Reglamento general de la ley orgánica de protección de datos personales

Ponemos en su conocimiento que el 7 de noviembre de 2023 el Presidente de la República expidió el Reglamento General de la Ley Orgánica de Protección de Datos Personales (RGLOPDP).  

El RGLOPDP trata distintos puntos relevantes, entre lo más importantes están: los parámetros bajo los cuales las empresas deberán contar con en delegado de protección de datos personales, los supuestos bajo los cuales las entidades responsables deberán contar con un registro de actividades de tratamiento y de manera general algunas cuestiones relacionadas con el consentimiento, las notificaciones de vulneración de seguridad y las evaluaciones de impacto.  

1. Sobre el Delegado de Protección de Datos Personales (DPO)
   

• Los responsables o encargados están obligados a contratar un DPO si, entre otras situaciones: 
  

• • Las actividades de dicho responsable o encargado requieren de control permanente y sistematizado por su volumen o gran escala, naturaleza, alcance o finalidades. 
    

• • Los parámetros para considerar a un tratamiento como tratamiento de datos a gran escala y por consiguiente objeto de control permanente son los siguientes:
    

• • • El número de titulares (cifra o proporción de la población). 
    • El volumen de datos. 
    • La duración o permanencia del tratamiento.  
    • El alcance geográfico del tratamiento. 

• • A manera de ejemplos el RGLOPDP determina como tratamientos a gran escala los siguientes:
    

• • • Tratamiento de datos de salud de pacientes  
    • Tratamiento de datos de personas que utilizan el transporte público. 
    • Tratamiento de datos de geolocalización en tiempo real. 
    • Tratamientos de datos realizados por compañías de seguros, corredores o instituciones financieras. 
    • Tratamientos de datos ocasionados por servicios de telefonía o internet.  

•  El DPO puede ser contratado bajo la figura de relación de dependencia o a través de un contrato de prestación de servicios
  

• El DPO deberá cumplir con los siguientes requisitos: 

• • Gozar de derechos políticos. 
  • Ser mayor de edad. 
  • Tener título de tercer nivel en: Derecho, Sistemas de Información, de Comunicación o de Tecnologías.  
  • Acreditar de 5 años de experiencia profesional.  

• Serán impedimentos para ser considerado como DPO los siguientes: 
  

• • Formar parte de órganos de administración o control del responsable o encargado.  
  • Ser socio o accionista del responsable o encargado. 
  • Ser cónyuge de los administradores, directores o comisarios del responsable o encargado.  
  • Ser pariente hasta el cuarto grado de consanguinidad o segundo de afinidad de los administradores, directores o comisarios del responsable o encargado. 

• Los grupos empresariales pueden designar un solo DPO para todo el grupo.
  

1. Sobre el Registro de actividades de tratamiento (RAT)
   

• Deben realizar un RAT aquellos responsables que cumplan con los siguientes supuestos:
  

• • Cuenten con 100 o más trabajadores.
  • Cuenten con menos de 100 trabajadores pero realizan tratamientos que pueden generar riesgos para los derechos y libertades de los titulares, no sean tratamientos ocasionales y existan categorías especiales de datos. 

1. Sobre el consentimiento 
   

• El RGLOPDP profundiza ciertos aspectos referentes al consentimiento como base de legalidad y específicamente establece que para que este sea considerado como base legitimadora deberá exisitir una clara acción afirmativa. Por ende, el silencio o la inacción, por sí solos no pueden ser presumidos como consentimiento del titular. 
  

1. Sobre las notificaciones de vulneración de seguridad  

• El RGLOPDP describe todo lo relacionado con notificaciones de vulneración a la seguridad de los datos personales, así como también los requisitos mínimos que debe contener dicha notificación sin perjuicio de que queda pendiente que la Autoridad de Protección de Datos Personales lo regule de manera específica. 
  

1. Sobre la evaluación de impacto 

• El RGLOPDP regula en términos generales lo relacionado con la evaluación de impacto que debe ser realizada, en ciertos casos, previo al inicio de un tratamiento. 
  

El resumen expuesto constituye un sumario de la normativa más importante de Reglamento a la Ley Orgánica de Protección de Datos Personales. La aplicación a un caso en particular deberá ser motivo de análisis para revisar en cada caso su correcta aplicación.  

Para más información escríbenos a [email protected]