RGPD

El RGPD es el Reglamento (UE) 2016/679 sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales, aplicable desde el 25 de mayo de 2018. Sanciones de hasta 20 millones de euros o el 4% del volumen de negocio anual mundial, lo que sea mayor.

Qué incluye el RGPD

El reglamento se compone de 99 artículos y 173 considerandos. Define principios (licitud, lealtad y transparencia; limitación de la finalidad; minimización; exactitud; limitación del plazo de conservación; integridad y confidencialidad; responsabilidad proactiva) y derechos del interesado: acceso, rectificación, supresión, limitación, portabilidad, oposición y decisiones automatizadas.

Obliga a llevar Registro de Actividades de Tratamiento (RAT), realizar Evaluaciones de Impacto (EIPD) cuando hay riesgo alto, notificar brechas de seguridad a la autoridad de control en 72 horas y designar Delegado de Protección de Datos (DPO/DPD) en los supuestos del artículo 37. En España se complementa con la Ley Orgánica 3/2018 (LOPDGDD).

A quién aplica

A todo tratamiento de datos personales realizado por responsables o encargados establecidos en la UE, así como a tratamientos de personas en la UE por entidades fuera de la UE cuando se ofrecen bienes/servicios u observan su comportamiento. Aplica a empresas privadas, sector público, ONGs, autónomos y profesionales independientes.

Plazos y costes orientativos

Adecuación inicial para una pyme: 2-6 meses según volumen y categorías de datos. Auditoría LOPDGDD bienal recomendada. Notificación de brechas: 72 horas a la AEPD. DPO externo: rangos orientativos 1.500-6.000 €/año para una pyme; mayor según volumen. Sanciones reales en España publicadas por la AEPD en su sección de resoluciones.

Errores frecuentes

• Tratar datos sin base jurídica clara (art. 6) o sin consentimiento válido (libre, específico, informado, inequívoco).
• No firmar contrato de encargo del tratamiento (art. 28) con proveedores que acceden a datos.
• No actualizar la información a interesados (cláusulas informativas obsoletas en webs y formularios).
• Olvidar el análisis de transferencias internacionales tras la sentencia "Schrems II".

Posts relacionados en angelortegacastro.com

• Delegado de Protección de Datos (DPO): obligatorio y funciones
• Plan de ciberseguridad para pymes: 20 medidas esenciales
• Cluster Ciberseguridad

Fuentes oficiales

• EUR-Lex — Reglamento (UE) 2016/679
• AEPD — Agencia Española de Protección de Datos
• BOE — LOPDGDD (Ley Orgánica 3/2018)
• EDPB — Comité Europeo de Protección de Datos