Oct. 21, 2023
2. REGLAMENTO (UE) 2016/679 - Protección, tratamiento y libre circulación de datos personales de las personas físicas.
REGLAMENTO (UE) 2016/679 - Protección, tratamiento y libre circulación de datos personales de las personas físicas.
Aquí el vídeo de la explicación en https://youtu.be/8YUgKAhBmTc?si=pvOPpoxfvYc9lGlH
REGLAMENTO (UE) 2016/679 - Protección, tratamiento y libre circulación de datos personales de las personas físicas.
Aquí el vídeo de la explicación en YOUTUBE
1
00:00:00,670 --> 00:00:05,790
Muy buenas, vamos con el segundo
vídeo del Reglamento V 2016 679
2
00:00:05,790 --> 00:00:09,630
del Parlamento Europeo y del
Consejo de 27 de abril, relativo
3
00:00:09,630 --> 00:00:12,150
a la protección de las personas
físicas en lo que respecta al
4
00:00:12,150 --> 00:00:14,550
tratamiento de datos personales
y a la libre circulación de
5
00:00:14,550 --> 00:00:16,750
estos datos.
Como estamos en el segundo
6
00:00:16,750 --> 00:00:19,030
vídeo, vamos directamente al
capítulo cuatro que nos va a
7
00:00:19,030 --> 00:00:21,670
hablar del responsable del
tratamiento y del encargado.
8
00:00:21,670 --> 00:00:23,910
¿Nos acordamos de ellos, qué
vamos a ver?
9
00:00:23,910 --> 00:00:28,030
Artículos 24 a 43, un mix de lo
que nos interesa, quedándonos
10
00:00:28,030 --> 00:00:30,310
con lo importante.
¿Por dónde empezamos?
11
00:00:30,310 --> 00:00:32,070
Pues por el responsable del
tratamiento.
12
00:00:32,390 --> 00:00:35,750
¿Te acuerdas de su definición?
Cómo era persona física o
13
00:00:35,750 --> 00:00:38,790
jurídica, autoridad pública,
servicio u otro organismo que
14
00:00:38,790 --> 00:00:42,750
solo conjunto con otros
determina los fines y los medios
15
00:00:42,750 --> 00:00:45,910
del procedimiento.
¿Ahora que nos hemos acordado de
16
00:00:45,910 --> 00:00:48,950
quién era el responsable?
Vamos con unos detalles que lo
17
00:00:48,950 --> 00:00:51,670
vamos a coger de distintos
párrafos de distintos artículos,
18
00:00:52,070 --> 00:00:54,910
criterios específicos para el
nombramiento del responsable,
19
00:00:54,910 --> 00:00:58,350
pues podrá establecerlos el
derecho de la Unión o el derecho
20
00:00:58,390 --> 00:01:02,740
de los Estados miembros.
Cada responsable va a llevar un
21
00:01:02,740 --> 00:01:05,740
registro de las actividades de
tratamiento efectuadas bajo su
22
00:01:05,740 --> 00:01:08,420
responsabilidad, como una
libretica con todo lo que va
23
00:01:08,420 --> 00:01:11,140
haciendo, cada responsable lleva
un registro propio de
24
00:01:11,140 --> 00:01:13,220
actividades efectuadas bajo su
responsabilidad.
25
00:01:14,780 --> 00:01:18,020
Esas actividades llevarán
aplicadas unas medidas técnicas
26
00:01:18,020 --> 00:01:21,620
y organizativas apropiadas a fin
de garantizar y además, poder
27
00:01:21,620 --> 00:01:25,420
demostrar que el tratamiento que
está haciendo los datos
28
00:01:25,420 --> 00:01:28,900
personales que están bajo su
responsabilidad es conforme a lo
29
00:01:28,900 --> 00:01:31,970
que dice el presente Reglamento.
Y esas medidas que va a estar
30
00:01:31,970 --> 00:01:34,730
aplicando técnicas y
organizativas tienen que ser
31
00:01:34,730 --> 00:01:37,690
revisadas y actualizadas cuando
sea necesario.
32
00:01:39,440 --> 00:01:43,520
El responsable también va a
elegir únicamente a un encargado
33
00:01:43,520 --> 00:01:46,800
que ofrezca las garantías
suficientes para aplicar esas
34
00:01:46,800 --> 00:01:51,480
medidas técnicas y organizativas
apropiadas, garantizando en todo
35
00:01:51,480 --> 00:01:53,920
momento el derecho de los
interesados.
36
00:01:55,270 --> 00:01:58,190
Y si queréis algo más como
figura, tenemos a los
37
00:01:58,190 --> 00:02:01,990
corresponsables del tratamiento,
que es cuando 2 o más
38
00:02:01,990 --> 00:02:05,510
responsables determinan
conjuntamente los objetivos y
39
00:02:05,510 --> 00:02:09,470
los medios del tratamiento, pues
con esto ya tenemos una
40
00:02:09,470 --> 00:02:13,910
fotografía o un cuadro del
responsable del tratamiento.
41
00:02:14,430 --> 00:02:17,110
¿Y a quién le tocaría ahora?
¿Pues al encargado del
42
00:02:17,110 --> 00:02:19,910
tratamiento definición, te
acuerdas?
43
00:02:19,910 --> 00:02:23,750
Te la cuento persona física o
jurídica, autoridad pública,
44
00:02:23,750 --> 00:02:27,310
servicio u otro organismo que
trate datos personales por
45
00:02:27,310 --> 00:02:29,990
cuenta del responsable.
Del tratamiento.
46
00:02:30,760 --> 00:02:33,120
Una cosa, ya empezamos con los
detalles.
47
00:02:33,120 --> 00:02:36,880
El encargado del tratamiento no
recurrirá a otro encargado de
48
00:02:36,880 --> 00:02:41,160
encargado encargado no puede sin
la autorización previa ya por
49
00:02:41,160 --> 00:02:43,080
escrito, sin autorización previa
por escrito, ya se ha
50
00:02:43,080 --> 00:02:45,320
especificado general del
responsable.
51
00:02:45,320 --> 00:02:48,360
O sea, que el encargado de
encargado, no sin autorización
52
00:02:48,360 --> 00:02:51,360
por escrito específica o general
de responsable.
53
00:02:52,120 --> 00:02:54,880
Además, el encargado del
tratamiento y cualquier persona
54
00:02:54,880 --> 00:02:58,000
que actúe bajo la autoridad
tanto del responsable como del
55
00:02:58,000 --> 00:03:01,080
encargado, y que tenga acceso a
datos personales.
56
00:03:01,390 --> 00:03:04,950
Sólo podrá tratar esos datos
siguiendo instrucciones del
57
00:03:04,950 --> 00:03:09,670
responsable, a no ser que estén
obligados por el derecho a la
58
00:03:09,670 --> 00:03:13,710
Unión o por el derecho de los
Estados miembros y el encargado,
59
00:03:13,710 --> 00:03:18,150
al igual que el responsable,
llevará un registro de todas las
60
00:03:18,150 --> 00:03:20,710
actividades de tratamiento
efectuadas por cuenta del
61
00:03:20,750 --> 00:03:22,710
responsable.
Que esto es curioso, el
62
00:03:22,710 --> 00:03:25,910
responsable lleva un registro de
las actividades realizadas por
63
00:03:25,910 --> 00:03:29,150
el por sí mismo bajo su
responsabilidad, y el encargado
64
00:03:29,150 --> 00:03:31,870
también lleva un registro de las
actividades de tratamiento
65
00:03:31,870 --> 00:03:35,760
efectuadas por el responsable.
¿Qué más tenemos?
66
00:03:35,760 --> 00:03:40,240
Pues que el este registro,
además de actividades, se pondrá
67
00:03:40,240 --> 00:03:43,960
a disposición de la autoridad
control cuando esta lo solicite.
68
00:03:43,960 --> 00:03:45,320
¿Y quién es la autoridad de
control?
69
00:03:45,320 --> 00:03:50,590
Pues luego te lo digo al final.
Como detalle regulado en el
70
00:03:50,590 --> 00:03:55,030
artículo 35 del del Reglamento,
las obligaciones de registro de
71
00:03:55,030 --> 00:03:57,710
las actividades que tienen tanto
el responsable como el encargado
72
00:03:57,710 --> 00:04:01,070
no se van a aplicar a ninguna
empresa ni organización que
73
00:04:01,070 --> 00:04:05,350
emplee a menos de 250 personas.
Y esto lo vamos a marcar como
74
00:04:05,350 --> 00:04:08,030
posible pregunta esa examen,
esas obligaciones de registro de
75
00:04:08,030 --> 00:04:10,870
actividades del responsable del
encargado no se van a aplicar a
76
00:04:10,870 --> 00:04:14,310
empresas que empleen o que
tengan a menos de 250 personas,
77
00:04:14,310 --> 00:04:17,829
salvo que pueda entrañar un
riesgo para los derechos y
78
00:04:17,829 --> 00:04:21,660
libertades de los interesados.
Bien, pues aquí tendríamos
79
00:04:21,660 --> 00:04:25,260
también la fotografía del
encargado del tratamiento para
80
00:04:25,260 --> 00:04:30,180
aclararnos un poco, si quieres,
te doy la definición que viene
81
00:04:30,180 --> 00:04:32,900
en la propia web de la Comisión
Europea sobre el responsable y
82
00:04:32,900 --> 00:04:35,820
sobre el encargado y nos da un
ejemplo más que definición, nos
83
00:04:35,820 --> 00:04:39,700
da un ejemplo, nos dice que hay
una cervecería que tiene muchos
84
00:04:39,700 --> 00:04:42,500
empleados.
Esta cervecería firma un
85
00:04:42,500 --> 00:04:45,820
contrato con una empresa de
nóminas para poder pagar los
86
00:04:45,820 --> 00:04:49,580
salarios.
¿La cervecería, indica la
87
00:04:49,580 --> 00:04:52,900
empresa de nóminas cuándo tienen
que pagárse las nóminas?
88
00:04:52,900 --> 00:04:55,540
¿Cuándo un empleado se va de la
empresa?
89
00:04:55,770 --> 00:04:59,770
O si tiene un aumento de sueldo
y le proporciona además todo el
90
00:04:59,770 --> 00:05:02,210
resto de información que le hace
falta a la empresa de nóminas
91
00:05:02,490 --> 00:05:07,890
para el pago y lo y los datos,
ya está la empresa de nóminas
92
00:05:07,970 --> 00:05:12,410
proporciona el sistema
informático y conserva además
93
00:05:12,410 --> 00:05:16,650
los datos de los empleados,
pues, según el ejemplo que
94
00:05:16,650 --> 00:05:20,850
viene, dice que la cervecería
como tal es el responsable del
95
00:05:20,850 --> 00:05:24,890
tratamiento y la empresa de
nóminas es la encargada del
96
00:05:24,890 --> 00:05:27,210
tratamiento.
¿Te ha quedado Claro?
97
00:05:28,090 --> 00:05:31,370
Cervecería como responsable por
la original y por la
98
00:05:31,370 --> 00:05:34,130
contratación y la empresa de
nóminas como encargada del
99
00:05:34,130 --> 00:05:37,250
tratamiento a la que le pasas
los datos para que efectúe unas
100
00:05:37,250 --> 00:05:41,210
actividades avanzando un poco
tenemos al delegado de
101
00:05:41,210 --> 00:05:44,530
protección de datos que, como ya
dijimos en el vídeo anterior, es
102
00:05:44,530 --> 00:05:46,530
designado por el responsable y
por el encargado del
103
00:05:46,530 --> 00:05:49,570
tratamiento, atendiendo a las
cualidades profesionales y en
104
00:05:49,570 --> 00:05:51,570
particular a los conocimientos
que tiene que tener sobre
105
00:05:51,570 --> 00:05:54,490
derecho sobre protección de
datos y sobre capacidad para
106
00:05:54,490 --> 00:05:57,210
desempeñar las funciones que
viene regular en el artículo 39
107
00:05:57,210 --> 00:06:00,880
que veremos ahora después.
¿Una pregunta, cuándo vamos a
108
00:06:00,880 --> 00:06:04,760
designar sí o sí a un delegado
de protección de datos en 3
109
00:06:04,760 --> 00:06:06,480
causas?
Pues lo vamos a hacer cuando el
110
00:06:06,480 --> 00:06:09,400
tratamiento lo lleve a cabo una
autoridad, un organismo público,
111
00:06:09,680 --> 00:06:12,360
cuando el tratamiento consista
en operaciones que requieran una
112
00:06:12,360 --> 00:06:15,600
observancia habitual y
sistemática de los interesados a
113
00:06:15,600 --> 00:06:19,200
gran escala o cuando el
tratamiento sea a gran escala de
114
00:06:19,200 --> 00:06:22,480
categorías especiales de datos
personales y de datos relativos
115
00:06:22,480 --> 00:06:24,200
a condenas e infracciones
penales.
116
00:06:24,880 --> 00:06:27,720
Ahí tenemos sí o sí un delegado
de protección de datos.
117
00:06:28,310 --> 00:06:31,590
Vamos un poco más el responsable
y el encargado del tratamiento
118
00:06:31,590 --> 00:06:33,990
van a publicar los datos de
contacto, el de elevado de
119
00:06:33,990 --> 00:06:37,710
protección de datos y también lo
van a comunicar a la Autoridad
120
00:06:37,710 --> 00:06:40,980
de control.
El responsable y encargado van a
121
00:06:40,980 --> 00:06:43,540
garantizar que el delegado de
protección participe de forma
122
00:06:43,540 --> 00:06:46,340
adecuada y en tiempo en todas
las cuestiones relativas a la
123
00:06:46,340 --> 00:06:49,420
protección de datos.
Van a respaldarlo en el
124
00:06:49,420 --> 00:06:52,300
desempeño de sus funciones, van
a garantizar que no reciba
125
00:06:52,300 --> 00:06:54,860
ninguna instrucción, que no
respete al desempeño de esas
126
00:06:54,860 --> 00:06:58,030
funciones.
Ni el responsable ni el
127
00:06:58,030 --> 00:07:02,150
encargado van a poder destituir
ni sancionar al delegado por
128
00:07:02,150 --> 00:07:04,990
desempeñar sus funciones y en
delegado va a rendir cuenta
129
00:07:04,990 --> 00:07:07,870
directamente al más alto nivel
jerárquico del responsable y del
130
00:07:07,870 --> 00:07:10,150
encargado.
Además, el delegado también está
131
00:07:10,150 --> 00:07:13,150
obligado a mantener secreto y
confidencialidad en sus
132
00:07:13,150 --> 00:07:15,350
funciones.
Pero cuidado que puede
133
00:07:15,350 --> 00:07:18,190
desempeñar otras funciones y
cometidos siempre y cuando no dé
134
00:07:18,190 --> 00:07:21,350
lugar a conflicto de intereses.
¿Y esto es todo lo que tiene el
135
00:07:21,350 --> 00:07:23,550
Delegado de protección de datos
o no?
136
00:07:24,860 --> 00:07:27,060
¿Qué nos falta del delegado de
protección de datos?
137
00:07:27,500 --> 00:07:31,900
Una cosa que además es pregunta
de examen, sus funciones, qué
138
00:07:31,900 --> 00:07:34,860
funciones tiene el delegado de
protección de datos 5.
139
00:07:35,260 --> 00:07:37,980
Informar y asesorar al
responsable y encargado del
140
00:07:37,980 --> 00:07:40,660
tratamiento, supervisar el
cumplimiento del tratamiento,
141
00:07:40,660 --> 00:07:43,740
ofrecer asesoramiento, cooperar
con la Autoridad de Control y
142
00:07:43,740 --> 00:07:46,620
actuar como punto de contacto de
la Autoridad de Control para
143
00:07:46,620 --> 00:07:48,660
cuestiones relativas al
tratamiento, incluida la
144
00:07:48,660 --> 00:07:52,020
consulta previa.
Pues ahora sí, ahora sí tenemos
145
00:07:52,020 --> 00:07:54,380
al delegado de protección de
datos, o sea que hemos visto al
146
00:07:54,380 --> 00:07:57,020
responsable, hemos visto al
encargado y hemos visto al
147
00:07:57,020 --> 00:08:01,250
delegado de protección de datos.
Pero tengo que decirte que
148
00:08:01,250 --> 00:08:03,930
todavía nos queda un par de
cositas para terminar con el
149
00:08:03,930 --> 00:08:07,770
vídeo, ya lo siento.
La primera de ellas es la
150
00:08:07,810 --> 00:08:10,610
evaluación de impacto relativo a
la protección de datos y su
151
00:08:10,610 --> 00:08:13,730
consulta, que nos dice que esto
va como un cuadro aparte.
152
00:08:14,090 --> 00:08:17,850
Si un tratamiento de datos en
particular, si se usan nuevas
153
00:08:17,850 --> 00:08:21,370
tecnologías y puede entrañar ese
tratamiento usado con nuevas
154
00:08:21,370 --> 00:08:23,970
tecnologías, pueden tener un
alto riesgo para los derechos de
155
00:08:23,970 --> 00:08:26,610
las personas físicas, derechos y
libertades de las personas
156
00:08:26,610 --> 00:08:28,370
físicas.
En lo que respecta a sus datos
157
00:08:28,370 --> 00:08:31,560
personales.
El responsable antes del
158
00:08:31,560 --> 00:08:34,600
tratamiento, realizará una
evaluación de impacto sobre esa
159
00:08:34,600 --> 00:08:38,480
protección de datos con esa
evaluación de impacto podrá
160
00:08:38,840 --> 00:08:42,760
podrá hacer una consulta previa
del tratamiento a la autoridad
161
00:08:42,760 --> 00:08:45,840
de control.
A ver qué ocurre con ella para
162
00:08:45,840 --> 00:08:51,160
que esta autoridad asesore por
escrito al responsable, si el
163
00:08:51,160 --> 00:08:55,080
tratamiento que va a hacer
infringe lo lo que viene
164
00:08:55,080 --> 00:08:59,400
estipulado en el Reglamento y si
se ha identificado o mitigado el
165
00:08:59,400 --> 00:09:02,000
riesgo que puede hacer el
responsable del tratamiento.
166
00:09:02,230 --> 00:09:04,670
Bien, o sea, que el responsable
del tratamiento, cuando se van a
167
00:09:04,670 --> 00:09:07,070
utilizar nuevas tecnologías,
tiene que comprobar si hay un
168
00:09:07,070 --> 00:09:10,470
impacto y pueden una puede
saltarse lo que viene a
169
00:09:10,470 --> 00:09:13,110
estipular en el Reglamento o
puede haber un fallo de
170
00:09:13,110 --> 00:09:15,950
seguridad para los datos
personales.
171
00:09:16,710 --> 00:09:19,310
Con ello, hecha la consulta
hecha la suite a la Autoridad de
172
00:09:19,310 --> 00:09:22,470
control, la Autoridad de control
debe contestar, asesorar, debe
173
00:09:22,470 --> 00:09:28,230
asesorar al responsable en un
plazo de 8 semanas, prorrogable
174
00:09:28,230 --> 00:09:30,750
por 6 semanas más en caso de
complejidad.
175
00:09:30,950 --> 00:09:32,870
Y esta era la primera cosa que
os quería comentar.
176
00:09:33,540 --> 00:09:37,220
La otra viene con la seguridad
de los datos personales cuando
177
00:09:37,220 --> 00:09:39,900
hay una violación de los datos
personales, cuando hay una
178
00:09:39,900 --> 00:09:43,420
violación de los mismos, vale, y
aquí hay 2 vías de comunicación,
179
00:09:43,620 --> 00:09:46,940
una que va hacia los
interesados, que es comunicarle
180
00:09:46,980 --> 00:09:50,620
de forma lo más rápida posible
de lo que ha ocurrido y la otra
181
00:09:50,620 --> 00:09:52,940
vía es la comunicación a la
autoridad de control, que aquí
182
00:09:52,940 --> 00:09:55,300
es donde puede estar también la
pregunta de examen, el
183
00:09:55,300 --> 00:09:59,140
responsable del tratamiento otra
vez notificará a la Autoridad de
184
00:09:59,140 --> 00:10:04,220
Control sin dilación indebida y
a más tardar 72 horas después de
185
00:10:04,220 --> 00:10:06,380
que haya tenido constancia la
violación de los datos.
186
00:10:06,610 --> 00:10:09,410
Bien, esa es la pregunta de
examen sin dilación, sabe una
187
00:10:09,410 --> 00:10:12,450
vibración de datos el
responsable sin dilación debida
188
00:10:12,650 --> 00:10:17,410
y en un plazo máximo de 72 a más
tardar 72 horas si no lo hacen
189
00:10:17,410 --> 00:10:21,090
esas 72 horas, pues tendrá,
cuando lo haga, deberá ir
190
00:10:21,090 --> 00:10:23,530
acompañado de un informe y los
motivos de la tardanza.
191
00:10:23,890 --> 00:10:26,810
Y si en el momento que hace la
comunicación Autoridad de
192
00:10:26,810 --> 00:10:29,450
Control tampoco es posible
facilitar toda la información de
193
00:10:29,450 --> 00:10:32,770
lo que ha ocurrido con la
violación de datos y cómo
194
00:10:32,850 --> 00:10:36,330
entonces la información se irá
mandando de forma gradual, sin
195
00:10:36,330 --> 00:10:38,330
dilación de vida, conforme se
vaya conociendo.
196
00:10:38,760 --> 00:10:42,040
Bien, pues ya teníamos los 2
puntos que quería que quería
197
00:10:42,040 --> 00:10:45,240
hablar, pero me queda ya perdón,
una cosita más.
198
00:10:45,520 --> 00:10:48,880
¿Hemos estado hablando en varias
ocasiones y durante este vídeo
199
00:10:48,920 --> 00:10:53,040
de la autoridad de control, pero
qué es eso de la Autoridad de
200
00:10:53,040 --> 00:10:55,480
Control?
Pues en nuestro caso la
201
00:10:55,480 --> 00:10:58,480
Autoridad de control es la
Agencia Española de Protección
202
00:10:58,480 --> 00:11:02,880
de Datos que según el artículo
51, que entiendo que no entra,
203
00:11:02,880 --> 00:11:06,440
pero por si acaso lo vamos a
ver, dice que cada Estado
204
00:11:06,440 --> 00:11:10,000
miembro va a establecer quién va
a ser responsable.
205
00:11:10,680 --> 00:11:13,280
De supervisar la aplicación del
tratamiento.
206
00:11:13,870 --> 00:11:16,270
¿Quién va a ser responsable?
Pues va a ser la autoridad de
207
00:11:16,270 --> 00:11:18,470
control.
Pueden ser una o varias, vale
208
00:11:18,710 --> 00:11:21,630
con el fin vamos a tener esa
autoridad de control con el fin
209
00:11:21,630 --> 00:11:23,870
de proteger los derechos y
libertades fundamentales de las
210
00:11:23,870 --> 00:11:25,590
personas físicas.
En lo que respecta al
211
00:11:25,590 --> 00:11:27,590
tratamiento y a la libre
circulación de los datos
212
00:11:27,590 --> 00:11:29,310
personales.
¿Por eso, en nuestro caso,
213
00:11:29,310 --> 00:11:32,510
cuando hablamos de autoridad de
control, hablamos de la Agencia
214
00:11:32,510 --> 00:11:38,270
Española de Protección de Datos
y ahora sí, ya se acabó, no?
215
00:11:38,550 --> 00:11:41,710
¿Resumen y recogemos qué hemos
visto en este vídeo?
216
00:11:41,710 --> 00:11:44,190
Hemos visto al responsable,
hemos visto al encargado, hemos
217
00:11:44,190 --> 00:11:46,590
visto al delegado de protección
de datos, hemos visto la
218
00:11:46,590 --> 00:11:48,870
evaluación de impacto y su
consulta previa cuando hay un
219
00:11:48,870 --> 00:11:51,670
alto riesgo en el tratamiento de
datos de nuevas tecnologías,
220
00:11:51,670 --> 00:11:55,020
esas 8 semanas prorrogables.
Por 6 semanas más y el
221
00:11:55,020 --> 00:11:57,740
asesoramiento va por escrito por
parte de la Autoridad de
222
00:11:57,740 --> 00:12:00,300
Control, y también hemos visto
la violación de la seguridad de
223
00:12:00,300 --> 00:12:02,700
otras personas que se comunica a
la Autoridad de Control a la
224
00:12:02,700 --> 00:12:05,580
Agencia Española de Protección
de Datos en un plazo de 72 horas
225
00:12:05,580 --> 00:12:09,420
y también a los interesados.
Pues vale, ahora sí, apaga y
226
00:12:09,420 --> 00:12:11,060
vámonos.
Gracias.
227
00:12:11,210 --> 00:12:13,690
Gracias por todo, por
aguantarme, porque este sé que
228
00:12:13,690 --> 00:12:17,650
es un tema difícil, nos vemos
dentro de poquito.
229
00:12:17,650 --> 00:12:22,290
En otro vídeo, el podcast y el
resumen ya está preparado y ya
230
00:12:22,290 --> 00:12:33,530
está hasta otra.
Manera.
00:00:00,670 --> 00:00:05,790
Muy buenas, vamos con el segundo
vídeo del Reglamento V 2016 679
2
00:00:05,790 --> 00:00:09,630
del Parlamento Europeo y del
Consejo de 27 de abril, relativo
3
00:00:09,630 --> 00:00:12,150
a la protección de las personas
físicas en lo que respecta al
4
00:00:12,150 --> 00:00:14,550
tratamiento de datos personales
y a la libre circulación de
5
00:00:14,550 --> 00:00:16,750
estos datos.
Como estamos en el segundo
6
00:00:16,750 --> 00:00:19,030
vídeo, vamos directamente al
capítulo cuatro que nos va a
7
00:00:19,030 --> 00:00:21,670
hablar del responsable del
tratamiento y del encargado.
8
00:00:21,670 --> 00:00:23,910
¿Nos acordamos de ellos, qué
vamos a ver?
9
00:00:23,910 --> 00:00:28,030
Artículos 24 a 43, un mix de lo
que nos interesa, quedándonos
10
00:00:28,030 --> 00:00:30,310
con lo importante.
¿Por dónde empezamos?
11
00:00:30,310 --> 00:00:32,070
Pues por el responsable del
tratamiento.
12
00:00:32,390 --> 00:00:35,750
¿Te acuerdas de su definición?
Cómo era persona física o
13
00:00:35,750 --> 00:00:38,790
jurídica, autoridad pública,
servicio u otro organismo que
14
00:00:38,790 --> 00:00:42,750
solo conjunto con otros
determina los fines y los medios
15
00:00:42,750 --> 00:00:45,910
del procedimiento.
¿Ahora que nos hemos acordado de
16
00:00:45,910 --> 00:00:48,950
quién era el responsable?
Vamos con unos detalles que lo
17
00:00:48,950 --> 00:00:51,670
vamos a coger de distintos
párrafos de distintos artículos,
18
00:00:52,070 --> 00:00:54,910
criterios específicos para el
nombramiento del responsable,
19
00:00:54,910 --> 00:00:58,350
pues podrá establecerlos el
derecho de la Unión o el derecho
20
00:00:58,390 --> 00:01:02,740
de los Estados miembros.
Cada responsable va a llevar un
21
00:01:02,740 --> 00:01:05,740
registro de las actividades de
tratamiento efectuadas bajo su
22
00:01:05,740 --> 00:01:08,420
responsabilidad, como una
libretica con todo lo que va
23
00:01:08,420 --> 00:01:11,140
haciendo, cada responsable lleva
un registro propio de
24
00:01:11,140 --> 00:01:13,220
actividades efectuadas bajo su
responsabilidad.
25
00:01:14,780 --> 00:01:18,020
Esas actividades llevarán
aplicadas unas medidas técnicas
26
00:01:18,020 --> 00:01:21,620
y organizativas apropiadas a fin
de garantizar y además, poder
27
00:01:21,620 --> 00:01:25,420
demostrar que el tratamiento que
está haciendo los datos
28
00:01:25,420 --> 00:01:28,900
personales que están bajo su
responsabilidad es conforme a lo
29
00:01:28,900 --> 00:01:31,970
que dice el presente Reglamento.
Y esas medidas que va a estar
30
00:01:31,970 --> 00:01:34,730
aplicando técnicas y
organizativas tienen que ser
31
00:01:34,730 --> 00:01:37,690
revisadas y actualizadas cuando
sea necesario.
32
00:01:39,440 --> 00:01:43,520
El responsable también va a
elegir únicamente a un encargado
33
00:01:43,520 --> 00:01:46,800
que ofrezca las garantías
suficientes para aplicar esas
34
00:01:46,800 --> 00:01:51,480
medidas técnicas y organizativas
apropiadas, garantizando en todo
35
00:01:51,480 --> 00:01:53,920
momento el derecho de los
interesados.
36
00:01:55,270 --> 00:01:58,190
Y si queréis algo más como
figura, tenemos a los
37
00:01:58,190 --> 00:02:01,990
corresponsables del tratamiento,
que es cuando 2 o más
38
00:02:01,990 --> 00:02:05,510
responsables determinan
conjuntamente los objetivos y
39
00:02:05,510 --> 00:02:09,470
los medios del tratamiento, pues
con esto ya tenemos una
40
00:02:09,470 --> 00:02:13,910
fotografía o un cuadro del
responsable del tratamiento.
41
00:02:14,430 --> 00:02:17,110
¿Y a quién le tocaría ahora?
¿Pues al encargado del
42
00:02:17,110 --> 00:02:19,910
tratamiento definición, te
acuerdas?
43
00:02:19,910 --> 00:02:23,750
Te la cuento persona física o
jurídica, autoridad pública,
44
00:02:23,750 --> 00:02:27,310
servicio u otro organismo que
trate datos personales por
45
00:02:27,310 --> 00:02:29,990
cuenta del responsable.
Del tratamiento.
46
00:02:30,760 --> 00:02:33,120
Una cosa, ya empezamos con los
detalles.
47
00:02:33,120 --> 00:02:36,880
El encargado del tratamiento no
recurrirá a otro encargado de
48
00:02:36,880 --> 00:02:41,160
encargado encargado no puede sin
la autorización previa ya por
49
00:02:41,160 --> 00:02:43,080
escrito, sin autorización previa
por escrito, ya se ha
50
00:02:43,080 --> 00:02:45,320
especificado general del
responsable.
51
00:02:45,320 --> 00:02:48,360
O sea, que el encargado de
encargado, no sin autorización
52
00:02:48,360 --> 00:02:51,360
por escrito específica o general
de responsable.
53
00:02:52,120 --> 00:02:54,880
Además, el encargado del
tratamiento y cualquier persona
54
00:02:54,880 --> 00:02:58,000
que actúe bajo la autoridad
tanto del responsable como del
55
00:02:58,000 --> 00:03:01,080
encargado, y que tenga acceso a
datos personales.
56
00:03:01,390 --> 00:03:04,950
Sólo podrá tratar esos datos
siguiendo instrucciones del
57
00:03:04,950 --> 00:03:09,670
responsable, a no ser que estén
obligados por el derecho a la
58
00:03:09,670 --> 00:03:13,710
Unión o por el derecho de los
Estados miembros y el encargado,
59
00:03:13,710 --> 00:03:18,150
al igual que el responsable,
llevará un registro de todas las
60
00:03:18,150 --> 00:03:20,710
actividades de tratamiento
efectuadas por cuenta del
61
00:03:20,750 --> 00:03:22,710
responsable.
Que esto es curioso, el
62
00:03:22,710 --> 00:03:25,910
responsable lleva un registro de
las actividades realizadas por
63
00:03:25,910 --> 00:03:29,150
el por sí mismo bajo su
responsabilidad, y el encargado
64
00:03:29,150 --> 00:03:31,870
también lleva un registro de las
actividades de tratamiento
65
00:03:31,870 --> 00:03:35,760
efectuadas por el responsable.
¿Qué más tenemos?
66
00:03:35,760 --> 00:03:40,240
Pues que el este registro,
además de actividades, se pondrá
67
00:03:40,240 --> 00:03:43,960
a disposición de la autoridad
control cuando esta lo solicite.
68
00:03:43,960 --> 00:03:45,320
¿Y quién es la autoridad de
control?
69
00:03:45,320 --> 00:03:50,590
Pues luego te lo digo al final.
Como detalle regulado en el
70
00:03:50,590 --> 00:03:55,030
artículo 35 del del Reglamento,
las obligaciones de registro de
71
00:03:55,030 --> 00:03:57,710
las actividades que tienen tanto
el responsable como el encargado
72
00:03:57,710 --> 00:04:01,070
no se van a aplicar a ninguna
empresa ni organización que
73
00:04:01,070 --> 00:04:05,350
emplee a menos de 250 personas.
Y esto lo vamos a marcar como
74
00:04:05,350 --> 00:04:08,030
posible pregunta esa examen,
esas obligaciones de registro de
75
00:04:08,030 --> 00:04:10,870
actividades del responsable del
encargado no se van a aplicar a
76
00:04:10,870 --> 00:04:14,310
empresas que empleen o que
tengan a menos de 250 personas,
77
00:04:14,310 --> 00:04:17,829
salvo que pueda entrañar un
riesgo para los derechos y
78
00:04:17,829 --> 00:04:21,660
libertades de los interesados.
Bien, pues aquí tendríamos
79
00:04:21,660 --> 00:04:25,260
también la fotografía del
encargado del tratamiento para
80
00:04:25,260 --> 00:04:30,180
aclararnos un poco, si quieres,
te doy la definición que viene
81
00:04:30,180 --> 00:04:32,900
en la propia web de la Comisión
Europea sobre el responsable y
82
00:04:32,900 --> 00:04:35,820
sobre el encargado y nos da un
ejemplo más que definición, nos
83
00:04:35,820 --> 00:04:39,700
da un ejemplo, nos dice que hay
una cervecería que tiene muchos
84
00:04:39,700 --> 00:04:42,500
empleados.
Esta cervecería firma un
85
00:04:42,500 --> 00:04:45,820
contrato con una empresa de
nóminas para poder pagar los
86
00:04:45,820 --> 00:04:49,580
salarios.
¿La cervecería, indica la
87
00:04:49,580 --> 00:04:52,900
empresa de nóminas cuándo tienen
que pagárse las nóminas?
88
00:04:52,900 --> 00:04:55,540
¿Cuándo un empleado se va de la
empresa?
89
00:04:55,770 --> 00:04:59,770
O si tiene un aumento de sueldo
y le proporciona además todo el
90
00:04:59,770 --> 00:05:02,210
resto de información que le hace
falta a la empresa de nóminas
91
00:05:02,490 --> 00:05:07,890
para el pago y lo y los datos,
ya está la empresa de nóminas
92
00:05:07,970 --> 00:05:12,410
proporciona el sistema
informático y conserva además
93
00:05:12,410 --> 00:05:16,650
los datos de los empleados,
pues, según el ejemplo que
94
00:05:16,650 --> 00:05:20,850
viene, dice que la cervecería
como tal es el responsable del
95
00:05:20,850 --> 00:05:24,890
tratamiento y la empresa de
nóminas es la encargada del
96
00:05:24,890 --> 00:05:27,210
tratamiento.
¿Te ha quedado Claro?
97
00:05:28,090 --> 00:05:31,370
Cervecería como responsable por
la original y por la
98
00:05:31,370 --> 00:05:34,130
contratación y la empresa de
nóminas como encargada del
99
00:05:34,130 --> 00:05:37,250
tratamiento a la que le pasas
los datos para que efectúe unas
100
00:05:37,250 --> 00:05:41,210
actividades avanzando un poco
tenemos al delegado de
101
00:05:41,210 --> 00:05:44,530
protección de datos que, como ya
dijimos en el vídeo anterior, es
102
00:05:44,530 --> 00:05:46,530
designado por el responsable y
por el encargado del
103
00:05:46,530 --> 00:05:49,570
tratamiento, atendiendo a las
cualidades profesionales y en
104
00:05:49,570 --> 00:05:51,570
particular a los conocimientos
que tiene que tener sobre
105
00:05:51,570 --> 00:05:54,490
derecho sobre protección de
datos y sobre capacidad para
106
00:05:54,490 --> 00:05:57,210
desempeñar las funciones que
viene regular en el artículo 39
107
00:05:57,210 --> 00:06:00,880
que veremos ahora después.
¿Una pregunta, cuándo vamos a
108
00:06:00,880 --> 00:06:04,760
designar sí o sí a un delegado
de protección de datos en 3
109
00:06:04,760 --> 00:06:06,480
causas?
Pues lo vamos a hacer cuando el
110
00:06:06,480 --> 00:06:09,400
tratamiento lo lleve a cabo una
autoridad, un organismo público,
111
00:06:09,680 --> 00:06:12,360
cuando el tratamiento consista
en operaciones que requieran una
112
00:06:12,360 --> 00:06:15,600
observancia habitual y
sistemática de los interesados a
113
00:06:15,600 --> 00:06:19,200
gran escala o cuando el
tratamiento sea a gran escala de
114
00:06:19,200 --> 00:06:22,480
categorías especiales de datos
personales y de datos relativos
115
00:06:22,480 --> 00:06:24,200
a condenas e infracciones
penales.
116
00:06:24,880 --> 00:06:27,720
Ahí tenemos sí o sí un delegado
de protección de datos.
117
00:06:28,310 --> 00:06:31,590
Vamos un poco más el responsable
y el encargado del tratamiento
118
00:06:31,590 --> 00:06:33,990
van a publicar los datos de
contacto, el de elevado de
119
00:06:33,990 --> 00:06:37,710
protección de datos y también lo
van a comunicar a la Autoridad
120
00:06:37,710 --> 00:06:40,980
de control.
El responsable y encargado van a
121
00:06:40,980 --> 00:06:43,540
garantizar que el delegado de
protección participe de forma
122
00:06:43,540 --> 00:06:46,340
adecuada y en tiempo en todas
las cuestiones relativas a la
123
00:06:46,340 --> 00:06:49,420
protección de datos.
Van a respaldarlo en el
124
00:06:49,420 --> 00:06:52,300
desempeño de sus funciones, van
a garantizar que no reciba
125
00:06:52,300 --> 00:06:54,860
ninguna instrucción, que no
respete al desempeño de esas
126
00:06:54,860 --> 00:06:58,030
funciones.
Ni el responsable ni el
127
00:06:58,030 --> 00:07:02,150
encargado van a poder destituir
ni sancionar al delegado por
128
00:07:02,150 --> 00:07:04,990
desempeñar sus funciones y en
delegado va a rendir cuenta
129
00:07:04,990 --> 00:07:07,870
directamente al más alto nivel
jerárquico del responsable y del
130
00:07:07,870 --> 00:07:10,150
encargado.
Además, el delegado también está
131
00:07:10,150 --> 00:07:13,150
obligado a mantener secreto y
confidencialidad en sus
132
00:07:13,150 --> 00:07:15,350
funciones.
Pero cuidado que puede
133
00:07:15,350 --> 00:07:18,190
desempeñar otras funciones y
cometidos siempre y cuando no dé
134
00:07:18,190 --> 00:07:21,350
lugar a conflicto de intereses.
¿Y esto es todo lo que tiene el
135
00:07:21,350 --> 00:07:23,550
Delegado de protección de datos
o no?
136
00:07:24,860 --> 00:07:27,060
¿Qué nos falta del delegado de
protección de datos?
137
00:07:27,500 --> 00:07:31,900
Una cosa que además es pregunta
de examen, sus funciones, qué
138
00:07:31,900 --> 00:07:34,860
funciones tiene el delegado de
protección de datos 5.
139
00:07:35,260 --> 00:07:37,980
Informar y asesorar al
responsable y encargado del
140
00:07:37,980 --> 00:07:40,660
tratamiento, supervisar el
cumplimiento del tratamiento,
141
00:07:40,660 --> 00:07:43,740
ofrecer asesoramiento, cooperar
con la Autoridad de Control y
142
00:07:43,740 --> 00:07:46,620
actuar como punto de contacto de
la Autoridad de Control para
143
00:07:46,620 --> 00:07:48,660
cuestiones relativas al
tratamiento, incluida la
144
00:07:48,660 --> 00:07:52,020
consulta previa.
Pues ahora sí, ahora sí tenemos
145
00:07:52,020 --> 00:07:54,380
al delegado de protección de
datos, o sea que hemos visto al
146
00:07:54,380 --> 00:07:57,020
responsable, hemos visto al
encargado y hemos visto al
147
00:07:57,020 --> 00:08:01,250
delegado de protección de datos.
Pero tengo que decirte que
148
00:08:01,250 --> 00:08:03,930
todavía nos queda un par de
cositas para terminar con el
149
00:08:03,930 --> 00:08:07,770
vídeo, ya lo siento.
La primera de ellas es la
150
00:08:07,810 --> 00:08:10,610
evaluación de impacto relativo a
la protección de datos y su
151
00:08:10,610 --> 00:08:13,730
consulta, que nos dice que esto
va como un cuadro aparte.
152
00:08:14,090 --> 00:08:17,850
Si un tratamiento de datos en
particular, si se usan nuevas
153
00:08:17,850 --> 00:08:21,370
tecnologías y puede entrañar ese
tratamiento usado con nuevas
154
00:08:21,370 --> 00:08:23,970
tecnologías, pueden tener un
alto riesgo para los derechos de
155
00:08:23,970 --> 00:08:26,610
las personas físicas, derechos y
libertades de las personas
156
00:08:26,610 --> 00:08:28,370
físicas.
En lo que respecta a sus datos
157
00:08:28,370 --> 00:08:31,560
personales.
El responsable antes del
158
00:08:31,560 --> 00:08:34,600
tratamiento, realizará una
evaluación de impacto sobre esa
159
00:08:34,600 --> 00:08:38,480
protección de datos con esa
evaluación de impacto podrá
160
00:08:38,840 --> 00:08:42,760
podrá hacer una consulta previa
del tratamiento a la autoridad
161
00:08:42,760 --> 00:08:45,840
de control.
A ver qué ocurre con ella para
162
00:08:45,840 --> 00:08:51,160
que esta autoridad asesore por
escrito al responsable, si el
163
00:08:51,160 --> 00:08:55,080
tratamiento que va a hacer
infringe lo lo que viene
164
00:08:55,080 --> 00:08:59,400
estipulado en el Reglamento y si
se ha identificado o mitigado el
165
00:08:59,400 --> 00:09:02,000
riesgo que puede hacer el
responsable del tratamiento.
166
00:09:02,230 --> 00:09:04,670
Bien, o sea, que el responsable
del tratamiento, cuando se van a
167
00:09:04,670 --> 00:09:07,070
utilizar nuevas tecnologías,
tiene que comprobar si hay un
168
00:09:07,070 --> 00:09:10,470
impacto y pueden una puede
saltarse lo que viene a
169
00:09:10,470 --> 00:09:13,110
estipular en el Reglamento o
puede haber un fallo de
170
00:09:13,110 --> 00:09:15,950
seguridad para los datos
personales.
171
00:09:16,710 --> 00:09:19,310
Con ello, hecha la consulta
hecha la suite a la Autoridad de
172
00:09:19,310 --> 00:09:22,470
control, la Autoridad de control
debe contestar, asesorar, debe
173
00:09:22,470 --> 00:09:28,230
asesorar al responsable en un
plazo de 8 semanas, prorrogable
174
00:09:28,230 --> 00:09:30,750
por 6 semanas más en caso de
complejidad.
175
00:09:30,950 --> 00:09:32,870
Y esta era la primera cosa que
os quería comentar.
176
00:09:33,540 --> 00:09:37,220
La otra viene con la seguridad
de los datos personales cuando
177
00:09:37,220 --> 00:09:39,900
hay una violación de los datos
personales, cuando hay una
178
00:09:39,900 --> 00:09:43,420
violación de los mismos, vale, y
aquí hay 2 vías de comunicación,
179
00:09:43,620 --> 00:09:46,940
una que va hacia los
interesados, que es comunicarle
180
00:09:46,980 --> 00:09:50,620
de forma lo más rápida posible
de lo que ha ocurrido y la otra
181
00:09:50,620 --> 00:09:52,940
vía es la comunicación a la
autoridad de control, que aquí
182
00:09:52,940 --> 00:09:55,300
es donde puede estar también la
pregunta de examen, el
183
00:09:55,300 --> 00:09:59,140
responsable del tratamiento otra
vez notificará a la Autoridad de
184
00:09:59,140 --> 00:10:04,220
Control sin dilación indebida y
a más tardar 72 horas después de
185
00:10:04,220 --> 00:10:06,380
que haya tenido constancia la
violación de los datos.
186
00:10:06,610 --> 00:10:09,410
Bien, esa es la pregunta de
examen sin dilación, sabe una
187
00:10:09,410 --> 00:10:12,450
vibración de datos el
responsable sin dilación debida
188
00:10:12,650 --> 00:10:17,410
y en un plazo máximo de 72 a más
tardar 72 horas si no lo hacen
189
00:10:17,410 --> 00:10:21,090
esas 72 horas, pues tendrá,
cuando lo haga, deberá ir
190
00:10:21,090 --> 00:10:23,530
acompañado de un informe y los
motivos de la tardanza.
191
00:10:23,890 --> 00:10:26,810
Y si en el momento que hace la
comunicación Autoridad de
192
00:10:26,810 --> 00:10:29,450
Control tampoco es posible
facilitar toda la información de
193
00:10:29,450 --> 00:10:32,770
lo que ha ocurrido con la
violación de datos y cómo
194
00:10:32,850 --> 00:10:36,330
entonces la información se irá
mandando de forma gradual, sin
195
00:10:36,330 --> 00:10:38,330
dilación de vida, conforme se
vaya conociendo.
196
00:10:38,760 --> 00:10:42,040
Bien, pues ya teníamos los 2
puntos que quería que quería
197
00:10:42,040 --> 00:10:45,240
hablar, pero me queda ya perdón,
una cosita más.
198
00:10:45,520 --> 00:10:48,880
¿Hemos estado hablando en varias
ocasiones y durante este vídeo
199
00:10:48,920 --> 00:10:53,040
de la autoridad de control, pero
qué es eso de la Autoridad de
200
00:10:53,040 --> 00:10:55,480
Control?
Pues en nuestro caso la
201
00:10:55,480 --> 00:10:58,480
Autoridad de control es la
Agencia Española de Protección
202
00:10:58,480 --> 00:11:02,880
de Datos que según el artículo
51, que entiendo que no entra,
203
00:11:02,880 --> 00:11:06,440
pero por si acaso lo vamos a
ver, dice que cada Estado
204
00:11:06,440 --> 00:11:10,000
miembro va a establecer quién va
a ser responsable.
205
00:11:10,680 --> 00:11:13,280
De supervisar la aplicación del
tratamiento.
206
00:11:13,870 --> 00:11:16,270
¿Quién va a ser responsable?
Pues va a ser la autoridad de
207
00:11:16,270 --> 00:11:18,470
control.
Pueden ser una o varias, vale
208
00:11:18,710 --> 00:11:21,630
con el fin vamos a tener esa
autoridad de control con el fin
209
00:11:21,630 --> 00:11:23,870
de proteger los derechos y
libertades fundamentales de las
210
00:11:23,870 --> 00:11:25,590
personas físicas.
En lo que respecta al
211
00:11:25,590 --> 00:11:27,590
tratamiento y a la libre
circulación de los datos
212
00:11:27,590 --> 00:11:29,310
personales.
¿Por eso, en nuestro caso,
213
00:11:29,310 --> 00:11:32,510
cuando hablamos de autoridad de
control, hablamos de la Agencia
214
00:11:32,510 --> 00:11:38,270
Española de Protección de Datos
y ahora sí, ya se acabó, no?
215
00:11:38,550 --> 00:11:41,710
¿Resumen y recogemos qué hemos
visto en este vídeo?
216
00:11:41,710 --> 00:11:44,190
Hemos visto al responsable,
hemos visto al encargado, hemos
217
00:11:44,190 --> 00:11:46,590
visto al delegado de protección
de datos, hemos visto la
218
00:11:46,590 --> 00:11:48,870
evaluación de impacto y su
consulta previa cuando hay un
219
00:11:48,870 --> 00:11:51,670
alto riesgo en el tratamiento de
datos de nuevas tecnologías,
220
00:11:51,670 --> 00:11:55,020
esas 8 semanas prorrogables.
Por 6 semanas más y el
221
00:11:55,020 --> 00:11:57,740
asesoramiento va por escrito por
parte de la Autoridad de
222
00:11:57,740 --> 00:12:00,300
Control, y también hemos visto
la violación de la seguridad de
223
00:12:00,300 --> 00:12:02,700
otras personas que se comunica a
la Autoridad de Control a la
224
00:12:02,700 --> 00:12:05,580
Agencia Española de Protección
de Datos en un plazo de 72 horas
225
00:12:05,580 --> 00:12:09,420
y también a los interesados.
Pues vale, ahora sí, apaga y
226
00:12:09,420 --> 00:12:11,060
vámonos.
Gracias.
227
00:12:11,210 --> 00:12:13,690
Gracias por todo, por
aguantarme, porque este sé que
228
00:12:13,690 --> 00:12:17,650
es un tema difícil, nos vemos
dentro de poquito.
229
00:12:17,650 --> 00:12:22,290
En otro vídeo, el podcast y el
resumen ya está preparado y ya
230
00:12:22,290 --> 00:12:33,530
está hasta otra.
Manera.
