La Agencia Española de Protección de Datos (“AEPD”) ha publicado dos nuevas guías y directrices, elaboradas en colaboración con las autoridades catalana y vasca de protección de datos, con objeto de facilitar a las pequeñas y medianas empresas el cumplimiento del Reglamento General de Protección de Datos (“RGPD”), que, recordemos, comenzará a aplicarse a partir del 25 de mayo de 2018.
Los materiales publicados son los siguientes:
- Guía del RGPD para responsables del tratamiento. Esta guía repasa los principios y obligaciones establecidos en el RGPD para las pymes, incidiendo en las diferencias que presentan frente a la normativa actual. Asimismo, incluye una lista de verificación en forma de preguntas que deberían formularse los sujetos obligados de cara a saber si están en situación de afrontar y cumplir el RGPD.
- Guía para el cumplimiento del deber de informar. Esta guía recoge mejores prácticas para cumplir la obligación de informar a los interesados del tratamiento de sus datos personales, incluida la forma en que debe darse esta información que deben seguir las pymes. A este respecto, la AEPD recomienda que la información se presente por capas (algo que resultará familiar a los titulares de sitios web que utilicen cookies); una primera capa incluiría información básica y resumida sobre el tratamiento, y la información más detallada quedaría reservada para una segunda capa. A ello hay que añadir que la Comisión Europea está trabajando para presentar una propuesta de iconos estandarizados.
- Directrices para la elaboración de contratos entre responsables y encargados del tratamiento. Este documento responde a cuestiones generales acerca de la figura del encargado del tratamiento a la luz del RGPD y los términos y condiciones que debe recoger el contrato a suscribir entre responsables y encargados de las pymes. Se incluye como anexo un ejemplo de cláusulas contractuales para el supuesto de que el encargado trate los datos exclusivamente en sus propios locales y sistemas. Entre las cuestiones que se resuelven en este documento, cabe destacar que la AEPD interpreta que la obligación que establece el RGPD de informar a los interesados sobre “los destinatarios o las categorías de destinatarios de los datos personales” no abarca a aquellos destinatarios que sean encargados del tratamiento, si bien considera que, según el caso, puede ser aconsejable facilitar esa información por razones de transparencia. Esta misma recomendación figura también en la guía para el cumplimiento del deber de información.
Aunque estas publicaciones se dirigen a pequeñas y medianas empresas, los criterios y recomendaciones manifestados por la AEPD son útiles para cualquier empresa que trate datos personales con independencia de su tamaño y, por lo tanto, deberían tenerse en cuenta en la adaptación al RGPD.
La nota de prensa publicada por la AEPD puede leerse aquí.
Sergio Sanfulgencio, Marta Serrano y Alejandro Negro
Fuente: Cuatrecasas, Gonçalves Pereira
Source
