El RGPD es el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 o Reglamento General de Protección de Datos, que regula el tratamiento que realizan las personas, empresas u organizaciones de los datos personales relacionados con personas en la Unión Europea. Veamos qué es en profundidad:
¿Qué es la RPGD?
El RGPD, o Reglamento General de Protección de Datos, es una legislación de la Unión Europea que fue implementada para fortalecer y unificar la protección de datos para todos los individuos dentro de la Unión Europea (UE). Entró en vigencia el 25 de mayo de 2018, reemplazando la Directiva de Protección de Datos de 1995.
Puntos clave del RGPD :
- Ámbito de Aplicación: El RGPD se aplica a todas las empresas y organizaciones que procesan datos personales de individuos en la UE, independientemente de la ubicación de la empresa. Esto incluye a las empresas establecidas en la UE y a las que operan desde fuera de la UE pero tratan datos de residentes de la UE.
- Principios Fundamentales: Introduce principios clave que deben seguirse al procesar datos personales, como la transparencia en el procesamiento, la limitación de la finalidad del tratamiento, la minimización de datos, la exactitud de los datos y la limitación del almacenamiento.
- Derechos de los Individuos: Refuerza y amplía los derechos de los individuos en relación con sus datos personales, incluyendo el derecho de acceso, rectificación, supresión, portabilidad, oposición y limitación del tratamiento.
- Consentimiento: Establece estándares más altos para la obtención del consentimiento para el procesamiento de datos personales, exigiendo que sea otorgado de manera clara y afirmativa.
- Notificación de Violaciones de Datos: Introduce la obligación de notificar a las autoridades de protección de datos y a los individuos afectados en caso de una violación de seguridad que pueda poner en riesgo sus datos personales.
- Responsabilidad y Responsable del Tratamiento: Refuerza la responsabilidad de las organizaciones para garantizar el cumplimiento de la normativa, y establece la figura del Responsable del Tratamiento, que es la entidad o persona responsable de decidir sobre el propósito y los medios del tratamiento de datos.
- Evaluaciones de Impacto de Protección de Datos (EIPD): Introduce la obligación de realizar evaluaciones de impacto de protección de datos en ciertos casos de tratamiento de datos que pueden suponer un alto riesgo para los derechos y libertades de los individuos.
- Delegado de Protección de Datos (DPD): En algunos casos, se requiere la designación de un Delegado de Protección de Datos (DPD) para supervisar y asesorar sobre el cumplimiento del RGPD.
El RGPD tiene como objetivo principal empoderar a los individuos en el control de sus datos personales y establecer estándares más elevados para la protección de la privacidad en el entorno digital. Su aplicación se extiende a nivel mundial siempre que una entidad procese datos de residentes de la UE.
¿Qué es la LOPDGDD?
La LOPDGDD (Ley Orgánica de Protección de Datos y garantía de los derechos digitales) es una legislación española que complementa y desarrolla el Reglamento General de Protección de Datos (RGPD) de la Unión Europea. Fue aprobada en diciembre de 2018 y entró en vigor junto con el RGPD el 25 de mayo de 2018.
La LOPDGDD aporta especificidad y detalles adicionales que son aplicables dentro del contexto legal español.
- Adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos, y completar sus disposiciones. El derecho fundamental de las personas físicas a la protección de datos personales, amparado por el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley orgánica.
- Garantizar los derechos digitales de la ciudadanía conforme al mandato establecido en el artículo 18.4 de la Constitución.
La nueva Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD) adapta el Reglamento General de Protección de Datos (RGPD) de la Unión Europea al marco español.
La LOPDGDD tiene como objetivo adaptar y desarrollar aspectos específicos del RGPD, así como abordar cuestiones relacionadas con la protección de datos en el ámbito nacional. Además de regular el tratamiento de datos personales, la ley también se ocupa de los derechos digitales de las personas en el entorno digital.
Algunos de los puntos clave que aborda la LOPDGDD incluyen:
- Desarrollo y complemento del RGPD: La ley desarrolla ciertos aspectos del RGPD, adaptándolos al contexto legal español y proporcionando detalles adicionales sobre ciertos aspectos del tratamiento de datos.
- Régimen sancionador: Establece el régimen sancionador para las infracciones de las normativas de protección de datos en España, detallando las multas y sanciones que pueden imponerse en caso de incumplimiento.
- Registro de Actividades de Tratamiento: Define la obligación de mantener un Registro de Actividades de Tratamiento, que documenta las operaciones de procesamiento de datos llevadas a cabo por una entidad.
- Delegado de Protección de Datos (DPD): La LOPDGDD regula la figura del Delegado de Protección de Datos (DPD), también conocido como Data Protection Officer (DPO) en inglés, estableciendo sus funciones y requisitos.
- Derechos digitales: Introduce una serie de derechos específicos relacionados con el ámbito digital, como el derecho a la desconexión digital, el derecho a la intimidad en el ámbito laboral en relación con el uso de dispositivos digitales, y otros derechos relacionados con las tecnologías de la información y comunicación.
¿A quién se aplica el RGPD?
El Reglamento General de Protección de Datos (RGPD) es una legislación de la Unión Europea que entró en vigor el 25 de mayo de 2018. Se aplica a todas las empresas y organizaciones que procesan datos personales de personas en la Unión Europea (UE), independientemente de dónde se encuentre la empresa u organización. Esto significa que, incluso si una empresa tiene su sede fuera de la UE, si procesa datos personales de individuos en la UE, debe cumplir con las disposiciones del RGPD.
El RGPD se aplica a una amplia gama de entidades, incluyendo empresas, organizaciones gubernamentales, y otras entidades que procesan datos personales en el contexto de las actividades comerciales. También se aplica tanto a los controladores de datos (quienes determinan los fines y medios del procesamiento de datos) como a los procesadores de datos (quienes procesan datos en nombre de los controladores).
Hay que saber que el RGPD se aplica en los siguientes casos:
- Cuando su empresa o entidad trata datos personales como parte de las actividades de una de sus sucursales establecidas en la UE, independientemente del lugar donde sean tratados los datos, o
- Cuando su empresa está establecida fuera de la UE y ofrece productos o servicios (de pago o gratuitos) u observa el comportamiento de las personas en la UE.
Si su empresa es una pequeña o mediana empresa (pyme) que trata datos personales según lo descrito arriba, debe cumplir el Reglamento.
Sin embargo, si el tratamiento de datos personales no constituye la parte principal de su negocio y su actividad no entraña riesgos para las personas, no estará sujeto a algunas obligaciones del RGPD, como por ejemplo, el nombramiento de un delegado de protección de datos (DPD). Cabe señalar que las “actividades principales” deben incluir actividades en las que el tratamiento de datos forme una parte indisociable de la actividad del responsable o encargado del tratamiento. Por ejemplo, siempre que la empresa no dirija sus servicios específicamente a personas de la UE no estará sujeto a las normas de RGPD.
¿Cuáles son los objetivos de la auditoría RGPD-LOPDGDD?
La auditoría RGPD (Reglamento General de Protección de Datos) y LOPDGDD (Ley Orgánica de Protección de Datos y garantía de los derechos digitales) tiene como objetivo evaluar y verificar el cumplimiento de las normativas de protección de datos en una organización. A continuación, se detallan algunos de los objetivos específicos de una auditoría RGPD-LOPDGDD:
- Verificar el Cumplimiento Legal: La auditoría busca asegurar que la organización cumple con las disposiciones y requisitos legales establecidos en el RGPD y la LOPDGDD. Esto incluye evaluar la adecuación de las políticas, procesos y procedimientos implementados.
- Evaluar la Protección de Datos Personales: La auditoría se centra en revisar cómo la organización recopila, almacena, procesa y comparte datos personales. Se verifica la implementación de medidas de seguridad adecuadas para proteger la confidencialidad, integridad y disponibilidad de estos datos.
- Revisar el Consentimiento: Se examina cómo la organización obtiene, gestiona y documenta el consentimiento de las personas para el procesamiento de sus datos personales. Esto incluye evaluar la transparencia en la recopilación de datos y la facilidad para retirar el consentimiento.
- Analizar la Gestión de Derechos de los Titulares de Datos: Se verifica cómo la organización gestiona los derechos de los individuos en relación con sus datos personales, como el derecho de acceso, rectificación, supresión y portabilidad. La auditoría evalúa si la organización tiene procesos establecidos para manejar estas solicitudes.
- Revisar la Seguridad de la Información: La auditoría se centra en evaluar las medidas de seguridad de la información implementadas por la organización, incluyendo controles de acceso, cifrado, monitoreo y gestión de incidentes, para garantizar la protección de los datos personales.
- Examinar la Documentación y Registro: Se verifica la existencia y adecuación de la documentación requerida por el RGPD, como el Registro de Actividades de Tratamiento, evaluando si se mantienen registros de procesamiento de datos de manera adecuada.
- Evaluar la Formación y Concienciación: La auditoría busca determinar si la organización proporciona formación adecuada a su personal sobre las cuestiones relacionadas con la protección de datos y la privacidad, y si existe una concienciación generalizada en la empresa.
- Identificar Áreas de Mejora: La auditoría también tiene como objetivo identificar áreas en las que la organización puede mejorar su cumplimiento con las normativas de protección de datos y proporcionar recomendaciones para abordar cualquier deficiencia encontrada.
Al realizar una auditoría RGPD-LOPDGDD, las organizaciones pueden asegurarse de que están cumpliendo con las obligaciones legales y adoptando prácticas sólidas para proteger la privacidad de los datos personales.
¿Debo auditar mi empresa en materia de Protección de Datos?
La auditoría de protección de datos es obligatoria para todas aquellas organizaciones que traten datos personales. Dichas auditorías deben realizarse al menos bianualmente, siempre y cuando no existan modificaciones sustanciales en el tratamiento de los datos.
Hay que tener en cuenta que, ni la LOPD ni el RGPD establecen la obligación de realizar auditorías de protección de datos. Sin embargo, sí establece que las organizaciones deben evaluar la eficacia de las medidas de seguridad establecidas por las mismas.
Por lo que es obligatoria la verificación, evaluación y valoración de las medidas que se hayan implantado por la entidad en materia de protección de datos. Ahora bien, la manera más eficaz de realizar estas verificaciones es mediante una auditoría.
En Key Auditors realizamos auditorías de Protección de Datos, y gracias al equipo de profesionales que tenemos, podemos ayudarte a cumplir, garantizando y acreditando el establecimiento de las medidas de seguridad necesarias para tu organización.