El reglamento general de protección de datos entró en vigor con la finalidad de establecer normas relativas a la protección de los datos de las personas físicas y la circulación de los datos, proteger los derechos y libertades fundamentales y la libre circulación de los datos personales en la Unión Europea. Nosotros, haciendo hincapié en el primer objetivo del RGPD, normativizar la protección de los datos, nos pondremos en la perspectiva del “responsable del tratamiento de datos”, sujeto que deberá hacerse cargo de aplicar las normas conforme al reglamento para establecer una seguridad adecuada en el tratamiento de los datos. En este documento, vamos a plasmar una serie de artículos que tratan sobre las medidas de protección de datos, y los sintetizaremos para saber qué medidas se deben contemplar en el tratamiento de datos.
¿Qué medidas debo llevar a cabo para realizar un tratamiento conforme al Reglamento?
La respuesta la encontraremos en cuatro artículos recogidos por el RGPD;
- Principios relativos al tratamiento (art 5 del RGPD)
Deberán aplicarse medidas técnicas u organizativas que no permitan el tratamiento no autorizado, la pérdida o destrucción de datos y el daño accidental. Obligando a que se mantenga una seguridad adecuada durante el tratamiento de datos.
- Responsabilidad del responsable del tratamiento (art 24 del RGPD)
Recae sobre el responsable aplicar medidas técnicas y organizativas apropiadas, también, revisar y analizar las medidas cada vez que sea necesario. Además, este artículo, especifica un tipo de medida; las políticas de protección de datos.
- Protección de datos desde el diseño y por defecto (art 25 del RGPD)
La aplicación de las medidas se podrá realizar “tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento”.
Las medidas podrán ser:
- Desde el diseño, como la seudonimización, medida técnica que se basa en cifrar información, que posteriormente necesitará una clave para descifrar.
- Por defecto , como la minimización de datos, se trata de una medida cuyo objetivo es trabajar con el mínimo en: recogida de datos, acceso a datos, conservación de los datos y la duración del tratamiento.
- Seguridad del tratamiento (art 32 del RGPD)
A continuación lista ciertas medidas técnicas y organizativas que servirán como ejemplo:
- La seudonimización y el cifrado de datos personales
- Capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
- Capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.
- Proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento
Destacar de este artículo, los elementos que permitirán hacer una evaluación sobre la aplicación de medidas de seguridad. Estos elementos serán: el estado de la técnica, el coste de la aplicación, la naturaleza, ámbito, contexto, fines del tratamiento y riesgos para los derechos y libertades de las personas físicas.
En definitiva, después de esta breve síntesis de los artículos relacionados con las medidas de seguridad llegaremos a cuatro puntos claves que deberemos cumplimentar como responsables del tratamiento de datos:
- Garantizar una seguridad adecuada.
- Una valoración con objeto de conocer las medidas apropiadas.
- Implantación de medidas técnicas y organizativas.
- Revisión de las medidas.
