Hasta el momento la normativa española no establecía una obligación general de notificar a la AEPD las brechas de seguridad que afectan a datos personales que los responsables del fichero pudieran sufrir, quedando reservada esta obligación únicamente a los prestadores de servicios de comunicaciones electrónicas.
De conformidad con lo dispuesto en el artículo 41.3 de la Ley 9/2014 General de Telecomunicaciones, en la que se dispone que, en caso de violación de los datos personales, el operador de servicios de comunicaciones electrónicas disponibles al público notificará sin dilaciones indebidas dicha violación a la Agencia Española de Protección de Datos. Si la violación de los datos pudiera afectar negativamente a la intimidad o a los datos personales de un abonado o particular, el operador notificará también la violación al abonado o particular sin dilaciones indebidas.
El RGPD introduce en su artículo 33 la obligación para cualquier responsable del fichero o encargado de tratamiento de notificar las brechas de seguridad que puedan producirse y que afecten a datos de carácter personal.
No obstante, si la notificación no pudiera realizarse en dicho plazo, deberá ponerse en conocimiento de la Agencia dentro del plazo de 72 horas, debiendo justificar el motivo por el que no puede notificarse.
Del mismo modo, el artículo 34 del RGPD introduce en el ordenamiento jurídico la obligación de los responsables de fichero, cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, de comunicar al interesado sin dilación indebida que se ha producido dicha brecha de seguridad, debiendo describir en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y como mínimo con la información y las medidas adoptadas para mitigar el impacto y evitar que se pueda volver a producir.
Una de las bases fundamentales para tratar datos personales es el consentimiento. El RGPD pide que el consentimiento, con carácter general, sea libre, informado, específico e inequívoco.
Para poder considerar que el consentimiento es inequívoco, el Reglamento requiere que haya una declaración de los interesados o una acción positiva que indique el acuerdo del interesado. El consentimiento no puede deducirse del silencio o de la inacción de los ciudadanos.
Las empresas deberían revisar la forma en la que obtienen y registran el consentimiento. Prácticas que se encuadran en el llamado consentimiento tácito y que son aceptadas bajo la actual normativa dejarán de serlo cuando el Reglamento sea de aplicación.
Además, el Reglamento prevé que el consentimiento haya de ser explícito en algunos casos, como puede ser para autorizar el tratamiento de datos sensibles. Se trata de un requisito más estricto, ya que el consentimiento no podrá entenderse como concedido implícitamente mediante algún tipo de acción positiva. Así, será preciso que la declaración u acción se refieran explícitamente al consentimiento y al tratamiento en cuestión.
Hay que tener en cuenta que el consentimiento tiene que ser verificable y que quienes recopilen datos personales deben ser capaces de demostrar que el afectado les otorgó su consentimiento. Por ello, es importante revisar los sistemas de registro del consentimiento para que sea posible verificarlo ante una auditoría.
Suscríbete a nuestro Magazine
Recibe Artículos, Conferencias
y Master Class
RRHH
RRHH
RRHH
Comentarios