La siguiente guía se basa según el Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y en la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales.
👩🏫 ¿Por qué es importante la protección de datos?
La importancia de la protección de datos deriva del amparo concedido a los derechos fundamentales de las personas. El tratamiento de datos personales forma parte de este grupo, y de ello se desprende el especial cuidado que merecen. Esta afirmación se fundamenta en las bases de la Carta de los Derechos Fundamentales de la Unión Europea y del Tratado de Funcionamiento de la Unión Europea, entre otros textos legales de suma relevancia.
PASOS A SEGUIR
🔎 Identificar la base legal del tratamiento de datos
Un correcto tratamiento de datos debe incluir una base que lo legitime y que puede versar sobre:
✔ Fines específicos señalados, debiendo prestar su consentimiento expreso la persona a la que se dirige.
✔ Una relación contractual.
✔ Intereses vitales del/la interesad@ o de un tercero.
✔ Una obligación legal de recoger los datos para el/la responsable.
✔ El cumplimiento del interés público o ejercicio de los poderes públicos que el/la responsable tenga asignados.
✔ Intereses del/la responsable o de terceros que prevalecen sobre los del/la interesado.
Es necesario identificar claramente la base legal sobre la que se desarrollan los tratamientos de datos, aunque no sea de forma explícita. Lógicamente, esta base debe adaptarse al tratamiento concreto y a las características de las organizaciones que recopilan la información. Por tanto, un tratamiento de datos se considera lícito cuando es determinado, explícito y legítimo y versa sobre una finalidad lícita.
Ejemplo. La recogida y tratamiento de datos personales tiene como finalidad la evaluación del sistema para la mejora de los servicios que se ofrecen.
🧾 Se debe lograr el consentimiento inequívoco del interesado
Lograremos un consentimiento inequívoco del/la interesad@ mediante una afirmación clara o manifestación de la conformidad por parte del/la interesad@.
EXCEPCIÓN
Debemos tener en cuenta que existen 3 supuestos en los que es necesario un tratamiento inequívoco + explícito, y son los siguientes:
✔ Tratamiento de datos sensibles.
✔Adopción de decisiones automatizadas.
✔Transferencias internacionales.
¿Qué sucede con los consentimientos otorgados antes de la entrada en vigor de la legislación de 2018?
Si tenemos documentos en los que constara el consentimiento de l@s interesad@s con fecha anterior a mayo de 2018, el tratamiento será legítimo si se hubiera prestado mediante manifestación afirmativa. Sin embargo, es recomendable obtener el consentimiento de acuerdo con la legislación vigente.
Específicamente en caso de que se almacenen datos de menores de edad, se considera que pueden prestar su consentimiento cuando son mayores de 14 años. Si tienen edad inferior a la señalada se exige que l@s padres o l@s tutores legales presten el consentimiento.
Ejemplo consentimiento explícito. Se considerará aceptado el tratamiento de los datos mediante firma del presente documento en el que se detallan los aspectos de este.
🖋 Forma de presentar la información
La forma de presentar la información relativa al tratamiento de datos debe caracterizarse por ser: concisa, transparente, inteligible, y de acceso sencillo. El lenguaje debe ser claro. Esta información debe constar por escrito.
Las remisiones a la Ley, entendido como citas de artículos y demás referencias a un contenido amplio se deben evitar. Sin embargo, sí se debe mencionar la legislación por la que se rige el tratamiento de datos del que somos responsables
Ejemplo. De acuerdo con lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
📢 Referencia a los derechos
Como responsables del tratamiento de datos de carácter personal, debemos facilitar al interesado el ejercicio de derechos que tiene asignados. Los derechos se atribuyen a cada interesad@ de forma gratuita. Sin embargo, debemos considerar que cuando la petición de alguno de ellos se realice de forma desproporcionada o excesiva, podemos cobrar un canon por el servicio fruto de los posibles gastos burocrático u administrativos derivados de la gestión. Si fuera este el caso, al responsable le corresponde la carga de demostrar esta situación.
📆Disponemos del plazo de 1 mes para responder a la solicitud del ejercicio de los derechos. Este plazo puede prorrogarse 2 meses más en caso de que el supuesto fuera complejo, debiendo notificarse tal medida al interesad@ en el primer mes.
Por otro lado, debemos considerar que la solicitud se puede denegar en base a los motivos de exceso y desproporción de la petición. Para notificar la denegación también se dispone del plazo de 1 mes.
En caso de que la solicitud de información se haya realizado por medios electrónicos, la respuesta se debe facilitar por los mismos medios aunque el interesad@ puede solicitar que se presente por otro mecanismo. En cualquier caso, para el ejercicio del derecho se debe presentar la solicitud y una copia del documento de identidad de la persona.
✔ Derecho al acceso e información
L@s interesad@s tienen derecho a obtener una copia de los datos personales que han sido objeto del tratamiento. Para el ejercicio de este derecho, lo más efectivo es la creación de un acceso remoto seguro al que l@s interesad@s puedan acceder directamente.
✔ Derecho al olvido
No es un derecho independiente a los demás, es decir, no es autónomo. Depende de los demás y es consecuencia del derecho a la supresión de datos, oposición y limitación del tratamiento.
✔ Derecho a la rectificación
Para poder ejercer este derecho, el/la interesad@ debe expresar a qué datos se refiere y la corrección que debe realizarse, acompañándose esta petición de documento justificativo de tal inexactitud. El derecho a rectificación se debe ejercitar sin dilaciones indebidas y en el menor tiempo posible.
✔ Derecho a la oposición
El/la interesad@ puede en cualquier momento oponerse al tratamiento de sus datos por cuestiones relacionadas con su situación particular.En caso de que existan intereses legítimos del responsable que prevalezcan sobre los del/la interesad@, NO se podrá ejercitar el derecho de oposición.
En caso de que el tratamiento de los datos se destine a actividades de marketing directo, el/la interesad@ se puede oponer en todo momento. En este caso los datos dejarán de ser usados para tal fin.
✔ Derecho a la limitación del tratamiento
El/la interesad@ puede solicitar la limitación al tratamiento de sus datos cuando:
👉El/la interesad@ ha ejercido el derecho de rectificación u oposición, y el/la responsable estudia si procede la solicitud.
👉Cuando existe un tratamiento ilícito de los datos, correspondiendo la supresión, pero el/la interesad@ no ejerce este derecho.
👉Cuando se ejercitan reclamaciones y los datos ya no son necesarios para el tratamiento.
👉Durante este lapso temporal en el que se ejerce la limitación de datos, estos, solo se podrán usar si el/la interesad@ presta su consentimiento, si se pretende ejercitar una reclamación, o para proteger los derechos de otra persona. También se podrán utilizar por razones de interés público.
✔ Derecho a la supresión
El/la interesad@ puede pedir la supresión de sus datos personales en los siguientes supuestos:
👉Los datos pasan a ser innecesarios para los fines que se buscan.
👉Se retira el consentimiento en caso de tratamientos con fines específicos.
👉Cuando el/la interesad@ se opone al tratamiento de los datos que tienen el fin de cumplir una misión en interés público o satisfacción de intereses legítimos del/la responsable o de un tercero, siempre y cuando NO prevalezcan los motivos del/la responsable. También se podrá dar esta oposición cuando el tratamiento de los datos se destine a labores de marketing directo.
Los datos personales del/la interesad@ se hayan tratado de forma ilícita.
👉Cuando los datos se hubieran obtenido en relación con ofertas de los servicios de la sociedad de la información.
Cuando se haya solicitado la supresión de los datos, el/la responsable debe informar de ello a las demás organizaciones que tuvieran conocimiento de los datos del/la interesad@ en cuestión.
✔ Derecho a la portabilidad
La portabilidad de los datos permite el acceso en un formato estructurado, de uso común y lectura mecánica. La portabilidad de los datos permite que la información sobre un interesado pase de un responsable de tratamiento a otro.
Solo será posible ejercitar el derecho a la portabilidad:
✔Cuando el tratamiento se hubiera dado por medios automatizados.
✔ Cuando exista una relación contractual entre las partes, o bien, un consentimiento.
✔ Cuando se pretenda ejercer sobre datos proporcionados al responsable y que impliquen al interesado.
El reconocimiento de estos derechos debe plasmarse en la parte del documento destinada a la política de protección de datos.
➡ Explicitar el contacto del responsable
Será necesario expresar concretamente el contacto de la entidad que se encarga del tratamiento de los datos para que l@s interesad@s puedan resolver las dudas pertinentes o ejercitar sus derechos.
En resumen, para un correcto tratamiento de datos debemos hacer referencia a la base legal (entendida como el fin lícito que se busca), a la forma de prestar el consentimiento por parte del interesado, a la legislación, a los derechos de l@s interesad@s y los datos de contacto del/la responsable del tratamiento.
EJEMPLO
De acuerdo con lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo relativo a la protección de las personas físicas, en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y en la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, se le informa de que sus datos serán almacenados y tratados por la entidad (nombre de la entidad). El tratamiento de los datos se hace con el fin de (explicar el fin lícito al que se destina el tratamiento). Se entenderá que el/la interesad@ presta su consentimiento (explícitamente). El órgano encargado del tratamiento de los datos personales es (nombre de la entidad). El/la interesad@ tiene reconocidos los derechos previstos en la legislación y son el derecho de acceso, el derecho de rectificación, el derecho de oposición, el derecho de supresión, el derecho de limitación del tratamiento y el derecho de portabilidad de los datos. Para el ejercicio de estos derechos y cualquier otra duda o sugerencia que se quisiera expresar, puede contactar con la organización (nombre de la entidad), mediante la siguiente dirección de correo electrónico (indicar correo electrónico específico del responsable o departamento encargado del tratamiento) o en la siguiente dirección postal (indicar dirección de la entidad). Para más información puede consultar la política de privacidad desarrollada en nuestra web (adjuntar hppt).