Disposiciones generales. Medidas de responsabilidad activa

El mapa del tema

El régimen se articula en cinco bloques: medidas y riesgos del tratamiento en el artículo 28; distribución de responsabilidades en el artículo 29; representantes y responsabilidad solidaria en el artículo 30; registro de actividades en el artículo 31; y bloqueo, conservación limitada y destrucción de datos en el artículo 32. (art. 31)

Medidas técnicas y organizativas

Los responsables y encargados deben determinar medidas técnicas y organizativas apropiadas considerando los elementos de los artículos 24 y 25 del Reglamento (UE) 2016/679, para garantizar y acreditar la conformidad del tratamiento con la normativa indicada. (art. 28)

Al determinar las medidas aplicables, los responsables y encargados deben valorar si procede realizar la evaluación de impacto en la protección de datos y la consulta previa regulada en la Sección 3 del Capítulo IV del Reglamento (UE) 2016/679. (art. 28)

Criterio de corresponsabilidad

La distribución de responsabilidades entre corresponsables no se establece por una atribución abstracta, sino atendiendo a las actividades que efectivamente desarrolle cada uno de ellos en el tratamiento. (art. 29)

El artículo 29 vincula la determinación de las responsabilidades de los corresponsables con las responsabilidades mencionadas en el artículo 26.1 del Reglamento (UE) 2016/679. (art. 29)

Medidas frente al representante

Cuando el Reglamento (UE) 2016/679 se aplique a un responsable o encargado no establecido en la Unión Europea por su artículo 3.2 y el tratamiento afecte a personas situadas en España, las autoridades de protección de datos podrán imponer medidas al representante solidariamente. (art. 30)

En caso de exigencia de responsabilidad conforme al artículo 82 del Reglamento (UE) 2016/679, los responsables, encargados y representantes responden solidariamente de los daños y perjuicios causados. (art. 30)

Mantenimiento del registro

Los responsables, encargados o sus representantes deben mantener el registro de actividades de tratamiento previsto en el artículo 30 del Reglamento (UE) 2016/679, salvo que resulte aplicable la excepción de su apartado 5. (art. 31)

Los sujetos enumerados en el artículo 77.1 deben hacer público, mediante medios electrónicos, un inventario de sus actividades de tratamiento que incluya la información del artículo 30 del Reglamento (UE) 2016/679 y su base legal. (art. 31)

Obligación de bloqueo

El responsable del tratamiento debe bloquear los datos cuando proceda su rectificación o supresión. El bloqueo constituye una obligación vinculada a esas operaciones sobre los datos. (art. 32)

El bloqueo identifica y reserva los datos mediante medidas técnicas y organizativas para impedir su tratamiento, incluida su visualización, salvo su puesta a disposición de determinadas autoridades para exigir posibles responsabilidades durante el plazo de prescripción. (art. 32)

Trampas de examen

• Es incorrecto afirmar que el representante de un responsable o encargado no establecido en la Unión Europea nunca responde por las medidas impuestas. En los supuestos previstos, puede responder solidariamente con el responsable o encargado. (art. 30)
• Es incorrecto considerar que los datos bloqueados pueden utilizarse libremente para finalidades compatibles. El artículo 32 limita su tratamiento a la puesta a disposición de las autoridades indicadas para exigir posibles responsabilidades. (art. 32)
• No todos los responsables y encargados deben hacer público el inventario previsto en el artículo 31. Esa obligación se dirige a los sujetos enumerados en el artículo 77.1 de la ley orgánica. (art. 31)
• No es correcto afirmar que los datos deben destruirse inmediatamente después del bloqueo. Deben conservarse para las finalidades previstas y destruirse una vez transcurra el plazo de prescripción de las responsabilidades. (art. 32)
• El artículo 29 no determina las responsabilidades de los corresponsables atendiendo exclusivamente a su denominación o a un acuerdo formal. El criterio legal es la actividad efectivamente desarrollada por cada uno. (art. 29)

Chuleta final

• Entre los supuestos de mayores riesgos figura el tratamiento que pueda generar discriminación, usurpación de identidad, fraude, pérdidas financieras, daño reputacional o perjuicios significativos. (art. 28)
• También deben valorarse los riesgos del tratamiento cuando este pueda privar a los afectados de sus derechos y libertades o impedirles ejercer el control sobre sus datos personales. (art. 28)
• El tratamiento no meramente incidental o accesorio de categorías especiales de datos o de datos relacionados con infracciones administrativas constituye uno de los supuestos de mayor riesgo. (art. 28)
• Existe un supuesto específico de riesgo cuando el tratamiento evalúa aspectos personales para crear o utilizar perfiles, incluyendo análisis o predicciones sobre rendimiento laboral, salud, preferencias, solvencia, localización o movimientos. (art. 28)
• El tratamiento masivo aparece entre los supuestos de mayores riesgos cuando afecta a un gran número de personas o implica recoger una gran cantidad de datos personales. (art. 28)
• Debe considerarse especialmente el riesgo cuando los datos personales vayan a transferirse habitualmente a terceros Estados u organizaciones internacionales sin un nivel adecuado de protección declarado. (art. 28)
• Si se ha designado un delegado de protección de datos, el responsable o encargado debe comunicarle cualquier adición, modificación o exclusión en el contenido del registro de actividades de tratamiento. (art. 31)
• Cuando el sistema no permita bloquear los datos o la adaptación exija un esfuerzo desproporcionado, puede realizarse un copiado seguro que acredite autenticidad, fecha del bloqueo y ausencia de manipulación. (art. 32)

Preguntas frecuentes