y seguimos con la ley de protección de datos personales vale en clases anteriores bueno pues hemos visto diferentes títulos de la ley y hoy lo que nos toca es el título quinto de la ley de protección de datos personales en la que nos habla de el responsable y el encargado del tratamiento de los datos personales vale vamos a un ait son diferentes capítulos bien pues vamos a comenzar por el capítulo primero que nos habla de las disposiciones generales y las medidas de responsabilidad activa es decir aquí nos van a hablar de quienes van a ser los órganos que van a ser responsables de cómo se realice ese tratamiento de los datos vale artículo 28 nos habla de las obligaciones generales del responsable y del encargado vale que nos dice nos dice que tanto los responsables como los encargados de los datos son los que se van a encargar de determinar o los que van a establecer las medidas técnicas y organizativas y organizativas apropiadas que deben de aplicar se deben de aplicar para que bueno pues para garantizar que el tratamiento de los datos que se da es el adecuado o se ajusta a lo establecido a la legislación es decir a lo que establece la ley de protección de datos a lo que establece su norma de desarrollo y lo que aplica también el reglamento de la unión europea vale en los demás veis las diapositivas si no vale pues la habrá igual tienes que salir y volver a entrar porque tienes algún problemilla con tu ordenador entonces qué es lo que hacen los responsables y encargados bueno pues determinan las medidas técnicas y organizativas que consideran más apropiadas para para aplicar y para garantizar y acreditar que el tratamiento que se realiza de datos personales es el adecuado y es el que se ajusta a lo establecido en en la normativa vale para aplicar estas medidas esta serie de medidas tienen que tener en cuenta los mayores riesgos a los que se pueden encontrar en en diferentes en diferentes supuestos vale además van a tener que valorar si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa vale bueno que tienen que tener en cuenta a la hora de aplicar las medidas de tener en cuenta los riesgos que puede haber en determinados supuestos hay determinados supuestos en que puede haber un riesgo para esos datos personales en el tratamiento de esos datos personales qué supuestos son estos grupos por ejemplo estos se establecen en el artículo 28. 2 nos dice por ejemplo bueno pues cuando el tratamiento de los datos pueda generar situaciones por ejemplo de discriminación de usurpación de identidad o fraude de pérdidas financieras un daño para la reputación de una persona o de una empresa pérdida de confidencialidad de datos sujetos a su secreto profesional en cualquier otro perjuicio económico moral o social etc perjuicios de este tipo es decir que puedan generar situaciones de este tipo otros riesgos que pueden darse en el tratamiento de los datos bueno pues se puede llegar a privar a los afectados de sus derechos y libertades o se les puede impedir el ejercicio del control sobre sus datos personales vale otros riesgos que podemos encontrarnos que se realiza un tratamiento no meramente incidental o accesorio de las categorías especiales de datos o aquellos datos que están relacionados con la comisión de actos administrativos vale más riesgos pueda producirse que un tratamiento lo que haya lo que haga es evaluar aspectos personales de los afectados o utilice perfiles personales de los mismos sobre todo o en particular a aspectos referidos por ejemplo a su rendimiento en el trabajo a su situación económica a su salud a sus preferencias a su solvencia de financiera etcétera vale otros riesgos que pueden darse bueno pues que el tratamiento de datos se refiere a grupos de personas o de afectados que tienen especial una líbido vulnerabilidad sobre todo cuando hablamos de menores de edad y de personas con discapacidad vale cuando se produzca también un tratamiento masivo que implique a un gran número de afectados o conlleve la recogida de una gran cantidad de datos personales vale también cuando los datos personales fuesen a ser objeto de transferencia un carácter habitual a terceros estados y organizaciones internacionales vale y cualquier otro tipo de tratamiento que a juicio del responsable del encargado pudiera tener relevancia y en particular aquellos previstos sin códigos de conducta y estándares definidos vale es decir todos estos supuestos que he mencionado pues son situaciones en las que se puede poner en riesgo ese tratamiento de los datos personales de los individuos por tanto los responsables y los encargados del tratamiento a la hora de determinar cuáles son las medidas que se van a adoptar bueno pues van a tener que tener en cuenta bueno pues la posibilidad de que puedan darse algún tipo de esta situación en alguna situación de este tipo vale esto lo había entendido tienes alguna duda no bien en el artículo 29 nos habla de los supuestos de corresponsabilidad en el tratamiento de los datos vale lo que nos dice es que para poder determinar las responsabilidades en el caso de que se cometa algún tipo de irregularidad en el tratamiento de esos datos se tiene que hacer esa determinación de responsabilidad es la atribución de responsabilidades se va a tener en cuenta las actividades que afectan que efectivamente desarrolle cada uno de los corresponsables del tratamiento si hay dos corresponsables del tratamiento pues habrá que ver qué actividades ha realizado cada uno de ellos para poder depurar responsabilidades' es decir para poder determinar qué responsabilidades pertenecen a unos a uno oa un responso a uno de los de los corresponsables y qué responsabilidades tiene el otro el otro encargado vale por lo tanto se atiende a las actividades que cada uno de ellos está realizando vale en el artículo 30 nos habla de los representantes de los responsables o encargados del tratamiento que no están establecidos en la unión europea' vale cuando por ejemplo el reglamento de la unión europea se aplique a un a un responsable encargado del tratamiento que no está establecido en la unión europea' y el tratamiento o sea el tratamiento que se lleva a cabo este referido afectados en españa puede haber casos en los que aquí en el se realizó un tratamiento de datos que afecte a una persona que se encuentra en españa pero el responsable o encargado de ese tratamiento no esté establecido la unión europea pero en esos casos hay supuestos en los que se aplica el rodamiento de la de la unión europea vale entonces en estos casos la agencia de protección de datos o las autoridades autonómicas de protección de datos pueden imponer al representante de ese encargado de ese responsable solidariamente las medidas establecidas en el reglamento de la unión europea vale es decir aunque no esté establecido ese responsable se encarga del tratamiento número n la unión europea es el reglamento europeo así lo determina pues se le aplicarán las medidas que establece el reglamento vale no obstante esto va a ocurrir sin perjuicio de la responsabilidad que puede corresponder al responsable al encargado del tratamiento y del ejercicio por el representante de la repetición frente a quien proceda vale sí sí se exige quien puede imponer [Música] es decir la agencia de la pregunta que os ponen pleitos pongo aquí no quien puede imponer al representante vale pues va a ser la agencia española de protección de datos o en su caso las autoridades autonómicas de protección de actos serán los encargados de imponer a ese representante vale porque porque es el responsable o ése es el encargado del tratamiento no se encuentran europea por lo tanto si ese tratamiento de datos afecta a una persona que está en españa oa diferentes personas que están en españa pues es necesario que haya un representante cuál será la agencia de protección de datos o las agencias autonómicas las que se encarguen de imponer a un representante aquí en españa vale bien si es bueno por otra parte en caso de exigencia de responsabilidades y sencilla responsabilidad habrá una responsabilidad solidaria de responsables encargados y de representantes por los daños y perjuicios causados se tira de responsabilidad solidaria de estos tres órganos no de responsables de encargados y de los representantes que hayan podido ser designados de acuerdo entendido esto artículo 31 de registro de las actividades de tratamiento tanto los responsables como los encargados como los representantes que se puedan designar están obligados a mantener un registro de actividades del tratamiento vale esa es la regla general vale hay excepciones es la excepción del artículo 30 punto 5 del reglamento vale cuál es esta excepción bueno pues lo que nos dice el artículo 30. 5 del reglamento es que no será de aplicación o se exceptúa a empresas de menos de 250 personas a menos que el tratamiento pueda entrañar un riesgo para los derechos y libertades de los interesados no sea ocasional o incluya categorías especiales de datos o datos sobre infracciones penales vale dentro de este registro de actividades de tratamiento bueno pues se debe especificar cuáles son las finalidades las actividades de tratamiento y las demás circunstancias que están establecidas en el reglamento vale si por ejemplo se ha designado un delegado de protección de datos deberá comunicarse le cualquier adición modificación o exclusión en el contenido de registro es decir si dentro de ese registro se añade algo se modifica algo o se elimina algún tipo de contenido si el encargado o el responsable de tratamiento han designado a un delegado de protección de datos deberá comunicárselo vale y por último en este artículo nos dice que los sujetos establecidos en el artículo 77.
1 de esta ley tienen que hacer público un inventario de sus actividades de tratamiento que sea accesible por medios electrónicos es decir vamos a ver un poco cuáles son estos estos sujetos vale todos ellos están obligados a realizar un inventario de las actividades de tratamiento de datos que llevan a cabo cuáles son estos sujetos como decía pues los que se recogen en el artículo 77. 1 valiosos he puesto aquí por ejemplo los órganos constitucionales y puede ser por ejemplo el parlamento puede ser el gobierno vale y las instituciones de las comunidades autónomas análogas a los mismos órganos jurisdiccionales las bueno pues las diferentes administraciones públicas los organismos públicos y entidades de derecho público dependientes de las administraciones públicas autoridades administra administrativas independientes el banco de españa- corporaciones de derecho público fundaciones del sector público universidades públicas consorcios o grupos parlamentarios de las cortes y las asambleas legislativas autonómicas así como los grupos políticos de las corporaciones locales vale todos estos órganos que aquí he mencionado tienen que hacer un inventario vale con todas las actividades de tratamiento de datos que llevan a cabo y vestimentario va a poder ser accesible por medios electrónicos vale según establece el reglamento de acuerdo si hay alguna duda con esto no tenéis dudas bien artículo 32 bloqueo de datos el responsable del tratamiento está obligado a bloquear los datos cuando proceda a su rectificación o a su supresión que significa bloquear los datos en qué consiste ese bloqueo de los datos consiste en identificar y reservar los mismos adoptando medidas técnicas y organizativas para impedir su tratamiento incluyendo su visualización es decir que no puedan ser visualizados por nadie vale es decir se va mediante ese bloqueo de datos lo que se hace es impedir que se tratos a que se realice un tratamiento de los datos excepto al hay una excepción para la puesta a disposición de este tipo de datos a los jueces y tribunales el ministerio fiscal o las administraciones públicas competentes en particular de las autoridades de protección de datos para la exigencia de posibles responsabilidades derivadas del tratamiento y sólo por el plazo de prescripción de las mismas es decir cuando se realiza ese bloqueo de datos se pide por la general ese tratamiento pero hay excepciones puede ser que en un proceso judicial bueno pues un determinado juzgado bueno pues quiera conocer unos determinados datos pues eso sí que aunque se hayan sido bloqueados se va a permitir vale pero porque es una excepción también en el caso de las autoridades de protección de datos cuando quiera ver si hay responsabilidad derivada del tratamiento que se ha realizado con estos datos vale entonces regla general es esa no bloque de datos impidió el tratamiento se impide su visualización excepto estas excepciones vale una vez transcurrido el plazo deberá de procederse a la destrucción de los datos es decir primero se bloquea una vez rectificados o una vez suprimidos pero una vez que se ha transcurrido el plazo de prescripción tiene que procederse a la destrucción de los datos vale otra cuestión importante una vez que los datos han sido bloqueados no pueden ser tratados para una finalidad distinta de la señalada en el apartado anterior es decir los datos tienen una finalidad si no se utilizan para esa no se determina vale no en la ley orgánica no no se determina ese plazo ese plazo determinado de acuerdo bien más cuestiones si no es posible el bloqueo con el sistema de información o sea necesaria una adaptación desproporcionada es decir si por ejemplo ese responsable del tratamiento de los datos tiene un sistema de información que es muy anticuado que no permite ese bloqueo o que requiere que se haga una adaptación de ese sistema que requiere un coste muy desproporcionado pues debería realizar el bloqueo lo que se puede hacer es un copiado seguro de la información y que acredite la autenticidad la fecha de bloqueo y la no manipulación de los datos es decir es otra opción en el caso de que no pueda llevarse a cabo el cumplimiento de esta obligación es decir el cumplimiento del bloqueo de los datos por causas ajenas porque no se tiene el sistema adecuado o porque para poder llevar a cabo ese sistema se requiere es un gasto desproporcionado una adaptación desproporcionada pues se realizará como os digo ese copiado seguro de la información vale sí eso sí tiene que acreditarse que eso es auténtico la fecha en la que se han bloqueado los datos y también se tiene que acreditar que efectivamente no se han manipulado los datos durante durante ese tiempo vale bien en cuanto a la agencia española de protección de datos y las autoridades autonómicas de protección de datos dentro de sus competencias van a poder fijar excepciones a la obligación de bloqueo vale en qué casos bueno pues por ejemplo una vez que teniendo en cuenta la naturaleza de los datos por ejemplo los datos se refieren a un número muy elevado de personas y su conservación su bloqueo puede generar un riesgo elevado para los derechos de los afectados es decir son datos muy sensibles por ejemplo o afectan a un número elevado de afectados bueno pues se puede excepcionar o se puede haber una excepción a esta obligación de bloquear vale porque puede haber un riesgo para para los derechos de los afectados vale y también perdón en los casos en los que la conservación de los datos bloqueados pudieran implicar un coste desproporcionado para el responsable del tratamiento vale pero como veis la regla general es que se realice ese bloqueo de los datos y si no es posible técnicamente porque es muy desproporcionado lo que se hará será ese copiado seguro de la información de acuerdo si ha quedado claro vale en cuanto ya hemos visto el capítulo primero pasamos al capítulo segundo que nos habla de bueno del encargado del tratamiento en el artículo 33 nos dice que el acceso a datos personales que realice el encargado del tratamiento que sea necesario para prestar servicios al responsable no se considera como una comunicación de datos vale no se considera comunicaciones porque está dentro de pues de sus de sus de su cometido no siempre y cuando se cumpla la normativa es decir va a tener derecho a poder acceder a esos datos porque porque los va a utilizar con una finalidad para poder prestar servicios al responsable vale por lo tanto no se considera como una comunicación de datos vale quién tiene la consideración de responsable del tratamiento y no de encargado vale bien pues quien en su propio nombre y sin que conste que actúa por cuenta de otro establezca relaciones con los afectados aun cuando exista un contrato o un acto jurídico con el contenido fijado en el artículo 28. 3 del regla miento vale y también quien figurando como encargado utilizarse los datos para sus propias finalidades es decir actúan en su propio nombre no no actúan por cuenta de otro establecen relaciones con los afectados vale e incluso se considera responsable aquel que figura como encargado pero que utiliza los datos para sus propias finalidades es decir no para prestar servicios al responsable walesa esa es la diferencia vale el responsable del tratamiento va a determinar si cuando finalice la prestación de los servicios del encargado los datos tienen que ser destruidos devueltos al responsable o entregados en su caso a un nuevo encargado mal es decir los datos bueno pues son utilizados para un determinado fin vale una vez que se prestan estos servicios bueno pues el responsable del tratamiento va a determinar que tienen que hacerse con esos datos si tienen que destruirse si tienen que devolverse al exresponsable o si tienen que entregarse a un nuevo encargado el responsable no actúa por contra de otro exacto pero el encargado si vale el encargado del tratamiento podrá conservar debidamente bloqueados los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento es decir para depurar esas responsabilidades para ver qué responsabilidades puede tener ese encargado qué responsables puede tener el responsable de los datos vale qué ocurre en el ámbito del sector público cuando estamos hablando en la administración pública esas competencias que tienen los encargados del tratamiento se pueden atribuir a determinados órganos de las administraciones vale de las administraciones de la administración general del estado de la administración de las de las comunidades autónomas de las entidades que integran la administración local es decir dentro de la esto cuando hablamos normalmente de encargado y responsable del tratamiento pues hablamos más bien de empresas del ámbito privado pero esto también se aplica lógicamente al ámbito del sector público al ámbito de la administración pública por lo tanto en estos casos también tiene que haber encargados del tratamiento de los datos y estos encargados bueno pues van a ser los diferentes órganos de las administraciones públicas de acuerdo bien capítulo tercero nos habla del delegado de protección de datos el artículo 4 el artículo 34 en concreto nos habla de cómo se designa al delegado de protección de datos vale muchas empresas existen empleados que actúan como delegados de protección de datos es algo muy importante es algo que se le da mucha importancia hoy en día en el responsable del tratamiento es el que va a tener el francisco esos datos personales y luego al puede haber encargados del tratamiento que son los que van a prestar servicios a ese responsable vale y luego vamos a encontrar lo que son los delegados de protección de datos que van a ser designados por los responsables encargados del tratamiento vale en muchas ocasiones hay en pensar responsables del tratamiento que van almacenando información almacenando datos personales de la gente pues a veces ya sabéis que en internet en muchas ocasiones si nosotros damos nuestro consentimiento para que nuestros datos pues se encuentren en ficheros y esos datos se puedan utilizar por ejemplo para fines comerciales entonces va haber un responsable del tratamiento de esos datos luego puede haber encargados del tratamiento de esos datos vale entonces en cuanto a los delegados de protección de datos los responsables encargados del tratamiento deben designar un delegado de protección de datos obligatoriamente en los supuestos del artículo 37.
1 del reglamento y y en todo caso cuando se trate de determinadas entidades aparecen también artículos por ejemplo los colegios profesionales y sus consejos generales centros docentes que ofrezcan enseñanzas en cualquiera de los niveles entidades que exploten redes y presten servicios de comunicaciones electrónicas prestadores de servicios de la sociedad de información entidades relativas a la ordenación supervisión y solvencia de entidades de crédito establecimientos financieros de crédito entidades aseguradoras empresas de servicios de inversión distribuidores y comercializadores de energía eléctrica por ejemplo en entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial entidades que desarrollan la actividad de publicidad de prospección comercial centros sanitarios legalmente obligados al mantenimiento de las historias clínicas entidades que tengan como uno de sus objetos la emisión de informes comerciales operadores que desarrollen actividades de juego vale y las empresas de seguridad privada y federaciones deportivas cuando traten datos de menores de edad vale como veis es el número muy amplio de d bueno pues de entidades que están obligadas a designar un delegado de protección de datos en cada una de estas entidades debe haber una persona que se encarga de esto para velar que realmente se cumple con la normativa en materia de protección de datos vale aquí por ejemplo en master d de esta empresa existe una persona que es la delegada de protección de datos y se encarga de velar porque todos los datos que por ejemplo nosotros tenemos de nuestros alumnos datos personales se gestionen según lo establecido en la ley porque porque está dentro de estos de estas entidades nos habla por ejemplo de centros docentes que ofrezcan enseñanzas en cualquiera de los niveles vale por lo tanto estamos obligados a que haya un delegado de protección de datos si no es alguna estas entidades que os sea nombrado bueno pues se va a poder deberá designarse no también en los casos previstos del artículo 37. 1 del reglamento que ahora no les voy a enumerar porque nos podríamos pegar aquí un montón de rato pero que lo sepáis vale fuera de los casos que he mencionado ahora se puede designar de manera voluntaria un delegado de protección de datos nadie le impide se puede se puede designar vale el plazo para comunicar la designación de un nombramiento o un cese de un delegado de protección de datos es de de 10 días a quien se ha de comunicar se tiene que comunicar a la agencia española de protección de datos y en su caso a las autoridades autonómicas de protección de datos vale tanto la agencia española como las agencias autonómicas de protección de datos tienen que mantener una lista actualizada de los de los delegados de protección de datos que será accesible por medios electrónicos vale además tanto los responsables como los encargados pueden establecer la edificación completa oa tiempo parcial del delegado vale teniendo en cuenta pues una serie de criterios en función pues del número o el volumen de tratamientos que va a tener que realizar si los datos esos datos que tiene en su poder son de una especial categoría de datos de los riesgos que puede ver para los derechos de las personas etcétera vale por lo tanto esos delegados de datos pues pueden emplear pueden actuar o trabajar a tiempo completo oa tiempo a tiempo parcial es decir en una empresa podría una persona que tenga un determinado puesto de trabajo y que de manera parcial se dedique a ser delegado de protección de datos vale a eso a eso se refiere vale bien en la cualificación del delegado de protección de datos es decir a quien se va a poder elegir oa quién se va a poder designar como delegado de protección de datos vale tiene que cumplir una serie de requisitos según establece el reglamento para la designación del delegado de protección de datos sea una persona física o una persona jurídica podrá demostrarse a través de mecanismos voluntarios de certificación vale que se van a tener en cuenta en estos mecanismos bueno sobre todo principalmente que esa persona acredite bueno que tiene una titulación universitaria con conocimientos especializados especializados en el derecho a una titulación en derecho principalmente y la práctica tener una experiencia en materia de protección de datos estos serían los requisitos principales para para poder ser designado como delegado de protección de datos cuál es la posición del delegado de protección de datos qué es lo que va a hacer el de la protección de datos específicamente bueno pues va a ser el interlocutor del responsable encargado del tratamiento ante la agencia de protección de datos y las autoridades autónomas gas de protección de datos vale se encarga también de inspeccionar los procedimientos relacionados con todo este tratamiento de datos y en el caso de que esa persona física esté integrada dentro de una organización por ejemplo dentro de una empresa no podrá ser removido ni sancionado por el responsable del encargado por desempeñar sus funciones salvo que incurriera en dolo o de una negligencia grave en su ejercicio vale salvo dolo o negligencia grave si es el interlocutor el delegado es un interlocutor entre la agencia española protección de datos y los responsables encargados del tratamiento exijamos pues eso interlocutor el mediador vale cuando lleva a cabo sus funciones va a poder acceder a los datos personales lógicamente y a todos los procesos de tratamiento vale no pudiendo poner a este acceso al responsable el encargado el tratamiento en la existencia de cualquier deber de confidencialidad o secreto vale cuando por ejemplo el delegado aprecie que ha podido haber una vulneración importante en materia de protección de datos es decir una vulneración de la legislación en materia de protección de datos lo tiene que documentar man tendrá que hacer un informe en un documento y lo tiene que comunicar inmediatamente a los órganos de administración y dirección del responsable o el encargado del tratamiento de acuerdo así vale intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos vale aquí podemos encontrar dos casos vale puede ser que haya un delegado de protección de datos imaginaros dentro de una empresa no bueno pues en ese caso en el caso de que se hubiera designado a un delegado de protección de datos el afectado la persona afectada por un mal tratamiento de los datos va a poder antes de presentar reclamación dirigirse al delegado de protección de datos indicándole bueno pues que se ha vulnerado la normativa en materia de protección de datos vale qué es lo que va a hacer en este caso el delegado bueno pues tiene que comunicar la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación es decir es una vía vía previa a una reclamación en una reclamación más formal una reclamación ante la agencia española de protección de datos es primero puede dirigirse a ese lugar de protección de datos para comunicarle que se ha vulnerado lo relativo a algo de sus datos datos personales puede ocurrir por otra parte que el afectado directamente presente una reclamación ante la agencia española de protección de datos o ante las autoridades autonómicas en estos casos una vez que lo recibe lo recibe bien la agencia española o bien las autoridades autonómicas pueden remitir le al delegado de protección de datos para que responda en el plazo de un mes vale una vez transcurrido este plazo de un mes el delegado no hubiera comunicado a la autoridad una respuesta a esa reclamación de ese afectado por la autoridad continuará con el procedimiento que se establece en esta ley de protección de datos de acuerdo y bueno por último vamos a ver el capítulo cuarto el capítulo cuarto nos habla de los códigos de conducta y de certificación artículo 38 en concreto de los códigos de conducta vale los códigos de conducta pues van a ser vinculantes es decir van a ser obligatorios para todos aquellos que se adhieran para aquellos responsables o aquellos encargados del trauma de tratamiento que se adhieran a estos códigos de conducta estas reglas de conducta vale pueden dotarse de mecanismos de resolución extrajudicial de conflictos si puede haber responsables encargados de tratamiento que tengan un determinado código de conducta de conducta y en el caso de que se produzca se produzca una supuesta vulneración en el tratamiento de los datos pero pues puede poner se puede intentar hablar con ese afectado por ese tratamiento para llegar a una solución extrajudicial para no llegar a juicio vale quienes van a poder promover estos códigos bueno pues los pueden proponer asociaciones y organismos que se establecen en el artículo 40. 2 del reglamento por empresas o grupos de empresas y así como por los responsables encargados a los que se refiere el artículo 77.
