Tal y como os comentamos la semana pasada, vamos a dedicar varios artículos de nuestro blog al análisis del Capítulo IX del Reglamento General de Protección de Datos (RGPD) relativo a situaciones específicas de tratamiento, aprovecharemos nuestro análisis para, en caso de que existan, incluir también las consideraciones que al respecto el ya Proyecto de Ley Orgánica de Protección de Datos (Proyecto LOPD) en España pueda recoger.

El artículo 89 del RGPD regula el “tratamiento y acceso del público a documentos oficiales” donde indica que “los datos personales de documentos oficiales en posesión de alguna autoridad pública u organismo público o entidad privada para la realización de una misión en interés público podrán ser comunicados por dicha autoridad, organismo o entidad de conformidad con el Derecho de la Unión o de los Estados miembros que se les aplique a fin de conciliar el acceso del público a documentos oficiales con el derecho a la protección de los datos personales en virtud del presente Reglamento.

Por su parte en el considerando 154 del mismo RGPD, añade a este respecto que, la Directiva 2003/98/CE del Parlamento Europeo y del Consejo relativa a la reutilización de la información del sector público no altera ni afecta en modo alguno al nivel de protección de las personas físicas con respecto al tratamiento de datos personales (…) en particular, no altera las obligaciones ni los derechos establecidos en el presente Reglamento.

Estamos llegando al final de nuestro análisis <paso a paso del Reglamento General de Protección de Datos (RGPD)>

En el artículo de hoy abordaremos el análisis de aquellas situaciones específicas de tratamiento que el propio RGPD recoge en sus artículos 85 a 91:

1. Tratamiento y libertad de expresión y de información.

El RGPD recoge expresamente la necesidad de que los Estados miembros deberán conciliar por ley el derecho a la protección de datos personales con el derecho a la libertad de expresión y de información, incluido el tratamiento con fines periodísticos y fines de expresión académica, artística o literaria.
Añade en su artículo 85.2 que para el tratamiento realizado con fines mencionados, los Estados Miembros deben establecer exenciones o excepciones respeto, entre otros, de los dispuesto en diferentes capítulos del Reglamento donde se regulan los principios, derechos del interesado, responsable y encargado de tratamiento, transferencia de datos personales etcétera, siempre que sean necesarias para conciliar el derecho a la protección de los datos personales con la libertad de expresión e información.

Asimismo, el RGPD establece la obligación a los Estados miembros de notificar a la futura Comisión las disposiciones legislativas que de conformidad con lo antedicho se adopten junto con las posteriores modificaciones

Todo comenzó con motivo de una cena de navidad, el denunciante a principios de diciembre de 2016 realizó una reserva para cenar en el restaurante denunciado, para un día tan señalada como el 31 de diciembre. Tal y como se describe en los antecedentes de la Resolución AEPD /02302/2017 el restaurante denunciado y días previos a la cena creó un grupo de Whatsapp con la identidad de los asistentes, las mesas donde se iban a sentar cada uno y las personas que le acompañaban. Ante este hecho, el denunciante decidió salir de forma voluntaria del grupo al que había sido incluido. Aunque de nada le sirvió, pues fue incluido nuevamente por el administrador y además recibió un mensaje privado donde le indicaban que si salía del grupo se anularía su reserva. 

Recibida la denuncia la AEPD procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, pro todos los intentos de comunicación con el restaurante infractor o sus responsables fueron fallidos. La AEPD siguiendo el procedimiento, acordó someter a trámite de audiencia previa un procedimiento de apercibimiento, tras comprobar que la entidad denunciada no tenía antecedentes de sanciones y apercibimientos precedentes.

¿Qué fundamentos de derecho se dan en el presente supuesto expuesto?

El Reglamento General de Protección de Datos (RGPD) en su artículo 68.1 dice "se crea el Comité Europeo de Protección de Datos (Comité), como organismos de la Unión, que gozará de personalidad jurídica”.

Pero ¿Quién será realmente el Comité?

En el considerando 139 del RGPD indica que el Comité deberá sustituir al Grupo de protección de las personas en lo que respecta al tratamiento de datos personales creado por la Directiva 95/46/CE, esto es, el por todos conocido (GT29).

¿Cuáles serán las principales características del nuevo Comité?.

1. Gozará de personalidad jurídica propia.

2. Estará compuesto por:

- un presidente como representante principal, designado por la propia Comisión entres sus miembros, más dos vicepresidentes.

La duración del mandato de presidente y vicepresidentes será de 5 años de duración con posibilidad de una única renovación.

Dentro de las funciones asignadas al presidente en el artículo 64 del RGPD, destacamos:

Una semana más nos centramos en analizar paso a paso el papel tan importante, sin la menor duda, que tienen las autoridades de control en el RGPD.

Y esa importancia, se ve reflejada no sólo en las funciones asignadas, de las que hablamos la semana pasada sino también en lo poderes conferidos en el RGPD a las autoridades de control, a través de un extenso artículo 58:

1. Poderes de investigación, las autoridades de control podrán:

- Ordenar a responsable y encargado que faciliten cualquier información que requiera para el desempeño de sus funciones.

- Obtener el acceso a todos los locales del responsable y encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento.

En España la Sección 2 del Título VI del Anteproyecto recoge las potestades de investigación de la Agencia Española de Protección de Datos (AEPD). El artículo 52 del Anteproyecto establece que corresponde a los funcionaros de la AEPD o funcionarios ajenos a ella, pero habilitados por el Presidente, llevar a cabo la actividad de investigación. Para ello y a través del artículo 54 les habilita a recabar todas las informaciones necesarias, realizar inspecciones, requerir exhibición, envío y obtención de copia, de los documentos y datos necesarios, incluso podrán exigir la ejecución de tratamientos y programas, y los soportes sujetos a investigación.

- Llevar a cabo investigaciones en forma de auditorías de protección de datos.

- Notificar al responsable/encargado las presuntas infracciones del presente Reglamento.

En el Anteproyecto se habla de planes de auditoría preventiva. El artículo 55 establece que el Presidente de la AEPD podrá acordar la realización de planes de auditoría preventiva, referidos a los tratamientos de un sector concreto de actividad.
Como resultado de la auditoría el Presidente podrá dictar la directrices necesarias, que serán de obligado cumplimiento, para asegurar la adaptación del sector a la normativa.

Actualmente la AEPD dispone la potestad de inspección que le otorga el artículo 40 de la vigente LOPD 1999, inspecciones de oficio que no tienen carácter sancionador sino preventivo como indica la propia Agencia Española de Protección de Datos.

2. Poderes correctivos:

Siguiendo con nuestro estudio de las autoridades de control en el Reglamento General de Protección de Datos (RGPD), nos centramos hoy sus funciones y aprovecharemos para analizar lo que dice el Anteproyecto de Ley Orgánica de Protección de Datos de Carácter Personal (Anteproyecto), al respecto y en relación con nuestra autoridad de control: Agencia Española de Protección de Datos (AEPD).

El artículo 57 del RGPD lista de forma amplia y detallada las funciones que deben asumir las autoridades de control. Nosotros destacamos las siguientes:

1. Controlar el RGPD y hacerlo aplicar.

En España y en el artículo 48 del Anteproyecto, se recoge esta función indicando que corresponde a la AEPD supervisar la aplicación del Reglamento. De nuevo se limita a remitirse al RGPD.

2. Promover la sensibilización del público y su comprensión de los riesgos, normas y derechos en relación con el tratamiento. Los niños como objetivo de especial atención.

3. Promover la sensibilización de los responsables y encargados del tratamiento acerca de las obligaciones que les incumben en virtud del presente Reglamento.

En el Anteproyecto se recogen en el artículo 56 las potestades de regulación, indicando que el Presidente podrá dictar las disposiciones de desarrollo y ejecución necesarias para la interpretación y cumplimiento de lo dispuesto en el RGPD. Además, estas circulares de la Agencia Española de Protección de Datos serán obligatorias y publicadas en el BOE.

4. Cooperar compartiendo información con otras autoridades de control y prestar asistencia con el fin de garantizar la coherencia en la aplicación y ejecución del RGPD.

En España el artículo 57 del Anteproyecto regula lo que denomina <acción exterior> recogiendo en su apartado c) que la AEPD deberá colaborar con autoridades, instituciones, organismos y Administraciones de otros Estados a fin de impulsar, promover y desarrollar el derecho fundamental a la protección de datos (…).

Retomando nuestro análisis pormenorizado del Reglamento General de Protección de Datos (en adelante RGPD) y enriqueciéndolo con lo indicado en el Anteproyecto de LOPD. Hablamos hoy de las autoridades de control, artículos 51 al 59 del RGPD (dejando el análisis de la cooperación y coherencia entre autoridades artículos 60 a 67, para más adelante) y capítulos I y II del Anteproyecto.

El RGPD nos dice que cada Estado miembro establecerá que sea responsabilidad de una o varias autoridades públicas independientes supervisar la aplicación coherente del Reglamento en toda la Unión. Por lo tanto el RGPD deja abierta la posibilidad de que exista más de una autoridad de control en un Estado miembro, pero se deberá designar una que represente a todas ellas en el Comité Europeo.

En España, y tal y como se indica en el Anteproyecto, la Agencia Española de Protección de Datos (en adelante AEPD) es la autoridad administrativa independiente de ámbito estatal y que tendrá la condición de representante de las autoridades de protección de datos en el Comité (art.45.1).
Por otra parte seguirán existiendo las autoridades autonómicas de protección de datos con funciones y poderes limitados a su ámbito territorial autonómico (art. 58 Anteproyecto).

Destaca el RGPD la importancia de la independencia de las autoridades de control, que deberán actuar en todo momento sin influencia externa, y sin permitir instrucción alguna. Para ello el RGPD exige a los Estados miembros que doten a sus respectivas autoridades de control de recursos humanos, técnicos y financieros suficientes para el cumplimiento efectivo de sus funciones y el ejercicio de sus poderes.

Actualmente y con plenos efectos hasta mayo 2018, si queremos realizar una transferencia internacional de datos, debemos tener presente tanto lo establecido en nuestra Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD) y en nuestro RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, (en adelante RD 1720/2007) ambas normas en vigor y de plena aplicación.

A día de hoy, las transferencias/movimientos internacionales de datos se regulan en los artículos 65 a 70 de la LOPD y en los artículos 33 y 34 del RD 1720/2007, y tenemos como principio general que no pueden realizarse transferencias internacionales de datos con destino a países fuera del Espacio Económico Europeo (EEE) que no proporcionen un nivel de protección equiparable nuestro, salvo autorización previa de la Directora de la Agencia Española de Protección de Datos, (en adelante AEPD).

Según la AEPD países, fuera del EEE, que proporcionan un nivel adecuado de protección son actualmente: Suiza, Guernsey, Isla de Man, Jersey e Islas Feroe, Canadá, Argentina, Andorra, Israel, Uruguay, Nueva Zelanda y EEUU pero sólo aplicable a las entidades estadounidenses adheridas a los principios del vigente Privacy Shield aprobado en julio 2016 y que busca proteger los derechos fundamentales de cualquier ciudadano europeo cuyos datos personales se transfieran a los Estados Unidos, así como aportar claridad jurídica para las entidades que dependen de transferencias internacionales de datos. (Para ver la lista completa de entidades en https://www.privacyshield.gov/list).

Como excepción a la regla general nos encontramos con supuestos legalmente excluidos de la autorización de la Directora de la Agencia Española de Protección de Datos, a modo de resumen:

La sala de lo civil del Tribunal Supremo (en adelante TS) ratificó una sentencia de la Audiencia Provincial de Santander que consideró que no existía intromisión ilegítima del derecho a la propia imagen de una menor cuya fotografía fue publicada en la noticia de un periódico local.

La fotografía, que se encuadraba bajo el título “Alumnos cántabros empeoran levemente en los resultados del informe Pisa” mostraba a diversos jóvenes en actitud de estudio siendo la menor la que ocupa la imagen central de la fotografía al desenfocarse el resto de las alumnas.

La parte demandante basaba sus alegatos en que no hubo consentimiento alguno para la inclusión de la fotografía de la menor en la noticia publicada así como que en ningún momento se tuvo conocimiento de la finalidad o motivo de dicha fotografía.

Hemos de recordar que, en el presente caso, se trata de la fotografía de una menor de edad y que la protección de la propia imagen de los menores tiene una consideración especialmente protectora de tal manera que toda utilización de su imagen en los medios de comunicación que pueda implicar menoscabo de su honra o reputación, incluso si consta consentimiento del menor o de sus representantes legales, será considerado como una intromisión ilegítima; tal y como establece el artículo 4 de la LO 1/1996 de la Protección Jurídica del Menor.

¿Estamos, por tanto, ante una vulneración del derecho a la propia imagen?

Página 1 de 11

Nuestros Servicios

lopd

Protección de Datos

ver más +
Adec. web

Web, Apps, e-commerce

ver más +
compliance

Compliance

ver más +
mantenimiento

Seguridad de la información

ver más +
formacion

Formación

ver más +
play

prodat securityperson

DPD/DPO EXTERNALIZADO PRODAT EXTERNALIZACION DE LA FIGURA DEL DELEGADO DE PROTECIÓN DE DATOS

Prodat pone a su disposición el servicio de “DPO externalizado”. Prodat DPO realiza todas las funciones de obligado cumplimiento en algunas organizaciones públicas y privadas para que puedan concentrase en su negocio , con la tranquilidad de un servicio especializado...

prodatnou

NUEVA PLATAFORMA DE GESTION DE LA PRIVACIDAD PRODAT PRIVACY COREBOS

Como evolución natural de su anterior plataforma software de privacidad , surge para cumplir con las nuevas exigencias del RGPD Europeo
Con tecnología CoreBos y adaptada a las ventajas de los servicios en la nube. Esta herramienta constituye desde hace más de una década el corazón tecnológico de Prodat...

prodat securityformation

FORMACIÓN LA MEJOR HERRAMIENTA DE CUMPLIMIENTO RGPD

La finalidad esencial de la FORMACIÓN RGPD-PRODAT es difundir entre el personal de su organización la puesta en práctica de las reglas y procedimientos necesarios para el cumplimiento de lo establecido por la legislación vigente en materia de protección de datos principalmente adaptado a su sector de actividad...

Delegación  Galicia Delegación  Asturias Delegación Cantabria Delegación Euskadi Delegación Navarra Delegación  La Rioja Delegación Aragon Delegación Cataluña Delegación  Valencia Delegación Alicante Delegación Baleares Delegación Murcia Delegación  Castilla y León Delegación  Madrid Delegación  Castilla la Mancha Delegación  Extremadura Delegación Huelva Delegación  Cádiz Delegación Sevilla Delegación Málaga Delegación de Tenerife Delegación Las Palmas Delegación Portugal