DataPro Asesores,

Es aplicable a empresas que empleen a más de 250 personas, o a las que empleen a menos, pero en las que el tratamiento probablemente entrañe un riesgo para los derechos y libertades de los interesados, no sea ocasional o incluya categorías especiales de datos:

Que puedan entrañar un riesgo para los derechos y libertades de los interesados y se traten de manera no occasional.

• Sean relativos a condenas e infracciones penales.
• Incluya categorías especiales de datos personales (indicadas en el artículo 9 del RGPD):
• origen étnico o racial,
• opiniones políticas
• convicciones religiosas o filosóficas,
• afiliación sindical,
• tratamiento de datos genéticos,
• datos biométricos dirigidos a identificar de manera unívoca a una persona física,
• datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física.

Según el Reglamento General de Protección de Datos están obligados a tener un Delegado de Protección de Datos las entidades que se encuentren dentro de siguientes definiciones:

Todas las autoridades y organismos públicos (con independencia de los datos que procesen).

Empresas o entidades que, como actividad principal, realicen un seguimiento de personas de forma sistemática y a gran escala,

Empresas o entidades que procesen categorías especiales de datos personales a gran escala. Esto es datos personales especiales  son  aquellos que revelen la afiliación sindical, datos genéticos, datos biométricos y datos relativos a la salud.

Los proveedores de servicios que accedan a datos personales (encargados de tratamiento) y que cumplan cualquiera de los puntos anteriores.

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales ademas, establece en su artículo 34 que:

Los responsables y encargados de tratamiento deberán designar un delegado de protección de datos en todo caso, cuando se trate de las siguientes entidades:

1. Los colegios profesionales y sus consejos generales.
2. Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.
3. Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.
4. Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
5. Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.
6. Los establecimientos financieros de crédito.
7. Las entidades aseguradoras y reaseguradoras.
8. Las empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.
9. Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.
10. Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención de fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
11. Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
12. Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.Se exceptúan los profesionales de la salud que, aún estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.
13. Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
14. Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación de juego.
15. Las empresas de seguridad privada.
16. Las federaciones deportivas cuando traten datos de menores de edad.

Los responsables o encargados del tratamiento no incluidos en el párrafo anterior podrán designar de manera voluntaria un delegado de protección de datos, que quedará sometido al régimen establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica.

Es recomendable en caso de duda de si una empresa entra dentro de esos supuestos, que elabore un informe que recoja el análisis realizado para determinar necesidad o no de designar al delegado.

Es un punto de partida que deben realizar las empresas que puedan tener riesgo en el tratamiento de datos para determinar las medidas de seguridad técnicas y organizativas que deben activar para proteger los datos personales.

Un análisis de riesgo consiste  en  hacer un mapa de los diferentes datos de carácter personal que se gestionan en la organización,  ubicarlos  dentro  de cada departamento y saber qué sistemas de información dan soporte a todo lo anterior. Con todo ello, podremos analizar si un tratamiento de datos tiene un riesgo importante o no.

Además, hay que hacer verificaciones periódicas del modelo de seguridad implantado, por lo que es recomendable estar al día tanto en la normativa en concurso como en los avances de la técnica.

El análisis y la gestión de riesgos son procedimientos que permiten a las organizaciones hacer un diagnóstico sobre los riesgos para los tratamientos de datos personales y, en ocasiones, aportar información suficiente para decidir si es necesario o no llevar a cabo una Evaluación de Impacto en Protección de Datos.

Determinadas empresas deberán evaluar el impacto que los tratamientos de datos que realizan tienen sobre la protección de datos personales.

En particular, cuando sea probable que un tipo de tratamiento, sobre todo si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe u alto riesgo para los derechos y libertades de las personas físicas.

Las principales empresas que deberán realizar esta evaluación de impacto, generalizando los términos, son:

Empresas que realicen una evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar.

Empresas que realicen un tratamiento a gran escala de las categorías especiales de datos, o de los datos personales relativos a condenas e infracciones penales.

Empresas que realicen una observación sistemática a gran escala de una zona de acceso público.

Esta evaluación de impacto también podrán realizarla aquellos responsables que vayan a realizar un tratamiento a gran escala u operaciones de tratamiento que entrañen un alto riesgo para las personas.

El RGPD mantiene la prohibición general de enviar datos personales fuera del Espacio Económico Europeo a un país que no ofrezca una protección adecuada.

Se produce una brecha de seguridad. Cuando se produzca una incidencia, una violación de la seguridad, se evaluarán las consecuencias, se tomarán las medidas correctoras pertinentes, y se notificarán en un plazo no superior a 72 horas a la AEPD.

Es necesario llevar un registro de incidencias.

Sí. Establece nuevos derechos:

• Derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral.
• Derecho a la desconexión digital en el ámbito laboral.
• Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo.
• Derecho a la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboral.
• Derechos digitales en la negociación colectiva.

Se pueden imponer sanciones de hasta 10.000.000€ o el 2% del volumen de negocio anual global del ejercicio financiero anterior por:

• No aplicar medidas técnicas y organizativas por defecto.
• No realizar la correspondiente Evaluación de Impacto.
• No disponer del registro de actividades de tratamiento.
• No designar un DPO.
• No notificar las brechas de seguridad.

En el peor de los casos sanciones de hasta 20.000.000€ o el 4% del volumen de negocio anual global del ejercicio financiero anterior por:

• No cumplir con los principios y derechos del RGPD.
• No legalizar las transferencias internacionales de datos.
• No atender las resoluciones de las Autoridades de Control.

En la cuantía de las sanciones se tendrá en cuenta la naturaleza de los derechos personales afectados, así como la cantidad de información tratada, los beneficios obtenidos por dicho trato o el perjuicio ocasionado a los afectados, entre otras características.