LA GDPR

La GDPR regula la protección de datos personales en la Unión Europea. La regulación se aplica si el controlador de datos (una organización que recolecta datos de residentes de la UE) o el procesador (una organización que trata datos en nombre del controlador de datos, por ejemplo, proveedores de servicios en la nube) o el interesado (persona) tiene su sede en la UE. Además, la regulación también se aplica a las organizaciones con sede fuera de la Unión Europea si recopilan o tratan datos personales de los residentes de la UE. Según la Comisión Europea, «los datos personales son cualquier información relacionada con un individuo, ya sea que se refiera a su vida privada, profesional o pública. Puede ser cualquier cosa desde un nombre, domicilio, foto, dirección de correo electrónico, detalles bancarios, publicaciones en sitios web de redes sociales, información médica o la dirección IP de una computadora».

https://es.wikipedia.org/wiki/Reglamento_General_de_Protección_de_Datos

Base legal para procesar los datos

Los datos solo se pueden tratar si existe al menos una base legal para hacerlo. Las bases legales para tratar datos son:

• El interesado ha dado su consentimiento para el tratamiento de sus datos personales con uno o más propósitos específicos.
• El tratamiento es necesario para la ejecución de un contrato del que el interesado es parte o para tomar medidas a petición del interesado antes de celebrar un contrato.
• El tratamiento es necesario para cumplir con una obligación legal a la cual el controlador está sujeto.
• El tratamiento es necesario para proteger los intereses vitales del interesado o de otra persona física.
• El tratamiento es necesario para la realización de una tarea llevada a cabo en interés público o en el ejercicio de la autoridad oficial conferida al controlador.
• El tratamiento es necesario para los fines de los intereses legítimos perseguidos por el responsable o por un tercero, salvo cuando dichos intereses sean anulados por los intereses o los derechos y libertades fundamentales del interesado que requieren protección de datos personales, en particular cuando el interesado es un niño.

Los más importantes, porque suelen ser lo mś usados son los bases amparadas en los intereses legítimos y el consentimiento del usuario:

• Intereses legítimos. Es el más flexible y el que implica un mayor nivel de responsabilidad. Habría que establecer cuáles son estos intereses (comerciales, confección de estadísticas para la mejora del sitio, etc.) y porqué el procesamiento de datos es necesario para conseguir dichos fines. Este ha de ser necesario, es decir, si se puede conseguir por medios menos intrusivos no estaría justificado. Este supuesto no necesita el consentimiento explícito del usuario. https://www.aepd.es/sites/default/files/2019-09/informe-juridico-rgpd-interes-legitimo.pdf

• Consentimiento del usuario. La base legal es el consentimiento explícito que otorga el usuario para el procesamiento de sus datos personales.

Delegado de protección de datos

El artículo 37, apartado 1, del RGPD requiere la designación de un DPD en tres casos específicos:

• cuando el tratamiento lo lleve a cabo una autoridad u organismo público
• cuando las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance o fines, requieran una observación habitual y sistemática de interesados a gran escala; o
• cuando las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales o de datos relativos a condenas e infracciones penales

Las administraciones públicas siempre tienen la obligación de nombrar un DPD (salvo los tribunales en el ejercicio de su función judicial).

El DPD puede ser un miembro del personal de su organización o puede contratar uno externo en el marco de un contrato de servicio. El DPD puede ser una persona o una organización.

https://ec.europa.eu/info/law/law-topic/data-protection/reform/rules-business-and-organisations/obligations/data-protection-officers/does-my-company-organisation-need-have-data-protection-officer-dpo_es

Política de datos (Privacy Policy or Privacy Notice)

Si una organización recopila información de un individuo directamente, debe incluir la siguiente información en su aviso de privacidad:

• La identidad y los datos de contacto de la organización, su representante y su Delegado de Protección de Datos.
• El propósito de la organización para procesar los datos personales de un individuo y su base legal
• Los intereses legítimos de la organización (o de terceros, cuando corresponda)
• Cualquier destinatario o categorías de destinatarios de los datos de una persona.
• Los detalles sobre cualquier transferencia de datos personales a un tercer país y las garantías tomadas
• El período de retención o los criterios utilizados para determinar el período de retención de los datos.
• La existencia de los derechos de cada interesado
• El derecho a retirar el consentimiento en cualquier momento (cuando sea relevante)
• El derecho a presentar una queja ante una autoridad supervisora
• Si el suministro de datos personales es parte de un requisito u obligación legal o contractual y las posibles consecuencias de no proporcionar los datos personales
• La existencia de un sistema automatizado de toma de decisiones, incluida la elaboración de perfiles, e información sobre cómo se ha establecido este sistema, la importancia y las consecuencias.

Si una organización obtiene sus datos indirectamente (a través de otra organización), su aviso de privacidad debe proporcionar la misma información, excepto:

• Si el suministro de datos personales es parte de un requisito u obligación legal o contractual y las posibles consecuencias de no proporcionar los datos personales

https://gdpr.eu/privacy-notice/