea que entró en vigor en mayo de 2018. El RGPD establece un marco legal único para la protección de datos personales en toda la Unión Europea.

¿Qué es la Ley 3/2018?

La Ley 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales es la ley que modifica la LOPD para adaptarla al RGPD. Esta ley introduce importantes novedades en materia de protección de datos, como el derecho al olvido, el derecho a la portabilidad de los datos y el deber de notificación de las violaciones de seguridad.

¿Cómo cumplir con la LOPDGDD?

Para cumplir con la LOPDGDD, las empresas y organizaciones deben adoptar una serie de medidas, como:

1. Designar un Delegado de Protección de Datos (DPD)

El DPD es una figura clave en el cumplimiento de la LOPDGDD. Actúa como punto de contacto entre la empresa, la AEPD y los interesados, velando por el correcto tratamiento de los datos personales.

Funciones del DPD

• Asesorar y supervisar el cumplimiento de la LOPDGDD y el RGPD en la organización.
• Actuar como interlocutor ante la AEPD y los interesados en materia de protección de datos.
• Gestionar las reclamaciones y solicitudes relacionadas con el tratamiento de datos personales.
• Colaborar en la realización de evaluaciones de impacto y en la adopción de medidas de seguridad.
• Formar y sensibilizar a los empleados en materia de protección de datos.

¿Cuándo es obligatorio designar un DPD?

La designación de un DPD es obligatoria para:

• Empresas y organizaciones que traten datos personales a gran escala.
• Empresas y organizaciones que traten datos personales de categorías especiales (por ejemplo, datos de salud o datos de menores).
• Empresas y organizaciones que hayan sufrido violaciones de seguridad de datos de gran magnitud.

2. Realizar una evaluación de riesgos

La evaluación de riesgos es un proceso fundamental para identificar y valorar los riesgos que pueden afectar a la seguridad de los datos personales. Esta evaluación debe ser realizada de forma periódica y adaptada a las características específicas de la organización.

Pasos para realizar una evaluación de riesgos

• Identificar los activos de información: Determinar qué tipos de datos personales se tratan, dónde se almacenan y cómo se accede a ellos.
• Analizar las amenazas: Identificar los posibles riesgos que pueden afectar a la seguridad de los datos, como ataques informáticos, pérdidas o accesos no autorizados.
• Valorar los riesgos: Evaluar la probabilidad de que se materialicen las amenazas identificadas y el impacto potencial que podrían tener en la seguridad de los datos.
• Aplicar medidas de seguridad: Implementar las medidas técnicas y organizativas necesarias para mitigar los riesgos identificados.

3. Implementar medidas de seguridad técnicas y organizativas

Las medidas de seguridad son esenciales para proteger los datos personales frente a accesos no autorizados, alteraciones, pérdidas o destrucciones. Estas medidas deben ser adecuadas a los riesgos identificados en la evaluación de riesgos y deben estar en consonancia con el estado de la técnica.

Ejemplos de medidas de seguridad

• Medidas de seguridad física: Control de accesos físicos a las instalaciones, sistemas de seguridad perimetral, etc.
• Medidas de seguridad lógica: Control de accesos lógicos a los sistemas de información, firewalls, antivirus, etc.
• Medidas de seguridad organizativas: Formación y sensibilización de los empleados, procedimientos de seguridad, etc.

4. Formar a los empleados en materia de protección de datos

La formación de los empleados es crucial para garantizar que comprenden la importancia de la protección de datos y que son capaces de cumplir con las obligaciones establecidas en la LOPDGDD. La formación debe ser específica para cada puesto de trabajo y debe adaptarse a las necesidades de la organización.

Contenidos de la formación

• Principios básicos de la protección de datos.
• Obligaciones de la empresa en materia de protección de datos.
• Derechos de los interesados.
• Medidas de seguridad para proteger los datos personales.
• Procedimientos de actuación en caso de incidentes de seguridad.

5. Informar a los interesados sobre el tratamiento de sus datos

Los interesados tienen derecho a ser informados sobre el tratamiento de sus datos personales. Esta información debe ser clara, concisa, transparente y fácilmente accesible.

Contenido de la información

• Identidad y datos de contacto del responsable del tratamiento.
• Finalidades del tratamiento de los datos.
• Legitimación del tratamiento.
• Derechos de los interesados.
• Plazos de conservación de los datos.
• Destinos de los datos.
• Existencia de decisiones automatizadas
• Existencia de decisiones automatizadas, incluida la elaboración de perfiles.
• Posibilidad de reclamar ante la AEPD.

Canales de información

La información sobre el tratamiento de los datos personales puede proporcionarse a los interesados a través de diversos canales, como:

• Aviso en la web: La información puede estar disponible en un apartado específico de la web de la empresa.
• Cláusulas informativas: La información puede proporcionarse en formularios o contratos específicos para la recogida de datos.
• Comunicaciones directas: La información puede proporcionarse a los interesados mediante correo electrónico, SMS o correo postal.

6. Obtener el consentimiento de los interesados para el tratamiento de sus datos

El consentimiento de los interesados es necesario para el tratamiento de sus datos personales en determinados casos, como cuando se trata de datos de categorías especiales o cuando los datos van a ser cedidos a terceros.

Requisitos del consentimiento

• Debe ser libre, específico, informado e inequívoco.
• Debe poder retirarse en cualquier momento.
• Debe documentarse por escrito o de forma electrónica.

Formas de recabar el consentimiento

El consentimiento puede recabarse de diversas formas, como:

• Casillas de verificación en formularios online.
• Firmas en formularios en papel.
• Consentimiento verbal grabado.