Instrucciones de uso de la documentación Es un protocolo de actuación obligado para cualquier RT antes de realizar cualquier tratamiento. El RT tomará las medidas oportunas para comunicar al interesado la información del tratamiento y los derechos que le asisten. Es un protocolo de actuación obligado para cualquier RT antes de realizar cualquier tratamiento. El RT y el ET tomarán las medidas adecuadas para garantizar la protección de datos cuando el tratamiento lo realice el personal a su cargo mediante la firma de un acuerdo de confidencialidad o por tener una obligación legal de confidencialidad. Es un protocolo de actuación obligado para cualquier RT antes de realizar cualquier tratamiento. Los INTERESADOS tendrán derecho a ser informados del tratamiento de sus datos personales y a obtener del RT el gobierno de los mismos, siempre que lo permita la legislación vigente. Es un protocolo de actuación obligado para cualquier RT antes de realizar cualquier tratamiento, siempre que la violación de seguridad pueda producir daños o perjuicios a INTERESADOS o terceros en el transcurso del tratamiento de datos. Una violación de seguridad es cualquier incidencia que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
Protocolo de actuación para cumplir los principios de exactitud y limitación del plazo de conservación de los datos, destinado a implementar procedimientos que permitan la rectificación y la limitación del plazo de conservación de los datos personales tratados bajo la responsabilidad de la Organización. Los responsables del tratamiento, o sus Representantes, deberán poner a disposición del responsable de privacidad de la Organización este protocolo para su aplicación en todas las fases del tratamiento. Es un protocolo de actuación obligado para cualquier RT cuando proceda a la rectificación o supresión de datos personales hasta finalizar el plazo de prescripción de sus responsabilidades (artículo 32 de la Es un protocolo para aplicar a la organización antes de realizar cualquier tratamiento de datos. De aplicación cuando se trate cualquier información relativa a una persona física, identificada o identificable, por la cual pueda determinarse, directa o indirectamente, su identidad. El tratamiento de categorías de datos BÁSICOS comporta el cumplimiento de todas las disposiciones del GDPR, excepto las relativas a las categorías de datos ESPECIALES o PENALES. Es un informe obligatorio para cualquier RT y ET que sirve para determinar la estructura técnica y organizativa de la organización y reflejar todos los tratamientos relacionados.
Es un informe obligatorio para cualquier RT y ET que sirve para analizar la probabilidad de que existan riesgos en el tratamiento, para así determinar la aplicación de medidas de seguridad adecuadas a los riesgos previstos y establecer la necesidad de llevar a cabo una evaluación de impacto relativa a la protección de datos. Es un informe obligatorio para cualquier RT y ET que sirve para analizar la probabilidad de que existan riesgos en el tratamiento, para así determinar la aplicación de medidas de seguridad adecuadas a los riesgos previstos y establecer la necesidad de llevar a cabo una evaluación de impacto relativa a la protección de datos. Informe con el resumen de las medidas técnicas y organizativas de seguridad implementadas en la organización y los riesgos asociados a su incumplimiento. Es un informe en formato Auditoría de protección de datos que incorpora la Responsabilidad proactiva, la Política de información y la Política de seguridad en un mismo documento de manera que refleja el cumplimiento del Reglamento para cada fichero. Solicitudes de derechos Es un protocolo de actuación obligado para cualquier RT antes de realizar cualquier tratamiento.
Los INTERESADOS tendrán derecho a ser informados del tratamiento de sus datos personales y a obtener del RT el gobierno de los mismos, siempre que lo permita la legislación vigente. Instrucciones que deberá seguir el personal de atención al público ante posibles solicitudes para el ejercicio de los derechos del interesado. El RT tomará las medidas oportunas para comunicar al INTERESADO la información del tratamiento y los derechos que le asisten. Es un protocolo de actuación obligado para cualquier RT. Transparencia de la información Forma de facilitar la información: Concisa, transparente, inteligible y de fácil acceso. Lenguaje claro y sencillo, especialmente si va dirigido a menores. Medios para facilitar la información: Por escrito Medios electrónicos. Oralmente, si lo solicita el INTERESADO. En combinación con iconos formalizados (visibles, inteligibles y claramente legibles). Información básica del tratamiento Identidad y datos de contacto del RT y del DPO. Legitimación (base jurídica en que se ampara el tratamiento). Fines del tratamiento. Plazo de conservación o criterios que lo determinen. Derechos que asisten al INTERESADO: Revocar el consentimiento. Acceso, rectificación, supresión y portabilidad de los datos y limitación u oposición al tratamiento.
Presentar una reclamación ante la AC. DESTINATARIOS de los datos (si se prevé o no comunicar o transmitir los datos a terceros). Información específica del tratamiento Cuando exista una TRANSFERENCIA internacional de datos: Información sobre la existencia o ausencia de una decisión de adecuación adoptada por la UE o de garantías adecuadas de protección de datos. Cuando exista un mecanismo AUTOMATIZADO de elaboración de PERFILES: Información significativa sobre la lógica aplicada y las consecuencias previstas para el Cuando exista un propósito de tratar los datos para otros fines: Información sobre estos fines. Cuando exista un requisito legal o contractual para obtener los datos: Las consecuencias para el INTERESADO en caso de no facilitarlos. Cuando los datos no se hayan obtenido directamente del INTERESADO: La fuente de procedencia de los datos. Las categorías de datos tratados. El RT podrá facilitar la información del tratamiento en dos capas: Primera capa (información básica): Identidad del RT. Finalidad del tratamiento. Posibilidad de ejercer los derechos del INTERESADO. Enlace a la información restante (dirección electrónica u otro medio que permita acceder a ella de forma sencilla e inmediata) Además, si es el caso:
Identidad del Representante (empresas no ubicadas en la UE). Elaboración de PERFILES, incluido el derecho a oponerse a ella. Además, si los datos no se han obtenido directamente del INTERESADO: Categorías de datos objeto de tratamiento. Fuentes de las que procedieran los datos. Segunda capa (información restante): Toda la que obliga el RGPD. Cuando los datos se obtienen del INTERESADO Obligatorio: No obligatorio: En el momento de la obtención de los datos. Cuando el INTERESADO ya disponga de la información. Cuando los datos no se obtienen del INTERESADO Obligatorio (lo primero que se produzca): En un plazo máximo de 1 mes. En el momento de la primera comunicación con el INTERESADO. En el momento en que se revelen los datos a un DESTINATARIO. No obligatorio: Cuando el INTERESADO ya disponga de la información. Cuando la comunicación sea imposible o suponga un esfuerzo desproporcionado. Cuando la obtención o la comunicación esté expresamente establecida por la legislación vigente. Cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por la legislación vigente, incluida una obligación de secreto de naturaleza legal.
Es la persona física autorizada para realizar un tratamiento de datos personales bajo la autoridad directa del RT o ET. Las medidas adecuadas para garantizar la protección de datos cuando el tratamiento lo realice el personal a cargo de RT o ET son: Garantizar la protección de datos Firmar un acuerdo de confidencialidad. Tener una obligación legal de confidencialidad. Contenido del acuerdo de confidencialidad Seguir las instrucciones del RT o ET. Proteger adecuadamente los datos personales. Informar de cualquier violación de seguridad de la que tenga conocimiento. Guardar secreto profesional, inclusive después de finalizar el contrato. Información al INTERESADO No se deben comunicar al INTERESADO los datos identificativos del Personal. Es la persona física o jurídica, Autoridad pública, servicio u organismo que, solo o conjuntamente con otros ET, trate datos personales por cuenta del RT. Tendrá la consideración de RT y no de ET (aunque exista un contrato de ET) quien: En su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los INTERESADOS, excepto en el marco de la legislación de contratación del sector público.
Figurando como ET, utilice los datos para sus propias finalidades. Al finalizar la prestación de los servicios, el RT será el que determinará si los datos deben ser: Destruidos (no aplicable si existe una ley que obligue su conservación). Devueltos al RT. Entregados a un nuevo ET. Las medidas adecuadas para garantizar la protección de datos cuando el RT encarga el tratamiento a un ET son: Garantizar la protección de datos Firmar un contrato de ET. Ofrecer por parte del ET suficientes garantías de cumplimiento del RGPD, a través de: Auditorías. Códigos de conducta. Mecanismos de certificación. Normas corporativas vinculantes. Sistema de gestión de seguridad de la información ISO/IEC 27001 – ISO/IEC 27701. Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad Si no se cuenta con alguno de estos instrumentos que garantizarían el cumplimiento, al menos se debería solicitar un certificado o declaración responsable al encargado del tratamiento del cumplimiento del RGPD. Tratar los datos para la finalidad del encargo. Proteger los derechos del INTERESADO. Contenido del contrato de ET Objeto, duración, naturaleza y finalidad del tratamiento.
Tipo de datos personales y categorías de INTERESADOS. Obligaciones y derechos de los contratantes. Seguir las instrucciones del RT, incluyendo las TRANSFERENCIAS internacionales. Garantizar que el personal se haya comprometido a respetar la confidencialidad. Implementar las medidas de seguridad que establece el RGPD. Cooperar con el RT para garantizar el cumplimiento. No subcontratar el servicio a otro ET (SubET) sin la autorización previa y por escrito del RT. Crear las condiciones para permitir al RT resolver los derechos del INTERESADO. Determinar la supresión o devolución de datos al término del contrato, inclusive las copias existentes. Poner a disposición del RT la información necesaria para demostrar el cumplimiento del contrato, permitiendo inspecciones o auditorías. Informar de que el ET será considerado RT y estará sujeto a las normas aplicables como tal cuando determine por su cuenta los fines y los medios del tratamiento. Subcontratación del encargo a otro ET (SubET) Obtener la autorización previa y por escrito del RT: Específica: para subcontratar un SubET. General: para subcontratar varios SubET. Informar al RT los datos identificativos del SubET. Firmar un contrato de ET con el SubET que disponga las mismas obligaciones adquiridas en el contrato con el RT.
El ET será responsable subsidiario ante el RT del incumplimiento de las obligaciones del SubET. Información al INTERESADO No es necesario comunicar al INTERESADO los datos identificativos de los ET o SubET. Es la persona física o jurídica, Autoridad pública, servicio u organismo que recibe una comunicación o transmisión de datos personales. No se aplica a la comunicación o transmisión de datos a las Autoridades públicas para una investigación concreta de interés general regulada por la ley. No se aplica a la transmisión de datos dentro de un GRUPO empresarial para fines administrativos, laborales o comerciales. Las medidas adecuadas para garantizar la protección de datos cuando el RT comunica o transmite datos a un DESTINATARIO son: Garantizar la protección de datos Firmar un contrato de DESTINATARIO de datos. Tratar los datos para una finalidad relacionada con el fin del tratamiento. Proteger los derechos del INTERESADO. Contenido del contrato de DESTINATARIO Objeto, naturaleza y finalidad de la comunicación. Obligaciones y derechos de los contratantes. Garantizar que el personal se haya comprometido a respetar la confidencialidad. Implementar las medidas de seguridad que establece el RGPD.
Crear las condiciones para permitir al RT comunicar y atender los derechos del INTERESADO. Informar al DESTINATARIO de que será considerado RT y de que estará sujeto a las normas aplicables como tal. Información al INTERESADO Es obligatorio informar al INTERESADO de los DESTINATARIOS o categorías de DESTINATARIOS de los datos. Excepto si son Autoridades públicas en el ejercicio de sus funciones públicas. Excepto si la transmisión de datos se realiza dentro de un GRUPO empresarial para fines administrativos, laborales o comerciales. CORRESPONSABLES DEL TRATAMIENTO (CoRT) Cuando varios RT determinen los fines y los medios del tratamiento. Las responsabilidades de cada CoRT se determinarán atendiendo a las actividades que efectivamente desarrolle cada uno de ellos. Las medidas adecuadas para garantizar la protección de datos cuando varios RT sean CoRT son: Garantizar la protección de datos Firmar un acuerdo de CoRT. Contenido del acuerdo de CoRT El acuerdo debe contener (art. 26 RGPD), como mínimo, las responsabilidades de cada CoRT con respecto al RGPD, atendiendo a las actividades que efectivamente desarrolle cada uno de los CoRT (art. 29 LOPDGDD): Funciones de cada CoRT con respecto al tratamiento Suministro de la información del tratamiento a los INTERESADOS.
Procedimientos y mecanismos para el ejercicio de los derechos del INTERESADO. Si se considera oportuno, un punto de contacto para los INTERESADOS. Información al INTERESADO Es obligatorio poner a disposición del INTERESADO los aspectos esenciales del acuerdo. Se deberá añadir un apartado en la información del tratamiento que se facilite al INTERESADO para describir los aspectos esenciales del acuerdo. El Responsable del tratamiento facilitará al INTERESADO el ejercicio de los derechos que sobre sus datos personales le confiere la normativa vigente de protección de datos, para ello en la información sobre el tratamiento de sus datos personales que se le debe facilitar siempre de manera previa, se deberá incluir la existencia de estos derechos. Recepción de solicitudes. - Registrar las solicitudes recibidas. - Identificar al INTERESADO de manera inequívoca. - Comprobar que el derecho no afecte negativamente los derechos y libertades de terceros. - Responder sin demora injustificada como máximo en el plazo de 1 mes: Informando que se ha dado curso a la solicitud del derecho. Prorrogando el plazo: comunicar los motivos del retraso (máximo 2 meses para casos complejos).
Informando que no se ha dado curso a la solicitud del derecho: razonar los motivos e informar del derecho a presentar una reclamación a la AC y a ejercitar acciones judiciales. Atención de los derechos. Información relativa a las actuaciones del responsable sobre una solicitud de derecho: • Forma de facilitarla: concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. • Medios para facilitarla: el responsable del tratamiento estará obligado a informar al interesado sobre los medios a su disposición para ejercer los derechos, estos deberán ser fácilmente accesibles para el afectado y el ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. Ejercicio de los derechos: • Se podrán ejercer directamente o por medio de un representante legal o voluntario. • Para menores, los titulares de la patria potestad podrán ejercitar los derechos del interesado en su nombre y representación.
Registro. DiPacket, S.L. cuenta con un registro automatizado de las solicitudes de ejercicio de los derechos que el GDPR confiere a los interesados, que contiene la siguiente información: 1. 2. 3. 4. Identificación: se incluye un código, el derecho ejercido y quién lo solicita. Solicitud: la fecha en la que se solicita, el plazo de respuesta y cuál es la solicitud específica. Respuesta: la fecha en que se da respuesta y el contenido de la misma. Documentos adjuntos: para incluir copia de la solicitud, de la respuesta y de cualquier documentación relevante para esta solicitud. Derecho de información. Cuando se recaben datos personales, el RESPONSABLE DEL TRATAMIENTO debe cumplir con el derecho de información al INTERESADO de manera previa a su tratamiento (ver PROTOCOLO DE INFORMACIÓN Y Derecho a presentar una reclamación ante una autoridad de control. Como parte de la información que se debe facilitar al INTERESADO de manera previa al tratamiento de sus datos el RESPONSABLE DEL TRATAMIENTO debe incluir el derecho a presentar una reclamación ante una Autoridad de Control. Derecho a retirar el consentimiento. Cuando la base jurídica que legitime el tratamiento sea el consentimiento del INTERESADO, este tendrá derecho a retirarlo en cualquier momento, sin que esto afecte a la licitud del tratamiento previo a su retirada.
El RESPONSABLE DEL TRATAMIENTO debe informar de este derecho al INTERESADO antes de recabar su consentimiento. Debe ser tan fácil retirar el consentimiento como prestarlo. Derecho de acceso. El INTERESADO tendrá derecho a que el RT le comunique si se están tratando o no sus datos personales, y en caso de que se confirme el tratamiento, posibilitará su acceso facilitándole la información del tratamiento. Cuando el RT trate una gran cantidad de datos de un INTERESADO, podrá solicitarle antes de facilitar la información que especifique los datos o actividades de tratamiento a los que se refiere la solicitud. El derecho de acceso se entenderá por atendido cuando el RT comunique al INTERESADO un enlace a un sistema de acceso remoto, directo y seguro a los datos que garantice, de modo permanente, el acceso a su totalidad. En el caso de fallecidos, este derecho lo podrán ejercitar las personas vinculadas al mismo por razones familiares o de hecho, así como sus herederos o las que hubiere designado expresamente para ello, excepto si el causante lo hubiese prohibido expresamente o así lo establezca una ley.
Razones para dar curso a la solicitud del ejercicio del derecho. Que se esté llevando a cabo algún tratamiento de los datos personales del interesado. Razones para no dar curso a la solicitud del ejercicio del derecho: Cuando no se traten sus datos. Cuando afecte negativamente los derechos y libertades de terceros. Ejercicio del derecho: Facilitar una copia de los datos personales sometidos a tratamiento. Facilitar la siguiente información del tratamiento: Los fines del tratamiento. Las categorías de datos. Los DESTINATARIOS o categorías de DESTINATARIOS a los que se comunicaron o comunicarán los datos personales, en particular los de terceros países u organizaciones internacionales. El plazo o criterios de conservación. El ejercicio de los derechos de rectificación o supresión de los datos personales y de la limitación u oposición al tratamiento. El derecho a presentar una reclamación a la AC. Facilitar información específica del tratamiento (si existe): Cuando exista una TRANSFERENCIA internacional de datos: Información de las garantías adecuadas de protección de datos. Cuando exista una decisión automatizada, incluida la elaboración de perfiles, que produzca efectos jurídicos en el interesado o le afecte significativamente de modo similar:
Información significativa sobre la lógica aplicada para tomar decisiones. Información sobre la importancia y las consecuencias previstas de dicho tratamiento para el INTERESADO. Derecho de rectificación de los datos. El INTERESADO tendrá derecho a que el RT rectifique sus datos sin demora injustificada cuando resulten inexactos o incompletos mediante una declaración rectificativa adicional. El RT podrá solicitar, cuando sea preciso, la documentación justificativa de la inexactitud o carácter incompleto de los datos objeto de rectificación. En el caso de fallecidos, este derecho lo podrán ejercitar las personas vinculadas al mismo por razones familiares o de hecho, así como sus herederos o las que hubiere designado expresamente para ello, excepto si el causante lo hubiese prohibido expresamente o así lo establezca una ley. Razones para dar curso a la solicitud del ejercicio del derecho: Cuando los datos resulten inexactos o incompletos. Razones para no dar curso a la solicitud del ejercicio del derecho: Cuando los datos no resulten inexactos o incompletos. Cuando el tratamiento no admita manipulación de los datos (por ejemplo, las imágenes de videovigilancia). Ejercicio del derecho: Confirmar la rectificación de los datos.
Posibilitar el acceso a formularios electrónicos para actualizar los datos. Si existe una comunicación previa a DESTINATARIOS, informarles para que procedan a la rectificación (excepto si es imposible o exige un esfuerzo desproporcionado). Derecho de supresión de los datos (derecho al olvido). El INTERESADO tendrá derecho a que el RT suprima sus datos sin demora injustificada cuando: El tratamiento sea ilícito. El INTERESADO haya retirado su consentimiento. Los datos ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados. Los datos se hayan obtenido en relación con la oferta de servicios de la sociedad de la información. El INTERESADO haya ejercido el derecho de oposición y no prevalezcan otros motivos legítimos para el tratamiento. Los datos deban suprimirse para cumplir una obligación legal del RT. Razones para dar curso a la solicitud del ejercicio del derecho: Cuando se den alguna de las circunstancias anteriormente relacionadas que obligan al RT a suprimir los datos personales. Razones para no dar curso a la solicitud del ejercicio del derecho Cuando no se den ninguna de las circunstancias anteriormente relacionadas que obligan al RT a suprimir los datos personales.
Cuando prevalezca el derecho a la libertad de expresión e información. Cuando exista una obligación legal del RT, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al RT. Cuando sea necesario para la formulación, ejercicio o defensa de reclamaciones. Cuando existan razones de interés PÚBLICO en el ámbito de la salud pública. Cuando sea necesario para fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, en la medida en que el derecho pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos del tratamiento. Ejercicio del derecho: Cuando la supresión derive del ejercicio del derecho de oposición, el RT podrá conservar los datos identificativos del INTERESADO con el fin de impedir tratamientos futuros para fines de mercadotecnia directa. En el caso de fallecidos, este derecho lo podrán ejercitar las personas vinculadas al mismo por razones familiares o de hecho, así como sus herederos o las que hubiere designado expresamente para ello, excepto si el causante lo hubiese prohibido expresamente o así lo establezca una ley.
Supresión o seudonimización efectiva de los datos. Si existe una comunicación previa a DESTINATARIOS, informarles para que procedan a la supresión (excepto si es imposible o exige un esfuerzo desproporcionado). Derecho a la portabilidad de los datos. El INTERESADO tendrá derecho a que el RT transmita sus datos a otro RT o al mismo INTERESADO cuando el tratamiento se efectúe por medios AUTOMATIZADOS y se base en: El consentimiento del INTERESADO para fines específicos. La ejecución de un contrato o precontrato con el INTERESADO. Razones para dar curso a la solicitud del ejercicio del derecho: Cuando se den alguna de las circunstancias anteriormente relacionadas que obligan al RT a transmitir los datos personales. Razones para no dar curso a la solicitud del ejercicio del derecho: Cuando no se den ninguna de las circunstancias anteriormente relacionadas que obligan al RT a transmitir los datos personales. Cuando sea técnicamente imposible la transmisión. Cuando pueda afectar negativamente a los derechos y libertades de terceros. Cuando el tratamiento sea necesario para una misión de interés PÚBLICO fundamentado en la legislación vigente. Ejercicio del derecho:
Transmitir los datos a otro RT o al mismo INTERESADO. Con un formato estructurado de uso habitual y lectura mecánica. Derecho a la limitación del tratamiento. El INTERESADO tendrá derecho a que el RT marque sus datos con el fin de limitar el tratamiento, cuando: El INTERESADO impugne la exactitud de los datos. El tratamiento sea ilícito y el INTERESADO se oponga a la supresión de los datos y solicite en su lugar la limitación de su uso. El INTERESADO se haya opuesto al tratamiento, mientras se verifica si los motivos legítimos del RT prevalecen sobre los del INTERESADO. El RT ya no necesite los datos para los fines del tratamiento, pero el INTERESADO los necesite para el reconocimiento, ejercicio o defensa de un derecho en un procedimiento judicial. Razones para dar curso a la solicitud del ejercicio del derecho: Cuando se den alguna de las circunstancias anteriormente relacionadas que obligan al RT a limitar el tratamiento de los datos personales. Razones para no dar curso a la solicitud del ejercicio del derecho: Cuando no se den ninguna de las circunstancias anteriormente relacionadas que obligan al RT a limitar el tratamiento de los datos personales.
Ejercicio del derecho: Cuando un tratamiento esté limitado, deberá constar claramente en los sistemas de información del RT. Todo interesado que haya obtenido la limitación del tratamiento será informado por el RT antes del levantamiento de dicha limitación. Marcar los datos solicitados con el fin de limitar temporalmente su tratamiento. Si existe una comunicación previa a DESTINATARIOS, informarles para que procedan a limitar el tratamiento (excepto si es imposible o exige un esfuerzo desproporcionado). Justificación para el tratamiento de datos que estuviese limitado por este derecho: Porque el INTERESADO ha dado el consentimiento. Cuando exista la posibilidad de que el tratamiento afecte a la protección de los derechos de otra persona física o jurídica. Para la formulación, el ejercicio o la defensa de reclamaciones. Por un motivo importante de interés PÚBLICO fundamentado en la legislación vigente. Derecho de oposición al tratamiento. El INTERESADO tendrá derecho a oponerse, en cualquier momento, por motivos relacionados con su situación particular, al tratamiento de sus datos realizado por un RT, solo cuando el tratamiento: Se base en el: Interés legítimo del RT o un tercero.
Cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al RT. Tenga fines de: Mercadotecnia directa, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. De investigación científica o histórica o fines estadísticos y el tratamiento esté sujeto a garantías adecuadas. Razones para dar curso a la solicitud del ejercicio del derecho: Cuando se den alguna de las circunstancias anteriormente relacionadas que obligan al RT a dejar de tratar los datos personales Razones para no dar curso a la solicitud del ejercicio del derecho: Cuando no se den ninguna de las circunstancias anteriormente relacionadas que obligan al RT a dejar de tratar los datos personales. Cuando el RT acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones. Cuando tratándose de fines de investigación científica o histórica o fines estadísticos, el tratamiento sea necesario para el cumplimiento de una misión realizada por razones de interés público.
Ejercicio del derecho: En el contexto de la utilización de servicios de la sociedad de la información el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas. Derecho a no ser objeto de una DECISIÓN AUTOMATIZADA que produzca efectos jurídicos. Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (DA), incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar, salvo que la DA: Sea necesaria para la celebración o la ejecución de un contrato entre el interesado y el RT. Está autorizada por una Ley aplicable al RT y que establezca asimismo medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado, o se base en el consentimiento explícito del interesado. Razones para dar curso a la solicitud del ejercicio del derecho: Cuando no se den ninguna de las circunstancias anteriormente relacionadas que legitiman al RT a poder llevar a cabo DA. Razones para no dar curso a la solicitud del ejercicio del derecho:
Cuando se den alguna de las circunstancias anteriormente relacionadas que legitiman al RT a poder llevar a cabo DA. Ejercicio del derecho: Cuando el tratamiento esté legitimado mediante un consentimiento explícito o un contrato entre el RT y el INTERESADO, posibilitar el derecho a obtener la intervención humana por parte del RT y a que el INTERESADO pueda expresar su punto de vista e impugnar la decisión tomada. Una violación o brecha de seguridad es cualquier incidencia que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. Gestión de la violación El personal tiene la obligación de comunicar sin demora injustificada, cualquier brecha de seguridad de la que tenga conocimiento al responsable del tratamiento o al responsable de privacidad, según sea el caso, para su conocimiento y para la aplicación de medidas correctivas para remediar y mitigar los efectos que hubiera podido ocasionar. La persona que notifica la brecha deberá documentarla con una descripción detallada de la misma y la fecha y hora en que se ha producido o se ha tenido conocimiento de ella.
El conocimiento y no comunicación de una brecha de seguridad por parte del personal se considerará una falta contra la seguridad de los datos y podrá suponer el inicio de acciones legales, así como la reclamación de las indemnizaciones, sanciones y daños o perjuicios que el Responsable se vea obligado a atender a consecuencia de dicho incumplimiento. Registrar la violación Independientemente de que la brecha de seguridad pueda suponer o no un riesgo para los derechos y libertades del interesado, en DiPacket, S.L. siempre la documentamos, para que si la Autoridad de Control lo requiere pueda verificar que se cumple con lo establecido al respecto en la normativa de protección de datos; para ello disponemos de un registro de violaciones o brechas de seguridad automatizado que incluye la siguiente información: 1. Identificación de la brecha Código: identificador alfanumérico de la brecha. Incidente: breve descripción del incidente que ha originado la brecha. Fechas: de detección, de notificación, fecha en la que se produjo la brecha (indicando también su precisión). Responsabilidad: responsable, encargado y/o corresponsable del tratamiento. Personas que notifican la brecha: personas que han detectado la brecha y la notifican al responsable de seguridad/privacidad.
Personas de contacto: DPO, si existe, y/u otras personas que puedan aportar información sobre la brecha. 2. Tratamientos afectados Tratamientos: cualquiera de los incluidos en el listado de tratamientos que lleva a cabo DiPacket, S.L.. 3. Interesados y datos afectados Colectivos: para incluir los colectivos vinculados a los tratamientos afectados. Categorías de datos: para incluir las categorías de datos vinculadas a los tratamientos afectados. Nº de interesados y nº de registros: número aproximado de interesados y de registros afectados por la brecha. 4. Descripción de la brecha Detección de la brecha: descripción de cómo, es decir, a través de qué medio se tuvo conocimiento de la brecha. Tipo: confidencialidad, integridad y/o disponibilidad. Naturaleza de la brecha: descripción cronológica, con todo tipo de detalles, de todo lo acontecido, desde la detección hasta la resolución de la brecha, con fechas, intervinientes, causas, evidencias, etc. 5. Efectos ocasionados Consecuencias: descripción de las posibles consecuencias previstas. Medidas de seguridad previas: las adoptadas previas al incidente, destinadas a prevenir brechas. Medidas para subsanar la brecha: las adoptadas o propuestas para poner remedio a la brecha, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
6. Resolución de la brecha: Resolución: brecha resuelta o no, fecha de resolución y personas encargadas de ello. Recuperación de datos: información relativa al procedimiento de restauración, en caso de que hubiese sido necesario. 7. Determinación de la obligación de notificar y/o comunicar la brecha: Método propio y automatizado del sistema para ayudar a determinar el riesgo que puede suponer la brecha para los interesados y la obligación o no de notificar la brecha a la autoridad de control y/o comunicarla a los interesados. En este apartado se generarán los siguientes documentos: Informe sobre la determinación de la obligación de notificar/comunicar una brecha de seguridad. Cuando proceda, información necesaria para la notificación de una brecha de seguridad a la autoridad de control. Cuando proceda, modelo de comunicación de una brecha de seguridad a los interesados. 8. Documentos adjuntos Relación de documentos adjuntos relacionados con la brecha, por ejemplo, la denuncia a la policía, informe informático, pruebas, evidencias, etc. Notificar la violación a la AC Plazo para la notificación Sin dilación indebida. Máximo de 72 horas desde que se haya tenido constancia.
Pasadas las 72 horas, se deberá acompañar de una justificación motivada. Formulario de notificación (online): https://sedeagpd.gob.es/sede-electronica-web/vistas/infoSede/nbs/guiadoBrechasNotificacion.jsf Formulario de notificación (descarga): https://www.aepd.es/sites/default/files/2021-02/formulario-brechas.pdf Obligación de notificar a la AC la violación Es obligatorio para cualquier RT, siempre que la violación de seguridad pueda suponer un riesgo para los derechos y las libertades de las personas físicas, es decir siempre que la brecha de seguridad pueda producir daños o perjuicios a Ias personas físicas, tales como: Pérdida de control sobre los datos personales. Restricción de los derechos. Discriminación. Usurpación de identidad. Pérdidas financieras. Reversión no autorizada de la seudonimización. Daño para la reputación. Pérdida de la confidencialidad de los datos sujetos al secreto profesional. Cualquier otro perjuicio económico o social significativo para la persona física. No obligación de notificar a la AC la violación No es obligatorio para cualquier RT, cuando sea improbable que la brecha de seguridad de los datos personales constituya un riesgo para los derechos y las libertades de las personas físicas. Contenido de la notificación La naturaleza y contexto de la violación. Los posibles efectos y consecuencias de la violación.
Las medidas correctivas adoptadas o propuestas por el RT para remediar y mitigar los efectos ocasionados. Cuando sea posible: Las categorías y número de INTERESADOS afectados. Las categorías y número de registros afectados. Si es el caso, la identidad y los datos de contacto del DPO u otros contactos para obtener más información. Si no es posible facilitar toda la información en una comunicación, se notificará por etapas sin dilación indebida. Comunicar la violación al INTERESADO Plazo para la notificación Sin dilación indebida. Comunica-Brecha RGPD: recurso de la AEPD para valorar la obligación de informar a las personas afectadas por una brecha de seguridad. https://servicios.aepd.es/Comunica Obligación de comunicar al interesado la violación Es obligatorio para cualquier RT, cuando sea probable que presente un ALTO RIESGO para los derechos y libertades del INTERESADO. Cuando al RT le sea exigido por la AC. No obligación de comunicar al interesado la violación Cuando se han adoptado medidas técnicas y organizativas de protección apropiadas para hacer ininteligibles los datos a personas no autorizadas y que estas se han aplicado a los datos afectados. Cuando se han tomado medidas posteriores que garantizan que ya no sea probable un ALTO RIESGO para los derechos y libertades del INTERESADO.
Cuando supusiera un esfuerzo desproporcionado. En este caso, se podrá optar por una comunicación pública que sea igualmente efectiva para informar al INTERESADO. Contenido de la notificación Una descripción de la naturaleza de la violación. Las posibles consecuencias de la violación. Las medidas correctivas adoptadas o propuestas por el RT para remediar y mitigar los efectos ocasionados. Si es el caso, la identidad y los datos de contacto del DPO u otros contactos para obtener más información. Cuando se actúe como encargado del tratamiento El ENCARGADO tiene la obligación de ayudar al RESPONSABLE a garantizar el cumplimiento de las obligaciones establecidas en el RGPD, incluyendo la gestión, notificación y comunicación de las violaciones o brechas de datos personales. Todas brechas de seguridad de los datos personales de las que tenga conocimiento el ENCARGADO que afecten a los tratamientos encargados deberán notificarse al RESPONSABLE, sin perjuicio de las obligaciones adicionales que el ENCARGADO pueda haber adquirido en virtud del contrato de encargo de tratamiento. No es necesario que el ENCARGADO evalúe la probabilidad de riesgo derivado de la brecha de seguridad antes de informar al RESPONSABLE, esta evaluación le corresponde a este último. El ENCARGADO solo tiene que determinar si se ha producido una brecha y notificarlo al RESPONSABLE.
Dicha notificación deberá realizarla el ENCARGADO: Sin dilación indebida, y en cualquier caso antes del plazo máximo y a través del medio establecidos en el contrato de encargo suscrito con el RESPONSABLE. En cualquier caso, dicho plazo debería establecerse en función del riesgo de los tratamientos llevados a cabo por el ENCARGADO, y no debería ser superior a las 72 horas que el RGPD establece para la notificación de las brechas de datos personales a la Autoridad de Control. Incluyendo la información necesaria para que el RESPONSABLE pueda cumplir con sus obligaciones, en particular la de evaluar el riesgo de la brecha de datos personales y en su caso notificarla a la Autoridad de Control y/o comunicar a los afectados. La información contendrá como mínimo: Descripción de la naturaleza de la violación. Cuando sea posible: Categorías y el número aproximado de interesados afectados. Categorías y el número aproximado de registros de datos afectados. Posibles consecuencias. Medidas adoptadas o propuestas para remediar o mitigar los efectos. Datos de contacto donde pueda obtenerse más información (DPO, responsable de seguridad, etc.). El incumplimiento del deber del ENCARGADO de notificar al RESPONSABLE las brechas de seguridad de las que tuviera conocimiento se considera una infracción grave (art. 73.q LOPDGDD) El ENCARGADO que ha sido objeto de una brecha de datos personales únicamente podrá notificar en nombre del RESPONSABLE si así lo tiene establecido en un contrato o vínculo legal de similar índole. En todo caso, el RESPONSABLE debe ser previamente informado sobre la ocurrencia de la brecha de datos personales y todos los detalles relevantes de la misma.
En su caso, el ENCARGADO deberá realizar una notificación de brecha de datos personales por cada RESPONSABLE afectado, dado que una brecha en un ENCARGADO puede afectar de forma muy distinta a varios RESPONSABLES. Cuando la brecha de datos personales se produzca en un ENCARGADO y afecte por igual a los derechos y libertades de los interesados de diferentes RESPONSABLES a los que presta servicio, el ENCARGADO podrá realizar una única notificación de brecha de datos personales relacionando a todos los RESPONSABLES cuyos tratamientos se han visto afectados. Casuística de violaciones de seguridad Se puede producir una violación de la seguridad cuando, por cualquier motivo, sea intencionado o no, se vulnere la seguridad de los datos. Acceso a datos no autorizado: Encargo del tratamiento sin el contrato correspondiente. Acceso indiscriminado a impresoras, fotocopiadoras, etc. Acceso no autorizado a información confidencial. Por ejemplo, a datos de nóminas, currículums, embargos, imágenes de videovigilancia, etc. Acceso no autorizado a los sistemas informáticos. Comunicación de datos no autorizada: Transmisión ilícita de datos a un DESTINATARIO. Vulneración del secreto profesional. Publicación de imágenes sin autorización del INTERESADO.
Envío de correos electrónicos masivos sin ocultar los destinatarios (copia oculta). TRANSFERENCIA internacional de datos sin estar sujeta a una decisión de suficiencia de la UE o garantías adecuadas de protección de datos. Alteración de datos: Modificación de datos malintencionada. Falsificación de datos. Pérdida de información: Extravío u olvido de soportes. Robo o sustracción de información. Desinstalación de aplicaciones informáticas. Por causas del transporte. Reorganización de la empresa. Incendio, inundación u otras causas ajenas a la empresa. Podrían provocar una violación o brecha de seguridad la ausencia de medidas de seguridad como: Antivirus, antispam , antimalware , antiransomware , fireware , cifrado, seudonimización, etc. Identificación y autentificación para acceder a los sistemas informáticos. Mecanismos de seguridad para acceder al mobiliario o a departamentos con datos personales. Disposición de datos a la vista de personas no autorizadas (recepción, monitores, mesas, etc.). Algunas tipologías de casos que pueden dar lugar a una violación o brecha de seguridad son: 0-day (vulnerabilidad no conocida): vulnerabilidad que permite a un atacante el acceso a los datos en la medida en que es desconocida, estará disponible hasta que el fabricante o desarrollador la resuelva.
APT (ataque dirigido): ataques dirigidos normalmente para recabar información fundamental que permita continuar con ataques más sofisticados. Por ejemplo, una campaña de envío de email con software malintencionado a empleados de una empresa hasta conseguir que alguno de ellos lo instale en su equipo y proporcione una puerta de entrada al sistema. Denegación de servicio (DoS/DDoS): inunda de tráfico un sistema hasta que no sea capaz de dar servicio a los usuarios legítimos del mismo. Acceso a cuentas privilegiadas: el atacante consigue acceder al sistema mediante una cuenta de usuario con privilegios avanzados, lo que le confiere libertad de acciones. Previamente deberá haber conseguido el nombre de usuario y contraseña por algún otro método, por ejemplo APT. Código malicioso: piezas de software cuyo objetivo es infiltrase o dañar a un ordenador, servidor u otro dispositivo de red con finalidades muy diversas. Una de las posibilidades para que el código dañino alcance a una organización es que un usuario lo instale de forma involuntaria. Compromiso de la información: todos los incidentes relacionados con el acceso y fuga, modificación o borrado de información no pública.
Robo y/o filtración de datos: la pérdida/robo de dispositivos de almacenamiento con información. Desfiguración (Defacement): es un tipo de ATP que consiste en la modificación de la página web corporativa con la intención de colgar mensajes reivindicativos de algún tipo o cualquier otra intención. La operativa normal de la web queda interrumpida, produciéndose además daños reputacionales. Explotación de vulnerabilidades de aplicaciones: cuando un posible atacante logra explotar con éxito una vulnerabilidad existente en un sistema o producto consiguiendo comprometer una aplicación de la organización. Ingeniería social: son técnicas basadas en el engaño, normalmente llevadas a cabo a través de las redes sociales, que se emplean para dirigir la conducta de una persona u obtener información sensible. Por ejemplo, el usuario es inducido a pulsar sobre un enlace haciéndole pensar que es lo correcto. El artículo 5 del Reglamento (UE) 2016/679, de 27 de abril (RGPD), relativo a los principios del tratamiento, dispone: Artículo 5.1.d): los datos personales serán exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»).
Artículo 5.1.e): los datos personales serán mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»). Por lo que la Organización ha establecido un protocolo de actuación, de obligado cumplimiento para todo el personal de la misma, para cumplir dichos principios destinado a implementar procedimientos que permitan establecer sobre los datos personales tratados bajo su responsabilidad: Su exactitud, tomando todas las medidas razonables para garantizar que se rectifiquen o supriman los que sean inexactos, y La limitación de su plazo de conservación, garantizando que se limite a un mínimo estricto y que no se conservan más tiempo del necesario, estableciendo plazos para su supresión o revisión periódica.
Este protocolo tiene en cuenta los procedimientos que se desarrollan en los siguientes apartados, para: La actualización de los datos. La conservación de los datos. La supresión, eliminación y/o destrucción de datos. El responsable del tratamiento, o su representante, deberá poner a disposición de todo el personal de la Organización este protocolo para su aplicación y cumplimiento en todas las fases del tratamiento. La persona delegada de protección de datos o responsable de privacidad, según sea el caso, supervisará el cumplimiento del mismo. 2.1 Procedimientos El protocolo de actualización de datos cuenta con los siguientes procedimientos: Procedimientos de verificación periódica proactiva de la exactitud de los datos tratados en la organización. Solicitando directamente a los interesados la confirmación de la exactitud de los mismos. A través de la revisión de documentos y/o bases de datos internas de distintos departamentos, confirmando con el interesado cuando sea preciso. Procedimientos para que el propio interesado pueda actualizar directamente sus datos a través de herramientas adecuadas (internet, medios electrónicos, etc.). Procedimientos para atender las solicitudes del derecho de rectificación de los datos (art. 16 RGPD), por el cual el interesado tiene derecho a que el responsable rectifique sus datos sin demora injustificada cuando resulten inexactos y que se completen los que sean incompletos con respecto a los fines para los que se tratan, inclusive mediante una declaración rectificativa adicional (ver
Procedimientos para comunicar las actualizaciones a los destinatarios de los datos si los hubiese, con arreglo al art. 16 RGPD, salvo que sea imposible o exija un esfuerzo desproporcionado (art.19 2.2. Registros El protocolo de actualización de datos cuenta con los siguientes registros: Registro de las actualizaciones (fecha, causa, usuario, etc.) Registro de evidencias, con pruebas documentales de las actualizaciones 2.3. Operaciones de tratamiento Para los procedimientos y registros de actualización de datos personales se tendrán en cuenta las siguientes operaciones de tratamiento: Obtención de datos: Datos facilitados directamente por el interesado. Datos facilitados por terceros mediante la comunicación o transmisión de datos. Datos disponibles por el responsable porque los ha tratado previamente. Datos capturados de forma autónoma por dispositivos o aplicaciones. Registro de datos: Formularios electrónicos dispuestos en una aplicación local. Formularios electrónicos dispuestos en una aplicación por internet. Formularios en papel para su posterior registro electrónico. Comunicación mediante correo electrónico. Comunicación mediante correo postal. Comunicación mediante llamada telefónica. Fichas de datos en papel (tratamiento no automatizado). Conservación de datos: Datos conservados en sistemas simples de ficheros. Datos conservados en bases de datos estructuradas.
Datos conservados en bases de datos documentales. Datos ubicados en dispositivos locales propios. Datos ubicados en dispositivos externos propios (nube). Datos ubicados en dispositivos externos ajenos (nube). Procedimientos para realizar copias de seguridad periódicamente. Acceso a datos: Permisos para el acceso a datos (crear, consultar, modificar y eliminar). Permisos para usar la información (visualizar, copiar, imprimir, listar, agrupar, filtrar, calcular, analizar, enviar, exportar, etc.). 3.1. Criterios de conservación de datos La conservación de los datos se basa en los siguientes criterios: Mantenerlos durante no más tiempo del necesario para alcanzar los fines para los que fueron recabados, incluidos los fines de conservar los datos personales por una obligación legal impuesta al responsable del tratamiento y cuando ya no sea necesario para ello, se suprimirán con medidas de seguridad adecuadas para garantizar su anonimización o la destrucción total de los mismos. Se podrán conservar los datos durante períodos más largos siempre que: Se apliquen las medidas técnicas y organizativas que dispone el art. 89.1 RGPD a fin de proteger los derechos y libertades del interesado, y Se traten exclusivamente con fines:
De archivo en interés público. De investigación histórica o científica. Estadísticos. La Organización facilitará las herramientas adecuadas para suprimir los datos cuando los criterios de conservación así lo determinen, mediante: Procedimientos para facilitar al interesado el ejercicio del derecho de supresión de sus datos. Procedimientos para comunicar las supresiones a los destinatarios de los datos. Procedimientos para que el personal de la organización que los trate pueda suprimirlos o anonimizarlos, cuando sea preciso. Procedimientos para que el interesado, solo cuando sea posible, pueda suprimir directamente sus datos por internet. El derecho de supresión de los datos (art. 17 RGPD), por el cual el interesado tiene derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de sus datos personales, el cual estará obligado a suprimirlos sin dilación indebida cuando se den alguna de las circunstancias establecidas en el art. 17.1 RGPD (ver PROTOCOLO PARA EL EJERCICIO DE LOS DERECHOS La organización comunicara cualquier supresión de datos personales efectuada con arreglo al art. 17 RGPD a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado (art.19 RGPD).
3.2. Bloqueo de datos De conformidad con el artículo 32 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), el responsable del tratamiento está obligado a bloquear los datos cuando proceda a su rectificación o supresión, identificándolos y reservándolos para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido dicho plazo, deberá proceder a su destrucción. Para su puesta en práctica, se seguirá el PROTOCOLO PARA EL BLOQUEO DE LOS DATOS (LOPDGDD) que la Organización pone a disposición del personal autorizado para el tratamiento de datos. 3.3. Registros El protocolo de bloqueo de datos cuenta con los siguientes registros: Registro de datos bloqueados Registro de evidencias, con pruebas documentales de los bloqueos Cualquier documento físico o soporte digital que quiera ser eliminado y que incluya datos personales, debe ser destruido con una destructora de documentos o soportes digitales o retirado por una empresa homologada de destrucción de documentos y soportes digitales con certificación de destrucción.
Se deben llevar a cabo comprobaciones periódicas de los procesos de eliminación y/o destrucción de datos 4.1. Procedimientos Los procedimientos para la eliminación y/o destrucción de datos pueden ser: Datos conservados en formato digital: Eliminación semanal de los documentos contenidos en la Papelera. Revisión semanal de los archivos contenidos en carpetas temporales y Escritorio. Eliminación mensual de las copias de seguridad antiguas. Datos conservados en formato físico: Recolección inmediata de documentación expedida por las impresoras comunes. Destrucción de documentos mediante destructora de papel. Destrucción de soportes que contengan datos con medidas de seguridad. 4.2. Registros El protocolo para la eliminación y/o destrucción de datos cuenta con los siguientes registros: Registro de la información destruida (fecha, procedimiento, responsable, etc.). Registro de evidencias, con pruebas documentales de la destrucción (informes, certificados, etc.). El bloqueo de datos consiste en la identificación y reserva de los datos para la exigencia de posibles responsabilidades derivadas del tratamiento, adoptando medidas técnicas y organizativas para impedir su tratamiento, incluida su visualización. Excepción al tratamiento de datos bloqueados. Cuando sea para la puesta a disposición de los mismos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas, de:
Jueces y tribunales. Ministerio Fiscal. Administraciones Públicas competentes. AC, para la exigencia de posibles responsabilidades derivadas del tratamiento. El RT estará obligado a bloquear los datos personales cuyo tratamiento esté llevando a cabo, cuando tenga que suprimirlos o rectificarlos. Supresión: Cuando se den cualquiera de las circunstancias contempladas en el art. 17 RGPD que obliguen a suprimir los datos personales. Rectificación: Cuando el RT tenga que rectificar los datos porque sean inexactos o incompletos. Esto no significa que haya que bloquear los datos actualizados, completados o corregidos, los que se deben bloquear son los datos que estaban incompletos, inexactos o desactualizados, es decir la versión anterior a la rectificación para garantizar la trazabilidad de los mismos y permitir su acceso en caso de ser necesario para la excepción antes expuesta. En los casos en que la configuración del sistema de información no permita el bloqueo de los datos personales o se requiera una adaptación que implique un esfuerzo desproporcionado; se procederá a un copiado seguro de la información de modo que conste evidencia digital, o de otra naturaleza, que permita acreditar la autenticidad de la misma, la fecha del bloqueo y la no manipulación de los datos durante el mismo Cuando lo fije la AEPD y las autoridades autonómicas de protección de datos, dentro del ámbito de sus respectivas competencias, en los supuestos en que, atendida la naturaleza de los datos o el hecho de que se refieran a un número particularmente elevado de afectados, su mera conservación, incluso bloqueados, pudiera:
Generar un riesgo elevado para los derechos de los afectados, o Implicar un coste desproporcionado para el responsable del tratamiento. Cuando lo establezca alguna normativa específica, por ejemplo: En tratamientos relacionados con la realización de determinadas operaciones mercantiles, cuando estas no llegaran a concluirse (art. 21.2 LOPDGDD). En tratamientos con fines de videovigilancia (art. 22.3 LOPDGDD) En tratamientos para los sistemas internos de información (art. 32.4 Ley 2/2023, reguladora de la protección del informante) Etc. Conforme al artículo 72.1.n) de la LOPDGDD se considera una infracción muy grave y prescribirá a los tres años el incumplimiento de la obligación de bloqueo de los datos cuando la misma sea exigible, y conforme al artículo 83.5 del RGPD se sancionarán, en función de las circunstancias de cada caso individual, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. De aplicación cuando se trate cualquier información relativa a una persona física, identificada o identificable, por la cual pueda determinarse, directa o indirectamente, su identidad.
El tratamiento de categorías de datos BÁSICOS comporta el cumplimiento de todas las disposiciones del RGPD, excepto las relativas a las categorías de datos ESPECIALES o PENALES, teniendo en cuenta las siguientes particularidades: Principios del tratamiento Los datos personales serán tratados con: Licitud: lealtad y transparencia con el INTERESADO. Limitación de los fines: recogidos con fines determinados, explícitos y legítimos y no tratados posteriormente de manera incompatible con dichos fines. Minimización de los datos: adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Exactitud: actualizados sin demora con respecto a los fines para los que se tratan. Limitación del plazo de conservación: mantenidos de forma que se permita la identificación de los INTERESADOS durante no más tiempo del necesario para los fines por los que se tratan. Excepto si el tratamiento se realiza exclusivamente para fines de archivo en interés público o para investigación histórica, estadística o científica. Integridad y confidencialidad: implementando medidas técnicas y organizativas adecuadas para proteger los datos contra tratamientos no autorizados o ilícitos y su pérdida, destrucción o daño accidentales.
Responsabilidad proactiva: siendo responsable y capaz de demostrar el cumplimiento de todos los principios del tratamiento. Legitimación del tratamiento 1. Tratamientos con necesidad de consentimiento Consentimiento explícito (firmado). Consentimiento inequívoco (confirmado por medios electrónicos). Condiciones para que un consentimiento sea considerado válido: Facilitar la información del tratamiento al INTERESADO. Informar al INTERESADO de que tiene derecho a retirar el consentimiento en cualquier momento sin que afecte al tratamiento efectuado hasta entonces. Debe ser tan fácil retirar como dar el consentimiento. El RT asumirá la prueba del consentimiento. Si este se realiza por escrito, deberá distinguirse claramente de otros asuntos. El consentimiento no será lícito si se condiciona a una prestación de servicios sin ser necesario para su realización. El consentimiento basado en un contrato debe guardar una relación entre las finalidades y la relación contractual. El consentimiento para varias finalidades precisará que conste de manera específica e inequívoca que se otorga para todas ellas. Los consentimientos que infrinjan parcialmente el RGPD serán considerados nulos. Tratamiento de datos de menores: La edad de los menores para el tratamiento de datos se establece en 14 años (en otros países de la UE puede variar entre 13 y 16 años).
El consentimiento para tratar datos de menores será legítimo si consta el del titular de la patria potestad o tutela. Para mayores de 14 años será suficiente el consentimiento del menor, excepto si la ley exige la asistencia de los titulares de la patria potestad o tutela. La oferta directa de servicios de la sociedad de la información (e-commerce ) a menores deberá obtenerse con el consentimiento de su representante legal. La información del tratamiento dirigida a un menor deberá facilitarse con un lenguaje claro, sencillo y adecuado al receptor. 2. Tratamientos sin necesidad de consentimiento Contrato o precontrato con el INTERESADO. Cuando el tratamiento esté fundamentado en la legislación vigente por: Obligación jurídica a la que esté sujeto el RT. Interés legítimo del RT o de terceros, siempre que no prevalezcan los intereses o los derechos y libertades del INTERESADO, especialmente si es un menor. Procedencia legítima de archivos de acceso público obtenidos de una fuente pública. Cometido de interés PÚBLICO. Cuando el INTERESADO haya hecho manifiestamente públicos sus datos. Cuando sea necesario para la protección de los intereses vitales del INTERESADO u otra persona física.
3. Tratamientos sin identificación del INTERESADO Cuando los fines del tratamiento no requieran la identificación del INTERESADO (seudonimización), el RT o ET no deberá obtener información adicional para identificarle, excepto si es necesario para cumplir el RGPD. Cuando el RT sea capaz de demostrar que no puede identificar al INTERESADO, se lo comunicará y dejarán de aplicarse los derechos del interesado. Exactitud de los datos No se imputará la inexactitud de los datos al RT cuando: Hubiesen sido obtenidos directamente del INTERESADO. Hubiesen sido obtenidos por un mediador o intermediario (cuando el sector de actividad contemple su intervención). En este caso, el mediador o intermediario asumirá las responsabilidades si los datos no corresponden con los facilitados por el INTERESADO. Hubiesen sido obtenidos mediante el ejercicio del derecho a la portabilidad. Fuesen obtenidos de un registro público. Protección de datos desde el diseño y por defecto Diseñar la protección de datos de manera que se pueda garantizar por defecto la aplicación efectiva de los principios del tratamiento mediante las siguientes medidas de seguridad: Finalidad del tratamiento: No tratados posteriormente de manera incompatible con dichos fines.
Fines determinados, explícitos y legítimos. Minimización de datos: Adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Exactitud de datos Mecanismos adecuados para actualizar los datos. Confidencialidad del tratamiento: Contratos de confidencialidad con el personal autorizado. Contratos de protección de datos con las empresas externas que intervienen en el tratamiento. Garantías adecuadas para la transmisión de datos a DESTINATARIOS. Garantías adecuadas y vigentes para realizar TRANSFERENCIAS internacionales de datos. Integridad y seguridad de los datos: Restringir el acceso a los datos a personas no autorizadas. Medidas para que los datos no sean accesibles a un número indeterminado de personas sin la intervención humana. Garantizar la seguridad física de los datos. Garantizar la disponibilidad y resiliencia permanentes de los sistemas de tratamiento. Garantizar la restauración de datos mediante copias de respaldo. Garantizar la supresión efectiva de los datos o la seudonimización de los mismos. Derechos del INTERESADO: Organizados de manera que posibilite el ejercicio de los derechos del INTERESADO. Evaluación de impacto (si existe) : Medidas adecuadas para la aplicación de los resultados de la evaluación de impacto.
Análisis de riesgos Implementar medidas técnicas y organizativas apropiadas para la protección de los derechos y libertades de los INTERESADOS. Garantizar un nivel de seguridad adecuado al riesgo que entrañe el tratamiento, teniendo en cuenta: El estado de la técnica. Los costes de aplicación. La naturaleza, alcance, contexto y fines del tratamiento. Evaluar el nivel de seguridad a implementar, teniendo en cuenta los siguientes riesgos: La destrucción accidental o ilícita de datos. La pérdida, alteración o comunicación no autorizada. El acceso a los datos cuando sean transmitidos, conservados u objeto de algún otro tipo de tratamiento. Aplicar, según corresponda la probabilidad y gravedad del riesgo, las siguientes medidas técnicas y organizativas para garantizar la seguridad del tratamiento: La seudonimización y el cifrado de datos personales. La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios del tratamiento. La capacidad de garantizar que el personal autorizado realice el tratamiento siguiendo las instrucciones del RT o ET o por una obligación legal (fundamentada en la legislación vigente). La capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida en caso de un incidente físico o técnico.
Establecer procesos de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas adoptadas para garantizar la seguridad del tratamiento. Identificar si el tratamiento comporta un ALTO RIESGO Se requiere realizar una DPIA cuando: Se utilicen nuevas tecnologías y su naturaleza, alcance, contexto o fines del tratamiento prevean un El tratamiento se base en una elaboración AUTOMATIZADA de PERFILES que puedan afectar significativamente a los INTERESADOS con efectos jurídicos o de algún otro modo. Exista un tratamiento a gran escala basado en: La observación habitual y sistemática de una zona de acceso público. Categorías ESPECIALES de datos. Datos relativos a condenas e infracciones PENALES o medidas de seguridad conexas. Sea exigido por la Autoridad de control (AC) Si existe un tratamiento a gran escala contemplado en el apartado anterior, también deberá designarse un Delegado de Protección de Datos (DPO). Se requiere valorar si procede realizar una DPIA cuando: Pudiera generar alguna de las siguientes situaciones que afecten a los INTERESADOS: Discriminación. Usurpación de identidad o fraude. Pérdidas financieras. Daño para la reputación. Pérdida de confidencialidad de datos sujetos al secreto profesional.
Reversión no autorizada de la seudonimización. Perjuicio económico, moral o social significativo. Pudiera privar a los INTERESADOS de sus derechos y libertades o impedirles el ejercicio del control sobre sus datos personales. Se refiera a categorías de datos ESPECIALES, PENALES o de comisión de infracciones administrativas, y no sea meramente incidental o accesorio. Implique una evaluación de aspectos personales con el fin de crear o utilizar PERFILES mediante el análisis o la predicción de aspectos referidos a: Rendimiento en el trabajo Situación económica Salud Preferencias o intereses personales Fiabilidad o comportamiento Solvencia financiera Localización o sus movimientos Se refiera a los siguientes colectivos de personas: En situación de especial vulnerabilidad Menores de edad Discapacitados Implique a un gran número de afectados o conlleve la recogida de una gran cantidad de datos personales. Sea objeto de una transferencia INTERNACIONAL de datos, cuando se realice con carácter habitual y sin un nivel adecuado de protección. Esté previsto en códigos de conducta o estándares definidos por esquemas de certificación. Registro de las actividades del tratamiento El Registro de actividades se podrá organizar en torno a conjuntos estructurados de datos (Ficheros).
Cuando se haya designado un DPO, el RT o ET deberán comunicarle cualquier modificación de su contenido. Los RT, o sus Representantes, deberán poner el Registro de actividades a disposición de la AC cuando esta lo solicite y deberán cooperar con ella en el desempeño de sus funciones. El Registro de actividades es obligatorio para cualquier RT o ET que concurra en alguna de las siguientes condiciones: Empleen a un mínimo de 250 personas. Realicen tratamientos que puedan suponer un riesgo para los INTERESADOS. El tratamiento no tenga un carácter ocasional. Traten categorías ESPECIALES de datos. Traten datos relativos a condenas y delitos PENALES. Registro de actividades para el RT: Los RT deberán llevar y conservar actualizado un registro de las actividades de tratamiento efectuadas bajo su responsabilidad, en formato electrónico, que contenga, como mínimo: Nombre y datos de contacto del RT y, si es el caso, del Representante, DPO y CoRT. Fines del tratamiento. Descripción de las categorías de INTERESADOS. Descripción de las categorías de datos. Categorías de DESTINATARIOS a quienes se comunicaron o comunicarán los datos personales, incluidos los de terceros países u organizaciones internacionales.
Identificación de las TRANSFERENCIAS internacionales de datos. Cuando sea posible: Plazos previstos para la supresión de las diferentes categorías de datos. Descripción general de las medidas técnicas y organizativas de seguridad. Registro de actividades para el ET: Los ET deberán llevar y conservar actualizado un registro de las actividades de tratamiento efectuadas bajo su responsabilidad, en formato electrónico, que contenga, como mínimo: Nombre y datos de contacto del ET y de cada RT o CoRT por cuenta del quien actúe el ET y, si es el caso, de los Representantes y DPO. Categorías de tratamientos efectuados por cuenta de cada RT. Fines del tratamiento. Categorías de INTERESADOS. Categorías de datos. Categorías de DESTINATARIOS a quienes se comunicaron o comunicarán los datos personales, incluidos los de terceros países u organizaciones internacionales. Identificación de las TRANSFERENCIAS internacionales de datos. Cuando sea posible: Descripción general de las medidas técnicas y organizativas de seguridad. Razón social Marca comercial Actividad Dirección Teléfono E-mail DPO Tratamiento 1 CLIENTES Y Nombre 1 SEDE PRINCIPAL 41 Desarrollo de software 638 56 00 41 soft@bipaquet.es Descripción Tipo Categorías de datos Colectivos tratamiento Sistema de Gestión comercial con clientes y proveedores. Incluye datos de contacto de personas físicas que presten servicios a una persona jurídica, inclusive los profesionales individuales RT BÁSICO Proveedores, Clientes y usuarios Mixto Registro de las obligaciones fiscales y contables sujetas a la actividad económica RT BÁSICO Proveedores, Clientes y usuarios Mixto Comunicación, información y gestión sobre productos y servicios. Incluye contactos web y redes sociales
Personas de contacto, Clientes y usuarios, Solicitantes Mixto Delegaciones Dirección Población Provincia Derechos NAVACERRADA, 51 Madrid Madrid Sí Nombre Delegaciones 1 OFICINA 1 SEDE PRINCIPAL Nombre ADOBE ACROBAT CORREO ELECTRÓNICO GESTIÓN COMERCIAL GESTIÓN CONTABLE GESTIÓN DE PRIVACIDAD MICROSOFT OFFICE Departamento Nombre 1 OFICINA PC OFICINA Departamento Nombre 1 OFICINA ARM OFICINA 42 Departamentos Descripción Tratamiento Atención comercial y administrativa Software Tipo Departamentos Tratamiento Oficina 1 OFICINA Gestión comercial 1 OFICINA Gestión comercial 1 OFICINA Gestión contable 1 OFICINA 2 FISCAL Y CONTABLE Gestión administrativa 1 OFICINA No contiene datos personales Oficina 1 OFICINA Hardware Tipo Cantidad Función Tratamiento Ordenador 1 Administración Mobiliario Tipo Cantidad Función Tratamiento Armario 1 Administración 1 OFICINA EST OFICINA Estantería 1 Administración Soportes Departamento Nombre Tipo Cantidad Función Tratamiento HDD CIA portátil Disco duro 1 Imágenes de videovigilancia No contiene datos personales 1 OFICINA USB BACKUP Memoria USB 1 Copia de seguridad Usuario Cargo y nombramientos Acceso a departamentos Acceso a tratamientos Tratar fuera Dominguez Valdes Alberto (16655753G) Representante legal Firma contratos Responsable seguridad Responsable derechos Responsable archivos Autorizado delegar Empresa Servicios prestados / Finalidad del tratamiento Acceso a tratamientos
Madrid rgpd@privaram.com Adaptación y mantenimiento a las normativas de privacidad No existen 1. Identificación de la organización Responsable del tratamiento De conformidad con lo dispuesto en el Reglamento (UE) 2016/679, de 27 de abril de 2016, la organización Responsable del tratamiento es quien determina los fines y los medios del tratamiento de datos personales (Ficheros). Razón social DiPacket, S.L. Marca comercial Actividad Desarrollo de software Dirección C/ EMBALSE DE NAVACERRADA, 51 - 28051 Madrid (Madrid) ESPAÑA Teléfono 638 56 00 41 E-mail soft@bipaquet.es DPO 2. Identificación de los tratamientos de datos personales Un fichero es un conjunto estructurado de datos personales accesibles con arreglo a criterios determinados y susceptibles de tratamiento para un fin específico. Tratamiento Descripción Tipo Sistema Categoría Gestión comercial con clientes y proveedores. Incluye datos de contacto de personas físicas que presten servicios a una persona jurídica, inclusive los profesionales individuales Responsable Mixto BÁSICO FISCAL Y CONTABLE Registro de las obligaciones fiscales y contables sujetas a la actividad económica Responsable Mixto BÁSICO CONTACTOS Comunicación, información y gestión sobre productos y servicios. Incluye contactos web y redes sociales Responsable Mixto BÁSICO 3. Protección de datos desde el diseño y por defecto De conformidad con el artículo 25 del Reglamento (UE) 2016/679, de 27 de abril de 2016 (RGPD), la protección de datos desde el diseño y por defecto se basa en la implementación de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que entrañe el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento.
El Responsable del tratamiento ha analizado el cumplimiento de las siguientes medidas de seguridad, desde el diseño y por defecto, en todas las fases del tratamiento: Finalidad del tratamiento: Tratamiento de los datos para fines determinados, explícitos y legítimos. No realización de tratamientos posteriores de manera incompatible con dichos fines. Minimización de datos: Obtención de datos adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Exactitud de datos Existencia de mecanismos adecuados para actualizar los datos. Confidencialidad del tratamiento: Existencia de acuerdos de confidencialidad con el personal autorizado. Existencia de contratos de protección de datos con los intervinientes en el tratamiento (encargados del tratamiento, corresponsables del tratamiento y destinatarios de datos). Existencia de transmisiones de datos a países fuera de la UE. Integridad y seguridad de los datos: Existencia de medidas de seguridad en los equipos y soportes informáticos, mobiliario y departamentos que contienen datos personales para restringir el acceso a personas no autorizadas y evitar que los datos sean accesibles a un número indeterminado de personas sin la intervención humana. Existencia de medidas adecuadas para garantizar permanentemente la integridad y seguridad física de los datos, la disponibilidad y resiliencia de los sistemas de tratamiento, la restauración de datos mediante copias de respaldo y la supresión efectiva de los datos o la seudonimización de los mismos.
Existencia de un protocolo para actuar ante las brechas de seguridad detectadas y, en el caso de producirse una violación de datos, proceder a activar los mecanismos necesarios para mitigar los riesgos que afecten a los derechos y libertades de los interesados, así como los procedimientos para la notificación de la misma a la autoridad de control y la comunicación a los interesados si fuese necesario. Derechos del interesado: Existencia de un protocolo para posibilitar el ejercicio de los derechos del interesado y resolver sin dilación las solicitudes recibidas. 4. Análisis de los riesgos del tratamiento De conformidad con el artículo 32 del Reglamento (UE) 2016/679, de 27 de abril de 2016 (RGPD), se ha analizado el nivel de seguridad a implantar en la Organización para garantizar la protección de datos, teniendo en cuenta los altos riesgos que pueda tener el tratamiento para los derechos y libertades de los interesados, a consecuencia de: La destrucción accidental o ilícita de datos. La pérdida, alteración o comunicación no autorizada. El acceso a los datos cuando sean transmitidos, conservados u objeto de algún otro tipo de tratamiento.
Para ello, se ha analizado la probabilidad/gravedad de riesgos que conlleva el tratamiento en seis apartados: 1. 2. 3. 4. Estructura de datos. Cumplimiento normativo. Organización. Recursos. 5. 6. Seguridad desde el diseño y por defecto. Amenazas. La probabilidad/gravedad de riesgos se ha clasificado de la siguiente forma: 1. 2. 3. 4. 5. Muy bajo (tratamiento sin riesgos) Bajo (tratamiento con pocos riesgos y asumible si se cumple la normativa de protección de datos) Medio (tratamiento susceptible de algún riesgo, que precisa de procesos de verificación de las medidas adoptadas) Alto (tratamiento susceptible de un alto riesgo, que precisa aplicar medidas adecuadas de seguridad y valorar la necesidad de realizar una evaluación de impacto) Muy Alto (tratamiento con un alto riesgo, que precisa realizar una evaluación de impacto) En las tablas siguientes se detallan todas las actividades de tratamiento de manera que se identifican los riesgos iniciales (en el momento del análisis), las medidas de seguridad adoptadas y los riesgos finales (una vez aplicadas dichas medidas). En el apartado 6 se detallan las amenazas identificadas en los apartados anteriores cuando el riesgo inicial es medio, alto o muy alto.
Aplicación Finalidades Gestión contable, fiscal y administrativa Origen y procedencia de los datos El mismo interesado o su representante legal Colectivos o categorías de interesados Proveedores Clientes y usuarios Datos de carácter identificativo DNI/NIF/NIE/Pasaporte Nombre y apellidos Dirección postal o electrónica Teléfono Firma manual Otros datos tipificados Características personales Circunstancias sociales Información comercial Transacciones de bienes y servicios Sistema de tratamiento Mixto Aplicación Finalidades Gestión contable, fiscal y administrativa Origen y procedencia de los datos El mismo interesado o su representante legal Colectivos o categorías de interesados Proveedores Clientes y usuarios Datos de carácter identificativo DNI/NIF/NIE/Pasaporte Nombre y apellidos Dirección postal o electrónica Teléfono Sistema de tratamiento Mixto Categorías de destinatarios de cesiones Bancos, cajas de ahorro y cajas rurales Administración tributaria Aplicación Finalidades Publicidad y prospección comercial Origen y procedencia de los datos El mismo interesado o su representante legal Colectivos o categorías de interesados Personas de contacto Clientes y usuarios Solicitantes Datos de carácter identificativo DNI/NIF/NIE/Pasaporte Nombre y apellidos Dirección postal o electrónica Teléfono Otros datos tipificados Información comercial Sistema de tratamiento Mixto Concepto Aplicación Medidas Cumplimiento Principios del tratamiento Licitud y lealtad (legitimación del tratamiento) Por un INTERÉS LEGÍTIMO del Responsable del tratamiento o Tercero (artículo 6.1.f GDPR) Asegurarse de que el tratamiento sea pertinente y adecuado y de que se estime necesario o conveniente para el desarrollo de la actividad del Responsable, siempre y cuando no prevalezcan los intereses o los derechos y libertades del interesado, especialmente si es un niño.
Si Transparencia (transparencia de la información) Se facilita la información de forma clara por ESCRITO o por MEDIOS Asegurarse de que se facilite la información del tratamiento de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Si Limitación de la finalidad (finalidad del tratamiento) Gestión COMERCIAL Si Minimización de datos (adecuados, pertinentes y limitados a los fines) Obtención de datos ADECUADOS, PERTINENTES Y LIMITADOS como mínimo para alcanzar los fines Asegurarse de que los datos obtenidos sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. No se tratarán datos innecesarios para alcanzar los fines, por lo que se deberá eliminar la información que no se precise. Si Exactitud (actualización de datos) EXISTEN PROCEDIMIENTOS para la actualización de datos Asegurarse de que se hayan implementado procedimientos técnicos u organizativos para actualizar los datos. Si Limitación del plazo de conservación (conservación de datos) Conservados durante no más tiempo del necesario para mantener el fin del tratamiento o mientras existan prescripciones legales que dictaminen su custodia Revisar periódicamente que siga existiendo una relación indefinida entre RT e Interesado para mantener el fin del tratamiento.
Si Integridad y confidencialidad (seguridad de los datos) EXISTEN MEDIDAS adecuadas para proteger los datos contra tratamientos no autorizados y pérdidas o destrucción Asegurarse de que se hayan implementado medidas técnicas y organizativas adecuadas para proteger los datos. Si Responsabilidad del tratamiento Personal autorizado Los datos son tratados por el PERSONAL de la organización y CONFIDENCIALIDAD con instrucciones del tratamiento Asegurarse de que el personal autorizado para tratar datos haya firmado los acuerdos de confidencialidad y de que se guarden en un lugar seguro. Si Encargados del tratamiento (ET) Los datos NO SON TRATADOS por Encargados del tratamiento Si Corresponsables del tratamiento (CoRT) Los datos NO SON TRATADOS por Corresponsables del tratamiento Si Destinatarios de datos Los datos NO SON COMUNICADOS a terceros, salvo obligación legal Si Política de información Información básica del tratamiento Los datos SE OBTIENEN DEL INTERESADO y SE INFORMA del Responsable, finalidad, base jurídica, criterios de conservación, comunicación de datos y derechos del interesado Asegurarse de que se facilite la información del tratamiento al interesado. Si Comunicación de la información al interesado Los datos SE OBTIENEN DEL INTERESADO y SE COMUNICA la información previamente a la obtención de los datos Asegurarse de que se comunique la información del tratamiento previamente a la obtención de datos.
Si Comunicación de datos a terceros Se informa de que NO SE COMUNICAN los datos a terceros, salvo por obligación legal Si Política de seguridad Derechos de los interesados Los datos están organizados de manera que ES POSIBLE dar respuesta al ejercicio de los derechos del interesado. Asegurarse de que los datos estén estructurados de manera efectiva para el ejercicio de los derechos de los interesados. Si Desde el diseño y por defecto SE HAN IMPLEMENTADO medidas adecuadas para la protección de datos desde el diseño y por defecto Asegurarse de que las medidas implementadas sean las adecuadas. Si Riesgos del tratamiento SE HA ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO RIESGO para los derechos y libertades de los interesados Se ha comprobado que el análisis de riesgos efectuado no determine la existencia de amenazas con la probabilidad de un alto riesgo para los derechos y libertades de los interesados. Si Violaciones de la seguridad EXISTE un protocolo de actuación en caso de producirse una violación de la seguridad Asegurarse de que exista un protocolo de actuación para el caso que se produzca una violación de seguridad y de que se haya puesto en conocimiento del personal de la organización.
Si Medidas de protección de datos Acceso a documentos SE APLICAN medidas adecuadas para impedir el acceso a personas no autorizadas Asegurarse de que las medidas aplicadas impidan el acceso a personas no autorizadas. Si Acceso a equipos y redes informáticas SE ACCEDE mediante usuario y contraseña personalizados Se deberá llevar un control actualizado del personal con acceso a los equipos y redes informáticas. Si Seguridad de la contraseña Se aplican medidas de seguridad (cifrado, combinación de caracteres, cambio periódico, etc.) Comprobar que las medidas aplicadas son adecuadas. Si Protección de equipos y redes informáticas SE HAN INSTALADO dispositivos y/o aplicaciones para proteger los equipos informáticos y se mantienen actualizados Comprobar que los dispositivos y/o aplicaciones que protegen los equipos informáticos se mantienen actualizados (antivirus, antispam , firewall , etc.) Si Copias de respaldo SE REALIZAN copias de seguridad externas, como mínimo semanalmente, y se guardan con medidas de seguridad Comprobar que se realicen copias de seguridad regularmente y que se guarden con medidas de seguridad. Si Transporte y transmisión de datos LO REALIZA personal autorizado con medidas de seguridad Asegurarse de que el transporte o transmisión de datos lo realice personal autorizado y de que las medidas de seguridad adoptadas sean adecuadas.
Si Conservación de datos Se guardan en mobiliario o departamentos SIN ACCESO DIRECTO a los datos Asegurarse de que no se pueda acceder directamente a los datos evitando dejar información al alcance de personas no autorizadas. Si Destrucción de datos SE DESTRUYEN o suprimen con medidas de seguridad (destructora, formateo, empresa homologada de residuos, etc.) Asegurarse de que se destruyan o supriman con medidas de seguridad adecuadas. Si Concepto Aplicación Medidas Cumplimiento Principios del tratamiento Licitud y lealtad (legitimación del tratamiento) Por una OBLIGACIÓN LEGAL del Responsable del tratamiento (artículo 6.1.c GDPR) Asegurarse de que la obligación esté fundamentada en la legislación vigente y de que las cesiones también. Si Transparencia (transparencia de la información) Se facilita la información de forma clara por ESCRITO o por MEDIOS Asegurarse de que se facilite la información del tratamiento de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Si Limitación de la finalidad (finalidad del tratamiento) Gestión CONTABLE, FISCAL Y ADMINISTRATIVA Si Minimización de datos (adecuados, pertinentes y limitados a los fines) Obtención de datos ADECUADOS, PERTINENTES Y LIMITADOS como mínimo para alcanzar los fines Asegurarse de que los datos obtenidos sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. No se tratarán datos innecesarios para alcanzar los fines, por lo que se deberá eliminar la información que no se precise.
Si Exactitud (actualización de datos) EXISTEN PROCEDIMIENTOS para la actualización de datos Asegurarse de que se hayan implementado procedimientos técnicos u organizativos para actualizar los datos. Si Limitación del plazo de conservación (conservación de datos) Conservados mientras existan prescripciones legales que dictaminen la custodia Asegurarse de que exista una obligación que esté fundamentada en la legislación vigente. Si Integridad y confidencialidad (seguridad de los datos) EXISTEN MEDIDAS adecuadas para proteger los datos contra tratamientos no autorizados y pérdidas o destrucción Asegurarse de que se hayan implementado medidas técnicas y organizativas adecuadas para proteger los datos. Si Responsabilidad del tratamiento Personal autorizado Los datos son tratados por el PERSONAL de la organización y CONFIDENCIALIDAD con instrucciones del tratamiento Asegurarse de que el personal autorizado para tratar datos haya firmado los acuerdos de confidencialidad y de que se guarden en un lugar seguro. Si Encargados del tratamiento (ET) Los datos SON TRATADOS por Encargados del tratamiento y EXISTEN CONTRATOS que garanticen medidas de seguridad adecuadas para la protección de datos y los derechos de los interesados Asegurarse de que los Encargados del tratamiento hayan firmado los contratos de protección de datos y de que se guarden en un lugar seguro.
Si Corresponsables del tratamiento (CoRT) Los datos NO SON TRATADOS por Corresponsables del tratamiento Si Destinatarios de datos Los datos NO SON COMUNICADOS a terceros, salvo obligación legal Si Política de información Información básica del tratamiento Los datos SE OBTIENEN DEL INTERESADO y SE INFORMA del Responsable, finalidad, base jurídica, criterios de conservación, comunicación de datos y derechos del interesado Asegurarse de que se facilite la información del tratamiento al interesado. Si Comunicación de la información al interesado Los datos NO SE OBTIENEN DEL INTERESADO y no se comunica la información porque el tratamiento está Asegurarse de que el tratamiento esté fundamentado en la legislación vigente. Si Comunicación de datos a terceros Se informa de que NO SE COMUNICAN los datos a terceros, salvo por obligación legal Si Política de seguridad Derechos de los interesados Los datos están organizados de manera que ES POSIBLE dar respuesta al ejercicio de los derechos del interesado. Asegurarse de que los datos estén estructurados de manera efectiva para el ejercicio de los derechos de los interesados. Si Desde el diseño y por defecto SE HAN IMPLEMENTADO medidas adecuadas para la protección de datos desde el diseño y por defecto Asegurarse de que las medidas implementadas sean las adecuadas. Si Riesgos del tratamiento SE HA ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO RIESGO para los derechos y libertades de los interesados Se ha comprobado que el análisis de riesgos efectuado no determine la existencia de amenazas con la probabilidad de un alto riesgo para los derechos y libertades de los interesados.
Si Violaciones de la seguridad EXISTE un protocolo de actuación en caso de producirse una violación de la seguridad Asegurarse de que exista un protocolo de actuación para el caso que se produzca una violación de seguridad y de que se haya puesto en conocimiento del personal de la organización. Si Medidas de protección de datos Acceso a documentos SE APLICAN medidas adecuadas para impedir el acceso a personas no autorizadas Asegurarse de que las medidas aplicadas impidan el acceso a personas no autorizadas. Si Acceso a equipos y redes informáticas SE ACCEDE mediante usuario y contraseña personalizados Se deberá llevar un control actualizado del personal con acceso a los equipos y redes informáticas. Si Seguridad de la contraseña Se aplican medidas de seguridad (cifrado, combinación de caracteres, cambio periódico, etc.) Comprobar que las medidas aplicadas son adecuadas. Si Protección de equipos y redes informáticas SE HAN INSTALADO dispositivos y/o aplicaciones para proteger los equipos informáticos y se mantienen actualizados Comprobar que los dispositivos y/o aplicaciones que protegen los equipos informáticos se mantienen actualizados (antivirus, antispam , firewall , etc.) Si Copias de respaldo SE REALIZAN copias de seguridad externas, como mínimo semanalmente, y se guardan con medidas de seguridad Comprobar que se realicen copias de seguridad regularmente y que se guarden con medidas de seguridad.
Si Transporte y transmisión de datos LO REALIZA personal autorizado con medidas de seguridad Asegurarse de que el transporte o transmisión de datos lo realice personal autorizado y de que las medidas de seguridad adoptadas sean adecuadas. Si Conservación de datos Se guardan en mobiliario o departamentos SIN ACCESO DIRECTO a los datos Asegurarse de que no se pueda acceder directamente a los datos evitando dejar información al alcance de personas no autorizadas. Si Destrucción de datos SE DESTRUYEN o suprimen con medidas de seguridad (destructora, formateo, empresa homologada de residuos, etc.) Asegurarse de que se destruyan o supriman con medidas de seguridad adecuadas. Si Concepto Aplicación Medidas Cumplimiento Principios del tratamiento Licitud y lealtad (legitimación del tratamiento) CONSENTIMIENTO del interesado para fines específicos (artículo 6.1.a GDPR) Guardar documentos probatorios del consentimiento. Si Transparencia (transparencia de la información) Se facilita la información de forma clara por ESCRITO o por MEDIOS Asegurarse de que se facilite la información del tratamiento de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Si Limitación de la finalidad (finalidad del tratamiento) Gestión COMERCIAL Si Minimización de datos (adecuados, pertinentes y limitados a los fines) Obtención de datos ADECUADOS, PERTINENTES Y LIMITADOS como mínimo para alcanzar los fines Asegurarse de que los datos obtenidos sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. No se tratarán datos innecesarios para alcanzar los fines, por lo que se deberá eliminar la información que no se precise.
Si Exactitud (actualización de datos) EXISTEN PROCEDIMIENTOS para la actualización de datos Asegurarse de que se hayan implementado procedimientos técnicos u organizativos para actualizar los datos. Si Limitación del plazo de conservación (conservación de datos) Conservados durante no más tiempo del necesario para mantener el fin del tratamiento o mientras existan prescripciones legales que dictaminen su custodia Revisar periódicamente que siga existiendo una relación indefinida entre RT e Interesado para mantener el fin del tratamiento. Si Integridad y confidencialidad (seguridad de los datos) EXISTEN MEDIDAS adecuadas para proteger los datos contra tratamientos no autorizados y pérdidas o destrucción Asegurarse de que se hayan implementado medidas técnicas y organizativas adecuadas para proteger los datos. Si Responsabilidad del tratamiento Personal autorizado Los datos son tratados por el PERSONAL de la organización y CONFIDENCIALIDAD con instrucciones del tratamiento Asegurarse de que el personal autorizado para tratar datos haya firmado los acuerdos de confidencialidad y de que se guarden en un lugar seguro. Si Encargados del tratamiento (ET) Los datos NO SON TRATADOS por Encargados del tratamiento Si Corresponsables del tratamiento (CoRT) Los datos NO SON TRATADOS por Corresponsables del tratamiento Si Destinatarios de datos Los datos NO SON COMUNICADOS a terceros, salvo obligación legal Si Política de información Información básica del tratamiento Los datos SE OBTIENEN DEL INTERESADO y SE INFORMA del Responsable, finalidad, base jurídica, criterios de conservación, comunicación de datos y derechos del interesado Asegurarse de que se facilite la información del tratamiento al interesado.
Si Comunicación de la información al interesado Los datos SE OBTIENEN DEL INTERESADO y SE COMUNICA la información previamente a la obtención de los datos Asegurarse de que se comunique la información del tratamiento previamente a la obtención de datos. Si Comunicación de datos a terceros Se informa de que NO SE COMUNICAN los datos a terceros, salvo por obligación legal Si Política de seguridad Derechos de los interesados Los datos están organizados de manera que ES POSIBLE dar respuesta al ejercicio de los derechos del interesado. Asegurarse de que los datos estén estructurados de manera efectiva para el ejercicio de los derechos de los interesados. Si Desde el diseño y por defecto SE HAN IMPLEMENTADO medidas adecuadas para la protección de datos desde el diseño y por defecto Asegurarse de que las medidas implementadas sean las adecuadas. Si Riesgos del tratamiento SE HA ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO RIESGO para los derechos y libertades de los interesados Se ha comprobado que el análisis de riesgos efectuado no determine la existencia de amenazas con la probabilidad de un alto riesgo para los derechos y libertades de los interesados.
Si Violaciones de la seguridad EXISTE un protocolo de actuación en caso de producirse una violación de la seguridad Asegurarse de que exista un protocolo de actuación para el caso que se produzca una violación de seguridad y de que se haya puesto en conocimiento del personal de la organización. Si Medidas de protección de datos Acceso a documentos SE APLICAN medidas adecuadas para impedir el acceso a personas no autorizadas Asegurarse de que las medidas aplicadas impidan el acceso a personas no autorizadas. Si Acceso a equipos y redes informáticas SE ACCEDE mediante usuario y contraseña personalizados Se deberá llevar un control actualizado del personal con acceso a los equipos y redes informáticas. Si Seguridad de la contraseña Se aplican medidas de seguridad (cifrado, combinación de caracteres, cambio periódico, etc.) Comprobar que las medidas aplicadas son adecuadas. Si Protección de equipos y redes informáticas SE HAN INSTALADO dispositivos y/o aplicaciones para proteger los equipos informáticos y se mantienen actualizados Comprobar que los dispositivos y/o aplicaciones que protegen los equipos informáticos se mantienen actualizados (antivirus, antispam , firewall , etc.) Si Copias de respaldo SE REALIZAN copias de seguridad externas, como mínimo semanalmente, y se guardan con medidas de seguridad Comprobar que se realicen copias de seguridad regularmente y que se guarden con medidas de seguridad.
Si Transporte y transmisión de datos LO REALIZA personal autorizado con medidas de seguridad Asegurarse de que el transporte o transmisión de datos lo realice personal autorizado y de que las medidas de seguridad adoptadas sean adecuadas. Si Conservación de datos Se guardan en mobiliario o departamentos SIN ACCESO DIRECTO a los datos Asegurarse de que no se pueda acceder directamente a los datos evitando dejar información al alcance de personas no autorizadas. Si Destrucción de datos SE DESTRUYEN o suprimen con medidas de seguridad (destructora, formateo, empresa homologada de residuos, etc.) Asegurarse de que se destruyan o supriman con medidas de seguridad adecuadas. Si Concepto SEDE PRINCIPAL Tipo de acceso al local Sistema general de control de llaves Otras medidas de seguridad Concepto OFICINA Permiso: Acceso: Control de llaves: Otras medidas de seguridad: 56 Locales o delegaciones Aplicación Riesgo inicial Medidas Riesgo final Entrada libre con control de acceso (personal de recepción, vigilantes, etc.). Bajo Se deberán tomar medidas para que el control de acceso sea efectivo. Muy bajo Las llaves se guardan en un lugar seguro y con acceso autorizado a las mismas Bajo Se deberá llevar un control actualizado del personal con acceso a las llaves. Muy bajo NO EXISTEN medidas de seguridad. Bajo Se deberá evaluar la necesidad de implementar alguna medida de seguridad en el acceso a los locales.
Muy bajo Departamentos Aplicación Riesgo inicial Medidas Riesgo final Limitado a personal autorizado en todo el Departamento. Bajo Se deberá llevar un control actualizado del personal con acceso al Departamento. Muy bajo Acceso al Departamento regido por las medidas de seguridad del Local. Bajo Se deberá evaluar si las medidas de seguridad del Local son suficientes para proteger los datos. Muy bajo Las llaves se guardan en un lugar seguro y con acceso autorizado a las mismas. Bajo Se deberá llevar un control actualizado del personal con acceso a las llaves. Muy bajo NO EXISTEN otras medidas de seguridad. Bajo Se deberá evaluar la necesidad de implementar alguna medida de seguridad en el acceso a los locales. Muy bajo Software Concepto Aplicación Riesgo inicial Medidas Riesgo final Control de acceso Acceso regido por el control de acceso a los equipos informáticos. Bajo Comprobar que existan métodos de identificación y autenticación para acceder a los equipos informáticos. Muy bajo Accesos no autorizados No existe un control de accesos no autorizados a la aplicación Bajo Plantearse la necesidad de activar mecanismos que impidan los intentos reiterados no autorizados.
Muy bajo Transmisión de datos No se transmiten datos desde la aplicación Muy bajo Asegurarse que No se transmiten datos desde la aplicación. Muy bajo Registro de accesos No existe un registro de accesos a la aplicación y accede más de un usuario Bajo Cuando se traten categorías de datos ESPECIALES o PENALES es recomendable registrar los accesos de los usuarios al programa. Muy bajo Control de acceso Acceso mediante usuario y contraseña. Bajo Comprobar que existen mecanismos para verificar que la contraseña es segura y que se cambia periódicamente. Muy bajo Accesos no autorizados Se ha implementado un sistema que impide los intentos reiterados no autorizados Bajo Comprobar que el sistema avise al RT de los intentos no autorizados. Muy bajo Transmisión de datos La aplicación permite transmitir los datos encriptados Bajo Asegurarse de que exista un protocolo para encriptar los datos en las transmisiones de información. Muy bajo Registro de accesos Se registran los accesos mediante una aplicación informática Muy bajo Asegurarse de que exista un procedimiento para acceder a los registros en caso de incidencias. Muy bajo
Control de acceso Acceso regido por el control de acceso a los equipos informáticos. Bajo Comprobar que existan métodos de identificación y autenticación para acceder a los equipos informáticos. Muy bajo Accesos no autorizados No existe un control de accesos no autorizados a la aplicación Bajo Plantearse la necesidad de activar mecanismos que impidan los intentos reiterados no autorizados. Muy bajo Transmisión de datos No se transmiten datos desde la aplicación Muy bajo Asegurarse que No se transmiten datos desde la aplicación. Muy bajo Registro de accesos No existe un registro de accesos a la aplicación y accede más de un usuario Bajo Cuando se traten categorías de datos ESPECIALES o PENALES es recomendable registrar los accesos de los usuarios al programa. Muy bajo Control de acceso Acceso regido por el control de acceso a los equipos informáticos. Bajo Comprobar que existan métodos de identificación y autenticación para acceder a los equipos informáticos. Muy bajo Accesos no autorizados No existe un control de accesos no autorizados a la aplicación Bajo Plantearse la necesidad de activar mecanismos que impidan los intentos reiterados no autorizados.
Muy bajo Transmisión de datos No se transmiten datos desde la aplicación Muy bajo Asegurarse que No se transmiten datos desde la aplicación. Muy bajo Registro de accesos No existe un registro de accesos a la aplicación y accede más de un usuario Bajo Cuando se traten categorías de datos ESPECIALES o PENALES es recomendable registrar los accesos de los usuarios al programa. Muy bajo Control de acceso Acceso regido por el control de acceso a los equipos informáticos. Bajo Comprobar que existan métodos de identificación y autenticación para acceder a los equipos informáticos. Muy bajo Accesos no autorizados No existe un control de accesos no autorizados a la aplicación Bajo Plantearse la necesidad de activar mecanismos que impidan los intentos reiterados no autorizados. Muy bajo Transmisión de datos No se transmiten datos desde la aplicación Muy bajo Asegurarse que No se transmiten datos desde la aplicación. Muy bajo Registro de accesos No existe un registro de accesos a la aplicación y accede más de un usuario Bajo Cuando se traten categorías de datos ESPECIALES o PENALES es recomendable registrar los accesos de los usuarios al programa.
Muy bajo Hardware Concepto Aplicación Riesgo inicial Medidas Riesgo final Control de acceso Usuario y contraseña personalizados. Bajo Se deberá llevar un control actualizado del personal con acceso a los equipos informáticos. Muy bajo Actualización de software Se actualiza periódicamente a las últimas versiones disponibles. Bajo Comprobar que se actualicen periódicamente los sistemas operativos y las aplicaciones informáticas con las últimas versiones disponibles. Muy bajo Sistemas de protección Se han instalado sistemas de protección (antivirus, antispam...). Bajo Comprobar que se hayan implementado sistemas adecuados de detección de intrusos y de prevención de fuga de información. Muy bajo Mobiliario Concepto Aplicación Riesgo inicial Medidas Riesgo final Control de acceso Cerrado sin mecanismo de seguridad. Bajo Se deberán emplear mecanismos que dificulten e impidan el acceso a personal no autorizado mediante llaves u otros dispositivos similares. Muy bajo Control de acceso A la vista, mediante soporte documental sin acceso directo a datos. Bajo Se deberán emplear mecanismos que dificulten e impidan el acceso a personal no autorizado mediante llaves u otros dispositivos similares. Muy bajo Soportes Concepto Aplicación Riesgo inicial Medidas Riesgo final
Control de acceso Guardado en Mobiliario o Departamento con medidas de seguridad. Bajo Asegurarse de que las medidas de seguridad adoptadas sean adecuadas. Muy bajo Sistema de etiquetado Etiqueta que no identifica los datos del soporte. Bajo Asegurarse de que la etiqueta no pueda identificar los datos contenidos por personal no autorizado. Muy bajo Medidas de seguridad para el transporte fuera de la empresa Sistema de identificación y autenticación para acceder al dispositivo. Bajo Se deberá llevar un control actualizado del personal con acceso a los equipos informáticos. Muy bajo .-Concepto Aplicación Riesgo inicial Medidas Riesgo final Información del tratamiento al interesado ¿Se informa al interesado de los detalles del tratamiento? Sí, con cláusulas personalizadas de protección de datos. Bajo Asegurarse de que se facilite la información específica del tratamiento de forma clara y transparente. Muy bajo ¿Se informa al interesado de los derechos que le asisten? Sí, con cláusulas personalizadas de protección de datos. Bajo Asegurarse de que se facilite la información de todos los derechos que asisten al interesado. Muy bajo El personal autorizado para tratar datos, ¿se ha comprometido a respetar la confidencialidad de los mismos?
SÍ, EXISTE un procedimiento para que el personal firme el compromiso de confidencialidad. Bajo Comprobar que se hayan firmado todos los compromisos de confidencialidad con el personal autorizado. Muy bajo ¿Se suscriben contratos con los encargados del tratamiento? SÍ, EXISTE un procedimiento para que los encargados del tratamiento firmen contratos conforme el art. 28 GDPR. Bajo Comprobar que se hayan firmado todos los contratos con los encargados del tratamiento. Muy bajo ¿Se suscriben contratos cuando nosotros actuamos como encargados del tratamiento? NO se prestan servicios a otras entidades que conlleven un tratamiento de datos personales. Bajo Comprobar que no ofrecemos servicios a otras entidades que conlleve el tratamiento de datos personales. Muy bajo Transporte de los soportes dentro de la empresa Por personal autorizado por el Responsable del tratamiento con medidas de seguridad. Bajo Se deberá llevar un control actualizado del personal autorizado y que garantice que las medidas de seguridad son adecuadas. Muy bajo Transporte de los soportes fuera de la empresa Con soporte de seguridad. Bajo Asegurarse de que las medidas de seguridad adoptadas sean adecuadas. Muy bajo Acceso durante el tratamiento digital (pantallas) Se tratan impidiendo la visión de los datos a personas no autorizadas. Bajo Asegurarse de que se tomen medidas de seguridad que impidan la visión de la información a personas no autorizadas.
Muy bajo Almacenamiento de los soportes digitales Se guardan en un Mobiliario y/o Departamento con medidas de seguridad. Bajo Asegurarse de que las medidas de seguridad adoptadas sean adecuadas. Muy bajo Destrucción de soportes digitales Destructora de soportes digitales. Bajo Asegurarse de que el personal use la destructora cuando se desea eliminar información. Muy bajo Acceso durante el tratamiento manual (documentos) Se tratan impidiendo el acceso a los datos a personas no autorizadas. Bajo Asegurarse de que se tomen medidas de seguridad que impidan la visión de la información a personas no autorizadas. Muy bajo Almacenamiento de documentos Se guardan en un Mobiliario y/o Departamento con medidas de seguridad. Bajo Asegurarse de que las medidas de seguridad adoptadas sean adecuadas. Muy bajo Destrucción de documentos Destructora de papel. Bajo Asegurarse de que el personal use la destructora cuando se desea eliminar información. Muy bajo ¿Se lleva un registro de accesos a categorías especiales de datos? NO SE TRATAN categorías especiales de datos. Muy bajo Asegurarse que no se tratan datos de categoría especial. Muy bajo .-Concepto Aplicación Riesgo inicial Medidas Riesgo final Acceso a equipos informáticos Control de acceso a equipos informáticos Usuario y contraseña personalizados. Bajo Se deberá llevar un control actualizado del personal con acceso a los equipos informáticos.
Muy bajo Control de acceso a ficheros con datos personales Acceso a los ficheros y/o programa mediante contraseña. Bajo Se deberá llevar un control actualizado del personal con acceso a las aplicaciones informáticas. Muy bajo Otros tipos de acceso a equipos informáticos Ninguno Muy bajo Asegurarse que no existe ningún otro sistema de acceso. Muy bajo Acceso directo a los sistemas de información (conexión de red) Usuario y contraseña personalizados. Bajo Se deberá llevar un control actualizado del personal con acceso a los equipos informáticos. Muy bajo Acceso inalámbrico a los sistemas de información (Wifi, Bluetooth, etc.) Acceso restringido por clave de seguridad. Bajo Cambiar la clave de seguridad ofrecida por el proveedor para evitar que sea usada por personas no autorizadas. Muy bajo Acceso remoto a los sistemas de información Usuario y contraseña personalizados. Bajo Se deberá llevar un control actualizado del personal con acceso remoto a los sistemas. Muy bajo Cifrado de las conexiones remotas Sí. Bajo Comprobar que la conexión remota esté cifrada punto a punto. Muy bajo Sistema de identificación Palabra identificativa y personalizada para cada usuario. Bajo Se deberá llevar un control actualizado del personal con acceso a los equipos informáticos.
Muy bajo Sistema de autenticación Contraseña personalizada para cada usuario. Bajo Comprobar que existen mecanismos para verificar que la contraseña es segura y que se cambia periódicamente. Muy bajo Cifrado de la contraseña La contraseña está cifrada Bajo Comprobar que el cifrado de la contraseña no pueda descifrarse. Muy bajo Combinación de caracteres La contraseña se compone al menos de 8 caracteres, con algún número, mayúscula, minúscula y símbolo o carácter especial Bajo Comprobar que el sistema no deje guardar una contraseña insegura. Muy bajo Intentos reiterados de acceso Se ha implementado un sistema que impide los intentos reiterados no autorizados Bajo Comprobar que el sistema avise al RT de los intentos no autorizados. Muy bajo Caducidad de la contraseña vez al año La contraseña se cambia al menos una Bajo Comprobar que el sistema obligue a cambiar la contraseña periódicamente. Muy bajo Almacenamiento de la contraseña Recuperación de la contraseña .-Concepto Copias de respaldo Ubicación de las copias programación Periodicidad de Periodicidad de comprobación de datos Método de comprobación de datos Ubicación de las copias externas Periodicidad de programación de las copias externas Cifrado de los datos de las copias externas Actualización de software Sistemas de detección de intrusos y prevención de fuga de información Disponibilidad de los servicios de información Restauración de los servicios de información Resiliencia de los servicios de información Procesos de verificación, evaluación y valoración de las medidas de seguridad 62 Se memorizan, sin guardarlas en ningún dispositivo, archivo o documento físico.
Bajo Comprobar que no se almacenan ni en soporte papel ni digital. Muy bajo Envío automático de credenciales al correo electrónico/número de teléfono/SMS que identifica al usuario. Bajo Comprobar que se envía la nueva contraseña, cuando se solicita la recuperación de la misma. Muy bajo Aplicación Riesgo inicial Medidas Riesgo final Se guardan en un Hardware distinto del que las crea (copia de red). Bajo Se deberá llevar un control actualizado del personal con acceso a las copias de seguridad. Muy bajo Semanalmente, como mínimo. Bajo Comprobar que se realizan las copias, al menos semanalmente. Muy bajo Como máximo, 6 meses desde la creación. Bajo Verificar que se realicen las comprobaciones, al menos semestralmente. Muy bajo Aplicación informática de verificación de copias. Bajo Comprobar que la verificación de copias contenga los datos copiados. Muy bajo se creó. Local o departamento distinto de donde Bajo Asegurarse de que la ubicación tenga medidas adecuadas de seguridad. Muy bajo Semanalmente, como mínimo. Bajo Comprobar que se realizan las copias, al menos semanalmente. Muy bajo Sí. Bajo Asegurarse de que exista un protocolo para encriptar los datos. Muy bajo SE ACTUALIZAN periódicamente los sistemas operativos y las aplicaciones informáticas con las últimas versiones disponibles Bajo Comprobar que se actualicen periódicamente los sistemas operativos y las aplicaciones informáticas con las últimas versiones disponibles.
Muy bajo EXISTEN sistemas de protección tipo firewall, antivirus, antispam, antiphishing, antimalware, antiransomware, etc. Bajo Comprobar que se hayan implementado sistemas adecuados de detección de intrusos y de prevención de fuga de información. Muy bajo EXISTEN medidas para garantizar la disponibilidad de los datos Bajo Comprobar que las medidas implementadas garanticen la disponibilidad de los datos (copias de respaldo, antivirus, SAI, etc.) Muy bajo EXISTEN medidas para restaurar rápidamente la disponibilidad y el acceso a los datos Bajo Comprobar que las medidas implementadas garanticen la restauración de la disponibilidad y el acceso a los datos. Muy bajo EXISTEN medidas para anticiparse y adaptarse a cambios imprevistos en los servicios de información Bajo Asegurarse de que exista un protocolo para anticiparse y adaptarse a cambios imprevistos en los servicios de información. Muy bajo SE HAN ESTABLECIDO procesos para verificar, evaluar y valorar la eficacia de las medidas de seguridad Bajo Asegurarse de que exista un protocolo para verificar, evaluar y valorar la eficacia de las medidas de seguridad. Muy bajo .-Concepto Aplicación Riesgo inicial Medidas Riesgo final Tratamientos específicos Tratamiento de datos de niños menores de 14 años NO SE REALIZAN tratamientos de datos de niños menores de 14 años Muy bajo Asegurarse que NO SE REALIZAN tratamientos de datos de niños menores de 14 años.
Muy bajo Tratamiento de datos de personas en situación de vulnerabilidad NO SE REALIZAN tratamientos de datos de personas en situación de vulnerabilidad Muy bajo Asegurarse que NO SE REALIZAN tratamientos de datos de personas en situación de vulnerabilidad. Muy bajo Tratamiento de datos que puede invadir la intimidad de las personas NO SE REALIZAN tratamientos que pueden invadir la intimidad de las personas Muy bajo Asegurarse que NO SE REALIZAN tratamientos que pueden invadir la intimidad de las personas. Muy bajo Vulneración de los derechos y libertades fundamentales NO SE REALIZAN tratamientos que vulneren los derechos o libertades fundamentales Muy bajo Asegurarse que NO SE REALIZAN tratamientos que vulneren los derechos o libertades fundamentales. Muy bajo .-Concepto Aplicación Riesgo inicial Medidas Riesgo final Comunicaciones electrónicas Correo electrónico SE UTILIZA correo electrónico seguro mediante cifrado punto a punto. Muy bajo Comprobar que el servidor de correo utiliza un cifrado SSL/TLS para la transmisión de mensajes. Muy bajo Mensajería instantánea NO SE ENVÍA mensajería instantánea para comunicarse con los interesados. Muy bajo Comprobar que no se utiliza ninguna mensajería instantánea para la comunicación con los interesados.
Muy bajo Videoconferencia NO EXISTE ningún sistema de videoconferencia para comunicarse con los interesados. Muy bajo Comprobar que no se utiliza ningún sistema de videoconferencia para comunicarse con los interesados. Muy bajo Software profesional (business) NO EXISTE ningún software para realizar comunicaciones electrónicas. Muy bajo Comprobar que no se utiliza ningún software para realizar comunicaciones electrónicas. Muy bajo Cláusula de protección de datos SE HA PUBLICADO una cláusula de protección de datos con información adecuada del tratamiento. Muy bajo Comprobar que la cláusula de protección de datos contiene el nombre del responsable y DPO si existe, el fin y legitimación del tratamiento, los criterios de conservación de los datos, la comunicación a terceros, los derechos que asisten al usuario y los datos de contacto para ejercer los derechos. Muy bajo Cláusula de publicidad NO SE ENVÍAN comunicados comerciales, por lo que no se requiere publicar ninguna cláusula de publicidad. Muy bajo Comprobar que no se envían comunicados comerciales que puedan considerarse publicitarios. Muy bajo Redes sociales NO EXISTE cuenta en ninguna red social. Muy bajo Asegurarse que no tiene cuentas abiertas en RRSS Muy bajo App NO EXISTE ninguna app. Muy bajo Asegurarse que NO EXISTE ninguna app. Muy bajo .-Concepto Organización Determinación de la licitud del tratamiento Política de información Derechos del interesado Garantías de los encargados del tratamiento Registro de Actividades de Tratamiento Gestión de riesgo Política de seguridad Formación en protección de datos Violaciones de la seguridad Evaluación de impacto (DPIA) 64
Aplicación Riesgo inicial Medidas Riesgo final EXISTE un protocolo documentado para determinar la licitud del tratamiento Bajo Comprobar: • Que las bases jurídicas en las que se basa el tratamiento sean las adecuadas. • Que, si se tratan datos de categoría especial o naturaleza penal, se base en alguna de las excepciones contempladas en la normativa. • Que, si se llevan a cabo transferencias internacionales de datos, se basen en alguna de las habilitaciones contempladas en la normativa. Muy bajo EXISTE un protocolo documentado para informar y comunicar el tratamiento al interesado Bajo Comprobar periódicamente que haya un responsable de actualizar el protocolo y de hacer que se cumpla. Muy bajo EXISTE un protocolo documentado para gestionar y registrar los derechos del interesado Bajo Comprobar periódicamente que haya un responsable de actualizar el protocolo y de hacer que se cumpla. Muy bajo EXISTE un protocolo documentado para valorar las garantías de cumplimiento de la normativa de protección de datos que ofrecen los encargados del tratamiento Bajo Comprobar que las garantías sean suficientes y que se revisen periódicamente Muy bajo EXISTE un registro de las actividades de tratamiento que se llevan a cabo como responsable y/o como encargado del tratamiento Bajo Comprobar que se incluye todo el contenido exigido por la normativa de protección de datos.
Muy bajo EXISTE un protocolo documentado para gestionar el riesgo que suponen todas las actividades de tratamiento Bajo Comprobar que se ha llevado a cabo una gestión del riesgo de todos los tratamientos conforme a lo establecido en el protocolo de actuación, que incluya la identificación de las posibles amenazas y los riesgos que suponen, el análisis y la evaluación del riesgo, su tratamiento y el seguimiento y verificación de la eficacia de las medidas adoptadas para reducirlo. Muy bajo EXISTE un protocolo documentado para garantizar la seguridad de los datos personales y su protección desde el DISEÑO Y POR DEFECTO Bajo Comprobar periódicamente que haya un responsable de actualizar el protocolo y de hacer que se cumpla. Muy bajo [Se facilita suficiente formación al personal autorizado para tratar datos] mediante la entrega de la política de seguridad Bajo Comprobar que se haya entregado la política de seguridad al personal autorizado para tratar datos. Muy bajo EXISTE un protocolo documentado para gestionar y registrar las violaciones de la seguridad Bajo Comprobar periódicamente que haya un responsable de actualizar el protocolo y de hacer que se cumpla.
Muy bajo [No precisa realizar una DPIA porque] el tratamiento no comporta un alto riesgo para los derechos y libertades de las personas físicas. Bajo Asegurarse de que el tratamiento no comporte un alto riesgo para los derechos y libertades de las personas físicas. Muy bajo Delegado de protección de datos [No precisa un DPO porque] la actividad principal de la empresa CONSISTE en tratar datos personales pero NO a GRAN ESCALA, ni regulados en el art. 34 de la Bajo Comprobar que no exista otra actividad principal que consista en tratar datos personales a gran escala, ni regulados en el art. 34 de la Muy bajo No existen riesgos en los recursos utilizados No existen riesgos en los recursos utilizados No existen riesgos en los recursos utilizados No existen amenazas 1. Identificación de la organización Responsable del tratamiento Razón social DiPacket, S.L. Marca comercial Actividad Desarrollo de software Dirección C/ EMBALSE DE NAVACERRADA, 51 - 28051 Madrid (Madrid) ESPAÑA Teléfono 638 56 00 41 E-mail soft@bipaquet.es DPO 2. Identificación de los tratamientos de datos personales Tratamiento Descripción Tipo Sistema Categoría
Gestión comercial con clientes y proveedores. Incluye datos de contacto de personas físicas que presten servicios a una persona jurídica, inclusive los profesionales individuales Responsable Mixto BÁSICO FISCAL Y CONTABLE Registro de las obligaciones fiscales y contables sujetas a la actividad económica Responsable Mixto BÁSICO CONTACTOS Comunicación, información y gestión sobre productos y servicios. Incluye contactos web y redes sociales Responsable Mixto BÁSICO 3. Amenazas No existen riesgos en los recursos utilizados No existen riesgos en los recursos utilizados No existen riesgos en los recursos utilizados No existen amenazas Locales o delegaciones Concepto Aplicación Riesgo inicial Medidas Riesgo final Tipo de acceso al local Entrada libre con control de acceso (personal de recepción, vigilantes, etc.). Bajo Se deberán tomar medidas para que el control de acceso sea efectivo. Muy bajo Sistema general de control de llaves Las llaves se guardan en un lugar seguro y con acceso autorizado a las mismas Bajo Se deberá llevar un control actualizado del personal con acceso a las llaves. Muy bajo Otras medidas de seguridad NO EXISTEN medidas de seguridad. Bajo Se deberá evaluar la necesidad de implementar alguna medida de seguridad en el acceso a los locales.
Muy bajo Departamentos Concepto Aplicación Riesgo inicial Medidas Riesgo final Permiso: Limitado a personal autorizado en todo el Departamento. Bajo Se deberá llevar un control actualizado del personal con acceso al Departamento. Muy bajo Acceso: Acceso al Departamento regido por las medidas de seguridad del Local. Bajo Se deberá evaluar si las medidas de seguridad del Local son suficientes para proteger los datos. Muy bajo Control de llaves: Las llaves se guardan en un lugar seguro y con acceso autorizado a las mismas. Bajo Se deberá llevar un control actualizado del personal con acceso a las llaves. Muy bajo Otras medidas de seguridad: NO EXISTEN otras medidas de seguridad. Bajo Se deberá evaluar la necesidad de implementar alguna medida de seguridad en el acceso a los locales. Muy bajo No existen riesgos en los recursos utilizados .-Concepto Aplicación Riesgo inicial Medidas Riesgo final Información del tratamiento al interesado ¿Se informa al interesado de los detalles del tratamiento? ¿Se informa al interesado de los derechos que le asisten? El personal autorizado para tratar datos, ¿se ha comprometido a respetar la confidencialidad de los mismos?
¿Se suscriben contratos con los encargados del tratamiento? ¿Se suscriben contratos cuando nosotros actuamos como encargados del tratamiento? Transporte de los soportes dentro de la empresa Transporte de los soportes fuera de la empresa Acceso durante el tratamiento digital (pantallas) Almacenamiento de los soportes digitales Destrucción de soportes digitales Acceso durante el tratamiento manual (documentos) Almacenamiento de documentos Destrucción de documentos ¿Se lleva un registro de accesos a categorías especiales de datos? 70 Sí, con cláusulas personalizadas de protección de datos. Bajo Asegurarse de que se facilite la información específica del tratamiento de forma clara y transparente. Muy bajo Sí, con cláusulas personalizadas de protección de datos. Bajo Asegurarse de que se facilite la información de todos los derechos que asisten al interesado. Muy bajo SÍ, EXISTE un procedimiento para que el personal firme el compromiso de confidencialidad. Bajo Comprobar que se hayan firmado todos los compromisos de confidencialidad con el personal autorizado. Muy bajo SÍ, EXISTE un procedimiento para que los encargados del tratamiento firmen contratos conforme el art. 28 GDPR. Bajo Comprobar que se hayan firmado todos los contratos con los encargados del tratamiento.
Muy bajo NO se prestan servicios a otras entidades que conlleven un tratamiento de datos personales. Bajo Comprobar que no ofrecemos servicios a otras entidades que conlleve el tratamiento de datos personales. Muy bajo Por personal autorizado por el Responsable del tratamiento con medidas de seguridad. Bajo Se deberá llevar un control actualizado del personal autorizado y que garantice que las medidas de seguridad son adecuadas. Muy bajo Con soporte de seguridad. Bajo Asegurarse de que las medidas de seguridad adoptadas sean adecuadas. Muy bajo Se tratan impidiendo la visión de los datos a personas no autorizadas. Bajo Asegurarse de que se tomen medidas de seguridad que impidan la visión de la información a personas no autorizadas. Muy bajo Se guardan en un Mobiliario y/o Departamento con medidas de seguridad. Bajo Asegurarse de que las medidas de seguridad adoptadas sean adecuadas. Muy bajo Destructora de soportes digitales. Bajo Asegurarse de que el personal use la destructora cuando se desea eliminar información. Muy bajo Se tratan impidiendo el acceso a los datos a personas no autorizadas. Bajo Asegurarse de que se tomen medidas de seguridad que impidan la visión de la información a personas no autorizadas.
Muy bajo Se guardan en un Mobiliario y/o Departamento con medidas de seguridad. Bajo Asegurarse de que las medidas de seguridad adoptadas sean adecuadas. Muy bajo Destructora de papel. Bajo Asegurarse de que el personal use la destructora cuando se desea eliminar información. Muy bajo NO SE TRATAN categorías especiales de datos. Muy bajo Asegurarse que no se tratan datos de categoría especial. Muy bajo .-Concepto Aplicación Riesgo inicial Medidas Riesgo final Acceso a equipos informáticos Control de acceso a equipos informáticos Usuario y contraseña personalizados. Bajo Se deberá llevar un control actualizado del personal con acceso a los equipos informáticos. Muy bajo Control de acceso a ficheros con datos personales Acceso a los ficheros y/o programa mediante contraseña. Bajo Se deberá llevar un control actualizado del personal con acceso a las aplicaciones informáticas. Muy bajo Otros tipos de acceso a equipos informáticos Ninguno Muy bajo Asegurarse que no existe ningún otro sistema de acceso. Muy bajo Acceso directo a los sistemas de información (conexión de red) Usuario y contraseña personalizados. Bajo Se deberá llevar un control actualizado del personal con acceso a los equipos informáticos.
Muy bajo Acceso inalámbrico a los sistemas de información (Wifi, Bluetooth, etc.) Acceso restringido por clave de seguridad. Bajo Cambiar la clave de seguridad ofrecida por el proveedor para evitar que sea usada por personas no autorizadas. Muy bajo Acceso remoto a los sistemas de información Usuario y contraseña personalizados. Bajo Se deberá llevar un control actualizado del personal con acceso remoto a los sistemas. Muy bajo Cifrado de las conexiones remotas Sí. Bajo Comprobar que la conexión remota esté cifrada punto a punto. Muy bajo Sistema de identificación Palabra identificativa y personalizada para cada usuario. Bajo Se deberá llevar un control actualizado del personal con acceso a los equipos informáticos. Muy bajo Sistema de autenticación Contraseña personalizada para cada usuario. Bajo Comprobar que existen mecanismos para verificar que la contraseña es segura y que se cambia periódicamente. Muy bajo Cifrado de la contraseña La contraseña está cifrada Bajo Comprobar que el cifrado de la contraseña no pueda descifrarse. Muy bajo Combinación de caracteres La contraseña se compone al menos de 8 caracteres, con algún número, mayúscula, minúscula y símbolo o carácter especial Bajo Comprobar que el sistema no deje guardar una contraseña insegura. Muy bajo Intentos reiterados de acceso Se ha implementado un sistema que impide los intentos reiterados no autorizados Bajo Comprobar que el sistema avise al RT de los intentos no autorizados. Muy bajo Caducidad de la contraseña vez al año La contraseña se cambia al menos una Bajo Comprobar que el sistema obligue a cambiar la contraseña periódicamente. Muy bajo Almacenamiento de la contraseña Se memorizan, sin guardarlas en ningún dispositivo, archivo o documento físico.
Bajo Comprobar que no se almacenan ni en soporte papel ni digital. Muy bajo Recuperación de la contraseña Envío automático de credenciales al correo electrónico/número de teléfono/SMS que identifica al usuario. Bajo Comprobar que se envía la nueva contraseña, cuando se solicita la recuperación de la misma. Muy bajo .-Concepto Aplicación Riesgo inicial Medidas Riesgo final Copias de respaldo Ubicación de las copias Se guardan en un Hardware distinto del que las crea (copia de red). Bajo Se deberá llevar un control actualizado del personal con acceso a las copias de seguridad. Muy bajo programación Periodicidad de Semanalmente, como mínimo. Bajo Comprobar que se realizan las copias, al menos semanalmente. Muy bajo Periodicidad de comprobación de datos Como máximo, 6 meses desde la creación. Bajo Verificar que se realicen las comprobaciones, al menos semestralmente. Muy bajo Método de comprobación de datos Aplicación informática de verificación de copias. Bajo Comprobar que la verificación de copias contenga los datos copiados. Muy bajo Ubicación de las copias externas se creó. Local o departamento distinto de donde Bajo Asegurarse de que la ubicación tenga medidas adecuadas de seguridad. Muy bajo Periodicidad de programación de las copias externas Semanalmente, como mínimo. Bajo Comprobar que se realizan las copias, al menos semanalmente. Muy bajo Cifrado de los datos de las copias externas Sí. Bajo Asegurarse de que exista un protocolo para encriptar los datos. Muy bajo Actualización de software SE ACTUALIZAN periódicamente los sistemas operativos y las aplicaciones informáticas con las últimas versiones disponibles Bajo Comprobar que se actualicen periódicamente los sistemas operativos y las aplicaciones informáticas con las últimas versiones disponibles.
Muy bajo Sistemas de detección de intrusos y prevención de fuga de información EXISTEN sistemas de protección tipo firewall, antivirus, antispam, antiphishing, antimalware, antiransomware, etc. Bajo Comprobar que se hayan implementado sistemas adecuados de detección de intrusos y de prevención de fuga de información. Muy bajo Disponibilidad de los servicios de información EXISTEN medidas para garantizar la disponibilidad de los datos Bajo Comprobar que las medidas implementadas garanticen la disponibilidad de los datos (copias de respaldo, antivirus, SAI, etc.) Muy bajo Restauración de los servicios de información EXISTEN medidas para restaurar rápidamente la disponibilidad y el acceso a los datos Bajo Comprobar que las medidas implementadas garanticen la restauración de la disponibilidad y el acceso a los datos. Muy bajo Resiliencia de los servicios de información EXISTEN medidas para anticiparse y adaptarse a cambios imprevistos en los servicios de información Bajo Asegurarse de que exista un protocolo para anticiparse y adaptarse a cambios imprevistos en los servicios de información. Muy bajo Procesos de verificación, evaluación y valoración de las medidas de seguridad SE HAN ESTABLECIDO procesos para verificar, evaluar y valorar la eficacia de las medidas de seguridad Bajo Asegurarse de que exista un protocolo para verificar, evaluar y valorar la eficacia de las medidas de seguridad.
Muy bajo .-Concepto Aplicación Riesgo inicial Medidas Riesgo final Tratamientos específicos Tratamiento de datos de niños menores de 14 años NO SE REALIZAN tratamientos de datos de niños menores de 14 años Muy bajo Asegurarse que NO SE REALIZAN tratamientos de datos de niños menores de 14 años. Muy bajo Tratamiento de datos de personas en situación de vulnerabilidad NO SE REALIZAN tratamientos de datos de personas en situación de vulnerabilidad Muy bajo Asegurarse que NO SE REALIZAN tratamientos de datos de personas en situación de vulnerabilidad. Muy bajo Tratamiento de datos que puede invadir la intimidad de las personas NO SE REALIZAN tratamientos que pueden invadir la intimidad de las personas Muy bajo Asegurarse que NO SE REALIZAN tratamientos que pueden invadir la intimidad de las personas. Muy bajo Vulneración de los derechos y libertades fundamentales NO SE REALIZAN tratamientos que vulneren los derechos o libertades fundamentales Muy bajo Asegurarse que NO SE REALIZAN tratamientos que vulneren los derechos o libertades fundamentales. Muy bajo .-Concepto Aplicación Riesgo inicial Medidas Riesgo final Comunicaciones electrónicas Correo electrónico SE UTILIZA correo electrónico seguro mediante cifrado punto a punto.
Muy bajo Comprobar que el servidor de correo utiliza un cifrado SSL/TLS para la transmisión de mensajes. Muy bajo Mensajería instantánea NO SE ENVÍA mensajería instantánea para comunicarse con los interesados. Muy bajo Comprobar que no se utiliza ninguna mensajería instantánea para la comunicación con los interesados. Muy bajo Videoconferencia NO EXISTE ningún sistema de videoconferencia para comunicarse con los interesados. Muy bajo Comprobar que no se utiliza ningún sistema de videoconferencia para comunicarse con los interesados. Muy bajo Software profesional (business) NO EXISTE ningún software para realizar comunicaciones electrónicas. Muy bajo Comprobar que no se utiliza ningún software para realizar comunicaciones electrónicas. Muy bajo Cláusula de protección de datos SE HA PUBLICADO una cláusula de protección de datos con información adecuada del tratamiento. Muy bajo Comprobar que la cláusula de protección de datos contiene el nombre del responsable y DPO si existe, el fin y legitimación del tratamiento, los criterios de conservación de los datos, la comunicación a terceros, los derechos que asisten al usuario y los datos de contacto para ejercer los derechos. Muy bajo Cláusula de publicidad NO SE ENVÍAN comunicados comerciales, por lo que no se requiere publicar ninguna cláusula de publicidad.
Muy bajo Comprobar que no se envían comunicados comerciales que puedan considerarse publicitarios. Muy bajo Redes sociales NO EXISTE cuenta en ninguna red social. Muy bajo Asegurarse que no tiene cuentas abiertas en RRSS Muy bajo App NO EXISTE ninguna app. Muy bajo Asegurarse que NO EXISTE ninguna app. Muy bajo .-Concepto Aplicación Riesgo inicial Medidas Riesgo final Organización Determinación de la licitud del tratamiento Política de información Derechos del interesado Garantías de los encargados del tratamiento Registro de Actividades de Tratamiento Gestión de riesgo Política de seguridad Formación en protección de datos Violaciones de la seguridad Evaluación de impacto (DPIA) Delegado de protección de datos 74 EXISTE un protocolo documentado para determinar la licitud del tratamiento Bajo Comprobar: • Que las bases jurídicas en las que se basa el tratamiento sean las adecuadas. • Que, si se tratan datos de categoría especial o naturaleza penal, se base en alguna de las excepciones contempladas en la normativa. • Que, si se llevan a cabo transferencias internacionales de datos, se basen en alguna de las habilitaciones contempladas en la normativa. Muy bajo EXISTE un protocolo documentado para informar y comunicar el tratamiento al interesado Bajo Comprobar periódicamente que haya un responsable de actualizar el protocolo y de hacer que se cumpla.
Muy bajo EXISTE un protocolo documentado para gestionar y registrar los derechos del interesado Bajo Comprobar periódicamente que haya un responsable de actualizar el protocolo y de hacer que se cumpla. Muy bajo EXISTE un protocolo documentado para valorar las garantías de cumplimiento de la normativa de protección de datos que ofrecen los encargados del tratamiento Bajo Comprobar que las garantías sean suficientes y que se revisen periódicamente Muy bajo EXISTE un registro de las actividades de tratamiento que se llevan a cabo como responsable y/o como encargado del tratamiento Bajo Comprobar que se incluye todo el contenido exigido por la normativa de protección de datos. Muy bajo EXISTE un protocolo documentado para gestionar el riesgo que suponen todas las actividades de tratamiento Bajo Comprobar que se ha llevado a cabo una gestión del riesgo de todos los tratamientos conforme a lo establecido en el protocolo de actuación, que incluya la identificación de las posibles amenazas y los riesgos que suponen, el análisis y la evaluación del riesgo, su tratamiento y el seguimiento y verificación de la eficacia de las medidas adoptadas para reducirlo.
Muy bajo EXISTE un protocolo documentado para garantizar la seguridad de los datos personales y su protección desde el DISEÑO Y POR DEFECTO Bajo Comprobar periódicamente que haya un responsable de actualizar el protocolo y de hacer que se cumpla. Muy bajo [Se facilita suficiente formación al personal autorizado para tratar datos] mediante la entrega de la política de seguridad Bajo Comprobar que se haya entregado la política de seguridad al personal autorizado para tratar datos. Muy bajo EXISTE un protocolo documentado para gestionar y registrar las violaciones de la seguridad Bajo Comprobar periódicamente que haya un responsable de actualizar el protocolo y de hacer que se cumpla. Muy bajo [No precisa realizar una DPIA porque] el tratamiento no comporta un alto riesgo para los derechos y libertades de las personas físicas. Bajo Asegurarse de que el tratamiento no comporte un alto riesgo para los derechos y libertades de las personas físicas. Muy bajo [No precisa un DPO porque] la actividad principal de la empresa CONSISTE en tratar datos personales pero NO a GRAN ESCALA, ni regulados en el art. 34 de la
Bajo Comprobar que no exista otra actividad principal que consista en tratar datos personales a gran escala, ni regulados en el art. 34 de la Muy bajo 1. Objetivo y normativa aplicable El informe se ha realizado de conformidad con lo dispuesto en el Reglamento (UE) 2016/679, de 27 de abril de 2016 (General data Protection Regulation - RGPD), donde se establecen las normas relativas a la protección de datos personales de las personas físicas referentes a su tratamiento y a la libre circulación de los mismos. El objeto del informe es analizar la normativa que afecta al tratamiento de datos personales mediante su aplicación a cada fichero para demostrar su cumplimiento, informando de: Las medidas implementadas en la organización para la protección de datos personales. Las deficiencias encontradas y las medidas correctoras a implementar. 2. Identificación de la organización Responsable del tratamiento De conformidad con lo dispuesto en el artículo 4.7 del RGPD, el Responsable del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento.
Razón social DiPacket, S.L. Marca comercial Actividad Desarrollo de software Dirección C/ EMBALSE DE NAVACERRADA, 51 - 28051 Madrid (Madrid) ESPAÑA Teléfono 638 56 00 41 E-mail soft@bipaquet.es DPO 3. Conceptos generales de la protección de datos - Definiciones: Datos personales: cualquier información relativa a una persona física por la cual pueda determinarse su identidad. Interesado: persona física sometida al tratamiento de sus datos personales. Tratamiento: cualquier operación realizada sobre datos personales: obtención, acceso, intervención, transmisión, conservación y supresión. Fichero: conjunto estructurado de datos personales susceptibles de tratamiento para un fin determinado. Responsable del tratamiento: organización que determina los fines y los medios del tratamiento. Encargado del tratamiento: organización que realiza un tratamiento de datos por cuenta (encargo) del Responsable del tratamiento. Destinatario de datos: organización que recibe datos personales mediante una comunicación o transmisión del Responsable o Encargado del tratamiento. - Categorías de datos: Datos básicos: Datos personales que no correspondan a categorías especiales de datos ni a condenas y delitos penales, por ejemplo: nombre, dirección, e-mail, teléfono, edad, sexo, firma, imagen, aficiones, patrimonio, datos bancarios, información académica, profesional, social, comercial, financiera, etc.
Categorías especiales de datos: Datos relativos al origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos o biométricos que permitan la identificación unívoca de una persona, datos relativos a la salud o a la vida y orientación sexuales. Condenas y delitos penales: Datos relativos a condenas y delitos penales o medidas de seguridad afines. - Categorías de tratamiento: Alto riesgo: Tratamiento susceptible de comportar un alto riesgo para la protección de los derechos y libertades de los interesados. Transferencias internacionales: Traspaso de datos a empresas no establecidas en la UE. Elaboración de perfiles: Confección de decisiones individuales destinadas a evaluar, analizar o predecir aspectos personales. Grupo de empresas: Grupo que comprende una empresa que ejerce el control y las empresas controladas. Datos de titularidad o interés público: Tratamiento realizado por Autoridades u Organismos públicos o por un interés público fundamentado en la legislación vigente. - Sistema de tratamiento: Digital: Tratamiento automatizado (electrónico) Manual: Tratamiento no automatizado (papel) Mixto: Tratamiento parcialmente automatizado (ambos, digital y manual) 4. Identificación de Ficheros de datos personales Tratamiento Descripción Tipo Sistema Categoría
Gestión comercial con clientes y proveedores. Incluye datos de contacto de personas físicas que presten servicios a una persona jurídica, inclusive los profesionales individuales Responsable Mixto BÁSICO FISCAL Y CONTABLE Registro de las obligaciones fiscales y contables sujetas a la actividad económica Responsable Mixto BÁSICO CONTACTOS Comunicación, información y gestión sobre productos y servicios. Incluye contactos web y redes sociales Responsable Mixto BÁSICO 5. Auditoría de protección de datos La protección de datos debe contemplarse en todas las operaciones realizadas sobre datos personales: recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción. La auditoría de protección de datos verifica el cumplimiento del Reglamento atendiendo al diseño técnico- organizativo del Responsable del tratamiento y aplicando las disposiciones específicas según la categoría de datos o de tratamiento que se lleven a cabo. La normativa se estructura en los siguientes protocolos de protección de datos: - Principios del tratamiento: Legitimación del tratamiento (licitud) Finalidad del tratamiento (limitación de los fines) Limitación del tratamiento (minimización de los datos) Actualización de datos (exactitud) Conservación de datos (limitación del plazo de conservación) Protección de datos (integridad y confidencialidad)
- Responsabilidad del tratamiento: Personal autorizado Encargados del tratamiento Subcontratación del tratamiento Corresponsables del tratamiento Destinatarios de datos - Política de información: Transparencia de la información Información básica del tratamiento Información específica de transferencias internacionales (si existe) Información específica de elaboración de perfiles (si existe) Comunicación de la información al interesado Comunicación de datos a terceros - Política de seguridad: Derechos de los interesados Desde el diseño y por defecto Riesgos del tratamiento Evaluación de impacto (si existe) Violaciones de la seguridad Medidas específicas de seguridad: Acceso a documentos Acceso a equipos y redes informáticas Acceso a categorías especiales de datos (si existen) Seguridad de la contraseña Protección de equipos y redes informáticas Copias de respaldo Transporte y transmisión de datos Conservación de datos Conservación de categorías especiales de datos (si existen) Destrucción de datos Transferencias internacionales Tratamiento Descripción Tipo Sistema Categoría Gestión comercial con clientes y proveedores. Incluye datos de contacto de personas físicas que presten servicios a una persona jurídica, inclusive los profesionales individuales Responsable Mixto BÁSICO Normativa Tratamiento Principios del tratamiento Licitud y lealtad (legitimación del tratamiento) Por un INTERÉS LEGÍTIMO del Responsable del tratamiento o Tercero (artículo 6.1.f
Transparencia (transparencia de la información) Se facilita la información de forma clara por ESCRITO o por MEDIOS ELECTRÓNICOS Limitación de la finalidad (finalidad del tratamiento) Gestión COMERCIAL Minimización de datos (adecuados, pertinentes y limitados a los fines) Obtención de datos ADECUADOS, PERTINENTES Y LIMITADOS como mínimo para alcanzar los fines Exactitud (actualización de datos) EXISTEN PROCEDIMIENTOS para la actualización de datos Limitación del plazo de conservación (conservación de datos) Conservados durante no más tiempo del necesario para mantener el fin del tratamiento o mientras existan prescripciones legales que dictaminen su custodia Integridad y confidencialidad (seguridad de los datos) EXISTEN MEDIDAS adecuadas para proteger los datos contra tratamientos no autorizados y pérdidas o destrucción Responsabilidad del tratamiento Personal autorizado Los datos son tratados por el PERSONAL de la organización y EXISTEN ACUERDOS DE CONFIDENCIALIDAD con instrucciones del tratamiento Encargados del tratamiento (ET) Los datos NO SON TRATADOS por Encargados del tratamiento Corresponsables del tratamiento (CoRT) Los datos NO SON TRATADOS por Corresponsables del tratamiento Destinatarios de datos Los datos NO SON COMUNICADOS a terceros, salvo obligación legal Política de información Información básica del tratamiento Los datos SE OBTIENEN DEL INTERESADO y SE INFORMA del Responsable, finalidad, base jurídica, criterios de conservación, comunicación de datos y derechos del interesado Comunicación de la información al interesado Los datos SE OBTIENEN DEL INTERESADO y SE COMUNICA la información previamente a la obtención de los datos Comunicación de datos a terceros Se informa de que NO SE COMUNICAN los datos a terceros, salvo por obligación legal Política de seguridad Derechos de los interesados Los datos están organizados de manera que ES POSIBLE dar respuesta al ejercicio de los derechos del interesado.
Desde el diseño y por defecto SE HAN IMPLEMENTADO medidas adecuadas para la protección de datos desde el diseño y por defecto Riesgos del tratamiento SE HA ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO RIESGO para los derechos y libertades de los interesados Violaciones de la seguridad EXISTE un protocolo de actuación en caso de producirse una violación de la seguridad Medidas de protección de datos Acceso a documentos SE APLICAN medidas adecuadas para impedir el acceso a personas no autorizadas Acceso a equipos y redes informáticas SE ACCEDE mediante usuario y contraseña personalizados Seguridad de la contraseña Se aplican medidas de seguridad (cifrado, combinación de caracteres, cambio periódico, etc.) Protección de equipos y redes informáticas SE HAN INSTALADO dispositivos y/o aplicaciones para proteger los equipos informáticos y se mantienen actualizados Copias de respaldo SE REALIZAN copias de seguridad externas, como mínimo semanalmente, y se guardan con medidas de seguridad Transporte y transmisión de datos LO REALIZA personal autorizado con medidas de seguridad Conservación de datos Se guardan en mobiliario o departamentos SIN ACCESO DIRECTO a los datos Destrucción de datos SE DESTRUYEN o suprimen con medidas de seguridad (destructora, formateo, empresa homologada de residuos, etc.) Tratamiento Descripción Tipo Sistema Categoría FISCAL Y CONTABLE Registro de las obligaciones fiscales y contables sujetas a la actividad económica Responsable Mixto BÁSICO Normativa Tratamiento Principios del tratamiento Licitud y lealtad (legitimación del tratamiento) Por una OBLIGACIÓN LEGAL del Responsable del tratamiento (artículo 6.1.c GDPR) Transparencia (transparencia de la información) Se facilita la información de forma clara por ESCRITO o por MEDIOS ELECTRÓNICOS Limitación de la finalidad (finalidad del tratamiento) Gestión CONTABLE, FISCAL Y ADMINISTRATIVA Minimización de datos (adecuados, pertinentes y limitados a los fines) Obtención de datos ADECUADOS, PERTINENTES Y LIMITADOS como mínimo para alcanzar los fines Exactitud (actualización de datos) EXISTEN PROCEDIMIENTOS para la actualización de datos Limitación del plazo de conservación (conservación de datos) Conservados mientras existan prescripciones legales que dictaminen la custodia Integridad y confidencialidad (seguridad de los datos) EXISTEN MEDIDAS adecuadas para proteger los datos contra tratamientos no autorizados y pérdidas o destrucción Responsabilidad del tratamiento Personal autorizado Los datos son tratados por el PERSONAL de la organización y EXISTEN ACUERDOS DE CONFIDENCIALIDAD con instrucciones del tratamiento Encargados del tratamiento (ET) Los datos SON TRATADOS por Encargados del tratamiento y EXISTEN CONTRATOS que garanticen medidas de seguridad adecuadas para la protección de datos y los derechos de los interesados Corresponsables del tratamiento (CoRT) Los datos NO SON TRATADOS por Corresponsables del tratamiento Destinatarios de datos Los datos NO SON COMUNICADOS a terceros, salvo obligación legal Política de información Información básica del tratamiento Los datos SE OBTIENEN DEL INTERESADO y SE INFORMA del Responsable, finalidad, base jurídica, criterios de conservación, comunicación de datos y derechos del interesado Comunicación de la información al interesado Los datos NO SE OBTIENEN DEL INTERESADO y no se comunica la información porque el tratamiento está FUNDAMENTADO EN LA LEGISLACIÓN VIGENTE Comunicación de datos a terceros Se informa de que NO SE COMUNICAN los datos a terceros, salvo por obligación legal Política de seguridad Derechos de los interesados Los datos están organizados de manera que ES POSIBLE dar respuesta al ejercicio de los derechos del interesado.
Desde el diseño y por defecto SE HAN IMPLEMENTADO medidas adecuadas para la protección de datos desde el diseño y por defecto Riesgos del tratamiento SE HA ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO RIESGO para los derechos y libertades de los interesados Violaciones de la seguridad EXISTE un protocolo de actuación en caso de producirse una violación de la seguridad Medidas de protección de datos Acceso a documentos SE APLICAN medidas adecuadas para impedir el acceso a personas no autorizadas Acceso a equipos y redes informáticas SE ACCEDE mediante usuario y contraseña personalizados Seguridad de la contraseña Se aplican medidas de seguridad (cifrado, combinación de caracteres, cambio periódico, etc.) Protección de equipos y redes informáticas SE HAN INSTALADO dispositivos y/o aplicaciones para proteger los equipos informáticos y se mantienen actualizados Copias de respaldo SE REALIZAN copias de seguridad externas, como mínimo semanalmente, y se guardan con medidas de seguridad Transporte y transmisión de datos LO REALIZA personal autorizado con medidas de seguridad Conservación de datos Se guardan en mobiliario o departamentos SIN ACCESO DIRECTO a los datos Destrucción de datos SE DESTRUYEN o suprimen con medidas de seguridad (destructora, formateo, empresa homologada de residuos, etc.) Tratamiento Descripción Tipo Sistema Categoría CONTACTOS Comunicación, información y gestión sobre productos y servicios. Incluye contactos web y redes sociales Responsable Mixto BÁSICO Normativa Tratamiento Principios del tratamiento Licitud y lealtad (legitimación del tratamiento) CONSENTIMIENTO del interesado para fines específicos (artículo 6.1.a GDPR) Transparencia (transparencia de la información) Se facilita la información de forma clara por ESCRITO o por MEDIOS ELECTRÓNICOS Limitación de la finalidad (finalidad del tratamiento) Gestión COMERCIAL Minimización de datos (adecuados, pertinentes y limitados a los fines) Obtención de datos ADECUADOS, PERTINENTES Y LIMITADOS como mínimo para alcanzar los fines Exactitud (actualización de datos) EXISTEN PROCEDIMIENTOS para la actualización de datos Limitación del plazo de conservación (conservación de datos) Conservados durante no más tiempo del necesario para mantener el fin del tratamiento o mientras existan prescripciones legales que dictaminen su custodia Integridad y confidencialidad (seguridad de los datos) EXISTEN MEDIDAS adecuadas para proteger los datos contra tratamientos no autorizados y pérdidas o destrucción Responsabilidad del tratamiento Personal autorizado Los datos son tratados por el PERSONAL de la organización y EXISTEN ACUERDOS DE CONFIDENCIALIDAD con instrucciones del tratamiento Encargados del tratamiento (ET) Los datos NO SON TRATADOS por Encargados del tratamiento Corresponsables del tratamiento (CoRT) Los datos NO SON TRATADOS por Corresponsables del tratamiento Destinatarios de datos Los datos NO SON COMUNICADOS a terceros, salvo obligación legal Política de información Información básica del tratamiento Los datos SE OBTIENEN DEL INTERESADO y SE INFORMA del Responsable, finalidad, base jurídica, criterios de conservación, comunicación de datos y derechos del interesado Comunicación de la información al interesado Los datos SE OBTIENEN DEL INTERESADO y SE COMUNICA la información previamente a la obtención de los datos Comunicación de datos a terceros Se informa de que NO SE COMUNICAN los datos a terceros, salvo por obligación legal Política de seguridad Derechos de los interesados Los datos están organizados de manera que ES POSIBLE dar respuesta al ejercicio de los derechos del interesado.
Desde el diseño y por defecto SE HAN IMPLEMENTADO medidas adecuadas para la protección de datos desde el diseño y por defecto Riesgos del tratamiento SE HA ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO RIESGO para los derechos y libertades de los interesados Violaciones de la seguridad EXISTE un protocolo de actuación en caso de producirse una violación de la seguridad Medidas de protección de datos Acceso a documentos SE APLICAN medidas adecuadas para impedir el acceso a personas no autorizadas Acceso a equipos y redes informáticas SE ACCEDE mediante usuario y contraseña personalizados Seguridad de la contraseña Se aplican medidas de seguridad (cifrado, combinación de caracteres, cambio periódico, etc.) Protección de equipos y redes informáticas SE HAN INSTALADO dispositivos y/o aplicaciones para proteger los equipos informáticos y se mantienen actualizados Copias de respaldo SE REALIZAN copias de seguridad externas, como mínimo semanalmente, y se guardan con medidas de seguridad Transporte y transmisión de datos LO REALIZA personal autorizado con medidas de seguridad Conservación de datos Se guardan en mobiliario o departamentos SIN ACCESO DIRECTO a los datos Destrucción de datos SE DESTRUYEN o suprimen con medidas de seguridad (destructora, formateo, empresa homologada de residuos, etc.)
5. Resumen de los tratamientos que no cumplen la normativa Todos los tratamientos cumplen con la normativa Solicitudes de derechos Los INTERESADOS tendrán derecho a ser informados del tratamiento de sus datos personales y a obtener del RT el gobierno de los mismos, siempre que lo permita la legislación vigente. Recepción de solicitudes - Registrar las solicitudes recibidas. - Identificar al INTERESADO de manera inequívoca. - Comprobar que la solicitud se ajuste al RGPD. - Comprobar que el derecho no afecte negativamente los derechos y libertades de terceros. - Responder sin demora injustificada, como máximo en el plazo de 1 mes: Atendiendo los derechos: comunicar la información del tratamiento. Prorrogando la atención: comunicar los motivos del retraso (máximo 2 meses para casos complejos). No atendiendo los derechos: razonar los motivos e informar del derecho a presentar una reclamación a la AC y a ejercitar acciones judiciales. Atención de los derechos Forma de facilitar la información: • Concisa, transparente, inteligible y de fácil acceso. • Lenguaje claro y sencillo. Medios para facilitar la información: El RT deberá informar al INTERESADO sobre los medios para ejercer los derechos, que podrán ser:
• Por escrito. • Medios electrónicos (obligatorio si se solicita por este medio). • Oralmente, si lo solicita el INTERESADO. Ejercicio de los derechos: • Se podrán ejercer directamente o por medio de un representante legal o voluntario. • Para menores de 14 años, los titulares de la patria potestad podrán ejercitar los derechos del interesado en su nombre y representación. • Cuando el RT o ET hayan designado un DPO, el INTERESADO podrá dirigirse directamente al DPO para ejercer sus derechos o presentar una reclamación. Derecho de acceso (art. 15 RGPD) El INTERESADO tendrá derecho a que el RT le comunique si se están tratando o no sus datos personales, y en caso de que se confirme el tratamiento, posibilitará su acceso facilitándole la información del tratamiento. Cuando el RT trate una gran cantidad de datos de un INTERESADO, podrá solicitarle antes de facilitar la información que especifique los datos o actividades de tratamiento a los que se refiere la solicitud. El derecho de acceso se entenderá por atendido cuando el RT comunique al INTERESADO un enlace a un sistema de acceso remoto, directo y seguro a los datos que garantice, de modo permanente, el acceso a su totalidad.
En el caso de fallecidos, este derecho lo podrán ejercitar las personas vinculadas al mismo por razones familiares o de hecho, así como sus herederos o las que hubiere designado expresamente para ello, excepto si el causante lo hubiese prohibido expresamente o así lo establezca una ley. Motivos para ejercer el derecho Confirmar si se están tratando o no sus datos personales. Comunicar los datos personales que posee el RT. Informar del tratamiento efectuado con sus datos. Razones para no dar curso al derecho Cuando no se traten sus datos. Cuando afecte negativamente los derechos y libertades de terceros. Ejercicio del derecho Facilitar una copia de los datos personales sometidos a tratamiento. Facilitar la información básica del tratamiento: Los fines del tratamiento. Las categorías de datos. El plazo o criterios de conservación. El ejercicio de los derechos de rectificación o supresión de los datos personales y de la limitación u oposición al tratamiento. El derecho a presentar una reclamación a la AC. Facilitar información específica del tratamiento (si existe): Cuando exista una comunicación de datos: Los DESTINATARIOS o categorías de DESTINATARIOS, incluidos los internacionales.
Cuando exista una TRANSFERENCIA internacional de datos: Información de las garantías adecuadas de protección de datos. Cuando exista una elaboración de PERFILES basada en un tratamiento AUTOMATIZADO: Información significativa sobre la lógica aplicada para tomar decisiones. Información sobre la importancia y las consecuencias previstas de dicho tratamiento para el INTERESADO. Información sobre si la decisión que se pueda tomar pudiera producirle efectos jurídicos que le afectaran significativamente. Cuando los datos no se obtienen del INTERESADO: Información de la fuente de procedencia. Derecho de rectificación de los datos (art. 16 y 19 RGPD) El INTERESADO tendrá derecho a que el RT rectifique sus datos sin demora injustificada cuando resulten inexactos o incompletos mediante una declaración rectificativa adicional. El RT podrá solicitar, cuando sea preciso, la documentación justificativa de la inexactitud o carácter incompleto de los datos objeto de rectificación. En el caso de fallecidos, este derecho lo podrán ejercitar las personas vinculadas al mismo por razones familiares o de hecho, así como sus herederos o las que hubiere designado expresamente para ello, excepto si el causante lo hubiese prohibido expresamente o así lo establezca una ley.
Motivos para ejercer el derecho Cuando los datos resulten inexactos o incompletos. Razones para no dar curso al derecho Cuando no existan motivos para ejercer el derecho. Cuando el tratamiento no admita manipulación de los datos (por ejemplo, las imágenes de videovigilancia). Ejercicio del derecho Confirmar la rectificación de sus datos. Posibilitar el acceso a formularios electrónicos para actualizar los datos. Si existe una comunicación previa a DESTINATARIOS, informarles para que procedan a la rectificación (excepto si es imposible o exige un esfuerzo desproporcionado). Derecho de supresión de los datos (derecho al olvido) (art. 17 y 19 RGPD) El INTERESADO tendrá derecho a que el RT suprima sus datos sin demora injustificada. Cuando la supresión derive del ejercicio del derecho de oposición, el RT podrá conservar los datos identificativos del INTERESADO con el fin de impedir tratamientos futuros para fines de mercadotecnia directa. En el caso de fallecidos, este derecho lo podrán ejercitar las personas vinculadas al mismo por razones familiares o de hecho, así como sus herederos o las que hubiere designado expresamente para ello, excepto si el causante lo hubiese prohibido expresamente o así lo establezca una ley.
Motivos para ejercer el derecho El tratamiento sea ilícito. El INTERESADO haya retirado su consentimiento. Los datos ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados. Los datos se hayan obtenido en relación con la oferta de servicios de la sociedad de la información (e- commerce ). El INTERESADO haya ejercido el derecho de oposición y no prevalezcan otros motivos legítimos para el tratamiento. Los datos deban suprimirse para cumplir una obligación jurídica del RT. Razones para no dar curso al derecho Cuando no existan motivos para ejercer el derecho. Cuando prevalezca el derecho a la libertad de expresión e información. Cuando exista una obligación jurídica del RT. Cuando sea necesario para la formulación, ejercicio o defensa de reclamaciones. Cuando exista un interés PÚBLICO fundamentado en la legislación vigente por razones de salud pública o para fines de investigación histórica, estadística o científica. Ejercicio del derecho Supresión o seudonimización efectiva de los datos. Si existe una comunicación previa a DESTINATARIOS, informarles para que procedan a la supresión (excepto si es imposible o exige un esfuerzo desproporcionado).
Derecho al olvido en búsquedas de Internet (art. 93. LOPDGDD) Toda persona tiene derecho a que los motores de búsqueda de Internet eliminen los resultados obtenidos tras una búsqueda efectuada a partir de su nombre, si los enlaces mostrados contienen información relativa a esa persona cuando fuesen: inadecuados inexactos no pertinentes no actualizados excesivos o hubieren devenido como tales por el transcurso del tiempo, teniendo en cuenta: los fines para los que se recogieron o trataron el tiempo transcurrido la naturaleza e interés público de la información o las circunstancias personales del interesado evidenciasen la prevalencia de sus derechos sobre el mantenimiento de los enlaces por el servicio de búsqueda de Internet Este derecho subsistirá aun cuando sea lícita la conservación de la información publicada en el sitio web al que se dirija el enlace y no se proceda por la misma a su borrado previo o simultáneo. Este derecho no impedirá el acceso a la información publicada en el sitio web a través de la utilización de otros criterios de búsqueda distintos del nombre de quien ejerza el derecho.
Derecho al olvido en servicios de redes sociales y servicios equivalentes (art. 94. LOPDGDD) Toda persona tiene derecho a que los servicios de redes sociales y servicios de la sociedad de la información equivalentes supriman los datos personales publicados cuando hayan sido facilitados: Por el mismo interesado. En este caso, se suprimirán a su simple solicitud. Por el mismo interesado o por terceros, durante su minoría de edad. En este caso, se suprimirán a su simple solicitud. Por terceros, cuando fuesen: inadecuados inexactos no pertinentes no actualizados excesivos o hubieren devenido como tales por el transcurso del tiempo, teniendo en cuenta: los fines para los que se recogieron o trataron el tiempo transcurrido la naturaleza e interés público de la información o las circunstancias personales del interesado evidenciasen la prevalencia de sus derechos sobre el mantenimiento de los datos por el servicio Se exceptúan de este Derecho los datos que hayan sido facilitados por personas físicas en el ejercicio de actividades personales o domésticas. Derecho a la portabilidad de los datos (en tratamientos AUTOMATIZADOS) (art. 20 RGPD) El INTERESADO tendrá derecho a que el RT transmita sus datos a otro RT o al mismo INTERESADO, mediante un formato estructurado de uso habitual y lectura mecánica Motivos para ejercer el derecho Cuando el tratamiento se efectúe por medios AUTOMATIZADOS y se base en:
El consentimiento del INTERESADO para fines específicos. La ejecución de un contrato o precontrato con el INTERESADO. Razones para no dar curso al derecho Cuando no existan motivos para ejercer el derecho. Cuando sea técnicamente imposible la transmisión. Cuando pueda afectar negativamente a los derechos y libertades de terceros. Cuando el tratamiento tenga una misión de interés PÚBLICO fundamentado en la legislación vigente. Ejercicio del derecho Transmitir los datos a otro RT o al mismo INTERESADO. Con un formato estructurado de uso habitual y lectura mecánica. Derecho de portabilidad en servicios de redes sociales y servicios equivalentes (art. 95. LOPDGDD) Los usuarios de servicios de redes sociales y servicios de la sociedad de la información equivalentes tendrán derecho, siempre que sea técnicamente posible, a: Recibir los contenidos que les hubieran facilitado. Que se transmitan dichos contenidos directamente a otro prestador designado por el usuario. Los prestadores podrán conservar, sin difundirla a través de Internet, la copia de los contenidos cuando dicha conservación sea necesaria para el cumplimiento de una obligación legal. Derecho a la limitación del tratamiento (art. 18 y 19 RGPD) El INTERESADO tendrá derecho a que el RT marque sus datos con el fin de limitar el tratamiento.
Cuando un tratamiento esté limitado, deberá constar claramente en los sistemas de información del RT. Motivos para ejercer el derecho El INTERESADO impugne la exactitud de los datos. El tratamiento sea ilícito y el INTERESADO se oponga a la supresión de los datos y solicite en su lugar la limitación de su uso. El INTERESADO se haya opuesto al tratamiento, mientras se verifica si los motivos legítimos del RT prevalecen sobre los del INTERESADO. El RT ya no necesite los datos para los fines del tratamiento, pero el INTERESADO los necesite para el reconocimiento, ejercicio o defensa de un derecho en un procedimiento judicial. Razones para no dar curso al derecho Cuando no existan motivos para ejercer el derecho. Cuando exista una justificación lícita para levantar la restricción y esta se haya comunicado al Ejercicio del derecho Marcar los datos solicitados con el fin de limitar temporalmente su tratamiento. Si existe una comunicación previa a DESTINATARIOS, informarles para que procedan a limitar el tratamiento (excepto si es imposible o exige un esfuerzo desproporcionado). Justificación para levantar la restricción, previa comunicación al INTERESADO Porque el INTERESADO ha dado el consentimiento.
Cuando exista la posibilidad de que el tratamiento afecte a la protección de los derechos de otra persona física o jurídica. Por un procedimiento judicial que lo justifique. Por un motivo importante de interés PÚBLICO fundamentado en la legislación vigente. Derecho de oposición al tratamiento (art. 21 RGPD) El INTERESADO tendrá derecho a oponerse al tratamiento de sus datos realizado por un RT por motivos relacionados con su situación particular. Motivos para ejercer el derecho Mercadotecnia directa. Servicios de la sociedad de información (e-commerce ). Tratamiento basado en la satisfacción de intereses legítimos del RT o de terceros, siempre que estos no prevalezcan sobre los intereses o los derechos y libertades del INTERESADO, especialmente si es un menor*. Elaboración de PERFILES. Tratamientos con fines de investigación histórica, estadística o científica, salvo que el tratamiento sea necesario por motivos de interés PÚBLICO. Menor* : En el artículo 8 del RGPD se establece la edad de los niños, como norma general, a los menores de 16 años, aunque cada Estado miembro puede establecer por ley una edad inferior a tales fines, siempre que no sea inferior a 13 años. En España se ha establecido en 14 años.
Razones para no dar curso al derecho Cuando no existan motivos para ejercer el derecho. Cuando el RT acredite motivos legítimos imperiosos que prevalezcan sobre los intereses o los derechos y las libertades del INTERESADO. Ejercicio del derecho Marcar los datos con el fin de no realizar ningún tratamiento posterior. Derecho a no ser objeto de una elaboración de PERFILES basada en un tratamiento AUTOMATIZADO (art. 22 RGPD) El INTERESADO tendrá derecho a no ser objeto de una elaboración de PERFILES cuya finalidad sea adoptar decisiones individuales basadas en un tratamiento AUTOMATIZADO de datos. Motivos para ejercer el derecho Cuando la finalidad del tratamiento sea adoptar decisiones individuales basadas en un tratamiento AUTOMATIZADO de datos y destinadas a evaluar, analizar o predecir alguno de los siguientes aspectos personales: Rendimiento profesional. Situación económica. Salud. Preferencias o intereses personales. Fiabilidad. Comportamiento. Ubicación o movimientos de la persona. Razones para no dar curso al derecho Cuando no existan motivos para ejercer el derecho. Cuando la decisión individual tomada no se base únicamente en un tratamiento AUTOMATIZADO. Cuando la decisión se base en un consentimiento explícito o sea necesaria para la celebración de un contrato entre el RT y el INTERESADO, y el RT haya adoptado medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del INTERESADO, como mínimo, el derecho a obtener intervención humana por parte del RT, a expresar su punto de vista y a impugnar la decisión.
Cuando la decisión se base en un tratamiento fundamentado en la legislación vigente. Ejercicio del derecho Informar si la decisión que pueda ser tomada puede producir efectos jurídicos que afecten significativamente al INTERESADO. Cuando el tratamiento haya sido autorizado mediante un consentimiento explícito o un contrato entre el RT y el INTERESADO, posibilitar el derecho a obtener la intervención humana por parte del RT y a que el INTERESADO pueda expresar su punto de vista e impugnar la decisión tomada. Según solicite el INTERESADO, ejercitar el derecho de acceso, rectificación, supresión o portabilidad de los datos; o el de limitación u oposición al tratamiento. El presente documento regula las instrucciones que deberá seguir, en todo caso, el personal de DiPacket, S.L. ante solicitudes de ejercicio de derechos en relación con el Tratamiento de los datos de los interesados. 1.- No será necesario comprobar si el interesado está en las bases de datos; es más, aunque no aparezca en ellas, si el interesado así lo manifiesta, debe poder presentar una solicitud. 2.- En un primer momento, se indicará al interesado que para el ejercicio de los derechos puede dirigirse directamente a:
DiPacket, S.L.. C/ EMBALSE DE NAVACERRADA, 51 - 28051 Madrid (Madrid). E-mail: soft@bipaquet.es 3.- Se debe identificar de forma inequívoca al interesado. 4.- Si, a pesar de haberle informado de los datos de contacto para el ejercicio de los derechos, el interesado quiere presentar una solicitud en el centro, DiPacket, S.L. ha aprobado un modelo de solicitud para el ejercicio de los mismos llamado «MODELO DE SOLICITUD DE EJERCICIO DE DERECHOS DEL INTERESADO». Es importante que consten todos los datos de contacto del interesado (incluido el teléfono) y que marque con una X la casilla correspondiente (solo una casilla) de ejercicio de derechos: Acceso a sus datos Rectificación de sus datos Supresión de sus datos Portabilidad de sus datos Limitación del tratamiento de sus datos Oposición al tratamiento de sus datos No ser objeto de elaboración de perfiles Así como la forma de darle respuesta: Correo certificado Correo electrónico 5.- Una vez cumplimentada la solicitud, el personal responsable hará constar la fecha y hora de la solicitud, se hará una copia y esta se entregará al solicitante. 6.- En caso de presentar la solicitud en el centro, inmediatamente se informará a DiPacket, S.L.. 7.- El interesado podrá ponerse en contacto con el DPO, en caso de existir, por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo del Reglamento.