El nuevo Reglamento Europeo de Protección de Datos (plazo 25 mayo 2018)

Nuevo Reglamento Europeo
de Protección de Datos
Café AGM
Ana García Lucero

Quiénes somos
AGM Abogados es una firma de asesoría
jurídica y financiera que lleva más de 30 años
en el mercado español y que cuenta con
sedes internacionales en distintos
continentes.
Está integrado por un equipo de más de 100
profesionales entre abogados, economistas y
personal de apoyo.
Nuestro compromiso con el cliente no se
limita a cubrir sus necesidades cuando éstas
se producen, sino a prevenirlas.
Asimismo, nuestra vocación multidisciplinar
permite afrontar operaciones que exijan un
asesoramiento integral.
En definitiva, en AGM Abogados queremos
ser aquello que nuestros clientes esperan de
nosotros. Tenemos vocación de ser un
despacho de referencia que ofrece todos
aquellos servicios, tanto a nivel nacional
como internacional, que contribuyen a
asegurar el éxito en las actividades de
nuestros clientes.
“Nuestra misión es ofrecer
soluciones integradoras
prestando servicios
especializados”
2www.agmabogados.com

1. Introducción
2. Principios
3. Ámbito territorial
4. Consentimiento
5. Categorías especiales de datos
6. Deber de informar
7. Procedimientos para el ejercicio de Derechos
8. Medidas de seguridad
9. Análisis de riesgos
10. Registro de actividades de tratamientos
11. Evaluación de impacto
12. Delegado de Protección de Datos (DPO)
13. Encargado del tratamiento
14. Transferencias internacionales
15. Comunicación de incidencias
16. Sanciones
Índice

El Reglamento General de Protección de Datos (RGPD) entró en vigor en mayo de 2016.
Será de aplicación en MAYO 2018 > 2 años periodo de transición > ADAPTACIÓN (25/05/2018)
El RGPD es directamente aplicable sin necesidad de transposición  en trámite el proyecto de
LEY ORGÁNICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL de fecha 24 de Noviembre
de 2017 (Boletín Oficial de las Cortes Generales).
Dos elementos CLAVE en el RGPD:
1. Principio de responsabilidad proactiva (actitud consciente, diligente y proactiva)
¿Qué datos se tratan?
¿Con qué finalidad se tratan?
¿Qué tipo de tratamiento se lleva a cabo?
¿Son adecuadas las medidas de seguridad?
2. Enfoque del riesgo:
Análisis del riesgo para los derechos y libertades de las personas
1. Introducción

Principio de licitud, lealtad y transparencia: datos tratados de manera lícita, leal y
transparente.
Principio de limitación de la finalidad: datos tratados con fines determinados, explícitos y
legítimos y no incompatibles con tales fines.
Principio de minimización de datos: datos adecuados, pertinentes y limitados.
Principio de exactitud: datos exactos y, si fuera necesario, actualizados.
Principio de limitación del plazo de conservación: datos mantenidos que permita la
identificación de los interesados durante no más tiempo del necesario.
Principio de integridad y confidencialidad: datos tratados de manera que se garantice
seguridad adecuada.
Principio de responsabilidad proactiva: el Responsable del tratamiento siempre será
responsable de su cumplimiento.
2. Principios

Tratamiento de datos en el contexto de actividades de un establecimiento del
Responsable/Encargado del tratamiento en la UE, independientemente de que el
tratamiento tenga lugar en la UE o no.
Tratamiento de datos de interesados que residan en la UE por parte de un
Responsable/Encargado del tratamiento no establecido en la UE, cuando las actividades
estén relacionadas con:
a) Oferta de bienes o servicios a dichos interesados en la UE (independientemente si se
les exige pago o no).
b) El control de su conducta en la medida que tenga lugar en la UE.
Tratamiento de datos por Responsable/Encargado del tratamiento no establecido en la UE
sino lugar en que el derecho de los Estados Miembros sea de aplicación por Derecho
Internacional Público.
3. Ámbito territorial

INEQUÍVOCO: el que se ha prestado mediante una manifestación del interesado o mediante una clara
acción afirmativa.
Tiene que ser además EXPLÍCITO en los siguientes casos:
Tratamiento de datos sensibles (raza, etnia, religión, afiliación, política, datos genéticos, salud,
vida sexual).
Adopción de decisiones automatizadas.
Transferencias internacionales.
Consentimiento ESPECÍFICO para cada tratamiento (en caso de pluralidad de finalidades).
Derecho a retirar el consentimiento en cualquier momento de manera sencilla.
OBLIGACIONES:
Información: concisa, transparente, inteligible
y de fácil acceso.
Actualizar derechos de los interesados.
Incluir información sobre:
Base jurídica del tratamiento.
Datos del DPO, si lo hay.
Elaboración de perfiles.
4. Consentimiento
RECOMENDACIONES:
Revisar formularios de
recogida de consentimiento.
Adaptación de los mismos
incluyendo información
requerida por el RGPD.

MENORES DE EDAD:
Según el RGPD: el consentimiento es válido a partir de los 16 años. Para los menores de 16 años >
se requerirá la autorización del titular de la patria potestad.
Los Estados Miembros podrán establecer edades inferiores con el límite de 13 años.
Según el Proyecto de LOPD > 13 años.
*Excepto: cuando la ley exija la asistencia de titulares de la patria potestad o tutor legal.
Se requiere que el Responsable del Tratamiento realice los esfuerzos necesarios para verificar que
el consentimiento ha sido verificado por los tutores.
PERSONAS FALLECIDAS: (novedad introducida por el Proyecto de LOPD)
Herederos/Albaceas/mandatarios expresos podrán solicitar el acceso a los datos personales, su
rectificación o supresión salvo que el fallecido lo hubiese prohibido expresamente o así lo
establezca la Ley.
En caso de menores: se podrá ejercitar por sus representantes legales o por el Ministerio Fiscal
(actuando de oficio o a instancia de parte).
En el caso de discapacitados: por aquellos designados para el ejercicio de funciones de apoyo.
4. Consentimiento

Prohibición general del tratamiento de categorías especiales de datos personales:
Origen étnico o racial.
Opiniones políticas.
Convicciones religiosas o filosóficas o afiliación sindical.
Datos genéticos, datos biométricos, salud.
Vida sexual.
Orientaciones sexuales.

Excepciones:
Consentimiento explícito del interesado.
Cumplimiento de obligaciones y ejercicio de derechos específicos del Responsable del
Tratamiento en materia de Derecho aboral y de la Seguridad Social.
Protección de intereses vitales del interesado o de otra persona.
Tratamiento en el ámbito de sus actividades legítimas y con garantías por una fundación,
asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica,
religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a sus miembros, a
antiguos miembros del organismo o a personas que mantengan contactos regulares, y siempre
que los datos no se comuniquen fuera del organismo sin el consentimiento de los interesados.
Datos personales que el interesado ha hecho manifiestamente públicos.
Tratamiento necesario para formulación, ejercicio o defensa de reclamaciones o en actuaciones
de los Tribunales.
Razones de interés público esencial sobre la base del Derecho UE, proporcional al objetivo
perseguido.
Finalidades de medicina preventiva o laboral, evaluación de la capacidad laboral, diagnóstico
médico, prestación de asistencia o tratamiento sanitario cuando el tratamiento es realizado por
profesional sujeto a obligación de secreto profesional.
Razones de interés público en el ámbito de la salud pública.
Fines de archivo, investigación histórica, estadística o científica.
Condenas e infracciones penales bajo la supervisión de autoridades públicas.

Obligación del RESPONSABLE del tratamiento.
¿CUÁNDO se debe informar?
Cuando se obtienen directamente de los interesados > en el momento de recogida.
Cuando se obtienen de fuentes de acceso público/cesión legítima > en un plazo razonable:
Antes de 1 mes desde que se obtuvieron los datos.
Antes de la 1ª comunicación con el interesado.
Antes de la comunicación a otros destinatarios.
SALVO:
Comunicación imposible/esfuerzo desproporcionado.
Datos de carácter confidencial por un deber legal de secreto.
Obligación del RESPONSABLE del tratamiento.
¿CÓMO informar?  POR CAPAS
Formularios en papel.
Navegación o formularios web.
Entrevista telefónica.
Registro de aplicaciones móviles, etc.
RECOMENDACIONES:
Revisar cláusulas informativas.

Epígrafe Información Básica (1ª Capa) Información Adicional (2ª Capa)
Responsable Identidad del Responsable del Tratamiento Datos de contacto del Responsable.
Identidad y datos del Representante.
Datos de contacto del DPO.
Finalidad Descripción sencilla de los fines del
tratamiento, elaboración de perfiles
Descripción amplia de los fines de tratamiento.
Plazos/criterios de conservación de datos.
Decisiones automatizadas, perfiles.
Legitimación Base jurídica del tratamiento Detalle de la base jurídica; obligación legal, interés público, interés legítimo.
Obligación o no de facilitar datos y consecuencias de no hacerlo.
Destinatarios Previsión o no de cesiones Destinatarios o categorías de destinatarios.
Previsión o no de transferencias a terceros
países
Adecuación, garantías, situaciones específicas aplicables en terceros países.
Derechos Referencia al ejercicio de los derechos Derechos de acceso, rectificación, supresión, portabilidad, limitación,
oposición.
Derecho a retirar el consentimiento prestado.
Derecho a reclamar ante la Autoridad competente.
Procedencia Fuente de los datos (cuando no proceden
de los interesados)
Información detallada del origen de los datos, incluso si proceden de
fuentes públicas
Categorías de los datos que se traten

7. Procedimiento para el
ejercicio de Derechos
Facilitar el ejercicio por medios electrónicos.
Plazo de información al interesado > 1 mes > 2 meses solicitudes complejas.
Tomar medidas para verificar la identidad de quienes ejercitan los derechos.
Colaboración de encargados de tratamiento para atender las respuestas a los ejercicios de
los derechos de los interesados.
GRATUITO, salvo:
Solicitudes manifiestamente infundadas, excesivas, repetitivas > el Responsable
podrá cobrar un canon.

7.1. Derecho de acceso
Derecho a obtener confirmación sobre si se están tratando o no datos personales y, en tal caso, a
acceder a la siguiente información:
Finalidad del tratamiento.
Categoría de datos personales.
Destinatarios o categorías de destinatarios.
Plazo de conservación/criterios utilizados (si es posible).
Derecho a solicitar rectificación o supresión, limitación u oposición.
7.2. Derecho de rectificación
Derecho de rectificación datos inexactos sin dilación indebida y a que se completen datos
incompletos.
Cuando sea preciso, deberá acompañar la documentación justificativa de la inexactitud o
carácter incompleto de los datos.
El Responsable del Tratamiento estará obligado a bloquear los datos cuando procesa su
rectificación.

7.3. Derecho a la Limitación del
tratamiento
No utilización de los datos del afectado.
Se puede solicitar cuando:
Ejercicio de los derechos de rectificación/oposición, estando la solicitud en trámite.
Tratamiento ilícito, pero el interesado se opone al borrado de los datos.
Cuando ya no siendo procedentes, el interesado solicite su conservación para la
formulación, ejercicio, defensa de reclamaciones.
El responsable sólo los puede tratar:
Con el consentimiento de interesado.
Para la formulación, el ejercicio o la defensa de las reclamaciones.
Para proteger los derechos de otra persona física o jurídica.
Por razones de interés publico de la UE o de un Estado miembro.
Cuando el tratamiento de datos esté limitado, deberá constar claramente en el
sistema.

7.4. Derecho a la Portabilidad
Derecho avanzado del derecho de acceso > la copia debe proporcionarse en un formato estructurado,
de uso común y lectura mecánica.
Los datos se transmiten directamente de un Responsable a otro siempre que ello sea técnicamente
posible.
Sólo puede ejercitarse:
Cuando el tratamiento se realiza por medio automatizados.
Cuando el tratamiento se base en un consentimiento/contrato.
Cuando se trate de datos proporcionados por el propio interesado.
7.5. Derecho de Oposición
Derecho a oponerse en cualquier momento a que datos personales sean objeto de tratamiento
basado en el “cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos” o “para la satisfacción de intereses legítimos del RT o un tercero”.
Cuando el tratamiento sea la mercadotecnia directa, el interesado tendrá derecho oposición en todo
momento (incluyendo la elaboración de perfiles si está relacionado).

7.5. Derecho a la supresión
(derecho al olvido)
Derecho a que se supriman los datos personales cuando concurra alguna de las siguientes
circunstancias:
a) Datos no necesarios en relación con los fines para los que fueron recogidos o
tratados.
b) El interesado retire el consentimiento y éste no se base en otro fundamento jurídico.
c) El interesado se oponga al tratamiento (vía derecho oposición).
d) Datos tratados ilícitamente.
e) Datos deban suprimirse para el cumplimiento de una obligación legal.
f) Datos obtenidos en relación con una oferta de servicios de la sociedad de la
información para menores de 16 años.
El Responsable del Tratamiento adoptará medidas razonables, incluidas medidas técnicas,
para informar a los terceros que estén tratando dichos datos de la solicitud de supresión
de cualquier enlace a los datos personales, copia o réplica.

Excepciones:
a) Derecho a la libertad de expresión.
b) Cumplimiento de una obligación legal que requiera el tratamiento de datos o para el
cumplimiento de misión realizada en interés público o en ejercicio de poderes
públicos.
c) Interés público en el ámbito de la salud pública.
d) Fines de archivo en interés público, investigación.
Los Responsables del Tratamiento que hayan hecho públicos los datos personales deberán
adoptar medidas técnicas para informar a otros RT de la solicitud del interesado de borrar
su información persona.
El Responsable del Tratamiento estará obligado a bloquear los datos cuando procesa su
supresión.
7.5. Derecho a la supresión
(derecho al olvido)

Aplicación de las medidas desde el inicio del tratamiento.
El actual Documento de Seguridad puede seguir siendo útil, si tras realizar el análisis de riesgos
se concluye que las medidas de seguridad contempladas en el mismo son apropiadas.
Medidas técnicas y organizativas teniendo en cuenta:
El coste de la técnica.
Los costes de aplicación.
La naturaleza, el contexto y los fines del tratamiento.
Los riesgos para los derechos y libertades.
Aplicación de los principios ya conocidos:
Datos necesarios.
Cantidad de los datos.
Calidad de los datos.
Extensión del tratamiento.
Periodo de conservación.
PROCESOS DE ANONIMIZACIÓN /SEUDONIMIZACIÓN de los datos.

PROCESOS DE ANONIMIZACIÓN /SEUDONIMIZACIÓN de los datos.
Capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento.
Capacidad de restaurar disponibilidad y acceso en caso de incidente físico o técnico.
Proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas.
La adhesión a Código de Conducta o a mecanismo de certificación servirá para demostrar
el cumplimiento de los requisitos anteriores.

Valoración del riesgo de los tratamientos que realicen.
El análisis variará en función de:
Los tipos de tratamientos.
La naturaleza de los datos.
El número de interesados afectados.
La cantidad y variedad de tratamientos que en una misma organización se lleven a cabo.
Análisis documentado (= Documento de Seguridad)
Ranking de riesgo:
¿Se tratan datos sensibles? SÍ < NO
¿Se tratan datos de un gran número de personas? SÍ < NO
¿Se realiza elaboración de perfiles? SÍ < NO
¿Se cruzan datos con otros disponibles en otras fuentes? SÍ < NO
¿Se pretenden utilizar los datos para varias finalidades? SÍ < NO
¿Análisis masivo de datos (big data)? SÍ < NO
¿Utilización de técnicas invasivas de la privacidad (videovigilancia, geolocalización,
etc.)? SÍ < NO
9. Análisis de riesgos

Similar a la información que se comunica actualmente a la AEPD mediante la comunicación de
ficheros:
Nombre/datos de contacto del Responsable del tratamiento y DPO.
Fines del tratamiento.
Categorías de interesados y de datos personales.
Categorías de destinatarios.
En su caso, plazos previstos para supresión de las categorías de datos.
Exentas empresas con menos de 250 trabajadores, salvo que:
El tratamiento entrañe un riesgo para los derechos y libertades de los interesados y no sea
ocasional.
Datos especialmente protegidos.
Datos relativos a condenas e infracciones penales.
Los órganos y entidades de la Administración pública deberán publicar un inventario de sus registros
por medios electrónicos.
10. Registro de actividades de
tratamientos

Para tratamientos de alto riesgo.
Se pueden realizar consultas a la AEPD, que puede dar recomendaciones o limitar el tratamiento.
Supuestos de alto riesgo:
La AEPD elaborará listados sobre supuestos de tratamiento de alto riesgo.
Elaboración de perfiles sobre cuya base se tomen decisiones jurídicas.
Tratamientos a gran escala de datos personales:
Volumen absoluto de datos en relación a una determinada población.
Volumen de datos y variedad de datos.
Duración y permanencia de la actividad del tratamiento.
La extensión geográfica de la actividad del tratamiento.
La Evaluación deberá incluir como mínimo:
Descripción sistemática de las operaciones de tratamiento, los fines y, cuando proceda, el
interés legítimo.
Necesidad y proporcionalidad de las operaciones de tratamiento con respecto a su finalidad.
Evaluación de los riesgos.
Medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y
mecanismos que garanticen la protección de datos.
11. Evaluación de impacto

Persona con cualificaciones profesionales en materia jurídica y tecnológica (proceso de Certificación
establecido por la AEPD > la Certificación no es un requisito indispensable para el acceso a la
profesión).
Comunicación de la designación a la AEPD.
Contrato laboral/mercantil. Jornada completa/parcial.
Requisitos de sus funciones:
Total autonomía en el ejercicio de sus funciones.
Relación directa con el órgano de Administración.
Obligatorio para:
Autoridades y organismos públicos.
Tratamientos que requieran observación sistemática y habitual a gran escala.
Tratamientos a gran escala de datos sensibles: según interesado afectados en relación a la
proporción de población; volumen de datos; duración o permanencia de la actividad de
tratamiento; alcance geográfico de la actividad de tratamiento.
12. Delegado de Protección de
Datos (DPO)

Según el Proyecto de la nueva LOPD será obligatorio para:
Colegios profesionales y sus consejos generales.
Centros docentes y Universidades públicas y privadas.
Entidades que exploten redes y presten servicios de comunicaciones electrónicas,
cuando traten habitual y sistemáticamente datos personales a gran escala.
Prestadores de servicios de la sociedad de la información cuando elaboren a gran
escala perfiles de los usuarios del servicio.
Entidades de ordenación, supervisión y solvencia de entidades de crédito.
Establecimientos financieros de crédito.
Entidades aseguradoras y reaseguradoras.
Empresas de servicios de inversión.
Distribuidores y comercializadores de energía eléctrica y de gas natural.
Entidades responsables de ficheros comunes para la evaluación de la solvencia
patrimonial y de crédito o de los ficheros comunes para la gestión y prevención del
fraude.
12. Delegado de Protección de
Datos (DPO)

Obligación de elegir un Encargado de Tratamiento que ofrezca “garantías suficientes” para
aplicar medidas técnicas y organizativas apropiadas.
El Encargado del tratamiento no podrá recurrir a otro Encargado sin la autorización previa
por escrito, específica o general del Responsable del tratamiento.
El Encargado del tratamiento informará al Responsable de cualquier cambio previsto para
que éste pueda oponerse.
El contrato entre Responsable/Encargado del tratamiento debe incluir:
a) Objeto, duración, naturaleza y finalidad del tratamiento.
b) Tipo de datos personales y categorías de interesados.
c) Obligaciones y derechos del Responsable del tratamiento.

d) Además, deberá indicar:
1. El Encargado del tratamiento tratará datos siguiendo instrucciones del
Responsable (inclusive transferencias internacionales).
2. Garantía que las personas autorizadas para tratar datos se obliguen a respetar
confidencialidad.
3. Adopción medidas de seguridad.
4. Recurrir a otro Encargado con autorización previa del Responsable.
5. Crear condiciones técnicas y organizativas para
6. Asistir al RT a garantizar cumplimiento de la obligación de responder solicitudes
de ejercicio de derechos de los interesados y de obligaciones de seguridad.
7. Suprimir o devolver datos personales y supresión copias existentes excepto se
requiera conservación.
8. Poner a disposición del Responsable toda la información necesaria para
controlar cumplimiento de las obligaciones, así como permitir auditorías.
La adhesión a Código de Conducta o a mecanismo de certificación servirá para demostrar
la existencia de garantías suficientes.

14. Transferencias
internacionales
Los datos sólo pueden ser comunicados fuera del espacio Económico Europeo:
A países o sectores específicos previamente autorizados por la Comisión.
Cuando se garanticen medidas de protección adecuadas en el destino.
Cuando aunque el país no sea seguro, se realice de forma puntual y no suponga
perjuicio para el afectado, y se realice en virtud de un interés legítimo del
responsable.

Todo incidente que ocasione: la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos. Ejemplos:
La pérdida de un ordenador portátil.
El acceso no automatizado a una base de datos por personal no autorizado.
Borrado accidental de datos.
Notificación a la autoridad competente > plazo > 72 horas.
Comunicación al interesado cuando la incidencia implique un alto riesgo para los derechos y
libertades de los afectados. Ejemplos:
Se desvelen contraseñas, datos sensibles, que tengan consecuencias económicas, etc.
Incluir en la notificación:
La naturaleza de la violación.
Categorías de los datos e interesados afectados.
Medidas correctivas.
Medidas para minimizar efectos negativos.
Cuando afecte a los derechos y libertades de los afectados > notificación también a ellos.
Documentación acreditativa.
15. Comunicación de incidencias

La multas administrativas podrán ser hasta:
10M EUR o, tratándose de una empresa, 2% del volumen de negocio total anual del ejercicio
financiero anterior.
20M EUR o, tratándose de una empresa, 4% del volumen de negocio total anual global del
ejercicio financiero anterior.
16. Sanciones

Contacto
BARCELONA
Pau Clarís, 139 - 08009
Tel.: +34 93 487 11 26
agm@agmabogados.com
MADRID
Paseo de la Castellana, 114 - 28046
Tel.: +34 91 562 13 86
madrid@agmabogados.com
SHANGHAI
Crystal Century Plaza – Room 17A
567 Weihai Road - 200041
WeChat: AGM_Abogados
shanghai@agmabogados.com
SABADELL
C/del Sol, 217, Local- 08201
Tel.: +34 93 715 51 36
sabadell@agmabogados.com
PARÍS
27, rue Dumont d’Urville - 75116
Tel.: +33 1 44 43 00 70
paris@agmabogados.com
Oficina de representación
México DF

www.agmabogados.com
Ana García Lucero
Abogada área Mercantil - Barcelona
agarcia@agmabogados.com
Síguenos y comparte tu opinión
@AGMAbogados
AGM Abogados, S.L.
Despacho de abogados y economistas. Miembros del grupo internacional de abogados LAWROPE.

El nuevo Reglamento Europeo de Protección de Datos (plazo 25 mayo 2018)

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Similar a El nuevo Reglamento Europeo de Protección de Datos (plazo 25 mayo 2018)

Similar a El nuevo Reglamento Europeo de Protección de Datos (plazo 25 mayo 2018) (20)

Más de AGM Abogados

Más de AGM Abogados (20)

Último

Último (20)

El nuevo Reglamento Europeo de Protección de Datos (plazo 25 mayo 2018)