🗂️ Tema 10: Reglamento (UE) 2016/679, de 27 de abril, relativo a la protección de las personas físicas en lo que respecta

Auxiliar Administrativo/a (Grupo Auxiliar de la Función Administrativa) · Servizo Galego de Saúde · Bloque II

Resumen

El Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (RGPD), se aplica directamente en toda la Unión desde el 25 de mayo de 2018, sin necesidad de ley que lo trasponga (art. 99). En España lo completa la Ley Orgánica 3/2018 (LOPDGDD), que se estudia en el tema 7. Este tema se centra en el propio Reglamento y en la seguridad de los datos que maneja a diario un auxiliar administrativo: historias, citas, nóminas, expedientes de personal.

Conceptos. Dato personal es toda información sobre una persona física identificada o identificable. Tratamiento es cualquier operación sobre esos datos: recoger, registrar, consultar, comunicar o destruir. El responsable decide los fines y los medios del tratamiento, y el encargado trata los datos por cuenta del responsable (art. 4). Los datos de salud y los genéticos o biométricos son categorías especiales, cuyo tratamiento está prohibido salvo las excepciones del art. 9.2, entre ellas la asistencia sanitaria. La seudonimización impide atribuir los datos a una persona sin información adicional que se guarda aparte (art. 4.5).

Principios (art. 5.1): licitud, lealtad y transparencia; limitación de la finalidad; minimización (datos adecuados, pertinentes y limitados a lo necesario); exactitud; limitación del plazo de conservación; e integridad y confidencialidad, que exige una seguridad adecuada contra el tratamiento no autorizado y la pérdida o destrucción accidental. Además, el responsable debe cumplir estos principios y poder demostrarlo (responsabilidad proactiva, art. 5.2).

Derechos del interesado: información, acceso, rectificación, supresión («derecho al olvido»), limitación, portabilidad y oposición, y a no ser objeto de decisiones solo automatizadas (arts. 13 a 22). El responsable responde a las solicitudes sin dilación indebida y, como máximo, en un mes, prorrogable dos meses más si es necesario (art. 12.3). Ejercer estos derechos es gratuito, salvo solicitudes manifiestamente infundadas o excesivas (art. 12.5).

Seguridad y privacidad. El responsable y el encargado aplican medidas técnicas y organizativas apropiadas al riesgo, como la seudonimización y el cifrado, garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, poder restaurar los datos tras un incidente y verificar periódicamente la eficacia de las medidas (art. 32.1). La protección de datos debe estar en el diseño y por defecto: solo se tratan los datos necesarios para cada fin (art. 25). En la práctica: no compartir contraseñas, bloquear la pantalla al levantarse, no dejar documentos a la vista, no enviar datos de salud por canales no corporativos y destruir el papel de forma segura.

Brechas de seguridad. Si hay una violación de la seguridad de los datos, el responsable la notifica a la autoridad de control sin dilación y, si es posible, en 72 horas (art. 33.1). El encargado avisa al responsable sin dilación indebida (art. 33.2). Si entraña un alto riesgo para las personas, también se comunica a los afectados (art. 34). Las Administraciones públicas deben designar un delegado de protección de datos, que supervisa el cumplimiento y coopera con la autoridad de control (arts. 37 y 39).

Claves para el examen

• RGPD aplicable desde el 25 de mayo de 2018 (art. 99.2).
• Responsable: decide fines y medios; encargado: trata por cuenta del responsable (RGPD, art. 4).
• Seudonimización: no se puede atribuir el dato sin información adicional guardada aparte (RGPD, art. 4.5).
• Principios: licitud, finalidad, minimización, exactitud, conservación limitada, integridad y confidencialidad (RGPD, art. 5.1).
• Responsabilidad proactiva: cumplir y poder demostrarlo (RGPD, art. 5.2).
• Datos de salud: categoría especial, prohibida salvo excepciones del art. 9.2.
• Respuesta a los derechos: 1 mes, prorrogable 2 más (RGPD, art. 12.3).
• Medidas de seguridad: seudonimización, cifrado, confidencialidad, integridad, disponibilidad y resiliencia (RGPD, art. 32.1).
• Brecha: notificación a la autoridad de control en 72 horas si es posible (RGPD, art. 33.1).
• Autoridades y organismos públicos: delegado de protección de datos obligatorio (RGPD, art. 37.1).

📚 Normativa del tema

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD) (DOUE-L-2016-80807)
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (BOE-A-2018-16673)

📲 Compártelo con quien prepare la oposición: WhatsApp · Telegram

← Tema 9 · Tema 11 →