Documentación de Protección de Datos

Fecha de la última actualización: 30 de junio de 2021

INTRODUCCIÓN DE BIENVENIDA

Personas, bienvenidas a mi área privada de ciberseguridad y protección de datos. Soy Pablo Fdez. Burgueño, docente y abogado. A través de esta página os ofrezco una selección de recursos útiles para seguir estudiando y descubrir novedades sobre derecho europeo y español en esta materia.

Si estás estudiando en uno de mis cursos de protección de datos, pulsa aquí: Sección privada del curso.

Te recomiendo visitar este texto legal: mi política de privacidad y cookies.

Índice de la página

Guías y documentos de ayuda
1. Autoridades de control
2. Normativa general y normativa por sectores
3. Guías sobre RGPD y sobre IoT, Cloud, reconocimiento de huellas…
4. Consultas a la AEPD
5. Sentencias de interés y resoluciones AEPD
6. Recursos legales y técnicos
  1. Normativa de ciberseguridad
  2. Políticas de seguridad para la PYME
  3. Cómo certificar el envío de un email
  4. Contraseñas
  5. Antivirus
  6. Herramientas sencillas de cifrado
  7. Certificado y firma electrónica
  8. Herramientas gratuitas de ciberseguridad
  9. Manuales y formación en ciberseguridad
Plantillas editables, modelos y textos de ejemplo
Temario completo (formato desplegable)
Acrónimos

Más vídeos de interés ↕

1.- Guías y Documentos de ayuda

⚠ Cuidado al usar estos documentos: los documentos publicados por la AEPD, por otras agencias o por el WP29 con anterioridad al 25 de mayo de 2018 solo deben sirvir para tomar ideas y saber interpretar mejor el RGPD para proteger a las personas a través del correcto tratamiento de datos de carácter personal. Para evitar cargarlos en mi web o tener que indicar las fechas he puesto enlaces externos a los mismos, alojados en servidores de terceros, en los que las fechas están visibles. En relación con las respuestas a consultas, están a vuestra disposición desde esta página web, con indicación del origen y su fecha.

– ¿Puedo redifundir los documentos de la AEPD a través de pablofb.com?

Consulta (ver registro de entrada)
Respuesta de la AEPD, de 27 de septiembre de 2018.

1.- Autoridades de control

A.- AC Españolas

Agencia Española de Protección de Datos
- Viaje a través del tiempo: Web de la AEPD a 24 de mayo de 2018
Autoritat Catalana de Protecció de Dades – Agencia de Protección de Datos de Cataluña
Datuak Babesteko Euskal Bulegoa – Agencia de Protección de Datos del País Vasco
Consejo de Transparencia y Protección de Datos de Andalucía

B.- AC de otros países de la Unión

Data Protection Authorities (GT29) [inglés]

2.- Normativa general y normativa por sectores

1.- Códigos de normativa

Estos enlaces solo llevan a algunos textos normativos y otros documentos de refuerzo.

2.- Protección de Datos – General

A.- Normativa europea:

Reglamento General de Protección de datos – versión consolidada

Fechas de interés sobre el RGPD:

27/01/2012: Propuesta, por la Comisión Europea
04/05/2016: Publicación en el Diario Oficial
24/05/2016: Entrada en vigor
23/05/2018: Corrección de errores
25/05/2016: Plenos efectos directos

B.- Normativa española:

Constitución Española (CE), en especial los arts. 18 y 20.
LO 3/2018 (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales o LOPDGDD).
- Sentencia TC que declara nulo el apartado 1 del art. 58 bis de la Ley Orgánica 5/1985 incorporado a esta por la disposición final tercera, apartado dos, de la Ley Orgánica 3/2018 (nota de prensa y descarga de stc.).
- Histórico de la LOPDGDD:
  - 26 nov 2018 – El Senado aprueba el Proyecto LOPDGDD de 23 oct 2018 (ver procedimiento)
  - 26 oct 2018 – Proyecto LOPDGDD (Aprobación por el Pleno)
  - 24 oct 2018 – Proyecto LOPDGDD
  - 23 oct 2018 – Proyecto LOPDGDD
  - 17 oct 2018 – Proyecto LOPDGDD
  - 09 oct 2018 – Proyecto LOPDGDD
  - 18 abr 2018 – Proyecto LOPDGDD
  - 24 nov 2017 – Proyecto LOPDGDD
- LOPD 15/1999: Derogada, salvo por lo indicado en la disposición derogatoria única de la LOPDGDD.
- RLOPD 1720/2007: Derogada en todo lo que contradiga, se oponga o resulte incompatible con lo dispuesto en el RGPD y en la LOPDGDD.
- Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales.

D.- Material de interés

Guidelines 05/2020 on consent under Regulation 2016/679 (ver pdf), del Comité Europeo de Protección de Datos [solo en inglés]
[Edición 2018] Manual de legislación europea en materia de protección de datos
El Libro Blanco del DPO, por ISMS Forum Spain
Crossover entre el RGPD y la LOPDGDD, por F. Javier Sempere.
Crossover entre la LOPDGDD de España y la norma local de Portugal, por Abanlex

3.- Protección de Datos – Sectorial:

La práctica totalidad del tejido empresarial español está formado por empresas de menos de 250 empleados, con una importante presencia en el sector servicios y menor en los otros tres: agrario, industria y construcción. Más información en el Portal PYME, del Ministerio de Industria.

Estas son las normas y recomendaciones de la AC de protección de datos que considero de mayor interés para estos sectores.

A.- Administración Pública

Reglamento (UE) 2018/1725: regula la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos.
Ley 23/2011 de depósito legal (art. 8): La Biblioteca Nacional podrá conservar copias de los sitios web que considere.
Reglamento eIDAS: REGLAMENTO (UE) No 910/2014 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE
Ley 19/2013 de transparencia (arts. 5 y 15): Establece la obligación para las administraciones públicas de publicar sus registros de actividad y determina la forma de entregar documentos en los que consten datos personales.
Orden INT/3215/2010, del conductor habitual y del arrendatario a largo plazo: Exige la firma del conductor para su inscripción en el Registro de Vehículos.

B.- Bio y sanitario

COVID-19
- Real Decreto-ley 6/2020, de 10 de marzo, por el que se adoptan determinadas medidas urgentes en el ámbito económico y para la protección de la salud pública: «los periodos de aislamiento o contagio de las personas trabajadoras como consecuencia del virus COVID-19 tendrán la consideración de situación asimilada a accidente de trabajo»
- Real Decreto 664/1997, de 12 de mayo, sobre la protección de los trabajadores contra los riesgos relacionados con la exposición a agentes biológicos durante el trabajo.
  - Criterio Orientativo 102/2020 sobre medidas y actuaciones de la Inspección de Trabajo y Seguridad Social relativas a situaciones derivadas del nuevo Coronavirus (SARS-CoV-2), de la Dirección del Organismo Estatal Inspección de Trabajo y Seguridad Social: Se aplica el RD 664/1997 (sobre la protección de los trabajadores contra los riesgos relacionados con la exposición a agentes biológicos durante el trabajo) a unas u otras empresas en función de la situación de riesgo de contagio de COVID-19 (agente biológico del Grupo II del Anexo II del citado RD) en la que se encuentren sus trabajadores, para lo cual aporta un elenco de actividades empresariales (coincidente con el que se encuentra en el Anexo I del citado RD), que deja abierto para que pueda ser completado por lo que indique el SVS a la empresa, caso por caso, puesto por puesto.
- Informe 17/2020 sobre los tratamientos de datos en relación con el COVID-19. AEPD
  - Nota de prensa sobre el Informe 17/2020
  - [FAQ] Preguntas frecuentes sobre tratamientos de datos en relación con el COVID-1
  - Comunicado de la AEPD sobre la información acerca de tener anticuerpos de la COVID-19 para la oferta y búsqueda de empleo
  - Temperatura:
    - España. AEPD – Comunicado de la AEPD en relación con la toma de temperatura por parte de comercios, centros de trabajo y otros establecimientos
      - Cataluña. APDCAT – Dictamen en relació amb la consulta d’una empresa pública sobre la mesura de prevenció de riscos laborals consistent en la presa de temperatura a treballadors propis i externs de l’entitat amb motiu de la Covid19 («La decisión de implementar una medida de prevención, como podría ser el control de la temperatura de los trabajadores previamente a su acceso al centro detrabajo, corresponde al servicio de prevención de riesgos laborales de la empresa, previa evaluación de los factores de riesgo que pueden afectar a los trabajadores»; «la implementación de la medida por la entidad, siempre de conformidad con el criterio adoptado por su servicio de prevención de riesgos laborales […] no requeriría que previamente haya sido establecida como obligatoria por parte de las autoridades sanitarias»; «el establecimiento de esta medida respecto trabajadores externos a la entidad debería llevarla a cabo el servicio de prevención de la empresa a la que pertenecen»).
    - Francia. CNIL – Coronavirus (COVID-19) : les rappels de la CNIL sur la collecte de données personnelles par les employeurs
    - Holanda. Autoriteit Persoonsgegevens – Bekijk binnen het onderwerp Temperaturen tijdens corona
    - República Checa. The Office for Personal Data Protection – Měření teploty při vstupu na pracoviště v době koronavirové pandemie
    - Reino Unido. ICO – Workplace testing – guidance for employers
    - Austria. Österreichische Datenschutzbehörde – FAQ zum Thema Datenschutz und Coronavirus (COVID-19)
    - Finlandia. Office of the Data Protection Ombudsman – Frequently asked questions on data protection and the coronavirus
    - Italia. Garante per la protezione dei dati personali – FAQ – Trattamento dati nel contesto sanitario nell’ambito dell’emergenza sanitaria
    - Luxemburgo. Commission Nationale pour la Protection des Données – Coronavirus (COVID-19): Recommandations de la CNPD relatives à la collecte de données personnelles dans un contexte de crise sanitaire
    - Polonia. The Bureau of the Inspector General for the Protection of Personal Data – GIODO – Sprawdzanie temperatury w celu zapobiegania rozprzestrzeniania się COVID-19
    - Portugal. Comissão Nacional de Protecção de Dados – CNPD – Orientações sobre recolha de dados de saúde dos trabalhadores | RESPOSTADA CNPD AOREQUERIMENTO19/XIV(1.ª) EI
    - Suecia. Datainspektionen – Coronaviruset och personuppgifter
- Documentos de interés:
  - Guía de buenas prácticas para el uso de termómetros de radiación y cámaras termográficas, publicada por el Ministerio de Industria
  - Listado oficial de documentos técnicos para profesionales, por Ministerio de Sanidad de España
  - Statement on the processing of personal data in the context of the COVID-19 (PDF) [solo en inglés], por EDPB / CEPD
  - Procedimiento de actuación para los servicios de prevención de riesgos laborales frente a la exposición al SARS-CoV-2, por Ministerio de Sanidad de España
  - Guía de actuación frente a COVID-19 en los profesionales sanitarios y socio-sanitarios, por Ministerio de Sanidad de España
  - Directrices de buenas prácticas en el sector industrial en relación al Covid-19, por Instituto Nacional de Seguridad y Salud en el Trabajo del Ministerio de Trabajo de España
  - Guía de buenas prácticas en los centros de trabajo, por Ministerio de Sanidad de España
  - Guía sobre la protección de datos personales en el ámbito de la prevención de riesgos laborales, por CROEM
  - Control de la temperatura del trabajador: opinión sobre el comunicado de la AEPD, por Xavier Rivas
  - Normativa sobre el ozono como biocida para la eliminación del Covid-19, por Cosemar Ozono
  - FAQs sobre Temperatura & COVID-19 para empresas. ¿La toma de temperatura es un tratamiento de datos personales?, por PabloFB
Guía para pacientes y usuarios de la Sanidad. AEPD
Ley 41/2002 de la autonomía del paciente (arts. 8 a 19): Establece las condiciones genéricas para la obtención del consentimiento, debiendo constar por escrito en determinadas circunstancias. La documentación clínica debe conservarse por, al menos, 5 años. Es una ley básica dado que son las Comunidades Autónomas las que deben adoptar medidas para su efectividad.
Ley Orgánica 3/2013 contra el dopaje (arts. 15, 16, 54 y 63): Establece criterios para que el personal médico habilitado realice controles a los deportistas en horario, salvo excepciones, de 6h a 23h. Los clubes y entidades deportivas mantendrán un libro registrado en la Agencia Española de Protección de la Salud en el Deporte, con consideración de documento sanitario, con los tratamientos prescritos. Se habilita a los sujetos para realizar ciertas cesiones de datos.
Ley 33/2011 General de Salud Pública (art. 7): Respeto a la dignidad sobre las personas que participen en actuaciones de salud pública.
Ley Orgánica 2/2010 de interrupción del embarazo (arts. 20 y 21): Exige el cifrado de los datos y su custodia separada de los de carácter clínico, debiendo cancelarse aquellos, de oficio y salvo excepciones, a los 5 años.
Ley 54/2007, de adopción internacional (art. 13): Permite determinadas transferencias internacionales de datos personales.
Ley Orgánica 10/2007 sobre el ADN: Establece normas para la obtención, gestión y custodia de bases de datos de ADN, a las que se deberán aplicar los más altos estándares de seguridad.
Instrucción AEPD 0038/2021 sobre acceso a la historia clínica. El promotor es responsable el tratamiento de los datos para la finalidad de realización de los ensayos clínicos con medicamentos. Monitorizar estos ensayos es una obligación legal, cuyo tratamiento puede delegar a un monitor.
Sentencias:
- Stc TSJ de C. Valenciana, (Sala de lo Social, Sección 1ª) 2335/2020 de 22 junio (AS 2020\2050): la toma de temperatura de los trabajadores puede considerarse incluida entre las funciones propias atribuidas a los vigilantes de seguridad
Archivo de actuaciones:
- E/03884/2020: La AEPD considera excluido del ámbito de aplicación del RGPD el tratamiento de datos de salud realizado por personal de Cruz Roja en Metro Bilbao consistente en la siguiente medida disuasoria de toma de temperatura de los usuarios de la red en los túneles: usuarios al azar pasan por delante de unas cámaras termográficas conectadas a una red privada local que toman su temperatura y se la muestran, en tiempo real, a profesionales de Cruz Roja, quienes podrán informar en privado a al interesado sobre su temperatura y darle la recomendación que corresponda en cada caso sobre la oportunidad de regresar a su casa o continuar su camino, sin llegar a conocer su identidad. Este tratamiento, totalmente desvinculado de registros y cámaras de videovigilancia, no permite, en ningún caso, que Cruz Roja o Metro Bilbao puedan identificar unívocamente a ninguna persona física.
- E/03882/2020: La AEPD considera excluido del ámbito de aplicación del RGPD el tratamiento de datos de salud realizado por El Corte Inglés (ECI) consistente en la siguiente medida disuasoria de toma de temperatura de los empleados y los clientes en las entradas de sus locales: unas cámaras termográficas conectadas a una red privada local toman la temperatura del conjunto de personas que acceden, de forma que estas imágenes sean mostradas, en tiempo real, en monitores solo a disposición de los vigilantes de seguridad. Estos vigilantes, de empresas externas contratadas por ECI, escucharán un sonido cuando fuera a acceder una persona cuya temperatura exceda de una cifra prefijada. Según las circunstancias y atendiendo a que podría vulnerar la privacidad de las personas, el vigilante podrá informar del hecho a la persona o denegar su entrada, sin llegar a conocer su identidad. Este tratamiento, totalmente desvinculado con registros y cámaras de videovigilancia, no permite, en ningún caso, que la empresa pueda identificar unívocamente a ninguna persona física.

C.- Comunicación, marketing y prensa

Directiva 2000/31/CE sobre el comercio electrónico: Regula determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior
- Transposición – Ley 34/2002 (LSSI). Incluye:
  - Información a mostrar en una web profesional (art. 10)
  - Responsabilidades por estar en Internet (arts. 13 a 17 LSSI)
  - Cómo enviar e-mails comerciales (arts. 19 a 22.1 LSSI)
    - Opción 1: con consentimiento expreso (art.21.1 LSSI) sobre los sectores de actividad sobre los que se enviará publi (art. 45 RLPOD). Las listas de exclusión publicitaria (Lista Robinson) no son aplicables, por existir un consentimiento expreso y por ser la LSSI una norma especial que prevé un sistema particular de oposición (gratuito, sencillo y electrónico) de obligatoria inclusión en cada envío, además del derecho de oposición tradicional del RGPD. El Tribunal Supremo (TS) ha confirmado, a través de su Sentencia 188/2022, una multa de 40.000 euros impuesta a una empresa que no estableció un sistema de verificación de emails consistente en, por ejemplo, un link de confirmación enviado a la dirección de email recogida para que su titular pueda confirmar que ese es efectivamente su email y realmente desea contratar (incluso a coste cero) el servicio de suscripción al boletín de novedades u otro servicio https://www.poderjudicial.es/search/AN/openDocument/bbb5f3256ed28cb7/20220225
    - Opción 2: sin consentimiento (art. 21.2 LSSI, bajo el art. 6.f RGPD y el Informe 0195/2017 AEPD), solo sobre productos o servicios propios (no de empresas del Grupo) que sean similares, según apreciación del cliente, a los que este previamente adquirió, con independencia de si la relación contractual está o no en vigor. Las listas de exclusión publicitaria (Lista Robinson) no son aplicables, por ser la LSSI una norma especial que prevé un sistema particular de oposición (gratuito, sencillo y electrónico) de obligatoria inclusión en cada envío, además del derecho de oposición tradicional del RGPD. Dato de interés: La STS 4399/2020 recuerda que es obligatorio informar al cliente expresamente sobre este tratamiento y, en línea con la Resolución AEPD E/01423/2020, ofrecerle la oportunidad de oponerse incluso antes de que el tratamiento haya comenzado, además de tratar el dato solo mientras exista expectativa razonable por parte del receptor de las comunicaciones (Dictamen 06/2004 GT29, Informe 0195/2017 AEPD y Considerando 47 RGPD).
  - Ley de Cookies (art. 22.2 LSSI)
  - Cómo vender a través de Internet (art. 23 y 24 LSSI)
RGPD (Considerando 50): «Las operaciones de tratamiento ulterior con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos deben considerarse operaciones de tratamiento lícitas compatibles».
RLOPD (arts. 45 a 51 en lo que no contradigan al RGPD): Cómo obtener autorización y tratar los datos para actividades de publicidad y prospección comercial, incluso por vía electrónica.
Ley de Competencia Desleal (art. 29): Derecho de oposición en la propia llamada comercial, sin necesidad de usar otras vías.
- PS/00258/2020 Multa de 12.000 euros a una empresa que, a través de un agente comercial externo, realizó llamadas no consentidas a una persona que se había opuesto verbalmente y cuyos datos estaban incluidos en Lista Robinson.
Ley de Prensa: Cómo publicar noticias por los periodistas y cuál es el alcance de su deber de secreto.
Ley Orgánica sobre la rectificación periodística: Cómo publicar una réplica en un medio de comunicación.
Ley Orgánica sobre honor, intimidad y propia imagen: Cómo hacer fotos en eventos; y cómo reaccionar ante opiniones de usuarios.
Ley de Consumidores y Usuarios: Cómo vender a través de Internet.

2.3.- Guías sobre RGPD y sobre IoT, Cloud, reconocimiento de huellas...

Antes de continuar, quizá quieras consultar la Guía para el ciudadano (AEPD), de tipo introductorio, en relación con los derechos que tiene el usuario frente a quienes tratan sus datos; y la página de fundamentos de la protección de datos que he elaborado para facilitar un primer acceso a la normativa.

A.- Guía para el responsable del tratamiento

Quién es responsable y quién es encargado (GT29)
Responsable del Tratamiento – Guía para el responsable de tratamientos de datos personales (AEPD): Esta guía explica las principales obligaciones del responsable del tratamiento.
Informe Jurídico 0494/2008 AEPD: «cada una de las empresas que integran el grupo será responsable del fichero de datos de sus correspondientes empleados»
STS 3896/2004, de 5 de junio de 2004: Diferencia entre las figuras de responsable del tratamiento y responsable del fichero, conforme a la derogada LOPD pero aplicable conceptualmente a determinados casos RGPD.

B.- Análisis de Riesgos y Evaluación de Impacto sobre la Protección de Datos

C.- Transparencia, legitimidad y consentimiento

D.- Contratos de Encargado del Tratamiento

Directrices para la elaboración de contratos entre responsables y encargados del tratamiento (AEPD): Incluye un modelo de CET que puedes pasar a .docx.

E.- Transferencias internacionales

Directrices sobre las excepciones del artículo 49 del Reglamento 2016/679 (CEPD) [inglés]: Explica el alcance y la forma de las excepciones que permiten transferencias internacionales de datos.
Guía acerca del Escudo de Privacidad UE – EE. UU. (AEPD): Explica detalles de interés sobre el acuerdo entre la Unión Europea y los Estados Unidos.

F.- Normativa sobre cookies, pixels, fingerprints y otros rastreadores

Guía sobre el uso de Cookies 2020 (ver nota de prensa)
- Para acceder a la segunda capa de cookies, que puede estar en la política de privacidad, tendrá que existir un enlace que lleve a ella desde la primera capa (3.2.1.3.b Guía de Cookies). Por ejemplo, mediante un sistema de anclas.
- Para que el consentimiento sea válido, es necesario… «que la aceptación de los términos o condiciones de uso de la página web o servicio se separe de la aceptación de la política de privacidad o cookies» (3.2.1.f Guía de Cookies).
[NO USAR] Guía de Cookies 2019 AEPD (ver Guía pre-RGPD de Cookies AEPD) [AVISO: La Guía de Cookies de 2019 de la AEPD es contraria al RGPD en numeroso aspectos, según los documentos que se indican a continuación, de Comisión Europea, del Comité Europeo de Protección de Datos y de otras autoridades europeas, por lo que se debe extremar la precaución en su uso]
- Respuesta de Comisión Europea (contraria a la Guía de cookies de la AEPD): «continued browsing, clicking and scrolling the page does not suffice for consent: the user needs to actively accept the cookies» (continuar navegando, hacer clic y hacer scroll en la página no son consentimientos suficientes: el usuario necesita aceptar activamente las cookies).
- Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 (también en versión en inglés), por el Comité Europeo de Protección de Datos
Informes AEPD:
- Qué hay que poner en el banner de cookies y en la segunda capa.
- Sí, también las universidades tienen que cumplir la Ley de Cookies
- Se requiere un consentimiento (revocable) expreso separado al de suscripción para usar tracking pixels en campañas de e-mail marketing (Informe 11/2014 AEPD) [ver copia]
Informes CNIL
- Las cookies para producir datos estadísticos anónimos no requieren consentimiento
Sentencia TJUE sobre cookies – Asunto C-673/17 (nota de prensa) – «La información que el proveedor de servicios debe facilitar al usuario incluye el tiempo durante el cual las cookies estarán activas y la posibilidad de que terceros tengan acceso a ellas«.
Informes y publicaciones de agencias de protección de datos no españolas:
- What if our users change their minds about cookies? (ICO): El banner de cookies debe poder volver a desplegarse. «You should therefore ensure that your consent mechanism has the technical capability to allow users to withdraw their consent with the same ease that they gave it, otherwise it will not be compliant with the UK GDPR’s consent requirements«.
- Informe CNIL (Agencia francesa) sobre cookies, de 18 de julio de 2019 (traducción automática al español): «la pratique qui consiste à bloquer l’accès à un site web ou à une application mobile pour qui ne consent pas à être suivi ( cookie walls ) n’est pas conforme au RGPD» (La práctica consistente en bloquear el acceso a un sitio web o a una aplicación móvil por no aceptar ser rastreado (cookie walls) no es conforme al RGPD).
Sobre corresponsabilidad en el tratamiento:
- Por extracción de datos a través de widgets y botones: Stc. TJUE C-40/17 – Fashion ID
- Por extracción de datos a través de la página o el usuario de empresa en redes sociales: Stc. TJUE C-210/16 – Wirtschaftsakademie Schleswig-Holstein
- [ Ejemplo práctico: ver adenda a la política de protección de datos de FB]
Algunas resoluciones de interés (AEPD):
- PS/00024/2021: ABANCA. AEPD recuerda que determinados dispositivos que sirven para maquetar espacios publicitarios tienen consideración de técnicos y pueden usarse sin consentimiento.
- PS/00032/2020 (copia de seguridad): IBERIA (30.000 €) – El banner usaba la frase «ofrecerle la mejor experiencia de navegación», solo ofrecía los botones «aceptar» y «configuración de cookies», pero ninguno para rechazarlas todas, y la información ampliada no indicaba qué cookies son de terceros o cuál es su periodo de conservación.
- PS/00299/2019: TWITTER SPAIN, S.L. (30.000 €)
- PS/00127/2019: IKEA IBERICA, S.A.U. (10.000 €)
- E/02076/2020: La LSSI no es de aplicación a las Administraciones Públicas
Otros textos de interés:
- Guía italiana de cookies: para volver a pedir consentimiento deben haber transcurrido al menos seis (6) meses.
- CEPD / EDPB – Guidelines 8/2020 on the targeting of social media users
- IAB – GDPR Guidance: Legitimate Interests Assessments (LIA) forma Digital Advertising
- 2019: Rastreadores analíticos: fingerprinting, pixels, cookies…
- 2017: Qué plugin para WordPress funciona para cumplir la Ley de Cookies
- 2014: Cómo hacer una auditoría de cookies
- 2012: Cómo cumplir la ley de cookies

G.- Documentación de protección de datos sobre nuevas tecnologías

➔ Recomendación: Área AEPD sobre Protección de Datos y Nuevas Tecnologías

IA (Inteligencia Artificial): Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial. Una introducción.
- White Paper on Artificial Intelligence (2020)
- Resolución del Parlamento Europeo, de 16 de febrero de 2017, con recomendaciones destinadas a la Comisión sobre normas de Derecho civil sobre robótica
IoT (Internet de las Cosas): Opinión sobre el Internet de las Cosas (GT29)
Big Data (Grandes cantidades de datos dispares provenientes de fuentes diversas): Código de buenas prácticas en protección de datos para proyectos big data (AEPD)
Cloud (Nube o servidores ajenos):
Smartphones (teléfonos inteligentes):
Red Social: Informe 0184/2013 de la AEPD sobre la aplicación de la antigua LOPD 15/1999 a la creación de una red social, con mención expresa al bloqueo de datos
Cifrado o criptografía:
- Orientaciones y garantías en los procedimientos de anonimización de datos personales (AEPD)
- Guía sobre el Reglamento General de Protección de Datos (Abanlex-ESET)
Anonimización y seudonimización:
- K-Anonimidad como medida de la privacidad (AEPD)
- Introducción al hash como técnica de seudonimización de datos personales (AEPD)
- Dictamen 05/2014 sobre técnicas de anonimización (Article 29 Working Party)
Fingerprinting y tracking pixels:
- Se requiere un consentimiento (revocable) expreso separado al de suscripción para usar tracking pixels en campañas de e-mail marketing (Informe 11/2014 AEPD) [ver copia]
Reconocimiento facial, de huellas dactilares y otros datos biométricos:
- Guidelines on Facial Recognition, por el Comité del Convenio de Protección de Datos, conocido como Convenio 108.
- 14 equívocos con relación a la identificación y autenticación biométrica (Junio 2020 AEPD)
- Control de acceso al comedor por huella dactilar (Informe 0065/2015 AEPD)
- Fingerprinting o huella digital del dispositivo (Estudio AEPD)
- Biométrie sur les lieux de travail : publication d’un règlement type (CNIL)
WiFi:
- Captación de códigos IMSI con fines de mercadotecnia (Informe 0017/2019 AEPD)

H.- Brechas de seguridad

I.- Autoridades de control y multas administrativas

J.- Miscelánea de normas y documentación de interés

Repositorios de documentos:

Vídeos de la 10ª Sesión Abierta AEPD sobre el RGPD (canal AEPD):

2.4.- Consultas a la AEPD y Preguntas frecuentes (FAQ)

1.- Consultas AEPD

Durante estos años he presentado, por iniciativa propia o en representación de terceros, consultas a la AEPD. Muchas veces a los responsables nos les basta con que una norma imponga una obligación concreta, sino que demandan una respuesta escrita por parte de la AEPD. Por este motivo verás consultas que no habría sido necesario ni formular. A continuación comparto una selección de 10 consultas interesantes.

A.- ¿Un abogado necesita firmar CET con sus clientes?

Consulta
Respuesta de la AEPD, de 12 de junio de 2018.

B.- ¿Es necesario que los suscriptores a un boletín renueven sus consentimientos, que ya otorgaron de forma expresa antes del 25 de mayo de 2018? (Considerando 171 RGPD)

Consulta
Respuesta de la AEPD, de 12 de junio de 2018.

C.- ¿RGPD es aplicable al tratamiento de los datos de las personas de contacto en las empresas?

Consulta
Respuesta de la AEPD, de 5 de abril de 2018.

D.- ¿RGPD permite seguir usando usando casillas redactadas en negativo o premarcadas para obtener consentimientos u obtenerlos por el paso 30 días sin oposición?

Consulta
Respuesta de la AEPD, de 9 de febrero de 2018.

E.- La existencia de la Lista Robinson presupone que todo nacido consiente tácitamente la recepción de publicidad dirigida. ¿Seguirá existiendo la Lista Robinson con el RGPD?

Consulta
Respuesta de la AEPD, de 20 de febrero de 2018.

F.- Un grupo de empresas puede tener un único DPO que no sepa español, no esté en España y no conozca el derecho español, siempre que tenga a su cargo a un gestor español con un equipo en España formado por profesionales que sepan español y dominen el derecho español?

Consulta (ver enunciado)
Respuesta de la AEPD, de 5 de abril de 2018.

G.- RGPD para influencers: Consulta jurídica sobre la posibilidad de convertir una base de datos de miles de usuarios obtenida para fines personales en una base de datos para el envío de comunicaciones comerciales de terceros por vía electrónica

Consulta
Respuesta AEPD, de 20 de junio de 2017.

H.- ¿Es necesario firmar un CET con empresas de correos y mensajería?

Consulta
Respuesta AEPD, de 21 de febrero de 2019.
Informe 64/2020 (AEPD): Por norma general, Correos será Encargada cuando sea contratada de acuerdo con la legislación de contratación del sector público o por un Responsable privado, siempre que no se trate de prestaciones incluidas en el servicio postal universal o en la “excepción doméstica”, en cuyo caso será Responsable. No obstante, Correos podrá ser tanto Responsable como Encargada para un mismo servicio pero en relación con tratamientos diferentes. En definitiva, se debe analizar caso por caso, cada situación, debido a que la apariencia formal de la existencia o inexistencia de un contrato puede no corresponder con la naturaleza material de la toma de decisiones que se haga sobre los tratamientos.

I.- ¿Hay que firmar contrato de encargado del tratamiento con auditores de cuentas?

Consulta (ver enunciado)
Respuesta AEPD, de 22 de noviembre de 2018.

J.- ¿Se debe permitir el acceso al interesado a datos que hayan sido bloqueados por el responsable?

Consulta
Respuesta AEPD, de 4 de julio de 2019
PS/00473/2020: Resolución sancionadora por desbloquear datos

2.- Preguntas frecuentes (FAQ)

Aquí respondo a algunas preguntas frecuentes sobre protección de datos personales

A.- ¿Una UTE es Responsable del Tratamiento?

A efectos de cumplimiento normativo, una Unión Temporal de Empresas (UTE) funciona de forma similar a un Grupo de Empresas (GE). Ambas (UTE y GE) carecen de personalidad jurídica y son las sociedades que las componen las que siguen siendo responsables de sus respectivas actividades de tratamientos de datos. Solo en caso de que todas las sociedades de la UTE determinen conjuntamente los objetivos y los medios del tratamiento, la UTE será considerada corresponsable de la actividad de tratamiento que corresponda. De lo contrario, solo habrá responsables independientes (ya sean empresas que actúan de forma autónoma, o empresas en corresponsabilidad con otras empresas, sean estas de la UTE o externas.

Estos documentos soportan las conclusiones:

Memoria 2000 AEPD (página 12) – «En los casos de Grupo de Empresas y de Unión Temporal de Empresas, habrá que tener en cuenta que el grupo como tal carece de personalidad jurídica y que las sociedades integradas en el Grupo conservan su personalidad jurídica propia, por lo que cada una de éstas seguirá siendo responsable de sus ficheros. Las Agrupaciones de Interés Económico al tener personalidad jurídica podrán ser responsables de ficheros».
Informe 245/2010 AEPD (página 3) – «Por tanto, cada sociedad será responsable de forma individual, de tantos ficheros como conjuntos estructurados de datos, adscritos a una determinada finalidad legítima, según el artículo 4.1 de la Ley, utilice».
Informe Jurídico 0494/2008 AEPD (página 2): «cada una de las empresas que integran el grupo será responsable del fichero de datos de sus correspondientes empleados».
Reglamento General de Protección de Datos (Considerando 48) – «Los responsables que forman parte de un grupo empresarial o de entidades afiliadas a un organismo central pueden tener un interés legítimo en transmitir datos personales dentro del grupo empresarial para fines administrativos internos».
Reglamento General de Protección de Datos (Art. 26) – «Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento».

2.5.- sentencias de interés y RESOLUCIONES AEPD

1.- Sentencias de interés

Las sentencias resuelven sobre casos concretos. Recuerda: cuando cites palabras de algún tribunal, debes siempre añadir el contexto.

A.- Derecho al Olvido:

Sentencias fundamentales sobre Derecho al Olvido (Unión Europea y España):

TJUE – Sentencia del Derecho al Olvido: Explica qué es y qué alcance tiene el Derecho al Olvido.
TS – Sentencia 964/2016: Google Spain S.L. carece de legitimación pasiva para ser parte en los procedimientos de tutela de derechos seguidos ante la Agencia Española de Protección de Datos.
TS – Sentencia 545/2015 (ver post): Los periódicos digitales deben imposibilitar que los motores de búsqueda indexen ciertas noticias antiguas cuando los afectados se lo soliciten, al entender que que en tales casos los derechos fundamentales al honor, a la intimidad y a la protección de datos prevalecen sobre la libertad de información.
TS – Sentencia 1280/2016: Google Spain SL condenada a indemnizar por no retirar información de un indulto de 1999.
TS – Sentencia 4016/2020 (post): Reconocer solo el derecho al olvido cuando se busque el nombre y un apellido no es coherente.

Recursos adicionales:

Criterios comunes para aplicar la sentencia sobre el ‘derecho al olvido’
La AEPD mantiene la web «Derecho de supresión («al olvido»): buscadores de internet» con recursos sobre el Derecho al Olvido.

Formularios para ejercitar el derecho al olvido:

B.- Miscelánea de sentencias imprescindibles:

TJUE – Sentencia Lindqvist: Se condena a una catequista por publicar en su blog datos de terceros sin el correspondiente consentimiento.
TC – Sentencia 292/2000: Sienta que la Protección de Datos es un derecho fundamental autónomo.
TJUE – Sentencia C‑311/18, de 16 de julio de 2020 – Schrems II: El Tribunal Europeo considera inválida la Decisión por la que se aprobó el Acuerdo de Escudo de la Privacidad.
TJUE – Sentencia C-362/14, de 6 de octubre de 2015 – Schrems I: El Tribunal Europeo considera inválida la Decisión por la que se aprobó el Acuerdo de Puerto Seguro.
Repositorio de Sentencias del TEDH (Tribunal Europeo de Derechos Humanos) en relación con la protección de datos personales (hasta junio 2018)

C.- Otras sentencias de interés:

TJUE – C-25/17 – Jehovan todistajat (nota de prensa en español): Una comunidad religiosa, como la comunidad los Testigos de Jehová, es responsable, junto con sus miembros predicadores, del tratamiento de los datos personales recogidos durante una actividad de predicación puerta a puerta.
STS – 698/2021 – Testigos Cristianos de Jehová: la Confesión Religiosa de Testigos Cristianos de Jehová tiene interés legítimo en conservar datos de las personas expulsadas o desasociadas
TJUE – Asunto C‑40/17: El Tribunal considera que el responsable de un sitio web y FB son corresponsables en determinados tratamientos vinculados a la extracción de datos a través de un botón «me gusta» integrado en dicho sitio web.
STS 1090/2021: El TS condena a prisión (2a 6m 1d) a una enfermera que accedió al historial clínico de tres pacientes que no tenía asignados en el centro de salud donde trabajaba.
STS 2484/2019: El TS considera que las mediciones de consumo eléctrico son un dato personal.
STC 169/2018: El Tribunal considera inconstitucional el uso genérico de la cámara oculta en el periodismo.
STS 363/2016 (nota de prensa del CGPJ): Prohibición de publicar, incluso por periodistas, fotografías tomadas de Facebook sin los correspondientes consentimientos expresos.
STS 5731/2012: El TS considera una intromisión la toma de fotografías no consentidas (robados) a una famosa en una playa pública.

2.- Resoluciones sancionadoras seleccionadas (bajo RGPD)

Sanciones RGPD en países miembros de la UE: GDPR Enforcement Tracker
Selección de PS con multas RGPD en España (accede a las demás a través de la web de la AEPD):
- PS/00059/2020: VODAFONE ESPAÑA, S.A.U. (8.150.000 €)
- PS/00477/2019: CAIXABANK, S.A. (6.000.000 €)
- PS/00070/2019: BANCO BILBAO VIZCAYA ARGENTARIA, S.A. – BBVA (5.000.000 €)
- PS/00334/2019: D. B.B.B. (10.000 €): AEPD impone multa de 10.000 euros a una persona que difunde por WhatsApp fotos íntimas de otra. Para determinar el importe de la multa se tiene en cuenta que el infractor es una persona física que no se dedica al tratamiento de datos y que divulgó sin dolo y solo localmente las imágenes, siendo afectada una sola persona.
- PS/00300/2019: VUELING AIRLINES, S.L. (30.000 € reducida a 18.000 €)
- PS/00299/2019: TWITTER SPAIN, S.L. (30.000 €)
- PS/00233/2019: VIAQUA XESTIÓN INTEGRAL DE AUGAS DE GALICIA, S.A. (60.000 €)
- PS/00159/2019: AVON COSMETICS SAU (60.000 €)
- PS/00127/2019: IKEA IBERICA, S.A.U. (10.000 €)
- PS/00121/2019: GESTIÓN DE COBROS, YO COBRO SL. (60.000 €)
- PS/00092/2019: VODAFONE ONO, S.A.U. (60.000 € reducida a 36.000 €)
- PS/00074/2019: ENDESA ENERGÍA XXI, S.L.U. (100.000 €, reducida a 60.000 €)
- PS/00411/2018: VODAFONE ESPAÑA, S.A.U. (45.000 €, reducida a 27.000 €)
- PS/00331/2018: VODAFONE ESPAÑA, S.A.U. (5.000 €)
- PS/00326/2018: LIGA NACIONAL DE FÚTBOL PROFESIONAL (250.000 €)
Resolución de Tutela de Derechos de interés:
- R/00540/2019: No es necesario solicitar el DNI para el ejercicio de derechos (en este caso, de supresión) si la persona interesada se identifica suficientemente por otros medios (en este caso, una dirección de email es suficiente), ya que «carece de sentido que sea mayor el rigor para dar de baja que el rigor para dar de alta».
Apercibimientos de interés:
- PS/00195/2019: DESSAU ARTE INMOBILIARIO, S.L. [Incorporación a grupo de WhatsApp sin consentimiento]
- A/0023/2019: VOYAGE PRIVE ESPAÑA, S.L. [Incumplimiento de la normativa de cookies]
- A/00001/2019: LIVING TERRITORIWEB, S.L. [Incumplimiento de la normativa de cookies]
Archivos de interés:
- E/08205/2019: PROMOFARMA ECOM S.L [brecha de seguridad con filtración de datos personales de 1.3 millones de personas]
- E/09159/2020: MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. [brecha de seguridad con filtración de datos de menos de 10 personas]

2.5.2.- Plazos de conservación, bloqueo y retención

1) Conservación (periodo en el que se mantiene activo el tratamiento):

Variable
- Art. 21 LSSI. Dirección electrónica para fines publicitarios: si la persona se inscribió, hasta que retire su consentimiento; si se usó el interés legítimo, mientras exista expectativa razonable en la persona de seguir recibiendo publicidad.
- Capítulo 3.7 La protección de datos en las relaciones laborales: El CV de una persona candidata solo se puede conservar mientras dure el proceso (periodo que debe indicarse a la persona candidata). El CV debe destruirse salvo que sea la única forma de bloquear los datos personales de la persona candidata.

1 mes como máximo:
- Art. 22 LOPDGDD: Videovigilancia. Después no hay bloqueo sino destrucción.
- Instrucción 1/1996. Control de accesos. Después no hay bloqueo sino destrucción.

3 meses como máximo:
- Art. 24 LOPDGDD: Denuncias internas. Después no hay bloqueo sino destrucción.

6 meses

- Art. 7 Real Decreto 995/2003 (plan de carga o descarga por el capitán o el representante de la terminal)

2 años:

- Capítulo 3.2.8 Guia Cookies AEPD (datos obtenidos a partir de cookies u otros dispositivos similares)

4 años:
- Art. 21 Ley sobre Infracciones y Sanciones en el Orden Social (documentación, registros o soportes informáticos en que se hayan transmitido los datos que acrediten el cumplimiento de obligaciones en materia de filiación, altas, bajas, documentos de cotización, recibos justificativos de gastos)

6 años:
- Art. 30 Código de Comercio (libros de contabilidad, facturas, documentos empresariales…).
  – Computa desde el último asiento realizado (31 dic).

10 años:
- Art. 25 Ley de Prevención del Blanqueo de Capitales y Financiación del Terrorismo (documentos de registro de datos relacionados con la prevención del blanqueo, en cumplimiento de esta norma). Transcurridos cinco años desde la terminación del negocio o la ejecución de la operación, la documentación conservada únicamente será accesible por los órganos de control interno, las unidades técnicas de prevención y defensa legal.
  – Computa desde que se tiene acceso a los datos (personales y no personales).
- Art. 22 Ley de prevención de Riesgos Laborales y Art. 9 Real Decreto 664/1997 sobre exposición a agentes biológicos (documentación sobre exposición a agentes biológicos)

40 años:
- Art. 22 Ley de prevención de Riesgos Laborales y Art. 9 Real Decreto 664/1997 sobre exposición a agentes biológicos (documentación sobre exposición a agentes biológicos que pudiese dar lugar a una infección)

Mínimo 5 años (y el tiempo adicional adecuado):

- Art. 17 Ley de autonomía del paciente (documentación clínica)

Duración de la relación laboral (mientras no haya variaciones)

- Art. 14 Ley de prevención de riesgos laborales (datos de contacto de la persona empleada para atender emergencias. Ojo: no datos de familiares)
- Art. 2 Orden sobre prestaciones por invalidez (datos sobre invalidez)

Expectativa razonable por parte del receptor de comunicaciones promocionales o publicitarias por vía electrónica en los casos en los que la suscripción se ha realizado con base en el interés legítimo del empresario del art. 21 LSSI
- Dictamen 06/2004 GT29, Informe 0195/2017 AEPD y Considerando 47 RGPD (datos de contacto electrónico e identificativos vinculados)

Hasta que cese la actividad
- Art. 23 LOPDGDD (se conservará marcado todo dato correspondiente a personas que no deseen recibir comunicaciones comerciales, con objeto de no realizarlas)
- Art. 23 Ley de prevención de riesgos laborales e Informe AEPD 0026/2021 (información íntegra, aunque seudonimizada o anonimizada, sobre accidentes de trabajo y enfermedades profesionales)

Otros

- Art. 5 RGPD → mientras el tratamiento sea necesario

——– terminada la conservación del dato, llega el momento de suprimirlo, procediendo para ello a su destrucción física, salvo que una norma con rango de ley obligue a mantenerlo bloqueado durante un periodo con carácter previo a la referida destrucción —————

2) Bloqueo:

Si hay datos personales: el plazo inicia el día siguiente a la finalización del plazo de conservación únicamente si una norma con rango de ley obliga a bloquear los datos. Si no existe esta norma (como, por ejemplo en el caso de videovigilancia), el dato no se bloquea sino que se destruye directamente.

Si no hay datos personales en el documento: el plazo inicia el día desde el que se pudo ejercer la acción o desde la fecha de la infracción, como norma general.

1 año:
- Art. 1968 Código Civil. (acciones de responsabilidad extracontractual, para recobrar posesiones o para exigir responsabilidades por injurias, calumnias o agravios)
  [Interrupción de plazos en el artículo 1973 del CC]
- Art. 82 RGPD (Protección de datos: Derecho a indemnización y responsabilidad). Se aplica la acción de responsabilidad extracontractual del Art. 1968 Código Civil.
  [Interrupción de plazos en el artículo 1973 del CC]
- art. 131 Código Penal (delitos de injurias y calumnias)
  [Interrupción de plazos en el artículo 132 del CP]
- Art. 59 Estatuto de los Trabajadores (acciones derivadas del contrato de trabajo sin otro plazo).
3 años como máximo:
- Art. 78 LOPDGDD: Responsabilidad del tratamiento de los datos personales..
- Art. 4 Ley sobre Infracciones y Sanciones en el Orden Social (obligaciones en el orden social -por ejemplo, no llevar casco, no dar formación, o intentar solicitar subvenciones con documentos inválidos-)
- Art. 40 Ley de Responsabilidad Medioambiental (daños medioambientales si la emisión que origina el daño se produjo hace no más de 30 años)
4 años:
- Arts. 66 Ley General Tributaria (libros de contabilidad…)
  – Computa desde el día siguiente a aquel en que finalice el plazo de pago en período voluntario (art. 67 Ley General Tributaria)
  [Interrupción de plazos en el artículo 68 de la misma Ley]
- Art. 4 Ley sobre Infracciones y Sanciones en el Orden Social (obligaciones en materia de afiliación, altas, bajas, cotización, pago de salarios…)
- Art. 24 Ley General de la Seguridad Social (incumplimiento de normas de Seguridad Social e impago de deudas)
  [Interrupción de los plazos en el art. 24.3 de la misma norma]
- Art. 51 Ley integral para la igualdad de trato y la no discriminación (infracciones al derecho a la igualdad de trato y no discriminación)
5 años:
- Art. 1964 Código Civil (acciones personales sin plazo especial).
  [Interrupción de plazos en el artículo 1973 del CC]
- Art. 131 Código Penal (delitos con pena de prisión o inhabilitación por 5 años o menos: acoso laboral y corrupción -ambos pueden exigir bloqueo de hasta 10 años-, empleo, prevención de riesgos laborales, libertad sindical)
  [Interrupción de plazos en el artículo 132 del CP]
- Art. 4 Ley sobre Infracciones y Sanciones en el Orden Social (obligaciones en materia de prevención de riesgos laborales)
- Art. 140 Ley Propiedad Intelectual (reclamar los daños y perjuicios)
- Art. 51 Ley integral para la igualdad de trato y la no discriminación (discriminación múltiple, acoso discriminatrorio, varias infracciones graves)
10 años:
- Art. 26. Ley del Impuesto sobre Sociedades. (comprobación de las bases imponibles negativas)
  – Computa desde el día siguiente a aquel en que finalice el plazo de pago en período voluntario (art. 67 Ley General Tributaria)
- Art. 66 bis Ley General Tributaria (comprobación de bases o cuotas compensadas o pendientes de compensación o de deducciones aplicadas o pendientes de aplicación)
- Art. 259 bis Ley General Tributaria (comprobación de liquidación de la deuda aduanera)
- Art. 131 Código Penal (delitos con pena de prisión o inhabilitación por más de 5 años y menos de 10: explotación y acoso laboral, blanqueo de capitales y corrupción)
  [Interrupción de plazos en el artículo 132 del CP]
15 años
- Art. 131 Código Penal (inhabilitación por más de 10 años, o prisión por más de 10 y menos de 15 años: fraude y estafa)
  [Interrupción de plazos en el artículo 132 del CP]
20 años
- Art. 131 Código Penal (prisión de quince o más años)
  [Interrupción de plazos en el artículo 132 del CP]
Sin prescripción
- Art. 131 Código Penal (lesa humanidad, genocidio)
- Art. 66 bis Ley General Tributaria (no prescribe la facultad de la Administración Tributaria para comprobar operaciones realizadas en periodos prescritos, que siguen produciendo efectos en otros que no lo están)

Importante: todos los plazos de prescripción y caducidad fueron suspendidos durante 82 días (desde el 14 de marzo de 2020 hasta el 3 de junio de 2020), por así disponerse en el Real Decreto 463/2020.

Más información: Informe jurídico 00148/2019 de la AEPD.

2.6.- Recursos legales y técnicos de ciberseguridad

1.- Normativa de Ciberseguridad

Selección de normativa sobre ciberseguridad (CNPIC)
Ley 34/2002 (LSSI), en especial el artículo 12 bis.
Estrategia Nacional
- Orden PCI/161/2019, contra el Crimen Organizado y la Delincuencia Grave.
- Orden PCI/179/2019, contra el Terrorismo 2019.
Reglamento (UE) 2019/881 relativo a ENISA y a la certificación de la ciberseguridad (ver en BOE): Ver resumen.
Real Decreto 43/2021, de seguridad de las redes y sistemas de información. Los operadores de redes y servicios de comunicaciones electrónicas y los prestadores de servicios electrónicos de confianza designados como operadores críticos, salvo las PYMEs, están obligados a:
– Aprobar unas políticas de seguridad (incluye un apartado sobre el registro de la actividad de los usuarios)
– Elaborar una Declaración de Aplicabilidad de medidas de seguridad adoptadas, con base en el ENS y otros.
– Designar un responsable de la seguridad de la información y comunicarlo a la autoridad competente.
– Notificar en 24h los incidentes a través del CSIRT. Este deber es independiente a la AEPD
– Permitir que las autoridades supervisen el cumplimiento de obligaciones de seguridad
Directiva NIS: Medidas para garantizar seguridad en redes y sistemas de información en la Unión.
- Transposición: Real Decreto-ley 12/2018
  - Reglamento de desarrollo: Real Decreto 43/2021
Directiva de Secretos Comerciales: Medidas para la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas.
- Transposición: Ley 1/2019 de Secretos Empresariales
Circular 5/2019 sobre registro de dispositivos y equipos informáticos: ver resumen.

2.- Políticas de seguridad para la PYME (por INCIBE)

3.- Cómo certificar el envío de un e-mail

4.- Contraseñas

Recomiendo seguir las recomendaciones de INCIBE dispuestas en su Política de Seguridad de Contraseñas y superar este listado.

A.- Gestor de contraseñas (mis 5 favoritos)

Con estos gestores no tendrás que volver a recordar una contraseña.

Dashlane (este enlace de referido incluye 6 meses premium gratis para ti y otros 6 para mí)
KeePass
1Password
LastPass
True Key

B.- Generador de contraseñas

Recuerda: siempre más de 8 caracteres y al menos una mayúscula, una minúscula, un número y un símbolo. No uses fechas ni nombres. Ayúdate con generadores.

Dashlane (este enlace de referido incluye 6 meses premium gratis para ti y otros 6 para mí)
Password .es
Passwords Generator .net

5. Antivirus

Instala y configura correctamente un antivirus profesional. Estas son mis recomendaciones:

ESET Internet Security (este enlace de referido incluye 2 meses gratis para ti, sin recompensa para mí)
Panda
Kaspersky
Sophos

6.- Herramientas sencillas de cifrado

Boxcryptor (este enlace de referido incluye 1 mes gratis para ti y otro para mí)
Veracrypt
Tresorit
Cryptomator
Truecrypt

7.- Certificado y firma electrónica

Solución de firma electrónica:

Ivnosys – Firma y notificaciones (post: ¿Qué es la firma longeva y cuáles son los tipos?)
Brandocs – Firma y repositorio
XolidoSign – Firma y envío certificado

Validador de firma electrónica

Comisión Europea – DSS Demonstration WebApp
Gobierno de España – VALIDe

Resoluciones y sentencias de interés sobre firma electrónica

SAP L 54/2021 (Nº de Recurso: 158/2020 y Nº de Resolución: 74/2021): La Audiencia Provincial de Lleida anula la validez de la firma de un contrato remitido por email utilizando la solución DocuSign, similar a Signaturit.

8.- Herramientas gratuitas de ciberseguridad

La ciberseguridad completa es un destino deseable e inalcanzable.

Soluciones ciber de analítica web: Estas páginas ayudan a saber qué es lo próximo que debes arreglar en tu web:

SSL LABS – Test SSL para servidores.
HTBridge – Test SSL para servidores.
Observatorio, de Mozilla – Verifica la seguridad de un CMS.
Security Headers – Escanea cabeceras de páginas web.
CSP Validator – Comprueba las cabeceras CSP.
CSP Evaluator – Evalúa la Content Security Policy (CSP) de las cabeceras de una página web.
WordPress XML-RPC Validation Service – Comprueba el estado de la característica XML-RPC en el CMS WordPress.
Escaner antimalware para sitios web:
- Securi – Escanea el sitio web en busca de malware.
- [aún sin revisar por mí, pero tiene buena pinta] 9 awesome tools
Optimización:
- WebHint: Analiza la web y ofrece consejos para su optimización.
- Structured Data: Herramienta de prueba de datos estructurados.
Cookies:
- Ghostery: Extensión para el navegador que muestra los rastreadores activos en una página web
- Cookieq (Baycloud): Escanea la página web y muestra cookies y pixels propios y de terceros.
- Cookiemetrix: Escaneador online de cookies y banners.
- Cookie Serve: Escaneador online de cookies.
- Cookieviz: Escaneador online de cookies ofrecido por CNIL.

Herramientas ciber:

La Oficina de Seguridad del Internauta (OSI) ofrece un listado de enlaces a sitios desde los que puedes acceder a herramientas de ciberseguridad gratuitas: Herramientas.
Jigsaw: Test anti-phising de Google

9.- Manuales y formación en ciberseguridad

Manuales y formación gratuita online

INCIBE:
- Protege tu empresa
- Glosario de términos de ciberseguridad
AEPD
- Infografías
- Vídeos ‘Protege tus derechos’
ISMS Forum y AGERS
- Manuales sobre gestión del riesgo

Congresos de pago o gratuitos en España

BitUp – https://www.bitupalicante.es/
Ciberseg – https://ciberseg.uah.es/
CONPilar – http://www.conpilar.es/
Cybercamp – https://cybercamp.es/
Digital Enterprise Show – https://www.des-madrid.com/
Expo Aslan – https://www.congreso.aslan.es
Hack2Progress – http://www.hack2progress.com/
Hackmeeting – https://es.hackmeeting.org/
HoneyCON – https://www.honeycon.eu/
María Pita DefCON – http://www.mariapitadefcon.es/
MorterueloCON – https://www.morteruelo.net/
Mundo Hacker Academy – https://mundohackeracademy.com/
Mundo Hacker Day – https://mundohackerday.com/
Navaja Negra – https://www.navajanegra.com/
NcN – https://www.noconname.org/
Pucela Tech Day – https://www.pucelatechday.com/
Rooted CON – https://www.rootedcon.com/
Security Hell Conference – https://www.sh3llcon.es/
SICUR CYBER – https://www.ifema.es/sicur
T3chFEST UC3M – https://t3chfest.es/
Tendencias SIC – https://revistasic.es/
UCA Cybersecurity Day – https://esingenieria.uca.es/ucacybersecurityday/
ViCON – https://vicon.gal/
X1RedMásSegura – http://www.x1redmassegura.com/
# Ver más en Agenda INCIBE

Congresos de pago o gratuitos en fuera de España

Colombia 4.0 (Colombia) – https://www.col40.co/
8.8 (Chile) – https://www.8dot8.org/

1.- Plantillas editables, modelos y textos de ejemplo

1.- Documentos para preparar una adecuación:

Descarga una herramienta y una guía completa para una EIPD GDPR Data Protection Impact Assessments (ISACA)

Descarga gratis los libros de la Metodología Magerit v.3 de análisis y gestión de riesgos de los sistemas de información (Portal Administración Electrónica)

2.- Información al interesado sobre el tratamiento pretendido

3.- Contratos

CET:
- [ojo, estas directrices pueden no ser acordes con las últimas cláusulas contractuales tipo] Directrices para la elaboración de un CET (modelo en el anexo)
- Cláusulas Contractuales Tipo de la Comisión Europea para CET (4 jun ’21)
- Cláusulas Contractuales Tipo de la Comisión Europea para CET con transferencias internacionales (4 jun ’21)
NDA – Modelo de contrato de confidencialidad
Promociones – Modelo de bases para un sorteo, un concurso o lo que se precie
Derechos de imagen:
- Plantilla – Contrato para fotos promocionales (docx)
- Plantilla para el caso de que la empresa quiera publicitarse con imágenes de sus empleados trabajando (pdf)

4.- Ejemplo de aviso legal, privacidad y cookies para una web

Puedes basarte en mi aviso legal, privacidad y cookies, en el que encontrarás incluso mis propios RAT, todo adaptado a RGPD, LOPDGDD y demás normativa local.

5.- Modelo de aviso de privacidad para el pie de los correos electrónicos

Antes del aviso, en la firma, considero importante indicar en el correo electrónico el nombre del remitente junto con un teléfono, sea fijo o móvil, de contacto, para aportar humanidad al mensaje. En el aviso, partiendo del desconocimiento, podemos aportar información básica de privacidad.

[Firma del correo con nombre del remitente y teléfono de contacto]

Sus datos son tratados por Marca (denominación social) para atender su mensaje o prestarle el servicio solicitado. Puede ponerse en contacto con nuestro [delegado de protección de datos / responsable de seguridad] y ejercitar sus derechos de acceso, rectificación o supresión, entre otros, como se explica en nuestra política de privacidad.

6.- Ejercicio de Derechos (ver guía de la AEPD):

7.- Modelos para presentar reclamaciones

Escudo de la Privacidad (no válido desde el 16 de julio de 2020, día en el que el TJUE declara inválido el Escudo de la Privacidad) – Formulario oficial para presentar reclamaciones comerciales a las autoridades de protección de datos de la UE (instrucciones)

8.- Documentos para preparar una revisión:

Smart contract modelo: https://raw.githubusercontent.com/Pablofb/Tokens/master/Token-ERC20.sol (descargar smart contract)

3.- Dominio I del curso para ser DPD

El temario del Dominio I, que puedes desplegar un poco más abajo, para el curso de DPD puede servirte como guía para el curso que estés realizando para formarte y obtener el certificado de DPD.

La Agencia Española de Protección de Datos mantiene (a 16 de febrero de 2020) en esta página un listado con siete entidades de certificación para DPD acreditadas por ENAC:

IVAC INSTITUTO DE CERTIFICACIÓN, SL: Autorizada el 07/09/2018.
ASOCIACIÓN PARA EL FOMENTO DE LA SEGURIDAD DE LA INFORMACIÓN, ISMS FORUM: Autorizada el 11/10/2018.
ASOCIACIÓN ESPAÑOLA PARA LA CALIDAD (AEC): Autorizada el 26/10/2018.
ANF AUTORIDAD DE CERTIFICACIÓN ASOCIACIÓN, ANF AC: Autorizada el 25/01/2019.
CUALICONTROL – ACI, S.A. (Unipersonal): Autorizada el 27/09/2019.
AENOR INTERNACIONAL, S.A. (Unipersonal): Autorizada el 30/09/2019.
ADOK CERTIFICACIÓN INTERNACIONAL, SL: Autorizada el 22/11/2019.

Si quieres un curso online o presencial que esté reconocido para certificarte, ahora puedes encontrar las entidades de formación reconocidas, con enlaces a sus programas, precios y fichas de inscripción, en la web de la AEPD sobre Certificación de delegado de protección de datos (cuando esta web esté disponible).

Pulsa aquí para ver el temario completo (versión propia) del Dominio I

TEMA 1.- PRINCIPIOS Y FUNDAMENTOS DE LA PRIVACIDAD Y LA PROTECCIÓN DE DATOS

Contexto de la privacidad, la ciberseguridad y la protección de datos
Diferencia entre derecho de la personalidad y derecho personalísimo
Aproximación al GDPR (art. 1 RGPD) y la LOPDGDD
Normas diferentes a GDPR sobre privacidad y protección de datos de carácter personal
Normas diferentes a GDPR sobre protección de datos de carácter no personal
Organismos competentes y autoridades de control
Definiciones sobre privacidad y protección de datos (art. 4 RGPD)
Principios sobre privacidad y protección de datos (art. 5 RGPD)

TEMA 2.- REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS (RGPD / GDPR) Y LOPDGDD

Introducción al GDPR (Considerandos 1 a 27 RGPD) y a la LOPDGDD
Considerandos y artículos del GDPR (todos los considerandos e índice de artículos) y LOPDGDD
Directrices de interpretación del GDPR y LOPDGDD: artículos, guías, opiniones, criterios, doctrina judicial y jurisprudencia
Ámbito de aplicación material (art. 2 RGPD)
Ámbito territorial (art. 3 RGPD)
Limitaciones al GDPR por normativa europea o local (art. 23 RGPD)
Introducción al Documento de Seguridad adecuado al GDPR y LOPDGDD

TEMA 3.- RESPONSABLE DEL TRATAMIENTO

Quién es quién en el GDPR y la LOPDGDD
- Responsable del Fichero (STS de 5 de junio de 2004 / copia)
- Responsable del Tratamiento (art 4.7 RGPD)
- Encargado del Tratamiento (art. 4.8 RGPD)
- Subencargado del Tratamiento (art. 28.2 RGPD)
- Encargado o subencargado de Servicios Auxiliares (Directrices para CET – AEPD)
El Responsable del Tratamiento. Obligaciones y responsabilidades (art. 24 RGPD)
Representante del Responsable del Tratamiento no establecido en la Unión (art. 27 RGPD)
Cooperación con la autoridad de control (art. 31 RGPD)
Corresponsables del tratamiento (art. 26 RGPD)

TEMA 4.- ENCARGADO DEL TRATAMIENTO

El Encargado del Tratamiento. Obligaciones y responsabilidades (arts. 28 y 29 RGPD)
El Contrato de Encargado del Tratamiento o CET en el GDPR y en la normativa local (art. 28 RGPD)
- Qué y cómo es un CET
- Sujetos, objeto, obligaciones y responsabilidades
- Articulado obligatorio y anexos
- Plazo de vigencia de los CET (Disposición Transitoria Segunda del RD-l de medidas urgentes)
Introducción a las Normas Corporativas Vinculantes o BCR (Considerandos 107, 108 y 110 y artículo 4.20 RGPD)
Representante del Encargado del Tratamiento no establecido en la Unión (art. 27 RGPD)
Cooperación con la autoridad de control (art. 31 RGPD)

TEMA 5.- CONSENTIMIENTO PARA EL TRATAMIENTO DE DATOS

TEMA 6.- DERECHOS DE LOS INTERESADOS

Qué son los derechos de los interesados (arts. 12 y 15 a 22 RGPD, arts. 21 y 22 LSSI, arts. 4 a 7 LAP)
Sujetos con derechos y sujetos obligados (art. 2 y 3 RGPD)
Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado (art.12 RGPD)
Formas de ejercicio y requisitos (considerando 64 RGPD)
Derechos PARSOLO (o SOOPLAR):
- Portabilidad (art. 20 RGPD)
- Acceso (art. 15 RGPD y 18 LAP)
- Rectificación (art. 16 RGPD)
- Supresión con borrado o bloqueo (art. 17 RGPD)
- Olvido (art. 17 RGPD)
- Limitación con suspensión del tratamiento o con deber de conservación (art.18 RGPD)
- Oposición (art. 21 RGPD y art. 29 LCD)
- Otros:
  - A no ser objeto de decisiones individualizadas automatizadas, incluida la elaboración de perfiles (art. 22 RGPD)
  - A ser informado sobre el tratamiento pretendido (arts. 12 a 14 RGPD)
  - Revocación (art. 2 LO 1/1982)
  - Rectificación periodística (art. 1 LO 2/84)
Marketing y Derechos… a través del caso:
- Baja, Limitación y Oposición
- Elaboración de perfiles
- Fotografías, Publicidad impresa, vídeos y dibujos
Plazos de respuesta y ejecución (art. 12 RGPD)
Otros derechos desarrollados en la LOPDGDD

TEMA 7. DELEGADO DE PROTECCIÓN DE DATOS (DPO / DPD) Y RESPONSABLE DE SEGURIDAD (RS)

Qué es y quién puede ser DPO
Qué es y quién puede ser Responsable de Seguridad o RS
Sujetos que requieren designar un DPO
Comunicación del DPO a la Autoridad de Control
Posición del delegado de protección de datos
Funciones del delegado de protección de datos
Esquema de certificación de DPO de la AEPD

TEMA 8.- MEDIDAS DE SEGURIDAD EN EL TRATAMIENTO DE DATOS PERSONALES

Protección de datos desde el diseño y por defecto (Considerandos 78, 108 y arts. 25 y 47 RGPD)
Actividad del DPO y del RS en la segurización del dato (Considerando 77 y arts. 35 y 39 RGPD)
Medidas de seguridad y estado de la técnica (Considerando 29, 71, 78, 87 y 156, arts 4, 5, 24, 25, 28, 30, 32 y 34 RGPD y art. 14 LAP)
- Medidas de Seguridad Físicas
- Medidas de Seguridad Lógicas
- Medidas de Seguridad Organizativas
- Medidas de Seguridad Formativas
- Generación y conservación de prueba documental
Registro de las actividades de tratamiento (art. 30 RGPD)
Designación de un DPO (art. 37 RGDP)
Análisis de Riesgo (art. 32 RGPD)
Evaluación de Impacto y Consulta Previa (art. 35 RGPD)
Elección y mantenimiento de las medidas de seguridad (arts. 5, 25 y 32 RGPD)
- Implantación y configuración de medidas de seguridad
- Revisión y mejora continua de las medidas de seguridad

TEMA 9.- INSTRUMENTOS PARA LA ACREDITACIÓN DEL CUMPLIMIENTO

La responsabilidad proactiva (Considerando 85 y art. 5.2 RGPD)
El Responsable y la carga de la prueba
Documento de Seguridad adaptado al GDPR
- Tratamiento de Datos y DPO
  - Registro de actividades
  - Análisis sobre la necesidad de un DPO para cada una de las actividades de tratamiento como responsable y como encargado
  - Metodologías para la generación de procesos de nuevos tratamiento de datos con protección desde el diseño y por defecto
  - Pre-evaluaciones y, en su caso, evaluaciones de impacto sobre los datos personales
  - Análisis de riesgo por cada tratamiento e implantación de medidas físicas y lógicas
- Personal y soportes
  - Funciones y obligaciones del personal
  - Certificados de formación de las personas que vayan a tener acceso a datos personales
  - Gestión de salida y entrada de soportes
  - Análisis de riesgos por cada tratamiento e implantación de medidas organizativas
- Contratos de encargado del tratamiento, siempre localizables
- Protocolos de actuación
  - Solicitud de derechos
  - Respaldos
  - Recuperación de datos
  - Brechas de seguridad
- Mantenimiento constante por parte del Responsable de Seguridad o el DPO
Sistemas para la obtención, gestión y custodia de pruebas documentales
- Consentimiento y tratamiento
- Gestión de usuarios
- Cifrado por archivo
Códigos de conducta
Certificación

TEMA 10.- TRANSFERENCIAS INTERNACIONALES

Principio general de las transferencias
Transferencias basadas en una decisión de adecuación
Transferencias mediante garantías adecuadas
Normas corporativas vinculantes o BCR
Transferencias o comunicaciones no autorizadas por el Derecho de la Unión
Excepciones para situaciones específicas
Cooperación internacional en el ámbito de la protección de datos personales

TEMA 11.- AUTORIDADES DE CONTROL INDEPENDIENTES Y COMITÉ EUROPEO

Autoridad de control (art. 51 RGPD)
- Independencia y principios (art. 52 RGPD)
- Competencia, funciones y poderes
- Cooperación, coherencia y asistencia mutua
Comité Europeo de Protección de Datos

TEMA 12.- AUDITORÍAS DE SEGURIDAD Y DE PROTECCIÓN DE DATOS

Auditorías de Seguridad
- Proceso de Auditoría documental y técnica
- Elaboración de informes de auditoría
- Acciones correctoras y acciones correctivas y preventivas
ISO 27001
Acercamiento a la auditoría técnica por medio del hacking ético
- Revisiones de código fuente en software, apps y webs
- Revisión de servicios externos e internos
- Revisión de redes y sistemas
- Revisión de la gestión de usuarios y permisos de acceso
- BYOD, dispositivos móviles y soluciones MDM

TEMA 13.- ACCIONES ANTE UNA BRECHA DE SEGURIDAD

Qué es un incidente o brecha de seguridad y cómo puede afectar a los datos
Notificación de una violación de la seguridad de los datos personales a la autoridad de control
Comunicación de una violación de la seguridad de los datos personales al interesado

TEMA 14.- RECURSOS, INDEMNIZACIÓN Y SANCIONES

TEMA 15.- NORMATIVAS SECTORIALES DE PROTECCIÓN DE DATOS Y NUEVAS TECNOLOGÍAS

E-commerce, marketing, estadística y ventas
- Ley de Cookies
- Sistemas de rastreo sin cookies
- Comunicaciones comerciales por vía electrónica
- Contenidos en sitios web propios
Laboral
- Estatuto de los Trabajadores
- Contrato laboral
- Normativa interna y Códigos de Conducta
Telecomunicaciones
Prensa, Publicidad y entretenimiento
- Ley de Prensa
- Derecho de rectificación periodística o réplica
- Derecho al honor y a la intimidad personal y familiar
- Derecho a la propia imagen
Sanidad y farmacia
Videovigilancia
Banca y Seguros
- Prevención del Blanqueo de Capitales
- Solvencia Patrimonial
- Videovigilancia para para la banca
Blockchain
IoT, Cloud, Big Data y Smartphones
Operadores de infraestructuras críticas

4.- Acrónimos

CE – Constitución Española
CET – Contrato de Encargado del Tratamiento
DPD / DPO – Delegado de Protección de Datos
LAP – Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica
LCD – Ley 3/1991, de 10 de enero, de Competencia Desleal
LO 1/82 – Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen
LO 2/84 – Ley Orgánica 2/1984, de 26 de marzo, reguladora del derecho de rectificación
LOPD 15/1999 – Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal
LOPDGDD – Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
RGPD / GDPR – Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)
RLOPD – Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal

Foto de j zamora en Unsplash.