Brubru
Inteligencia política de la UE
El Reglamento (UE) 2016/679, que se aplica a partir del 25 de mayo de 2018, es el marco principal de la UE para la protección de datos personales. Sustituyó la Directiva de Protección de Datos de 1995, extendió las normas de protección de datos de la UE a todo el mundo cuando se dirige a residentes de la UE e introdujo multas que alcanzan el 4% del volumen de negocios anual mundial.
Derecho primario de la UE que protege el derecho fundamental a la privacidad de los datos personales
El Reglamento General de Protección de Datos (RGPD), el Reglamento (UE) 2016/679, es la ley marco de la Unión Europea que rige la recopilación, almacenamiento, uso y transferencia de datos personales sobre personas físicas. Sustituye a la Directiva 95/46/CE de 1995 y se aplica directamente en los 27 Estados miembros sin necesidad de legislación nacional de aplicación.
El RGPD tiene dos objetivos declarados: proteger el derecho fundamental de las personas físicas a la protección de sus datos personales (artículo 1(2)) y garantizar que la libre circulación de datos personales dentro de la Unión no se restrinja o prohíba por razones de protección de datos (artículo 1(3)).
El Reglamento se basa en el artículo 16 del TFUE, que obliga al Parlamento Europeo y al Consejo a establecer normas sobre protección de datos personales, y también en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la UE, que garantizan el respeto de la vida privada y el derecho a la protección de datos respectivamente.
La Directiva de Protección de Datos de 1995 fue adoptada antes de que Internet se convirtiera en un fenómeno del mercado masivo. En la década de 2010, las implementaciones nacionales fragmentadas habían producido 28 marcos regulatorios diferentes en toda la UE, creando incertidumbre jurídica para las empresas, protección inconsistente para los particulares y un panorama de aplicación en el que los gigantes tecnológicos estadounidenses de gran intensidad de datos podrían operar en la UE con poca responsabilidad efectiva.
La propuesta de la Comisión de enero de 2012 pretendía corregir esta fragmentación. Se siguieron cuatro años de proceso legislativo, impulsados por la insistencia del Parlamento Europeo en derechos individuales más fuertes y una aplicación más estricta. El RGPD fue adoptado formalmente el 27 de abril de 2016, entró en vigor el 24 de mayo de 2016, y se aplicó a partir del 25 de mayo de 2018 después de un período de aplicación de dos años. La Directiva 95/46/CE fue derogada simultáneamente.
El RGPD tiene 99 artículos en 11 capítulos, precedidos por 173 considerandos que explican la intención legislativa y proporcionan orientación interpretativa:
alcance material (artículo 2) y ámbito territorial (artículo 3): alcance global para los interesados de la UE
El RGPD se aplica al tratamiento de datos personales, en su totalidad o en parte, por medios automatizados, y al tratamiento no automatizado cuando los datos forman parte de un sistema de archivo, o están destinados a formar parte de él. Esto incluye prácticamente todo el procesamiento de datos digitales, así como registros manuales estructurados.
No se aplicará a: actividades fuera del Derecho de la Unión (por ejemplo, seguridad nacional); actividades de la PESC de los Estados miembros; actividades puramente personales o domésticas de personas físicas; y al tratamiento por parte de las autoridades competentes para fines de Derecho penal, que se incluye en la Directiva (UE) 2016/680 en su lugar.
Una empresa con sede en California, Canadá, India o Brasil que vende productos o servicios a los consumidores de la UE, o que rastrea el comportamiento de los usuarios de la UE en línea, está sujeta al RGPD completo. Debe designar a un representante en la UE (artículo 27), cumplir con todos los derechos de los interesados y está expuesta a la aplicación y a las multas de las autoridades de control de la UE. Por eso el RGPD se ha convertido en un estándar global de facto: a las multinacionales les resulta más sencillo aplicar las normas del RGPD a escala mundial que mantener vías de cumplimiento separadas.
Artículo 5: los requisitos fundamentales que rigen todo el tratamiento de datos personales
El artículo 5 establece siete principios que se aplican a todo tratamiento de datos personales. La infracción de estos principios conlleva el nivel de multa más alto (hasta 20 millones de euros o el 4% del volumen de negocios mundial). El séptimo principio, la rendición de cuentas, requiere que los responsables del tratamiento no solo cumplan sino que puedan demostrar su cumplimiento.
| Principio | Lo que significa en la práctica | Artículo clave |
|---|---|---|
| La legalidad, la equidad y la transparencia | Debe existir una base jurídica para el tratamiento (una de las seis del artículo 6). El tratamiento no debe ser engañoso. Los interesados deben ser informados. | Artículos 5(1)(a), 6, 13-14 |
| Limitación de la finalidad | Los datos sólo pueden ser recogidos para fines específicos, explícitos y legítimos. El tratamiento posterior debe ser compatible con dichos fines. La investigación, el archivo y las estadísticas pueden ser compatibles en virtud del artículo 89. | Artículo 5(1)(b) |
| Minimización de los datos | Solo podrán tratarse los datos adecuados, pertinentes y limitados a lo necesario para los fines. No deben recogerse más datos de los necesarios por motivos de precaución. | Artículo 5(1)(c) |
| Precisión | Los datos deben ser exactos y, en su caso, actualizados; los datos inexactos deben borrarse o rectificarse sin demora, teniendo en cuenta las finalidades para las que se han tratado. | Artículo 5(1)(d) |
| Limitación de almacenamiento | Los datos deben conservarse en una forma que permita la identificación durante no más tiempo del necesario. Los responsables del tratamiento deben fijar y documentar los plazos de conservación. El archivo, la investigación y las estadísticas son excepciones sujetas a las garantías del artículo 89. | Artículo 5(1)(e) |
| Integridad y confidencialidad | Las medidas de seguridad técnicas y organizativas adecuadas deben proteger los datos contra el tratamiento no autorizado o ilegal, así como contra la pérdida, destrucción o daño accidental. | Artículos 5(1)(f), 32 |
| Responsabilidad | El responsable del tratamiento es responsable y debe ser capaz de demostrar el cumplimiento de todos los principios anteriores. El cumplimiento pasivo no es suficiente: debe existir evidencia. Este principio es la base de toda la arquitectura de documentación del RGPD (registros, DPIA, políticas, registros de capacitación). | Artículo 5(2), Artículo 24 |
Artículo 6: uno de estos seis requisitos debe aplicarse antes de que se procesen los datos personales
Un concepto erróneo común es que el consentimiento siempre es necesario para procesar datos personales. De hecho, hay seis bases jurídicas alternativas. Un responsable del tratamiento debe identificar de antemano la base correcta y no puede cambiar entre ellas después del hecho. Para categorías especiales de datos personales (datos de salud, genéticos, biométricos, raciales/étnicos, políticos, religiosos, sindicales, de vida sexual), también deben cumplirse las condiciones adicionales del artículo 9.
El interesado ha dado un consentimiento libre, específico, informado e inequívoco. Debe ser tan fácil de retirar como dar. Las casillas previamente marcadas, el silencio y la inactividad no constituyen consentimiento. Los niños menores de 16 años (o menores de 13 años establecidos por la legislación de los Estados miembros) requieren el consentimiento de los padres para los servicios en línea.
Artículos 6 (1) (a), 7, 8
El tratamiento es necesario para el cumplimiento de un contrato con el interesado o para las etapas precontratuales a petición del interesado, por ejemplo, una empresa de entrega que procesa la dirección de un cliente para cumplir un pedido.
Artículo 6 (1) (b)
El procesamiento es necesario para cumplir una obligación legal a la que está sujeto el responsable del tratamiento, por ejemplo, un empleador procesa los datos de nómina para cumplir con la legislación tributaria o un banco que conserva registros de transacciones en virtud de las reglas de lucha contra el lavado de dinero.
Artículo 6 (1) (c)
El tratamiento es necesario para proteger los intereses vitales del interesado o de otra persona, por ejemplo en situaciones médicas de emergencia.Esta base se aplica únicamente cuando el interesado es físicamente o legalmente incapaz de dar su consentimiento y no hay otra base jurídica disponible.
Artículo 6 (1) (d)
El tratamiento es necesario para el cumplimiento de una tarea realizada en interés público o en el ejercicio de la autoridad oficial atribuida al responsable del tratamiento. Esta es la base jurídica principal para el tratamiento por parte de organismos públicos, reguladores, tribunales y servicios públicos.
Artículo 6 (1) (e)
El tratamiento es necesario para los intereses legítimos del responsable del tratamiento o de un tercero, siempre que esos intereses no prevalezcan sobre los intereses, derechos y libertades del interesado. No está disponible para las autoridades públicas que ejercen sus funciones públicas. Requiere una prueba de equilibrio en tres partes: prueba de propósito, prueba de necesidad, prueba de equilibrio.
Artículo 6(1)(f)
Para los datos personales de naturaleza particularmente sensible, como datos de salud, datos genéticos, datos biométricos utilizados para la identificación única, origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, pertenencia a sindicatos, o datos sobre la vida sexual o la orientación sexual, existe una prohibición general de tratamiento. Para levantar esa prohibición, no solo debe aplicarse una base legal del artículo 6, sino que también debe cumplirse una de las diez condiciones específicas enumeradas en el artículo 9(2). Las más comunes en la práctica son el consentimiento explícito (art. 9(2)(a)), la legislación laboral y de seguridad social (art. 9(2)(b)), los intereses vitales cuando el interesado no puede consentir (art. 9(2)(c)) y la medicina preventiva o la salud laboral (art. 9(2)(h)).
Capítulo III, Artículos 12-23: Ocho derechos ejecutables que puede ejercer contra cualquier responsable del tratamiento de datos
Los responsables del tratamiento deben responder a cualquier solicitud de derechos de los interesados en el plazo de un mes a partir de la recepción, de forma gratuita. El plazo puede prorrogarse otros dos meses si las solicitudes son complejas o numerosas, pero el responsable del tratamiento debe informarle de la prórroga dentro del primer mes. Cuando las solicitudes sean manifestamente infundadas o excesivas, el responsable del tratamiento puede cobrar una tarifa razonable o negarse a actuar, pero debe soportar la carga de demostrar ese carácter. El responsable del tratamiento también debe proporcionar una copia de los datos personales que se están procesando en respuesta a una solicitud de acceso.
| Derecho | Artículo | Qué puede solicitar | Principales limitaciones |
|---|---|---|---|
| Derecho de acceso | Artículo 15 | Confirmación de que se procesan los datos; copia de los datos; información sobre los fines, destinatarios, retención, decisiones automatizadas, fuente (si es indirecta). | Los derechos de terceros (secretos comerciales, datos de terceros) podrán limitar la copia facilitada. |
| Derecho a la rectificación | Artículo 16 | Corrección de datos inexactos; cumplimiento de datos incompletos (incluida la declaración complementaria). | El responsable del tratamiento deberá notificar a los destinatarios cualquier rectificación (artículo 19). |
| Derecho a la supresión | Artículo 17 | Eliminación cuando: los datos ya no sean necesarios; el consentimiento retirado y sin otro fundamento legal; los datos tratados ilegalmente; la obligación legal requiere su eliminación; los datos recogidos a través de servicios en línea de los niños. | No se aplica cuando el tratamiento sea necesario para: libertad de expresión; obligación legal; salud pública; archivo/investigación/estadísticas; reclamaciones legales. |
| Derecho a la restricción | Artículo 18 | Detener todo el tratamiento (excepto el almacenamiento) mientras: se impugna la exactitud; el tratamiento es ilícito pero usted prefiere la restricción a la supresión; los datos son necesarios para sus reclamaciones legales pero no para el responsable del tratamiento; usted se ha opuesto y el responsable del tratamiento está verificando sus motivos. | El responsable del tratamiento deberá informarle antes de levantar una restricción. |
| Derecho a la portabilidad de los datos | Artículo 20 | Recibir los datos proporcionados en un formato estructurado, comúnmente utilizado y legible por máquina. Solicitar la transferencia directa de un responsable del tratamiento a otro cuando sea técnicamente factible. | Se aplica únicamente cuando el tratamiento se basa en el consentimiento o en un contrato y se realiza por medios automatizados. No se aplica al tratamiento basado en una tarea pública o en una obligación legal. |
| Derecho a oponerse | Artículo 21 | Oponerse en cualquier momento a un tratamiento basado en una tarea pública (artículo 6(1)(e)) o en intereses legítimos (artículo 6(1)(f)), incluida la elaboración de perfiles. Derecho absoluto a oponerse al tratamiento con fines de mercadotecnia directa (sin posibilidad de excepción). | En el caso de las objeciones de no comercialización, el responsable del tratamiento podrá continuar si puede demostrar motivos legítimos imperiosos que prevalecen sobre sus intereses. |
| Decisiones automatizadas | Artículo 22 | No estar sujeto a una decisión basada únicamente en el procesamiento automatizado (incluida la elaboración de perfiles) que produzca efectos legales o que le afecte significativamente de manera similar. Derecho a la revisión humana, a expresar su opinión y a impugnar la decisión. | Excepciones: necesario para el contrato con usted; autorizado por la ley; basado en el consentimiento explícito. Los datos de categoría especial exigen una condición adicional del artículo 9(2)(a) o (g). |
Puede ejercer cualquiera de los derechos anteriores poniéndose en contacto directamente con el responsable del tratamiento. El responsable del tratamiento debe facilitar sus solicitudes y no puede exigir que utilice un formato específico, aunque puede solicitar información adicional para verificar su identidad (artículo 12(6)). Si el responsable del tratamiento no atiende su solicitud, puede presentar una reclamación ante su autoridad nacional de protección de datos o solicitar una tutela judicial ante los tribunales del Estado miembro donde el responsable del tratamiento esté establecido o donde usted resida (artículo 79).
Capítulo IV, Artículos 24-43: Arquitectura de cumplimiento para los responsables del tratamiento y los procesadores
La protección de datos debe integrarse en los sistemas y procesos desde el principio, no añadida como una idea posterior. Esto significa utilizar técnicas de seudonimización y minimización de datos en la fase de diseño, y garantizar que, por defecto, sólo se procesen los datos mínimos necesarios. El principio se aplica a cualquier nueva tecnología, servicio o producto que involucre datos personales.
Los responsables del tratamiento deben mantener un registro por escrito de todas las actividades de tratamiento, que cubra: el nombre y los datos de contacto del responsable del tratamiento; los datos de contacto del DPO; fines; categorías de interesados y de datos; destinatarios; transferencias internacionales; períodos de retención; y una descripción de las medidas de seguridad. Los encargados del tratamiento deben mantener registros análogos. Las organizaciones con menos de 250 empleados están exentas a menos que el tratamiento no sea ocasional, pueda crear un riesgo o implique categorías especiales.
Los responsables y los encargados del tratamiento deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. El RGPD enumera ejemplos (cifrado, seudonimización, resiliencia, copia de seguridad y recuperación, pruebas regulares) pero no exige ninguna tecnología específica. El estándar se basa en el riesgo: una organización de salud que procesa miles de registros de pacientes se mantiene a un estándar más alto que una pequeña empresa que solo trata direcciones de correo electrónico de los empleados.
Cuando se produzca una violación de datos personales (destrucción accidental o ilegal, pérdida, alteración, divulgación o acceso no autorizado a datos personales), el responsable del tratamiento deberá notificar a la autoridad de control competente en un plazo de 72 horas a partir de que tenga conocimiento de ella, a menos que sea improbable que la violación entrañe un riesgo para los derechos y libertades de las personas. Cuando la violación pueda suponer un riesgo elevado, también deberá notificarse sin demora indebida a los interesados afectados. Los encargados del tratamiento deberán notificar al responsable del tratamiento sin demora indebida en cuanto tengan conocimiento de una violación.
El RGPD exige específicamente una EIPD para: elaboración sistemática y extensa de perfiles con efectos significativos; tratamiento a gran escala de datos de categorías especiales o condenas penales; y monitoreo a gran escala sistemático de áreas de acceso público (por ejemplo, CCTV). Cuando la EIPD muestra un riesgo elevado residual que no se puede mitigar, el responsable del tratamiento debe consultar a la autoridad supervisora nacional antes de comenzar (art. 36).
El DPO debe ser designado por: todas las autoridades públicas (excepto los tribunales en su capacidad judicial); las organizaciones cuyas actividades fundamentales requieren un seguimiento regular y sistemático a gran escala de los interesados; y aquellas cuyas actividades fundamentales implican el procesamiento a gran escala de categorías especiales o datos de condenas penales. El DPO debe ser independiente, no puede ser despedido por desempeñar su función, debe informar al más alto nivel de gestión y debe tener conocimientos expertos sobre la legislación y la práctica en materia de protección de datos. Un grupo de empresas puede designar a un único DPO siempre que estén accesibles desde cada establecimiento.
Cada compromiso de un encargado de tratamiento debe regirse por un contrato escrito que obligue al encargado de tratamiento y que establezca: el objeto y la duración del tratamiento; la naturaleza y el propósito del tratamiento; el tipo de datos personales y las categorías de sujetos de datos; las instrucciones del responsable del tratamiento (el encargado de tratamiento solo debe tratar los datos en base a instrucciones documentadas del encargado de tratamiento); las obligaciones de seguridad; las reglas del subprocesador; y las obligaciones de supresión o devolución de datos al final del contrato. Si el encargado del tratamiento recurre a su vez a un subencargado, deben trasladarse las mismas obligaciones contractuales.
Capítulo V, Artículos 44-50: la exportación de datos personales fuera de la UE/EEE requiere un mecanismo de transferencia válido
El principio general del artículo 44 es que las transferencias de datos personales a terceros países o organizaciones internacionales solo se permiten si se cumplen las condiciones del capítulo V. El objetivo es garantizar que el nivel de protección de las personas garantizado por el RGPD no se vea socavado por una exportación a una jurisdicción menos protectora.
La sentencia del Tribunal de Justicia de la UE Schrems II de 16 de julio de 2020 (Case C-311/18, Comisionado de Protección de Datos contra Facebook Ireland Ltd y Maximillian Schrems) invalidó la decisión de adecuación del Escudo de Privacidad UE-EE.UU. El Tribunal determinó que la ley de vigilancia estadounidense (en particular la sección 702 FISA y la Orden Ejecutiva 12333) daba a las agencias de inteligencia de EE.UU. acceso a datos personales de la UE de manera que no cumplían con las normas de la UE. Como resultado, los responsables del tratamiento que dependen de los SCC deben llevar a cabo una evaluación de impacto de transferencia caso por caso para determinar si el marco legal del país de destino socava las protecciones contractuales. El Marco de Privacidad de Datos UE-EE.UU. (adoptado mediante decisión de adecuación el 10 de julio de 2023) proporciona una nueva base de adecuación para las organizaciones estadounidenses certificadas, pero se prevén nuevos recursos legales.
Capítulo VI-VIII, artículos 51-84: autoridades de control, el EDPB y multas administrativas de dos niveles
Cada Estado miembro debe establecer al menos una autoridad nacional de supervisión independiente (artículo 51). Las APD deben actuar con total independencia y tener tres categorías de competencias en virtud del artículo 58: competencias de investigación (acceso a los locales, datos e información); competencias correctivas (advertencias, reprimendas, órdenes, prohibiciones de procesamiento y multas); y competencias de asesoramiento y autorización (opiniones, códigos, BCR, certificaciones).
El mecanismo de ventanilla única (artículos 56, 60) significa que, para el tratamiento transfronterizo, la autoridad de control del Estado miembro en el que el responsable del tratamiento tenga su establecimiento principal actúa como autoridad de control principal. Por ejemplo, una empresa con sede en Irlanda trata principalmente con la Comisión de Protección de Datos irlandesa (DPC) para las actividades de tratamiento transfronterizas.
El EDPB es un organismo independiente de la UE establecido por el RGPD, compuesto por los responsables de las 27 autoridades de control nacionales y el Supervisor Europeo de Protección de Datos. Garantiza la aplicación coherente del RGPD en toda la UE mediante la emisión de directrices, dictámenes y decisiones vinculantes sobre casos transfronterizos en los que las autoridades de control no están de acuerdo. El CEPD ha publicado amplias directrices sobre temas como el consentimiento, la portabilidad de datos, las transferencias internacionales, las violaciones de datos, las EIPD, el derecho de acceso y muchas cuestiones específicas de sector. Las directrices del CEPD no tienen fuerza de ley, pero son seguidas de cerca por las autoridades de control y los tribunales.
El régimen de multas del RGPD funciona en dos niveles. Ambos niveles utilizan la misma fórmula "cualquiera que sea mayor" entre el máximo fijo y el máximo porcentaje de volumen de negocios, lo que garantiza que las multas sean significativas incluso para las empresas globales más grandes.
Al decidir si se impondrá una multa y el importe, las ADP deben tener en cuenta: la naturaleza, gravedad y duración de la infracción; si fue intencional o negligente; las medidas adoptadas para mitigar el daño; el grado de responsabilidad; infracciones anteriores; la cooperación con la ADP; las categorías de datos afectados; y si la ADP fue notificada voluntariamente.
| Organización | Autoridad | Año | Multa | Motivo |
|---|---|---|---|---|
| Meta (Facebook) | DPC de Irlanda | 2023 | 1200 millones de euros | Transferencias de datos personales de la UE a EE.UU. sin garantías adecuadas |
| Amazon | CNPD de Luxemburgo | 2021 | 746 millones de euros | Tratamiento de datos personales con fines publicitarios sin una base jurídica adecuada |
| Meta (WhatsApp) | DPC de Irlanda | 2021 | 225 millones de euros | Deficiencias en la información de transparencia y privacidad |
| CNIL de Francia | 2019 | 50 millones de euros | Falta de transparencia, información inadecuada y ausencia de consentimiento válido para anuncios personalizados | |
| Clearview AI | Garante de Italia | 2022 | 20 millones de euros | Tratamiento ilícito de datos biométricos (imágenes faciales extraídas de Internet) |
Cualquier persona que haya sufrido daños materiales o no materiales como resultado de una infracción del RGPD tiene derecho a recibir una indemnización del responsable o del encargado del tratamiento. Tanto los daños materiales (pérdida financiera, costos de robo de identidad) como los daños no materiales (angustia, ansiedad) están cubiertos. Los responsables y los encargados del tratamiento responden solidariamente, con derecho de repetición entre ellos. Esto crea un poderoso mecanismo de aplicación privada junto a la aplicación pública por parte de las autoridades de control.
desde la Directiva de 1995 hasta el RGPD y más allá
preguntas comunes sobre el ámbito de aplicación del RGPD, el consentimiento, las multas y el marco de derechos
Sí, si usted ofrece bienes o servicios a personas en la UE (gratis o remunerados) o si monitoriza el comportamiento de las personas en la UE (por ejemplo, a través de análisis de sitios web, cookies o publicidad comportamental dirigida a usuarios de la UE), el RGPD se aplica a usted en virtud del artículo 3(2). También debe designar un representante por escrito de la UE (artículo 27), a menos que su tratamiento sea ocasional, no implique datos de grandes categorías especiales y no sea probable que resulte en un riesgo para los derechos de las personas.
No. El consentimiento es una de las seis bases jurídicas del artículo 6. En muchas situaciones, otro fundamento jurídico es más apropiado: el procesamiento para el cumplimiento del contrato (art. 6(1)(b)), el cumplimiento de una obligación legal (art. 6(1)(c)), o los intereses legítimos (art. 6(1)(f)) pueden proporcionar un fundamento más estable y apropiado.
Según el artículo 4(12), una violación de datos personales es una violación de la seguridad que conduce a la destrucción accidental o ilegal, pérdida, alteración, divulgación no autorizada o acceso a los datos personales transmitidos, almacenados o tratados de otro modo. Esto incluye no solo ataques cibernéticos y piratería, sino también el envío accidental de un correo electrónico con datos personales al destinatario equivocado, la pérdida de una unidad USB no cifrada o una base de datos mal configurada que se vuelve accesible al público. No todas las violaciones requieren notificación a la autoridad de control: la notificación solo se requiere si es probable que la violación entrañe un riesgo para los derechos y libertades de las personas físicas (art. 33(1)).
No. Un DPO es obligatorio únicamente para: a) las autoridades públicas y los organismos (excepto los tribunales que actúen en su capacidad judicial); b) las organizaciones cuyas actividades centrales requieren un seguimiento regular y sistemático de los interesados a gran escala; y c) las organizaciones cuyas actividades centrales implican el procesamiento a gran escala de categorías especiales o datos de condenas penales (artículo 37(1)).
Las ADP deben evaluar las multas caso por caso, teniendo en cuenta los factores enumerados en el artículo 83(2): la naturaleza, gravedad y duración de la infracción; si fue intencional o negligente; el número de interesados afectados; el nivel de daños; infracciones anteriores; cooperación con la autoridad; las categorías de datos afectados; y la forma en que se conoció la infracción. El máximo de dos niveles (EUR 10 millones / 2% o EUR 20 millones / 4%) actúa como un límite máximo, no como una cantidad estándar o esperada. Para las grandes multinacionales, el 4% del cálculo del volumen de negocios global es el límite vinculante, ya que superará los EUR 20 millones.
Un responsable del tratamiento (art. 4(7)) es la persona física o jurídica, autoridad pública, agencia o organismo que determina los fines y medios del tratamiento de datos personales. Un encargado del tratamiento (art. 4(8)) es la entidad que trata datos personales por cuenta del responsable del tratamiento, siguiendo sus instrucciones documentadas. La misma entidad puede ser responsable del tratamiento para unos tratamientos y encargado del tratamiento para otros. Los responsables del tratamiento asumen las obligaciones principales de cumplimiento en virtud del RGPD. Los encargados del tratamiento también tienen obligaciones directamente aplicables (seguridad, notificación de violaciones al responsable, autorización de subencargados, registros) y son directamente responsables si exceden las instrucciones del responsable o actúan de forma ilícita.
las definiciones clave del artículo 4 y del marco del RGPD
referencias legislativas y reglamentarias primarias para el RGPD
El texto oficial consolidado del Reglamento (UE) 2016/679 está disponible en EUR-Lex en todas las lenguas oficiales de la UE.
Abierto en EUR-LexEl CEPD publica decisiones vinculantes, directrices, recomendaciones y dictámenes de coherencia sobre la interpretación del RGPD. Lectura esencial para los profesionales del cumplimiento.
Documentos del EDPBCada Estado miembro de la UE tiene su propia autoridad de control de la protección de datos. El CEPD mantiene un directorio completo. Su autoridad de control nacional es el principal contacto para las quejas y orientaciones en su jurisdicción.
Directorio de DPALa publicación original del Diario Oficial del RGPD. Las páginas 1-88 contienen el Reglamento; las páginas 88-102 contienen la Directiva de aplicación de la ley (2016/680) en el mismo número.
DO L 119Herramientas basadas en IA para profundizar en el cumplimiento del RGPD, las enmiendas y el análisis de políticas
Brubru proporciona a los profesionales de la política de la UE herramientas basadas en IA para navegar por todo el cuerpo jurídico de la UE: chat, controles de cumplimiento, redacción de enmiendas y seguimiento legislativo en los 27 Estados miembros.