La protección de los datos personales de las personas físicas es un derecho fundamental protegido por el artículo 18.4 de la Constitución española, de modo que solo la persona tiene el poder de disposición sobre sus datos.
Dos elementos de carácter general constituyen la mayor innovación del RGPD para los responsables y se proyectan sobre todas las obligaciones de las organizaciones:
- El principio de responsabilidad proactiva. Este principio requiere que las organizaciones analicen qué datos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo. Deben determinar de forma explícita la forma en que aplicarán las medidas que el RGPD prevé, asegurándose de que las medidas son adecuadas, pudiéndose demostrar ante los interesados y las autoridades de supervisión. Este principio exige una actitud consciente, diligente y proactiva por parte de las organizaciones frente a todos los tratamientos de datos personales que lleven a cabo.
- El enfoque del riesgo. De acuerdo con este enfoque, las medidas dirigidas a garantizar el cumplimiento del RGPD deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas. Cuando exista un alto riesgo para los derechos y libertades se aplicarán las medidas reforzadas que el RGPD establece. Por ejemplo, en casos en que se desvele información confidencial, como contraseñas o participación en determinadas actividades, se difundan de forma masiva datos sensibles o se puedan producir perjuicios económicos para los afectados.
El RGPD establece los siguientes derechos, obligaciones y medidas de responsabilidad activa.
Derechos:
- Derecho de acceso del interesado.
- Derecho de rectificación
- Derecho de supresión (“el derecho al olvido”).
- Derecho a la limitación del tratamiento.
- Derecho a la portabilidad de los datos.
- Derecho de oposición
Obligaciones:
- Obligaciones específicas para los Responsables y para los Encargados del tratamiento de datos personales.
- Elección del encargado del tratamiento que ofrezca garantías de cumplimiento de la normativa de protección de datos.
- Contenido mínimo del contrato de encargo.
Medidas de responsabilidad activa:
- Análisis del riesgo.
- Registro de actividades de tratamiento.
- Protección de Datos desde el diseño y por defecto.
- Medidas de seguridad adecuadas al riesgo.
- Notificación de “violaciones de seguridad de los datos personales” a la autoridad de control.
- Evaluación de impacto relativa a la Protección de Datos.
- Delegado de Protección de Datos.