Medidas de seguridad en el RGPD

Las medidas de seguridad en el RGPD no quedan listadas, aunque esta normativa exige su implementación. Así, las medidas de seguridad en el RGPD son clave, ya que se encargan de garantizar la confidencialidad de la información y evita que los titulares de los datos vean perjudicados sus derechos y libertades a causa de brechas de seguridad.

Aunque las medidas de seguridad en el RGPD no quedan reflejadas, en el artículo 32 se indican una serie de medidas obligatorias para la protección del tratamiento de los datos personales que deben establecerse como mínimo.

• La seudonimización y el cifrado de los datos personales.

   

• Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y los servicios de tratamiento.

   

• Tener la capacidad de restaurar la disponibilidad y el acceso a los datos personales lo más rápidamente que sea posible, tras sufrir un incidente físico o técnico.

   

• Establecer un proceso de verificación, evaluación y valoración periódico de la efectividad de las medidas de seguridad.

Asimismo, las medidas de seguridad en el RGPD deben tener en cuenta cuatro conceptos básicos para la protección de datos personales. El primero es la confidencialidad. La información solo debe ser accesible a aquellas personas o sistemas autorizados. El segundo concepto a tener en cuenta respecto a las medidas de seguridad listadas en el RGPD es la integridad. Es la garantía de que la información, en este caso los datos personales, no serán manipulados, modificados o alterados.

Otro de los aspectos de las medidas de seguridad en el RGPD es la disponibilidad. Esta es la capacidad de poder acceder a los datos en cualquier momento que sea necesario, siempre que se esté autorizado para ello. Por último, y en cuanto a medidas de seguridad en el RGPD, estas deben tener en cuenta la residencia. Esta es la capacidad del sistema de información de seguir funcionando incluso cuando es objeto de problemas o incidencias. 

Niveles de medidas de seguridad en el RGPD

Una vez presentadas cuáles son las mínimas medidas de seguridad expuestas en el RGPD, señalar que se distinguen tres niveles. El primer nivel de medidas de seguridad en el RGPD es el básico. Este incluye nombre, apellidos, número de teléfono, DNI, etc. El segundo incluye los datos relativos a la solvencia patrimonial y crédito, currículums, sanciones administrativas, etc. Finalmente, en el nivel alto se sitúan los datos relativos a la salud, afiliación social, ideología, origen racial o étnico, etc.

Hacer hincapié en las medidas de seguridad de nivel alto en el RGPD. En esta categoría se incluyen categorías especiales de datos especialmente protegidos. A su vez, y en cuanto a las medidas de seguridad de nivel alto presentadas en el RGPD, este nivel se aplica en datos que se hayan recabado con una finalidad policial sin el consentimiento de los afectados. También, aquella información derivada de casos de violencia de género.

Los niveles en las medidas de seguridad en el RGPD se ordenan por prioridad con el objetivo de garantizar que se ponga especial énfasis en los datos que puedan suponer un mayor riesgo para los derechos y las libertades de los usuarios. Se debe indicar que no se debe olvidar la protección de la información básica como es el caso de los datos identificativos.

Derechos RGPD: Nuevas obligaciones introducidas

El deber de informar del RGPD

Uno de los principales objetivos del RGPD es garantizar la protección de datos personales. Para esto se otorgan derechos del RGPD. Mediante estos derechos el RGPD asegura a los interesados que se pueden tener la seguridad que sus datos no están siendo utilizados de manera incorrecta para fines que no sean el objetivo legítimo del propósito para el que se proporcionaron originalmente.

Entre las nuevas obligaciones que introdujo el RGPD, se encuentra el deber de informar a los interesados de todo lo relacionado con la recogida y tratamiento de sus datos personales. Pero, ¿en qué consiste el deber de informar del RGPD y cómo debe llevarse a cabo? El deber de informar del RGPD queda recogido en los artículos 13 y 14. Así consiste en dar a los interesados toda la información relativa a la recogida y al tratamiento de sus datos. 

El deber de informar del RGPD indica que toda la información se debe suministrar a los interesados cuando se recogen y tratan sus datos personales, cuando los datos los suministran ellos o cuando se obtienen por otra vía. Además, para cumplir con el deber de informar del RGPD, la información se debe suministrar de forma concisa a través de un lenguaje claro y sencillo.  Se deben evitar tecnicismos, ambigüedades y, en la medida de lo posible, se debe facilitar la información mediante un documento o enlace que lleve a ella.

Así, no cumplir con el deber de informar del RGPD es motivo de sanción.

Infracciones leves por no cumplir con el deber de informar del RGPD. No cumplir con el principio de transparencia de la información y el derecho de la información del interesado por no facilitar la información exigida en los artículos 13 y 14 del RGPD. La sanción puede llegar a alcanzar los 40.000 euros.

Infracciones muy graves por no cumplir con el deber de informar del RGPD. Exigir el pago de un canon para la información al interesado a la que se refieren los artículos 13 y 14 del RGPD. La sanción ronda los 300.000 y 20 millones de euros.

RGPD: Cámaras seguridad

¿Qué dice el RGPD sobre cámaras de seguridad y videovigilancia?

RGPD y cámaras de seguridad. La videovigilancia es una de las áreas de protección de datos que implica más riesgos para la privacidad. Se debe partir de la base que la imagen de una persona identificada o identificable es un dato personal, cuyo tratamiento está sujeto al RGPD. Por tanto, al tratarse de la recogida de datos personales, el RGPD trata cámaras de seguridad como aspectos a tener en cuenta respecto a los datos personales y la seguridad.

• Como la videovigilancia es un tratamiento de datos personales, con base en los artículos 13 y 14 del RGPD, se debe informar al interesado de dicho tratamiento.

   

• Esta información debe ser visible, con base en el artículo 12 del RGPD, mediante un dispositivo informativo en un lugar suficientemente visible.

   

• Tal y como recoge el artículo 22.1 de la LOPDGDD, la videovigilancia la puede llevar a cabo personas físicas o jurídicas, públicas o privadas, con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones.

   

• En el artículo 5, el RGPD recoge el principio de limitación de la finalidad, donde se dispone que los datos personales son recogidos con fines determinados, explícitos y legítimos y que no serán tratados posteriormente de manera incompatible con dichos fines.

   

• El plazo de conservación de imágenes es de máximo un mes. Pasado este plazo, se mantendrán bloqueadas solo para aquellos supuestos en que se deba acreditar la comisión de actos contra la integridad tanto de personas como bienes o instalaciones.

   

• La responsabilidad proactiva es una de las obligaciones del responsable del tratamiento para asegurar los principios del tratamiento. Consiste en la capacidad del responsable de proporcionar y demostrar evidencias de dicho cumplimiento.

Tal y como se ha comentado en la lista de puntos que deben tenerse para el correcto y adecuado tratamiento por parte del RGPD de cámaras de seguridad es que esta información debe ser visible mediante un dispositivo informativo en un lugar suficientemente visible. Es decir, para que se produzca un correcto tratamiento de la protección de datos, se debe colocar un cartel amarillo de zona videovigilada. Asimismo, este debe ser fácilmente visible, con el símbolo de la cámara correspondiente, informando a todos los que ingresan que cumplen RGPD las cámaras de seguridad.

Pero, ¿cómo se deben colocar según el RGPD las cámaras de seguridad y los monitores de videovigilancia? Para cumplir con el principio de minimización del artículo 5 del RGPD, se debe limitar el número de cámaras a las que permitan realizar la función de videovigilancia y los monitores no deben estar expuestos al público, solo pueden tener acceso las personas encargadas de controlar los equipos. Además, la instalación de cámaras de videovigilancia es un tema delicado, ya que se debe distinguir entre la vía pública y los espacios privados. Así, para que cumplan con el RGPD las cámaras de seguridad se diferencia entre:

RGPD y cámaras de seguridad en espacios públicos. En la vía pública únicamente los cuerpos de seguridad (Cuerpo Nacional de Policía, Guardia Civil o policías locales) pueden colocar uno de estos aparatos. También, las instituciones públicas, como los ayuntamientos, pueden instalarlas en algunos casos, pero solamente para regular el “tráfico” en situaciones muy concretas.

RGPD y cámaras de seguridad en propiedades privadas. En el caso de las empresas privadas, estas pueden instalar cámaras de videovigilancia dentro de sus locales, pero deben cumplir con ciertos requisitos. Por un lado, el primer requisito es que deben poner carteles para señalizar que ese establecimiento está controlado por cámaras. Por otro lado, el segundo requisito es que deben tener toda la información relativa a esas grabaciones para el usuario que lo solicite.