PROGRAMA DE CUMPLIMIENTO DE PROTECCIÓN DE DATOS Y SEGURIDAD

PROGRAMA DE CUMPLIMIENTO DE PROTECCIÓN DE DATOS Y SEGURIDAD

Estimado cliente:

A la espera de la aprobación en trámite parlamentario del Proyecto 121/000013 de Ley Orgánica de Protección de Datos de Carácter Personal, presentado en el Boletín Oficial de las Cortes Generales el pasado 24 de noviembre de 2017, procedemos a actualizar su documentación a la normativa vigente.

Este es su nuevo Plan de Seguridad, debidamente adaptado al Reglamento Europeo de Protección de Datos (UE) 679/2016. Póngase en contacto con nosotros para poder personalizar los siguientes apartados, a la espera de la realización de su próxima Auditoría presencial, donde podremos informarle personalmente de todas las novedades.

Adaptar y colocar el AVISO LEGAL a la vista del público (sala de espera, recepción, vestíbulo…) y/o proporcionárselo a los afectados para su firma. Dicho documento se encuentra en el apartado “NORMATIVAS Y CONTRATOS” y en la documentación anexa.

Entregarle la NORMATIVA DE SEGURIDAD (que se encuentra en el apartado “NORMATIVAS Y CONTRATOS”) a sus empleados, para que la lean y le firmen en todas las hojas el recibí de la misma (debe guardarlo en el propio Plan de Seguridad). (SOLO SI HAY EMPLEADOS)

Firmar los CONTRATOS CON ENCARGADOS DE TRATAMIENTO (se encuentran en el apartado “NORMATIVAS Y CONTRATOS”), una vez firmado deberá guardarlo en el citado apartado. Le adjuntamos plantilla para su utilización. Está debe ser remitida a aquellas entidades prestadores de servicio que accedan a datos personales responsabilidad del centro.

Aplicar las MEDIDAS DE SEGURIDAD descritas en la anterior Auditoría/Consultoría para mitigar los posibles riesgos detectables.

Vigilar el cumplimiento de los PRINCIPIOS en el tratamiento de los datos.

Recuerde que su Plan de Seguridad siempre tiene que estar en el Centro, y en caso de que algún cliente le solicite que quiere acceder a los datos, rectificarlos, cancelarlos, limitar su tratamiento, etc., tiene los modelos de EJERCICIO DE DERECHOS en el apartado “FORMULARIOS Y PROCEDIMIENTOS”.

En caso de usar cámaras de VIDEOVIGILANCIA, colocar el cartel que se encuentra anexo en “OTRA DOCUMENTACION” en los lugares donde se encuentren las cámaras.

Lea atentamente la documentación que se le ha entregado, si tiene cualquier duda o consulta no dude en ponerse en contacto con nosotros en el número de teléfono 91.184.38.84, o mediante un correo electrónico a la dirección protecciondedatos@grupopsn.es. Sin otro particular y aprovechando la ocasión para saludarle,

Equipo de Protección de Datos de PSN Servicios y Consultoría

Delegados de Protección de Datos (DPO’s)

Calle Génova, 26 – 28004 Madrid – Teléfono 91 184 38 84 – Fax 91 575 50 97

Oficina de Servicio al Mutualista: 902 100 062 – www.psn.es – osm@psn.es

PROGRAMA DE CUMPLIMIENTO DE PROTECCIÓN DE DATOS Y SEGURIDAD

Adaptado al Reglamento General de Protección de Datos 2016/679

ACORDE A LA NORMA DE GESTIÓN DE CALIDAD PARA EL SERVICIO DE PROTECCIÓN DE DATOS

VERSIÓN	FECHA	ACTUALIZACIONES Y MODIFICACIONES
Programa de cumplimiento de Protección de Datos y Seguridad v.1		__ / __ / ____
Programa de cumplimiento de Protección de Datos y Seguridad v.2	__ / __ / ____	__ / __ / ____
Programa de cumplimiento de Protección de Datos y Seguridad v.3	__ / __ / ____	__ / __ / ____

ADVERTENCIA LEGAL

El presente Programa de cumplimiento de Protección de Datos y Seguridad deberá mantenerse actualizado en todo momento por el Responsable de Tratamiento. Deberá ser revisado siempre que se produzcan cambios relevantes en los tratamientos de datos, encargados de tratamiento, usuarios con acceso a los datos, etc. El contenido del Programa de cumplimiento de Protección de Datos y Seguridad estará adecuado, en todo caso, a la legislación vigente en materia de protección de datos.

El presente Programa de cumplimiento de Protección de Datos y Seguridad se basa en los datos facilitados por el Responsable de Tratamiento a PSN Servicios y Consultoría, en el momento de realización de la Consultoría o la Auditoría en Protección de Datos. No supone un pronunciamiento explícito o implícito sobre características o situaciones no evidentes o no expuestas en el momento de la toma de datos, en ningún caso podrá ser utilizado con finalidades distintas de la que es objeto.

PSN Servicios y Consultoría no se hace responsable de las particularidades o singularidades de las que no haya sido informado, de la veracidad documental facilitada por el Responsable de Tratamiento, ni de los posibles vicios o defectos ocultos en materia de protección de datos del titular del presente Plan de Seguridad.

Queda terminantemente prohibida la reproducción total o parcial, copia o utilización de la presente documentación con fines diferentes a los contratados sin la previa autorización de PSN Servicios y Consultoría.

INDICE

1- PLAN DE SEGURIDAD. 6

a) Introducción: 6
b) Ámbito de Aplicación: 7
c) Responsable del Tratamiento, Responsable de Contacto y DPO: 9
d) CATEGORIAS ESPECIALES DE DATOS: LOS DATOS BIOMETRICOS. 11
e) Principios Relativos al Tratamiento (art. 5 del RGPD) 13
f) Legitimación del Tratamiento: 15
g) Responsabilidad Proactiva: 22
h) Transferencias Internacionales: 25
i) Autoridades de Control: 31

2- REGISTRO DE ACTIVIDADES DE TRATAMIENTO. 39

3- ANALISIS DE RIESGOS. 40

4- NORMATIVAS Y CONTRATOS. 41

5- FORMULARIOS Y PROCEDIMIENTOS. 59

a) Formulario de Captación de Datos con Aviso Legal 59
b) Procedimiento de Gestión de Incidencias y Violaciones de Seguridad: 61
c) Notificación de Nombramiento de DPO. 62
d) Ejercicio de Derechos. 66

D.1.1 PROCEDIMIENTO PARA EL DERECHO DE ACCESO. 66

D.1.2 PROCEDIMIENTO PARA EL DERECHO DE RECTIFICACIÓN. 66

D.1.3 PROCEDIMIENTO PARA EL DERECHO DE CANCELACIÓN. 66

D.1.4 PROCEDIMIENTO PARA EL DERECHO DE OPOSICIÓN. 67

D.1.5 PROCEDIMIENTO PARA EL DERECHO DE PORTABILIDAD. 67

D.1.6 PROCEDIMIENTO PARA EL DERECHO AL OLVIDO. 68

D.1.7 PROCEDIMIENTO PARA EL DERECHO A LA LIMITACION DE USO DE LOS DATOS (LIMITACION DE TRATAMIENTO) 68

D.2.1 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE ACCESO. 69

D.2.2 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE RECTIFICACION. 70

D.2.3 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE SUPRESIÓN. 72

D.2.4 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE OPOSIÓN. 74

D.2.5 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE PORTABILIDAD. 75

D.2.6 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE OLVIDO. 76

6- REGISTROS. 81

a) Relación Actualizada de Usuarios con Acceso Autorizado a Datos. 81
b) Encargados de Tratamiento. 81
c) Soportes de Tratamiento. 81
d) Registro de Incidencias. 82

7- OTRA DOCUMENTACIÓN. 84

Glosario de términos. 86

PLAN DE SEGURIDAD
1. Introducción:

La normativa vigente de Protección de Datos de carácter personal establece la obligación de adoptar, teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme a la Ley.

El presente Programa de Cumplimiento de Protección de Datos y Seguridad se ha elaborado para facilitar al Responsable de Tratamiento el cumplimiento de la normativa vigente, siendo de aplicación el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante RGPD)

También resulta de aplicación la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones y la Ley 44/2003, de 21 de noviembre, de ordenación de las profesiones sanitarias, así como otra legislación de ámbito comunitario, nacional o autonómica.

Todo el personal del Responsable de Tratamiento que tenga acceso a los datos del Fichero, bien a través del sistema informático habilitado para acceder al mismo, o bien a través de cualquier medio no automatizado de acceso a los ficheros, se encuentran obligadas a cumplir lo establecido en el presente Documento y, sujetas a las consecuencias que pudieran incurrir en caso de incumplimiento.

El Programa de Cumplimiento de Protección de Datos y Seguridad establece la organización, normativas y procedimientos de seguridad de obligado cumplimiento para el personal con acceso a los datos de carácter personal, responsabilidad del Responsable de Tratamiento.

El presente Programa de cumplimiento de Protección de Datos y Seguridad deberá mantenerse actualizado, en cuanto a los procedimientos y distintos registros que en él constan. Así mismo, deberá ser revisado cada vez que se produzcan cambios relevantes en los sistemas de información, en el tratamiento de los datos en soportes no automatizados, o bien como consecuencia, de los controles periódicos realizados.

Ámbito de Aplicación:

b.1 ÁMBITO JURÍDICO

El presente documento será de aplicación a los sistemas de tratamiento de datos de carácter personal que se hallan bajo la responsabilidad del Responsable de Tratamiento.

El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, es una norma directamente aplicable, que no requiere de normas internas de trasposición ni tampoco, en la mayoría de los casos, de normas de desarrollo o aplicación.

Por ello, los Responsables del Tratamiento deben ante todo asumir que la norma de referencia es el RGPD y no las normas nacionales, como venía sucediendo hasta ahora con la Directiva 95/46. No obstante, la ley que sustituirá a la actual Ley Orgánica de Protección de Datos (LOPD) sí podrá incluir algunas precisiones o desarrollos en materias en las que el RGPD lo permite.

El RGPD describe que el Responsable del Tratamiento aplique medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD.

Los responsables habrán de elegir únicamente encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del Reglamento. Esta previsión se extiende también a los encargados cuando subcontraten operaciones de tratamiento con otros subencargados.

La nueva normativa europea establece una categoría especial de datos para los tratamientos que contengan o revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física.

b.2 ÁMBITO PERSONAL

Todas las personas que tengan acceso a los datos del datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica, bien a través del sistema informático habilitado para acceder al mismo, o bien a través de cualquier medio automatizado de acceso a los ficheros, se encuentran obligadas a cumplir lo establecido en el presente documento y sujetas a las consecuencias que pudieran incurrir en caso de incumplimiento. Estas obligaciones serán igualmente aplicables a los accesos a los datos no automatizados.

Las normas internas contenidas en el presente documento se han puesto en conocimiento de todo el personal del Responsable de Tratamiento, con el objeto de dar cumplimiento a la obligación contenida en el artículo 24 del Reglamento 2016/679 que consagra el principio de responsabilidad proactiva, lo que supone que el Responsable del Tratamiento aplique medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD.

b.3 ÁMBITO MATERIAL

Se denomina recurso protegido a cualquier parte integrante de sistema de tratamiento por medio del cual se puede acceder a Ficheros que contengan datos de carácter personal.

Los recursos que deberán ser protegidos, por servir, directa o indirectamente, para acceder a los datos tratados objeto del presente Programa de cumplimiento de Protección de Datos y Seguridad, son:

Centros de tratamiento y almacenamiento de los datos

Aquellas ubicaciones en donde estén situados los servidores, equipos informáticos, soportes, y otros medios que contienen datos de carácter personal

Dispositivos de almacenamiento de datos no automatizados

Armarios, ficheros y otros dispositivos donde se almacena la documentación en papel. Deberán contener mecanismos de cierre o bien estar ubicados en dependencias cuyo acceso esté controlado.

III. Inventario de equipos informáticos

Servidores dedicados y no dedicados, que contienen datos de carácter personal, incluyendo cualquier dispositivo informático que los almacene, debiendo garantizar la disponibilidad y confidencialidad de los mismos, especialmente cuando se acceda a los mismos desde una red de comunicaciones interna o externa, reflejados en los Registros del presente Plan de Seguridad.

Programas y aplicaciones informáticas

Programas o aplicaciones utilizadas para el tratamiento y acceso a los datos de carácter personal, reflejados en los Registros del presente Plan de Seguridad. La página web del Responsable del Tratamiento, si mediante ella se tratasen datos de carácter personal

Soportes informáticos

Medios informáticos y canales de comunicación utilizados para la transmisión de los datos o la realización de copias de seguridad, bien a través de una red de comunicaciones interna o externa, debiéndose garantizar la disponibilidad y confidencialidad de los mismos. Así como los equipos y medios informáticos utilizados para realizar telecomunicaciones, transmisiones de datos.

Responsable del Tratamiento, Responsable de Contacto y DPO:

c.1. RESPONSABLE DEL TRATAMIENTO

Es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el Responsable del Tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros.

IDENTIFICACIÓN: Los datos del Responsable del Tratamiento corresponden al anteriormente denominado Responsable del Fichero.

Funciones

Velar por el cumplimiento de todos los requisitos establecidos en la legislación de Protección de Datos.
Redactar, establecer y comprobar la aplicación y el cumplimiento del Programa de Cumplimiento de Protección de Datos y Seguridad.
Describir los sistemas de información que realizan el tratamiento de los datos personales del Responsable del Tratamiento.
Elaborar y actualizar el Registro de Actividades del Tratamiento.
Establecer los mecanismos necesarios para evitar que un usuario pueda acceder a datos o recursos con derechos distintos de los autorizados.
Entregar a los encargados de tratamiento los datos necesarios para la prestación del servicio y verificar que estos encargados cumplen con lo dispuesto en la normativa de Protección de Datos.
Realizar una evaluación del impacto, en el caso que proceda, en la protección de datos personales de las operaciones de tratamiento a realizar por el encargado.
Realizar las consultas previas que corresponda.
Supervisar el tratamiento, incluida la realización de inspecciones y auditorías.

c.2. RESPONSABLE DE CONTACTO

El Responsable de Contacto es la persona a la que el Responsable del Tratamiento ha asignado formalmente la función de coordinar y controlar las medidas de seguridad. En ningún caso esta designación supone delegación de responsabilidad. En este caso, el Responsable de Contacto se corresponde con el anteriormente denominado Responsable de Seguridad.

c.3. RESTO DEL PERSONAL CON ACCESO A LOS DATOS

Las funciones y obligaciones del resto de personal se encuentran descritas en el documento Normativa de Seguridad, tanto para empleados como para colaboradores.

c.4. PERSONAL SIN ACCESO A LOS DATOS

El personal que realice trabajos que no impliquen el tratamiento de datos personales tendrá limitado el acceso a estos datos, a los soportes que los contengan, o a los recursos del sistema de información. Se deberá tener en cuenta que la mayoría de las actividades que supongan un contacto directo o indirecto con el sistema de información o con su entorno físico o lógico puede ser susceptible de poner en riesgo la seguridad de los datos, por lo que se recomienda en cualquier caso hacerle firmar la normativa de seguridad, o bien en el caso del personal de una empresa prestadora de servicios, anexar al contrato a firmar con la empresa las cláusulas correspondientes.

CATEGORIAS ESPECIALES DE DATOS: LOS DATOS BIOMETRICOS

Según el art. 4 del RGPD, los datos biométricos se definen como aquellos “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”.

Bajo esta definición quedaría incardinado cualquier sistema de identificación mediante huella dactilar o reconocimiento facial, por lo que esta categoría especial de datos sería objeto de las directrices contempladas para esta materia por el RGPD.

El reglamento Europeo en su considerando 51 recoge la especial protección que merecen los datos personales que, por su naturaleza, son particularmente sensibles en relación con los derechos y las libertades fundamentales. Debe incluirse entre tales datos personales los datos de carácter personal que revelen el origen racial o étnico, huella dactilar, iris, o fotografías, entre otros.

El tratamiento de fotografías no debe considerarse sistemáticamente tratamiento de categorías especiales de datos personales, pues únicamente se encuentran comprendidas en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la identificación o la autenticación unívocas de una persona física.

Así el Art. 9.1 del Reglamento Europeo establece, en lo relativo al tratamiento de categorías especiales de datos que:

Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física.

Si bien, y del mismo modo, recoge la excepción a este apartado primero del artículo 9, el apartado 2, según el cual dicho apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:

a) el interesado otorgue su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
e) el tratamiento se refiere a datos que el interesado ha hecho manifiestamente públicos;
f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
g) el tratamiento es necesario por razones de un interés público esencial, (…) que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
i) el tratamiento es necesario por razones de interés público en el ámbito de la salud pública (…).
j) el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.

Si bien el apartado 3 del mismo artículo establece que los datos referidos en el apartado 1 podrán tratarse con la finalidad de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad (…).

En congruencia con lo expuesto y a modo de resumen, las medidas de seguridad aplicadas a los datos biométricos dependiendo del sistema de biometría empleado y el riesgo que éste pudiera suponer para los interesados, resultaría conveniente la realización de una Evaluación de Impacto en materia de protección de datos (EIPD), y de este modo lo recoge el artículo 35.3 b) del RGPD, aludiendo a la necesidad de este tipo de evaluaciones en supuestos de tratamiento a gran escala de las categorías especiales de datos a que se refiere el art. 9.1 RGPD .

Ello implicaría analizar si el tratamiento se realiza a gran escala o no.

Principios Relativos al Tratamiento (art. 5 del RGPD)

Los principios y normas relativos a la protección de las personas físicas en lo que respecta al tratamiento de sus datos de carácter personal deben, cualquiera que sea su nacionalidad o residencia, respetar sus libertades y derechos fundamentales, en particular el derecho a la protección de datos de carácter personal. (Considerando 2 del RGPD).

Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable. Para determinar si una persona física es identificable deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos. Por lo tanto, los principios de protección de datos no deben aplicarse a la información anónima, es decir, información que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos, de forma que el interesado no sea identificable o deje de serlo. (Considerando 26 del RGPD).

Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento. (Considerando 39 del RGPD).

El principio de transparencia exige que toda información dirigida al público o al interesado sea concisa, fácilmente accesible y fácil de entender, y que se utilice un lenguaje claro y sencillo, y, además, en su caso, se visualice. Esta información podría facilitarse en forma electrónica, por ejemplo, cuando esté dirigida al público, mediante un sitio web. Ello es especialmente pertinente en situaciones en las que la proliferación de agentes y la complejidad tecnológica de la práctica hagan que sea difícil para el interesado saber y comprender si se están recogiendo, por quién y con qué finalidad, datos personales que le conciernen, como es en el caso de la publicidad en línea. Dado que los niños merecen una protección específica, cualquier información y comunicación cuyo tratamiento les afecte debe facilitarse en un lenguaje claro y sencillo que sea fácil de entender. (Considerando 58 del RGPD).

Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran. (Considerando 60)

Los datos personales serán:

a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).

El responsable del tratamiento será responsable del cumplimiento de estos principios y capaz de demostrarlo («responsabilidad proactiva»).

Legitimación del Tratamiento:

Las autoridades públicas a las que se comunican datos personales en virtud de una obligación legal para el ejercicio de su misión oficial, como las autoridades fiscales y aduaneras, las unidades de investigación financiera, las autoridades administrativas independientes o los organismos de supervisión de los mercados financieros encargados de la reglamentación y supervisión de los mercados de valores, no deben considerarse destinatarios de datos si reciben datos personales que son necesarios para llevar a cabo una investigación concreta de interés general, de conformidad con el Derecho de la Unión o de los Estados miembros. Las solicitudes de comunicación de las autoridades públicas siempre deben presentarse por escrito, de forma motivada y con carácter ocasional, y no deben referirse a la totalidad de un fichero ni dar lugar a la interconexión de varios ficheros. El tratamiento de datos personales por dichas autoridades públicas debe ser conforme con la normativa en materia de protección de datos que sea de aplicación en función de la finalidad del tratamiento. (Considerando 31 del RGPD).

El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta. (Considerando 32)

Con frecuencia no es posible determinar totalmente la finalidad del tratamiento de los datos personales con fines de investigación científica en el momento de su recogida. Por consiguiente, debe permitirse a los interesados dar su consentimiento para determinados ámbitos de investigación científica que respeten las normas éticas reconocidas para la investigación científica. Los interesados deben tener la oportunidad de dar su consentimiento solamente para determinadas áreas de investigación o partes de proyectos de investigación, en la medida en que lo permita la finalidad perseguida. (Considerando 33)

Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato. (Considerando 40).

Cuando el presente Reglamento hace referencia a una base jurídica o a una medida legislativa, esto no exige necesariamente un acto legislativo adoptado por un parlamento, sin perjuicio de los requisitos de conformidad del ordenamiento constitucional del Estado miembro de que se trate. Sin embargo, dicha base jurídica o medida legislativa debe ser clara y precisa y su aplicación previsible para sus destinatarios, de conformidad con la jurisprudencia del Tribunal de Justicia de la Unión Europea (en lo sucesivo, «Tribunal de Justicia») y del Tribunal Europeo de Derechos Humanos. (Considerando 41).

Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento. En particular en el contexto de una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo Europeo, debe proporcionarse un modelo de declaración de consentimiento elaborado previamente por el responsable del tratamiento con una formulación inteligible y de fácil acceso que emplee un lenguaje claro y sencillo, y que no contenga cláusulas abusivas. Para que el consentimiento sea informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales. El consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno. (Considerando 42).

Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular. Se presume que el consentimiento no se ha dado libremente cuando no permita autorizar por separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un contrato, incluida la prestación de un servicio, sea dependiente del consentimiento, aun cuando este no sea necesario para dicho cumplimiento. (Considerando 43)

El tratamiento debe ser lícito cuando sea necesario en el contexto de un contrato o de la intención de concluir un contrato. (Considerando 44)

Cuando se realice en cumplimiento de una obligación legal aplicable al responsable del tratamiento, o si es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, el tratamiento debe tener una base en el Derecho de la Unión o de los Estados miembros. El presente Reglamento no requiere que cada tratamiento individual se rija por una norma específica. Una norma puede ser suficiente como base para varias operaciones de tratamiento de datos basadas en una obligación legal aplicable al responsable del tratamiento, o si el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos. La finalidad del tratamiento también debe determinase en virtud del Derecho de la Unión o de los Estados miembros. Además, dicha norma podría especificar las condiciones generales del presente Reglamento por las que se rige la licitud del tratamiento de datos personales, establecer especificaciones para la determinación del responsable del tratamiento, el tipo de datos personales objeto de tratamiento, los interesados afectados, las entidades a las que se pueden comunicar los datos personales, las limitaciones de la finalidad, el plazo de conservación de los datos y otras medidas para garantizar un tratamiento lícito y leal. Debe determinarse también en virtud del Derecho de la Unión o de los Estados miembros si el responsable del tratamiento que realiza una misión en interés público o en el ejercicio de poderes públicos debe ser una autoridad pública u otra persona física o jurídica de Derecho público, o, cuando se haga en interés público, incluidos fines sanitarios como la salud pública, la protección social y la gestión de los servicios de sanidad, de Derecho privado, como una asociación profesional. (Considerando 45)

El tratamiento de datos personales también debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado o la de otra persona física. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano. (Considerando 46).

El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo. (Considerando 47).

Constituye un interés legítimo del responsable del tratamiento interesado el tratamiento de datos personales en la medida estrictamente necesaria y proporcionada para garantizar la seguridad de la red y de la información, es decir la capacidad de una red o de un sistema información de resistir, en un nivel determinado de confianza, a acontecimientos accidentales o acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos personales conservados o transmitidos, y la seguridad de los servicios conexos ofrecidos por, o accesibles a través de, estos sistemas y redes, por parte de autoridades públicas, equipos de respuesta a emergencias informáticas (CERT), equipos de respuesta a incidentes de seguridad informática (CSIRT), proveedores de redes y servicios de comunicaciones electrónicas y proveedores de tecnologías y servicios de seguridad. En lo anterior cabría incluir, por ejemplo, impedir el acceso no autorizado a las redes de comunicaciones electrónicas y la distribución malintencionada de códigos, y frenar ataques de «denegación de servicio» y daños a los sistemas informáticos y de comunicaciones electrónicas. (Considerando 49).

El tratamiento de datos personales con fines distintos de aquellos para los que hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de su recogida inicial. En tal caso, no se requiere una base jurídica aparte, distinta de la que permitió la obtención de los datos personales. Si el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, los cometidos y los fines para los cuales se debe considerar compatible y lícito el tratamiento ulterior se pueden determinar y especificar de acuerdo con el Derecho de la Unión o de los Estados miembros. Las operaciones de tratamiento ulterior con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos deben considerarse operaciones de tratamiento lícitas compatibles. La base jurídica establecida en el Derecho de la Unión o de los Estados miembros para el tratamiento de datos personales también puede servir de base jurídica para el tratamiento ulterior. Con objeto de determinar si el fin del tratamiento ulterior es compatible con el fin de la recogida inicial de los datos personales, el responsable del tratamiento, tras haber cumplido todos los requisitos para la licitud del tratamiento original, debe tener en cuenta, entre otras cosas, cualquier relación entre estos fines y los fines del tratamiento ulterior previsto, el contexto en el que se recogieron los datos, en particular las expectativas razonables del interesado basadas en su relación con el responsable en cuanto a su uso posterior, la naturaleza de los datos personales, las consecuencias para los interesados del tratamiento ulterior previsto y la existencia de garantías adecuadas tanto en la operación de tratamiento original como en la operación de tratamiento ulterior prevista. Si el interesado dio su consentimiento o el tratamiento se basa en el Derecho de la Unión o de los Estados miembros que constituye una medida necesaria y proporcionada en una sociedad democrática para salvaguardar, en particular, objetivos importantes de interés público general, el responsable debe estar facultado para el tratamiento ulterior de los datos personales, con independencia de la compatibilidad de los fines. En todo caso, se debe garantizar la aplicación de los principios establecidos por el presente Reglamento y, en particular, la información del interesado sobre esos otros fines y sobre sus derechos, incluido el derecho de oposición. La indicación de posibles actos delictivos o amenazas para la seguridad pública por parte del responsable del tratamiento y la transmisión a la autoridad competente de los datos respecto de casos individuales o casos diversos relacionados con un mismo acto delictivo o amenaza para la seguridad pública debe considerarse que es en interés legítimo del responsable. Con todo, debe prohibirse esa transmisión en interés legítimo del responsable o el tratamiento ulterior de datos personales si el tratamiento no es compatible con una obligación de secreto legal, profesional o vinculante por otro concepto. (Considerando 50).

En los casos en que los datos personales puedan ser tratados lícitamente porque el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento o por motivos de intereses legítimos del responsable o de un tercero, el interesado debe, sin embargo, tener derecho a oponerse al tratamiento de cualquier dato personal relativo a su situación particular. Debe ser el responsable el que demuestre que sus intereses legítimos imperiosos prevalecen sobre los intereses o los derechos y libertades fundamentales del interesado. (Considerando 69)

El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en este último aparatado no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento o bien para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En estos casos se fijará de manera más precisa los requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor de lo establecido para Actos Delegados y Actos de Ejecución.

La base del tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento y la base del tratamiento cuando es necesario para proteger intereses vitales del interesado o de otra persona física deberá ser establecida por:

a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.

La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor de lo establecido en las Disposiciones relativas a situaciones específicas de tratamiento. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.

Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar:

La seguridad del Estado.
La Defensa.
La Seguridad Pública.
La Prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención.
Otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular un interés económico o financiero importante de la Unión o de un Estado miembro, inclusive en los ámbitos fiscal, presupuestario, monetario, la sanidad pública y la seguridad social.
La protección de la independencia judicial y de los procedimientos judiciales.
La prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas.
Una función de supervisión, inspección o reglamentación vinculada, incluso ocasionalmente, con el ejercicio de la autoridad pública en los casos de seguridad del Estado, objetivos importantes de interés público general de la Unión o de un Estado miembro y la prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas.
La protección del interesado o de los derechos y libertades de otros.
La ejecución de demandas civiles.

En los casos señalados, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el tratamiento de categorías especiales de datos personales, o datos personales relativos a condenas e infracciones penales;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.

Responsabilidad Proactiva:

Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable. Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos. Por lo tanto los principios de protección de datos no deben aplicarse a la información anónima, es decir información que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable, o deje de serlo. En consecuencia, el RGPD no afecta al tratamiento de dicha información anónima, inclusive con fines estadísticos o de investigación. (Considerando 26 RGPD).

Para garantizar el cumplimiento de las disposiciones del RGPD respecto del tratamiento que lleve a cabo el encargado por cuenta del responsable, este, al encomendar actividades de tratamiento a un encargado, debe recurrir únicamente a encargados que ofrezcan suficientes garantías, en particular en lo que respecta a conocimientos especializados, fiabilidad y recursos, de cara a la aplicación de medidas técnicas y organizativas que cumplan los requisitos del RGPD, incluida la seguridad del tratamiento. La adhesión del encargado a un código de conducta aprobado o a un mecanismo de certificación aprobado puede servir de elemento para demostrar el cumplimiento de las obligaciones por parte del responsable. El tratamiento por un encargado debe regirse por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros que vincule al encargado con el responsable, que fije el objeto y la duración del tratamiento, la naturaleza y fines del tratamiento, el tipo de datos personales y las categorías de interesados, habida cuenta de las funciones y responsabilidades específicas del encargado en el contexto del tratamiento que ha de llevarse a cabo y del riesgo para los derechos y libertades del interesado. El responsable y el encargado pueden optar por basarse en un contrato individual o en cláusulas contractuales tipo que adopte directamente la Comisión o que primero adopte una autoridad de control de conformidad con el mecanismo de coherencia y posteriormente la Comisión. Una vez finalizado el tratamiento por cuenta del responsable, el encargado debe, a elección de aquel, devolver o suprimir los datos personales, salvo que el Derecho de la Unión o de los Estados miembros aplicable al encargado del tratamiento obligue a conservar los datos. (Considerando 81).

Para demostrar la conformidad con el RGPD, el responsable o el encargado del tratamiento debe mantener registros de las actividades de tratamiento bajo su responsabilidad. Todos los responsables y encargados están obligados a cooperar con la autoridad de control y a poner a su disposición, previa solicitud, dichos registros, de modo que puedan servir para supervisar las operaciones de tratamiento. (Considerando 82).

A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el RGPD, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales. (Considerando 83).

A fin de mejorar el cumplimiento del RGPD en aquellos casos en los que sea probable que las operaciones de tratamiento entrañen un alto riesgo para los derechos y libertades de las personas físicas, debe incumbir al responsable del tratamiento la realización de una evaluación de impacto relativa a la protección de datos, que evalúe, en particular, el origen, la naturaleza, la particularidad y la gravedad de dicho riesgo. El resultado de la evaluación debe tenerse en cuenta cuando se decidan las medidas adecuadas que deban tomarse con el fin de demostrar que el tratamiento de los datos personales es conforme con el RGPD. Si una evaluación de impacto relativa a la protección de datos muestra que las operaciones de tratamiento entrañan un alto riesgo que el responsable no puede mitigar con medidas adecuadas en términos de tecnología disponible y costes de aplicación, debe consultarse a la autoridad de control antes del tratamiento. (Considerando 84).

Si no se toman a tiempo medidas adecuadas, las violaciones de la seguridad de los datos personales pueden entrañar daños y perjuicios físicos, materiales o inmateriales para las personas físicas, como pérdida de control sobre sus datos personales o restricción de sus derechos, discriminación, usurpación de identidad, pérdidas financieras, reversión no autorizada de la seudonimización, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, o cualquier otro perjuicio económico o social significativo para la persona física en cuestión. Por consiguiente, tan pronto como el responsable del tratamiento tenga conocimiento de que se ha producido una violación de la seguridad de los datos personales, el responsable debe, sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, notificar la violación de la seguridad de los datos personales a la autoridad de control competente, a menos que el responsable pueda demostrar, atendiendo al principio de responsabilidad proactiva, la improbabilidad de que la violación de la seguridad de los datos personales entrañe un riesgo para los derechos y las libertades de las personas físicas. Si dicha notificación no es posible en el plazo de 72 horas, debe acompañarse de una indicación de los motivos de la dilación, pudiendo facilitarse información por fases sin más dilación indebida. (Considerando 85).

El responsable del tratamiento será responsable del cumplimiento de las siguientes obligaciones con respecto a los datos personales y deberá ser capaz de demostrarlo («responsabilidad proactiva»):

Serán tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»).
Serán recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines. El tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos estará sujeto a las garantías adecuadas, con arreglo al RGPD, para los derechos y las libertades de los interesados. Dichas garantías harán que se disponga de medidas técnicas y organizativas, en particular para garantizar el respeto del principio de minimización de los datos personales. Tales medidas podrán incluir la seudonimización, siempre que de esa forma puedan alcanzarse dichos fines. Siempre que esos fines pueden alcanzarse mediante un tratamiento ulterior que no permita o ya no permita la identificación de los interesados, esos fines se alcanzarán de ese modo. El tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);

Serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);

Han de ser exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»).

Transferencias Internacionales:

Los flujos transfronterizos de datos personales a, y desde, países no pertenecientes a la Unión y organizaciones internacionales son necesarios para la expansión del comercio y la cooperación internacionales. El aumento de estos flujos plantea nuevos retos e inquietudes en lo que respecta a la protección de los datos de carácter personal. No obstante, si los datos personales se transfieren de la Unión a responsables, encargados u otros destinatarios en terceros países o a organizaciones internacionales, esto no debe menoscabar el nivel de protección de las personas físicas garantizado en la Unión por el RGPD, ni siquiera en las transferencias ulteriores de datos personales desde el tercer país u organización internacional a responsables y encargados en el mismo u otro tercer país u organización internacional. En todo caso, las transferencias a terceros países y organizaciones internacionales solo pueden llevarse a cabo de plena conformidad con el RGPD. Una transferencia solo podría tener lugar si, a reserva de las demás disposiciones del RGPD, el responsable o encargado cumple las disposiciones del RGPD relativas a la transferencia de datos personales a terceros países u organizaciones internacionales. (Considerando 101 RGPD).

El RGPD se entiende sin perjuicio de los acuerdos internacionales celebrados entre la Unión y terceros países que regulan la transferencia de datos personales, incluidas las oportunas garantías para los interesados. Los Estados miembros pueden celebrar acuerdos internacionales que impliquen la transferencia de datos personales a terceros países u organizaciones internacionales siempre que dichos acuerdos no afecten al RGPD ni a ninguna otra disposición del Derecho de la Unión e incluyan un nivel adecuado de protección de los derechos fundamentales de los interesados. (Considerando 102).

La Comisión puede decidir, con efectos para toda la Unión, que un tercer país, un territorio o un sector específico de un tercer país, o una organización internacional ofrece un nivel de protección de datos adecuado, aportando de esta forma en toda la Unión seguridad y uniformidad jurídicas en lo que se refiere al tercer país u organización internacional que se considera ofrece tal nivel de protección. En estos casos, se pueden realizar transferencias de datos personales a estos países sin que se requiera obtener otro tipo de autorización. La Comisión también puede decidir revocar esa decisión, previo aviso y completa declaración motivada al tercer país u organización internacional. (Considerando 103).

En consonancia con los valores fundamentales en los que se basa la Unión, en particular la protección de los derechos humanos, la Comisión, en su evaluación del tercer país, o de un territorio o un sector específico de un tercer país, debe tener en cuenta de qué manera respeta un determinado tercer país respeta el Estado de Derecho, el acceso a la justicia y las normas y criterios internacionales en materia de derechos humanos y su Derecho general y sectorial, incluida la legislación relativa a la seguridad pública, la defensa y la seguridad nacional, así como el orden público y el Derecho penal. En la adopción de una decisión de adecuación con respecto a un territorio o un sector específico de un tercer país se deben tener en cuenta criterios claros y objetivos, como las actividades concretas de tratamiento y el alcance de las normas jurídicas aplicables y la legislación vigente en el tercer país. El tercer país debe ofrecer garantías que aseguren un nivel adecuado de protección equivalente en lo esencial al ofrecido en la Unión, en particular cuando los datos personales son objeto de tratamiento en uno o varios sectores específicos. En particular, el tercer país debe garantizar que haya un control verdaderamente independiente de la protección de datos y establecer mecanismos de cooperación con las autoridades de protección de datos de los Estados miembros, así como reconocer a los interesados derechos efectivos y exigibles y acciones administrativas y judiciales efectivas. (Considerando 104).

Aparte de los compromisos internacionales adquiridos por el tercer país u organización internacional, la Comisión debe tener en cuenta las obligaciones resultantes de la participación del tercer país u organización internacional en sistemas multilaterales o regionales, en particular en relación con la protección de los datos personales, y el cumplimiento de esas obligaciones. En particular, debe tenerse en cuenta la adhesión del país al Convenio del Consejo de Europa, de 28 de enero de 1981, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal y su Protocolo adicional. La Comisión debe consultar al Comité al evaluar el nivel de protección existente en terceros países u organizaciones internacionales. (Considerando 105).

La Comisión debe supervisar la aplicación de las decisiones sobre el nivel de protección en un país tercero, un territorio o un sector específico de un país tercero, o una organización internacional, y la aplicación las decisiones adoptadas sobre la base del artículo 25, apartado 6, o el artículo 26, apartado 4, de la Directiva 95/46/CE. En sus decisiones de adecuación, la Comisión debe establecer un mecanismo para la revisión periódica de su aplicación. Dicha revisión periódica debe realizarse en colaboración con el tercer país u organización internacional de que se trate y tener en cuenta todos los cambios en la materia que se produzcan en dicho tercer país u organización internacional. A efectos de la supervisión y realización de las revisiones periódicas, la Comisión debe tomar en consideración las opiniones y conclusiones del Parlamento Europeo y del Consejo, así como de otros organismos y fuentes pertinentes. La Comisión debe evaluar, en un plazo razonable, la aplicación de dichas decisiones e informar de cualquier conclusión pertinente al Comité que, en el sentido del Reglamento (UE) n.o 182/2011 del Parlamento Europeo y del Consejo (1), establece el RGPD, y al Parlamento Europeo y el Consejo. (Considerando 106).

La Comisión puede reconocer que un tercer país, un territorio o sector específico en un tercer país, o una organización internacional ya no garantiza un nivel de protección de datos adecuado. En consecuencia, debe prohibirse la transferencia de datos personales a dicho tercer país u organización internacional, salvo que se cumplan los requisitos del RGPD relativos a las transferencias basadas en garantías adecuadas, incluidas las normas corporativas vinculantes, y a las excepciones aplicadas a situaciones específicas. En ese caso, debe establecerse la celebración de consultas entre la Comisión y esos terceros países u organizaciones internacionales. La Comisión debe informar en tiempo oportuno al tercer país u organización internacional de las razones y entablar consultas a fin de subsanar la situación. (Considerando 107).

En ausencia de una decisión por la que se constate la adecuación de la protección de los datos, el responsable o el encargado del tratamiento deben tomar medidas para compensar la falta de protección de datos en un tercer país mediante garantías adecuadas para el interesado. Tales garantías adecuadas pueden consistir en el recurso a normas corporativas vinculantes, a cláusulas tipo de protección de datos adoptadas por la Comisión o por una autoridad de control, o a cláusulas contractuales autorizadas por una autoridad de control. Esas garantías deben asegurar la observancia de requisitos de protección de datos y derechos de los interesados adecuados al tratamiento dentro de la Unión, incluida la disponibilidad por parte de los interesados de derechos exigibles y de acciones legales efectivas, lo que incluye el derecho a obtener una reparación administrativa o judicial efectiva y a reclamar una indemnización, en la Unión o en un tercer país. En particular, deben referirse al cumplimiento de los principios generales relativos al tratamiento de los datos personales y los principios de la protección de datos desde el diseño y por defecto. Las transferencias también pueden realizarlas autoridades o entidades públicas con entidades o autoridades públicas de terceros países o con organizaciones internacionales con competencias o funciones correspondientes, igualmente sobre la base de disposiciones incorporadas a acuerdos administrativos, como un memorando de entendimiento, que reconozcan derechos exigibles y efectivos a los interesados. Si las garantías figuran en acuerdos administrativos que no sean jurídicamente vinculantes se debe recabar la autorización de la autoridad de control competente. (Considerando 108).

Todo grupo empresarial o unión de empresas dedicadas a una actividad económica conjunta debe tener la posibilidad de invocar normas corporativas vinculantes autorizadas para sus transferencias internacionales de la Unión a organizaciones dentro del mismo grupo empresarial o unión de empresas dedicadas a una actividad económica conjunta, siempre que tales normas corporativas incorporen todos los principios esenciales y derechos aplicables con el fin de ofrecer garantías adecuadas para las transferencias o categorías de transferencias de datos de carácter personal. (Considerando 110).

Se debe establecer la posibilidad de realizar transferencias en determinadas circunstancias, de mediar el consentimiento explícito del interesado, si la transferencia es ocasional y necesaria en relación con un contrato o una reclamación, independientemente de tratarse de un procedimiento judicial o un procedimiento administrativo o extrajudicial, incluidos los procedimientos ante organismos reguladores. También se debe establecer la posibilidad de realizar transferencias cuando así lo requieran razones importantes de interés público establecidas por el Derecho de la Unión o de los Estados miembros, o cuando la transferencia se haga a partir de un registro establecido por ley y se destine a consulta por el público o por personas que tengan un interés legítimo. En este último caso la transferencia no debe afectar a la totalidad de los datos personales o de las categorías de datos incluidos en el registro y, cuando el registro esté destinado a su consulta por personas que tengan un interés legítimo, la transferencia solo debe efectuarse a petición de dichas personas o, si estas van a ser las destinatarias, teniendo plenamente en cuenta los intereses y los derechos fundamentales del interesado. (Considerando 111).

Dichas excepciones deben aplicarse en particular a las transferencias de datos requeridas y necesarias por razones importantes de interés público, por ejemplo en caso de intercambios internacionales de datos entre autoridades en el ámbito de la competencia, administraciones fiscales o aduaneras, entre autoridades de supervisión financiera, entre servicios competentes en materia de seguridad social o de sanidad pública, por ejemplo en caso contactos destinados a localizar enfermedades contagiosas o para reducir y/o eliminar el dopaje en el deporte. La transferencia de datos personales también debe considerarse lícita en caso de que sea necesaria para proteger un interés esencial para los intereses vitales del interesado o de otra persona, incluida la integridad física o la vida, si el interesado no está en condiciones de dar su consentimiento. En ausencia de una decisión de adecuación, el Derecho de la Unión o de los Estados miembros puede limitar expresamente, por razones importantes de interés público, la transferencia de categorías específicas de datos a un tercer país o a una organización internacional. Los Estados miembros deben notificar esas disposiciones a la Comisión. Puede considerarse necesaria, por una razón importante de interés público o por ser de interés vital para el interesado, toda transferencia a una organización internacional humanitaria de datos personales de un interesado que no tenga capacidad física o jurídica para dar su consentimiento, con el fin de desempeñar un cometido basado en las Convenciones de Ginebra o de conformarse al Derecho internacional humanitario aplicable en caso de conflictos armados. (Considerando 112).

Cuando los datos personales se obtengan del interesado el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias mediante garantías adecuadas o basadas en Normas corporativas vinculantes o cuando no pueda basarse en Transferencias basadas en una decisión de adecuación o en Transferencias mediante garantías adecuadas, la referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de ellas o al hecho de que se hayan prestado.

Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud de lo regulado para Transferencias mediante garantías adecuadas.

El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:

tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;

las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;

en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias que no puedan basarse en Transferencias basadas en una decisión de adecuación o en Transferencias mediante garantías adecuadas, incluidas las disposiciones sobre normas corporativas vinculantes, y no sea aplicable ninguna de las excepciones para situaciones específicas a que se refiere el párrafo primero del presente apartado, solo se podrá llevar a cabo si no es repetitiva, afecta solo a un número limitado de interesados, es necesaria a los fines de intereses legítimos imperiosos perseguidos por el responsable del tratamiento sobre los que no prevalezcan los intereses o derechos y libertades del interesado, y el responsable del tratamiento evaluó todas las circunstancias concurrentes en la transferencia de datos y, basándose en esta evaluación, ofreció garantías apropiadas con respecto a la protección de datos personales. El responsable del tratamiento informará a la autoridad de control de la transferencia. Además de la información a que hacen referencia a la información que deberá facilitarse cuando los datos personales se obtengan del interesado e información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado, el responsable del tratamiento informará al interesado de la transferencia y de los intereses legítimos imperiosos perseguidos., la documentación de garantías adecuadas;

Solo se realizarán transferencias de datos personales que sean objeto de tratamiento o vayan a serlo tras su transferencia a un tercer país u organización internacional si, a reserva de las demás disposiciones del RGPD, el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores de datos personales desde el tercer país u organización internacional a otro tercer país u otra organización internacional. Todas las disposiciones del presente capítulo se aplicarán a fin de asegurar que el nivel de protección de las personas físicas garantizado por el RGPD no se vea menoscabado.

Podrá realizarse una transferencia de datos personales a un tercer país u organización internacional cuando la Comisión haya decidido que el tercer país, un territorio o uno o varios sectores específicos de ese tercer país, o la organización internacional de que se trate garantizan un nivel de protección adecuado. Dicha transferencia no requerirá ninguna autorización específica.

La Comisión, tras haber evaluado la adecuación del nivel de protección, podrá decidir, mediante un acto de ejecución, que un tercer país, un territorio o uno o varios sectores específicos de un tercer país, o una organización internacional garantizan un nivel de protección adecuado a tenor de lo dispuesto en el RGDP. El acto de ejecución establecerá un mecanismo de revisión periódica, al menos cada cuatro años, que tenga en cuenta todos los acontecimientos relevantes en el tercer país o en la organización internacional. El acto de ejecución especificará su ámbito de aplicación territorial y sectorial, y, en su caso, determinará la autoridad o autoridades de control a que se refiere el RGPD. El acto de ejecución se adoptará con arreglo al procedimiento de examen estipulado en el RGPD.

A falta de la decisión detallada en el párrafo anterior, el responsable o el encargado del tratamiento solo podrá transmitir datos personales a un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas.

Cualquier sentencia de un órgano jurisdiccional o decisión de una autoridad administrativa de un tercer país que exijan que un responsable o encargado del tratamiento transfiera o comunique datos personales únicamente será reconocida o ejecutable en cualquier modo si se basa en un acuerdo internacional, como un tratado de asistencia jurídica mutua, vigente entre el país tercero requirente y la Unión o un Estado miembro, sin perjuicio de otros motivos para la transferencia al amparo del presente capítulo.

En ausencia de una decisión de adecuación de conformidad los apartados anteriores, incluidas las normas corporativas vinculantes, una transferencia o un conjunto de transferencias de datos personales a un tercer país u organización internacional únicamente se realizará si se cumple alguna de las condiciones siguientes:

el interesado haya dado explícitamente su consentimiento a la transferencia propuesta, tras haber sido informado de los posibles riesgos para él de dichas transferencias debido a la ausencia de una decisión de adecuación y de garantías adecuadas;
la transferencia sea necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento o para la ejecución de medidas precontractuales adoptadas a solicitud del interesado;
la transferencia sea necesaria para la celebración o ejecución de un contrato, en interés del interesado, entre el responsable del tratamiento y otra persona física o jurídica;
la transferencia sea necesaria por razones importantes de interés público;
la transferencia sea necesaria para la formulación, el ejercicio o la defensa de reclamaciones;
la transferencia sea necesaria para proteger los intereses vitales del interesado o de otras personas, cuando el interesado esté física o jurídicamente incapacitado para dar su consentimiento;
la transferencia se realice desde un registro público que, con arreglo al Derecho de la Unión o de los Estados miembros, tenga por objeto facilitar información al público y esté abierto a la consulta del público en general o de cualquier persona que pueda acreditar un interés legítimo, pero sólo en la medida en que se cumplan, en cada caso particular, las condiciones que establece el Derecho de la Unión o de los Estados miembros para la consulta.

Los acuerdos internacionales que impliquen la transferencia de datos personales a terceros países u organizaciones internacionales que hubieren sido celebrados por los Estados miembros antes del 24 de mayo de 2016 y que cumplan lo dispuesto en el Derecho de la Unión aplicable antes de dicha fecha, seguirán en vigor hasta que sean modificados, sustituidos o revocados.

Autoridades de Control:

Aunque el RGPD se aplica, entre otras, a las actividades de los tribunales y otras autoridades judiciales, en virtud del Derecho de la Unión o de los Estados miembros pueden especificarse las operaciones de tratamiento y los procedimientos de tratamiento en relación con el tratamiento de datos personales por los tribunales y otras autoridades judiciales. A fin de preservar la independencia del poder judicial en el desempeño de sus funciones, incluida la toma de decisiones, la competencia de las autoridades de control no debe abarcar el tratamiento de datos personales cuando los tribunales actúen en ejercicio de su función judicial. El control de esas operaciones de tratamiento de datos ha de poder encomendarse a organismos específicos establecidos dentro del sistema judicial del Estado miembro, los cuales deben, en particular, garantizar el cumplimiento de las normas del RGPD, concienciar más a los miembros del poder judicial acerca de sus obligaciones en virtud de este y atender las reclamaciones en relación con tales operaciones de tratamiento de datos. (Considerando 20 RGPD).

La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del RGPD, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. (Considerando 79).

La Directiva 95/46/CE estableció la obligación general de notificar el tratamiento de datos personales a las autoridades de control. Pese a implicar cargas administrativas y financieras, dicha obligación, sin embargo, no contribuyó en todos los casos a mejorar la protección de los datos personales. Por tanto, estas obligaciones generales de notificación indiscriminada deben eliminarse y sustituirse por procedimientos y mecanismos eficaces que se centren, en su lugar, en los tipos de operaciones de tratamiento que, por su naturaleza, alcance, contexto y fines, entrañen probablemente un alto riesgo para los derechos y libertades de las personas físicas. Estos tipos de operaciones de tratamiento pueden ser, en particular, las que implican el uso de nuevas tecnologías, o son de una nueva clase y el responsable del tratamiento no ha realizado previamente una evaluación de impacto relativa a la protección de datos, o si resultan necesarias visto el tiempo transcurrido desde el tratamiento inicial. (Considerando 89).

El establecimiento en los Estados miembros de autoridades de control capacitadas para desempeñar sus funciones y ejercer sus competencias con plena independencia constituye un elemento esencial de la protección de las personas físicas con respecto al tratamiento de datos de carácter personal. Los Estados miembros deben tener la posibilidad de establecer más de una autoridad de control, a fin de reflejar su estructura constitucional, organizativa y administrativa. (Considerando 117).

La independencia de las autoridades de control no debe significar que dichas autoridades puedan quedar exentas de mecanismos de control o supervisión en relación con sus gastos financieros, o de control judicial. (Considerando 118).

Si un Estado miembro establece varias autoridades de control, debe disponer por ley mecanismos que garanticen la participación efectiva de dichas autoridades de control en el mecanismo de coherencia. Tal Estado miembro debe, en particular, designar a la autoridad de control que actuará como punto de contacto único de cara a la participación efectiva de dichas autoridades en el citado mecanismo, garantizando así una cooperación rápida y fluida con otras autoridades de control, el Comité y la Comisión. (Considerando 119).

Todas las autoridades de control deben estar dotadas de los recursos financieros y humanos, los locales y las infraestructuras que sean necesarios para la realización eficaz de sus funciones, en particular las relacionadas con la asistencia recíproca y la cooperación con otras autoridades de control de la Unión. Cada autoridad de control debe disponer de un presupuesto anual público propio, que podrá formar parte del presupuesto general del Estado o de otro ámbito nacional. (Considerando 120).

A fin de proteger a las personas físicas con respecto al tratamiento de sus datos personales y de facilitar la libre circulación de los datos personales en el mercado interior, las autoridades de control deben supervisar la aplicación de las disposiciones adoptadas de conformidad con el RGPD y contribuir a su aplicación coherente en toda la Unión. A tal efecto, las autoridades de control deben cooperar entre ellas y con la Comisión, sin necesidad de acuerdo alguno entre Estados miembros sobre la prestación de asistencia mutua ni sobre dicha cooperación. (Considerando 123).

La autoridad principal debe ser competente para adoptar decisiones vinculantes relativas a las medidas de aplicación de los poderes conferidos con arreglo al RGPD. En su calidad de autoridad principal, la autoridad de control debe implicar estrechamente y coordinar a las autoridades de control interesadas en el proceso de toma de decisiones. En los casos en los que la decisión consista en rechazar total o parcialmente la reclamación del interesado, esa decisión debe ser adoptada por la autoridad de control ante la que se haya presentado la reclamación. (Considerando 125).

La decisión debe ser acordada conjuntamente por la autoridad de control principal y las autoridades de control interesadas y debe dirigirse al establecimiento principal o único del responsable o del encargado del tratamiento y ser vinculante para ambos. El responsable o el encargado deben tomar las medidas necesarias para garantizar el cumplimiento del RGPD y la aplicación de la decisión notificada por la autoridad de control principal al establecimiento principal del responsable o del encargado en lo que se refiere a las actividades de tratamiento en la Unión. (Considerando 126).

Cada autoridad de control que no actúa como autoridad principal debe ser competente para tratar asuntos locales en los que, si bien el responsable o el encargado del tratamiento está establecido en más de un Estado miembro, el objeto del tratamiento específico se refiere exclusivamente al tratamiento efectuado en un único Estado miembro y afecta exclusivamente a interesados de ese único Estado miembro, por ejemplo cuando el tratamiento tiene como objeto datos personales de empleados en el contexto específico de empleo de un Estado miembro. En tales casos, la autoridad de control debe informar sin dilación al respecto a la autoridad de control principal. Una vez informada, la autoridad de control principal debe decidir si tratará el asunto de acuerdo con la disposición aplicable a la cooperación entre la autoridad de control principal y otras autoridades de control interesadas («mecanismo de ventanilla única»), o si lo debe tratar localmente la autoridad de control que le haya informado. Al decidir si trata el asunto, la autoridad de control principal debe considerar si existe un establecimiento del responsable o del encargado en el Estado miembro de la autoridad de control que le haya informado, con el fin de garantizar la ejecución efectiva de la decisión respecto del responsable o encargado del tratamiento. Si la autoridad de control principal decide tratar el asunto, se debe ofrecer a la autoridad de control informante la posibilidad de presentar un proyecto de decisión, que la autoridad de control principal ha de tener en cuenta en la mayor medida posible al preparar su proyecto de decisión al amparo del mecanismo de ventanilla única. (Considerando 127).

Las normas sobre la autoridad de control principal y el mecanismo de ventanilla única no deben aplicarse cuando el tratamiento sea realizado por autoridades públicas u organismos privados en interés público. En tales casos, la única autoridad de control competente para ejercer los poderes conferidos con arreglo al RGPD debe ser la autoridad de control del Estado miembro en el que estén establecidos la autoridad pública o el organismo privado. (Considerando 128).

Para garantizar la supervisión y ejecución coherentes del RGPD en toda la Unión, las autoridades de control deben tener en todos los Estados miembros las mismas funciones y poderes efectivos, incluidos poderes de investigación, poderes correctivos y sancionadores, y poderes de autorización y consultivos, especialmente en casos de reclamaciones de personas físicas, y sin perjuicio de las competencias de las autoridades encargadas de la persecución de los delitos con arreglo al Derecho de los Estados miembros para poner en conocimiento de las autoridades judiciales las infracciones del RGPD y ejercitar acciones judiciales. Dichos poderes deben incluir también el poder de imponer una limitación temporal o definitiva al tratamiento, incluida su prohibición. Los Estados miembros pueden especificar otras funciones relacionadas con la protección de datos personales con arreglo al RGPD. Los poderes de las autoridades de control deben ejercerse de conformidad con garantías procesales adecuadas establecidas en el Derecho de la Unión y los Estados miembros, de forma imparcial, equitativa y en un plazo razonable. En particular, toda medida debe ser adecuada, necesaria y proporcionada con vistas a garantizar el cumplimiento del RGPD, teniendo en cuenta las circunstancias de cada caso concreto, respetar el derecho de todas las personas a ser oídas antes de que se adopte cualquier medida que las afecte negativamente y evitar costes superfluos y molestias excesivas para las personas afectadas. Los poderes de investigación en lo que se refiere al acceso a instalaciones deben ejercerse de conformidad con los requisitos específicos del Derecho procesal de los Estados miembros, como el de la autorización judicial previa. Toda medida jurídicamente vinculante de la autoridad de control debe constar por escrito, ser clara e inequívoca, indicar la autoridad de control que dictó la medida y la fecha en que se dictó, llevar la firma del director o de un miembro de la autoridad de control autorizado por este, especificar los motivos de la medida y mencionar el derecho a la tutela judicial efectiva. Esto no debe obstar a que se impongan requisitos adicionales con arreglo al Derecho procesal de los Estados miembros. La adopción de una decisión jurídicamente vinculante implica que puede ser objeto de control judicial en el Estado miembro de la autoridad de control que adoptó la decisión. (Considerando 129).

Entre las actividades de sensibilización del público por parte de las autoridades de control deben incluirse medidas específicas dirigidas a los responsables y los encargados del tratamiento, incluidas las microempresas y las pequeñas y medianas empresas, así como las personas físicas, en particular en el contexto educativo. (Considerando 132).

Las autoridades de control se deben ayudar una a otra en el desempeño de sus funciones y prestar asistencia mutua, con el fin de garantizar la aplicación y ejecución coherentes del RGPD en el mercado interior. Una autoridad de control que solicite asistencia mutua puede adoptar una medida provisional si no recibe respuesta a su solicitud de asistencia en el plazo de un mes a partir de su recepción por la otra autoridad de control. (Considerando 133).

Cada autoridad de control debe participar, cuando proceda, en operaciones conjuntas con otras autoridades de control. La autoridad de control a la que se solicite ayuda debe tener la obligación de responder a la solicitud en un plazo de tiempo determinado. (Considerando 134).

A fin de garantizar la aplicación coherente del RGPD en toda la Unión, debe establecerse un mecanismo de coherencia para la cooperación entre las autoridades de control. Este mecanismo debe aplicarse en particular cuando una autoridad de control prevea adoptar una medida dirigida a producir efectos jurídicos en lo que se refiere a operaciones de tratamiento que afecten sustancialmente a un número significativo de interesados en varios Estados miembros. También debe aplicarse cuando cualquier autoridad de control interesada o la Comisión soliciten que dicho asunto se trate al amparo del mecanismo de coherencia. Dicho mecanismo debe entenderse sin perjuicio de cualesquiera medidas que la Comisión pueda adoptar en el ejercicio de sus poderes con arreglo a los Tratados. (Considerando 135).

En aplicación del mecanismo de coherencia, el Comité debe, en un plazo determinado, emitir un dictamen, si así lo decide una mayoría de sus miembros o si así lo solicita cualquier autoridad de control interesada o la Comisión. El Comité también debe estar facultado para adoptar decisiones jurídicamente vinculantes en caso de diferencias entre autoridades de control. A tal efecto debe dictar, en principio por mayoría de dos tercios de sus miembros, decisiones jurídicamente vinculantes en casos claramente especificados en los que exista conflicto de opiniones entre las autoridades de control, en particular en el mecanismo de cooperación entre la autoridad de control principal y las autoridades de control interesadas sobre el fondo del asunto, especialmente en caso de infracción del RGPD. (Considerando 136).

La aplicación de tal mecanismo debe ser una condición para la licitud de una medida de una autoridad de control destinada a producir efectos jurídicos, en aquellos casos en los que su aplicación sea obligatoria. En otros casos de relevancia transfronteriza, la autoridad de control principal y las autoridades de control interesadas deben aplicar entre sí el mecanismo de cooperación, y las autoridades de control interesadas pueden prestarse asistencia mutua y realizar entre sí operaciones conjuntas, sobre una base bilateral o multilateral, sin tener que aplicarlo. (Considerando 138).

Por lo que respecta a los poderes de las autoridades de control para obtener del responsable o del encargado del tratamiento acceso a los datos personales y a sus locales, los Estados miembros pueden adoptar por ley, dentro de los límites fijados por el RGPD, normas específicas con vistas a salvaguardar el deber de secreto profesional u obligaciones equivalentes, en la medida necesaria para conciliar el derecho a la protección de los datos personales con el deber de secreto profesional. Lo anterior se entiende sin perjuicio de las obligaciones existentes para los Estados miembros de adoptar normas sobre el secreto profesional cuando así lo exija el Derecho de la Unión. (Considerando 164).

El procedimiento de examen debe seguirse para la adopción de actos de ejecución sobre cláusulas contractuales tipo entre responsables y encargados del tratamiento y entre responsables del tratamiento; códigos de conducta; normas técnicas y mecanismos de certificación; el nivel adecuado de protección ofrecido por un tercer país, un territorio o un sector específico en ese tercer país, o una organización internacional; cláusulas tipo de protección; formatos y procedimientos para el intercambio de información entre responsables, encargados y autoridades de control respecto de normas corporativas vinculantes; asistencia mutua; y modalidades de intercambio de información por medios electrónicos entre las autoridades de control, y entre las autoridades de control y el Comité. (Considerando 168).

Cada Estado miembro establecerá que sea responsabilidad de una o varias autoridades públicas independientes (en adelante «autoridad de control») supervisar la aplicación del RGPD, con el fin de proteger los derechos y las libertades fundamentales de las personas físicas en lo que respecta al tratamiento y de facilitar la libre circulación de datos personales en la Unión.

Cada autoridad de control contribuirá a la aplicación coherente del RGPD en toda la Unión. A tal fin, las autoridades de control cooperarán entre sí y con la Comisión con arreglo a lo dispuesto en temas de Cooperación y Coherencia del RGPD.

Cuando haya varias autoridades de control en un Estado miembro, este designará la autoridad de control que representará a dichas autoridades en el Comité, y establecerá el mecanismo que garantice el cumplimiento por las demás autoridades de las normas relativas al mecanismo de coherencia a que se refiere el RGPD.

Cada Estado miembro notificará a la Comisión las disposiciones legales que adopte de conformidad con el presente capítulo a más tardar el 25 de mayo de 2018 y, sin dilación, cualquier modificación posterior que afecte a dichas disposiciones.

Cada autoridad de control actuará con total independencia en el desempeño de sus funciones y en el ejercicio de sus poderes de conformidad con el RGPD.

El miembro o los miembros de cada autoridad de control serán ajenos, en el desempeño de sus funciones y en el ejercicio de sus poderes de conformidad con el RGPD, a toda influencia externa, ya sea directa o indirecta, y no solicitarán ni admitirán ninguna instrucción.

El miembro o los miembros de cada autoridad de control se abstendrán de cualquier acción que sea incompatible con sus funciones y no participarán, mientras dure su mandato, en ninguna actividad profesional que sea incompatible, remunerada o no.

Cada Estado miembro garantizará que cada autoridad de control disponga en todo momento de los recursos humanos, técnicos y financieros, así como de los locales y las infraestructuras necesarios para el cumplimiento efectivo de sus funciones y el ejercicio de sus poderes, incluidos aquellos que haya de ejercer en el marco de la asistencia mutua, la cooperación y la participación en el Comité.

Cada Estado miembro garantizará que cada autoridad de control elija y disponga de su propio personal, que estará sujeto a la autoridad exclusiva del miembro o miembros de la autoridad de control interesada.

Cada Estado miembro garantizará que cada autoridad de control esté sujeta a un control financiero que no afecte a su independencia y que disponga de un presupuesto anual, público e independiente, que podrá formar parte del presupuesto general del Estado o de otro ámbito nacional.

Cada autoridad de control será competente para desempeñar las funciones que se le asignen y ejercer los poderes que se le confieran de conformidad con el RGPD en el territorio de su Estado miembro.

Cuando el tratamiento sea efectuado por autoridades públicas o por organismos privados que actúen cuando el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento o cuando el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, será competente la autoridad de control del Estado miembro de que se trate. No será aplicable en tales casos el informe sin dilación en los casos en los que una reclamación le sea presentada o una posible infracción del RGPD, cuando refiera únicamente a un establecimiento situado en su Estado miembro o únicamente afecte de manera sustancial a interesados en su Estado miembro.

Las autoridades de control no serán competentes para controlar las operaciones de tratamiento efectuadas por los tribunales en el ejercicio de su función judicial.

Sin perjuicio de otras funciones en virtud del RGPD, incumbirá a cada autoridad de control, en su territorio:

controlar la aplicación del RGPD y hacerlo aplicar;

promover la sensibilización del público y su comprensión de los riesgos, normas, garantías y derechos en relación con el tratamiento. Las actividades dirigidas específicamente a los niños deberán ser objeto de especial atención;

asesorar, con arreglo al Derecho de los Estados miembros, al Parlamento nacional, al Gobierno y a otras instituciones y organismos sobre las medidas legislativas y administrativas relativas a la protección de los derechos y libertades de las personas físicas con respecto al tratamiento;

promover la sensibilización de los responsables y encargados del tratamiento acerca de las obligaciones que les incumben en virtud del RGPD;

previa solicitud, facilitar información a cualquier interesado en relación con el ejercicio de sus derechos en virtud del RGPD y, en su caso, cooperar a tal fin con las autoridades de control de otros Estados miembros;

tratar las reclamaciones presentadas por un interesado o por un organismo, organización o asociación de conformidad con lo establecido para la Representación de los Interesados en el RGPD, e investigar, en la medida oportuna, el motivo de la reclamación e informar al reclamante sobre el curso y el resultado de la investigación en un plazo razonable, en particular si fueran necesarias nuevas investigaciones o una coordinación más estrecha con otra autoridad de control;

cooperar, en particular compartiendo información, con otras autoridades de control y prestar asistencia mutua con el fin de garantizar la coherencia en la aplicación y ejecución del RGPD;

llevar a cabo investigaciones sobre la aplicación del RGPD, en particular basándose en información recibida de otra autoridad de control u otra autoridad pública;

hacer un seguimiento de cambios que sean de interés, en la medida en que tengan incidencia en la protección de datos personales, en particular el desarrollo de las tecnologías de la información y la comunicación y las prácticas comerciales;

adoptar las cláusulas contractuales tipo a que se referidas al Encargado de Tratamiento y a Transferencias mediante garantías adecuadas;

elaborar y mantener una lista relativa al requisito de la evaluación de impacto relativa a la protección de datos;

ofrecer asesoramiento sobre las operaciones de tratamiento en las que el responsable no haya identificado o mitigado suficientemente el riesgo;

alentar la elaboración de códigos de conducta y dictaminar y aprobar los códigos de conducta que den suficientes garantías con arreglo RGPD;

fomentar la creación de mecanismos de certificación de la protección de datos y de sellos y marcas de protección de datos y aprobar los criterios de certificación de conformidad con el RGPD;

llevar a cabo, si procede, una revisión periódica de las certificaciones expedidas.

elaborar y publicar los criterios para la acreditación de organismos de supervisión de los códigos de conducta de organismos de certificación con arreglo al RGPD;

efectuar la acreditación de organismos de supervisión de los códigos de conducta y de organismos de certificación con arreglo RGPD;

autorizar las cláusulas contractuales y disposiciones para las Transferencias mediante Garantías Adecuadas;

aprobar normas corporativas vinculantes establecidas en el RGPD;

contribuir a las actividades del Comité;

llevar registros internos de las infracciones del presente Reglamento y de las medidas adoptadas en el ejercicio de sus poderes correctivos,

desempeñar cualquier otra función relacionada con la protección de los datos personales.

Cada autoridad de control facilitará la presentación de las reclamaciones contempladas en el apartado f del párrafo anterior mediante medidas como un formulario de presentación de reclamaciones que pueda cumplimentarse también por medios electrónicos, sin excluir otros medios de comunicación.

El desempeño de las funciones de cada autoridad de control será gratuito para el interesado y, en su caso, para el delegado de protección de datos.

Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, la autoridad de control podrá establecer una tasa razonable basada en los costes administrativos o negarse a actuar respecto de la solicitud. La carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud recaerá en la autoridad de control.

REGISTRO DE ACTIVIDADES DE TRATAMIENTO

El Registro de Actividades de Tratamiento del Responsable de Tratamiento se corresponden con las anteriores Notificaciones de Ficheros Inscritos ante la Agencia Española de Protección de Datos, disponibles en la pestaña ‘Ficheros Inscritos” en la carpeta del Documento de Seguridad en poder el Responsable de Tratamiento, ubicado en las instalaciones del mismo.

En próximas fechas será actualizado , anexo al resto de su documentación, en su Área Privada en la web www.psnsercon.com.

ANALISIS DE RIESGOS

Las medidas de seguridad aplicables son las descritas en la anterior Auditoría/Consultoría.

NORMATIVAS Y CONTRATOS

NORMATIVA DE SEGURIDAD Y POLÍTICA DE PRIVACIDAD

FUNCIONES Y OBLIGACIONES DEL PERSONAL

Con el objeto de dar debido cumplimiento a lo establecido en el Reglamento (UE) 679/2016, impone a su personal el cumplimiento de las siguientes obligaciones, las cuales deberán ser conocidas, aceptadas y respetadas por todo el personal. Los principios que deben prevalecer en todo momento son:

Licitud, lealtad y transparencia, informando adecuadamente a los interesados.
Limitación, en cuanto al destino de uso de la información, sus plazos de conservación y no requiriendo más información de la necesaria.
Exactitud, en cuanto a la calidad de la información recogida y actualizando la información siempre que sea posible.

NÚMEROS DE IDENTIFICACIÓN Y CLAVES DE ACCESO

Queda prohibido comunicar a otra persona el identificador de usuario y la clave de acceso. Si el usuario sospecha que otra persona conoce sus datos de identificación y acceso deberá ponerlo en conocimiento del Responsable de Seguridad, con el fin de que le asigne una nueva clave.

El usuario está obligado a utilizar la red corporativa y la intranet del Responsable del Tratamiento y sus datos sin incurrir en actividades que puedan ser consideradas ilícitas o ilegales, que infrinjan los derechos de o de terceros, o que puedan atentar contra la moral o las normas de etiqueta de las redes telemáticas.

Están expresamente prohibidas las siguientes actividades:

Compartir o facilitar el identificador de usuario y la clave de acceso facilitados por el Responsable del Tratamiento con otra persona física o jurídica, incluido el personal de la propia entidad.

Destruir, alterar, inutilizar o de cualquier otra forma dañar los datos, programas o documentos electrónicos del Responsable del Tratamiento o de terceros (estos actos pueden constituir un delito de daños, previsto en el artículo 264.2 del Código Penal).

Enviar mensajes de correo electrónico de forma masiva o con fines comerciales o publicitarios sin el consentimiento del destinatario (Spam).

Intentar leer, borrar, copiar o modificar los mensajes de correo electrónico o los archivos de otros usuarios. Esta actividad puede constituir un delito penal de interceptación de las telecomunicaciones, previsto en el artículo 197 del Código Penal.

Utilizar el sistema para intentar acceder a áreas restringidas de los sistemas informáticos del Responsable del Tratamiento o de terceros.

Introducir voluntariamente programas, virus, macros que causen o sean susceptibles de causar cualquier tipo de alteración en los sistemas.

Introducir, descargar de Internet, reproducir, utilizar o distribuir programas informáticos no autorizados expresamente por el Responsable del Tratamiento, o cualquier otro tipo de obra o material cuyos derechos de propiedad intelectual o industrial pertenezcan a terceros, cuando no se disponga de autorización para ello.

Instalar copias ilegales de cualquier programa, incluidos los estandarizados.

Borrar cualquiera de los programas instalados legalmente.

Utilizar los recursos telemáticos del Responsable del Tratamiento, incluida la red Internet, para actividades que no estén directamente relacionadas con el puesto de trabajo del usuario.

Introducir contenidos obscenos, inmorales u ofensivos y, en general, carentes de utilidad para los objetivos del Responsable del Tratamiento en su red corporativa.

Enviar o reenviar mensajes en cadena o de tipo piramidal.

CONFIDENCIALIDAD DE LA INFORMACIÓN

Queda prohibido enviar información confidencial del Responsable del Tratamiento al exterior, mediante soportes materiales, o a través de cualquier medio de comunicación, incluyendo la simple visualización o acceso.

Los usuarios de los sistemas de información corporativos deberán guardar, por tiempo indefinido, la máxima reserva y no divulgar ni utilizar directamente ni a través de terceras personas o empresas, los datos, documentos, metodologías, claves, análisis, programas y demás información a la que tengan acceso durante su relación laboral, de prácticas o prestación de servicio con el Responsable del Tratamiento y empresas pertenecientes al grupo, tanto en soporte material como electrónico. Esta obligación continuará vigente tras la extinción del contrato laboral de prácticas o prestación de servicio.

Ningún colaborador deberá poseer, para usos no propios de su responsabilidad, ningún material o información propiedad del Responsable del Tratamiento, tanto ahora como en el futuro.

En el caso de que, por motivos directamente relacionados con el puesto de trabajo, el empleado entre en posesión de información confidencial bajo cualquier tipo de soporte, deberá entenderse que dicha posesión es estrictamente temporal, con obligación de secreto y sin que ello le irrogue derecho alguno de posesión, o titularidad o copia cobre la referida información.

Asimismo, el firmante deberá devolver dichos materiales al Responsable del Tratamiento inmediatamente después de la finalización de las tareas que han originado el uso temporal de los mismos, y en cualquier caso, a la finalización de la relación laboral, de prácticas o prestación de servicio.

La utilización continuada de la información en cualquier formato o soporte de forma distinta a la pactada y sin conocimiento de la empresa, no supondrá, en ningún caso, una modificación de esta cláusula.

El incumplimiento de esta obligación puede constituir un delito de revelación de secretos, previsto en el artículo 197 y siguientes del Código Penal y dará derecho al Responsable del Tratamiento a exigir al usuario una indemnización económica.

USO DEL CORREO ELECTRÓNICO

El sistema informático, la red corporativa y los terminales utilizados por cada usuario son propiedad del Responsable del Tratamiento.

Ningún mensaje de correo electrónico será considerado como privado. Se considerará correo electrónico tanto el interno, entre terminales de la red corporativa, como el externo, dirigido o proveniente de otras redes públicas o privadas y, especialmente, Internet. Todos estos mensajes irán abiertos.

El Responsable del Tratamiento se reserva el derecho de revisar, sin previo aviso, los mensajes de correo electrónico de los usuarios de la red corporativa y los archivos LOG del servidor, con el fin de comprobar el cumplimiento de estas normas y prevenir actividades que puedan afectar al Responsable del Tratamiento como responsable civil subsidiario.

Cualquier fichero introducido en la red corporativa o en el terminal del usuario a través de mensajes de correo electrónico que provengan de redes externas deberá cumplir los requisitos establecidos en estas normas y, en especial, las referidas a propiedad intelectual e industrial y a control de virus.

ACCESO A INTERNET

El uso del sistema informático del Responsable del Tratamiento para acceder a redes públicas como Internet, se limitará a los temas directamente relacionados con la actividad del Responsable del Tratamiento y los cometidos del puesto de trabajo.

El acceso a debates en tiempo real (Chat / IRC) es especialmente peligroso, ya que facilita la instalación de utilidades que permiten accesos no autorizados al sistema, por lo que su uso queda estrictamente prohibido.

El acceso a páginas web, grupos de noticias (Newsgroups) y otras fuentes de información como FTP, etc. se limita a aquellos que contengan información relacionada con la actividad del Responsable del Tratamiento o con los cometidos del puesto de trabajo del usuario.

El Responsable del Tratamiento se reserva el derecho de monitorizar y comprobar, de forma aleatoria y sin previo aviso, cualquier sesión de acceso a Internet iniciada por un usuario de la red corporativa.

Cualquier fichero introducido en la red corporativa o en el terminal del usuario desde Internet, deberá cumplir los requisitos establecidos en estas normas y, en especial, las referidas a propiedad intelectual e industrial y a control de virus.

PROPIEDAD INTELECTUAL E INDUSTRIAL

Queda estrictamente prohibido el uso de programas informáticos sin la correspondiente licencia, así como el uso, reproducción, cesión, transformación o comunicación pública de cualquier tipo de obra o invención protegida por la propiedad intelectual o industrial.

INCIDENCIAS

Es obligación de todo el personal del Responsable del Tratamiento comunicar al Responsable del Tratamiento cualquier incidencia que se produzca en los sistemas de información a que tengan acceso. Se entiende por incidencia cualquier anomalía que afecte o pueda afectar a la seguridad de los datos. Dicha comunicación deberá realizarse inmediatamente.

PROTECCIÓN DE DATOS. ACTOS PROHIBIDOS

Crear ficheros de datos personales sin la autorización del Responsable del Tratamiento.

Cruzar información relativa a datos de diferentes ficheros o servicios con el fin de establecer perfiles de personalidad, hábitos de consumo o cualquier otro tipo de preferencias, sin la autorización expresa del Responsable del Tratamiento.

Cualquier otra actividad expresamente prohibida en este documento, en las normas sobre protección de datos o en las Instrucciones de la Agencia Española de Protección de Datos.

VIDEOVIGILANCIA

De conformidad con lo dispuesto en el Reglamento (UE) 679/2016, el Responsable del Tratamiento informa al trabajador-a/colaborador-a/Personal en prácticas de la existencia de una instalación de grabación a través de videocámaras en las instalaciones internas del centro de la que resulta un tratamiento responsabilidad del titular, en el que quedan almacenados los datos personales del firmante incluida su imagen obtenida grabada y captada a través de las cámaras y videocámaras, con los siguientes fines:

Vigilancia interior de las instalaciones con la finalidad de dar cumplimiento al operativo de seguridad y para prevenir riesgos que afecten a la seguridad y protección de las personas, locales y bienes patrimoniales, así como de acuerdo con la Legislación vigente, para denunciar, cuando sea necesario, hechos ante las autoridades competentes o atender los requerimientos de las mismas.
Control de la calidad y rendimiento laboral del trabajador-a/colaborador-a/Personal en prácticas, así como verificación del cumplimiento por los mencionados, de sus obligaciones y deberes, guardando en todo caso, la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso.

DERECHOS DE IMAGEN

El Responsable del Tratamiento, con la finalidad de mostrar los profesionales que en ella trabajan, muestra en la Web titularidad del responsable, fotografías de sus empleados y colaboradores, respetando siempre, y en la medida de lo posible, el derecho al honor. Para ello, y por medio de la firma del presente, el firmante conoce, consiente y autoriza expresamente la cesión de sus derechos de imagen al centro médico para las finalidades mencionadas, por el tiempo máximo que delimite la normativa al efecto en todos los países del mundo.

En orden a la aplicación de la Ley Orgánica 1/1982, de 5 de mayo, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen, vinculada, en su aplicación práctica del presente supuesto, a la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico y a la Ley Orgánica de Protección de Datos, ostenta todos los consentimientos, cesiones y autorizaciones para la comunicación pública de imágenes, sea foto fija sea imagen de video, de quienes hayan accedido voluntariamente a su fijación, conociendo en todo momento la finalidad para la que tales imágenes van a ser utilizadas y cediendo cualquier derecho que según la Ley 20/1992, de 7 de julio de Propiedad Intelectual le pudiere corresponder siempre en cumplimiento de la legalidad vigente.

Y para que conste, la acreditación de dicha información, así como de todo lo mencionado en el presente documento, firma el presente en el lugar y fecha infra señalados.

RECIBÍ FIRMADO

NOMBRE YAPELLIDOS …………………………………………………………………………………..

FECHA ………………………………………………………………………………………….

ACEPTACIÓN DE LAS CONDICIONES DEL USO DE IMÁGENES

FIRMA

……………………………………………………………………………………………………….

AVISO LEGAL
EPÍGRAFE	INFORMACIÓN BÁSICA
RESPONSABLE
FINALIDAD	ADECUADA GESTION ADMINISTRATIVA DE LOS ASUNTOS RELATIVOS AL PERSONAL DEL CENTRO
LEGITIMACIÓN	CONSENTIMIENTO DEL INTERESADO
DESTINATARIOS	ADMINISTRACION TRIBUTARIA ORGANISMOS DE LA SEGURIDAD SOCIAL ADMINISTRACION PUBLICA CON COMPETENCIA EN LA MATERIA ENTIDADES SANITARIAS BANCOS, CAJAS O ENTIDADES FINANCIERAS
DERECHOS	SE PUEDE ACCEDER, RECTIFICAR Y SUPRIMIR LOS DATOS, ASÍ COMO LIMITAR SU TRATAMIENTO O SOLICITAR LA PORTABILIDAD A OTRO RESPONSABLE
INFORMACIÓN ADICIONAL	PUEDE CONSULTAR LA INFORMACIÓN ADICIONAL Y DETALLADA A CONTINUACIÓN

INFORMACIÓN ADICIONAL – PROTECCIÓN DE DATOS

¿QUIEN ES EL RESPONSABLE DEL TRATAMIENTO DE SUS DATOS?

IDENTIDAD:

DNI/CIF:

DIRECCIÓN POSTAL:

CORREO ELECTRÓNICO:

TELÉFONO:

¿CON QUÉ FINALIDAD TRATAMOS SUS DATOS PERSONALES?

– Para la comunicación de mis datos para los registros oficiales obligatorios de colegios profesionales y/o de profesionales sanitarios

– Para la percepción de los emolumentos acordados en el contrato de trabajo

– Para la prevención de riesgos laborales

– Para la gestión administrativa de la relación laboral del personal

– Para procesos de selección de personal

¿POR CUÁNTO TIEMPO CONSERVAREMOS SUS DATOS?

• Nóminas, TC1, TC2, etc. durante un plazo mínimo de 10 años, según el Código Penal, la Normativa Contable Tributaria, Normativa Laboral, Código de Comercia, IVA, LIS, etc.

• Los currículums, hasta el fin del proceso de selección y, si hay consentimiento, durante 3 años más.

• La documentación de indemnizaciones por despido, durante 4 años según la Ley de Infracciones y Sanciones en el Orden Social.

• Los contratos, durante un mínimo de 4 años, según la Ley de Infracciones y Sanciones en el Orden Social.

• Los datos de los trabajadores temporales, durante un mínimo de 4 años, según la Ley de Infracciones y Sanciones en el orden Social

• El expediente del Trabajador, hasta la baja y, posteriormente, durante un plazo de 5 años.

¿CUÁL ES LA LEGITIMACIÓN PARA EL TRATAMIENTO DE SUS DATOS?

• La base legal para el tratamiento de los datos es la legitimación por consentimiento del Usuario

¿A QUÉ DESTINATARIOS SE COMUNICARÁN SUS DATOS?

• A la asesoría laboral del Responsable del Tratamiento

• A las entidades financieras donde se abonarán sus emolumentos

• A las entidades responsable de la Vigilancia de la Salud del personal del Centro

¿CUÁLES SON SUS DERECHOS CUANDO NOS FACILITA SUS DATOS?

• Derecho de acceso: Usted tendrá derecho a obtener confirmación de si se están tratando o no datos personales que le conciernen

• Derecho de rectificación: Usted tendrá derecho a obtener la rectificación de los datos personales inexactos que le conciernan o incompletos

• Derecho de supresión: Usted tendrá derecho a obtener la supresión de los datos personales que le conciernan cuando los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo

• Derecho de limitación: Usted podrá solicitar la limitación del tratamiento de sus datos personales, en cuyo caso únicamente los conservaremos para el ejercicio o la defensa de reclamaciones

• Derecho de retirar el consentimiento: Usted tendrá derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento antes de su retirada

• Derecho de oposición: Usted tendrá derecho a oponerse al tratamiento de sus datos. EL RESPONSABLE DEL TRATAMIENTO dejará de tratar los datos, salvo por motivos legítimos imperiosos, o el ejercicio o la defensa de posibles reclamaciones

• Derecho a la portabilidad de sus datos: Usted puede solicitarnos que sus datos personales automatizados sean cedidos o transferidos a cualquier otra empresa que nos indique en un formato estructurado, inteligible y automatizado

• Los interesados pueden ejercitar sus derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad de los datos dirigiéndose por escrito al RESPONSABLE DEL TRATAMIENTO indicando el derecho a ejercer y adjuntando copia de DNI a través de la dirección postal previamente indicada, o a través del correo electrónico.

• Los interesados tienen derecho a reclamar ante la Autoridad de Control y solicitar la tutela de derechos que no hayan sido debidamente atendidos a la Agencia Española de Protección de datos a través de la sede electrónica de su portal web (www.agpd.es), o bien mediante escrito dirigido a su dirección postal (C/Jorge Juan, 6, 28001-Madrid)

https://www.agpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/Guias/2017/DecalogoPersonalSanitario.pdf

Contrato de ENCARGADO DE TRATAMIENTO, accesorio al de prestación de servicios con acceso a datos de carácter personal (Acorde al Reglamento UE 2016/679)

En ………………………………………, a ……… de ………………………….. de 20 ……

REUNIDOS

DE UNA PARTE,

D./Dña……………………………………………………………………………………….. con DNI número ………………………….. en nombre y representación de ……………………………………………………………………………………………… con CIF …………………………….. con domicilio laboral en la calle ……………………………………………………………………………………………………………………………., CP ………………… de la localidad de ………………………………, provincia de ……………………………. (en adelante RESPONSABLE DEL TRATAMIENTO)

DE OTRA PARTE,

Las partes reconociéndose la capacidad legal necesaria para contratar y obligarse, a tal efecto

EXPONEN

Que el RESPONSABLE DEL TRATAMIENTO es una persona física/jurídica dedicada, entre otras, a la prestación de servicios en el ámbito,……………….. …………… …………… …………… …………… …………… …………… …………… …………… ………………………………………………
Que el ENCARGADO DEL TRATAMIENTO es una persona física/jurídica dedicada, entre otras actividades, a ……………………………….……………………………………………………………………………………

III. Que el RESPONSABLE DEL TRATAMIENTO y ENCARGADO DE TRATAMIENTO suscribieron un Contrato de prestación de servicios en virtud del cual el ENCARGADO DEL TRATAMIENTO presta los servicios mencionados en el apartado anterior al RESPONSABLE DEL TRATAMIENTO, y para el cumplimiento de dicho contrato, el ENCARGADO DE TRATAMIENTO tendrá acceso a los datos, de carácter personal, pertinentes y necesarias responsabilidad del RESPONSABLE DEL TRATAMIENTO.

Ambas Partes en virtud de lo anteriormente expuesto, deciden suscribir el presente acuerdo de confidencialidad (en adelante, el Acuerdo), de conformidad con las siguientes

ESTIPULACIONES

PRIMERA. – OBJETO DEL ENCARGO DE TRATAMIENTO

Mediante las presentes cláusulas se habilita al ENCARGADO DEL TRATAMIENTO, para tratar por cuenta del RESPONSABLE DEL TRATAMIENTO, los datos de carácter personal necesarios para prestar el servicio mencionado en el exponiendo del presente documento. El tratamiento consistirá en:

……………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………

Concreción de los tratamientos a realizar:

[ ] Recogida [ ] Registro [ ] Estructuración [ ] Modificación [ ] Conservación [ ] Extracción

[ ] Consulta [ ] Comunicación por transmisión [ ] Difusión [ ] Interconexión [ ] Cotejo

[ ] Limitación [ ] Supresión [ ] Destrucción [ ] Conservación [ ] Comunicación

[ ] Otros: Conservación solo para el cumplimiento de las exigencias legales establecidas al amparo de la normativa vigente.

SEGUNDA. – IDENTIFICACIÓN DE LA INFORMACIÓN AFECTADA

Para la ejecución de las prestaciones derivadas del cumplimiento del objeto de este encargo, el RESPONSABLE DEL TRATAMIENTO pone a disposición del ENCARGADO DEL TRATAMIENTO la información que se describe a continuación:

TERCERA. – DURACIÓN

El presente acuerdo tiene una duración ……………………………………………………………………………………….

Una vez prestados los distintos servicios a los que se refiere el contrato, el RESPONSABLE DEL FICHERO podrá dirigirse de nuevo al ENCARGADO DEL TRATAMIENTO con la misma finalidad y las mismas obligaciones, entendiéndose el contrato prorrogado con el mismo alcance.

Una vez finalizada definitivamente la relación inter partes, el ENCARGADO DE TRATAMIENTO debe suprimir o devolver al RESPONSABLE DEL TRATAMIENTO los datos personales y suprimir cualquier copia que esté en su poder, salvo normativa vigente en contrario.

CUARTA. – OBLIGACIONES DEL ENCARGADO DE TRATAMIENTO

En cumplimiento de lo dispuesto por el Artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante Reglamento general de protección de datos o RGPD) y la vigente Ley Orgánica de Protección de Datos de carácter personal(en adelante LOPD), el ENCARGADO DEL TRATAMIENTO y todo su personal se obliga a:

Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso, podrá utilizar los datos para fines propios.
Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento. Si el ENCARGADO DEL TRATAMIENTO considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, el ENCARGADO DEL TRATAMIENTO informará inmediatamente al RESPONSABLE DEL TRATAMIENTO.
Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del RESPONSABLE DEL TRATAMIENTO, que contenga:
El nombre y los datos de contacto del ENCARGADO DEL TRATAMIENTO o encargados y de cada RESPONSABLE DEL TRATAMIENTO por cuenta del cual actúe el ENCARGADO y, en su caso, del representante del RESPONSABLE DEL TRATAMIENTO o del ENCARGADO DEL TRATAMIENTO y del delegado de protección de datos, cuando éste se encuentre pertinentemente designado.
Las categorías de tratamientos efectuados por cuenta de cada responsable.
En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49 apartado 1, párrafo segundo del RGPD, la documentación de garantías adecuadas.
Una descripción general de las medidas técnicas y organizativas de seguridad relativas a:
a) La seudonimización y el cifrado de datos personales.
b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
c) La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.
d) El proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa del RESPONSABLE DEL TRATAMIENTO, en los supuestos legalmente admisibles.
El ENCARGADO DE TRATAMIENTO puede comunicar los datos a otros encargados del tratamiento del mismo RESPONSABLE DEL TRATAMIENTO, de acuerdo con las instrucciones del RESPONSABLE DEL TRATAMIENTO. En este caso, el RESPONSABLE DEL TRATAMIENTO identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos y las medidas de seguridad a aplicar para proceder a la comunicación.
Si el ENCARGADO DE TRATAMIENTO debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al RESPONSABLE DEL TRATAMIENTO de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.
Subcontratación: No subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios del ENCARGADO DEL TRATAMIENTO.

Si fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito al RESPONSABLE DEL TRATAMIENTO, indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo si el RESPONSABLE DEL TRATAMIENTO no manifiesta su oposición en el plazo establecido. El subcontratista, que también tendrá la condición de encargado del tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este documento para el ENCARGADO DE TRATAMIENTO y las instrucciones que dicte el RESPONSABLE DEL TRATAMIENTO. Corresponde al ENCARGADO DE TRATAMIENTO inicial regular la nueva relación de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…) y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas. En el caso de incumplimiento por parte del subencargado, el ENCARGADO DE TRATAMIENTO seguirá siendo plenamente responsable ante el responsable en lo referente al cumplimiento de las obligaciones.

Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice su objeto.
Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente.
Mantener a disposición del RESPONSABLE DEL TRATAMIENTO la documentación acreditativa del cumplimiento de la obligación establecida en el apartado anterior.
Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.
Asistir al RESPONSABLE DEL TRATAMIENTO en la respuesta al ejercicio de los derechos de:
Acceso, rectificación, supresión y oposición
Limitación del tratamiento
Portabilidad de datos
A no ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles)

El ENCARGADO DEL TRATAMIENTO debe resolver, por cuenta del RESPONSABLE DEL TRATAMIENTO, y dentro del plazo establecido, las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de decisiones individualizadas automatizadas, en relación con los datos objeto del encargo.

Derecho de información: Corresponde al RESPONSABLE DEL TRATAMIENTO facilitar el derecho de información en el momento de la recogida de los datos.
Notificación de violaciones de la seguridad de los datos: El ENCARGADO DEL TRATAMIENTO notificará al responsable del tratamiento, sin dilación indebida, y en cualquier caso antes del plazo máximo de 72 horas, y a través de correo electrónico, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia. No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.

Si se dispone de ella se facilitará, como mínimo, la información siguiente:

a) Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados.
b) El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información.
c) Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales.
d) Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.

Corresponde al ENCARGADO DEL TRATAMIENTO comunicar las violaciones de la seguridad de los datos a la Autoridad de Protección de Datos. La comunicación a los interesados debe realizarse con un lenguaje claro y sencillo.

Dar apoyo al RESPONSABLE DEL TRATAMIENTO en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda.
p. Dar apoyo al RESPONSABLE DEL TRATAMIENTO en la realización de las consultas previas a la autoridad de control, cuando proceda.
Poner disposición del RESPONSABLE DEL TRATAMIENTO toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen el responsable u otro auditor autorizado por él.
Implantar las medidas de seguridad establecidas en el ANEXO I del presente contrato.
Designar un delegado de protección de datos y comunicar su identidad y datos de contacto al responsable, cuando proceda.
Destino de los datos: Devolver al RESPONSABLE DEL TRATAMIENTO los datos de carácter personal y, si procede, los soportes donde consten, una vez cumplida la prestación. La devolución debe comportar el borrado total de los datos existentes en los equipos informáticos utilizados por el ENCARGADO DEL TRATAMIENTO. No obstante, el ENCARGADO DEL TRATAMIENTO puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación.

QUINTA. – OBLIGACIONES DEL RESPONSABLE DE TRATAMIENTO

Corresponde al RESPONSABLE DEL TRATAMIENTO:

a) Entregar al ENCARGADO DEL TRATAMIENTO los datos a los que se refiere la cláusula segunda de este documento.
b) Realizar una evaluación del impacto en la protección de datos personales de las operaciones de tratamiento a realizar por el ENCARGADO DEL TRATAMIENTO.
c) Realizar las consultas previas que corresponda.
d) Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD por parte del ENCARGADO DEL TRATAMIENTO.
e) Supervisar el tratamiento, incluida la realización de inspecciones y auditorías.

SEXTA. – DEBER DE CONFIDENCIALIDAD Y SECRETO PROFESIONAL

El ENCARGADO DEL TRATAMIENTO se obliga a utilizar los datos personales contenidos en la BBDD a las que accede como consecuencia de la ejecución del presente contrato con la exclusiva finalidad de llevar a cabo las obligaciones y el objeto del contrato, sin que dicha información pueda ser utilizada en ningún caso para fines publicitarios / promocionales o cualesquiera otros no expresamente autorizados por escrito por el RESPONSABLE DEL TRATAMIENTO.

El ENCARGADO DEL TRATAMIENTO se compromete a no divulgar ni manipular los datos mencionados, los cuales se consideran información confidencial, así como a no publicarlos, cederlos, transferirlos, ni difundirlos de cualquier modo, bien directamente, bien a través de terceras personas o empresas, o ponerlos a disposición de cualquier tercero en cualquier modo y por cualquier causa.

Asimismo, el RESPONSABLE DEL TRATAMIENTO, a la extinción del presente, dará instrucciones sobre el destino de los datos personales a los que accede el ENCARGADO DEL TRATAMIENTO, decretando bien su devolución, remisión a otro prestador de servicios o destrucción, siempre que no exista previsión legal que exija la conservación de los datos.

El ENCARGADO DEL TRATAMIENTO podrá conservar, debidamente bloqueados, los datos de carácter personal responsabilidad del RESPONSABLE DEL TRATAMIENTO, en tanto pudieran derivarse responsabilidades de su relación con el RESPONSABLE DEL TRATAMIENTO.

SÉPTIMA. – LEY APLICABLE Y JURISDICCIÓN COMPETENTE

El presente contrato se regirá e interpretará de acuerdo con las leyes españolas, Directivas y Decisiones Comunitarias en materia de tratamiento de datos personales, y, en especial, las relativas a la prestación de servicios y la cesión de datos personales.

Las partes intervinientes tratarán de resolver mediante acuerdo mutuo cualquier dificultad o duda sobre la ejecución o interpretación de las disposiciones contenidas en este contrato. No obstante lo anterior, las partes intervinientes aceptan someterse a la jurisdicción de los juzgados y tribunales que correspondan. Y en prueba de conformidad, ambas partes firman el presente contrato, que se extiende en dos ejemplares, en el lugar y fecha indicados en su encabezamiento.

RESPONSABLE DEL TRATAMIENTO ENCARGADO DEL TRATAMIENTO

ANEXO I

MEDIDAS DE SEGURIDAD DE ÍNDOLE TÉCNICA Y ORGANIZATIVAS

El ENCARGADO DEL TRATAMIENTO asume expresamente la obligación de implantar las medidas de seguridad razonables posibles para impedir la revelación, destrucción, alteración, divulgación o uso no autorizado de datos personales o el acceso físico o lógico no autorizado a los mismos. Las medidas abarcarán, a título enunciativo, hardware, software, procedimientos de recuperación y copias de seguridad.

El ENCARGADO DEL TRATAMIENTO será responsable frente al RESPONSABLE DEL TRATAMIENTO, sin perjuicio de lo dispuesto en otras Estipulaciones de este Contrato, por los perjuicios causados como consecuencia del incumplimiento de las obligaciones contenidas en el Reglamento UE 2016/679 en su integridad.

Las medidas de seguridad a aplicar por el ENCARGADO DE TRATAMIENTO son las que se describen a continuación:

1) Todos los sistemas de información empleados para el tratamiento de los datos personales se custodian en un lugar específico destinado a tal fin no permitiéndose el acceso no autorizado a los mismos. El acceso al lugar donde se almacenen los datos está restringido en todo momento mediante un sistema de seguridad electrónico. Hay programadas medidas de seguridad, adecuadas y suficientes en el software utilizado para impedir el acceso accidental o no autorizado.

2) Se establecerán procedimientos de identificación y autenticación para tener acceso al sistema. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. La longitud de las contraseñas tendrá como mínimo 8 caracteres y tienen carácter confidencial e intransferible. Cambiarán las contraseñas según intervalos determinados de tiempo y, como mínimo, cada 60 días.

3) El ENCARGADO DEL TRATAMIENTO se obliga a dimensionar sus efectivos de personal para la prestación del objeto y finalidades de este Contrato y garantiza que todos los puestos de trabajo son y serán cubiertos por el personal debidamente cualificado, siendo en todo caso a su cargo la formación del mismo para la correcta ejecución de este Contrato.

El ENCARGADO DEL TRATAMIENTO asume, con respecto al personal interviniente en la ejecución del presente Contrato, el carácter legal de empresario con todos los derechos y obligaciones inherentes a esta condición, con arreglo a la legislación que en cada momento esté vigente, exonerando expresamente al RESPONSABLE DEL TRATAMIENTO, que se reserva el derecho de resolver este Contrato por cualquier incumplimiento de esta obligación.

Todo el personal que intervenga en el tratamiento de datos de carácter personal estará obligado al secreto profesional y confidencialidad respecto de los mismos y al deber de guardarlos.

La obligación de confidencialidad será notificada por el ENCARGADO DEL TRATAMIENTO a sus empleados que intervengan en alguna medida en la ejecución del presente Contrato, mediante la declaración que estime oportuna, siendo responsable frente al RESPONSABLE DEL TRATAMIENTO por los perjuicios causados como consecuencia del incumplimiento. Únicamente aquellos empleados del ENCARGADO DEL TRATAMIENTO a quienes él mismo autorice por escrito tendrán acceso a los datos personales o a las instalaciones físicas en que los mismos se almacenen o procesen.

El ENCARGADO DEL TRATAMIENTO autorizará a los empleados a acceder a:

a) Espacios físicos exclusivamente para fines relacionados con su empleo y especificados por escrito.
b) Datos personales exclusivamente para fines relacionados con su empleo, en la medida que necesiten conocerlos, y especificados por escrito.

El ENCARGADO DEL TRATAMIENTO mantendrá en todo momento una lista de empleados autorizados a acceder a los datos personales para funciones concretas, con expresión de los fines para los que estén autorizados a acceder, y establecerá y administrará un sistema de identificación y autenticación con contraseñas y/o sistemas de tarjetas electrónicas para reducir y, cuando sea posible, eliminar la probabilidad de accesos no autorizados.

4) En aquellos supuestos en los que sea necesario en función de la tipología de los datos que sean objeto del tratamiento, se procederá por parte del ENCARGADO DEL TRATAMIENTO a los procesos de seudonimización y cifrado de los datos personales para garantizar la confidencialidad e integridad de la información.

5) El ENCARGADO DEL TRATAMIENTO mantendrá un registro para el procedimiento de notificación en la gestión de las incidencias que se produzcan. Para cada incidencia se anotarán los siguientes datos: tipo de incidencia, fecha y hora, persona que realiza la notificación, a quién se le comunica y los efectos que se hubieren derivado de la misma.

6) EL ENCARGADO DE TRATAMIENTO deberá realizar copias de respaldo, al menos, semanalmente, salvo que en dicho período no se hubiera producido ninguna actualización de los datos. Los procesos de recuperación de datos deberán ser conocidos y autorizados por el RESPONSABLE DEL TRATAMIENTO.

7) La salida de soportes que contengan datos de carácter personal debe ser previamente autorizada de forma expresa por el RESPONSABLE DEL TRATAMIENTO.

8) El ENCARGADO DEL TRATAMIENTO notificará al RESPONSABLE DEL TRATAMIENTO, sin dilación indebida, y en cualquier caso antes de un plazo inferior a 72 horas, y por escrito, de las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia. Si se realiza notificación se facilitará, como mínimo, la información siguiente:

a) Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados.
b) El nombre y los datos de contacto del Delegado de Protección de Datos o de otro punto de contacto en el que pueda obtenerse más información.
c) Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales.
d) Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.

ANEXO II

MEDIDAS DE SEGURIDAD DE ÍNDOLE TÉCNICA Y ORGANIZATIVAS

(PARA INFORMATICOS HARDWARE Y/O SOFTWARE)

EN EL RESPONSABLE DEL TRATAMIENTO:

El ENCARGADO DEL TRATAMIENTO asume expresamente la obligación de implantar las medidas de seguridad razonables posibles para impedir la revelación, destrucción, alteración, divulgación o uso no autorizado de datos personales o el acceso físico o lógico no autorizado a los mismos en los medios contratados por el RESPONSABLE DEL TRATAMIENTO objeto del contrato. Las medidas abarcarán, a título enunciativo, hardware, software, procedimientos de recuperación y copias de seguridad.

Las medidas de seguridad a implantar por el ENCARGADO DE TRATAMIENTO para el RESPONSABLE DEL TRATAMIENTO en base a los criterios descritos a continuación:

1) CONTROL DE ACCESO: El ENCARGADO DE TRATAMIENTO establecerá, entre otras, medidas que:

identifiquen y autentiquen los accesos a los medios,
cifren las contraseñas de acceso,
obliguen al cambio periódico de contraseñas de acceso,
obliguen a una adecuada complejidad de las contraseñas de acceso,
registren todo intento de acceso a la información,
impidan los intentos de acceso a la información por personal no autorizado,
limiten el acceso a la información según el perfil del usuario.

2) CIFRADO Y/O SEUDONIMIZACIÓN: El ENCARGADO DE TRATAMIENTO establecerá, entre otras, medidas que:

cifren las contraseñas almacenadas,
cifren las comunicaciones,
cifren la información almacenada y/o seudonimicen los datos identificativos.

3) DEFENSA DE LOS DERECHOS DE LOS CIUDADANOS: El ENCARGADO DE TRATAMIENTO establecerá medidas que faciliten al RESPONSABLE DEL TRATAMIENTO la adecuada respuesta al ejercicio de los derechos de los ciudadanos sobre sus datos.

4) RESILIENCIA: El ENCARGADO DE TRATAMIENTO establecerá, entre otras, medidas que:

limiten el riesgo de daños por causas naturales, ambientales o industriales (agua, fuego, humedad, temperatura inadecuada, etc.),
protejan la integridad y disponibilidad de los datos ante fallos del suministro eléctrico,
permitan la recuperación de la información y de los sistemas de manera efectiva en el menor tiempo posible y sin pérdidas de datos.

5) PROACTIVIDAD: El ENCARGADO DE TRATAMIENTO establecerá medidas para que los sistemas de información del Responsable del Tratamiento siempre cuenten con las medidas de seguridad adecuadas para evitar la pérdida, alteración o filtración de la información, con las actualizaciones oportunas.

Todas las medidas aplicables se adaptarán al Artículo 25 del Reglamento (UE) 679/2016 y deberán ser verificables, evaluables y verificables.

FORMULARIOS Y PROCEDIMIENTOS
1. Formulario de Captación de Datos con Aviso Legal

ESTE ES UN MODELO GENÉRICO. PÓNGASE EN CONTACTO CON NOSOTROS PARA PERSONALIZARLO ADECUADAMENTE

AVISO LEGAL PRIMERA CAPA
EPÍGRAFE	INFORMACIÓN BÁSICA
RESPONSABLE
FINALIDAD
LEGITIMACIÓN	CONSENTIMIENTO DEL INTERESADO
DESTINATARIOS
DERECHOS	SE PUEDE ACCEDER, RECTIFICAR Y SUPRIMIR LOS DATOS, ASÍ COMO LIMITAR SU TRATAMIENTO O SOLICITAR LA PORTABILIDAD A OTRO RESPONSABLE
INFORMACIÓN ADICIONAL	PUEDE CONSULTAR LA INFORMACIÓN ADICIONAL Y DETALLADA SOBRE PROTECCIÓN DE DATOS EN EL REVERSO DE ESTE DOCUMENTO
NOMBRE DEL PACIENTE
FIRMA DEL PACIENTE Y/O SU REPRESENTANTE LEGAL

INFORMACIÓN ADICIONAL – PROTECCIÓN DE DATOS

¿QUIEN ES EL RESPONSABLE DEL TRATAMIENTO DE SUS DATOS?

IDENTIDAD:

DNI/CIF:

DIRECCIÓN POSTAL:

CORREO ELECTRÓNICO:

TELÉFONO:

¿CON QUÉ FINALIDAD TRATAMOS SUS DATOS PERSONALES?

•

¿POR CUÁNTO TIEMPO CONSERVAREMOS SUS DATOS?

•

¿CUÁL ES LA LEGITIMACIÓN PARA EL TRATAMIENTO DE SUS DATOS?

• La base legal para el tratamiento de los datos es la legitimación por consentimiento del Usuario

¿A QUÉ DESTINATARIOS SE COMUNICARÁN SUS DATOS?

•

¿CUÁLES SON SUS DERECHOS CUANDO NOS FACILITA SUS DATOS?

• Derecho de acceso: Usted tendrá derecho a obtener confirmación de si se están tratando o no datos personales que le conciernen

• Derecho de rectificación: Usted tendrá derecho a obtener la rectificación de los datos personales inexactos que le conciernan o incompletos

• Derecho de limitación: Usted podrá solicitar la limitación del tratamiento de sus datos personales, en cuyo caso únicamente los conservaremos para el ejercicio o la defensa de reclamaciones

Procedimiento de Gestión de Incidencias y Violaciones de Seguridad:

En octubre de 2017, el Grupo de Trabajo del Artículo 29 de Protección de Datos publicó una guía relativa a la notificación de brechas de seguridad según el RGPD 679/2016. El Reglamento General de Protección de Datos presenta el requisito de la notificación de brechas de seguridad a la Autoridad de Control correspondiente e incluso, en ciertos casos, a los individuos cuyos datos se hayan visto afectados por la misma.

El Diagrama de Flujo a seguir ha de ser el siguiente:

Notificación de Nombramiento de DPO

En el caso en el que se considerase necesario implantar la figura del Delegado de Protección de Datos o Data Protection Officer, los pasos a seguir serían los siguientes:

Comunicación del Delegado de Protección de Datos en la Sede Electrónica de la Agencia Española de Protección de Datos:

Acceder al procedimiento con Certificado:

En la opción Cl@ve PIN, registrarse:

Solicita Carta de Invitación:

Introducir campos solicitados:

Finalizar con los campos requeridos:

Ejercicio de Derechos

El centro pone a disposición de las personas cuyos datos forman parte de las bases de datos existentes bajo la responsabilidad del responsable de tratamiento una serie de modelos de formularios para ejercitar los derechos que la normativa vigente en materia de protección de datos reconoce a los usuarios, siendo estos acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación de uso. Los modelos están incluidos en el presente Plan de Seguridad.

D.1.1 PROCEDIMIENTO PARA EL DERECHO DE ACCESO

Toda persona tiene derecho a dirigirse al responsable o encargado de un fichero o tratamiento para conocer la totalidad de los datos personales que le afecten y así mismo, recibir una copia de los mismos, y cualquier sobre su origen. Ejerciendo dicho derecho, la persona puede informarse de las finalidades del tratamiento de los datos, de los datos registrados, su origen y el destino de los mismos. Dicho ejercicio puede mostrarse al propio interesado bien mediante una simple consulta visualizándolo en pantalla el equipo informático, o bien por escrito, rellenando la plantilla que le incluimos en el apartado “Formulario”. Siempre que el cliente / paciente vaya a ejercer tal derecho, deberá aportar fotocopia del DNI, y en caso de representación, autorización expresa y por escrita acompañando igualmente copia del DNI del paciente.

D.1.2 PROCEDIMIENTO PARA EL DERECHO DE RECTIFICACIÓN

Derecho que tiene cualquier persona de contrastar los datos en caso de ser inexactos, así como de solicitar su rectificación de los mismos. Podrá ejercitar dicho derecho mediante la correspondiente plantilla de ejercicio del derecho de rectificación.

D.1.3 PROCEDIMIENTO PARA EL DERECHO DE CANCELACIÓN

En este derecho, el titular de los datos podría solicitar del Responsable del Tratamiento la cancelación de sus datos personales, siempre que el mismo considere que los datos resulten inexactos o incompletos, el interesado deberá indicar la existencia del dato erróneo o inexacto, la cancelación dará lugar al bloqueo de los datos cuando sea preciso conservar estos únicamente a disposición de las Administraciones Publicas, órganos judiciales, relativo a la existencia de responsabilidad civil.

En el derecho sanitario, y de conformidad a la Ley 41/2002, los profesionales sanitarios deben conservar las historias clínicas por un periodo mínimo de cinco años, por lo que la cancelación de los datos solicitadas por un cliente/paciente, deberá circunscribirse a los datos identificativos, no al tratamiento de salud que el Responsable del Tratamiento haya efectuado sobre el solicitante.

La historia deberá conservarse con el referenciado plazo o bien por un mínimo de 15 años (si ha mediado relación contractual entre las partes), pasado dichos plazos, el Responsable del Tratamiento podrá proceder a la supresión total de la citada historia clínica.

En caso de ejercitarse dicho derecho por el titular de los datos, deberá serle entregada la plantilla correspondiente “cancelación”, la cual le deberá indicar que los datos se refieren a salud, y que tiene el “deber de custodia” de los mismos, rigiéndose por una ley especial (Autonomía del Paciente) por lo que además de conservarlo deberá entregarle un informe de su historia, o en su caso, una copia de la misma.

De conformidad con la Instrucción 1/1998, de 19 de enero de la Agencia Española de Protección de Datos, relativa al ejercicio de derechos de acceso, rectificación y cancelación, le comunicamos que, “la cancelación no procederá cuando pudiese causar un perjuicio a intereses legítimos del afectado o de terceros o cuando existiese una obligación de conservar los datos”. En los casos en que no sea posible la extinción física de los datos, tanto por razones técnicas, como por razones de procedimiento, se procederá al bloqueo de los datos.

Mediante el bloqueo de los datos, se conservarán únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades derivadas del tratamiento, durante el plazo de prescripción de éstas. Cumplido dicho plazo, se procederá a la supresión definitiva de los datos.

En caso de proceder el borrado de los datos, no será suficiente a estos efectos establecer una marca lógica o el mantenimiento de otro fichero alternativo en el que se registren las bajas producidas.

D.1.4 PROCEDIMIENTO PARA EL DERECHO DE OPOSICIÓN

Cualquier persona tiene derecho a oponerse, por motivos fundados o legítimos, a figurar en un Fichero, o bien, a que sus datos sean comunicados a terceros. El solicitante podrá oponerse mediante la correspondiente plantilla de oposición (que le incluimos en el apartado “formularios”) a que sus datos sean tratados con fines publicitarios y de prospección comercial.

Sólo en los siguientes casos que a continuación le detallamos, el solicitante puede ejercer el derecho de oposición, y así: cuando no es obligatoria la recogida de los datos; renunciando a otorgar el consentimiento para tratamiento de datos especialmente protegidos, de ideología, religión o creencias; solicitando la eliminación de datos contenidos en ficheros comerciales y; al indicar expresamente que no está de acuerdo que sus sean cedidos a terceros o la comercialización de los mismos.

D.1.5 PROCEDIMIENTO PARA EL DERECHO DE PORTABILIDAD

El Reglamento (UE) 2016/679 del parlamento europeo y del consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) recoge en su Art, 20 el derecho del interesado a recibir los datos personales que le incumban, y que haya facilitado a un responsable del tratamiento, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable del tratamiento sin que lo impida el responsable al que se los hubiera facilitado.

El ejercicio de este derecho queda legitimado cuando:

a) El tratamiento esté basado en el consentimiento con arreglo al artículo 6.1 a) o el artículo 9. 2 a), o se base en un contrato con arreglo al artículo 6.1 b).
b) El tratamiento se efectúe por medios automatizados.

El usuario que ejerza su derecho a la portabilidad de los datos tendrá derecho a que los datos personales se transmitan directamente de responsable a responsable cuando sea técnicamente posible.

El ejercicio del derecho a la portabilidad de los datos se entenderá sin perjuicio del artículo 17.- Derecho de supresión.

D.1.6 PROCEDIMIENTO PARA EL DERECHO AL OLVIDO

El derecho al olvido no deja de ser una extensión de los derechos de cancelación y oposición sobre los datos del usuario. El ejercicio de este derecho tiene su manifestación más clara en los motores de búsqueda de internet con la finalidad de impedir la difusión de la información cuando ésta es obsoleta o no tiene relevancia ni interés público

El Tribunal de Justicia de la Unión Europea (TJUE) hizo pública el 13 de mayo de 2014 una sentencia que establece que el tratamiento de datos que realizan los motores de búsqueda está sometido a las normas de protección de datos de la Unión Europea y que las personas tienen derecho a solicitar, bajo ciertas condiciones, que los enlaces a sus datos personales no figuren en los resultados de una búsqueda en internet cuando se inserta el nombre del propio usuario.

D.1.7 PROCEDIMIENTO PARA EL DERECHO A LA LIMITACION DE USO DE LOS DATOS (LIMITACION DE TRATAMIENTO)

El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:

a) el interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;

b) el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;

c) el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;

d) el interesado se haya opuesto al tratamiento mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.

El ejercicio de limitación de tratamiento de los datos implica que solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público.

D.2.1 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE ACCESO

ACCESO

PETICIÓN DE INFORMACIÓN SOBRE LOS DATOS

PERSONALES INCLUIDOS EN UNA BBDD

DATOS DEL RESPONSABLE DE TRATAMIENTO

DATOS DEL SOLICITANTE

D./Dª ………………………….………………………………………………… , mayor de edad, con domicilio en ………………..…………………………………………………………………………………………….. ………..…… y D.N.I. ………………………………..… , del que acompaña fotocopia, por medio del presente escrito manifiesta su deseo de ejercer su derecho de acceso, de conformidad con el artículo 15 del Reglamento (UE) 2016/679 del parlamento europeo y del consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y en consecuencia,

SOLICITA

1.- Que se le facilite gratuitamente el acceso a sus datos en el plazo máximo de un mes a contar desde la recepción de esta solicitud, entendiendo que si transcurre este plazo sin que de forma expresa se conteste a la mencionada petición de acceso se entenderá denegada. En este caso se interpondrá la oportuna reclamación ante la Agencia Española de Protección de Datos para iniciar el procedimiento de tutela de derechos, en virtud del artículo 77 y siguientes del RGPD relativo a Derecho a presentar una reclamación ante una autoridad de control.

2.- Que si la solicitud del derecho de acceso fuese estimada, se remita por correo la información a la dirección arriba indicada en el plazo de diez días desde la resolución estimatoria de la solicitud de acceso.

3.- Que esta información comprenda de modo legible e inteligible los datos de base que sobre mi persona están incluidos en sus bbdd, y los resultantes de cualquier elaboración, proceso o tratamiento, así como el origen de los datos, los cesionarios y la especificación de los concretos usos y finalidades para los que se almacenaron.

En ………..…………………… , a ……. de …………………………….. de 20 ….….

Firmado ……………………………………………………..

NIF …………………………………………

D.2.2 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE RECTIFICACION

RECTIFICACIÓN

PETICIÓN DE CORRECCIÓN DE DATOS PERSONALES INEXACTOS

O INCORRECTOS OBJETO DE TRATAMIENTO INCLUIDOS EN UNA BBDD

DATOS DEL RESPONSABLE DE TRATAMIENTO

DATOS DEL SOLICITANTE

D./Dª ………………………….………………………………………………… , mayor de edad, con domicilio en la calle ………………………………..……………………………………………….……………….…………. número ……. Localidad ………………………………….…………. Provincia ………………..…………………… C.P. ………..…… con D.N.I. ………………………………..… , del que acompaña fotocopia, por medio del presente escrito ejerce su derecho de rectificación, de conformidad con lo previsto en el artículo 16 del Reglamento (UE) 2016/679 del parlamento europeo y del consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y en consecuencia,

SOLICITA

Que se proceda gratuitamente a la efectiva corrección en el plazo de un mes desde la recepción de esta solicitud, de los datos inexactos relativos a mi persona que se encuentren en sus bbdd.

Los datos que hay que rectificar se enumeran en la hoja anexa, haciendo referencia a los documentos que se acompañan a esta solicitud y que acreditan, en caso de ser necesario, la veracidad de los nuevos datos.

Que me comuniquen de forma escrita a la dirección arriba indicada, la rectificación de los datos una vez realizada.

Que, en el caso de que el responsable de tratamiento considere que la rectificación o la cancelación no procede, lo comunique igualmente, de forma motivada y dentro del plazo un mes señalado, a fin de poder interponer la reclamación pertinente en base a los artículos 77 y siguientes del RGPD relativo a Derecho a presentar una reclamación ante una autoridad de control

En ………..…………………… , a ……. de …………………………….. de 20 ….….

Firmado ……………………………………………………..

NIF …………………………………………

ANEXO

EN CASO DE RECTIFICACIÓN DE LOS DATOS,

ESPECIFICAR LOS DATOS QUE DEBEN RECTIFICARSE

Dato incorrecto
Dato correcto
Documento acreditativo

Dato incorrecto
Dato correcto
Documento acreditativo

Dato incorrecto
Dato correcto
Documento acreditativo

Dato incorrecto
Dato correcto
Documento acreditativo

Dato incorrecto
Dato correcto
Documento acreditativo

Dato incorrecto
Dato correcto
Documento acreditativo

Dato incorrecto
Dato correcto
Documento acreditativo

Dato incorrecto
Dato correcto
Documento acreditativo

D.2.3 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE SUPRESIÓN

SUPRESION

PETICIÓN DE CANCELACIÓN (TOTAL O PARCIAL) DE DATOS PERSONALES

OBJETO DE TRATAMIENTO INCLUIDOS EN UNA BBDD

DATOS DEL RESPONSABLE DE TRATAMIENTO

DATOS DEL SOLICITANTE

D./Dª ………………………….………………………………………………… , mayor de edad, con domicilio en la calle ………………………………..……………………………………………….……………….…………. número ……. Localidad ………………………………….…………. Provincia ………………..…………………… C.P. ………..…… con D.N.I. ………………………………..… , del que acompaña fotocopia, por medio del presente escrito manifiesta su deseo de ejercer su derecho de cancelación, de conformidad con el artículo 17 del Reglamento (UE) 2016/679 del parlamento europeo y del consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y en consecuencia,

SOLICITA

1.- Que en el plazo de un mes desde la recepción de esta solicitud, se proceda a la efectiva cancelación de cualquier dato relativo a mi persona que se encuentre en sus bases de datos, en los términos previstos en el Reglamento (UE) relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos y me lo comuniquen de forma escrita a la dirección arriba indicada.

2.- Que, en el caso de que el Responsable de tratamiento considere que dicha cancelación no procede, lo comunique igualmente, de forma motivada y dentro del plazo de diez días señalado, a fin de poder interponer la reclamación pertinente en base a los artículos 77 y siguientes del RGPD relativo a Derecho a presentar una reclamación ante una autoridad de control

En ………..…………………… , a ……. de …………………………….. de 20 ….….

Firmado ……………………………………………………..

NIF …………………………………………

ANEXO

EN CASO DE CANCELACIÓN PARCIAL DE LOS DATOS,

ESPECIFICAR LOS DATOS QUE DEBEN CANCELARSE

Dato actual
Justificación de la cancelación
Documento acreditativo

Dato actual
Justificación de la cancelación
Documento acreditativo

Dato actual
Justificación de la cancelación
Documento acreditativo

Dato actual
Justificación de la cancelación
Documento acreditativo

Dato actual
Justificación de la cancelación
Documento acreditativo

Dato actual
Justificación de la cancelación
Documento acreditativo

Dato actual
Justificación de la cancelación
Documento acreditativo

Dato actual
Justificación de la cancelación
Documento acreditativo

D.2.4 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE OPOSIÓN

OPOSICIÓN

PETICIÓN DE OPOSICIÓN DE DATOS PERSONALES

OBJETO DE TRATAMIENTO INCLUIDOS EN UNA BBDD

DATOS DEL RESPONSABLE DE TRATAMIENTO

DATOS DEL SOLICITANTE

D./Dª ………………………….………………………………………………… , mayor de edad, con domicilio en la calle ………………………………..……………………………………………….……………….…………. número ……. Localidad ………………………………….…………. Provincia ………………..…………………… C.P. ………..…… con D.N.I. ………………………………..… , del que acompaña fotocopia, por medio del presente escrito procedo a ejercer el derecho de oposición, de conformidad con el artículo 21 del Reglamento (UE) 2016/679 del parlamento europeo y del consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y en consecuencia,

SOLICITA

MARCAR LO QUE PROCEDA

El cese en el tratamiento o la oposición que se lleve al mismo en base al / los siguiente / es motivos:

Por ser necesario el consentimiento del afectado, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal que lo justifique y no existiendo una ley que justifique lo contrario. Justifican esta situación personal los siguientes motivos:

Cuando por motivos relacionados con tu situación personal, debe cesar el tratamiento de tus datos (salvo interés legítimo acreditado, o sea necesario para el ejercicio o defensa de reclamaciones)

Por tratarse de una bbdd que tiene por objeto la mercadotecnia directa, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia

En virtud del considerando 59, el Responsable de Tratamiento debe resolver sobre esta solicitud en el plazo máximo de un mes desde la recepción de la misma. Transcurrido este plazo, sin que de forma expresa se responda a la solicitud, podré solicitar la tutela de mis derechos en base a los artículos 77 y siguientes del RGPD relativo a Derecho a presentar una reclamación ante una autoridad de control.

En ………..…………………… , a ……. de …………………………….. de 20 ….….

Firmado ……………………………………………………..

NIF …………………………………………

D.2.5 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE PORTABILIDAD

PORTABILIDAD

PETICIÓN DE RECIBIR DATOS

Y TRANSMITIR DATOS DE RESPONSABLE A RESPONSABLE

DATOS DEL RESPONSABLE DE TRATAMIENTO

DATOS DEL SOLICITANTE

D./Dª ………………………….………………………………………………… , mayor de edad, con domicilio en la calle ………………………………..……………………………………………….……………….…………. número ……. Localidad ………………………………….…………. Provincia ………………..…………………… C.P. ………..…… con D.N.I. ………………………………..… , del que acompaña fotocopia, por medio del presente escrito manifiesta su deseo de ejercer su derecho de portabilidad, de conformidad con el artículo 20 del Reglamento (UE) 2016/679 del parlamento europeo y del consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y en consecuencia,

SOLICITA

1.- Que se le envíen sus datos personales en un formato estructurado, de uso común y lectura mecánica, y que sean transmitidos, siempre que sea técnicamente posible, a otro responsable de tratamiento.

2.- Que si la solicitud de portabilidad fuese estimada y siempre que sea técnicamente posible, se remita de responsable de tratamiento a responsable de tratamiento directamente la información concerniente a mi persona, sin mediar dilación indebida.

3.- Que el ejercicio de este derecho no afecta negativamente a los derechos y libertades de otros

En ………..…………………… , a ……. de …………………………….. de 20 ….….

Firmado ……………………………………………………..

NIF …………………………………………

D.2.6 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE OLVIDO

OLVIDO

PETICIÓN DE NO APARECER EN MOTORES DE BUSQUEDA

MEDIANTE INSERCION DEL NOMBRE DEL USUARIO

-ELIMINACION DE FOTOS Y VIDEOS DE INTERNET-

DATOS DEL RESPONSABLE DE TRATAMIENTO

DATOS DEL SOLICITANTE

D./Dª ………………………….………………………………………………… , mayor de edad, con domicilio en la calle ………………………………..……………………………………………….……………….…………. número ……. Localidad ………………………………….…………. Provincia ………………..…………………… C.P. ………..…… con D.N.I. ………………………………..… , del que acompaña fotocopia, por medio del presente escrito manifiesta su deseo de ejercer su derecho al olvido, como extensión del derecho de supresión, de conformidad con el artículo 17 del Reglamento (UE) 2016/679 del parlamento europeo y del consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y en consecuencia,

SOLICITA

1.- Que se proceda a la efectiva supresión de cualquier dato relativo a mi persona que se encuentre en sus bases de datos e implique la publicación de los mismos en motores de búsqueda de internet.

2.- Que esta supresión se realice sin dilación indebida y en los términos previstos en el Reglamento (UE) 2016/679 y me lo comuniquen de forma escrita a la dirección arriba indicada.

3.- Que, en el caso de que el Responsable del tratamiento considere que dicha cancelación no procede por, por ejemplo, prevalecer el derecho a la libertad de expresión e información, lo comunique igualmente, de forma motivada.

En ………..…………………… , a ……. de …………………………….. de 20 ….….

Firmado ……………………………………………………..

NIF …………………………………………

FORMULARIO PARA SOLICITAR LA RETIRADA DE INFORMACIÓN PERSONAL EN GOOGLE

(Formulario extraído de la propia web de google – https://www.google.com/webmasters/tools/legal-removal-request?hl=es&pid=0&complaint_type=14&pli=1 -)

Por motivos de privacidad, tienes el derecho a solicitar que se retire determinada información personal sobre ti.

Este formulario sirve para solicitar que retiremos de la Búsqueda de Google resultados específicos de consultas en las que se incluya tu nombre. Si quieres solicitar la retirada de información personal de otro producto de Google, envía una solicitud a través del formulario correspondiente, que puedes encontrar en nuestra página Cómo retirar contenido de Google

Por ejemplo, si quieres retirar información personal de Blogger, envía una solicitud a través del formulario de Blogger.

Cuando envías una solicitud, en Google buscamos un equilibrio entre los derechos a la privacidad de los usuarios afectados, el interés público que pueda tener esa información y el derecho de otros usuarios a distribuirla; por ejemplo, es posible que rechacemos retirar información sobre estafas financieras, negligencias profesionales, condenas penales o conductas de funcionarios.

Para completar este formulario, necesitas una copia digital de un documento de identificación. Si envías una solicitud en nombre de otra persona, tienes que facilitar su documento de identificación personal.

Principio del formulario

* Campo obligatorio

TU INFORMACIÓN

País de origen *

Nombre legal completo *

Aunque envíes la solicitud en nombre de otra persona que te haya autorizado para representarla, debes indicar tu nombre. Si representas a otra persona, debes tener autoridad legal para actuar en su nombre.

Nombre:

Apellidos:

Dirección de correo electrónico de contacto *

Actúo en nombre de… *

Si envías esta solicitud en nombre de otra persona, tienes que especificar tu relación con ella (por ejemplo, «padre» o «abogado»). Es posible que te solicitemos documentación que confirme que estás autorizado para representarla.

Yo mismo Cliente Familiar Amigo Otros

Tu relación legal con la persona en cuyo nombre presentas esta solicitud *

Adjuntar una copia legible de un documento que verifique la identidad de la persona en cuyo nombre se presenta la solicitud *

Para evitar que se envíen solicitudes de retirada de contenido fraudulentas procedentes de personas que se hacen pasar por otras, que intentan dañar a la competencia o que quieren eliminar información legal de forma inadecuada, tenemos que verificar la identidad de la persona en cuyo nombre se realiza la solicitud (la persona correspondiente). No es necesario que sea un pasaporte ni otro documento de identificación oficial. Puedes ocultar partes del documento que proporciones (por ejemplo, el número de identificación), siempre que se pueda identificar a la persona correspondiente con el resto de la información. Asimismo, puedes ocultar cualquier fotografía presente en el documento de identificación, excepto si estás solicitando que se retiren páginas con fotografías de esa persona. Google LLC solo utilizará esta información para evaluar y documentar la autenticidad de tu solicitud y eliminará la copia en un plazo de un mes una vez cerrada la solicitud, a menos que la ley establezca lo contrario.

¿Has presentado una solicitud anterior?

Si tú (o la persona correspondiente) ya has solicitado que retiremos URLs con contenido similar, podremos ayudarte antes si, en lugar de enviarnos una notificación nueva, contestas a algún correo electrónico que te hayamos enviado a ti (o a la persona correspondiente).

Si prefieres enviarnos una notificación nueva, introduce el número de referencia de 14 dígitos que identifica tu solicitud anterior, con un formato similar a 1-1111000001111. Puedes encontrar este número en el asunto del correo electrónico que te enviamos como respuesta a tu anterior solicitud.

IDENTIFICA LA INFORMACIÓN PERSONAL QUE QUIERAS QUE SE RETIRE Y SU UBICACIÓN

Si esta notificación está relacionada con varios motivos que han sido objeto de una infracción, envía únicamente el primero aquí abajo. A continuación, haz clic en el enlace «Añadir un nuevo grupo» que aparece debajo de los cuadros de texto para añadir otro motivo.

Las URL del contenido que incluya la información personal que quieres retirar *

Introduce una URL en cada línea (1000 líneas como máximo).

Motivo de la eliminación *

Para cada una de las URL que facilites, debes indicar lo siguiente:

(1) cómo se relaciona la información personal identificada anteriormente con la persona en cuyo nombre presentas esta solicitud; y

(2) por qué crees que esta información personal debe retirarse

Por ejemplo: «(1) Esta página está relacionada conmigo porque a, b y c. (2) Esta página debería retirarse porque x, y y z».

Añadir un nuevo grupo (10 grupos como máximo)

Nombre utilizado para realizar búsquedas *

Este debería ser el nombre que, si se utiliza como consulta de búsqueda, produzca los resultados que quieres eliminar del registro. Si quieres enviar varios nombres (por ejemplo, si tu apellido de soltera es diferente al que utilizas ahora), utiliza una barra diagonal («/») para separarlos. Por ejemplo, «Ana García / Ana Díaz».

DECLARACIONES JURADAS

Lee las afirmaciones siguientes y marca las casillas para confirmar que estás de acuerdo.

Consiento que se procese la información personal que envío, como se describe a continuación: *

Google LLC utilizará la información personal que facilites en este formulario (como tu dirección de correo electrónico y todos los datos de identificación) y la información personal que envíes en otros mensajes para procesar tu solicitud y cumplir con nuestras obligaciones legales. Google puede compartir información de tu solicitud con las autoridades de protección de datos, pero solo si la solicitan para investigar o revisar una decisión que Google haya tomado. Esto suele ocurrir si te has puesto en contacto con la autoridad de protección de datos nacional en relación con nuestra decisión. Si, debido a tu solicitud, se han retirado URLs de nuestros resultados de búsqueda, Google puede facilitar información a los webmasters de dichas URL.

Ten en cuenta que si has iniciado sesión en tu cuenta de Google, podemos asociar tu solicitud a esa cuenta.

Declaro que la información de esta solicitud es precisa y que estoy autorizado para enviarla. *

Entiendo que Google no puede procesar mi solicitud si el formulario no se ha rellenado correctamente o si la solicitud está incompleta. *

FIRMA

Fecha de la firma: *

MM/DD/YYYY (por ejemplo, «12/19/2010»)

Firma: *

por ejemplo, Jhon Dow

Al escribir tu nombre completo más arriba, nos proporcionas tu firma digital, que es legalmente vinculante del mismo modo que tu firma física. Ten en cuenta que tu firma debe coincidir exactamente con el nombre y los apellidos introducidos en la parte superior de este formulario web para que el envío se realice correctamente.

D.2.7 FORMULARIO PARA EL EJERCICIO DEL DERECHO DE LIMITACIÓN DE TRATAMIENTO

LIMITACION DE TRATAMIENTO

PETICIÓN DE LIMITACIÓN DEL TRATAMIENTO DE LOS DATOS

DATOS DEL RESPONSABLE DE O TRATAMIENTO

DATOS DEL SOLICITANTE

D./Dª ………………………….………………………………………………… , mayor de edad, con domicilio en la calle ………………………………..……………………………………………….……………….…………. número ……. Localidad ………………………………….…………. Provincia ………………..…………………… C.P. ………..…… con D.N.I. ………………………………..… , del que acompaña fotocopia, por medio del presente escrito manifiesta su deseo de ejercer su derecho de cancelación, de conformidad con el artículo 18 del Reglamento (UE) 2016/679 del parlamento europeo y del consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y en consecuencia,

SOLICITA

1.- La limitación del tratamiento de mis datos en base a las siguientes (Marcar cuando corresponda):

Impugno la exactitud de mis datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;

El tratamiento es ilícito y me opongo a la supresión de los datos personales y solicito en su lugar la limitación de su uso;

El responsable de tratamiento ya no necesita los datos personales para los fines del tratamiento, para el cual se recabaron, sin embargo, el firmante los necesita para la formulación, el ejercicio o la defensa de reclamaciones;

El interesado se haya opuesto al tratamiento en virtud del artículo 21 del Reglamento, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.

2.- Que sin mediar dilación indebida desde la recepción de esta solicitud, se proceda a la efectiva limitación de tratamiento de cualquier dato relativo a mi persona que se encuentre en sus bases de datos, en los términos previstos en el Reglamento Europeo de Protección de datos (GDPR) y me lo comuniquen de forma escrita a la dirección arriba indicada, salvo que ello sea imposible o exija un esfuerzo desproporcionado, tal y como estima el Art. 19 del mencionado Reglamento.

3.- Que, en el caso de que el Responsable de tratamiento considere que dicha limitación no procede o es imposible, me lo comunique igualmente, de forma motivada

En ………..…………………… , a ……. de …………………………….. de 20 ….….

Firmado ……………………………………………………..

NIF …………………………………………

Final del formulario

REGISTROS
1. Relación Actualizada de Usuarios con Acceso Autorizado a Datos

Se corresponde con el anterior Registro, localizado en el anterior Documento de Seguridad del Responsable del Tratamiento, tras la pestaña ‘Registros.

Encargados de Tratamiento

Se corresponde con el anterior Registro, localizado en el anterior Documento de Seguridad del Responsable del Tratamiento, tras la pestaña ‘Registros.

Soportes de Tratamiento

Se corresponde con el anterior Registro, localizado en el anterior Documento de Seguridad del Responsable del Tratamiento, tras la pestaña ‘Registros.

Registro de Incidencias

A cumplimentar en caso de producirse una incidencia que afecte a los criterios de Integridad, Disponibilidad o Confidencialidad de los datos objeto de tratamiento

DATOS DEL COMUNICANTE DE LA INCIDENCIA

NOMBRE

APELLIDOS

DATOS DEL REGISTRADOR DE LA INCIDENCIA

NOMBRE

APELLIDOS

REGISTRO TEMPORAL

FECHA INCORPORACIÓN DE LA INCIDENCIA

HORA

FECHA DE LA INCIDENCIA

HORA

CRITERIO DE SEGURIDAD AFECTADO

CONFIDENCIALIDAD DE LOS DATOS

INTEGRIDAD DE LOS DATOS

DISPONIBILIDAD DE LOS DATOS

NIVEL DE GRAVEDAD

BAJA

MEDIA

ALTA

DESCRIPCIÓN DE LA INCIDENCIA

CÓDIGO

DESCRIPCIÓN DE LOS EFECTOS DERIVADOS DE LA INCIDENCIA

ACTUACIONES REALIZADAS

FECHA RESOLUCIÓN DE LA INCIDENCIA

HORA

FIRMA DEL REGISTRADOR DE LA INCIDENCIA

OTRA DOCUMENTACIÓN

PROCEDIMIENTO

RETIRADA DE INFORMES Y CERTIFICADOS

En cumplimiento con la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, le informamos del procedimiento de retirada de informe o certificados en el centro.

RETIRADA POR EL PROPIO INTERESADO

Presencial, deberá acompañar el Documento de Identificación válido (DNI, NIE o pasaporte).

No presencial, deberá solicitarla por escrito, bien por correo ordinario, electrónico, o fax, indicando los datos del domicilio al que quiere que dicho informe sea remitido, así como acompañando copia del DNI, NIE o pasaporte, como acreditación que es el paciente quien realmente solicita el mismo.

RETIRADA POR UN TERCERO

Acompañar la autorización firmada por el interesado, expresando detalladamente la persona que pasará en su nombre a retirar dicho informe o certificado, copia de D.N.I., N.I.E. y/o pasaporte del interesado. Deberá aportarse por el tercero copia del DNI, NIE o pasaporte al personal del centro, disponiendo de los formularios de autorización necesarios en los casos indicados anteriormente. El presente procedimiento se realiza por la seguridad de sus datos personales.

Glosario de términos

A efectos del Reglamento (UE) 2016/679 del parlamento europeo y del consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, se entenderá por:

1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

3) «limitación del tratamiento»: el marcado de los datos de carácter personal conservados con el fin de limitar su tratamiento en el futuro;

4) «elaboración de perfiles»: toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física;

5) «seudonimización»: el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable;

6) «fichero»: todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica;

7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;

8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;

9) «destinatario»: la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No obstante, no se considerarán destinatarios las autoridades públicas que 4.5.2016 ES Diario Oficial de la Unión Europea L 119/33 puedan recibir datos personales en el marco de una investigación concreta de conformidad con el Derecho de la Unión o de los Estados miembros; el tratamiento de tales datos por dichas autoridades públicas será conforme con las normas en materia de protección de datos aplicables a los fines del tratamiento;

10) «tercero»: persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado;

11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;

12) «violación de la seguridad de los datos personales»: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos;

13) «datos genéticos»: datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica de tal persona;

14) «datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos;

15) «datos relativos a la salud»: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;

16) «establecimiento principal»: a) en lo que se refiere a un responsable del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión, salvo que las decisiones sobre los fines y los medios del tratamiento se tomen en otro establecimiento del responsable en la Unión y este último establecimiento tenga el poder de hacer aplicar tales decisiones, en cuyo caso el establecimiento que haya adoptado tales decisiones se considerará establecimiento principal; b) en lo que se refiere a un encargado del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión o, si careciera de esta, el establecimiento del encargado en la Unión en el que se realicen las principales actividades de tratamiento en el contexto de las actividades de un establecimiento del encargado en la medida en que el encargado esté sujeto a obligaciones específicas con arreglo al presente Reglamento;

17) «representante»: persona física o jurídica establecida en la Unión que, habiendo sido designada por escrito por el responsable o el encargado del tratamiento con arreglo al artículo 27, represente al responsable o al encargado en lo que respecta a sus respectivas obligaciones en virtud del presente Reglamento;

18) «empresa»: persona física o jurídica dedicada a una actividad económica, independientemente de su forma jurídica, incluidas las sociedades o asociaciones que desempeñen regularmente una actividad económica;

19) «grupo empresarial»: grupo constituido por una empresa que ejerce el control y sus empresas controladas;

20) «normas corporativas vinculantes»: las políticas de protección de datos personales asumidas por un responsable o encargado del tratamiento establecido en el territorio de un Estado miembro para transferencias o un conjunto de transferencias de datos personales a un responsable o encargado en uno o más países terceros, dentro de un grupo empresarial o una unión de empresas dedicadas a una actividad económica conjunta;

21) «autoridad de control»: la autoridad pública independiente establecida por un Estado miembro con arreglo a lo dispuesto en el artículo 51; L 119/34 ES Diario Oficial de la Unión Europea 4.5.2016

22) «autoridad de control interesada»: la autoridad de control a la que afecta el tratamiento de datos personales debido a que: a) el responsable o el encargado del tratamiento está establecido en el territorio del Estado miembro de esa autoridad de control; b) los interesados que residen en el Estado miembro de esa autoridad de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento, o c) se ha presentado una reclamación ante esa autoridad de control;

23) «tratamiento transfronterizo»: a) el tratamiento de datos personales realizado en el contexto de las actividades de establecimientos en más de un Estado miembro de un responsable o un encargado del tratamiento en la Unión, si el responsable o el encargado está establecido en más de un Estado miembro, o b) el tratamiento de datos personales realizado en el contexto de las actividades de un único establecimiento de un responsable o un encargado del tratamiento en la Unión, pero que afecta sustancialmente o es probable que afecte sustancialmente a interesados en más de un Estado miembro;

24) «objeción pertinente y motivada»: la objeción a una propuesta de decisión sobre la existencia o no de infracción del presente Reglamento, o sobre la conformidad con el presente Reglamento de acciones previstas en relación con el responsable o el encargado del tratamiento, que demuestre claramente la importancia de los riesgos que entraña el proyecto de decisión para los derechos y libertades fundamentales de los interesados y, en su caso, para la libre circulación de datos personales dentro de la Unión;

25) «servicio de la sociedad de la información»: todo servicio conforme a la definición del artículo 1, apartado 1, letra b), de la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo.

26) «organización internacional»: una organización internacional y sus entes subordinados de Derecho internacional público o cualquier otro organismo creado mediante un acuerdo entre dos o más países o en virtud de tal acuerdo.

NORMATIVA DE SEGURIDAD Y POLÍTICA DE PRIVACIDAD

FUNCIONES Y OBLIGACIONES DEL PERSONAL

Licitud, lealtad y transparencia, informando adecuadamente a los interesados.
Limitación, en cuanto al destino de uso de la información, sus plazos de conservación y no requiriendo más información de la necesaria.
Exactitud, en cuanto a la calidad de la información recogida y actualizando la información siempre que sea posible.

NÚMEROS DE IDENTIFICACIÓN Y CLAVES DE ACCESO

Queda prohibido comunicar a otra persona el identificador de usuario y la clave de acceso. Si el usuario sospecha que otra persona conoce sus datos de identificación y acceso deberá ponerlo en conocimiento del Responsable de Seguridad, con el fin de que le asigne una nueva clave.

El usuario está obligado a utilizar la red corporativa y la intranet de y sus datos sin incurrir en actividades que puedan ser consideradas ilícitas o ilegales, que infrinjan los derechos de o de terceros, o que puedan atentar contra la moral o las normas de etiqueta de las redes telemáticas.

Están expresamente prohibidas las siguientes actividades:

Compartir o facilitar el identificador de usuario y la clave de acceso facilitados por con otra persona física o jurídica, incluido el personal de la propia entidad.

Destruir, alterar, inutilizar o de cualquier otra forma dañar los datos, programas o documentos electrónicos de o de terceros (estos actos pueden constituir un delito de daños, previsto en el artículo 264.2 del Código Penal).

Enviar mensajes de correo electrónico de forma masiva o con fines comerciales o publicitarios sin el consentimiento del destinatario (Spam).

Intentar leer, borrar, copiar o modificar los mensajes de correo electrónico o los archivos de otros usuarios. Esta actividad puede constituir un delito penal de interceptación de las telecomunicaciones, previsto en el artículo 197 del Código Penal.

Utilizar el sistema para intentar acceder a áreas restringidas de los sistemas informáticos de o de terceros.

Introducir voluntariamente programas, virus, macros que causen o sean susceptibles de causar cualquier tipo de alteración en los sistemas.

Introducir, descargar de Internet, reproducir, utilizar o distribuir programas informáticos no autorizados expresamente por , o cualquier otro tipo de obra o material cuyos derechos de propiedad intelectual o industrial pertenezcan a terceros, cuando no se disponga de autorización para ello.

Instalar copias ilegales de cualquier programa, incluidos los estandarizados.

Borrar cualquiera de los programas instalados legalmente.

Utilizar los recursos telemáticos de , incluida la red Internet, para actividades que no estén directamente relacionadas con el puesto de trabajo del usuario.

Introducir contenidos obscenos, inmorales u ofensivos y, en general, carentes de utilidad para los objetivos de en su red corporativa.

Enviar o reenviar mensajes en cadena o de tipo piramidal.

CONFIDENCIALIDAD DE LA INFORMACIÓN

Queda prohibido enviar información confidencial de al exterior, mediante soportes materiales, o a través de cualquier medio de comunicación, incluyendo la simple visualización o acceso.

Los usuarios de los sistemas de información corporativos deberán guardar, por tiempo indefinido, la máxima reserva y no divulgar ni utilizar directamente ni a través de terceras personas o empresas, los datos, documentos, metodologías, claves, análisis, programas y demás información a la que tengan acceso durante su relación laboral, de prácticas o prestación de servicio con , y empresas pertenecientes al grupo, tanto en soporte material como electrónico. Esta obligación continuará vigente tras la extinción del contrato laboral de prácticas o prestación de servicio.

Ningún colaborador deberá poseer, para usos no propios de su responsabilidad, ningún material o información propiedad de , tanto ahora como en el futuro.

En el caso de que, por motivos directamente relacionados con el puesto de trabajo, el empleado entre en posesión de información confidencial bajo cualquier tipo de soporte, deberá entenderse que dicha posesión es estrictamente temporal, con obligación de secreto y sin que ello le irrogue derecho alguno de posesión, o titularidad o copia cobre la referida información.

Asimismo, el firmante deberá devolver dichos materiales a inmediatamente después de la finalización de las tareas que han originado el uso temporal de los mismos, y en cualquier caso, a la finalización de la relación laboral, de prácticas o prestación de servicio.

El incumplimiento de esta obligación puede constituir un delito de revelación de secretos, previsto en el artículo 197 y siguientes del Código Penal y dará derecho a a exigir al usuario una indemnización económica.

USO DEL CORREO ELECTRÓNICO

El sistema informático, la red corporativa y los terminales utilizados por cada usuario son propiedad de .

Ningún mensaje de correo electrónico será considerado como privado. Se considerará correo electrónico tanto el interno, entre terminales de la red corporativa, como el externo, dirigido o proveniente de otras redes públicas o privadas y, especialmente, Internet. Todos estos mensajes irán abiertos.

se reserva el derecho de revisar, sin previo aviso, los mensajes de correo electrónico de los usuarios de la red corporativa y los archivos LOG del servidor, con el fin de comprobar el cumplimiento de estas normas y prevenir actividades que puedan afectar a como responsable civil subsidiario.

Cualquier fichero introducido en la red corporativa o en el terminal del usuario a través de mensajes de correo electrónico que provengan de redes externas deberá cumplir los requisitos establecidos en estas normas y, en especial, las referidas a propiedad intelectual e industrial y a control de virus.

ACCESO A INTERNET

El uso del sistema informático del Responsable del Tratamiento para acceder a redes públicas como Internet, se limitará a los temas directamente relacionados con la actividad de y los cometidos del puesto de trabajo.

El acceso a debates en tiempo real (Chat / IRC) es especialmente peligroso, ya que facilita la instalación de utilidades que permiten accesos no autorizados al sistema, por lo que su uso queda estrictamente prohibido.

El acceso a páginas web, grupos de noticias (Newsgroups) y otras fuentes de información como FTP, etc. se limita a aquellos que contengan información relacionada con la actividad de o con los cometidos del puesto de trabajo del usuario.

se reserva el derecho de monitorizar y comprobar, de forma aleatoria y sin previo aviso, cualquier sesión de acceso a Internet iniciada por un usuario de la red corporativa.

Cualquier fichero introducido en la red corporativa o en el terminal del usuario desde Internet, deberá cumplir los requisitos establecidos en estas normas y, en especial, las referidas a propiedad intelectual e industrial y a control de virus.

PROPIEDAD INTELECTUAL E INDUSTRIAL

INCIDENCIAS

Es obligación de todo el personal de comunicar a cualquier incidencia que se produzca en los sistemas de información a que tengan acceso. Se entiende por incidencia cualquier anomalía que afecte o pueda afectar a la seguridad de los datos. Dicha comunicación deberá realizarse inmediatamente.

PROTECCIÓN DE DATOS. ACTOS PROHIBIDOS

Crear ficheros de datos personales sin la autorización de .

Cruzar información relativa a datos de diferentes ficheros o servicios con el fin de establecer perfiles de personalidad, hábitos de consumo o cualquier otro tipo de preferencias, sin la autorización expresa de .

Cualquier otra actividad expresamente prohibida en este documento, en las normas sobre protección de datos o en las Instrucciones de la Agencia Española de Protección de Datos.

VIDEOVIGILANCIA

De conformidad con lo dispuesto en el Reglamento (UE) 679/2016, informa al trabajador-a/colaborador-a/Personal en prácticas de la existencia de una instalación de grabación a través de videocámaras en las instalaciones internas del centro de la que resulta un tratamiento responsabilidad del titular, en el que quedan almacenados los datos personales del firmante incluida su imagen obtenida grabada y captada a través de las cámaras y videocámaras, con los siguientes fines:

Vigilancia interior de las instalaciones con la finalidad de dar cumplimiento al operativo de seguridad y para prevenir riesgos que afecten a la seguridad y protección de las personas, locales y bienes patrimoniales, así como de acuerdo con la Legislación vigente, para denunciar, cuando sea necesario, hechos ante las autoridades competentes o atender los requerimientos de las mismas.
Control de la calidad y rendimiento laboral del trabajador-a/colaborador-a/Personal en prácticas, así como verificación del cumplimiento por los mencionados, de sus obligaciones y deberes, guardando en todo caso, la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso.

DERECHOS DE IMAGEN

, con la finalidad de mostrar los profesionales que en ella trabajan, muestra en la Web titularidad del responsable, fotografías de sus empleados y colaboradores, respetando siempre, y en la medida de lo posible, el derecho al honor. Para ello, y por medio de la firma del presente, el firmante conoce, consiente y autoriza expresamente la cesión de sus derechos de imagen al centro médico para las finalidades mencionadas, por el tiempo máximo que delimite la normativa al efecto en todos los países del mundo.

Y para que conste, la acreditación de dicha información, así como de todo lo mencionado en el presente documento, firma el presente en el lugar y fecha infra señalados.

RECIBÍ FIRMADO

NOMBRE YAPELLIDOS …………………………………………………………………………………..

FECHA ………………………………………………………………………………………….

ACEPTACIÓN DE LAS CONDICIONES DEL USO DE IMÁGENES

FIRMA

……………………………………………………………………………………………………….

AVISO LEGAL
EPÍGRAFE	INFORMACIÓN BÁSICA
RESPONSABLE
FINALIDAD	ADECUADA GESTION ADMINISTRATIVA DE LOS ASUNTOS RELATIVOS AL PERSONAL DEL CENTRO
LEGITIMACIÓN	CONSENTIMIENTO DEL INTERESADO
DESTINATARIOS	COLEGIOS PROFESIONALES ADMINISTRACION TRIBUTARIA ORGANISMOS DE LA SEGURIDAD SOCIAL ADMINISTRACION PUBLICA CON COMPETENCIA EN LA MATERIA ENTIDADES SANITARIAS BANCOS, CAJAS O ENTIDADES FINANCIERAS
DERECHOS	SE PUEDE ACCEDER, RECTIFICAR Y SUPRIMIR LOS DATOS, ASÍ COMO LIMITAR SU TRATAMIENTO O SOLICITAR LA PORTABILIDAD A OTRO RESPONSABLE
INFORMACIÓN ADICIONAL	PUEDE CONSULTAR LA INFORMACIÓN ADICIONAL Y DETALLADA A CONTINUACIÓN

INFORMACIÓN ADICIONAL – PROTECCIÓN DE DATOS

¿QUIEN ES EL RESPONSABLE DEL TRATAMIENTO DE SUS DATOS?

IDENTIDAD:

DNI/CIF:

DIRECCIÓN POSTAL: , DE ()

CORREO ELECTRÓNICO:

TELÉFONO:

¿CON QUÉ FINALIDAD TRATAMOS SUS DATOS PERSONALES?

– Para la comunicación de mis datos para los registros oficiales obligatorios de colegios profesionales y/o de profesionales sanitarios

– Para la percepción de los emolumentos acordados en el contrato de trabajo

– Para la prevención de riesgos laborales

– Para la gestión administrativa de la relación laboral del personal

– Para procesos de selección de personal

¿POR CUÁNTO TIEMPO CONSERVAREMOS SUS DATOS?

• Nóminas, TC1, TC2, etc. durante un plazo mínimo de 10 años, según el Código Penal, la Normativa Contable Tributaria, Normativa Laboral, Código de Comercia, IVA, LIS, etc.

• Los currículums, hasta el fin del proceso de selección y, si hay consentimiento, durante 3 años más.

• La documentación de indemnizaciones por despido, durante 4 años según la Ley de Infracciones y Sanciones en el Orden Social.

• Los contratos, durante un mínimo de 4 años, según la Ley de Infracciones y Sanciones en el Orden Social.

• Los datos de los trabajadores temporales, durante un mínimo de 4 años, según la Ley de Infracciones y Sanciones en el orden Social

• El expediente del Trabajador, hasta la baja y, posteriormente, durante un plazo de 5 años.

¿CUÁL ES LA LEGITIMACIÓN PARA EL TRATAMIENTO DE SUS DATOS?

• La base legal para el tratamiento de los datos es la legitimación por consentimiento del Usuario

¿A QUÉ DESTINATARIOS SE COMUNICARÁN SUS DATOS?

• Al Colegio Oficial Profesional, si fuese requerido, y al Registro de Profesionales Sanitarios

• A la asesoría laboral del Responsable del Tratamiento

• A las entidades financieras donde se abonarán sus emolumentos

• A las entidades responsable de la Vigilancia de la Salud del personal del Centro

¿CUÁLES SON SUS DERECHOS CUANDO NOS FACILITA SUS DATOS?

• Derecho de acceso: Usted tendrá derecho a obtener confirmación de si se están tratando o no datos personales que le conciernen

• Derecho de rectificación: Usted tendrá derecho a obtener la rectificación de los datos personales inexactos que le conciernan o incompletos

• Derecho de limitación: Usted podrá solicitar la limitación del tratamiento de sus datos personales, en cuyo caso únicamente los conservaremos para el ejercicio o la defensa de reclamaciones

Adaptado al Reglamento General de Protección de Datos 2016/679

ACORDE A LA NORMA DE GESTIÓN DE CALIDAD PARA EL SERVICIO DE PROTECCIÓN DE DATOS

GINECOLOGÍA

CERTIFICADOS MÉDICOS

MEDICINA ESTÉTICA

MÉDICOS ESPECIALISTAS