Atención a la nueva ley orgánica de protección de datos

Con fecha 6 de diciembre de 2018 ha sido publicada en el BOE y es de aplicación al día siguiente la nueva Ley 3/2018 Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) que adapta el derecho español al modelo establecido por el Reglamento General de Protección de Datos (RGPD). Asimismo, incorpora y desarrolla algunos aspectos e introduce un nuevo marco de responsabilidad en el ámbito del uso de internet y dispositivos digitales.

Las novedades más significativas que incorpora la LOPDGDD son las siguientes:

• Amplía y detalla las Entidades que están obligadas a designar un Delegado de Protección de Datos (DPD / DPO): la nueva LOPDGDD, introduce en su artículo 34 la obligación de designar, adicionalmente a lo establecido por el RGPD, a un DPD / DPO en diversas entidades (ver detalle adjunto). Por todo ello, dichas entidades deben comunicar inmediatamente la designación de su DPD / DPO. Podrán designar a una persona física o jurídica que asuma dicha responsabilidad y función, con los requisitos y acreditaciones que la norma exige para ser considerado válido el DPD / DPO.
• Regula el marco de aplicación de Protección de Datos para determinados tratamientos concretos: Las Entidades deberán de adaptar los requisitos que se establecen para los siguientes tratamientos concretos:
  • Datos de empresarios individuales y de profesionales liberales: detalle del uso y límites para uso y tratamiento de dichos datos.
  • Sistemas de información crediticia: marco de uso y gestión de dichos datos para las entidades que tratan y recopilan datos de información crediticia.
  • Operaciones mercantiles (tipo: adquisición / fusión de empresas): marco de autorización y licitud de uso de los datos en dichas operaciones.
  • Videovigilancia: detalle del ámbito de utilización, información y responsabilidad del uso y establecimiento de sistemas de videovigilancia.
  • Sistemas de exclusión publicitaria: marco de referencia para la debida aplicación y referencia de los sistemas de exclusión publicitaria.
  • Canales de comunicación y denuncias: obligaciones y responsabilidades en relación a los canales de comunicación y denuncia de cumplimiento normativo, prevención penal y otros. Incorpora el derecho a comunicaciones anónimas y establece los requisitos de gestión, control y acceso a dichos canales.
• Regula el uso de internet y de dispositivos digitales en el entorno laboral: La Entidad a efectos de poder cumplir su obligación de controlar los riesgos, en el ámbito de la Protección de Datos y otros marcos normativos, por el uso de internet y dispositivos digitales deberá disponer y realizar un plan de comunicación y formación de una Política de Sistemas y Responsabilidades/Derechos digitales. Dicha política es el instrumento para definir y garantizar el adecuado uso de los sistemas informáticos y la responsabilidad de la Entidad y sus empleados en este ámbito. Asimismo, en esta política será necesario incorporar el marco que acredite el derecho a la desconexión digital de los empleados.

Todos los requisitos anteriores se añaden a los establecidos por la reforma de la normativa de Protección de Datos que incorporó el RGPD y de obligada aplicación desde el 25 de mayo de 2018. Destacando los siguientes:

• Responsable / Delegado de Protección de Datos.
• Encargados del Tratamiento: contemplar los requisitos de acreditación (certificados o similares) y coordinación entre la Entidad y sus Encargados de Tratamiento (asesores laborales /fiscales, formación, logística, marketing, informática/ comunicaciones…), así como suscripción formal del NUEVO contrato de Encargado de Tratamiento.
• Derechos: incorporar en todos los documentos que recaben datos los nuevos derechos y requisitos del deber de información a los afectados, incluyendo la realización de un plan de información y de comunicación de los mismos.
• Canal Protección de Datos: implementar un canal de PD para recibir y registrar los incidentes y riesgos de violaciones de seguridad y atención de los derechos.
• Identificar los requisitos de evaluación de riesgo a la Protección de Datos: implementar con las medidas de diligencia y control proactivo enfocadas a la prevención de dicho riesgo por parte de la Entidad.
• Complementariamente, y como requisito esencial, los Delegados / Responsables de Protección de Datos deberán de definir, implementar y supervisar las medidas que le sean de aplicación a la Entidad.