El Reglamento UE 679/2016: ¿realidad o ficción?

Soledad Romero, Gerente de Consultoría y Seguridad TI en INGENIA, desgrana los aspectos clave del Reglamento General de Protección de Datos (RGPD) así como en el borrador del anteproyecto de ley orgánica en España, cuya publicación está prevista antes del 24 mayo de 2018.

1. El Reglamento UE 679/2016, ¿ficción o realidad?
27/09/2017

2. Entró en vigor
Plenamente
aplicable
2018
2016

3. Desarrollo legislativo
pendiente: anteproyecto
Ley Orgánica
Entró en vigor
Plenamente
aplicable
2018
2016

4. Marco normativo

5. Establecer normas
relativas a la protección
de las personas físicas
en cuanto a sus datos
personales se refiere
Establecer normas
relativas a la libre
circulación de tales
datos
OBJETO

6. OBJETO
El presente Reglamento protege los derechos y libertades
fundamentales de las personas físicas y, en particular, su
derecho a la protección de los datos personales

7. 7
LalibrecirculacióndelosdatosenlaUniónnopodráser
restringidaniprohibidapormotivosrelacionadosconla
proteccióndelaspersonasfísicasenloquerespectaal
tratamientodedatospersonales

8. ¿ficción o realidad?
8

9. 9
http://www.icemd.com/digital-knowledge/infografias/tecnologias-disruptivas/

10. ¿ficción o realidad?
11

11. 12

12. Cambio de
esquema mental
Principiosdelaproteccióndedatos:
•lalicitud,
•lalealtad,
•laproporcionalidad,
•lalimitacióndelafinalidad,
•laminimizacióndedatos,
•laexactitudylacalidaddelos
datos,
•laconservaciónlimitaday
•laseguridad

13. Cambio de esquema
mental
Principiosdelaproteccióndedatos:
•lalicitud,
•lalealtad,
•laproporcionalidad,
•lalimitacióndelafinalidad,
•laminimizacióndedatos,
•laexactitudylacalidaddelos
datos,
•laconservaciónlimitaday
•laseguridad

14. Proactividad:
“no
incumplir ya
no será
suficiente”
Capacidad
de demostrar

15. 16
Capacidad
de control
de los datos
Capacidad
de control
del negocio
TRANSPARENCIA

16. ¿ficción o realidad?
21
“Hayuntiempoparadejar
quelascosassucedany
untiempoparahacerquelas
cosassucedan”

17. Impacto del RGPD en las AAPP
Identificar finalidades y la base jurídica de los
tratamientos
Consentimiento libre, específico, informado, e
inequívoco
Información más amplia y precisa
Mecanismos visibles, accesibles y sencillos para ejercicio
de derechos.

18. Impacto del RGPD en las AAPP
Procedimientos que permitan responder a ejercicios de
derechos en plazo
Valorar si los encargados de tratamiento ofrecen
garantías de cumplimiento
Adecuar los contratos de encargo con contenido
mínimo
Análisis de riesgo para derechos y libertades en los
tratamientos

19. Impacto del RGPD en las AAPP
Registro de actividades de tratamiento actualizado, disponible y
publicado
Análisis de riesgo de las medidas de seguridad
Mecanismos para identificar con rapidez las violaciones de
seguridad de los datos
Notificación de las violaciones de seguridad a los interesados y
a la Autoridad de Protección de Datos

20. Impacto del RGPD en las AAPP
Valorar si los tratamientos requieren Evaluación de Impacto en
la Privacidad
Designar un Delegado de Protección de Datos
Notificación del DPD a la Autoridad de Control
Adaptación de los instrumentos de transferencia internacional
de datos

21. 26

22. Algunas actividades/entidades que necesitan DPD
Administración pública y organismos vinculados
Entidades cuya actividad requiera observación y seguimiento de interesados a gran escala
Operaciones a gran escala de categorías especiales de datos
Colegios profesionales y sus Consejos Generales
Centros docentes de enseñanzas (L.O.2/2006) y Universidades
Entidades que exploten redes y presten servicios de comunicaciones electrónicas
Entidades de crédito y establecimientos financieros de crédito…
27

23. 28

24. Planteamiento de un proyecto de Adecuación RGPD
Fase 1.
Elaboración del
análisis, diagnóstico y
plan de adecuación
Recogida de Información
Análisis y diagnóstico de
cumplimiento
Diseño de Plan de
Adecuación
Fase 2.
Implementación del
Plan de Adecuación
Trabajos de identificación
de tratamientos
Trabajos de
implementación de
procesos jurídicos
Trabajos de
implementacion de
medidas de seguridad
Otros trabajos
transversales: formación y
concienciación
Fase 3.
Mantenimientoy
mejora del
cumplimiento
normativo
Revisiones y
actualizaciones de tareas
recurrentes de
cumplimiento
Actualización del análisis
de riesgos
Realización de análisis de
impacto para nuevos
tratamientos

25. Planteamiento de un proyecto de Adecuación RGPD
Fase 1.
Elaboración del
análisis, diagnóstico y
plan de adecuación
Plan de adecuación al
RGPD:
Informe en el cual se
reflejará el estado de
cumplimiento de cada
uno de los aspectos del
RGPD
y un plan de actuación
para abordar los
incumplimientos que se
detecten
Fase 2.
Implementación del
Plan de Adecuación
Inventario de tratamientos
Manual de procedimientos
jurídicos (cláusulas, textos)
Análisis de riesgos
Documento medidas de
seguridad
Material utilizado en la acción
formativa y de concienciación
Fase 3.
Mantenimientoy
mejora del
cumplimiento
normativo
Los entregables de
esta fase serán las
respuestas que se
proporcionen a las
distintas consultas o
el apoyo a la
implementación

26. Equipo altamente cualificado
CDPP:Certified
Data Privacy
Professional (ISMS
ForumSpain)
CISA: Certified
InformationSystems
Auditor (ISACA)
CRISC: Certifiedin
Riskand Information
SystemsControl
(ISACA)
CISM: Certified
InformationSecurity
Manager (ISACA)
CAP:Certificado de
Aptitud Pedagógica
(Universidad de
Málaga).
CISSP:Certified
InformationSystems
Security
Professional (ISC2)
CDPP:Certified
Data Privacy
Professional (ISMS
ForumSpain)
ITIL v3: Information
Technology
InfrastructureLibrary
(versión 3)
PRINCE 2:Projects
In Controlled
Environments
PMP:Project
Management
Professional ISO

28. Y tú, ¿en qué tiempo estás?
¿en el de la ficcióno el de la realidad?

29. Soledad Romero
Gerente de Seguridad y Consultoría
CDPP
[email protected]