Es difícil creer que nos acercamos al primer aniversario del RGPD. Tras un periodo de transición de dos años, el GDPR entró en vigor el25 de mayo de 2018 y transformó por completo la forma en que las organizaciones abordan la privacidad de los datos.
La legislación se introdujo para reflejar nuestro mundo cada vez más digitalizado y reconocer los derechos de las personas respecto al uso de sus datos personales.
Muchas organizaciones han invertido mucho tiempo y esfuerzo en asegurarse de que cumplen con la nueva legislación, sin embargo, para otras ha sido un viaje más difícil y arduo. Demostrar el cumplimiento del RGPD es un proceso continuo y hay muchos aspectos de la legislación que todavía requieren aclaración y pueden resultar confusos para las organizaciones.
Dos términos que oímos constantemente en relación con el RGPD son "responsables del tratamiento" y "encargados del tratamiento". Es importante entender la distinción entre estos dos términos, ya que determinará sus responsabilidades bajo la legislación.
La distinción entre un controlador de datos y un procesador de datos puede tener importantes consecuencias en el mundo real. Si una organización está involucrada en el procesamiento de datos, es vital que establezca las funciones y responsabilidades en una etapa temprana para evitar cualquier confusión en caso de que se produzca una violación de datos. Esto ayudará a garantizar que no haya lagunas en las responsabilidades y que las organizaciones puedan hacer frente a estos problemas de manera eficiente y eficaz.
¿Qué son los datos personales?
Si su organización procesa datos personales, entonces se le aplica el RGPD. La UE define los "datos personales" como cualquier información que pueda utilizarse para identificar directa o indirectamente a una persona (sujeto de los datos). Esto incluye todo, desde el nombre, la dirección de correo electrónico, la dirección IP y las imágenes. También incluye los datos personales sensibles, como los datos biométricos o los datos genéticos, que pueden ser tratados para identificar a una persona.
¿Es usted un "controlador de datos" o un "procesador de datos"?
Si su organización determina los fines y la forma en que se procesan los datos personales, entonces se considera un controlador de datos.
Los controladores de fechas desempeñan un papel clave en el cumplimiento del GDPR debido a los datos personales de clientes y empleados que conservan y recopilan.
Las funciones del controlador de datos incluyen:
- Facilitar una mayor transparencia en el tratamiento de los datos de privacidad en relación con las solicitudes de los interesados
- Garantizar que los datos de los interesados se traten dentro de los plazos definidos por el RGPD
- Realización de evaluaciones de privacidad y nombramiento de DPO
- Notificación a las autoridades de control de las violaciones de datos en un plazo de 72 horas desde el descubrimiento de la violación
- Seguimiento y respuesta a los cambios en los mandatos de cumplimiento
- Sustitución de los campos de datos identificativos por seudónimos y cifrado de los datos personales
- Mantener registros del tratamiento de datos personales a través de un Registro de Datos Personales
- Gestionar y gobernar la interacción con terceros en relación con el procesamiento y el tratamiento de los datos personales
¿Quién es un procesador de datos y cuáles son sus responsabilidades?
Si una persona, organización, agencia u otro organismo actúa en nombre de un responsable del tratamiento, se le considera un encargado del tratamiento.
Algunos ejemplos de procesadores de datos son
- Una agencia externa (por ejemplo, una empresa responsable de la eliminación de la información de los clientes)
- Un proveedor de la nube que almacena datos personales
- Cualquier proveedor de servicios que actúe en su nombre con acceso a los datos personales de un cliente o empleado
Lea también la guía Dummies del Reglamento sobre la privacidad electrónica
Las funciones del procesador de datos incluyen:
- Decidir qué sistemas informáticos u otros métodos utilizar para recoger datos personales
- Cómo almacenar los datos personales
- Seguridad de los datos
- Medios utilizados para transferir datos de una organización a otra
- Medios utilizados para recuperar los datos personales de determinadas personas
- Garantizar el cumplimiento del método de conservación
- Medios utilizados para borrar/eliminar datos
Los procesadores de datos están sujetos a varias obligaciones nuevas en virtud del RGPD, que incluyen el mantenimiento de medidas que asignan niveles adecuados de seguridad para los datos personales en relación con el riesgo potencial.
Los procesadores de datos están obligados a acatar las instrucciones de los responsables del tratamiento, a menos que estas instrucciones entren en conflicto con el propio RGPD.
¿Puede un controlador de datos ser también un procesador de datos?
Hay ciertas zonas grises en las que las situaciones pueden solaparse, lo que hace difícil distinguir si se trata de un controlador de datos o de un procesador de datos. Sin embargo, la OIC es clara en sus consejos al afirmar que "Una organización no puede ser a la vez responsable y encargado del tratamiento de datos para la misma actividad de tratamiento de datos; debe ser una u otra.
Esto significa que, para determinar qué organización es responsable de la protección de los datos, es necesario examinar el tratamiento en cuestión, así como las organizaciones implicadas. También es importante que, en la medida de lo posible, los sistemas y procedimientos distingan entre los datos "propios" de la organización y los datos que trata por cuenta de los demás".
Conozca también qué es el consentimiento válido del GDPR
Para garantizar el pleno cumplimiento del RGPD, las organizaciones tendrán que definir claramente las funciones y responsabilidades para evitar incurrir en la legislación. Si no está seguro de cuál es la situación de su organización, debe consultar a un asesor jurídico para obtener más información.
MetaPrivacy ha sido diseñado para proporcionar el enfoque de mejores prácticas para el cumplimiento de la privacidad de los datos. Póngase en contacto con nosotros para obtener más información sobre cómo podemos ayudar a su organización a mejorar su estructura de cumplimiento.
DESCARGO DE RESPONSABILIDAD: El contenido y las opiniones de este blog tienen únicamente fines informativos. No pretenden constituir un asesoramiento legal o profesional de otro tipo y no deben ser invocados o tratados como un sustituto del asesoramiento específico correspondiente a las circunstancias particulares, la Ley de Protección de Datos, o cualquier otra legislación actual o futura. MetaCompliance no se responsabiliza de los errores, omisiones o declaraciones engañosas, ni de las pérdidas que puedan derivarse de la confianza en los materiales contenidos en este blog.
