1. Naturaleza:

• Se ha de describir que ha ocurrido si se trata de un ciberincidente, ciberataque, envío de datos por error, etc.
• A qué datos ha afectado, si se trata de datos básicos, de contacto, email, usuario y contraseñas, copias de DNI, etc.
• De qué manera se ha producido, si es por un acceso ilegítimo, datos extraídos, alterados, etc.

1.  Consecuencias

• Que impacto puede tener sobre las personas, si supone un menoscabo de los derechos fundamentales, fraude o daños físicos o psicológicos, entre otras.
• A qué datos ha afectado, si se trata de datos básicos, de contacto, email, usuario y contraseñas, copias de DNI, etc.
• Si existen circunstancias agravantes, por ejemplo, porque la contraseña comprometida se usa en otros servicios, etc.

1.  Medidas

• Identificar que medidas se han aplicado para minimizar las consecuencias sobre las personas.

1.  Identificación

• Identificación comercial y pública del responsable y datos de contacto del DPD.

IMPORTANTE

En la comunicación no se deben omitir detalles relevantes, para que las personas puedan valorar el riesgo de forma adecuada.

La entrada Proteger a las personas en el mundo digital: Contenido mínimo de la comunicación (II) se publicó primero en Adaptación RGPD.

Son muchos los datos personales que trata una comunidad de propietarios, tales como, información personal relativa incluso a la vida privada y familiar de los afectados.

En la propia Ley de Propiedad Horizontal se, encuentran legitimadas el acceso a los datos personales de los copropietarios. Así, por ejemplo, cuando se efectúan las convocatorias de las juntas se podrán incluir los datos de los propietarios que no estén al corriente del pago de las deudas vencidas.

Para llevar a cabo el acceso a los datos personales, la comunidad de propietarios como responsable de los mismos, tendrá que aplicar el principio de minimización de datos. Esto implica que, si, por ejemplo, algún copropietario pide la relación de contratos de los trabajadores de la comunidad, en su caso, no se deberían facilitar datos más allá de las retribuciones y un desglose de los conceptos retributivos, no pudiendo entregarse las nóminas, ya que en ellas se contienen datos referentes a la salud o ideología.

En el caso de que se pudieran facilitar copias de la documentación, según el caso, se hará con las medidas relativas a la gestión y salida de soportes.

IMPORTANTE

La comunicación de los datos se limitará a aquellos que resulten adecuados, pertinentes y limitados.

La entrada ¿A qué datos pueden acceder los copropietarios de una comunidad de propietarios? se publicó primero en Adaptación RGPD.

Estos documentos tienen datos de salud y también datos relativos a la afiliación salarial del personal, siendo este último necesario para que el empresario deduzca en la nómina la cuota sindical del trabajador. La legitimación para su tratamiento no será la ejecución de un contrato o el consentimiento, tal y como nos dice el art.6 del RGPD, sino que,  al tratarse de categorías especiales de datos personales, tenemos que aplicar la base reguladora que se recoge en el art.9.2b del RGPD, el cual nos indica  que el tratamiento de los datos de categorías especiales es necesario para el cumplimiento de una obligación legal y el ejercicio de los derechos del responsable en el ámbito del Derecho laboral y  de la seguridad y protección social.

El contratista principal tiene la obligación legal de pagar las nóminas y hacer frente a las responsabilidades de la Seguridad Social, mientras dure el periodo de vigencia de la contrata, respondiendo solidariamente junto con la empresa subcontratada, por ello, la cesión de los TC2 y nóminas está amparada en esa obligación legal impuesta en el Estatuto de los trabajadores.

IMPORTANTE

El contratista solamente debería acceder a los datos de los trabajadores subcontratados y no a todo el personal que forma parte de la empresa subcontratada.

La entrada ¿Qué datos puede comunicar una empresa subcontratada a la empresa principal conforme a la normativa? se publicó primero en Adaptación RGPD.

A los efectos del  art. 4.1 del Reglamento (UE)2016/679 se entiende como dato personal, toda información sobre una persona física identificada o identificable, directa o indirectamente, mediante un identificador, como por ejemplo un nombre, un número de identificación(…) por lo que los datos relativos a matrículas, calificaciones o becas son datos personales protegidos por el Reglamento (UE) 2016/679.

Dicha comunicación constituye un tratamiento de datos, el cuál debe encontrarse fundado en alguna de las causas legitimadoras del art.6 de citado reglamento, y que, en el caso que nos ocupa sería el interés legítimo del responsable.

El pretendido cesionario alega la necesidad de la comunicación de los datos, para aportar como prueba en un procedimiento judicial, con la finalidad de modificar la pensión alimenticia.

Estamos ante una ponderación de dos derechos fundamentales, el derecho a la tutela judicial efectiva de los progenitores  y el derecho a la protección de datos personales del alumno, plasmado en multitud de ocasiones en la jurisprudencia. En el supuesto planteado, se dan los elementos que permiten dicha comunicación para satisfacer ese interés legítimo fundado en la tutela judicial efectiva.

IMPORTANTE

No obstante, el alumno/a podrá ejercer su derecho de oposición a la comunicación, pudiendo quebrar así la presunción de la existencia de un interés legítimo.

La entrada Comunicación de datos académicos universitarios a progenitores se publicó primero en Adaptación RGPD.

No obstante, los artículos 11.2 e) y 21 LOPD contemplan que la comunicación de datos personales entre Administraciones públicas pueda realizarse sin dicho consentimiento en los siguientes casos:

• Cuando los datos recogidos o elaborados por las Administraciones públicas sean comunicados a otras para el ejercicio de las mismas competencias o que versen sobre las mismas materias, salvo que la comunicación hubiere sido prevista por las disposiciones de creación del fichero o por otra disposición de rango superior que regule su uso.
• Cuando los datos sean obtenidos o elaborados por una Administración con destino a otra.
• Cuando el objeto de la cesión sea el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.

A TENER EN CUENTA

La comunicación de datos personales recogidos de fuentes accesibles al público, no podrá efectuarse a ficheros privados, sin el consentimiento del afectado o si una ley así lo prevé.

La entrada Comunicación de datos entre Administraciones Públicas se publicó primero en Adaptación RGPD.