La Directiva Europea NIS2 representa un paso significativo hacia la mejora de la ciberseguridad en la Unión Europea. Esta nueva normativa, que sustituye a la Directiva NIS1, amplía su alcance y establece requisitos más estrictos para garantizar la seguridad de las redes y sistemas de información en sectores críticos. Esta directiva es una revisión y expansión de la Directiva NIS (Network and Information Systems) original, con el objetivo de proporcionar un nivel alto y común de seguridad cibernética en toda la UE.

Entrada en Vigor y Aplicación en España
La Directiva NIS2 entró en vigor el 16 de enero de 2023, marcando el inicio de un período transitorio hasta el 17 de octubre de 2024, fecha límite para que los Estados miembros, incluida España, transpongan la directiva a su legislación nacional.

Características y Requisitos de Cumplimiento

La NIS2 introduce requisitos y obligaciones más estrictos para las organizaciones en cuatro áreas principales: gestión de riesgos, responsabilidad corporativa, obligaciones de informes y continuidad del negocio.

1. Gestión de Riesgos: Las organizaciones deben adoptar medidas para minimizar los riesgos cibernéticos, incluyendo la gestión de incidentes, la seguridad de la cadena de suministro, la seguridad de la red, el control de acceso mejorado y la encriptación.

2. Responsabilidad Corporativa: Se exige a la dirección corporativa supervisar, aprobar y recibir formación sobre las medidas de ciberseguridad de la entidad y abordar los riesgos cibernéticos. Las infracciones pueden resultar en sanciones para la gestión, incluyendo responsabilidad y una posible prohibición temporal de desempeñar roles de gestión.

Responsabilidad de los Órganos de Dirección
Los directivos tienen la responsabilidad de aprobar y supervisar la implementación de las medidas de ciberseguridad, lo que subraya el papel de la gobernanza corporativa en la protección contra los ciberriesgos.

3. Obligaciones de Informes: Las entidades esenciales e importantes deben tener procesos para la notificación rápida de incidentes de seguridad con un impacto significativo en su prestación de servicios o en los destinatarios. NIS2 establece plazos de notificación específicos, como una “alerta temprana” de 24 horas.

4. Continuidad del Negocio: Las organizaciones deben planificar cómo pretenden garantizar la continuidad del negocio en caso de incidentes cibernéticos importantes. Este plan debe incluir consideraciones sobre la recuperación del sistema, procedimientos de emergencia y la creación de un equipo de respuesta a crisis.

Importancia de la Seguridad en la Cadena de Suministro
La seguridad en la cadena de suministro es crucial, ya que un solo eslabón vulnerable puede comprometer toda la red. La NIS2 pone énfasis en la evaluación y gestión de riesgos en la cadena de suministro, reconociendo la interdependencia de las entidades y la necesidad de proteger los servicios esenciales.

Además, la NIS2 exige que las entidades esenciales e importantes implementen medidas de seguridad básicas para abordar formas específicas de ciberamenazas probables.

Entidades Afectadas

La NIS2 afecta a una gama más amplia de entidades que su predecesora, incluyendo sectores críticos como energía, transporte, banca, infraestructuras del mercado financiero, salud, suministro de agua potable, distribución digital y espacio. Además, ahora también cubre a los proveedores de servicios digitales, como los mercados en línea, motores de búsqueda y servicios de computación en la nube.

Impacto en Entidades Privadas y Pequeñas Empresas
La NIS2 afecta a entidades privadas medianas y grandes que operan en sectores críticos. Sin embargo, las pequeñas empresas también podrían verse afectadas si los Estados miembros determinan que desempeñan un papel clave para la sociedad o la economía.

Obligaciones de las Entidades Afectadas
Las entidades cubiertas por la NIS2 deben adoptar medidas de gobernanza y gestión de riesgos de ciberseguridad, notificar incidentes significativos y asegurar la formación en ciberseguridad de sus directivos y empleados.

Aplicabilidad a Empresas Multinacionales y Servicios en la Nube
La NIS2 se aplica a nivel corporativo y debe implementarse en cada centro de trabajo dentro de la UE. Para los servicios de computación en la nube distribuidos en varios Estados, incluidos los no pertenecientes a la UE, la directiva establece requisitos específicos para garantizar la seguridad de los datos y los servicios.

Efectos en los Procesos de Ciberseguridad
Las entidades previamente sujetas a la NIS1 deberán revisar y actualizar sus procesos de ciberseguridad para cumplir con los requisitos más exigentes de la NIS2. Aquellas no afectadas por la NIS1 tendrán que evaluar su situación actual y tomar medidas para alinearse con la nueva directiva.

Implementación y Cumplimiento

La directiva entró en vigor en enero de 2023 y debe ser transpuesta por los estados miembros antes del 17 de octubre de 2024. Para ayudar a las entidades a cumplir con las medidas técnicas, operativas y organizativas de la NIS2, el Centro Criptológico Nacional ha establecido un servicio de consulta.

La NIS2 es un paso crucial para fortalecer la resiliencia de Europa contra las amenazas cibernéticas actuales y futuras. Al elevar los requisitos de ciberseguridad y ampliar el alcance de las entidades cubiertas, la directiva busca proteger las infraestructuras críticas y los servicios digitales, asegurando así la seguridad y el bienestar de los ciudadanos y empresas de la UE.

Supervisión y Sanciones
La supervisión se adaptará al tipo de entidad, siendo más rigurosa para las entidades esenciales. Las sanciones por incumplimiento pueden ser significativas, reflejando la importancia de cumplir con las medidas de seguridad establecidas.

En resumen, la Directiva NIS2 es un marco legal robusto que busca fortalecer la resiliencia de la UE frente a los ciberataques y garantizar la continuidad de los servicios críticos. Su implementación exitosa dependerá de la colaboración entre los Estados miembros, las entidades afectadas y los proveedores de servicios de ciberseguridad.

La entrada La Directiva Europea NIS2: Un Nuevo Horizonte en Ciberseguridad se publicó primero en Adaptación RGPD.

Los coches conectados generan y procesan una gran cantidad de datos, tanto personales como no personales, que pueden revelar información sensible sobre los conductores y pasajeros, como su ubicación, hábitos de conducción, preferencias, estado de salud o identidad. Estos datos pueden ser compartidos con terceros, como fabricantes, proveedores de servicios, aseguradoras, autoridades públicas o hackers, sin el consentimiento o el conocimiento de los afectados. Además, los coches conectados pueden ser vulnerables a ataques cibernéticos que pongan en riesgo la seguridad y la integridad de los datos y de las personas.

La protección de datos europea se basa en el Reglamento General de Protección de Datos (RGPD) y en la Directiva ePrivacy, que establecen los principios y derechos que deben respetarse en el tratamiento de los datos personales. Estas normas se aplican a los coches conectados siempre que impliquen el tratamiento de datos personales de personas que se encuentren en la Unión Europea. Entre otras obligaciones, los responsables del tratamiento deben informar a los interesados sobre el uso de sus datos, obtener su consentimiento cuando sea necesario, garantizar la seguridad y confidencialidad de los datos, minimizar la cantidad y el tiempo de conservación de los datos y permitir el ejercicio de los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad.

Los coches conectados suponen un reto para la protección de datos europea por su complejidad técnica, su diversidad de actores y finalidades y su impacto en la vida privada y pública de las personas. Por ello, es necesario adoptar medidas específicas que garanticen el cumplimiento efectivo de las normas vigentes y que protejan los intereses y derechos fundamentales de los usuarios de estos vehículos.

La entrada ¿Cómo pueden afectar a la privacidad los coches conectados? se publicó primero en Adaptación RGPD.

1. Conoce tus responsabilidades

El primer paso para adaptarse a la RGPD es entender tus responsabilidades como empresa. La RGPD establece que todas las empresas que procesan datos personales deben cumplir con una serie de principios, incluyendo la transparencia, la legalidad, la minimización de datos y la seguridad. Además, la RGPD establece que las empresas deben obtener el consentimiento explícito de los ciudadanos para procesar sus datos personales.

2. Realiza una auditoría de tus datos

Una vez que conozcas tus responsabilidades, es importante realizar una auditoría de los datos que procesas. Esto te permitirá conocer qué datos personales de los ciudadanos europeos estás procesando y cómo los estás utilizando. Además, esta auditoría te ayudará a identificar cualquier brecha de seguridad o vulnerabilidad en tus sistemas que pueda poner en riesgo los datos personales de los ciudadanos.

3. Implementa medidas de seguridad

Después de realizar una auditoría de tus datos, es importante implementar medidas de seguridad para proteger los datos personales de los ciudadanos. Esto puede incluir medidas técnicas, como el cifrado de datos y la implementación de firewalls, así como medidas organizativas, como la capacitación del personal sobre la protección de datos.

4. Actualiza tus políticas de privacidad

También es importante actualizar tus políticas de privacidad para cumplir con los requisitos de transparencia establecidos por la RGPD. Esto incluye proporcionar información clara y detallada sobre cómo se procesan los datos personales, quién tiene acceso a ellos y cómo se utilizan.

5. Obtén el consentimiento explícito de los ciudadanos

La RGPD establece que las empresas deben obtener el consentimiento explícito de los ciudadanos antes de procesar sus datos personales. Esto significa que debes proporcionar información clara y detallada sobre cómo se procesan los datos y obtener el consentimiento activo de los ciudadanos. Además, los ciudadanos tienen derecho a retirar su consentimiento en cualquier momento.

6. Designa un delegado de protección de datos

La RGPD también establece que algunas empresas deben designar un delegado de protección de datos (DPO) para supervisar la protección de datos en la empresa. El DPO debe tener conocimientos especializados en protección de datos y debe ser independiente en el desempeño de sus funciones.

La RGPD establece que algunas empresas deben designar un delegado de Protección de Datos (DPO) o responsable de protección de datos. Esto incluye:

1. Autoridades públicas y organismos públicos que realicen actividades de tratamiento, excepto los tribunales que actúen en ejercicio de su función judicial.
2. Empresas cuyas actividades principales consisten en el tratamiento a gran escala de categorías especiales de datos personales o datos personales relacionados con condenas penales y delitos.
3. Empresas que realicen un seguimiento habitual y sistemático de los ciudadanos a gran escala, como perfiles en línea o publicidad en línea.

Es importante destacar que incluso si su empresa no está obligada a designar un DPO según la RGPD, es una buena práctica hacerlo. Un DPO puede ayudar a su empresa a garantizar el cumplimiento de la RGPD y proteger los datos personales de los ciudadanos. Además, tener un DPO puede mejorar la confianza de los clientes en su empresa y mejorar su reputación en el mercado.

7. Prepara un plan de respuesta a incidentes

Finalmente, es importante preparar un plan de respuesta a incidentes para estar preparado en caso de que se produzca una brecha de seguridad o violación de datos. Esto incluye identificar los riesgos potenciales, establecer un protocolo de notificación y establecer un equipo de respuesta de emergencia para manejar cualquier situación que pueda surgir.

En resumen, la adaptación a la RGPD requiere que las empresas comprendan sus responsabilidades y realicen una auditoría de sus datos, implementen medidas de seguridad, actualicen sus políticas de privacidad, obtengan el consentimiento explícito de los ciudadanos, designen un DPO y preparen un plan de respuesta a incidentes. Al seguir estas pautas, las empresas pueden cumplir con las normas de protección de datos de la RGPD y garantizar que los datos personales de los ciudadanos estén protegidos.

Preguntas Frecuentes (FAQs)

1. ¿Qué sucede si mi empresa no cumple con las normas de protección de datos de la RGPD? Si una empresa no cumple con las normas de protección de datos de la RGPD, puede enfrentar multas y sanciones financieras significativas.
2. ¿La RGPD solo se aplica a empresas con sede en la Unión Europea? No, la RGPD se aplica a todas las empresas que procesan datos personales de ciudadanos de la Unión Europea, independientemente de su ubicación.
3. ¿Cómo puedo asegurarme de obtener el consentimiento explícito de los ciudadanos? Debe proporcionar información clara y detallada sobre cómo se procesan los datos personales y obtener el consentimiento activo de los ciudadanos. Además, los ciudadanos tienen derecho a retirar su consentimiento en cualquier momento.
4. ¿Qué es un delegado de protección de datos (DPO)? Un DPO es una persona designada por la empresa para supervisar la protección de datos y garantizar que la empresa cumpla con las normas de la RGPD. El DPO debe tener conocimientos especializados en protección de datos y debe ser independiente en el desempeño de sus funciones.
5. ¿Cómo puedo preparar un plan de respuesta a incidentes? Debe identificar los riesgos potenciales, establecer un protocolo de notificación y establecer un equipo de respuesta de emergencia para manejar cualquier situación que pueda surgir en caso de una brecha de seguridad o violación de datos.

6. ¿Es necesario actualizar las políticas de privacidad para cumplir con la RGPD? Sí, las políticas de privacidad deben actualizarse para incluir información clara y detallada sobre cómo se procesan los datos personales, los derechos de los ciudadanos en relación con sus datos y cómo pueden ejercer esos derechos.
7. ¿La RGPD se aplica a todos los tipos de datos personales? Sí, la RGPD se aplica a todos los tipos de datos personales, incluidos nombres, direcciones, información de identificación, información de salud, información financiera, etc.
8. ¿Puedo transferir datos personales fuera de la Unión Europea? Sí, pero solo si se cumplen ciertas condiciones. Debe garantizar que el país fuera de la UE tenga un nivel adecuado de protección de datos o establecer medidas de seguridad adicionales para proteger los datos durante la transferencia.
9. ¿Qué debo hacer si se produce una violación de datos? Debe notificar a las autoridades competentes de protección de datos en un plazo de 72 horas y, en algunos casos, también debe notificar a los ciudadanos afectados. Además, debe tomar medidas para mitigar el impacto de la violación de datos y prevenir futuras violaciones.
10. ¿Cuál es la importancia de cumplir con la RGPD? El cumplimiento de la RGPD es fundamental para proteger los datos personales de los ciudadanos y mantener la confianza de los clientes en la empresa. Además, el incumplimiento de la RGPD puede resultar en multas y sanciones financieras significativas.

En resumen, la RGPD es una regulación importante que establece los derechos de los ciudadanos en relación con sus datos personales y las responsabilidades de las empresas que procesan esos datos. Si su empresa opera en la Unión Europea o procesa datos de ciudadanos europeos, es fundamental que cumpla con la RGPD y adopte medidas para proteger los datos personales de los clientes. Esto no solo protege los derechos de los ciudadanos, sino que también puede mejorar la reputación y la confianza de su empresa en el mercado.

Además, el incumplimiento de la RGPD puede resultar en sanciones financieras significativas y dañar la reputación de su empresa. Por lo tanto, es importante tomarse en serio la protección de datos personales y dedicar tiempo y recursos para garantizar el cumplimiento de la RGPD.

En conclusión, la RGPD es una regulación importante que busca proteger los datos personales de los ciudadanos y establecer responsabilidades claras para las empresas que procesan esos datos. Si su empresa opera en la Unión Europea o procesa datos de ciudadanos europeos, es esencial que cumpla con la RGPD y adopte medidas para proteger los datos personales de los clientes. El cumplimiento de la RGPD no solo es una obligación legal, sino que también puede mejorar la reputación y la confianza de su empresa en el mercado.

La entrada ¿Cómo Cumplir con la Normativa de Protección de Datos en España? se publicó primero en Adaptación RGPD.

En el Reglamento Europeo de protección de datos está regulada su designación, posición y funciones. En nuestra Ley Orgánica la LOPDGDD existe un Capítulo completo dedicado a regular la figura del DPD.

Podemos destacar la función que el DPD tiene como interlocutor del responsable o encargado de tratamiento ante la AEPD y las autoridades autonómicas de protección de datos. En este sentido el DPD podrá inspeccionar los procedimientos que aplique la entidad relacionados con la protección de datos y emitir recomendaciones.

Además, algo novedosos que supuso la entrada en vigor de la LOPDGDD, es que cuando la AEPD o la autoridad competente reciba una reclamación de un afectado, podrá hacerla llegar al DPD para que la resuelva en el plazo de un mes. De igual modo, cuando el responsable y encargado de tratamiento hubieran designado un DPD, el interesado podrá dirigir su reclamación ante el DPD y éste deberá resolver en el plazo máximo de dos meses.

IMPORTANTE

Se considera una infracción grave la falta de designación del DPD cuando su nombramiento sea exigible por la normativa de protección de datos.

La entrada Roles en la protección de datos: el delegado de protección de datos se publicó primero en Adaptación RGPD.

¿Cómo se deben tratar entonces los datos personales por los responsables y encargados de tratamiento?

Se han de tratar de forma lícita, leal y transparente en relación con el interesado, este sería el principio de licitud, lealtad y transparencia, dando una información adecuada. Los fines para los que se recojan tendrán que ser determinados y explícitos y además no se pondrán utilizar para otros diferentes, este es el principio de limitación de la finalidad. El principio de minimización requiere que los datos recogidos sean los adecuados, pertinentes y limitados a lo necesario para el cumplimiento de los fines. Por ejemplo, en un formulario de potenciales clientes, no solicitaremos más datos que los necesarios para enviar información. Los datos tienen que ser exactos y si fuera necesario actualizarlos. Además, se tienen que mantener sólo durante un plazo de tiempo determinado necesario para los fines del tratamiento. Todo ello, garantizando al interesado una total integridad y confidencialidad de sus datos.

IMPORTANTE

El responsable debe cumplir todos los principios de protección de datos y además ser capaz de demostrarlos (p.e. de responsabilidad proactiva)

La entrada Los Principios de Protección de datos se publicó primero en Adaptación RGPD.

Según el Acuerdo de Retirada que tendrá vigor hasta el día 31 de diciembre, no se consideran transferencias a terceros países por lo que no será necesario utilizar ninguno de los instrumentos que recoger el RGPD.

Ahora bien, ¿qué ocurrirá cuando finalice el periodo transitorio? Habrá que esperar a los acuerdos que puedan darse en esta materia de protección de datos. En el comunicado emitido por el gobierno, parece que la opción que puede resultar más adecuada y previsible es que la Comisión Europea adopte una “decisión de adecuación”.

La Comisión Europa evaluará el ordenamiento jurídico y la práctica en materia de protección de datos, en esta fase podrá negociar la introducción de cambios normativos.

En el caso de que se llevará a cabo la declaración de adecuación mediante la decisión de la Comisión, el envío de datos al Reino Unido se realizará sin ningún otro tipo de requisito formal. En la página de la AEPD en el apartado de transferencias a terceros países y organizaciones internacionales están recogidos todos los países que cuentan con esa decisión de adecuación.

IMPORTANTE

Además de tener un nivel adecuado, lo que deberán celebrar es un contrato de acceso a datos por cuenta de terceros.

La entrada ¿Cómo se tienen que realizar las transferencias de datos al Reino Unido? se publicó primero en Adaptación RGPD.

La normativa nos permite cumplir con el deber de informar facilitando una información básica ¿Cuál es el contenido mínimo que debe comprender? Cuando los datos hayan sido facilitados por el propio interesado, el responsable le dará una primera información básica que ha de contener los puntos siguientes recogidos en el art.11 de la LOPDPGDD:

1. a) La identidad del responsable y de su representante en su caso.
2. b) La finalidad del tratamiento.
3. c) La posibilidad de ejercer los derechos en materia de protección de datos.
4. d) La elaboración de perfiles en el caso de que se diera esa circunstancia y la posibilidad de oponerse a la adopción de decisiones individuales automatizadas.

En el caso de que los datos no procedieran del interesado, incluiríamos también las categorías de datos objeto del tratamiento y las fuentes de las que proceden los datos.

IMPORTANTE

En ambos casos debe indicarse una dirección electrónica u otro medio inmediato para acceder de forma sencilla a la información adicional.

La entrada Transparencia e información a los interesados se publicó primero en Adaptación RGPD.

El responsable que pretenda transferir datos personales basándose en intereses legítimos imperiosos, deberá tener en cuenta si puede aplicar las decisiones de adecuación aprobadas por la Comisión, las garantías adecuadas, como, por ejemplo, la utilización de normas corporativas vinculantes, o bien, que se encuentren dentro de los supuestos de excepciones para situaciones específicas. Sino fuera así, entonces, tendrá que informar previamente a la autoridad de control.

Además, la transferencia no ha de ser repetitiva, debe afectar solamente a un número limitado de interesados y debe evaluar todas las circunstancias concurrentes en la transferencia de datos. El responsable en virtud de su proactividad está obligado a ofrecer todas las garantías apropiadas con respecto a la protección de datos.

IMPORTANTE

Los responsables informarán previamente a los afectados de la transferencia y de sus intereses legítimos imperiosos.

La entrada Transferencias a terceros países y autoridad de control se publicó primero en Adaptación RGPD.

El Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal (RD 994/99), regulaba en su artículo 17 la obligación de realizar, al menos cada dos años, para los ficheros de nivel medio, auditorías en materia de seguridad de datos. Estas auditorías podían ser internas o externas.

Posteriormente, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (RDLOPD), ampliaba el ámbito de la auditoría al extenderlas a los soportes no automatizados a partir de nivel medio y siempre que se produjeran modificaciones sustanciales en los sistemas de información. Asimismo, el Informe de Auditoría ya no se limitaba a las medidas de seguridad, sino también debía dictaminar sobre la adecuación de las medidas y controles a la Ley y su desarrollo reglamentario.

Sin embargo, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD) no ha incluido una referencia expresa y explícita a la obligación de realizar una auditoría de cumplimiento.

Volvamos a la normativa española. Según el artículo 32.1.d del RGPD, entre las medidas técnicas y organizativas que tanto el responsable como el encargado del tratamiento deben implementar para garantizar un nivel de seguridad apropiado para el riesgo se exige un proceso de verificación, evaluación y valoración regulares de la eficacia de esas medidas. No obstante, el RGPD no establece procedimientos o formatos específicos para llevar a cabo dichas tareas de revisión y evaluación. Por lo tanto, se deja a la elección de las empresas definir cuáles serán esos procedimientos a través de los que valorar la eficacia de las medidas diseñadas a garantizar el cumplimiento de la normativa.

Sin embargo, el RGPD dentro de las funciones del Delegado de Protección de Datos (DPD) recoge expresamente, en su artículo 39, la obligación de supervisar el cumplimiento de la normativa, de las políticas internas de la Compañía, incluida las auditorías correspondientes. Por lo que el RGPD sí, incluye, por lo menos en los casos en los que la empresa esté obligada a designar un DPD, la realización de esas auditorías como procedimiento de revisión y evaluación.

Esa auditoría no la podrá realizar el DPD, pues pondría en peligro su independencia y además la auditoría debería verificar también el cumplimiento de las funciones del propio DPD. Su papel se limita a supervisar esas auditorías, debiendo garantizar que las conclusiones lleguen al órgano encargado de proponer y/o implantar acciones que puedan derivarse de las posibles no conformidades detectadas.

Por su parte, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), no entra ni en la obligación de realizar auditorías ni procesos de verificación alguno, ni hace referencia al RGPD sobre este aspecto.

La Agencia Española de Protección de Datos (AEPD) sí que ha hecho referencia a la realización de auditorías, pero lo ha hecho en el marco de las relaciones entre responsable y encargado de tratamiento. En la Guía con las directrices para la elaboración de contratos entre Responsables y Encargados del Tratamiento que publicó con los puntos clave a tener en cuenta en esta relación contractual conforme las nuevas implicaciones legales establecidas por el RGPD, sí recoge la obligación del encargado de permitir y contribuir a la realización de auditorías, incluidas inspecciones, realizadas por el responsable o por otro auditor autorizado por el responsable y de poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías.

Por tanto, en los casos de encargados de tratamientos la obligación de realizar auditoría es obligatoria al menos en su relación con el responsable y dentro del deber de diligencia que la norma le impone a éste.

¿A qué conclusión podemos llegar tras analizar los distintos reglamentos y normativas? Pues que ni el RGPD ni la LOPDGDD requieren incluir la auditoría en sí como una medida obligatoria. Ninguna de las dos normativas concretan en qué casos y a qué tratamientos resultaría obligatoria esta auditoría, sino que vendrá determinada por sus propios riesgos. Ahora bien, estamos convencidos de que los procesos para verificar la eficacia de todas las medidas adoptadas en materia de protección de datos pueden, y deberían, incluir la realización de auditorías de cumplimiento.

Fuente CincoDías.

La entrada ¿Es obligatorio auditar nuestro sistema de protección de datos? se publicó primero en Adaptación RGPD.

En el ámbito laboral, tal y como dispone la Ley sobre Infracciones y Sanciones en el Orden Social, los actos que realice el empresario que sean contrarios al respeto de la intimidad y consideración debida a la dignidad de los trabajadores serán considerados como una infracción muy grave, con multas desde 6.251 y hasta 187.515 euros. En la publicación se recoge un ejemplo de dos trabajadores varones de una empresa sometidos a hostigamiento por parte de sus compañeros/as, incluidos los que ocupan puestos de responsabilidad, por mantener una relación sentimental que fue difundida a través de imágenes. La dirección de la empresa es conocedora de la situación y no adopta medidas para impedirlo, incurriendo en una sanción grave.

En el ámbito de la ciudadanía, cuando se produzca esta difusión de contenidos sensibles puede tener, entre otras consecuencias, responsabilidad administrativa. Será la AEPD la que multe a aquellos que hayan difundido las imágenes sin el consentimiento de la víctima o bien hayan contribuido a su difusión. Los ciudadanos incluso podrían indemnizar a la víctima por daños y perjuicios.

IMPORTANTE

En el ámbito de la responsabilidad penal, los ciudadanos pueden ser sancionados por casos de sexting, ciberacoso o ciberbullying

La entrada Consecuencias administrativas, disciplinarias, civiles y penales de la difusión de contenidos sensibles se publicó primero en Adaptación RGPD.