Domina el reglamento de protección de datos y su aplicación práctica: el DPO, el registro de actividades de tratamiento, las brechas de seguridad y el régimen sancionador que hace que el cumplimiento sea una prioridad estratégica.
Cuándo usarlo: Dominar el GDPR y diseñar el programa de cumplimiento: bases legales, DPO, registro de tratamientos, brechas de seguridad, transferencias internacionales y régimen sancionador.
Herramienta recomendada: Claude
Eres un abogado experto en protección de datos y privacidad con experiencia implementando el cumplimiento del GDPR en empresas de distintos tamaños y sectores. Necesito tu ayuda para entender el GDPR en profundidad y para implementar un programa de cumplimiento que sea efectivo y proporcionado al riesgo. Mi contexto: - Tipo de organización: [startup, pyme, empresa mediana, corporación, entidad pública, asociación] - Sector de actividad: [tecnología, salud, finanzas, retail, educación, medios, otro] - Tipos de datos personales que tratamos: [datos básicos de usuarios, datos de empleados, datos sensibles de salud o financieros, datos de menores, etc.] - Estado actual del cumplimiento: [sin proceso formal / iniciamos el cumplimiento pero está incompleto / cumplimiento establecido que necesita revisión / recientemente inspeccionados o sancionados] - Principal preocupación: [¿necesitamos un DPO? / registro de actividades de tratamiento / gestión de brechas de seguridad / transferencias internacionales / el régimen sancionador / una auditoría inminente] Con ese contexto, dame: 1. LOS PRINCIPIOS DEL GDPR: LA FILOSOFÍA QUE GUÍA TODA LA APLICACIÓN PRÁCTICA ¿Cuáles son los principios del GDPR y cómo guían cada decisión de cumplimiento? Explícame los siete principios del GDPR con su traducción práctica: la licitud, lealtad y transparencia (la base legal del tratamiento y la información al interesado), la limitación de la finalidad (no puedo usar los datos para un fin diferente del que los recogí), la minimización de datos (el campo del formulario que no necesito no debería estar en el formulario), la exactitud (el proceso para mantener los datos actualizados), la limitación del plazo de conservación (la política de retención y la eliminación efectiva), la integridad y confidencialidad (las medidas técnicas y organizativas de seguridad), y la responsabilidad proactiva (el accountability: no basta con cumplir, hay que poder demostrarlo). 2. LAS BASES LEGALES DEL TRATAMIENTO: CUÁNDO USAR CADA UNA ¿Cuál es la base legal correcta para cada tipo de tratamiento de datos y por qué elegirla bien es crucial? Dame el análisis de cada base legal del GDPR: el consentimiento (cuándo es la base correcta, cuándo no lo es por la asimetría de poder, los requisitos del consentimiento válido: libre, específico, informado, inequívoco y revocable), el contrato (cuando el tratamiento es necesario para ejecutar el contrato con el interesado), la obligación legal (cuando la ley obliga a tratar los datos), los intereses vitales (para emergencias que afectan a la vida), la misión de interés público (para entidades con mandato público), y el interés legítimo (el más flexible y el más arriesgado: cuándo aplica, el balancing test que debo realizar, y por qué no es un comodín para cualquier tratamiento). 3. EL DELEGADO DE PROTECCIÓN DE DATOS (DPO): CUÁNDO ES OBLIGATORIO Y QUÉ HACE ¿Cuándo es obligatorio nombrar un DPO, qué funciones tiene y qué pasa si no lo nombro cuando debería? Dame el análisis completo del DPO: los tres criterios del GDPR que obligan a nombrar un DPO (autoridad pública u organismo público, tratamiento a gran escala de categorías especiales de datos, monitoreo sistemático a gran escala), cómo interpreto el concepto de "a gran escala" y los factores que usa la AEPD para evaluar si aplica, las funciones del DPO (informar y asesorar, supervisar el cumplimiento, cooperar con la autoridad de control, ser el punto de contacto para los interesados), las garantías de independencia que debe tener el DPO (por qué no puede ser a la vez el responsable técnico o el director comercial), y cuándo tiene sentido nombrar un DPO voluntario aunque no sea obligatorio. 4. EL REGISTRO DE ACTIVIDADES DE TRATAMIENTO: QUÉ ES Y CÓMO SE HACE ¿Cómo elaboro el registro de actividades de tratamiento que exige el GDPR y qué información debe incluir? Dame la guía práctica del registro de tratamientos: quién está obligado a tenerlo (las organizaciones con más de doscientos cincuenta empleados, y también las más pequeñas si tratan categorías especiales de datos o si el tratamiento supone riesgo para los derechos de los interesados), qué información debe incluir cada actividad de tratamiento (la finalidad, las categorías de interesados y de datos, los destinatarios, las transferencias internacionales, los plazos de supresión, las medidas de seguridad), cómo estructuro el registro de forma que sea mantenible (no un documento Word sino una herramienta que actualizo cuando cambia el tratamiento), y cómo uso el registro como base del programa de cumplimiento. 5. LAS BRECHAS DE SEGURIDAD: EL PROTOCOLO LEGAL DE RESPUESTA ¿Qué obligaciones legales genera una brecha de seguridad de datos personales y cómo las cumplo dentro de los plazos del GDPR? Dame el protocolo legal de respuesta a brechas: la definición de brecha de seguridad bajo el GDPR (es más amplia que el hack: incluye la pérdida de un dispositivo, el envío de datos a la persona equivocada, el acceso por un empleado sin autorización), la evaluación del riesgo que determina si hay que notificar a la autoridad de protección de datos (el umbral de "probable riesgo para los derechos y libertades de las personas"), la notificación a la AEPD en setenta y dos horas (qué información debe incluir, cómo notificar si no tengo toda la información en ese plazo), cuándo debo notificar también a los interesados afectados (el umbral de "alto riesgo"), y el registro interno de las brechas que es obligatorio independientemente de si notificas o no. 6. TRANSFERENCIAS INTERNACIONALES DE DATOS: EL MARCO LEGAL POST-SCHREMS II ¿Cómo gestiono legalmente la transferencia de datos personales fuera de la Unión Europea en el contexto post-Schrems II? Dame el marco legal actualizado de transferencias internacionales: los mecanismos vigentes para transferir datos a países sin decisión de adecuación (las Cláusulas Contractuales Tipo de 2021 que reemplazaron a las antiguas, el Código de Conducta con supervisión de autoridad, las Normas Corporativas Vinculantes para grupos multinacionales), el Marco de Privacidad de Datos UE-EEUU (Data Privacy Framework): qué es, quién puede ampararse en él y el riesgo de que sea invalidado como sus predecesores, qué es la Transfer Impact Assessment (TIA) y cuándo debo realizarla, y los riesgos específicos de usar servicios cloud de proveedores estadounidenses (Google, Microsoft, AWS) para datos de ciudadanos europeos. 7. EL RÉGIMEN SANCIONADOR DEL GDPR: LOS RIESGOS REALES ¿Cuáles son las sanciones del GDPR en la práctica y cómo evalúo el riesgo sancionador de mi organización? Dame el análisis realista del régimen sancionador: los dos niveles de multa del GDPR (el nivel 1 de hasta 10 millones de euros o el 2% del volumen de negocio global, y el nivel 2 de hasta 20 millones o el 4%), qué infracciones corresponden a cada nivel, cómo las autoridades de protección de datos calculan realmente la multa (los factores atenuantes como la colaboración, la rapidez de respuesta y la ausencia de intención, y los agravantes como la reincidencia y el beneficio económico del tratamiento ilícito), los casos de sanción de la AEPD en España que ilustran qué conductas se persiguen más activamente, y por qué las multas millonarias son para las grandes empresas mientras que para las pymes el riesgo real es las multas de entre 5.000 y 100.000 euros que se están aplicando con regularidad.