# 2. REGLAMENTO (UE) 2016/679 - Protección, tratamiento y libre circulación de datos personales de las personas físicas.

An episode of [OPOSITAR ES DE VALIENTES por Paco Barbié](https://invisiblenetwork.ai/podcast/1644594301), 21 Oct 2023, 13 min.

Audio: https://traffic.megaphone.fm/APO6837933481.mp3

REGLAMENTO (UE) 2016/679 - Protección, tratamiento y libre circulación de datos personales de las personas físicas. Aquí el vídeo de la explicación en YOUTUBE

## Transcript

[0:00] Muy buenas, vamos con el segundo vídeo del Reglamento V 2016 679
[0:05] del Parlamento Europeo y del Consejo de 27 de abril, relativo
[0:09] a la protección de las personas físicas en lo que respecta al
[0:12] tratamiento de datos personales y a la libre circulación de
[0:14] estos datos. Como estamos en el segundo
[0:16] vídeo, vamos directamente al capítulo cuatro que nos va a
[0:19] hablar del responsable del tratamiento y del encargado.
[0:21] ¿Nos acordamos de ellos, qué vamos a ver?
[0:23] Artículos 24 a 43, un mix de lo que nos interesa, quedándonos
[0:28] con lo importante. ¿Por dónde empezamos?
[0:30] Pues por el responsable del tratamiento.
[0:32] ¿Te acuerdas de su definición? Cómo era persona física o
[0:35] jurídica, autoridad pública, servicio u otro organismo que
[0:38] solo conjunto con otros determina los fines y los medios
[0:42] del procedimiento. ¿Ahora que nos hemos acordado de
[0:45] quién era el responsable? Vamos con unos detalles que lo
[0:48] vamos a coger de distintos párrafos de distintos artículos,
[0:52] criterios específicos para el nombramiento del responsable,
[0:54] pues podrá establecerlos el derecho de la Unión o el derecho
[0:58] de los Estados miembros. Cada responsable va a llevar un
[1:02] registro de las actividades de tratamiento efectuadas bajo su
[1:05] responsabilidad, como una libretica con todo lo que va
[1:08] haciendo, cada responsable lleva un registro propio de
[1:11] actividades efectuadas bajo su responsabilidad.
[1:14] Esas actividades llevarán aplicadas unas medidas técnicas
[1:18] y organizativas apropiadas a fin de garantizar y además, poder
[1:21] demostrar que el tratamiento que está haciendo los datos
[1:25] personales que están bajo su responsabilidad es conforme a lo
[1:28] que dice el presente Reglamento. Y esas medidas que va a estar
[1:31] aplicando técnicas y organizativas tienen que ser
[1:34] revisadas y actualizadas cuando sea necesario.
[1:39] El responsable también va a elegir únicamente a un encargado
[1:43] que ofrezca las garantías suficientes para aplicar esas
[1:46] medidas técnicas y organizativas apropiadas, garantizando en todo
[1:51] momento el derecho de los interesados.
[1:55] Y si queréis algo más como figura, tenemos a los
[1:58] corresponsables del tratamiento, que es cuando 2 o más
[2:01] responsables determinan conjuntamente los objetivos y
[2:05] los medios del tratamiento, pues con esto ya tenemos una
[2:09] fotografía o un cuadro del responsable del tratamiento.
[2:14] ¿Y a quién le tocaría ahora? ¿Pues al encargado del
[2:17] tratamiento definición, te acuerdas?
[2:19] Te la cuento persona física o jurídica, autoridad pública,
[2:23] servicio u otro organismo que trate datos personales por
[2:27] cuenta del responsable. Del tratamiento.
[2:30] Una cosa, ya empezamos con los detalles.
[2:33] El encargado del tratamiento no recurrirá a otro encargado de
[2:36] encargado encargado no puede sin la autorización previa ya por
[2:41] escrito, sin autorización previa por escrito, ya se ha
[2:43] especificado general del responsable.
[2:45] O sea, que el encargado de encargado, no sin autorización
[2:48] por escrito específica o general de responsable.
[2:52] Además, el encargado del tratamiento y cualquier persona
[2:54] que actúe bajo la autoridad tanto del responsable como del
[2:58] encargado, y que tenga acceso a datos personales.
[3:01] Sólo podrá tratar esos datos siguiendo instrucciones del
[3:04] responsable, a no ser que estén obligados por el derecho a la
[3:09] Unión o por el derecho de los Estados miembros y el encargado,
[3:13] al igual que el responsable, llevará un registro de todas las
[3:18] actividades de tratamiento efectuadas por cuenta del
[3:20] responsable. Que esto es curioso, el
[3:22] responsable lleva un registro de las actividades realizadas por
[3:25] el por sí mismo bajo su responsabilidad, y el encargado
[3:29] también lleva un registro de las actividades de tratamiento
[3:31] efectuadas por el responsable. ¿Qué más tenemos?
[3:35] Pues que el este registro, además de actividades, se pondrá
[3:40] a disposición de la autoridad control cuando esta lo solicite.
[3:43] ¿Y quién es la autoridad de control?
[3:45] Pues luego te lo digo al final. Como detalle regulado en el
[3:50] artículo 35 del del Reglamento, las obligaciones de registro de
[3:55] las actividades que tienen tanto el responsable como el encargado
[3:57] no se van a aplicar a ninguna empresa ni organización que
[4:01] emplee a menos de 250 personas. Y esto lo vamos a marcar como
[4:05] posible pregunta esa examen, esas obligaciones de registro de
[4:08] actividades del responsable del encargado no se van a aplicar a
[4:10] empresas que empleen o que tengan a menos de 250 personas,
[4:14] salvo que pueda entrañar un riesgo para los derechos y
[4:17] libertades de los interesados. Bien, pues aquí tendríamos
[4:21] también la fotografía del encargado del tratamiento para
[4:25] aclararnos un poco, si quieres, te doy la definición que viene
[4:30] en la propia web de la Comisión Europea sobre el responsable y
[4:32] sobre el encargado y nos da un ejemplo más que definición, nos
[4:35] da un ejemplo, nos dice que hay una cervecería que tiene muchos
[4:39] empleados. Esta cervecería firma un
[4:42] contrato con una empresa de nóminas para poder pagar los
[4:45] salarios. ¿La cervecería, indica la
[4:49] empresa de nóminas cuándo tienen que pagárse las nóminas?
[4:52] ¿Cuándo un empleado se va de la empresa?
[4:55] O si tiene un aumento de sueldo y le proporciona además todo el
[4:59] resto de información que le hace falta a la empresa de nóminas
[5:02] para el pago y lo y los datos, ya está la empresa de nóminas
[5:07] proporciona el sistema informático y conserva además
[5:12] los datos de los empleados, pues, según el ejemplo que
[5:16] viene, dice que la cervecería como tal es el responsable del
[5:20] tratamiento y la empresa de nóminas es la encargada del
[5:24] tratamiento. ¿Te ha quedado Claro?
[5:28] Cervecería como responsable por la original y por la
[5:31] contratación y la empresa de nóminas como encargada del
[5:34] tratamiento a la que le pasas los datos para que efectúe unas
[5:37] actividades avanzando un poco tenemos al delegado de
[5:41] protección de datos que, como ya dijimos en el vídeo anterior, es
[5:44] designado por el responsable y por el encargado del
[5:46] tratamiento, atendiendo a las cualidades profesionales y en
[5:49] particular a los conocimientos que tiene que tener sobre
[5:51] derecho sobre protección de datos y sobre capacidad para
[5:54] desempeñar las funciones que viene regular en el artículo 39
[5:57] que veremos ahora después. ¿Una pregunta, cuándo vamos a
[6:00] designar sí o sí a un delegado de protección de datos en 3
[6:04] causas? Pues lo vamos a hacer cuando el
[6:06] tratamiento lo lleve a cabo una autoridad, un organismo público,
[6:09] cuando el tratamiento consista en operaciones que requieran una
[6:12] observancia habitual y sistemática de los interesados a
[6:15] gran escala o cuando el tratamiento sea a gran escala de
[6:19] categorías especiales de datos personales y de datos relativos
[6:22] a condenas e infracciones penales.
[6:24] Ahí tenemos sí o sí un delegado de protección de datos.
[6:28] Vamos un poco más el responsable y el encargado del tratamiento
[6:31] van a publicar los datos de contacto, el de elevado de
[6:33] protección de datos y también lo van a comunicar a la Autoridad
[6:37] de control. El responsable y encargado van a
[6:40] garantizar que el delegado de protección participe de forma
[6:43] adecuada y en tiempo en todas las cuestiones relativas a la
[6:46] protección de datos. Van a respaldarlo en el
[6:49] desempeño de sus funciones, van a garantizar que no reciba
[6:52] ninguna instrucción, que no respete al desempeño de esas
[6:54] funciones. Ni el responsable ni el
[6:58] encargado van a poder destituir ni sancionar al delegado por
[7:02] desempeñar sus funciones y en delegado va a rendir cuenta
[7:04] directamente al más alto nivel jerárquico del responsable y del
[7:07] encargado. Además, el delegado también está
[7:10] obligado a mantener secreto y confidencialidad en sus
[7:13] funciones. Pero cuidado que puede
[7:15] desempeñar otras funciones y cometidos siempre y cuando no dé
[7:18] lugar a conflicto de intereses. ¿Y esto es todo lo que tiene el
[7:21] Delegado de protección de datos o no?
[7:24] ¿Qué nos falta del delegado de protección de datos?
[7:27] Una cosa que además es pregunta de examen, sus funciones, qué
[7:31] funciones tiene el delegado de protección de datos 5.
[7:35] Informar y asesorar al responsable y encargado del
[7:37] tratamiento, supervisar el cumplimiento del tratamiento,
[7:40] ofrecer asesoramiento, cooperar con la Autoridad de Control y
[7:43] actuar como punto de contacto de la Autoridad de Control para
[7:46] cuestiones relativas al tratamiento, incluida la
[7:48] consulta previa. Pues ahora sí, ahora sí tenemos
[7:52] al delegado de protección de datos, o sea que hemos visto al
[7:54] responsable, hemos visto al encargado y hemos visto al
[7:57] delegado de protección de datos. Pero tengo que decirte que
[8:01] todavía nos queda un par de cositas para terminar con el
[8:03] vídeo, ya lo siento. La primera de ellas es la
[8:07] evaluación de impacto relativo a la protección de datos y su
[8:10] consulta, que nos dice que esto va como un cuadro aparte.
[8:14] Si un tratamiento de datos en particular, si se usan nuevas
[8:17] tecnologías y puede entrañar ese tratamiento usado con nuevas
[8:21] tecnologías, pueden tener un alto riesgo para los derechos de
[8:23] las personas físicas, derechos y libertades de las personas
[8:26] físicas. En lo que respecta a sus datos
[8:28] personales. El responsable antes del
[8:31] tratamiento, realizará una evaluación de impacto sobre esa
[8:34] protección de datos con esa evaluación de impacto podrá
[8:38] podrá hacer una consulta previa del tratamiento a la autoridad
[8:42] de control. A ver qué ocurre con ella para
[8:45] que esta autoridad asesore por escrito al responsable, si el
[8:51] tratamiento que va a hacer infringe lo lo que viene
[8:55] estipulado en el Reglamento y si se ha identificado o mitigado el
[8:59] riesgo que puede hacer el responsable del tratamiento.
[9:02] Bien, o sea, que el responsable del tratamiento, cuando se van a
[9:04] utilizar nuevas tecnologías, tiene que comprobar si hay un
[9:07] impacto y pueden una puede saltarse lo que viene a
[9:10] estipular en el Reglamento o puede haber un fallo de
[9:13] seguridad para los datos personales.
[9:16] Con ello, hecha la consulta hecha la suite a la Autoridad de
[9:19] control, la Autoridad de control debe contestar, asesorar, debe
[9:22] asesorar al responsable en un plazo de 8 semanas, prorrogable
[9:28] por 6 semanas más en caso de complejidad.
[9:30] Y esta era la primera cosa que os quería comentar.
[9:33] La otra viene con la seguridad de los datos personales cuando
[9:37] hay una violación de los datos personales, cuando hay una
[9:39] violación de los mismos, vale, y aquí hay 2 vías de comunicación,
[9:43] una que va hacia los interesados, que es comunicarle
[9:46] de forma lo más rápida posible de lo que ha ocurrido y la otra
[9:50] vía es la comunicación a la autoridad de control, que aquí
[9:52] es donde puede estar también la pregunta de examen, el
[9:55] responsable del tratamiento otra vez notificará a la Autoridad de
[9:59] Control sin dilación indebida y a más tardar 72 horas después de
[10:04] que haya tenido constancia la violación de los datos.
[10:06] Bien, esa es la pregunta de examen sin dilación, sabe una
[10:09] vibración de datos el responsable sin dilación debida
[10:12] y en un plazo máximo de 72 a más tardar 72 horas si no lo hacen
[10:17] esas 72 horas, pues tendrá, cuando lo haga, deberá ir
[10:21] acompañado de un informe y los motivos de la tardanza.
[10:23] Y si en el momento que hace la comunicación Autoridad de
[10:26] Control tampoco es posible facilitar toda la información de
[10:29] lo que ha ocurrido con la violación de datos y cómo
[10:32] entonces la información se irá mandando de forma gradual, sin
[10:36] dilación de vida, conforme se vaya conociendo.
[10:38] Bien, pues ya teníamos los 2 puntos que quería que quería
[10:42] hablar, pero me queda ya perdón, una cosita más.
[10:45] ¿Hemos estado hablando en varias ocasiones y durante este vídeo
[10:48] de la autoridad de control, pero qué es eso de la Autoridad de
[10:53] Control? Pues en nuestro caso la
[10:55] Autoridad de control es la Agencia Española de Protección
[10:58] de Datos que según el artículo 51, que entiendo que no entra,
[11:02] pero por si acaso lo vamos a ver, dice que cada Estado
[11:06] miembro va a establecer quién va a ser responsable.
[11:10] De supervisar la aplicación del tratamiento.
[11:13] ¿Quién va a ser responsable? Pues va a ser la autoridad de
[11:16] control. Pueden ser una o varias, vale
[11:18] con el fin vamos a tener esa autoridad de control con el fin
[11:21] de proteger los derechos y libertades fundamentales de las
[11:23] personas físicas. En lo que respecta al
[11:25] tratamiento y a la libre circulación de los datos
[11:27] personales. ¿Por eso, en nuestro caso,
[11:29] cuando hablamos de autoridad de control, hablamos de la Agencia
[11:32] Española de Protección de Datos y ahora sí, ya se acabó, no?
[11:38] ¿Resumen y recogemos qué hemos visto en este vídeo?
[11:41] Hemos visto al responsable, hemos visto al encargado, hemos
[11:44] visto al delegado de protección de datos, hemos visto la
[11:46] evaluación de impacto y su consulta previa cuando hay un
[11:48] alto riesgo en el tratamiento de datos de nuevas tecnologías,
[11:51] esas 8 semanas prorrogables. Por 6 semanas más y el
[11:55] asesoramiento va por escrito por parte de la Autoridad de
[11:57] Control, y también hemos visto la violación de la seguridad de
[12:00] otras personas que se comunica a la Autoridad de Control a la
[12:02] Agencia Española de Protección de Datos en un plazo de 72 horas
[12:05] y también a los interesados. Pues vale, ahora sí, apaga y
[12:09] vámonos. Gracias.
[12:11] Gracias por todo, por aguantarme, porque este sé que
[12:13] es un tema difícil, nos vemos dentro de poquito.
[12:17] En otro vídeo, el podcast y el resumen ya está preparado y ya
[12:22] está hasta otra. Manera.

Shows are listed from Apple Podcasts' charts and directory, and Podcast Index where it is used. Every show and episode belongs to its publisher and plays from the publisher's own feed; this site hosts none of them.