2. REGLAMENTO (UE) 2016/679 - Protección, tratamiento y libre circulación de datos personales de las personas físicas.

0:00 Muy buenas, vamos con el segundo vídeo del Reglamento V 2016 679 del Parlamento Europeo y del Consejo de 27 de abril, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Como estamos en el segundo vídeo, vamos directamente al capítulo cuatro que nos va a hablar del responsable del tratamiento y del encargado. ¿Nos acordamos de ellos, qué vamos a ver? Artículos 24 a 43, un mix de lo que nos interesa, quedándonos con lo importante. ¿Por dónde empezamos? Pues por el responsable del tratamiento. ¿Te acuerdas de su definición? Cómo era persona física o jurídica, autoridad pública, servicio u otro organismo que solo conjunto con otros determina los fines y los medios del procedimiento. ¿Ahora que nos hemos acordado de quién era el responsable? Vamos con unos detalles que lo vamos a coger de distintos párrafos de distintos artículos, criterios específicos para el nombramiento del responsable, pues podrá establecerlos el derecho de la Unión o el derecho de los Estados miembros. Cada responsable va a llevar un registro de las actividades de tratamiento efectuadas bajo su responsabilidad, como una libretica con todo lo que va haciendo, cada responsable lleva un registro propio de actividades efectuadas bajo su responsabilidad.

1:14 Esas actividades llevarán aplicadas unas medidas técnicas y organizativas apropiadas a fin de garantizar y además, poder demostrar que el tratamiento que está haciendo los datos personales que están bajo su responsabilidad es conforme a lo que dice el presente Reglamento. Y esas medidas que va a estar aplicando técnicas y organizativas tienen que ser revisadas y actualizadas cuando sea necesario. El responsable también va a elegir únicamente a un encargado que ofrezca las garantías suficientes para aplicar esas medidas técnicas y organizativas apropiadas, garantizando en todo momento el derecho de los interesados.

1:55 Y si queréis algo más como figura, tenemos a los corresponsables del tratamiento, que es cuando 2 o más responsables determinan conjuntamente los objetivos y los medios del tratamiento, pues con esto ya tenemos una fotografía o un cuadro del responsable del tratamiento. ¿Y a quién le tocaría ahora? ¿Pues al encargado del tratamiento definición, te acuerdas? Te la cuento persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable. Del tratamiento. Una cosa, ya empezamos con los detalles. El encargado del tratamiento no recurrirá a otro encargado de encargado encargado no puede sin la autorización previa ya por escrito, sin autorización previa por escrito, ya se ha especificado general del responsable.

2:45 O sea, que el encargado de encargado, no sin autorización por escrito específica o general de responsable. Además, el encargado del tratamiento y cualquier persona que actúe bajo la autoridad tanto del responsable como del encargado, y que tenga acceso a datos personales. Sólo podrá tratar esos datos siguiendo instrucciones del responsable, a no ser que estén obligados por el derecho a la Unión o por el derecho de los Estados miembros y el encargado, al igual que el responsable, llevará un registro de todas las actividades de tratamiento efectuadas por cuenta del responsable. Que esto es curioso, el responsable lleva un registro de las actividades realizadas por el por sí mismo bajo su responsabilidad, y el encargado también lleva un registro de las actividades de tratamiento efectuadas por el responsable. ¿Qué más tenemos?

3:35 Pues que el este registro, además de actividades, se pondrá a disposición de la autoridad control cuando esta lo solicite. ¿Y quién es la autoridad de control? Pues luego te lo digo al final. Como detalle regulado en el artículo 35 del del Reglamento, las obligaciones de registro de las actividades que tienen tanto el responsable como el encargado no se van a aplicar a ninguna empresa ni organización que emplee a menos de 250 personas. Y esto lo vamos a marcar como posible pregunta esa examen, esas obligaciones de registro de actividades del responsable del encargado no se van a aplicar a empresas que empleen o que tengan a menos de 250 personas, salvo que pueda entrañar un riesgo para los derechos y libertades de los interesados. Bien, pues aquí tendríamos también la fotografía del encargado del tratamiento para aclararnos un poco, si quieres, te doy la definición que viene en la propia web de la Comisión Europea sobre el responsable y sobre el encargado y nos da un ejemplo más que definición, nos da un ejemplo, nos dice que hay una cervecería que tiene muchos empleados. Esta cervecería firma un contrato con una empresa de nóminas para poder pagar los salarios. ¿La cervecería, indica la empresa de nóminas cuándo tienen que pagárse las nóminas?

4:52 ¿Cuándo un empleado se va de la empresa? O si tiene un aumento de sueldo y le proporciona además todo el resto de información que le hace falta a la empresa de nóminas para el pago y lo y los datos, ya está la empresa de nóminas proporciona el sistema informático y conserva además los datos de los empleados, pues, según el ejemplo que viene, dice que la cervecería como tal es el responsable del tratamiento y la empresa de nóminas es la encargada del tratamiento. ¿Te ha quedado Claro? Cervecería como responsable por la original y por la contratación y la empresa de nóminas como encargada del tratamiento a la que le pasas los datos para que efectúe unas actividades avanzando un poco tenemos al delegado de protección de datos que, como ya dijimos en el vídeo anterior, es designado por el responsable y por el encargado del tratamiento, atendiendo a las cualidades profesionales y en particular a los conocimientos que tiene que tener sobre derecho sobre protección de datos y sobre capacidad para desempeñar las funciones que viene regular en el artículo 39 que veremos ahora después. ¿Una pregunta, cuándo vamos a designar sí o sí a un delegado de protección de datos en 3 causas? Pues lo vamos a hacer cuando el tratamiento lo lleve a cabo una autoridad, un organismo público, cuando el tratamiento consista en operaciones que requieran una observancia habitual y sistemática de los interesados a gran escala o cuando el tratamiento sea a gran escala de categorías especiales de datos personales y de datos relativos a condenas e infracciones penales.

6:24 Ahí tenemos sí o sí un delegado de protección de datos. Vamos un poco más el responsable y el encargado del tratamiento van a publicar los datos de contacto, el de elevado de protección de datos y también lo van a comunicar a la Autoridad de control. El responsable y encargado van a garantizar que el delegado de protección participe de forma adecuada y en tiempo en todas las cuestiones relativas a la protección de datos. Van a respaldarlo en el desempeño de sus funciones, van a garantizar que no reciba ninguna instrucción, que no respete al desempeño de esas funciones. Ni el responsable ni el encargado van a poder destituir ni sancionar al delegado por desempeñar sus funciones y en delegado va a rendir cuenta directamente al más alto nivel jerárquico del responsable y del encargado. Además, el delegado también está obligado a mantener secreto y confidencialidad en sus funciones. Pero cuidado que puede desempeñar otras funciones y cometidos siempre y cuando no dé lugar a conflicto de intereses. ¿Y esto es todo lo que tiene el Delegado de protección de datos o no?

7:24 ¿Qué nos falta del delegado de protección de datos? Una cosa que además es pregunta de examen, sus funciones, qué funciones tiene el delegado de protección de datos 5. Informar y asesorar al responsable y encargado del tratamiento, supervisar el cumplimiento del tratamiento, ofrecer asesoramiento, cooperar con la Autoridad de Control y actuar como punto de contacto de la Autoridad de Control para cuestiones relativas al tratamiento, incluida la consulta previa. Pues ahora sí, ahora sí tenemos al delegado de protección de datos, o sea que hemos visto al responsable, hemos visto al encargado y hemos visto al delegado de protección de datos. Pero tengo que decirte que todavía nos queda un par de cositas para terminar con el vídeo, ya lo siento. La primera de ellas es la evaluación de impacto relativo a la protección de datos y su consulta, que nos dice que esto va como un cuadro aparte.

8:14 Si un tratamiento de datos en particular, si se usan nuevas tecnologías y puede entrañar ese tratamiento usado con nuevas tecnologías, pueden tener un alto riesgo para los derechos de las personas físicas, derechos y libertades de las personas físicas. En lo que respecta a sus datos personales. El responsable antes del tratamiento, realizará una evaluación de impacto sobre esa protección de datos con esa evaluación de impacto podrá podrá hacer una consulta previa del tratamiento a la autoridad de control. A ver qué ocurre con ella para que esta autoridad asesore por escrito al responsable, si el tratamiento que va a hacer infringe lo lo que viene estipulado en el Reglamento y si se ha identificado o mitigado el riesgo que puede hacer el responsable del tratamiento.

9:02 Bien, o sea, que el responsable del tratamiento, cuando se van a utilizar nuevas tecnologías, tiene que comprobar si hay un impacto y pueden una puede saltarse lo que viene a estipular en el Reglamento o puede haber un fallo de seguridad para los datos personales. Con ello, hecha la consulta hecha la suite a la Autoridad de control, la Autoridad de control debe contestar, asesorar, debe asesorar al responsable en un plazo de 8 semanas, prorrogable por 6 semanas más en caso de complejidad. Y esta era la primera cosa que os quería comentar. La otra viene con la seguridad de los datos personales cuando hay una violación de los datos personales, cuando hay una violación de los mismos, vale, y aquí hay 2 vías de comunicación, una que va hacia los interesados, que es comunicarle de forma lo más rápida posible de lo que ha ocurrido y la otra vía es la comunicación a la autoridad de control, que aquí es donde puede estar también la pregunta de examen, el responsable del tratamiento otra vez notificará a la Autoridad de Control sin dilación indebida y a más tardar 72 horas después de que haya tenido constancia la violación de los datos.

10:06 Bien, esa es la pregunta de examen sin dilación, sabe una vibración de datos el responsable sin dilación debida y en un plazo máximo de 72 a más tardar 72 horas si no lo hacen esas 72 horas, pues tendrá, cuando lo haga, deberá ir acompañado de un informe y los motivos de la tardanza. Y si en el momento que hace la comunicación Autoridad de Control tampoco es posible facilitar toda la información de lo que ha ocurrido con la violación de datos y cómo entonces la información se irá mandando de forma gradual, sin dilación de vida, conforme se vaya conociendo. Bien, pues ya teníamos los 2 puntos que quería que quería hablar, pero me queda ya perdón, una cosita más. ¿Hemos estado hablando en varias ocasiones y durante este vídeo de la autoridad de control, pero qué es eso de la Autoridad de Control? Pues en nuestro caso la Autoridad de control es la Agencia Española de Protección de Datos que según el artículo 51, que entiendo que no entra, pero por si acaso lo vamos a ver, dice que cada Estado miembro va a establecer quién va a ser responsable.

11:10 De supervisar la aplicación del tratamiento. ¿Quién va a ser responsable? Pues va a ser la autoridad de control. Pueden ser una o varias, vale con el fin vamos a tener esa autoridad de control con el fin de proteger los derechos y libertades fundamentales de las personas físicas. En lo que respecta al tratamiento y a la libre circulación de los datos personales. ¿Por eso, en nuestro caso, cuando hablamos de autoridad de control, hablamos de la Agencia Española de Protección de Datos y ahora sí, ya se acabó, no? ¿Resumen y recogemos qué hemos visto en este vídeo? Hemos visto al responsable, hemos visto al encargado, hemos visto al delegado de protección de datos, hemos visto la evaluación de impacto y su consulta previa cuando hay un alto riesgo en el tratamiento de datos de nuevas tecnologías, esas 8 semanas prorrogables. Por 6 semanas más y el asesoramiento va por escrito por parte de la Autoridad de Control, y también hemos visto la violación de la seguridad de otras personas que se comunica a la Autoridad de Control a la Agencia Española de Protección de Datos en un plazo de 72 horas y también a los interesados. Pues vale, ahora sí, apaga y vámonos. Gracias.

12:11 Gracias por todo, por aguantarme, porque este sé que es un tema difícil, nos vemos dentro de poquito. En otro vídeo, el podcast y el resumen ya está preparado y ya está hasta otra. Manera.