Existen varios temas relacionados con la seguridad, la organización y legalidad del tratamiento de datos personales, que se deben tener en cuenta en el ámbito de las empresas grandes, medianas y pymes y de la administración publica (estatal, autonómica y local). A considerar:
CIBERSEGURO
El ciberseguro está destinado a brindar una cobertura, principalmente financiera, en caso de que se produzca una ciberintrusión, ciberamenazas, errores o fallos y accidentes o desastres. Algunos ciberseguros se ofrecen como una cobertura adicional agregada a una póliza ya existente, mientras que otros se contratan como una póliza independiente.
Las coberturas generales de un ciberseguro incluyen:
- Privacidad de datos: cobertura para compensar la pérdida de datos personales.
- Pérdidas o brechas de datos: cobertura para compensar el coste de la pérdida de datos confidenciales de la empresa.
- Servicio de remediación: cobertura para compensar el coste de litigación por un ciberataque, notificaciones de los clientes o investigaciones forenses.
- Multas o sanciones reglamentarias asociadas con violaciones de datos: cobertura para compensar las multas o sanciones aplicadas como parte de las leyes estatales, autonómicas y locales que se ocupan de las infracciones de datos.
- Incidentes de ciberseguridad que no suponen una violación de datos: cobertura para compensar el coste de ciberincidentes no relacionados con filtraciones de datos.
- Interrupción comercial y contingencias de negocio: cobertura para compensar el coste de cualquier interrupción del servicio de la empresa causada por la ciberintrusión (por ejemplo, un sitio web sin conexión)
- Ciberextorsión: cobertura para compensar el coste de los pagos efectuados a los ciberdelincuentes por la devolución de la propiedad intelectual o los datos personales robados.
- Responsabilidad de los medios de comunicación: cobertura para compensar el coste de la infracción de la propiedad intelectual, infracción de derechos de autor/marcas registradas, difamación y calumnias.
DELGADO DE PROTECCIÓN DE DATOS
La figura del delegado de protección de datos adquiere una destacada importancia en el Reglamento (UE) 2016/679 y así lo recoge la ley orgánica, que parte del principio de que puede tener un carácter obligatorio o voluntario, estar o no integrado en la organización del responsable o encargado y ser tanto una persona física como una persona jurídica. La designación del delegado de protección de datos ha de comunicarse a la autoridad de protección de datos competente. La Agencia Española de Protección de Datos mantendrá una relación pública y actualizada de los delegados de protección de datos, accesible por cualquier persona. Los conocimientos en la materia se podrán acreditar mediante esquemas de certificación. Asimismo, no podrá ser expulsado, salvo en los supuestos de dolo o negligencia grave. Es de destacar que el delegado de protección de datos permite configurar un medio para la resolución amistosa de reclamaciones, pues el interesado podrá reproducir ante él la reclamación que no sea atendida por el responsable o encargado del tratamiento.
CERTIFICADOS
La certificación será voluntaria y estará disponible a través de un proceso transparente. La certificación se expedirá a un responsable o encargado de tratamiento por un período máximo de tres años y podrá ser renovada en las mismas condiciones, siempre y cuando se sigan cumpliendo los requisitos pertinentes. La certificación será retirada, cuando proceda, por los organismos de certificación a que se refiere el artículo 43, o en su caso por la autoridad de control competente, cuando no se cumplan o se hayan dejado de cumplir los requisitos para la certificación. La certificación a que se refiere el presente artículo no limitará la responsabilidad del responsable o encargado del tratamiento en cuanto al cumplimiento del presente Reglamento.
SANCIONES
El régimen sancionador, parte de que el Reglamento (UE) 2016/679 establece un sistema de sanciones o actuaciones correctivas que permite un amplio margen de apreciación. En este marco, la ley orgánica procede a describir las conductas típicas, estableciendo la distinción entre infracciones muy graves, graves y leves, tomando en consideración la diferenciación que el Reglamento general de protección de datos establece al fijar la cuantía de las sanciones. El Reglamento (UE) 2016/679 establece amplios márgenes para la determinación de la cuantía de las sanciones. La ley orgánica aprovecha la cláusula residual del artículo 83.2 de la norma europea, referida a los factores agravantes o atenuantes, para aclarar que entre los elementos a tener en cuenta podrán incluirse los que ya aparecían en el artículo 45.4 y 5 de la Ley Orgánica 15/1999, y que son conocidos por los operadores jurídicos.
La Ley Orgánica 3/2018 (LOPD-GDD), de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, adapta el ordenamiento jurídico español al Reglamento (UE) 2016/679 (RGPD) del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos, y completar sus disposiciones y garantiza los derechos digitales de la ciudadanía conforme al mandato establecido en el artículo 18.4 de la Constitución.
Las empresas, administraciones públicas y todas aquellas entidades que traten DATOS DE CARÁCTER PERSONAL (nombre, DNI, etc.), deben establecer medidas adecuadas y específicas para proteger los derechos fundamentales y los datos personales de las personas físicas.
1: Las propias organizaciones deben decidir qué medidas organizativas, técnicas y legales deben aplicar en función del tratamiento de datos personales que realizan por área (Clientes, RR.HH., C.V., marketing, comercial, logística, actividades, premios, subvenciones, …).
2: Las organizaciones ahora están obliga a ser más diligentes y responsables (accountability).
3: Las organizaciones entre otras medidas deben:
- aplicar medidas de protección de datos desde el diseño,
- realizar el registro de actividades de tratamiento RAT,
- evaluar el riego PIA-EIPD – evaluación de impacto relativa a la protección de datos,
- firmar contratos con los encargados de tratamiento,
- tener información legal en formularios y web,
- comunicar violaciones de seguridad,
- atender derechos de las personas (ARCO, portabilidad, derecho al olvido, limitación del tratamiento),
- formar/sensibilizar a los empleados que deban conocer la normativa,
- tener un DPD y preservar su independencia,
- utilizar sistemas de consentimiento,
- aplicar anonimización, seudonimización y cifrado de datos personales,
- realizar auditorías LOPD-GDD/RGPD.
Contacto:
