XXXXXXXXXXXXXXXXXXXXXXXXX xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx XXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXX PRESUPUESTO Nº: XXXXX Fecha: XX-XX-XXXX Asunto: IMPLANTACIÓN Y ADAPTACIÓN AL RGPD 679/2016 Y A LA L.O. 3/2018 El Reglamento General de Protección de Datos UE 679/2016 (también conocido como RGPD) entró en vigor en mayo de 2016, si bien su aplicación efectiva fue a partir del 25 de mayo de 2018 para todos los responsables y encargados de tratamiento de acuerdo con el ámbito de aplicación descrito en el mencionado reglamento. El RGPD recoge el derecho de las personas a la protección de sus datos personales y el control sobre el uso que personas físicas, jurídicas y organismos públicos hacen de los mismos. Las pequeñas y medianas empresas, los profesionales liberales y autónomos, las asociaciones, las comunidades de propietarios, … etc. actúan como responsables y encargados de tratamiento de datos personales en el desarrollo de muchas de sus actividades, como por ejemplo, la gestión laboral de sus empleados, la selección de personal, la gestión comercial de clientes, etc. y por lo tanto están afectadas el nuevo RGPD. Ello significa que todas las entidades mencionadas están obligadas a su cumplimiento. El proceso de adaptación o implantación del RGPD UE 679/2016 y a la L.O. 3/2018 conlleva los siguientes aspectos: 1.- Delegado de Protección de Datos (DPO) En las entidades privadas, hay que determinar la necesidad por obligación legal de designar un Delegado de Protección de Datos, o bien proceder a su designación por voluntad propia. Posteriormente, se debe notificar e inscribir en la Autoridad de Control dicha designación. Cabe destacar que en el caso de las autoridades y organismos públicos es obligatorio la designación del DPO y su posterior inscripción y registro en la AEPD. 2.- Revisión de Tratamientos de Datos Personales y creación del Registro de Actividades de Tratamiento Revisar los tratamientos de datos personales que se llevan a cabo, haciendo hincapié en la base jurídica y finalidad del tratamiento. En el caso de que el tratamiento tenga como base jurídica el consentimiento del interesado, habrá de tenerse en cuenta que se han reforzado los requisitos para obtenerlo lo cual invalida los consentimientos “tácitos”, es decir, basados en una inacción u omisión de acción por parte del interesado. La información que se ofrece a los interesados cuando se recogen sus datos (por ejemplo, en formularios web o papel) debe revisarse, dado que se ha reforzado la transparencia hacia el interesado, siendo la información que facilitar más amplia que la requerida hasta ahora. Por ello, para cada uno de los tratamientos definidos hay que crear la correspondiente “Cláusula Informativa” la cual será incluida tanto en documentos de papel como en formularios electrónicos, incluyendo el consentimiento expreso si fuese necesario. Una de las novedades destacables del RGPD es la desaparición de la obligación de registrar o inscribir los ficheros (ahora tratamientos) en las Autoridades de Control. Sin embargo, establece la necesidad de llevar un Registro de Actividades de Tratamiento tanto en calidad de responsable de los tratamientos, como de aquellos en los que actúa como Encargado de tratamiento. DIRECCION - TELEFONO 3.- Personal El RGPD también afecta a las personas que trabajan en una organización, ya que como personas físicas tienen derechos reconocidos en la normativa. Para ello, se confeccionarán las cláusulas informativas correspondientes y los acuerdos de confidencialidad que exige la legislación. Así mismo, se les hará entrega de un documento que contiene una formación básica en materia de protección de datos. 4.- Encargados de Tratamiento El RGPD también ha reforzado los requisitos respecto de la contratación de servicios con los encargados de tratamiento. El RGPD establece que la relación entre responsables y encargados deberá formalizarse mediante un contrato que vincule al encargado y establece una obligación de diligencia debida en la elección de los encargados de tratamiento por parte de los responsables, contratando únicamente encargados que estén en condiciones de cumplir con el RGPD. Por todo ello, será necesario revisar y adecuar los contratos de encargo actualmente suscritos para contemplar el contenido mínimo que exige el RGPD. 5.- Medidas de Seguridad y Análisis de Riesgos Hasta ahora, las medidas de seguridad exigibles venían claramente enumeradas en el Reglamento de Desarrollo de la LOPD (RD-1720-2007), donde se establecían tres niveles de cumplimiento (Básico, Medio y Alto). Sin embargo, el RGPD no establece cuáles han de ser las medidas de seguridad, sino que indica que: “Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.” Por ello, es necesario efectuar un análisis de riesgo de todos los tratamientos de datos que se lleven a cabo, implantando y revisando las medidas de seguridad que actualmente se estén aplicando y, en su caso, completándolas a la luz de los resultados del análisis de riesgo. Adicionalmente, el RGPD introduce la necesidad de gestionar las violaciones de seguridad de los datos, notificando a la Autoridad de Control cuando tal violación constituya un riesgo para los derechos y libertades de los afectados. 6.- Mantenimiento Anual El principio de “Responsabilidad Proactiva” que incluye el RGPD, exige la actualización y mantenimiento anual (dos revisiones anuales) para comprobar los posibles cambios en personal, encargados de tratamiento, nuevos tratamientos de datos o modificación de los existentes, así como cambios en los sistemas de información. También incluye la resolución de dudas, la comunicación de brechas de seguridad a la AEPD así como la atención de derechos ARCOLOP ejercidos por los interesados. 7.- Valoración económica 1.- Revisión y/o Implantación RGPD 679/2016 y LO 3/2018 …………………………. XXX,XX EUR 2.- Mantenimiento Anual a partir del 2º año ………………………………………..……. XXX,XX EUR/año Plazo de ejecución estimado 30 días. IVA no incluido. Forma Pago: Transferencia bancaria a la entrega de la documentación. DIRECCION - TELEFONO ACEPTACIÓN DEL PRESUPUESTO FDO.......................................................... Fecha: ..................................................... DIRECCION - TELEFONO
