Indice - aepd.es

1 Indice 1 A qui n va dirigida esta gu a? .. 2 2 Qu cambia el RGPD sobre el deber de informar? .. 2 3 Qui n y cu ndo debe informar? .. 3 4 D nde y c mo informar? .. 4 5 Informaci n por capas .. 5 6 Informaci n b sica (primera capa) .. 6 7 Informaci n adicional (segunda capa) .. 8 Ep grafe Responsable .. 9 Ep grafe Finalidad .. 10 Ep grafe Legitimaci n .. 11 Ep grafe Destinatarios .. 13 Ep grafe Derechos .. 14 Ep grafe Procedencia .. 15 GU A PARA EL cumplimiento DEL DEBER DE INFORMAR 2 1 A qui n va dirigida esta gu a? El Reglamento General de Protecci n de Datos1 ( en adelante, RGPD), publicado en mayo de 2016 y aplicable a partir del 25 de mayo de 2018, es una norma de aplicaci n directa en toda la Uni n Europea, relativo a la protecci n de las personas f sicas en lo que respecta al tratamiento de datos personales y a la libre circulaci n de estos datos.

2 El RGPD sustituir , a partir de mayo de 2018, a la actual Ley Org nica de Protecci n de Datos2 ( en adelante, LOPD) y al Reglamento RD-1720/2007, que la desarrolla, e introduce una serie de cambios y novedades a los cuales es necesario adaptar los actuales tratamientos, con anterioridad a la fecha de su plena aplicaci n. El objeto de esta Gu a, de forma espec fica, es orientar acerca de las mejores pr cticas para dar cumplimiento a la obligaci n de informar a los interesados, en virtud del principio de transparencia, acerca de las circunstancias y condiciones del tratamiento de datos a efectuar, as como de los derechos que les asisten. Esta gu a cubre nicamente este objetivo espec fico, y debe ser complementada con otras gu as que las Autoridades de Protecci n de Datos puedan emitir, en relaci n con la aplicaci n del RGPD.

3 La Gu a va dirigida, en primer lugar, a los Responsables3 de Tratamientos a quienes resulte aplicable el RGPD, as como a los profesionales que contribuyen, ya sea dentro de sus Organizaciones o bien como Encargados4 de Tratamiento, a las tareas de asesorar a los Responsables de Tratamientos, respecto de las obligaciones que les incumben en virtud del Reglamento. En especial, la gu a tambi n est dirigida a quienes desempe en o vayan a desempe ar el rol de Delegado5 de Protecci n de Datos (en adelante, DPD), figura novedosa en nuestro mbito, a la que el RGPD otorga un destacado papel. 2 Qu cambia el RGPD sobre el deber de informar? Actualmente, la LOPD establece las siguientes obligaciones respecto de la informaci n que se ha de facilitar a las personas interesadas en el momento en que se soliciten los datos: La existencia del fichero o tratamiento, su finalidad y destinatarios.

4 1 : 2 : 3 Responsable : persona f sica o jur dica, autoridad p blica, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento 4 Encargado : persona f sica o jur dica, autoridad p blica, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento 5 Delegado de Protecci n de Datos : persona f sica o jur dica, empleado en plantilla o mediante contrato de servicio, que informa y asesora al Responsable, al Encargado y a otros empleados sobre las obligaciones del RGPD y supervisa su cumplimiento , cooperando y actuando como punto de contacto con las Autoridades de Control GU A PARA EL cumplimiento DEL DEBER DE INFORMAR 3 El car cter obligatorio o no de la respuesta, as como de sus consecuencias.

5 La posibilidad de ejercitar los derechos de acceso, rectificaci n, cancelaci n y oposici n. La identidad y datos de contacto del responsable del tratamiento. A partir de ahora, el RGPD a ade requisitos adicionales en cuanto a la necesidad de informar a las personas interesadas, generalizando el concepto de Tratamiento 6, e incorporando, en l neas generales, los siguientes detalles: Los datos de contacto del Delegado de Protecci n de Datos, en su caso, La base jur dica o legitimaci n para el tratamiento, El plazo o los criterios de conservaci n de la informaci n, La existencia de decisiones automatizadas o elaboraci n de perfiles, La previsi n de transferencias a Terceros Pa ses El derecho a presentar una reclamaci n ante las Autoridades de Control Y adem s, en el caso de que los datos no se obtengan del propio interesado.

6 El origen de los datos Las categor as de los datos En consecuencia, los procedimientos, modelos o formularios dise ados de conformidad con la LOPD deber n ser revisados y adaptados por los Responsables de Tratamientos con anterioridad a la fecha de plena aplicaci n del RGPD, incorporando los nuevos requisitos de acuerdo con las directrices que se proporcionan en esta gu a. Puesto que los nuevos requisitos ampl an y no contradicen la obligaci n de informar establecida en la LOPD, se recomienda revisar y aplicar dicha adaptaci n cuanto antes. Para mayor detalle pueden consultarse los art culos 13 y 14 del RGPD, relativos al derecho de informaci n de las personas interesadas. 3 Qui n y cu ndo debe informar? La obligaci n de informar a las personas interesadas sobre las circunstancias relativas al tratamiento de sus datos recae sobre el Responsable del Tratamiento.

7 La informaci n se debe poner a disposici n de los interesados en el momento en que se soliciten los datos, previamente a la recogida o registro, si es que los datos se obtienen directamente del interesado. En el caso de que los datos no se obtengan del propio interesado, por proceder de alguna cesi n leg tima, o de fuentes de acceso p blico, el Responsable informar a las personas interesadas dentro de un plazo razonable, pero en cualquier caso: antes de un mes desde que se obtuvieron los datos personales, antes o en la primera comunicaci n con el interesado, 6 Tratamiento : cualquier operaci n o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organizaci n, estructuraci n, conservaci n, adaptaci n o modificaci n, extracci n, consulta, utilizaci n, comunicaci n por transmisi n, difusi n o cualquier otra forma de habilitaci n de acceso, cotejo o interconexi n, limitaci n, supresi n o destrucci n (el RGPD no hace uso del concepto de fichero )

8 GU A PARA EL cumplimiento DEL DEBER DE INFORMAR 4 antes de que los datos, en su caso, se hayan comunicado a otros destinatarios Esta obligaci n se debe cumplir sin necesidad de requerimiento alguno, y el responsable deber poder acreditar con posterioridad que la obligaci n de informar ha sido satisfecha. Cu ndo NO es preciso informar? nicamente no ser necesario informar cuando el interesado ya disponga de la informaci n, ni tampoco, en el caso de que los datos no procedan del interesado, cuando: la comunicaci n resulte imposible o suponga un esfuerzo desproporcionado, el registro o la comunicaci n est expresamente establecido por el Derecho de la Uni n o de los Estados miembros, cuando los datos deban seguir teniendo car cter confidencial por un deber legal de secreto.

9 4 D nde y c mo informar? Los procedimientos de recogida de informaci n pueden ser muy variados y, en consecuencia, los modos de informar a las personas interesadas deben adaptarse a las circunstancias de cada uno de los medios empleados para la recopilaci n o registro de los datos. Por ejemplo, algunas de las formas m s habituales de recogida de datos y, en consecuencia, a trav s de los cuales hay que informar, pueden ser: Formularios en papel, Entrevista telef nica Navegaci n o formularios Web, Registro de aplicaciones m viles Datos de actividad personal Datos de sensores (IoT) Por otra parte, las comunicaciones al interesado sobre datos ya disponibles, o tratamientos adicionales, pueden hacerse llegar, entre otros, por medio de: Correo postal Mensajer a electr nica Notificaciones emergentes en servicios y aplicaciones Las caracter sticas de cada uno de los medios var an en cuanto a extensi n, disponibilidad de espacio, legibilidad, posibilidad de vincular informaciones, etc.

10 En cualquier caso, la informaci n a las personas interesadas debe proporcionarse: con un lenguaje claro y sencillo, de forma concisa, transparente, inteligible y de f cil acceso. GU A PARA EL cumplimiento DEL DEBER DE INFORMAR 5 5 Informaci n por capas Para hacer compatible la mayor exigencia de informaci n que introduce el RGPD y la concisi n y comprensi n en la forma de presentarla, desde las Autoridades de Protecci n de Datos se recomienda adoptar un modelo de informaci n por capas o niveles. El enfoque de informaci n multinivel consiste en lo siguiente: presentar una informaci n b sica en un primer nivel, de forma resumida, en el mismo momento y en el mismo medio en que se recojan los datos, remitir a la informaci n adicional en un segundo nivel, donde se presentar n detalladamente el resto de las informaciones, en un medio m s adecuado para su presentaci n, comprensi n y, si se desea, archivo.