| Informe | 2018-0021 |
| Enlace | 📋 |
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) se centra en evaluar la conformidad del proyecto europeo MINDb4ACT con la normativa de protección de datos personales. El proyecto, financiado por el programa Horizonte 2020 de la Unión Europea, tiene como objetivo mejorar las políticas contra la violencia extremista en los países participantes.
Resumen del Informe
Aplicación de la Normativa:
El informe destaca la transición entre la normativa anterior (Directiva 95/46/CE y Ley Orgánica 15/1999) y el nuevo Reglamento General de Protección de Datos (RGPD) a partir del 25 de mayo de 2018.
Se subraya la necesidad de cumplir con las obligaciones establecidas en ambas normativas según la fecha de ejecución del proyecto.
Definición de Datos Personales:
Se explica que los datos personales incluyen cualquier información relativa a personas identificadas o identificables, como datos identificativos, profesionales, de imagen, voz, ideología, localización, direcciones IP, etc.
Se menciona que las direcciones IP son consideradas datos personales, tal como lo establece el RGPD.
Tratamiento de Datos:
Se define el tratamiento de datos como cualquier operación realizada sobre datos personales, incluyendo recogida, conservación, modificación, comunicación, etc.
Se enfatiza que la recogida de datos no es el único tratamiento relevante, sino que otras operaciones también están sujetas a la normativa de protección de datos.
Anonimización y Seudonimización:
Se diferencia entre anonimización (proceso irreversible que impide la identificación) y seudonimización (proceso reversible que reduce la vinculabilidad de los datos con la identidad del interesado).
Se señala que la seudonimización no excluye la aplicación de la normativa de protección de datos, ya que los datos pueden ser reidentificados.
Responsables y Encargados del Tratamiento:
Se define al responsable del tratamiento como la entidad que determina los fines y medios del tratamiento, y al encargado del tratamiento como aquella que realiza el tratamiento por cuenta del responsable.
Se detallan las obligaciones de ambos, incluyendo la necesidad de notificar la creación de ficheros (antes del RGPD) y mantener registros de actividades de tratamiento (RGPD).
Consentimiento de los Interesados:
Se exige el consentimiento libre, inequívoco, específico e informado de las personas cuyos datos se recaben.
Se detallan los requisitos de información que deben proporcionarse a los interesados, tanto bajo la Ley Orgánica 15/1999 como bajo el RGPD.
Medidas de Seguridad:
Se destacan las obligaciones de adoptar medidas de seguridad adecuadas para proteger los datos personales, tanto bajo la normativa anterior como bajo el RGPD.
Se menciona la obligación de notificar violaciones de seguridad a la autoridad de control (AEPD) en el caso del RGPD.
Cesión de Datos:
Se explica que la comunicación de datos a terceros constituye una cesión que requiere el consentimiento del interesado, salvo que el tercero actúe como encargado del tratamiento.
Se detallan los requisitos para que un tercero pueda actuar como encargado del tratamiento, incluyendo la necesidad de un contrato escrito que establezca las condiciones del tratamiento.
Principios de Calidad de los Datos:
Se subrayan los principios de finalidad, proporcionalidad y conservación de los datos, destacando que los datos solo pueden recabarse y tratarse para fines específicos y durante el tiempo necesario.
Tratamiento de Datos de Menores y Datos Especiales:
Se señalan las especiales protecciones para los datos de menores de edad y las categorías especiales de datos (ideología, religión, salud, vida sexual, etc.), requiriendo consentimiento explícito o por escrito según el caso.
Se menciona la necesidad de realizar evaluaciones de impacto en la protección de datos cuando el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas.
Uso de Datos de Redes Sociales e Internet:
Se indica que la recogida de datos de redes sociales e internet constituye un tratamiento de datos que debe estar legitimado y que la anonimización debe ser efectiva para excluir la aplicación de la normativa de protección de datos.
En conclusión, el informe de la AEPD proporciona una guía detallada sobre cómo el proyecto MINDb4ACT debe ajustarse a la normativa de protección de datos, tanto bajo la legislación anterior como bajo el RGPD, asegurando que los tratamientos de datos sean conformes con los principios de protección de datos y los derechos de los interesados.