26 de junio de 2018

El Foro de Seguridad de Movistar indica las obligaciones del nuevo RGPD

El Foro de Seguridad de Movistar ha publicado un post detallando los nuevos aspectos del RGPD, destacando a empresas que cumplen la norma en los servicios Cloud como acens.

Las obligaciones que impone a las empresas el nuevo RGPD son:

Exclusión del denominado “consentimiento tácito”, al no responder a una comunicación previa
Se adelanta a los 13 años la edad en que la ya pueden prestar su consentimiento personal
Se permitirá que los herederos puedan solicitar el acceso a los datos del finado, así como su oportuna rectificación o supresión
El consentimiento del afectado no bastará para levantar la prohibición del tratamiento de “categorías especiales de datos” (raza, religión, militancia política…). Será necesaria alguna justificación adicional
El consentimiento explícito obtenido debe ser verificable
Exclusión de la imputabilidad del responsable: en caso de que éste haya tomado todas las medidas razonables para la rectificación o supresión de los datos
Listas Robinson y sistemas de video-vigilancia: prevé que será lícito
Delegado de Protección de Datos: persona física o jurídica, cuya designación se debe comunicar a la AEPD (Agencia Española de Protección de Datos)
Bloqueo cautelar de datos y la obligación inmediata de atender el derecho solicitado

————–

(Actualización 30 julio 2018)

Según el RGPD, hay que considerar cómo y dónde las soluciones de gestión procesarán y alojarán los datos personales, especialmente si el software está basado en la nube. Este aspecto es aún más importante para las empresas del sector de Gestoría o Despachos Profesionales que tratan datos de terceros.

Una primera aproximación pasa por establecer un “mapa de sistemas”, que represente todos los almacenamientos y flujos de datos involucrados y, a partir de ahí, determinar cómo y dónde se tratan esos datos, identificando a los proveedores responsables de ese tratamiento, si está externalizada.

El segundo paso recomendable es circular un cuestionario de verificación, para identificar cualquier incumplimiento, detallando cómo el software interviene en ese tratamiento de los datos personales y cuáles son las técnicas de protección de los datos (anonimización, encriptación, y otros).