Protecció de dades

RGPD – La Base Jurídica del Tractament de Dades a Europa

ama · 26/03/2018 · Deixa un comentari

Reglament Europeu de Protecció de Dades

L’article 6 RGPD estableix que el tractament de dades solament serà lícit en la mesura en què es doni, almenys, una de les següents circumstàncies:

Que l’interessat hagi prestat els seus consentiment per a finalitats específiques.
Que el tractament sigui necessari per a l’execució d’un contracte del que l’interessat és part o per aplicar, a petició de l’interessat, mesures precontractuales.
Que el tractament sigui necessari per al compliment d’una obligació legal del responsable del tractament.
Que el tractament sigui necessari per protegir interessos vitals de l’interessat o una altra persona física.
Que el tractament sigui necessari per al compliment d’una missió realitzada en interès públic o en l’exercici de poders públics conferits al responsable del tractament.
Que el tractament sigui necessari per satisfer un interès legítim perseguit pel responsable del tractament o per un tercer, sempre que no prevalguin els interessos o els drets i llibertats fonamentals de l’interessat.

Aquestes condicions es veuen reforçades quan es tracten categories especials de dades personals (article 9 RGPD), el consentiment per al tractament d’aquest tipus de dades ha de ser explícit.

Diferències entre RGPD i LOPD

La principal diferència que presenta el règim de bases jurídiques del *RGPD respecte de l’establert en la normativa espanyola de protecció de dades és que passem d’un sistema en el qual el consentiment és la base jurídica principal del tractament, configurant-se la resta de bases jurídiques com a excepcions al consentiment (article 6 LOPD), a un sistema en el qual existeixen diferents bases jurídiques, totes elles del mateix valor, entre les quals el consentiment és una base jurídica més, igual de rellevant que la resta.

reglamento europeo lopd

Una altra diferència és que la normativa espanyola regula de forma separada les bases jurídiques que justifiquen la cessió de dades, establint novament el consentiment com a base jurídica general i complementant-ho amb excepcions (article 11 LOPD). En canvi, el RGPD no distingeix les comunicacions de de dades d’altres tipus de tractament.

Finalment, hem de tenir en compte la importància de determinar correctament la base jurídica del tractament que pretén realitzar-se, ja que, sense la concurrència de base jurídica, no cap el tractament de dades i, per tant, el tractament que es realitzi serà il·lícit.

La base juridica del tractament és una dada del que s’haurà d’informar als interessats al moment de recollir les seves dades personals, la qual cosa obligarà als responsables del tractament a analitzar aquest punt amb especial cura i, en tot cas, amb caràcter previ a l’inici del tractament.

Si vols més informació del nou reglament europeu de protecció de dades i com pot afectar a la teva empresa no dubtis en contactar amb Qualgest.

La AEPD registra més de 10.500 reclamacions al 2017

ama · 23/03/2018 · Deixa un comentari

Madrid, 27 feb (EFE).- L’Agència Espanyola de Protecció de Dades (AEPD) ha registrat 10.571 reclamacions en 2017 per denúncies de ciutadans i tuteles de dret, segons dades facilitades per la seva directora, Mar Espanya, qui ha valorat l’impuls a la privadesa que ofereix el nou reglament de protecció de dades europeu.

Mar Espanya ha comparegut avui en la Comissió de Justícia del Congrés dels Diputats i ha destacat la rellevància d’agilitar la tramitació del projecte de llei espanyol de protecció de dades actualment en tramitació parlamentària per adaptar la legislació d’aquest país al nou reglament europeu.

Nou reglament europeu de protecció de dades

Ha recordat que aquest reglament serà d’obligat compliment per a tots els Estats membres a partir del 25 de maig, i ha advertit que les noves obligacions sobre procediments transfronterers en el tractament de dades personals suposaran càrregues de treball afegides per a les agències competents, i que en el cas de l’AEPD podrien «duplicar-se o triplicar-se».

Mar Espanya ha explicat que les reclamacions contra empreses amb establiments a diversos països de la UE o amb serveis que afectin a ciutadans de diferents territoris en la Unió implicaran per a la seva gestió la participació de les autoritats de protecció de dades dels territoris on operi la companyia, i en alguns casos fins i tot quan la denúncia sigui formulada fora d’ells.

reclamaciones aepd 2017

Segons la directora de l’AEPD, això suposa un canvi transcendental respecte als procediments actuals de gestió de les reclamacions sobre privadesa dels ciutadans, atès que fins ara cada autoritat de protecció de dades actuava pel seu compte al seu propi territori i no obstant això ara s’exigeix cooperació de totes elles en certs casos.

Pot ocórrer que fins i tot una agència de protecció de dades es vegi obligada a liderar el procés de resolució d’un procediment encara que la denúncia hagi estat formulada per un ciutadà d’un altre país europeu diferent al d’aquesta autoritat.

Dret a l’oblit a Google

Per exemple en el cas de Google, si un ciutadà espanyol presenta una reclamació sobre dret a l’oblit a Espanya, aquesta serà traslladada per l’Agència espanyola de dades a la d’Irlanda, que és on suposadament estaria l’establiment principal de la tecnològica en la UE.

A continuació, l’autoritat de protecció de dades irlandesa lideraria el procés però amb la col·laboració de la resta d’agències implicades, que en aquest cas serien totes les de la UE atès que Google opera en tota la Unió.

Durant la compareixença s’ha destacat el canvi transcendental que implicarà el nou reglament europeu respecte a com han de tractar-se legalment les dades personals per part de les empreses per garantir una major privadesa, amb l’exigència inequívoca del ciutadà que realment accepta el tractament de dades personals per part de tercers per a ús propi.

Les sancions per incompliment del reglament aconseguiran quanties de fins a 20 milions d’euros o el 4 per cent màxim del volum de facturació anual global de l’empresa.

font: La Vanguardia

Facebook vol assegurar-se que tots els seus productes i serveis s’ajusten al reglament de protecció de dades europeu

ama · 13/03/2018 · Deixa un comentari

Privacitat de Facebook i protecció de dades

Facebook vol assegurar-se que tots els seus productes i serveis s’ajusten al reglament de protecció de dades europeu i la setmana vinent farà una prova per comprovar-ho amb l’enviament d’informació individualitzada a un reduït grup d’usuaris sobre opcions disponibles relacionades amb la privadesa.

La setmana vinent “llançarem una prova limitada sobre algunes de les opcions addicionals” en matèria de privadesa per als usuaris, amb “més detalls de com funcionen els nostres serveis” per complir amb el nou reglament europeu de protecció de dades, ha explicat a *Efefuturo Rob *Sherman, responsable de privadesa de Facebook.

Encara que tots els usuaris de Facebook en la UE acabaran visualitzant aquesta informació, es començarà amb un petit percentatge de persones per estar segurs que tot funciona correctament, ha afegit.

Facebook és una de les moltes organitzacions que ultima detalls per adaptar-se al Reglament General de Protecció de Dades (RGPD) de la UE que serà d’obligat compliment a partir del 25 de maig per a les empreses de tots els Estats membres i aquelles situades fora si presten serveis en la Unió Europea.
Informació en els perfils

Informació dels perfils de Facebook

Com a part de la prova, es demanarà a les persones que hagin triat prèviament compartir en els seus perfils informació sobre política, religió i altres interessos que comprovin si volen continuar compartint-la.

Se’ls preguntarà si desitgen que la plataforma utilitzi alguns d’aquestes dades per personalitzar continguts o mostrar-los anuncis. Sempre es podrà optar per editar o esborrar aquesta informació.

Els usuaris podran manifestar si els agrada la publicació d’aquestes dades, si volen mantenir-los o no i se’ls explicarà com usa la plataforma la seva informació.

D’altra banda, l’usuari podrà triar si habilita l’opció del reconeixement facial no disponible prèviament en la UE.

Reconeixement facial i protecció de dades de caràcter personal

Utilitzar el reconeixement facial en la plataforma és totalment opcional: es pot optar per mantenir-ho si ho especifica l’usuari o no activar-ho. Aquestes opcions les decideix la persona quan vulgues i pot modificar la seva opinió a qualsevol moment, ha explicat el responsable de Facebook.

Ha precisat que qui triï mantenir el reconeixement facial serà avisat quan una altra persona pugi una foto seva com a imatge de perfil. “Fem això per evitar que les persones es facin passar per uns altres en Facebook”.

“T’informarem si estàs en una foto i ets part del públic, fins i tot si no t’han etiquetat”; un pot triar etiquetar-se, no fer-ho o comunicar-se amb la persona que va publicar una foto concreta si té dubtes sobre aquest tema.

També s’intentarà que les persones amb discapacitat visual treguin partit a Facebook.

Fa dos anys, la plataforma va presentar una eina automàtica de text alternatiu que descriu les fotografies a la gent amb pèrdues de visió. Ara, amb el reconeixement facial, les persones amb discapacitat visual que utilitzin lectors de pantalla sabran qui apareix en les fotos de la seva “*NewsFeed” encara que aquests no estiguin etiquetats.

Avaluació de l’impacte (AIPD) al Nou Reglament de Protecció de Dades

ama · 27/02/2018 · Deixa un comentari

L’AVALUACIÓ DE L’IMPACTE SOBRE LA SEGURETAT DE LA INFORMACIÓ.

Principis de responsabilitat proactiva (ACCOUNTABILITY)

Necessitat que el responsable del tractament apliqui mesures tècniques i organitzatives apropiades a fi de garantir i poder demostrar que el tractament és conforme al reglament.

Actitud conscient, diligent i proactiva

Què és una Avaluació d’Impacte de Protecció de Dades?

Una Avaluació d’Impacte en la Protecció de Dades Personals (AIPD) és una anàlisi del risc del tractament de les dades. El resultat d’aquesta avaluació de l’impacte determinarà quines són les accions que s’han de corregir o implementar per assegurar una correcta gestió de les dades personals.

Protecció de dades des del disseny i per defecte (PxD i PdD)

El responsable del tractament apliqués tant al moment de determinar els mitjans de tractament com al moment del propi tractament, mesures tècniques i organitzatives, apropiades a fi de complir els requisits del Reglament i protegir els drets dels interessats.

Què?:

Quan el tractament de les dades comporti un ALT risc per als drets i les llibertats dels interessats.

Quan?:

Amb caràcter previ a l’inici del tractament.

Perquè?:

Per determinar les mesures tècniques i organitzatives necessàries i adequades per vetllar per la seguretat de la informació.

Seguretat de les dades personals

El responsable i l’encarregat del tractament han d’aplicar mesures tècniques i organitzatives apropiades per garantir un nivell de seguretat adequat al risc que, si escau, inclogui, entre uns altres:

La seudonimizació i el xifrat de dades personals
La capacitat de garantir la confidencialitat, integritat, disponibilitat i resiliència permanent dels sistemes i serveis de tractament

Conseqüències de no realitzar l’Avaluació de l’impacte correctament

Si l’AIPD és obligatòria i no es realitza, o es realitza de forma inadequada o insuficient, els tractaments de dades queden exposats a riscos no detectats i en conseqüència no es poden adoptar les mesures que s’haurien d’utilitzar per mitigar els efectes negatius que les operacions del tractament poden tenir per als drets i les llibertats de les persones.

Si es produeixen impactes negatius pot suposar que el responsable o l’encarregat del tractament cometin infraccions com per exemple l’incompliment d’obligacions o vulneració de principis, o no atendre adequadament els drets de les persones afectades. Això pot comportar que es produeixin danys i perjudicis materials o morals per a les persones afectades que comportarien sancions importants a determinar segons el tipus d’infracció comesa i el perjudici ocasionat.

Què cal fer si una vegada realitzada l’avaluació de l’impacte s’arriba a la conclusió que les operacions de tractament previstos continuen suposant un gran risc?

Si l’avaluació de riscos relativa a la protecció de les dades arriba a la conclusió que el tractament comportaria un alt risc pel fet que el responsable del tractament no ha estat capaç de trobar o incorporar mesures prou efectives per mantenir controlats els risc és en un nivell acceptable, estarem en la situació que risc residual, el que queda després d’haver previst aplicar mesures per mitigar el risc inicial, contínua suposant un risc inacceptable per als drets i les llibertats de les persones i les dades de les quals s’ha previst tractar, s’haurà de realitzar una consulta prèvia a l’autoritat de control.

La consulta s’haurà de realitzar per escrit i l’autoritat de control l’haurà de contestar per escrit en les 8 setmanes següents a la data de la consulta, podent-se ampliar el termini de resposta a 6 setmanes més en funció de la complexitat del tractament de les dades.

Revisió de l’avaluació de l’impacte

El tractament de dades personals en el seu conjunt, o ben cadascuna de les operacions de processament de la informació que conformen un tractament, poden variar al llarg del temps. Aquests canvis en relació amb la situació inicial de tractaments poden afectar als riscos o a les mesures previstes per mitigar els riscos i per això cal establir mecanismes de revisió de les avaluacions.

El responsable del tractament ha de revisar la vigència de l’avaluació inicial quan es produeixin canvis rellevants en el tractament, especialment si aquests canvis poden implicar una variació de riscos detectats o de les mesures adoptades, com, per exemple, canvis en les mesures de seguretat, un temps superior de retenció de les dades, canvis normatius, etc.

La documentació relacionada amb les Avaluacions de l’Impacte ha d’estar a la disposició de les autoritats de supervisió, és a dir, no unicament l’informe final, sinó també el conjunt de documents de treball que s’han d’utilitzar per realitzar l’avaluació i que sustenten les decisions preses.

Contacti amb nosaltres per ampliar informació o sol·liciti’ns un pressupost sense compromís i ens posarem en contacte amb la seva empresa.

El sector sanitari haurà d’aplicar en breu el nou reglament europeu de protecció de dades

ama · 26/02/2018 · Deixa un comentari

El sector sanitari haurà d’aplicar en breu el nou reglament europeu de protecció de dades, una norma que va ser aprovada en 2016 i que entrarà en vigor a Espanya el proper 25 de maig. Entre altres qüestions, la nova norma preveu augmentar la quantia de les sancions a aquelles empreses i organitzacions que la infringeixin fins a xifres que poden aconseguir els 20 milions d’euros, una mesura que ha causat gran preocupació en l’àmbit sanitari, tant pel volum com per la delicadesa de la informació que en ell es maneja.

No obstant això, «el règim sancionador serà sempre l’últim recurs», ha explicat Pedro Colmenares, sotsdirector general d’inspecció de dades de l’Agència Espanyola de Protecció de Dades (AEPD) durant la seva intervenció en la conferència ‘Reglamento Europeu de Protecció de Dades: Aplicació en el Sector Sanitari organitzada per l’Aliança de la Sanitat Privada Espanyola (ASP).

D’aquesta forma, Colmenares ha volgut tranquil·litzar als representants d’institucions sanitàries espanyoles presents en l’acte, en subratllar que el reglament prevaldrà l’esmena dels errors puntuals a la seva sanció, i que les multes tindran especial incidència i càrrec en aquelles fallades recurrents que «evidenciïn males pràctiques» per part de l’empresa o institució en la qual s’hagi produït.

Protecció de dades a la Sanitat

Colmenares també ha assenyalat la dificultat d’aplicar el nou reglament europeu sobre la protecció de dades en el sector sanitari, un àmbit en el qual es tracten de manera massiva i cal compaginar el dret de l’atès amb l’ús que li va a donar el professional que ho vagi a utilitzar».

En aquest sentit, ha especificat que, en qualsevol cas, aquesta norma reforça la protecció del pacient, «al que cal explicar-li molt bé per a què es van a usar les seves dades», encara que ha deixat clar que existeixen excepcions per les quals no fa falta l’autorització de l’afectat, com en situacions en les quals existeixi un risc vital per a aquesta persona, en temes de salut pública o per a recerques científiques.

Quant a la figura del delegat de protecció de dades, un lloc que preveu la nova llei per als centres sanitaris i que és una altra de les preocupacions dels gestors dels centres de salut i hospitalaris, el sotsdirector general d’inspecció de dades de l’AEPD ha especificat que si ben totes les institucions sanitàries han de tenir-ho, «no té perquè ser propi del centre, sinó que pot tenir un contracte d’assistència extern».

«La nova llei exigeix una labor proactiva als sanitaris»

Encara que en alguns aspectes el nou reglament sobre la protecció de dades serà continuista, en uns altres suposa un gran canvi. Un d’aquests àmbits és el de les sancions, com ha explicat Colmenares, mentre que un altre és el de la «responsabilitat activa». Així ho ha assenyalat Carlos Rus, secretari general d’ASP, per qui la norma exigirà als sanitaris «una labor proactiva de prevenció, d’avaluació dels riscos i la implantació de les accions necessàries per evitar-los, així com formació per detectar-los».

Rus ha afirmat que la Llei de Protecció de Dades suposarà un «canvi de paradigma», doncs obligarà a empreses i institucions sanitàries a abandonar l’actuació «reactiva» que es duia a terme fins ara, amb la qual «es reaccionava dintre del termini i en la forma escaient davant incidents que es podien produir en l’àmbit de la protecció de dades».

Així mateix, el secretari general d’ASP ha destacat la importància d’una legislació d’aquesta naturalesa per a l’àmbit sanitari, un sector que per «l’immens volum de dades que maneja exigeix un tractament rigorós».

font: https://www.redaccionmedica.com