¿Cuáles son los 7 principios del GDPR?
El RGPD se sustenta en una serie de principios de protección de datos que impulsan su cumplimiento. Estos principios esbozan las obligaciones que deben cumplir las organizaciones cuando recopilan, procesan y almacenan los datos personales de un individuo.
Aunque los principios de protección de datos son similares a los de la anterior Directiva de Protección de Datos (DPD), son más detallados para garantizar mayores niveles de cumplimiento y tener en cuenta los avances tecnológicos.
Los siete principios del GDPR proporcionan a las organizaciones una guía sobre cómo pueden gestionar mejor sus datos personales y lograr el cumplimiento del GDPR.
El incumplimiento de los principios puede exponer a su organización a multas sustanciales. El RGPD establece que las infracciones de los principios básicos para el tratamiento de datos personales están sujetas al nivel más alto de multas. Esto podría significar una multa de hasta el 4% de su facturación anual o 20 millones de euros, la cantidad que sea mayor.
Los siete principios de protección de datos que debe cumplir al procesar datos personales son los siguientes:
1. Legalidad, equidad y transparencia
El primer principio es posiblemente el más importante y hace hincapié en la transparencia total para todos los interesados de la UE. Cuando se recogen datos, las organizaciones deben dejar claro por qué se recogen y cómo se van a utilizar. Si un interesado solicita más información sobre el tratamiento de sus datos, las organizaciones están obligadas a proporcionársela en el momento oportuno. La recogida, el tratamiento y la divulgación de los datos deben realizarse de conformidad con la ley.
2. Limitación de la finalidad
Las organizaciones deben tener un motivo específico y legítimo para recopilar y procesar información personal. Los datos sólo pueden utilizarse para el fin designado y no deben procesarse para ningún otro uso, a menos que el interesado haya dado su consentimiento explícito. Existe un poco más de flexibilidad con el tratamiento que se realiza con fines de archivo en interés público o con fines científicos, históricos o estadísticos.
3. Minimización de datos
Según el GDPR, los datos deben ser «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que se procesan». Esto significa que las organizaciones sólo deben almacenar la cantidad mínima de datos necesaria para sus fines. Las organizaciones no pueden limitarse a recopilar datos personales por si acaso pudieran ser útiles en el futuro. Si conservan más datos de los necesarios, es probable que sea ilegal.
4. Precisión
Los datos personales deben ser exactos, adecuados a su finalidad y estar actualizados. Esto significa que las organizaciones deben revisar periódicamente la información que poseen sobre los individuos y borrar o rectificar en consecuencia la información inexacta. Las personas tienen derecho a solicitar que se borren o rectifiquen los datos inexactos o incompletos en un plazo de 30 días. Esta racionalización de la información ayudará a mejorar el cumplimiento y a garantizar que las bases de datos de las empresas sean precisas y estén actualizadas.
5. Limitación de almacenamiento
Una vez que ya no necesite los datos personales para los fines para los que se recogieron, deben borrarse o destruirse, a menos que existan otros motivos para conservarlos. El GDPR no establece cuánto tiempo debe conservar los datos personales. Corresponde a su organización determinarlo, en función de los fines del tratamiento. Para garantizar el cumplimiento, las organizaciones deben contar con un proceso de revisión que se ocupe de la limpieza de las bases de datos. Aunque la norma general es que no se pueden conservar los datos personales para un uso futuro, existen excepciones para fines de archivo, investigación o estadística.
6. Integridad y confidencialidad
Este principio se refiere exclusivamente a la seguridad. Su organización debe garantizar que se aplican todas las medidas adecuadas para proteger los datos personales que posee. Puede tratarse de la protección frente a amenazas internas como el uso no autorizado, la pérdida accidental o los daños, así como frente a amenazas externas como el phishing, el malware o el robo. Una seguridad de la información deficiente podría poner en peligro sus sistemas y servicios, además de causar angustia a las personas. No existe un enfoque único, pero el RGPD establece que las organizaciones deben disponer de los niveles de seguridad adecuados para hacer frente a los riesgos que presenta su tratamiento.
7. Rendición de cuentas
El último principio, y uno nuevo en el marco del RGPD, establece que las organizaciones deben asumir la responsabilidad de los datos que poseen y demostrar el cumplimiento de los demás principios. Esto significa que las organizaciones deben ser capaces de demostrar los pasos que han dado para demostrar el cumplimiento. Esto podría incluir:
- Evaluar las prácticas actuales
- Nombrar a un responsable de la protección de datos
- Creación de un inventario de datos personales
- Obtener el consentimiento adecuado
- Realización de evaluaciones de impacto de la protección de datos
Adherirse a estos principios rectores durante el diseño, la implementación y las operaciones ayudará a garantizar que las organizaciones cumplan con el GDPR.
Las soluciones de Gestión de Riesgos Humanos de MetaCompliance han sido diseñadas para proporcionar el enfoque de mejores prácticas para el cumplimiento de la privacidad de los datos. Póngase en contacto con nosotros para obtener más información sobre cómo podemos ayudar a su organización a mejorar su estructura de cumplimiento.
DESCARGO DE RESPONSABILIDAD: El contenido y las opiniones de este blog tienen únicamente fines informativos. No pretenden constituir un asesoramiento legal o profesional de otro tipo y no deben ser invocados o tratados como sustitutos de un asesoramiento específico relevante para circunstancias particulares, la Ley de Protección de Datos o cualquier otra legislación actual o futura. MetaCompliance no aceptará ninguna responsabilidad por errores, omisiones o declaraciones engañosas, o por cualquier pérdida que pueda derivarse de la confianza en los materiales contenidos en este blog.
Preguntas frecuentes sobre los principios del RGPD
¿Cuáles son los 7 principios del GDPR?
Los siete principios del RGPD son:
- Legalidad, equidad y transparencia
- Limitación de la finalidad
- Minimización de datos
- Precisión
- Limitación de almacenamiento
- Integridad y confidencialidad (seguridad)
- Responsabilidad
En conjunto, estos principios constituyen la base sobre la que las organizaciones deben recopilar, tratar, almacenar y proteger los datos personales con arreglo al RGPD del Reino Unido y al RGPD de la UE.
¿Dónde se definen los principios del RGPD?
Los principios del RGPD se recogen en el artículo 5 del Reglamento General de Protección de Datos (RGPD). El artículo 5 establece las normas fundamentales que deben cumplir las organizaciones siempre que traten datos personales y constituye la base de muchos de los requisitos de cumplimiento más amplios del Reglamento.
¿Se aplican los principios del RGPD a todas las organizaciones?
Los principios del RGPD se aplican a cualquier organización que trate datos personales regulados por el RGPD del Reino Unido o el RGPD de la UE, independientemente de su tamaño o sector. Tanto si se trata de una empresa privada, una organización del sector público o una organización benéfica, debe asegurarse de que los datos personales se traten de conformidad con estos principios siempre que sea de aplicación la legislación.
¿Cuál es la diferencia entre un principio del RGPD y una base jurídica?
Un principio del RGPD describe las normas generales que rigen la forma en que deben tratarse los datos personales a lo largo de todo su ciclo de vida. Una base jurídica explica el motivo legal por el que una organización está autorizada a tratar datos personales en primer lugar, como el consentimiento, la necesidad contractual o la obligación legal. Las organizaciones deben cumplir tanto los principios del RGPD como identificar una base jurídica adecuada para el tratamiento.
¿Cuál es el principio del RGPD que se incumple con mayor frecuencia?
No hay ningún principio en concreto que se incumpla más que los demás, pero las autoridades reguladoras suelen detectar problemas relacionados con la legalidad, la equidad y la transparencia, la integridad y la confidencialidad (seguridad), así como la rendición de cuentas. Entre las causas más habituales se encuentran unas medidas de seguridad inadecuadas, una información sobre privacidad poco clara, una recopilación excesiva de datos y unas prácticas deficientes en materia de gobernanza o de mantenimiento de registros.