Proteger los datos de tus clientes es proteger su confianza (y evitar sanciones)
Ley de protección de datos de caracter personal
Ley de Protección de Datos (LOPDGDD): 20 preguntas y respuestas para comerciantes
Conceptos Básicos
1. ¿Qué es la LOPDGDD?
Es la ley española que adapta el ordenamiento jurídico nacional al Reglamento General de Protección de Datos (RGPD) de la Unión Europea, estableciendo garantías adicionales y derechos digitales específicos para los ciudadanos.
2. ¿Qué se entiende por datos personales?
Cualquier información sobre una persona física identificada o identificable, como nombre, dirección, correo electrónico, número de identificación, datos de localización, entre otros.
3. ¿Quién es el responsable del tratamiento de datos?
La persona física o jurídica, autoridad u organismo que determina los fines y medios del tratamiento de datos personales.
4. ¿Qué es el consentimiento en el contexto de protección de datos?
Es una manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta el tratamiento de sus datos personales.
5. ¿Qué es un encargado del tratamiento?
Es la persona física o jurídica, autoridad u organismo que trata datos personales por cuenta del responsable del tratamiento.
Derechos de los Usuarios
6. ¿Cuáles son los derechos de los ciudadanos respecto a sus datos personales?
- Acceso: Conocer si se están tratando sus datos y obtener información sobre los mismos
- Rectificación: Solicitar la corrección de datos inexactos o incompletos
- Supresión: Pedir la eliminación de sus datos cuando ya no sean necesarios o se retire el consentimiento
- Oposición: Negarse al tratamiento de sus datos en determinadas circunstancias
- Limitación: Restringir el tratamiento de sus datos en ciertos casos
- Portabilidad: Recibir sus datos en un formato estructurado y transferirlos a otro responsable
7. ¿Cómo puede un usuario ejercer sus derechos?
Mediante una solicitud dirigida al responsable del tratamiento, ya sea por medios electrónicos o físicos, especificando el derecho que desea ejercer y aportando una copia de su identificación.
8. ¿Existe algún costo para ejercer estos derechos?
No, el ejercicio de estos derechos es gratuito para el interesado.
9. ¿En cuánto tiempo debe responder el responsable del tratamiento a una solicitud?
Debe responder sin dilación indebida y, en cualquier caso, en el plazo máximo de un mes desde la recepción de la solicitud.
10. ¿Qué puede hacer un usuario si su solicitud no es atendida?
Puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).
Obligaciones de las Entidades
11. ¿Qué medidas deben adoptar las entidades para proteger los datos personales?
Deben implementar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento de datos.
12. ¿Qué es una evaluación de impacto relativa a la protección de datos?
Es un análisis que realiza el responsable del tratamiento para evaluar el impacto de las operaciones de tratamiento en la protección de datos personales, especialmente cuando puedan implicar un alto riesgo para los derechos y libertades de las personas.
13. ¿Cuándo es obligatorio designar un Delegado de Protección de Datos (DPD)?
Cuando el tratamiento lo lleve a cabo una autoridad u organismo público, o cuando las actividades principales del responsable o encargado requieran una observación habitual y sistemática de interesados a gran escala, entre otros supuestos.
14. ¿Qué funciones tiene el Delegado de Protección de Datos?
- Informar y asesorar al responsable o encargado del tratamiento sobre sus obligaciones
- Supervisar el cumplimiento de la normativa de protección de datos
- Cooperar con la autoridad de control y actuar como punto de contacto
15. ¿Qué es una brecha de seguridad de datos personales?
Es una violación de la seguridad que provoca la destrucción, pérdida, alteración, divulgación no autorizada o acceso a datos personales transmitidos, almacenados o tratados.
16. ¿Qué deben hacer las entidades en caso de una brecha de seguridad?
Notificarla a la autoridad de control competente (AEPD) sin dilación indebida y, si es posible, en un plazo máximo de 72 horas desde que tengan constancia de ella. Si la brecha supone un alto riesgo para los derechos y libertades de los interesados, también deben comunicárselo a ellos.
Transferencias Internacionales de Datos
17. ¿Se pueden transferir datos personales fuera del Espacio Económico Europeo (EEE)?
Sí, pero solo si el país destinatario garantiza un nivel de protección adecuado o se han ofrecido garantías apropiadas, como cláusulas contractuales tipo o normas corporativas vinculantes.
18. ¿Qué son las cláusulas contractuales tipo?
Son modelos de contratos adoptados por la Comisión Europea que establecen garantías adecuadas para la protección de datos en transferencias internacionales.
19. ¿Qué son las normas corporativas vinculantes?
Son políticas de protección de datos adoptadas por un grupo empresarial que ofrecen garantías adecuadas para las transferencias internacionales de datos dentro del grupo.
20. ¿Qué debe hacer una entidad antes de realizar una transferencia internacional de datos?
Evaluar si el país de destino ofrece un nivel de protección adecuado y, en caso contrario, implementar garantías adicionales o solicitar autorización de la autoridad de control.
Aquí podéis descargar los BOEs correspondientes por si necesitais entrar en más detalle