El RGPD se aplica en los casos siguientes:

•    su empresa o entidad trata datos personales como parte de las actividades de una de sus sucursales establecidas en la Unión Europea (UE), independientemente del lugar donde sean tratados los datos, o

•    su empresa está establecida fuera de la UE y ofrece productos o servicios (de pago o gratuitos) u observa el comportamiento de las personas en la UE.

Si su empresa es una pequeña o mediana empresa (pyme) que trata datos personales según lo descrito arriba debe cumplir el Reglamento. Sin embargo, si el tratamiento de datos personales no constituye la parte principal de su negocio y su actividad no entraña riesgos para las personas, no estará sujeto a algunas obligaciones del RGPD [como el nombramiento de un delegado de protección de datos (DPD)]. Cabe señalar que las «actividades principales» deben incluir actividades en las que el tratamiento de datos forme una parte indisociable de la actividad del responsable o encargado del tratamiento.

Cuándo se aplica el Reglamento y cuándo no

SI. Usted es una empresa pequeña de enseñanza superior que opera por internet y está establecida fuera de la UE. Su actividad va destinada principalmente a universidades de lengua española y portuguesa de la UE. Ofrece asesoramiento gratuito en varios cursos universitarios y los estudiantes necesitan un nombre de usuario y una contraseña para acceder al material disponible en línea. La empresa ofrece dicho nombre de usuario y contraseña una vez los estudiantes han cumplimentado un formulario de matrícula.

NO. Usted es un proveedor de servicios de fuera de la UE que presta servicios a clientes de fuera de la Unión. Sus clientes pueden utilizar sus servicios cuando viajan a otros países, incluida la UE. Siempre que no dirija sus servicios específicamente a personas de la UE no estará sujeto a las normas del RGPD.

La aplicación del Reglamento de protección de datos (RGPD) no depende del tamaño de la empresa, sino de la naturaleza de sus actividades. Las actividades que entrañan elevados riesgos para los derechos y libertades de las personas, tanto si las lleva a cabo una pyme como una corporación, dan lugar a la aplicación de normas más estrictas. Sin embargo, algunas de las obligaciones del RGPD pueden no aplicarse a todas las pymes.

Por ejemplo, las empresas con menos de 250 empleados no deben llevar registros de sus actividades de tratamiento a menos que el tratamiento de los datos personales sea una actividad habitual, suponga una amenaza para los derechos y libertades de las personas o guarde relación con datos sensibles o antecedentes penales.

Asimismo, las pymes solo deberán nombrar a un delegado de protección de datos si el tratamiento es su actividad principal y supone una amenaza específica para los derechos y libertades de las personas (como la observación de personas o el tratamiento de datos sensibles o antecedentes penales), en particular porque se realiza a gran escala.

Las normas se aplican únicamente a los datos de personas, no rigen los datos sobre empresas ni ninguna otra persona jurídica. Sin embargo, la información relacionada con empresas unipersonales puede constituir datos personales cuando permita la identificación de una persona física. Además, las normas se aplican a todos los datos personales relacionados con personas físicas en el ejercicio de su actividad profesional, como los empleados de una empresa u organización, las direcciones de correo electrónico del trabajo de tipo «nombre.apellido@empresa.eu» o los números de teléfono del trabajo de los empleados.

Qué datos podemos tratar y en qué condiciones

El tipo y la cantidad de datos personales que pueden tratar dependen de las razones del tratamiento (razón jurídica usada) y lo que quieran hacer con ello. Deben respetar varias normas clave, que incluyen las siguientes:

•    los datos personales deben tratarse de forma lícita y transparente, garantizando la lealtad hacia las personas cuyos datos personales se están tratando («licitud, lealtad y transparencia»),

•    deben tenerse fines específicos para el tratamiento de los datos e indicarse dichos fines a las personas al recopilar sus datos personales; no pueden recopilarse simplemente datos personales para fines indeterminados («limitación de la finalidad»),

•    solo deben recopilarse y tratarse los datos personales que sean necesarios para cumplir esa finalidad («minimización de datos»),

•    debe garantizarse que los datos personales sean exactos y estén actualizados, en relación con los fines para los que son tratados, y corregirlos en caso contrario («exactitud»),

•    no se pueden seguir utilizando los datos personales para otros fines que no sean compatibles con la finalidad original de la recopilación,

•    debe garantizarse que los datos personales no se conserven más tiempo del necesario para los fines para los que fueron recopilados («limitación del plazo de conservación»),

•    deben establecerse garantías técnicas y organizativas apropiadas que garanticen la seguridad de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de la tecnología apropiada («integridad y confidencialidad»).

¿Podemos tratar datos para cualquier fin?

No, deben saber para qué fin quieren tratar los datos personales e informar a las personas de las que se traten datos. No pueden indicar únicamente que se recopilarán y tratarán datos personales. Esto se conoce como el principio de la «limitación de la finalidad».

 

¿Podemos utilizar los datos para otro fin?

Sí, pero solo en algunos casos. Si han recopilado datos basándose en un interés legítimo, un contrato o intereses vitales, pueden utilizarlos para otros fines, pero solo después de comprobar que el nuevo fin sea compatible con el fin original.

Debe valorarse lo siguiente:

•    la relación entre el fin inicial y el nuevo o futuro fin,

•    el contexto en que se recopilaron los datos (¿cuál es la relación entre la empresa y la persona?),

•    el tipo y la naturaleza de los datos (¿son sensibles?),

•    las posibles consecuencias del tratamiento ulterior (¿cómo afectará a la persona?),

•    la existencia de garantías adecuadas (como cifrado o seudonimización).

Si quieren utilizar los datos para fines estadísticos o científicos, no es necesario realizar ninguna prueba de compatibilidad.

Si han recogido los datos sobre la base del consentimiento o en cumplimiento de una exigencia de la legislación, no puede haber ningún tratamiento ulterior fuera de los ámbitos cubiertos por el consentimiento inicial o la disposición legal. Un tratamiento ulterior exigiría la obtención de un nuevo consentimiento o una nueva base jurídica.

 

¿Cuántos datos podemos recopilar?

Los datos personales deben ser tratados únicamente cuando no sea razonablemente posible realizar el tratamiento de otra forma. Cuando sea posible, será preferible utilizar datos anónimos. Cuando se necesiten datos personales, estos deben ser adecuados, pertinentes y limitados a lo necesario para el fin («minimización de los datos»). Es responsabilidad suya, como responsables del tratamiento, evaluar la cantidad de datos necesarios y garantizar que no se recopilen datos que no sean pertinentes.

¿Durante cuánto tiempo podemos conservar los datos? Y, ¿tenemos que actualizarlos?

Los datos deben conservarse durante el menor tiempo posible. Este plazo debe tener en cuenta los motivos por los que se necesita el tratamiento de los datos, así como las obligaciones legales de conservar los datos durante un tiempo determinado (como la legislación nacional laboral, fiscal o de lucha contra el fraude que exigen la conservación de los datos personales sobre empleados durante un período determinado, la duración de la garantía de los productos, etc.).

Su empresa/organización debe establecer plazos de supresión o revisión de los datos que conserve.

De forma excepcional, se pueden conservar los datos personales durante plazos más largos con fines de archivo en interés público o investigación científica o histórica, siempre que se establezcan medidas técnicas y organizativas apropiadas (como la anonimización, el cifrado, etc.).

Además, deben garantizar que los datos que poseen sean exactos y mantenerlos actualizados.

¿Qué información debemos dar a las personas de las que recopilamos datos?

En el momento de recopilar los datos, deben decir claramente a las personas de las que estén recopilando datos, por lo menos lo siguiente:

•    quiénes son (su información de contacto y la de su delegado de protección de datos, si lo tienen),

•    para qué utilizarán sus datos personales (fines),

•    las categorías de datos personales de que se trate,

•    la justificación jurídica del tratamiento de los datos,

•    durante cuánto tiempo conservarán los datos,

•    quién más puede recibirlos,

•    si los datos personales se transferirán a un destinatario de fuera de la UE,

•    que tienen derecho a una copia de los datos (derecho de acceso a los datos personales) y otros derechos básicos del ámbito de la protección de datos (véase la lista completa de derechos),

•    su derecho a presentar una reclamación ante una autoridad de protección de datos,

•    su derecho a retirar el consentimiento en todo momento,

•    en su caso, la existencia de decisiones automatizadas y la lógica aplicada, además de las consecuencias que conlleva.

Esta información puede facilitarse por escrito o, si procede, verbalmente a solicitud de la persona cuando se demuestre la identidad del interesado por otros medios o por medios electrónicos. Ello debe hacerse de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo y de forma gratuita.

Cuando los datos se hayan obtenido de otra empresa u organización, deberán proporcionar la información anterior a la persona a más tardar en el plazo de un mes a partir de la obtención de los datos personales; o, en caso de que ustedes se comuniquen con la persona, en el momento que los datos se utilicen para la comunicación; o, si se prevé revelarlos a otra empresa, en el momento que se revelen por primera vez.

Asimismo, deben informar a la persona de las categorías de datos y la fuente de la que se obtuvieron; y, si se obtuvieron de fuentes de acceso público, suministrar también esta información. En circunstancias específicas enumeradas en el artículo 13, apartado 4, y el artículo 14, apartado 5, del Reglamento general de protección de datos pueden estar exentos de la obligación de informar a la persona. Verifiquen si están en alguno de estos escenarios.

¿Qué datos podemos tratar y en qué condiciones?

El tipo y la cantidad de datos personales que pueden tratar dependen de las razones del tratamiento (razón jurídica usada) y lo que quieran hacer con ello. Deben respetar varias normas clave, que incluyen las siguientes:

•    los datos personales deben tratarse de forma lícita y transparente, garantizando la lealtad hacia las personas cuyos datos personales se están tratando («licitud, lealtad y transparencia»),

•    deben tenerse fines específicos para el tratamiento de los datos e indicarse dichos fines a las personas al recopilar sus datos personales; no pueden recopilarse simplemente datos personales para fines indeterminados («limitación de la finalidad»),

•    solo deben recopilarse y tratarse los datos personales que sean necesarios para cumplir esa finalidad («minimización de datos»),

•    debe garantizarse que los datos personales sean exactos y estén actualizados, en relación con los fines para los que son tratados, y corregirlos en caso contrario («exactitud»),

•    no se pueden seguir utilizando los datos personales para otros fines que no sean compatibles con la finalidad original de la recopilación,

•    debe garantizarse que los datos personales no se conserven más tiempo del necesario para los fines para los que fueron recopilados («limitación del plazo de conservación»),

•    deben establecerse garantías técnicas y organizativas apropiadas que garanticen la seguridad de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de la tecnología apropiada («integridad y confidencialidad»).

¿Qué reglas se aplican si mi organización transfiere datos fuera de la UE?

En el mundo globalizado actual, existen grandes cantidades de transferencias transfronterizas de datos personales, que a veces se conservan en servidores en varios países distintos. La protección que ofrece el Reglamento general de protección de datos (RGPD) viaja con los datos, lo cual significa que las normas que protegen los datos personales seguirán aplicándose independientemente de dónde vayan a parar los datos. Esto también se aplica cuando los datos se transfieren a un Estado no perteneciente a la Unión Europea (UE).

El RGPD proporciona varias herramientas para establecer el marco para las transferencias de datos desde la UE a Estados no pertenecientes a la UE:

•    A veces, mediante una decisión de la Comisión Europea («decisión de adecuación») se declara que un Estado no perteneciente a la UE ofrece un nivel de protección de datos adecuado, lo cual significa que se pueden transferir datos a otra empresa de ese Estado no perteneciente a la UE sin que el exportador de los datos deba ofrecer más garantías o esté sujeto a condiciones adicionales. En otras palabras, las transferencias a un tercer país «adecuado» se asimilarán a una transmisión de datos dentro de la UE.

•    A falta de una decisión de adecuación, la transferencia puede hacerse mediante el establecimiento de garantías adecuadas y a condición de que las personas cuenten con derechos exigibles y acciones legales efectivas. Tales garantías adecuadas incluyen, entre otras:

•    en el caso de los grupos empresariales o la unión de empresas dedicadas a una actividad económica conjunta, que las empresas pueden transferir los datos personales basándose en las denominadas «normas corporativas vinculantes»,

•    acuerdos contractuales con el destinatario de los datos personales que utilizan, por ejemplo, las cláusulas contractuales tipo aprobadas por la Comisión Europea,

•    la adhesión a un código de conducta o un mecanismo de certificación junto con compromisos vinculantes y exigibles asumidos por el destinatario en relación con la aplicación de las garantías adecuadas para la protección de los datos transferidos.

•    Por último, si se prevé realizar una transferencia de datos personales a un tercer país que no está sujeto a una decisión de adecuación y en ausencia de garantías adecuadas, se puede realizar la transferencia basándose en varias excepciones para situaciones específicas, por ejemplo, cuando una persona haya consentido explícitamente a la transferencia propuesta tras haber recibido toda la información necesaria sobre los riesgos relacionados con dicha transferencia.

¿Es realmente Copyleft una licencia?

El Copyleft no es una licencia en sí misma, sino unas directrices de cómo se debe gestionar la licencia o contrato de la obra (explotación, copia, distribución, etc.).

Cuando elija la licencia que mejor se adecua a mi obra, tendré que indicar de la forma más clara posible bajo qué características se rige la misma.

¿Qué licencia Copyleft se adecúa mejor a mi obra?

GNU - http://www.fsf.org/licensing

La GNU, según el manual del copyleft, fue creada a mediados de la década de los 80 y tiene su origen en el mundo del software   libre y   es, a   su   vez, la principal responsable de todo el movimiento por la cultura libre y el Copyleft.

Está basada en las 4 libertades propuestas por Stallman y la FSF:

- de uso

- de estudio y modificación

- de copia

- de mejora y distribución de los contenidos

¿Qué licencia Copyleft se adecúa mejor a mi obra?

CREATIVE COMMONS - http://es.creativecommons.org

“Muchos autores se han dado cuenta a lo largo del tiempo de que el derecho de copia absoluto  no  le  ayuda  a  la  hora  de  conseguir  la  exposición  o  distribución  amplia que  desea  [...]  Creative  Commons  trata  de  ayudar  a  la  gente  a  expresar  esta preferencia por compartir ofreciendo a todo el mundo un conjunto de licencias en la web, sin coste alguno”

Las condiciones que ofrece CC son 6, como combinación de 4 esenciales:

- Reconocimiento. Debe reconocer adecuadamente la autoría, proporcionar un enlace a la licencia e indicar si se han realizado cambios. Puede hacerlo de cualquier manera razonable, pero no de una manera que sugiera que tiene el apoyo del licenciador o lo recibe por el uso que hace.

- Sin obras derivadas. Si remezcla, transforma o crea a partir del material, no puede difundir el material modificado.

-  No comercial. No puede utilizar el material para una finalidad comercial.

- Compartir igual. Copiar y redistribuir el material en cualquier medio o formato

ART LIBRE - http://www.artlibre.org

Fue una de las pioneras en trasvasar la idea del software libre al mundo del arte. Como otras muchas licencias Copyleft, ésta promueve el libre acceso a la cultura en contraposición a otros modelos restrictivos, caso del Copyright.

En el Manualcopyleft.net se explica cómo el artista que utiliza esta licencia garantiza que el usuario pueda:

Hacer copias para uso personal o de terceros.

Distribuir libremente el trabajo por cualquier medio, de manera gratuita o no.

Modificar libremente el trabajo.

¿Copyleft = Gratuito? NO

Está muy extendida la idea que Copyleft quiere decir gratuito. Las confusiones residen:

En los principios que esta licencia es menos restrictiva.

La automática autorización de la obra obtenida en la propia licencia.

En algunas licencias Copyleft, el artista puede especificar que su obra puede ser copiada, distribuida, reproducida o modificada siempre y cuando no sea para usos comerciales.

¿Mi obra Copyleft puede ser plagiada?

Una obra Copyleft posee una licencia como cualquier otra creación.

Si el autor demuestra que su obra ha sido plagiada, se pueden emprender actos legales.