| Informe | 2017-0325 |
| Enlace | 📋 |
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) se centra en la conformidad del proyecto europeo MINDb4ACT con la normativa de protección de datos personales. El proyecto, financiado por el programa Horizonte 2020 de la Unión Europea, tiene como objetivo mejorar las políticas contra la violencia extremista en los países participantes.
Resumen del Informe
Aplicación de la Normativa
El informe destaca que la normativa aplicable varía según la fecha de ejecución del proyecto. Hasta el 25 de mayo de 2018, se aplicaba la Directiva 95/46/CE y la Ley Orgánica 15/1999 de España. A partir de esa fecha, se aplica el Reglamento General de Protección de Datos (RGPD) (UE) 2016/679.
Definición de Datos Personales
Se explica que los datos personales incluyen cualquier información sobre una persona física identificada o identificable. Esto abarca datos identificativos, profesionales, de imagen y voz, así como datos relativos a ideas políticas, religiosas, conclusiones sobre ideología o personalidad, y datos de localización como direcciones IP.
Tratamiento de Datos
El tratamiento de datos personales incluye cualquier operación realizada sobre ellos, como recogida, grabación, conservación, elaboración, modificación, bloqueo, cancelación, cesión, comunicación, consulta, utilización, interconexión, limitación, supresión o destrucción.
Anonimización y Seudonimización
El informe aclara la diferencia entre anonimización y seudonimización. La anonimización implica la disociación irreversible de los datos, mientras que la seudonimización permite la reidentificación mediante información adicional. La normativa de protección de datos no se aplica a los datos anonimizados, pero sí a los seudonimizados.
Responsables y Encargados del Tratamiento
Responsable del tratamiento: La entidad que determina los fines y medios del tratamiento de datos.
Encargado del tratamiento: La entidad que trata datos personales por cuenta del responsable.
Obligaciones del Responsable
Registro de actividades de tratamiento: Obligatorio a partir del 25 de mayo de 2018, salvo excepciones.
Consentimiento: Debe ser libre, inequívoco, específico e informado. A partir del 25 de mayo de 2018, el RGPD exige mayores exigencias de información.
Medidas de seguridad: Deben adoptarse medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos.
Notificación de violaciones de seguridad: Obligatoria a partir del 25 de mayo de 2018.
Cesión de Datos
La comunicación de datos a terceros se considera una cesión y requiere el consentimiento del interesado, salvo que el tercero actúe como encargado del tratamiento.
Principios de Calidad de los Datos
Principio de finalidad: Los datos no pueden usarse para finalidades distintas a las inicialmente previstas.
Principio de proporcionalidad: Solo deben recabarse los datos necesarios para la finalidad del tratamiento.
Principio de conservación: Los datos deben cancelarse cuando dejen de ser necesarios.
Tratamiento de Datos de Menores y Categorías Especiales
Menores de edad: Se requiere el consentimiento de los padres o tutores para el tratamiento de datos de menores de 14 años.
Categorías especiales de datos: Datos relativos a la ideología, religión, salud, vida sexual, etc., requieren consentimiento explícito.
Evaluación de Impacto
El RGPD exige una evaluación de impacto cuando el tratamiento de datos entrañe un alto riesgo para los derechos y libertades de las personas físicas, especialmente en casos de tratamiento automatizado, evaluación sistemática de aspectos personales, o tratamiento a gran escala de categorías especiales de datos.
Datos Recabados de Redes Sociales e Internet
El informe señala que la recogida de datos de redes sociales e internet constituye un tratamiento de datos que debe estar legitimado y que la anonimización debe ser completa para excluir la aplicación de la normativa de protección de datos.
Conclusión
El informe subraya la importancia de ajustar los tratamientos de datos del proyecto MINDb4ACT a la normativa de protección de datos aplicable, tanto antes como después del 25 de mayo de 2018. Se destacan las obligaciones específicas en relación con el consentimiento, las medidas de seguridad, la cesión de datos, y la evaluación de impacto, así como las particularidades en el tratamiento de datos de menores y categorías especiales de datos.