El Reglamento Europeo de Protección de Datos y la Ley Orgánica 3/2018, de 5 diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. Responsabilidad proactiva

• Author: Fernando Mata Leonor
• Profession: Licenciado en Derecho
• Pages: 135-174

COLECCIÓN MONOGRAFÍAS | PROTECCIÓN DE DATOS PERSONALES

NORMATIVA GENERAL DE PROTECCIÓN DE DATOS

CAPÍTULO 1.7

135

El Reglamento Europeo de Protección

de Datos y la Ley Orgánica 3/2018, de

5 diciembre, de Protección de Datos

Personales y Garantía de los Derechos

Digitales. Responsabilidad proactiva

1.7.1. Privacidad desde el diseño y por

defecto. Principios fundamentales

RGPD ART. 25 / RGPD ART. 83 / LOPD-GDD ART. 73

Legitimación de la PbD

Teniendo en cuenta el estado de la técnica, el coste de la aplicación y

la naturaleza, ámbito, contexto y nes del tratamiento, así como los riesgos

de diversa probabilidad y gravedad que entraña el tratamiento para los de-

rechos y libertades de las personas físicas, el Responsable del tratamiento

aplicará, tanto en el momento de determinar los medios de tratamiento

como en el momento del propio tratamiento, medidas técnicas y organiza-

tivas apropiadas, como la Seudonimización, concebidas para aplicar de for-

ma efectiva los principios de protección de datos, como la minimización de

datos, e integrar las garantías necesarias en el tratamiento, a n de cumplir

los requisitos del RGPD y proteger los derechos de los interesados.

El Responsable del tratamiento aplicará las medidas técnicas y or-

ganizativas apropiadas con miras a garantizar que, por defecto, solo sean

objeto de tratamiento los datos personales que sean necesarios para cada

uno de los nes especícos del tratamiento.

COLECCIÓN MONOGRAFÍAS | PROTECCIÓN DE DATOS PERSONALES

PRONTUARIO DEL DELEGADO DE PROTECCIÓN DE DATOS GUÍA PARA LA CERTIFICACIÓN ENAC-AEPD

FERNANDO MATA LEONOR

136

Esta obligación se aplicará a la cantidad de datos personales recogidos,

a la extensión de su tratamiento, a su plazo de conservación y a su accesibi-

lidad. Tales medidas garantizarán en particular que, por defecto, los datos

personales no sean accesibles, sin la intervención de la persona, a un número

indeterminado de personas físicas.

Es sancionable no atender la ‘protección de datos desde el diseño, al

igual que su correcta aplicación constituye uno de los criterios para baremar

la gravedad de una infracción y la LOPD-GDD recoge como una infrac-

ción grave la falta de adopción de aquellas medidas técnicas y organizativas

que resulten apropiadas para aplicar de forma efectiva los principios de

protección de datos desde el diseño.

Los siete principios de la PbD

Respeto por el individuo.

El interés del individuo (normalmente en calidad de usuario) siempre

ha de estar presente en el diseño de sistemas de información, por ejemplo,

mediante previsión de medidas de seguridad, mensajes informativos, opcio-

nes “user-friendly”, privacidad por defecto, etc.

Suma positiva (sostenibilidad del proyecto).

Funcionalidad y privacidad no han de ser necesariamente caracterís-

ticas excluyentes, sino que ambas han de estar garantizadas e integradas en

cualquier sistema desde la fase del diseño.

Proactivo no reactivo / preventivo no correctivo.

La privacidad por diseño se anticipa a los riesgos sobre los datos per-

sonales, identicándolos, evaluándolos y tratándolos mediante la evaluación

de riesgos y la adopción de medidas encaminadas a evitar que se materia-

licen durante la transición y operación del sistema de información o los

servicios que soporta.

NORMATIVA GENERAL DE PROTECCIÓN DE DATOS CAPÍTULO 1.7 | EL REGLAMENTO EUROPEO DE

PROTECCIÓN DE DATOS Y LA LEY ORGÁNICA 3/2018, DE 5 DICIEMBRE, DE PROTECCIÓN DE DATOS

PERSONALES Y GARANTÍA DE LOS DERECHOS DIGITALES. RESPONSABILIDAD PROACTIVA 137

COLECCIÓN MONOGRAFÍAS | PROTECCIÓN DE DATOS PERSONALES

Privacidad por defecto.

Cualquier sistema ha de estar congurado de forma que por defecto

otorgue una mayor protección a la privacidad de las personas. En términos

prácticos, se fundamenta en la minimización de datos a lo largo de todas las

etapas del tratamiento: recogida, uso, conservación y difusión.

Privacidad embebida en el diseño.

La protección de la privacidad ha de estar integrada en el sistema de

información desde el momento en que se diseña, sin que ello disminuya su

plena funcionalidad. No se trata de una opción que se añade a posteriori,

sino que, al contrario, es uno de sus componentes integrales.

Visibilidad y transparencia.

La entidad que gestione el sistema de información que trate datos

personales ha de estar sujeta a los “términos y condiciones” y “políticas de

privacidad” informados desde un principio y no deberían modicarse sin el

previo aviso, y en su caso consentimiento, de los usuarios afectados. Tam-

bién debería estar sujeta a una vericación independiente.

Sujetos obligados a la protección de datos desde el diseño

Aunque es obligación especica del Responsable se proyecta sobre

otros actores, como son los proveedores y prestadores de servicios, desarro-

lladores de productos y aplicaciones o fabricantes de dispositivos.

A estos, el Responsable ha de alentar a “que tengan en cuenta el

derecho a la protección de datos cuando desarrollen y diseñen estos

productos, servicios y aplicaciones” y, cuando necesite encargar a un ter-

cero el tratamiento de los datos, debe seleccionar a aquel “Encargado

que ofrezca garantías sucientes para aplicar medidas técnicas y orga-

nizativas apropiados, de manera que el tratamiento sea conforme con

los requisitos del RGPD y garantice la protección de los derechos del

interesado.