Test: RGPD — Seguridad del tratamiento y evaluación de impacto
Seguridad del tratamiento (art. 32), notificación de violaciones de seguridad a la autoridad (art. 33) y al interesado (art. 34), evaluación de impacto (art. 35) y consulta previa (art. 36) del RGPD.
Según el art. 32.1 del RGPD, el responsable y el encargado del tratamiento deben aplicar medidas técnicas y organizativas apropiadas para garantizar:
📖 Art. 32.1 RGPD
Explicación: El art. 32.1 exige aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes, la naturaleza, el alcance, el contexto y los fines del tratamiento.
El art. 32.1 del RGPD menciona, entre las medidas de seguridad, las siguientes:
📖 Art. 32.1 RGPD
Explicación: El art. 32.1 cita como medidas, entre otras, la seudonimización y el cifrado de los datos, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes, y la capacidad de restaurar la disponibilidad y el acceso tras un incidente.
Conforme al art. 33.1 del RGPD, en caso de violación de la seguridad de los datos, el responsable la notificará a la autoridad de control:
📖 Art. 33.1 RGPD
Explicación: El art. 33.1 obliga a notificar la violación de la seguridad a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar 72 horas después de que el responsable haya tenido constancia de ella.
Según el art. 33.1 del RGPD, si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas:
📖 Art. 33.1 RGPD
Explicación: El art. 33.1 dispone que, si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.
De acuerdo con el art. 33.1 del RGPD, la notificación de la violación a la autoridad NO será necesaria cuando:
📖 Art. 33.1 RGPD
Explicación: El art. 33.1 exime de notificación cuando sea improbable que la violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.
Según el art. 33.5 del RGPD, el responsable del tratamiento, respecto de cualquier violación de la seguridad:
📖 Art. 33.5 RGPD
Explicación: El art. 33.5 obliga al responsable a documentar cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas, lo que permitirá a la autoridad verificar el cumplimiento.
Conforme al art. 34.1 del RGPD, el responsable comunicará la violación de la seguridad al interesado cuando:
📖 Art. 34.1 RGPD
Explicación: El art. 34.1 exige que, cuando sea probable que la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable la comunique al interesado sin dilación indebida.
Según el art. 34.3 del RGPD, NO será necesaria la comunicación al interesado si, entre otros supuestos:
📖 Art. 34.3 RGPD
Explicación: El art. 34.3 exime de la comunicación al interesado si el responsable había adoptado medidas de protección apropiadas (como el cifrado) que hagan ininteligibles los datos, si ha tomado medidas que garanticen que ya no exista el alto riesgo, o si supone un esfuerzo desproporcionado (en cuyo caso se hará una comunicación pública).
De acuerdo con el art. 35.1 del RGPD, la evaluación de impacto relativa a la protección de datos debe realizarse:
📖 Art. 35.1 RGPD
Explicación: El art. 35.1 obliga al responsable a realizar, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, entrañe un alto riesgo para los derechos y libertades.
Según el art. 35.3 del RGPD, la evaluación de impacto se requerirá, en particular, en caso de:
📖 Art. 35.3 RGPD
Explicación: El art. 35.3 exige la evaluación de impacto, en particular, en la evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado (incluida la elaboración de perfiles), el tratamiento a gran escala de categorías especiales de datos o de condenas, y la observación sistemática a gran escala de una zona de acceso público.
Conforme al art. 35.2 del RGPD, al realizar la evaluación de impacto, el responsable:
📖 Art. 35.2 RGPD
Explicación: El art. 35.2 establece que el responsable recabará el asesoramiento del delegado de protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa a la protección de datos.
Según el art. 36.1 del RGPD, el responsable consultará a la autoridad de control antes del tratamiento cuando:
📖 Art. 36.1 RGPD
Explicación: El art. 36.1 obliga al responsable a consultar a la autoridad de control antes de proceder al tratamiento cuando una evaluación de impacto muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo.
Según el art. 32.2 del RGPD, al evaluar la adecuación del nivel de seguridad se tendrán especialmente en cuenta los riesgos derivados del tratamiento, en particular como consecuencia de:
Fuente: Art. 32.2 RGPD. El art. 32.2 dispone que al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
Conforme al art. 32.4 del RGPD, el responsable y el encargado tomarán medidas para garantizar que cualquier persona que actúe bajo su autoridad y tenga acceso a datos personales:
Fuente: Art. 32.4 RGPD. El art. 32.4 obliga al responsable y al encargado a tomar medidas para garantizar que cualquier persona que actúe bajo su autoridad y tenga acceso a datos personales solo los trate siguiendo instrucciones del responsable, salvo que esté obligada a ello por el Derecho de la Unión o de los Estados miembros.
Según el art. 33.2 del RGPD, cuando el encargado tenga conocimiento de una violación de la seguridad de los datos:
Fuente: Art. 33.2 RGPD. El art. 33.2 establece que el encargado del tratamiento notificará sin dilación indebida al responsable las violaciones de la seguridad de los datos personales de las que tenga conocimiento.
De acuerdo con el art. 33.3 del RGPD, la notificación de una violación a la autoridad de control deberá describir, entre otros extremos:
Fuente: Art. 33.3 RGPD. El art. 33.3 exige que la notificación describa la naturaleza de la violación (incluyendo, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados), los datos de contacto del delegado, las posibles consecuencias y las medidas adoptadas o propuestas para poner remedio a la violación.
Según el art. 33.4 del RGPD, si no es posible facilitar la información sobre la violación simultáneamente:
Fuente: Art. 33.4 RGPD. El art. 33.4 dispone que, si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.
Conforme al art. 34.2 del RGPD, la comunicación de una violación de seguridad al interesado deberá:
Fuente: Art. 34.2 RGPD. El art. 34.2 establece que la comunicación al interesado describirá con un lenguaje claro y sencillo la naturaleza de la violación de seguridad y contendrá como mínimo la información y las medidas a que se refieren las letras b), c) y d) del art. 33.3.
Según el art. 34.4 del RGPD, si el responsable no ha comunicado la violación al interesado, la autoridad de control podrá:
Fuente: Art. 34.4 RGPD. El art. 34.4 dispone que si el responsable todavía no ha comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o decidir que se cumple alguna de las condiciones del art. 34.3.
De acuerdo con el art. 35.4 del RGPD, la autoridad de control:
Fuente: Art. 35.4 RGPD. El art. 35.4 obliga a la autoridad de control a establecer y publicar una lista de los tipos de operaciones de tratamiento que requieren una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1, comunicándola al Comité Europeo de Protección de Datos.
Según el art. 35.7 del RGPD, la evaluación de impacto deberá incluir, como mínimo:
Fuente: Art. 35.7 RGPD. El art. 35.7 fija el contenido mínimo de la evaluación de impacto: una descripción sistemática de las operaciones de tratamiento previstas y de sus fines; una evaluación de la necesidad y proporcionalidad respecto de su finalidad; una evaluación de los riesgos para los derechos y libertades; y las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos.
Conforme al art. 35.9 del RGPD, cuando proceda, el responsable recabará la opinión sobre el tratamiento previsto de:
Fuente: Art. 35.9 RGPD. El art. 35.9 dispone que, cuando proceda, el responsable recabará la opinión de los interesados o de sus representantes en relación con el tratamiento previsto, sin perjuicio de la protección de intereses públicos o comerciales o de la seguridad de las operaciones de tratamiento.
Según el art. 35.11 del RGPD, el responsable revisará la evaluación de impacto:
Fuente: Art. 35.11 RGPD. El art. 35.11 establece que, en caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento.
De acuerdo con el art. 36.1 del RGPD, el responsable consultará a la autoridad de control antes de proceder al tratamiento cuando una evaluación de impacto muestre:
Fuente: Art. 36.1 RGPD. El art. 36.1 obliga al responsable a consultar a la autoridad de control antes de proceder al tratamiento cuando la evaluación de impacto del art. 35 muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo.
Según el art. 36.2 del RGPD, cuando la autoridad de control considere que el tratamiento previsto podría infringir el Reglamento, asesorará por escrito al responsable en un plazo máximo de:
Fuente: Art. 36.2 RGPD. El art. 36.2 establece que cuando la autoridad de control considere que el tratamiento previsto podría infringir el Reglamento, en un plazo de ocho semanas desde la solicitud de consulta asesorará por escrito al responsable y, en su caso, al encargado, plazo prorrogable seis semanas en función de la complejidad del tratamiento.