Consultoria d’adequació a l’RGPD i software

El consentiment ha de ser lliure, informat, específic i inequívoc. Es reforça l’exigència de consentiment mitjançant una manifestació inequívoca o una acció positiva, no podent deduir-se de el silenci o de la inacció. Això estableix l’obligació de disposar de sistemes de registre de l’consentiment perquè sigui possible la seva verificació en cas de produir-se una auditoria.

El consentiment serà explícit per al tractament de dades sensibles.

Dades especialment protegides o sensibles:

• Ideologia
• Religió i creences
• Afiliació sindical
• Relatius a: creences, origen racial, salut i / o la vida sexual.
• Relatives a la comissió d’infraccions penals o administratius

Amb el nou reglament s’afegeix:

• Dades genètiques (anàlisi ADN)
• Dades biomètriques (empremta dactilar o de Sant Martí ocular)

S’ha d’explicar la base legal per al tractament de dades, el temps en què es retindran aquestes dades, així com informar els interessats que poden dirigir les seves reclamacions a les autoritats de protecció de dades. Tota aquesta informació s’ha d’incloure en les pàgines webs o en els canals de comunicació de què es disposi.

• Dret a la portabilitat, a l’oblit i de transparència.

Les empreses han d’adoptar mesures que assegurin raonablement que estan en condicions de complir els principis, els drets i les garanties de el nou reglament. S’entén que actuar tan sols quan ja s’ha produït una infracció és insuficient com a estratègia, per això es preveuen un conjunt de mesures:

• Protecció de dades des del punt de vista de l’anàlisi de risc en els tractaments de dades
• Protecció de dades per defecte (des d’un inici)
• Mesures de seguretat
• Manteniment d’un registre de tractaments
• Realització d’avaluacions d’impacte sobre protecció de dades (DPIA)
• Nomenament d’un delegat de protecció de dades (DPO)
• Promoció de codis de conducta i d’esquemes de certificació

S’està obligat a realitzar avaluacions d’impacte en protecció de dades només quan l’ús de tecnologies avançades, el volum o el tipus de dades tractades (especialment protegides) puguin comportar un risc en els drets i llibertats de les persones afectades.

El Reglament considera que s’ha de dur a terme una DPIA per avaluar l’origen, la naturalesa, les particularitats i el risc en què es troben exposats les dades personals. El responsable de l’tractament buscarà assessorament en el Delegat de Protecció de Dades per a la realització de la DPIA.

L’Agència Espanyola de Protecció de Dades és l’encarregada de publicar les llistes amb els tipus d’operacions de tractament que requereixen d’avaluacions d’impacte.

D’entre les funcions de l’DPD, trobem el control de la correcta implantació de les mesures destinades a reduir els riscos i l’assessorament a l’responsable de l’tractament de dades de caràcter personal.

L’RGPD permet que la figura del DPO sigui interna o externa de l’empresa, podent-se contractar el servei a persones físiques o jurídiques alienes a l’organització.

Aquesta figura resulta obligatòria a:

• Organitzacions i institucions públiques.
• Responsables o encarregats que tinguin entre les seves activitats principals les operacions de tractament que requereixin una observació habitual i sistemàtica d’interessats a gran escala.
• Responsables o encarregats que tinguin entre les seves activitats principals el tractament a gran escala de dades sensibles.

Obligació en les empreses d’informar si es produeix alguna filtració de dades personals en el termini de 72 hores a l’autoritat nacional (Agència Espanyola de Protecció de Dades) i també als propis afectats.

La utilització de l’xifrat en la informació personal elimina l’obligació de notificar als afectats que ha tingut lloc una bretxa en la seguretat, en la qual s’han vist exposats els seus dades personals.

El Reglament enforteix el règim sancionador: les multes poden arribar fins al 4% de la facturació global de l’empresa o els 20 milions d’euros, aplicant com a multa, la major quantitat de les dues.

El “One-Stop-Shop” o finestreta única pretén reduir els obstacles burocràtics fent que tots els tràmits que afectin la protecció de dades es puguin adreçar a una finestreta única que resolgui els casos a nivell europeu.

La gestió la realitzarà l’autoritat nacional (desenvolupant un paper d’intermediària), havent d’informar l’interessat del resultat final de la reclamació o denúncia.

El responsable ha d’extremar les precaucions i regularitzar els contractes d’acord amb les exigències i la documentació necessària.

Dret d’indemnització i de responsabilitat i ampliació als danys i perjudicis que s’hagin pogut ocasionar pels encarregats de l’tractament, establint una responsabilitat solidària entre responsable i encarregat de l’tractament.

• Seudonimización i xifrat de dades personals.
• Garantir la confidencialitat, integritat, disponibilitat i resiliència permanents dels sistemes i serveis de tractament.
• Capacitat de restaurar la disponibilitat i l’accés a les dades personals de forma ràpida en cas d’incident físic o tècnic.
• Procés de verificació, avaluació i valoració regulars de l’eficàcia de les mesures tècniques i organitzatives per garantir la seguretat de l’tractament.
• Avaluació dels riscos que presenten els tractaments de dades, en particular com a conseqüència de la destrucció, pèrdua o alteració accidental o il·lícita de dades personals transmeses, conservats o tractats d’una altra manera, o la comunicació o accés no autoritzats a les esmentades dades.
• Contractar amb encarregats de el tractament que s’hagin adherit a certificacions, mecanismes o codis de conducta conformes a la protecció de dades.
• Notificar a l’autoritat de control, en cas que succeeixi, la violació de la seguretat de les dades personals.