Preguntas frecuentes sobre RGPD

Un dato de carácter personal es cualquier información que identifique o permita identificar a una persona física, directa o indirectamente.

La identificación puede producirse mediante un dato por sí mismo o mediante la combinación de información adicional que permita determinar quién es la persona.

Sí. Se considera dato personal cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo que esté relacionada con una persona física identificada o identificable.

Algunos ejemplos son el nombre y apellidos, DNI, dirección, teléfono, correo electrónico, nóminas, cuentas bancarias, información académica, solvencia patrimonial o información relacionada con la salud.

Además, el RGPD establece determinadas categorías especiales de datos que requieren una protección reforzada.

Son determinadas categorías de datos personales cuyo tratamiento está sometido a condiciones específicas por su especial sensibilidad.

Entre ellas se encuentran, por ejemplo:

• Datos relativos a la salud.
• Datos genéticos.
• Datos biométricos utilizados para identificar de manera unívoca a una persona.
• Datos relativos al origen racial o étnico.
• Opiniones políticas.
• Creencias religiosas o filosóficas.
• Afiliación sindical.
• Datos relativos a la vida sexual u orientación sexual.

Son datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionan información única sobre su fisiología o salud.

Pueden obtenerse, entre otros medios, mediante el análisis de una muestra biológica.

Son datos personales obtenidos mediante un tratamiento técnico específico relacionado con características físicas, fisiológicas o conductuales que permiten o pueden permitir la identificación única de una persona.

Algunos ejemplos pueden estar relacionados con determinadas características faciales o dactiloscópicas, dependiendo del tratamiento realizado y de su finalidad.

Cuando el tratamiento se basa en el consentimiento, este debe prestarse mediante una manifestación de voluntad libre, específica, informada e inequívoca, mediante una acción afirmativa clara.

No obstante, el consentimiento no es la única base jurídica posible para tratar datos personales. El RGPD contempla otras bases jurídicas, como el cumplimiento de una obligación legal o la ejecución de un contrato.

El RGPD exige requisitos adicionales de consentimiento explícito en determinados supuestos, entre ellos algunos tratamientos de categorías especiales de datos.

También existen requisitos específicos para determinadas decisiones automatizadas y determinadas transferencias internacionales, dependiendo de la situación concreta.

En términos generales, el RGPD se aplica a responsables y encargados que realizan tratamientos de datos personales dentro de su ámbito de aplicación.

Por ello, empresas, autónomos, asociaciones, entidades, profesionales y otras organizaciones pueden estar sujetas a sus obligaciones cuando tratan datos personales.

El cumplimiento debe plantearse desde el momento en que una organización comienza a realizar tratamientos de datos personales sujetos al RGPD.

No se trata únicamente de preparar documentación, sino de mantener procedimientos, medidas de seguridad y garantías adecuadas durante todo el ciclo de vida del tratamiento.

Sí. Las autoridades de protección de datos pueden adoptar medidas correctivas e imponer sanciones administrativas cuando se producen incumplimientos de la normativa aplicable.

La cuantía y las consecuencias dependen de factores como la naturaleza del incumplimiento, su gravedad, duración y otras circunstancias previstas legalmente.

Un incumplimiento puede dar lugar, según las circunstancias, a actuaciones de la autoridad de control, requerimientos, medidas correctivas y sanciones administrativas.

Además, determinadas conductas relacionadas con el tratamiento ilícito de información pueden tener consecuencias jurídicas adicionales cuando encajan en otros supuestos previstos por el ordenamiento jurídico.

Por este motivo, es importante analizar cada situación de forma individual y contar con procedimientos adecuados de cumplimiento.

Sí, siempre que el tratamiento de esos datos personales entre dentro del ámbito de aplicación del RGPD.

La normativa no se limita exclusivamente a la información almacenada en ordenadores o sistemas digitales.

Un tratamiento manual puede quedar incluido dentro del ámbito de aplicación cuando los datos personales forman parte de un conjunto estructurado que permite acceder a ellos conforme a criterios determinados.

Por tanto, determinadas carpetas, archivos físicos o documentación en papel pueden estar sujetos a obligaciones de protección de datos.

Sí. El ámbito de aplicación del RGPD comprende determinados tratamientos automatizados y también tratamientos no automatizados cuando forman parte de un fichero o conjunto estructurado de datos personales.