{"id":10647,"date":"2018-03-19T12:13:07","date_gmt":"2018-03-19T12:13:07","guid":{"rendered":"https:\/\/www.sage.com\/es-es\/blog\/?p=10647"},"modified":"2026-02-04T18:53:20","modified_gmt":"2026-02-04T17:53:20","slug":"el-reglamento-general-de-proteccion-de-datos-i-aspectos-basicos","status":"publish","type":"post","link":"https:\/\/www.sage.com\/es-es\/blog\/el-reglamento-general-de-proteccion-de-datos-i-aspectos-basicos\/","title":{"rendered":"El Reglamento General de Protecci\u00f3n de Datos (I). Aspectos b\u00e1sicos. [Ricard Mart\u00ednez, Profesor de Derecho Constitucional]"},"content":{"rendered":"
\n\t
\n\t\t
\n\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\tLegal<\/a>\t\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t
\n\t\t\t\t\t

\n\t\t\t\t\t\tEl Reglamento General de Protecci\u00f3n de Datos (I). Aspectos b\u00e1sicos. [Ricard Mart\u00ednez, Profesor de Derecho Constitucional]\t\t\t\t\t<\/h1>\n\t\t\t\t<\/div>\n\n\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t\t\t\t<\/p>\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t<\/div>\n\t\t

\n\t\t
\n\t\t\t
\n\t
\n\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\n\t\t
\n\t\t\t\n\t\t\t\t\"Ricard\t\t\t\tRicard Mart\u00ednez<\/span>\n\t\t\t<\/a>\n\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t<\/div>\n<\/div>\n\n\n\n
\n
<\/video><\/div><\/div>\n<\/div><\/figure>\n
\n\n

El 25 de mayo de 2018<\/strong> hemos empezao a aplicar plenamente el Reglamento (UE) 2016\/679<\/a> (RGPD) en toda la Uni\u00f3n Europea. Nuestras empresas ya aplicaban la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, de Protecci\u00f3n de Datos de Car\u00e1cter Personal (LOPD<\/a>) y su reglamento (RLOPD).\u00a0 Ahora deben implementar las novedades que incorpora el RGPD.<\/p>\n

El marco ser\u00e1 muy similar, aunque existen algunos cambios sustanciales que conviene destacar.<\/strong> El valor fundamental en el que debemos poner nuestra atenci\u00f3n es sin duda la llamada responsabilidad activa. Ya no se trata de inscribir un fichero en la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, o de usar una cl\u00e1usula informativa: hay que disponer de un protocolo de cumplimiento y aplicarlo. Esto significa que tenemos apostar por una gesti\u00f3n por procesos bien definidos y documentados. El RGPD<\/a> supone tambi\u00e9n desarrollar an\u00e1lisis de riesgos<\/a> y lo que se define como protecci\u00f3n de datos desde el dise\u00f1o y por defecto. Antes de decidir cualquier tratamiento de datos personales debemos tener muy en cuenta los derechos e intereses de las personas y dimensionar condiciones que garanticen su privacidad. Adem\u00e1s, el volumen datos y su naturaleza se corresponder\u00e1 con la finalidad que persigamos. Este tipo de an\u00e1lisis afectar\u00e1 tambi\u00e9n al software,<\/a> a nuestro entorno f\u00edsico y organizativo y a los proveedores.<\/p>\n

Ser transparentes<\/strong><\/h2>\n

Si seguimos el proceso natural de trata de un dato empezaremos por cumplir con el deber de informaci\u00f3n, ahora llamado transparencia. Ahora ese deber se cumple por \u201ccapas\u201d lo que implica, siguiendo las recomendaciones de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos<\/a>, disponer de una capa b\u00e1sica f\u00e1cilmente identificable por el usuario, y un segundo nivel con un mayor detalle.<\/p>\n

Tener una base jur\u00eddica para tratar los datos <\/strong><\/h2>\n

El segundo paso consistir\u00e1 en determinar en virtud de que legitimaci\u00f3n tratamos los datos. El art\u00edculo 6 del RGPD<\/a> establece diferentes supuestos.<\/p>\n

a) El consentimiento expl\u00edcito para el tratamiento de datos personales para uno o varios fines espec\u00edficos.<\/p>\n

b) La ejecuci\u00f3n de un contrato en el que el interesado es parte o para la aplicaci\u00f3n a petici\u00f3n de este de medidas precontractuales.<\/p>\n

c) El cumplimiento de una obligaci\u00f3n legal aplicable al responsable del tratamiento.<\/p>\n

d) Proteger intereses vitales del interesado o de otra persona f\u00edsica.<\/p>\n

e) El cumplimiento de una misi\u00f3n realizada en inter\u00e9s p\u00fablico o en el ejercicio de poderes p\u00fablicos conferidos al responsable del tratamiento.<\/p>\n

f) La satisfacci\u00f3n de intereses leg\u00edtimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protecci\u00f3n de datos personales, en particular cuando el interesado sea un ni\u00f1o.<\/p>\n

El sentido com\u00fan, que el contrato ser\u00e1 una condici\u00f3n de legitimaci\u00f3n habitual del tratamiento en las relaciones con nuestros clientes y empleados<\/strong>. Existir\u00e1n otras situaciones en las que la ley nos impone un tratamiento (IRPF<\/a>, cotizaciones sociales). Existir\u00e1n tratamientos espec\u00edficos no vinculados con la relaci\u00f3n contractual con el cliente que exigir\u00e1n el consentimiento que s\u00f3lo podr\u00e1 ser expl\u00edcito y requerir\u00e1 una acci\u00f3n afirmativa. Aunque hay que recordar que en materia de publicidad por medios electr\u00f3nicos sigue vigente el modelo de la Ley 34\/2002, de 11 de julio, de servicios de la sociedad de la informaci\u00f3n y de comercio electr\u00f3nico<\/a>. Por \u00faltimo, el inter\u00e9s leg\u00edtimo exige tener un inter\u00e9s justificado en tratar los datos y antes de tomar la decisi\u00f3n de tratarlos debemos ponderar los derechos y libertades de los sujetos afectados para definir cu\u00e1l deba ser el inter\u00e9s prevalente.<\/p>\n

Garantizar los\u00a0 derechos de las personas <\/strong><\/h2>\n

El Reglamento General de Protecci\u00f3n de Datos<\/a> ha sumado a los derechos tradicionales de acceso rectificaci\u00f3n cancelaci\u00f3n y oposici\u00f3n tratamiento, ARCO, los derechos al olvido, la portabilidad, y la limitaci\u00f3n de los tratamientos. Es decir, nos obliga a prestar particular atenci\u00f3n a cancelar datos y especialmente en el \u00e1mbito de Internet.<\/a> Los sistemas de informaci\u00f3n ser\u00e1n capaces de generar registros de datos que se entreguen al cliente en formatos compatibles. Por \u00faltimo, el cliente puede solicitar que bloqueemos temporalmente sus datos para garantizar sus derechos e intereses. La garant\u00eda de los derechos de las personas cuyos datos tratamos es esencial para definir relaciones de confianza.<\/p>\n

Tratar los datos con seguridad <\/strong><\/h2>\n

En materia de seguridad se produce una enorme flexibilizaci\u00f3n de las metodolog\u00edas. Es posible que el vigente T\u00edtulo Octavo del RLOPD no resulte de aplicaci\u00f3n obligatoria, aunque s\u00ed recomendable. El RGPD<\/a> exige que adoptemos decisiones muy concretas. La primera de ellas realizar un an\u00e1lisis de riesgo que nos indique las vulnerabilidades de nuestros sistema<\/a>s, y que adoptemos medidas de acuerdo con el estado de la t\u00e9cnica y de nuestras capacidades. Por tanto, m\u00e1s establecer la lista de medidas pedir las dos y nos indica el Reglamento General de Protecci\u00f3n de Datos es que debemos decidir qu\u00e9 medidas concretas aplicaremos. Por otra parte, es imperativo mantener un buen sistema de alerta de incidencias de seguridad que garantice su notificaci\u00f3n a la AEPD o al propio interesado<\/strong> ante incidentes graves que puedan poner en peligro derechos y libertades fundamentales.<\/p>\n

Adem\u00e1s, se recomienda la adopci\u00f3n de medidas complementarias como el cifrado de datos y la pseudonimizaci\u00f3n. El RGPD permite implementar medidas de seguridad partir de esquemas de certificaci\u00f3n y concede en tal caso una presunci\u00f3n de diligencia en la actuaci\u00f3n del responsable.<\/p>\n

Escoger bien a mis proveedores <\/strong><\/h2>\n

El RGPD<\/a>, insiste m\u00e1s si cabe todav\u00eda en las condiciones de diligencia en la elecci\u00f3n del encargado, determinando que las decisiones en materia de contrataci\u00f3n y subcontrataci\u00f3n de servicios que impliquen un tratamiento de datos de car\u00e1cter personal por parte de un tercero deben cumplir con las mayores garant\u00edas posibles. Estas contrataciones, adquieren un valor singular cuando comporten transferencias internacionales de datos.<\/p>\n

Otras obligaciones <\/strong><\/h2>\n

Aunque el Reglamento exime de llevar un registro de actividades del tratamiento a las a empresas con menos de 250 trabajadores,<\/strong> pueden existir elementos cualitativos que imponen obligaciones espec\u00edficas particularmente significativas. Nos referimos a las evaluaciones de impacto en la protecci\u00f3n de datos<\/a> y el nombramiento del delegado de protecci\u00f3n de datos. La evaluaci\u00f3n de impacto es obligatoria en los siguientes casos:<\/p>\n

a) evaluaci\u00f3n sistem\u00e1tica y exhaustiva de aspectos personales de personas f\u00edsicas que se base en un tratamiento automatizado, como la elaboraci\u00f3n de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jur\u00eddicos para las personas f\u00edsicas o que les afecten significativamente de modo similar;<\/p>\n

b) tratamiento a gran escala de categor\u00edas especiales de datos personales que revelen el origen \u00e9tnico o racial, las opiniones pol\u00edticas, las convicciones religiosas o filos\u00f3ficas, o la afiliaci\u00f3n sindical, y el tratamiento de datos gen\u00e9ticos, datos biom\u00e9tricos dirigidos a identificar de manera un\u00edvoca a una persona f\u00edsica, datos relativos a la salud o datos relativos a la vida sexual o las orientaci\u00f3n sexuales de una persona f\u00edsica, o de los datos personales relativos a condenas e infracciones penales, o<\/p>\n

c) observaci\u00f3n sistem\u00e1tica a gran escala de una zona de acceso p\u00fablico.<\/p>\n

Y tambi\u00e9n cuando la autoridad protecci\u00f3n de datos del pa\u00eds en el que se encuentra la peque\u00f1a empresa imponga esta obligaci\u00f3n.<\/p>\n

Del mismo modo el art\u00edculo 37 RGPD prev\u00e9 la necesidad de nombrar delegados de protecci\u00f3n de los siguientes casos:<\/p>\n

a) el tratamiento lo lleve a cabo una autoridad u organismo p\u00fablico, excepto los tribunales que act\u00faen en ejercicio de su funci\u00f3n judicial;<\/p>\n

b) las actividades principales del responsable o del encargado<\/a> consistan en operaciones de tratamiento que, en raz\u00f3n de su naturaleza, alcance y\/o fines, requieran una observaci\u00f3n habitual y sistem\u00e1tica de interesados a gran escala, o<\/p>\n

c) las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categor\u00edas especiales de datos personales que revelen el origen \u00e9tnico o racial, las opiniones pol\u00edticas, las convicciones religiosas o filos\u00f3ficas, o la afiliaci\u00f3n sindical, y el tratamiento de datos gen\u00e9ticos, datos biom\u00e9tricos dirigidos a identificar de manera un\u00edvoca a una persona f\u00edsica, datos relativos a la salud o datos relativos a la vida sexual o las orientaci\u00f3n sexuales de una persona f\u00edsica, o de los datos personales relativos a condenas e infracciones penales.<\/p>\n\n

\n\t
\n\t\t
\n\t\t\t
\n\t\t\t\t\t\t\t\t

\u00bfA\u00fan no cumples con la normativa RGPD? <\/h2>\n\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t

Las Soluciones RGPD Ready de Sage incluyen funcionalidades avanzadas para que tu negocio evite posibles sanciones y no cometa errores en la gesti\u00f3n de los datos personales.<\/p>\n

\n
\n

\n<\/div>\n<\/header>\n\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\tM\u00e1s informaci\u00f3n<\/a>\n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t\"sage\"\t\t\t<\/div>\n<\/div>\n\n<\/div>

\n\t
\n\t\t
\n\t\t\t
\n\t\t\t\t

Encuentra m\u00e1s art\u00edculos sobre estas tem\u00e1ticas<\/h3>\n\t\t\t<\/div>\n\t\t\t
\n\t\t\t\t