{"id":3454,"date":"2018-05-15T10:06:50","date_gmt":"2018-05-15T09:06:50","guid":{"rendered":"http:\/\/www.fabregat-perulles-sales.com\/actualidad\/?p=3454"},"modified":"2018-05-15T10:14:37","modified_gmt":"2018-05-15T09:14:37","slug":"principales-novedades-sobre-datos-de-caracter-personal","status":"publish","type":"post","link":"https:\/\/www.fabregat-perulles-sales.com\/actualidad\/principales-novedades-sobre-datos-de-caracter-personal\/","title":{"rendered":"Principales novedades sobre datos de car\u00e1cter personal"},"content":{"rendered":"

A \"candadopartir del pr\u00f3ximo 25.05.18 ser\u00e1 de aplicaci\u00f3n el Reglamento (UE) 2016\/679 , de 27 de abril de 2016, relativo a la protecci\u00f3n de las personas f\u00edsicas en lo que respecta al tratamiento de datos personales y a la libre circulaci\u00f3n de \u00e9stos, y quedar\u00e1 derogada tanto la Directiva 95\/46 como, las normas nacionales que la trasponen, entre ellas la Ley Org\u00e1nica 15\/1999, de 13 de diciembre de Protecci\u00f3n de Datos de Car\u00e1cter Personal (salvo arts. 23 y 24 y DT4\u00aa).<\/p>\n

1\u00aa.-\u00a0 \u00a0Personas obligadas a cumplir con la nueva normativa<\/u>:\u00a0 <\/strong><\/p>\n

Al igual que hasta ahora, tanto\u00a0empresas, aut\u00f3nomos, profesionales, entes p\u00fablicos y cualquiera que por su actividad realice tratamientos de datos<\/strong> de car\u00e1cter personal<\/strong>, ya sean estos por su cuenta propia o a trav\u00e9s de terceros.<\/p>\n

Como novedad, la normativa europea sobre protecci\u00f3n de datos pasa a ser aplicable no s\u00f3lo a los responsables o encargados del tratamiento de datos establecidos en la UE sino tambi\u00e9n a aquellas empresas y organizaciones que no est\u00e9n establecidas en la UE<\/strong> cuando realicen tratamientos derivados de una oferta de bienes o servicios destinados a ciudadanos de la UE o como consecuencia de una monitorizaci\u00f3n y seguimiento de su comportamiento, las cuales estar\u00e1n obligadas a nombrar un representante suyo en la UE.<\/p>\n

2\u00aa.- \u00a0\u00a0El \u201cderecho al olvido\u201d<\/em> y el \u201cderecho a la portabilidad\u201d<\/em>\u00a0 como nuevas \u00a0herramientas destacadas de control de los datos para los ciudadanos<\/u>: <\/strong><\/p>\n

Frente a los hasta ahora vigentes derechos de Acceso, Rectificaci\u00f3n, Cancelaci\u00f3n y Oposici\u00f3n<\/strong> de los usuarios, en relaci\u00f3n con sus datos personales que est\u00e9n siendo objeto de tratamiento, el nuevo Reglamento recoge ahora como Derechos del interesado, los derechos de informaci\u00f3n\u00a0 y acceso del interesado a sus datos (arts. 13 a 15), el derecho de rectificaci\u00f3n (art. 16) y el de supresi\u00f3n o \u201cderecho al olvido\u201d (art. 17), el derecho a la limitaci\u00f3n del tratamiento (art. 18), el de la \u201cportabilidad\u201d de los datos (art. 20), y el derecho de oposici\u00f3n (art. 21).<\/p>\n

De ellos destacan los novedosos derechos \u201cal olvido\u201d<\/em> y \u201ca la portabilidad\u201d <\/em>de los datos: Siendo el primero<\/strong>, el derecho de los ciudadanos a solicitar que sus datos sean suprimidos en los casos indicados e incluso a solicitar que se bloqueen en las listas de resultados de los buscadores los v\u00ednculos que conduzcan a informaciones que les afecten que sean obsoletas, incompletas, falsas o irrelevantes y que no sean de inter\u00e9s p\u00fablico, entre otras razones.\u00a0 Y, el segundo<\/strong>, el de la portabilidad, el derecho a solicitar al responsable que los est\u00e9 tratando de forma automatizada, el poder recuperarlos en un formato que permita transfer\u00edrselos a otro responsable que el ciudadano designe.<\/p>\n

3\u00aa.-\u00a0\u00a0 Sobre la informaci\u00f3n a incluir en los avisos de privacidad<\/u>:\u00a0 <\/strong><\/p>\n

Los avisos sobre privacidad deben revisarse y corregirse<\/strong> para <\/strong>incluir toda una serie de informaciones nuevas <\/strong>que deben proporcionarse de forma concisa, transparente, inteligible y de f\u00e1cil acceso, con un lenguaje claro y sencillo, por escrito u otros medios, inclusive, si procede, por medios electr\u00f3nicos y de forma gratuita.<\/p>\n

Entre dicha informaci\u00f3n, destaca como novedad, la base legal del tratamiento, plazo de conservaci\u00f3n o criterios para determinarlo, existencia de los derechos que pueden ejercitar frente al responsable (acceso, rectificaci\u00f3n, supresi\u00f3n, limitaci\u00f3n, oposici\u00f3n, y portabilidad), posibilidad de presentar reclamaciones a las Autoridades de Protecci\u00f3n de datos, etc.<\/p>\n

4\u00aa.- \u00a0Medidas preventivas a adoptar por las empresas.\u00a0 La responsabilidad activa<\/u>:\u00a0 <\/strong><\/p>\n

El Reglamento establece toda una serie de medidas que las empresas deber\u00e1n adoptar con car\u00e1cter preventivo y anticipativo para garantizar el cumplimiento de los principios, derechos y garant\u00edas recogidos en \u00e9l, destacando las siguientes:<\/p>\n

\u00b7 Protecci\u00f3n de datos desde el dise\u00f1o y por defecto<\/strong> (art. 25), adoptando medidas de seguridad, t\u00e9cnicas y organizativas, apropiadas (art. 32) como la seudominizaci\u00f3n y minimizaci\u00f3n de datos, y aquellas con miras a garantizar que, por defecto, solo sean tratados los datos personales estrictamente necesarios.<\/p>\n

\u00b7 Obligaci\u00f3n de mantener un registro de tratamientos<\/strong> (art. 30), equivalente en cuanto a su contenido al actual \u201cdocumento de seguridad\u201d, desapareciendo la obligaci\u00f3n de notificar los ficheros a la AEPD.<\/p>\n

\u00b7 Evaluaciones previas de impacto<\/strong> (art. 35) y consultas previas<\/strong> a la autoridad de control (art. 36) cuando sea probable que el tratamiento presente un alto riesgo espec\u00edfico para los derechos y libertades de los interesados.<\/p>\n

\u00b7Designaci\u00f3n de un delegado<\/strong> de protecci\u00f3n de datos (DPO<\/em>) (arts. 37 a 39):<\/p>\n

    \n
  1. Si el tratamiento lo lleva a cabo una autoridad u organismo p\u00fablico, excepto los tribunales que act\u00faen en ejercicio de su funci\u00f3n judicial.<\/li>\n
  2. Si las actividades principales del responsable o del encargado consisten en:<\/li>\n<\/ol>\n

    – Operaciones de tratamiento que, en raz\u00f3n de su naturaleza, alcance y\/o fines, requieren una observaci\u00f3n habitual y sistem\u00e1tica de\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0interesados a gran\u00a0escala.<\/p>\n

    – El tratamiento a gran escala de categor\u00edas especiales de datos personales con arreglo al art\u00edculo 9 y de datos relativos a condenas e\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0infracciones penales a que se refiere el art\u00edculo 10 del Reglamento.<\/p>\n

    \u00b7 Notificaci\u00f3n de violaciones de la seguridad <\/strong>de los datos a la autoridad de control (art. 33) y al interesado (art. 34)<\/p>\n

    \u00b7 Promoci\u00f3n de c\u00f3digos de conducta<\/strong> (art. 40) y mecanismos de certificaci\u00f3n<\/strong> (art. 42)<\/p>\n

    5\u00aa.-\u00a0 Sobre la validez en la obtenci\u00f3n del consentimiento<\/u>:\u00a0\u00a0\u00a0 <\/strong><\/p>\n

    Conforme a la normativa anterior, se admit\u00eda como consentimiento v\u00e1lidamente otorgado en muchos casos el llamado consentimiento \u201ct\u00e1cito\u201d.\u00a0 Sin embargo, con la aplicaci\u00f3n del nuevo Reglamento dicha forma de obtenci\u00f3n del consentimiento para el tratamiento de datos personales ha dejado de ser v\u00e1lida.<\/p>\n

    Ahora, la validez de la obtenci\u00f3n del consentimiento depende de que el mismo se preste de forma libre, informada, espec\u00edfica e inequ\u00edvoca, teniendo en cuenta en este \u00faltimo caso que para que se considere prestado de forma inequ\u00edvoca es preciso una declaraci\u00f3n de los interesados o una acci\u00f3n positiva que indique el acuerdo de \u00e9stos<\/strong>, no pudiendo deducirse el consentimiento del silencio o de la inacci\u00f3n de los mismos.<\/p>\n

    Adem\u00e1s, en algunos casos<\/strong> como aquellos en los que el consentimiento sea necesario para el tratamiento de datos sensibles, el consentimiento debe ser otorgado de manera \u201cexpl\u00edcita\u201d lo cual comporta que no puede entenderse concedido impl\u00edcitamente mediante alg\u00fan tipo de acci\u00f3n positiva sino que es necesario contar con que la acci\u00f3n o declaraci\u00f3n se refieran expl\u00edcitamente al consentimiento y al tratamiento concreto<\/strong> de que se trate.<\/p>\n

    Finalmente, y como novedad, el otorgamiento del consentimiento debe ser verificable, de tal forma que quienes recopilen datos personales deben poder demostrar que el interesado les otorg\u00f3 su consentimiento.<\/p>\n

    6\u00aa.-\u00a0\u00a0 Edad m\u00ednima prestaci\u00f3n consentimiento por ni\u00f1os en relaci\u00f3n con internet y\u00a0 redes sociales<\/u>:\u00a0\u00a0 <\/strong><\/p>\n

    En Espa\u00f1a, hasta ahora, el l\u00edmite de edad a partir del cual los menores pod\u00edan prestar su consentimiento para el tratamiento de sus datos personales en relaci\u00f3n con la oferta dirigida a los mismos a trav\u00e9s de servicios de la sociedad de la informaci\u00f3n (internet, redes sociales, etc.), se encontraba en los 14 a\u00f1os. A partir del 25.05.18 todo indica[1]<\/a> que ser\u00e1 de 13 a\u00f1os<\/strong> (El Reglamento lo fija en un m\u00ednimo de 16 a\u00f1os si bien permite que los estados la fijen en una edad menor, sin que en ning\u00fan caso pueda ser inferior a los 13 a\u00f1os).<\/p>\n

    Consentimiento que deber\u00e1 ser verificable y debiendo estar escrito el aviso de privacidad en un lenguaje que los ni\u00f1os puedan entender.<\/p>\n

    7\u00aa.-\u00a0 Contratos con los encargados del tratamiento<\/u>:\u00a0 <\/strong>
    \nCon el nuevo Reglamento se\u00a0ampl\u00eda el contenido de los contratos firmados por el responsable del tratamiento con los encargados del tratamiento, esto es, aquellos terceros que traten datos personales por cuenta del responsable) que adem\u00e1s del objeto, duraci\u00f3n, naturaleza y finalidad del tratamiento, tipo de datos personales y categor\u00edas de interesados,\u00a0 obligaciones y derechos del responsable, debe recoger toda una serie de estipulaciones concretas indicadas en el nuevo Reglamento.<\/p>\n

    Ser\u00eda pues recomendable revisar los contratos actualmente firmados con los encargados del tratamiento para verificar que se ajustan a antes indicado, o modific\u00e1ndolos a tal efecto en caso contrario[2]<\/a>.<\/p>\n

    8\u00aa.-\u00a0 Sobre el nuevo sistema de \u201cventanilla \u00fanica\u201d<\/u>:\u00a0 <\/strong><\/p>\n

    Este nuevo sistema que introduce el Reglamento est\u00e1 pensado para que los responsables establecidos en varios Estados miembros o que, estando en un solo Estado miembro, hagan tratamientos que afecten significativamente a ciudadanos en varios Estados de la UE, tengan una \u00fanica Autoridad de protecci\u00f3n de datos como interlocutora.<\/p>\n

    Adem\u00e1s, este nuevo sistema implicar\u00e1 tambi\u00e9n que cada Autoridad de protecci\u00f3n de datos europea, en\u00a0 lugar de analizar una denuncia o autorizar un tratamiento a nivel estrictamente nacional, valorar\u00e1 si el supuesto tiene car\u00e1cter transfronterizo, en cuyo caso se abrir\u00e1 un procedimiento de cooperaci\u00f3n entre todas las Autoridades afectadas buscando una soluci\u00f3n aceptable para todas ellas, de tal forma que si hubieran discrepancias insalvables, el caso se elevar\u00eda al Comit\u00e9 Europeo de Protecci\u00f3n de Datos (un organismo de la Uni\u00f3n integrado por los directores de todas las Autoridades de protecci\u00f3n de datos de la Uni\u00f3n) que resolver\u00e1 la controversia mediante decisiones vinculantes para las Autoridades implicadas.<\/p>\n

    En todo caso, la ventanilla \u00fanica no afectar\u00e1 a empresas que s\u00f3lo est\u00e9n en un Estado miembro y que realicen tratamientos que afecten s\u00f3lo a interesados en ese Estado y tampoco supondr\u00e1 que los ciudadanos tengan que relacionarse con varias Autoridades o con Autoridades distintas de la del Estado donde residan.\u00a0 \u00c9stos siempre podr\u00e1n plantear sus reclamaciones o denuncias ante su propia Autoridad Nacional (En Espa\u00f1a, la Agencia Espa\u00f1ola de Protecci\u00f3n de datos), la cual ser\u00e1 la responsable de informar al ciudadano del resultado de su reclamaci\u00f3n o denuncia.<\/p>\n

    9\u00aa.-\u00a0 Posibles sanciones<\/u>:\u00a0 <\/strong><\/p>\n

    Dependiendo de la gravedad de la infracci\u00f3n las multas<\/strong> podr\u00edan llegar alcanzar un importe m\u00e1ximo de entre 10 y 20 millones de euros<\/strong> o un porcentaje de entre el 2 y el 4% del volumen de negocios<\/strong> total de la empresa.<\/p>\n

     <\/p>\n

     <\/p>\n

    [1]<\/a> Seg\u00fan Proyecto de Ley Org\u00e1nica de Protecci\u00f3n de Datos de Car\u00e1cter Personal (BO de las Cortes Generales de 24.11.17, cuyo objeto es adpatar el Reglamento al ordenamiento jur\u00eddico espa\u00f1ol.<\/p>\n

    [2]<\/a> Una vez se apruebe la mencionada nueva LOPD en Espa\u00f1a, habr\u00e1 que verificar de qu\u00e9 modo y durante cu\u00e1nto tiempo,\u00a0 transitoritamiente, podr\u00e1n mantener su vigencia los contratos suscritos antes del 25.05.18 y cu\u00e1ndo y c\u00f3mo deber\u00e1 producirse su adaptaci\u00f3n a la nueva normativa.<\/p>\n

     <\/p>\n

    FABREGAT PERULLES SALES ABOGADOS<\/p>\n

    Mayo de 2018<\/p>\n\r\n\t\t