Traemos a la web de ACE un artículo que publico CEDRO en su portal sobre la protección de datos. Se trata de un decálogo de recomendaciones para aquellos autores o escritores que recogen datos de carácter personal para el desarrollo de su actividad. Incluye unas indicaciones para cumplir con el nuevo Reglamento General de Protección de Datos (RGPD).
1. Consentimiento inequívoco
El consentimiento para el tratamiento de datos personales debe darse de forma afirmativa y explícita por parte del interesado. No es válido el consentimiento tácito o por omisión.
2. Base legitimadora
Todo tratamiento de datos debe apoyarse en una base que lo legitime. Por ejemplo, el consentimiento explícito del interesado o una relación contractual con él.
3. Responsable del tratamiento
En toda actividad que se gestionen datos personales tiene que haber un responsable de la protección de los mismos que garantice el cumplimiento de lo dispuesto en el RGPD. En algunos casos, también es necesario el nombramiento de un delegado que apoye las funciones del responsable.
4. Mantener informado al interesado
El responsable de protección de datos tiene que informar al contacto sobre las condiciones del tratamiento de sus datos y sus derechos. Todo ello, de una forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo.
5. Derechos
– Derecho de acceso para conocer de qué datos disponen y su uso.
– Derecho de rectificación, si la información es inexacta o incompleta.
– Derecho de oposición a que se traten sus datos.
– Derecho de supresión o derecho al olvido: eliminación de sus datos.
– Derecho a la limitación del tratamiento de los datos.
– Derecho a la portabilidad: capacidad para solicitar que sus datos se traspasen directamente de una organización a otra.
– Derecho a no ser objeto de decisiones individuales automatizadas.
6. Principio de responsabilidad proactiva
El responsable de la protección de datos también deberá realizar un análisis del riesgo del tratamiento de estos que va a llevar a cabo. En función de los resultados, tiene que decidir qué medidas de seguridad se deberán aplicar para cumplir con la normativa.
7. Registro de actividades
Hay que disponer de un registro interno de las actividades del tratamiento de datos, excepto en las organizaciones que tengan menos de 250 trabajadores y no traten datos sensibles o que entrañen un riesgo para los afectados.
8. Protección de datos concebida desde el diseño y por defecto
Es necesario tomar medidas desde el inicio del diseño del tratamiento de datos para cumplir con la normativa y, por defecto, solo se debe gestionar la información personal estrictamente necesaria.
9. Notificación de una vulneración
Se deberá notificar a la Agencia Española de Protección de Datos, en un plazo de 72 horas, cuando se produzca una violación de seguridad (destrucción, pérdida o alteración accidental o ilícita) de datos personales. En el caso de que esta violación sea de alto riesgo, se deberá informar también al interesado.
10. Evaluación de impacto
En aquellos tratamientos de datos que conlleven un alto riesgo, por ejemplo, la manipulación de información sensible a gran escala, se tendrá que realizar una evaluación de impacto.
Para más información, pinche aquí.