Com garantir que els tractaments de dades personals de joves

Presentación del tema: "Com garantir que els tractaments de dades personals de joves"— Transcripción de la presentación:

1 Com garantir que els tractaments de dades personals de joves
15/06/2018 Com garantir que els tractaments de dades personals de joves i adolescents compleix amb el RGPD Espai Francesca Bonnemaison, 15 de juny de 2018 Carme Sánchez Ors Responsable Corporativa de Protecció de Dades

2 Normativa d’aplicació a l’estat espanyol:
15/06/2018 Context Normativa d’aplicació a l’estat espanyol: Reglament europeu 2016/679, de 27 d’abril, general de protecció de dades. Llei orgànica de protecció de dades personals (la part no derogada de la 15/1999, i el PLOPD en tràmit parlamentari). Canvi de cultura: de reactius (LOPD) a proactius (RGPD). Responsabilitat activa de l’Ajuntament, Consell Comarcal... Privacitat des del disseny i per defecte. Gestió de riscos. Documentació. Delegat de Protecció de Dades.

3 Conceptes bàsics sobre protecció de dades
15/06/2018 Conceptes bàsics sobre protecció de dades Dades personals: Tota informació relativa a una persona física identificada o identificable... viva. Elements propis de la identitat física, fisiològica, psíquica, econòmica i cultural o social, i l’element genètic; o Per identificadors com per exemple el nom, un número d’identificació, dades de localització o un identificador en línia. El RGPD estableix expressament que inclou identificadors en línia com les adreces IP, MAC i les cookies. Pertinença de la dada personal: Persona física titular de la dada, l'afectat o interessat. Fitxer: Conjunt organitzat de dades personals, accessibles amb criteris determinats, i que pot estar centralitzat, descentralitzat, repartit de forma funcional o geogràfica o tractat de forma manual o automàtica. Ha deixat de ser necessària la seva notificació a l'APDCAT.(8- 21) Tractament de dades: Qualsevol activitat en la qual estiguin presents dades personals, ja sigui manual o automatitzada, total o parcialment. Menor: 14 anys (13 segons el PLOPD) per poder atorgar el seu consentiment. ( ) TRACTAMENT DE DADES: Recollida, registre, organització, estructuració, conservació, adaptació o modificació, extracció, consulta, utilització, comunicació per transmissió, difusió o qualsevol altre forma habilitada d’accés, confrontació o interconnexió, limitació, supressió o destrucció. PREGUNTES: 8 Com sol·licitar el fitxer on es dipositaran les dades? – 6 És cert que el Reglament permetrà que els i les joves de 14 anys o més podran cedir les seves dades personals, sense el consentiment dels pares, per exemple per utilitzar una aula d’informàtica o una pista de bàsquet d’un equipament? - 7 Hi haurà la mateixa limitació d’edat per la cessió d’imatges?– 21 aquests fitxers de dades, s’entén que estan incorporats al fitxer que ja està donat d'alta per part de l'ajuntament al registre. Cal donar d'alta un fitxer nou exclusivament per a l'àmbit de joventut? - 27 En activitats educatives que impliquin la gestió de dades personals per part dels/de les menors adreçades a què els alumnes aprenguin a fer servir les xarxes socials (facebook, twitter, instagram, youtube..) o qualsevol servei de missatgeria (whatsApp, Hangouts, correu electrònic..): ¿Cal el consentiment dels pares, mares o tutors per crear un compte de correu electrònic en el marc d’una activitat educativa del centre quan aquest compte es pot fer servir més enllà d’aquesta finalitat? – 28 Les revistes de les escoles moltes vegades publiquen entrevistes als nens i les nenes que revelen  dades de la seva família, com: la seva edat, la professió, o la zona on hi viuen. ¿ Cal una autorització expressa de les famílies per a l’obtenció d’aquestes dades? .

4 Conviccions religioses.
15/06/2018 Categories especials de dades personals al RGPD: dades que revelen circumstàncies o informació de les persones sobre la seva intimitat i condició personal Opinions polítiques. Afiliació Sindical. Conviccions religioses. Conviccions filosòfiques. Origen racial o ètnic. Dades relatives a la Salut.( ) Vida Sexual. Orientació sexual. Antecedents penals i delictes. Dades biomètriques. Dades genètiques. 1- Dades biomètriques dirigides a identificar de manera unívoca a una persona física. 2- Informació sobre antecedents penals i delictes és tractada per separat i estan subjectes als controls encara més estrictes (sota supervisió i amb normativa específica amb garanties suficients). 3- Les dades relatives a la salut física o mental pasada, preset o futura, inclosa la inscripció a efectes d’assistència sanitaria, o amb ocasió de la prestació d’aquesta (número, símbol o dada assignada de manera unívoca); la informació obtinguda de probes o exàmens d’una part del cos o d’una substància corporal, i qualsevol inocfrmació relativa a malaltia, discapacitat, risc de patir malaltíes, l’historial mèdic, el tractament clínic o l’estat fisiològic o biomètric de l’interessat, independentment de la seva font. PREGUNTES 11 Quines dades de salut podem demanar al fer la inscripció a una activitat esportiva? - 12 Podem preguntar sobre el grau de discapacitat al fer la inscripció a una activitat esportiva? – 35 ¿A les escoles d’educació especial si la dada que han de tractar fa referència exclusivament al grau de discapacitat de l’alumne quines mesures de seguretat cal adoptar-ne?. Tractament amb: consentiment, per interés vital, dades fetes manifestament públiques, per reclamacions davant dels tribunals, en interés públic…

5 Conceptes bàsics sobre protecció de dades
15/06/2018 Conceptes bàsics sobre protecció de dades Responsable del tractament de dades: Persona física o jurídica, pública o privada, que decideix sobre l'ús dels mateixos per decisió directa o per imposició normativa (competències...). p. ex. en l'àmbit educatiu normalment serà l'Administració pública corresponent o el mateix centre si és concertat o privat.( ) Encarregat del tractament de dades: Persona física o jurídica, autoritat pública, servei o un altre organisme que tracti les dades personals per compte del responsable del tractament incloent a les persones o entitats que prestin serveis, per ex. al centre educatiu. Es obligatori incloure un apartat d’obligacions i garanties de protecció de dades en el contracte d’encàrrec de serveis o bé fer un contracte de protecció de dades específic.( ) Cessió de dades: Revelació de les mateixes a una persona (física o jurídica, autoritat pública, servei o organisme) diferent del seu titular. No es considera cessió de dades a les comunicacions de dades a les empreses que tinguin condició d'encarregats del tractament, ni l’ús de les dades dintre de la mateixa organització.(30-32) Transferència internacional de dades: Enviament de dades fora del àmbit de l'Espai Econòmic Europeu (EEE), ja es realitzi perquè el destinatari presti un servei o bé perquè els tracti per a una finalitat pròpia. PREGUNTA 1 L’Ajuntament pot consultar les dades dels voluntaris/àries de les entitats que col·laboren en la realització d’activitats adreçades a infants i joves? - 3 Quina responsabilitat assumeixen com a professionals contactant amb els menors a través del mòbil? No sempre es disposa d’un telèfon de l’ajuntament. Què pot succeir si el contacte es realitza amb el telèfon personal? – 39 Els monitors/res del casal d'estiu poden fer imatges de les activitats amb els seus telèfons? Poden passar aquestes imatges a les famílies? - 13 Si l’organitzador principal és un extern (entitat o club esportiu, empresa...) però hi col·labora l’ajuntament, quines dades pot passar a l’ajuntament sobre els participants? - 19 quan es fan les inscripcions (del casal d'estiu, per exemple) es cedeixen les dades a l'empresa a la que s'ha contractat la realització del servei. Això és correcte? Quin paràgraf cal incloure a la inscripció per a poder facilitar aquestes dades? – 30 Les entitats que organitzen activitats programades pels centres educatius (com per exemple una estada de colònies)  necessiten tenir dades dels alumnes que hi assistiran  a efectes d’assegurances i d’una millor organització de l’activitat educativa contractada. ¿ Estarien davant una cessió de dades o d’un encàrrec deL tractament? – 31 Algunes escoles municipals de música duen a terme programes d’acció comunitària consistents bàsicament en donar classes de música a alumnes d’educació primària de CEIP’s del seu o d’un altre municipi veí. Els alumnes del CEIP passen a ser alumnes de l’escola de música que els matricula “d’ofici”, és a dir sense matrícula expressa per part de la família. • ¿Cal la autorització dels pares/mares/tutors per fer aquest traspàs de dades?. • En cas negatiu, ¿cal al menys procedir a la seva informació?. • En qualsevol dels dos casos anteriors ¿quina seria la responsabilitat de les Administracions Públiques que convenien aquest programa (la Generalitat titular del CEIP i l’Ajuntament titular de l’escola de música) si no s’hi fa? 32 ¿Pot l’empresa concessionària d’un servei educatiu comunicar les dades dels alumnes a l’Ajuntament titular del servei si no va fer constar expressament la titularitat municipal quan va recollir les dades?

6 Principis sobre la protecció de dades personals
15/06/2018 Principis sobre la protecció de dades personals Base jurídica de la licitud del tractament: Les dades poden ser tractades: (9-12) Si hi ha consentiment previ per part dels titulars. Una obligació legal. La execució d’un contracte o precontracte. Interessos vitals de l’interessat (o altre persona). L’acompliment d’una missió realitzada en interès públic o en l’exercici de poders públics del responsable (competències). Satisfacció d’interessos legítims. Per exemple, els centres educatius estan legitimats per al tractament de les dades dels alumnes en el seu exercici de la funció educativa, així com per a la relació contractual que es produeix amb la matriculació dels alumnes, per consentiment dels mateixos o dels seus pares en cas de ser menors de 14 anys i per interessos legítims que, per ponderació sobre els drets i llibertats dels afectats, es consideren que prevalen sobre aquests. Interès legítim - Cal aplicar la regla de la expectativa legítima o raonable . - S’aplica quan exisiteix una relació pertinent i apropiada entre l’interessat i el RT (p.e. entre clients i treballadors), i a més s’esperi de forma raonable per l’interessat que es dugui a terme el tractament (p.e. Marqueting Directe, Prevenció del Frau, transmissions de dades dins del Grup Empressarial i les transmissions de dades per a garantir la seguretat de les xarxes). Preguntes 9 Quins tràmits previs s’han de fer abans de gestionar les inscripcions a activitats esportives? – 10 Quins tràmits posteriors s’han de fer (un cop s’acaba la cursa, el casal, l’activitat esportiva)? – 12 Podem preguntar sobre el grau de discapacitat al fer la inscripció a una activitat esportiva?

7 EXPRÉS: Desapareix el consentiment tàcit. (41)
15/06/2018 El Consentiment (18-23) Manifestació de voluntat lliure, específica, informada i inequívoca per la que l’interessat accepta el tractament de dades que el concerneixen. Cal poder demostrar que es té. El RT ha de mantenir registres per a demostrar que el consentiment ha estat donat per l’interessat (ex. formularis “Doble opt-in”). EXPRÉS: Desapareix el consentiment tàcit. (41) Haurà de consistir en una declaració afirmativa o una clara acció afirmativa. Es presentarà de forma intel·ligible, de fàcil accés i utilitzant un llenguatge clar i senzill. No serveixen les caselles premarcades a menys que es digui NO ACCEPTO. En el cas dels menors (14 anys) es manté la necessitat del consentiment del pares (per exemple, oferta directa de serveis en línia). Cal donar-lo per a cada finalitat. Pot ser retirat en qualsevol moment. Model de "doble opt-in" com a requisit per a demostrar el consentiment realment ha estat proposada per la persona en qüestió. Per a això és necessari un correu electrònic per a ser enviat a la persona després que hagin proporcionat un consentiment inicial amb un enllaç (feu clic a per validar que el consentiment). PREGUNTA 18 quan els joves reserven un espai, és pot fer en un únic document la reserva de l'espai i la sol·licitud de permís per prendre fotos per publicar les imatges a les xarxes socials del servei? – 23 Demanem autorització als pares dels nens i nenes o joves que s'inscriuen al concurs de vídeos. Què fem, però, amb els altres nens, nenes i joves que apareixen al vídeo però que no s'han inscrit al concurs (i per tant, no tenim permís per escrit dels pares)? – 41 El consentiment per omissió segueix vigent?, seria el cas per exemple de l'ús d'imatges per a xarxes i webs on fins ara a moltes caselles només ho marcaves si deies "no"

8 Principis sobre la protecció de dades personals
15/06/2018 Principis sobre la protecció de dades personals Secret: Totes les persones que tinguin accés a dades de caràcter personal estan obligades guardar secret sobre els mateixos, fins i tot quan la relació amb el responsable o l'encarregat del tractament hagi finalitzat.(33-34) Minimització de les dades: Les dades personals seran adequades, pertinents i limitades a allò necessari en relació amb les finalitats per a la que son tractades.(16 Limitació de la finalitat: Les dades no podran ser utilitzades per a finalitat incompatibles amb les finalitat inicials.(13-16) Limitació del termini de conservació: Les dades personals seran mantingudes de forma que es permeti la identificació dels interessats durant no més temps del necessari per a les finalitats del seu tractament; les dades personals podran conservar-se indefinidament amb finalitats d’arxiu o en interès públic, investigació científica o històrica o finalitats estadístiques.(20-36) Pregunta Podem fer servir els seus correus electrònics per fer difusió de la cursa a la següent edició, si són menors/si no són menors? - 16 inscripcions a les activitats i formularis: quines dades es poden recollir i per a quines és obligatòria l'autorització dels pares? - 20 en quin suport cal guardar aquesta informació i durant quant de temps. – 33B Per poder fer un seguiment més acurat de les al·lèrgies alimentàries i de l’administració autoritzada de medicaments,  moltes escoles bressols fan servir llistats impresos  amb el nom i la singularitat de l’infant afectat . ¿Respectaria la legalitat guardar  els llistats , per exemple, a la part interior de la porta d’algun armari de l’aula tot tenint en compte que seria accessible a terceres persones com per exemple el personal que procedeixi a la neteja ?. – 34B ¿Poden els/les mestres endur-se informació dels alumnes a casa per preparar activitats educatives individualitzades a l’aula?. En el seu cas, ¿ quines mesures de seguretat caldria establir-ne?. – 36 ¿ Durant quan de temps es poden conservar les dades dels ex-alumnes ?.

9 15/06/2018 Transparència: Informació “Concisa transparent, comprensible i de fàcil accés” Cal considerar: Informar en la recollida o si no es recull directament de l’interessat en max. 30 dies. Capes - proporcionar a l'individu un breu resum de la importància o usos inusuals de les seves dades personals i proporcionar un enllaç a una política de privacitat completa per els que volen el detall; Just a temps - Penseu en l'ús addicional d’avisos per a determinades interaccions amb l'individu. Per exemple, un nou servei significa que les dades seran processades per propòsits addicionals, cal explicar-ho. Llenguatge clar - Evitar l'argot i argot legal i adaptar-lo al públic a qui s’adreça. Siguem comunicadors - Què tal un vídeo, de dibuixos animats o animació per explicar quina és la intenció d'utilitzar les dades personals? O l'ús d'icones?

10 Informació per capes, exemple (17)
15/06/2018 Epígraf Informació bàsica (1a capa) Informació addicional (2a capa, detallada) Responsable (del tractament) Identitat del Responsable del tractament Dades de contacte del responsable. Identitat i dades de contacte del representant Dades de contacte del Delegat de protecció de dades. Finalitat (del tractament) Descripció senzilla de les finalitats del tractament, incloent-hi l’elaboració de perfils Descripció ampliada de les finalitats del tractament. Haurem d’informar de totes i cadascuna. Terminis o criteris de conservació de les dades. Decisions automatitzades, perfils i lògica aplicada. Legitimació (del tractament) Base jurídica del tractament, indicar-ne quina: - Execució d’un contracte - Compliment d’una obligació legal. - Missió en Interès públic o Exercici de Poders Públics. - Interès legítim del Responsable o - - Interès legítim d’un tercer. - Consentiment de l’interessat. Detall de la base jurídica del tractament, en els casos d’obligació legal, interès públic o interès legítim. Obligació o no de no facilitar dades i conseqüència de no fer-ho. Destinataris (de cessions o transferències) Previsió o no de cessions. Destinataris o categories de destinataris. Previsió de transferències, o no, a tercers països. Decisions d’adequació, garanties, normes corporatives vinculants o situacions específiques aplicables Drets (de les persones interessades) Referència a l’exercici de drets Com exercir els drets d’accés, rectificació, supressió i portabilitat de les seves dades, i la limitació o oposició al seu tractament. Dret a retirar el consentiment prestat. Dret a reclamar davant de les autoritats de control. Procedència (de les dades) Font de les dades (quan no procedeixin de l’interessat) Informació detallada de l’origen de les dades, inclòs si procedeixen de fonts accessibles al públic. Categories de dades que es tracten. “Puede consultar la información adicional y detallada sobre Protección de Datos en (…indicación textual, hipervínculo, etc…)” ¿Quién es el Responsable del tratamiento de sus datos? ¿Con qué finalidad tratamos sus datos personales? ¿Por cuánto tiempo conservaremos sus datos? “¿Cuál es la legitimación para el tratamiento de sus datos? “¿A qué destinatarios se comunicarán sus datos? “¿Cómo hemos obtenido sus datos PREGUNTAS 17 ens podeu facilitar un model de paràgraf on constin els articles concrets de la llei que cal incorporar en els documents d'autorització, inscripcions, etcètera.

11 Principis sobre la protecció de dades personals
15/06/2018 Principis sobre la protecció de dades personals S’han d'adoptar i demostrar mesures oportunes i eficaces (de seguretat, tècniques i organitzatives), per a garantir la integritat, confidencialitat i protecció de les dades personals davant el seu tractament il·lícit, pèrdua, destrucció o dany accidental, la comunicació o accés no autoritzat, quan siguin susceptibles en particular d’ocasionar danys i perjudicis físics, materials o immaterials. (27) Cal definir les mesures a aplicar en base a una anàlisi de riscos, en particular quan pugui donar lloc a: problemes de discriminació, usurpació d’identitat o frau, pèrdues financeres, dany per a la reputació, pèrdua de la confidencialitat de dades subjectes a secret professional, reversió no autoritzada de la pseudonimització, o qualsevol altre perjudici econòmic o social significatiu; en els casos en què es privi els interessats dels seus drets i llibertats o se'ls impedeixi exercir el control sobre les seves dades personals; en els casos en què les dades personals tractades siguin de les categories especials de dades; en els casos en què s'avaluïn aspectes personals, en particular l'anàlisi o la predicció d'aspectes referits al rendiment en el treball, situació econòmica, salut, preferències o interessos personals, fiabilitat o comportament, situació o moviments, amb la finalitat de crear o utilitzar perfils personals; en els casos en què es tractin dades personals de persones vulnerables, en particular nens; o en els casos en què el tractament impliqui una gran quantitat de dades personals i afecti a un gran nombre d'interessats. PREGUNTA 27 En activitats educatives que impliquin la gestió de dades personals per part dels/de les menors adreçades a què els alumnes aprenguin a fer servir les xarxes socials (facebook, twitter, instagram, youtube..) o qualsevol servei de missatgeria (whatsApp, Hangouts, correu electrònic..): ¿ Quines mesures de seguretat poden fer servir els centres educatius per garantir que les dades de les persones menors s’utilitzaran després de forma adequada a les xarxes socials pels propis menors o pel personal autoritzat que hi participi?.

12 Principis sobre la protecció de dades personals (5)
15/06/2018 Principis sobre la protecció de dades personals (5) Tan sols es poden utilitzar eines d'emmagatzematge en el núvol que compleixin les garanties previstes en la normativa de protecció de dades. És necessari, que en qualsevol modalitat de prestació de serveis en el núvol, la seguretat sigui atesa, revisada i auditada per personal qualificat. Cal tenir present la necessitat d’aplicar metodologies d’anàlisi i gestió de riscos relacionades amb la seguretat de la informació i el RGPD. Entre d’altres és aconsellable fer una avaluació de l’impacte en la privacitat de les dades (AIPD- DPIA) quan: Es realitzi un tractament significatiu no incidental de dades de menors o di­rigit especialment a tractar dades d’aquests, en particular si tenen menys de catorze anys. Els servidors del núvol es trobin en algun país que no formi part de l’Espai econòmic Europeu (EEE) i que no hagin estat declarats adequats per part de la Comissió Europea o per l’AEPD. PREGUNTA 5 Podem desar els contactes dels menors al nostre telèfon? Els podem desar en un fitxer al núvol? I altres dades personals de menors, es poden desar al núvol?

13 Evitar la fugida d'informació (24-33-34)
15/06/2018 Evitar la fugida d'informació ( ) Les dades de menors són considerades com a informació sensible, des de les dades més normals com noms, fotos o telèfons de contacte, fins a altres més íntimes com les de salut o creença religiosa. En cada cas hem d'aplicar les mesures de seguretat tant organitzatives com tècniques y legals que garanteixin la confidencialitat de la informació. Entre les mesures organitzatives podem posar en pràctica una sèrie de bones pràctiques per evitar la fuga d'informació, com són: crear unes polítiques de seguretat, normatives i procediments de seguretat interna que recullin els objectius i intencions de l'empresa en matèria de ciberseguretat; ús responsable de les eines de seguretat per detectar i gestionar possibles perills de seguretat; implementar mecanismes de seguretat en els sistemes d'emmagatzematge de la informació per evitar pèrdua de dades o accessos indeguts; implementar mecanismes de seguretat per protegir la informació fora de l'àmbit corporatiu; establir mesures per a un ús segur dels dispositius mòbils realitzar còpies de seguretat periòdiques de la informació, emmagatzemant-les en un lloc diferent a la informació original; rebutjar i reutilitzar de forma segura els suports d'informació; utilitzar xarxes segures i fiables a l'hora de transmetre informació sensible; realitzar accions periòdiques de formació i conscienciació a tots els treballadors. PREGUNTA 24 Les fitxes dels menors que omplen per donar-nos informació de caràcter molt restringit de menors on autoritzen a fer les activitats de casal de vacances i que els directors han de portar si o si amb ells, com s'ha de tractar? Com les poden portar, si han d'estar sota dues claus? – 33B Per poder fer un seguiment més acurat de les al·lèrgies alimentàries i de l’administració autoritzada de medicaments,  moltes escoles bressols fan servir llistats impresos  amb el nom i la singularitat de l’infant afectat . ¿Respectaria la legalitat guardar  els llistats , per exemple, a la part interior de la porta d’algun armari de l’aula tot tenint en compte que seria accessible a terceres persones com per exemple el personal que procedeixi a la neteja ? – 34B ¿Poden els/les mestres endur-se informació dels alumnes a casa per preparar activitats educatives individualitzades a l’aula?. En el seu cas, ¿ quines mesures de seguretat caldria establir-ne?.

14 Violacions de seguretat
15/06/2018 Violacions de seguretat Poden comportar danys i perjudicis físics, materials o immaterials, com la pèrdua de control sobre les seves dades o restricció de drets, discriminació, usurpació d’identitat, pèrdues financeres, reversió no autoritzada de la pseudonimització, dany per a la reputació, pèrdua de la confidencialitat de dades subjectes a secret professional, o qualsevol altre perjudici econòmic o social significatiu per a l’interessat. Notificacions a les Autoritats de Control abans de 72 hores. Notificacions als interessats quan suposi un risc per als seus drets i llibertats. No serà necessària la notificació si: • El RT ha xifrat les dades amb anterioritat a la violació; • S’han près mesures per a garantir que ja no hi hagi aquest alt risc; • Suposa un esforç desproporcionat. S’optarà per una comunicació pública o una mesura similar per la que s’informi de manera igualment efectiva als interessats. Notificació: Abans de 72 , excepte en el cas en que es pugui demostrar la improbabilitat de que la violació de la seguretat de les dades personals suposi un risc per als drets i les llibertats de les persones físiques INCIDÈNCIA DE SEGURETAT: Situació què ocasioni la destrucció, pèrdua o alteració accidental o il·lícita de dades personals transmeses, conservades o tractades d’altre forma, o la comunicació o accés no autoritzats a les dades. 13/10/2018

15 Drets sobre la protecció de dades personals: Personalíssims i gratuïts
15/06/2018 Drets sobre la protecció de dades personals: Personalíssims i gratuïts Accés: Coneixement i obtenció gratuïta d'informació sobre si les dades personals són objecte de tractament, la seva finalitat, quines dades són, el seu origen i els destinataris dels mateixos. Hi ha un termini d'un mes perquè el responsable del tractament faciliti la informació o en cas contrari, la resposta que no es disposa d'ells. No és obligada la còpia de l'expedient escolar, encara que si conté dades de salut, si s'ha de lliurar còpia dels mateixos. Rectificació: Correcció d'errors, modificació de dades inexactes o incompletes i certesa de la informació objecte del tractament. En cas de menors de 14 anys, són els seus pares o tutors els que han d'exercir aquest dret. La rectificació no és aplicable a qualificacions ni a expedients escolars. Supressió “el Dret a l’oblit”: Supressió de dades que resultin inadequades o excessives, quan: ja no siguin necessaris per a la finalitat de la recollida; es retiri el consentiment; s’oposi al tractament ; les dades s’hagin tractat de manera il·lícita; estigui previst en una llei; s’hagin obtingut en relació amb la oferta de serveis de la societat de la informació a menors de 16 anys (13PLOPD?). Els expedients acadèmics han de ser conservats per possible informació als alumnes un cop finalitzats els seus estudis. Les dades sobre salut seran cancel·lats quan no siguin necessaris per al desenvolupament de la funció educativa.

16 Drets sobre la protecció de dades personals (continuació)
15/06/2018 Drets sobre la protecció de dades personals (continuació) Oposició: Cessament o no tractament de les dades de caràcter personal. Els alumnes i familiars poden oposar-se a la publicació de les seves dades quan hi hagi un motiu legítim i fundat. Limitació del tractament: Entre els mètodes per limitar el tractament de dades personals es podria incloure els consistents a traslladar temporalment les dades seleccionades a un altre sistema de tractament, en impedir l'accés d'usuaris a les dades personals seleccionades o en retirar temporalment les dades publicades d'un lloc Internet. En els fitxers automatitzats la limitació del tractament s'ha de fer, en principi, per mitjans tècnics, de manera que les dades personals no siguin objecte d'operacions de tractament ulterior ni puguin modificar-se. El fet que el tractament de les dades personals estigui limitat s'ha d'indicar clarament en el sistema. Portabilitat de les dades: Per reforçar encara més el control sobre les seves pròpies dades, quan el tractament s'efectuï per mitjans automatitzats, s'ha de permetre que els interessats, únicament quan hagin facilitat dades personals donant el seu consentiment o el tractament sigui necessari per a un contracte, les rebin en un format estructurat, d'ús comú, de lectura mecànica i interoperable, i els transmetin a un altre responsable del tractament. L'interessat ha de tenir dret al fet que les dades personals es transmetin directament d'un responsable del tractament a un altre, quan sigui tècnicament possible.

17 Règim sancionador RGPD a Espanya
15/06/2018 Règim sancionador RGPD a Espanya Àmbit públic El projecte de la nova LOPD preveu un sistema d’apercebiment, similar a l’actual, sense cap sanció econòmica (possibilitat de bloqueig de servidors, expedient disciplinari...). Efectiva, proporcionades i dissuasòries. Àmbit privat Sancions econòmiques de fins a € o el 4% del volum de negoci total anual global de l’exercici financer anterior. PREGUNTA 27 En activitats educatives que impliquin la gestió de dades personals per part dels/de les menors adreçades a què els alumnes aprenguin a fer servir les xarxes socials (facebook, twitter, instagram, youtube..) o qualsevol servei de missatgeria (whatsApp, Hangouts, correu electrònic..): • ¿ Quines mesures de seguretat poden fer servir els centres educatius per garantir que les dades de les persones menors s’utilitzaran després de forma adequada a les xarxes socials pels propis menors o pel personal autoritzat que hi participi?. ¿Tindria el centre alguna responsabilitat en cas de no fer-ho?

18 Tipus de responsabilitats d’un tractament il·lícit de dades personals
15/06/2018 Tipus de responsabilitats d’un tractament il·lícit de dades personals Responsabilitat patrimonial: Les persones titulars de les dades personals tenen dret a que se les indemnitzi quan pateixen algun dany o alguna lesió en els seus béns o drets, a conseqüència de la vulneració del que disposa la normativa de protecció de dades. Quan el perjudici prové de tractaments de titularitat pública, la responsabilitat patrimonial pot reclamar-se en via administrativa, d’acord amb la legislació reguladora del règim de responsabilitat patrimonial de les administracions públiques. Responsabilitat administrativa: Els responsables dels fitxers i els encarregats del tractament, tant de titularitat pública com privada, estan subjectes al règim sancionador de la LOPD. L’Autoritat Catalana de Protecció de Dades aplica aquest règim sancionador, en relació amb fitxers de titularitat pública i privada, pel que fa a les entitats incloses dins del seu àmbit competencial. Responsabilitat penal: El Codi Penal tipifica el descobriment i la revelació de secrets com a delicte contra la intimitat. Es tipifiquen, entre d’altres, l’apoderament, la utilització o la modificació, així com la difusió o cessió, sense consentiment i en perjudici de terceres persones, de dades reservades de caràcter personal o familiar, que es trobin en fitxers o suports informàtics, electrònics o telemàtics, o en arxius o registres, tant públics com privats. El RT serà responsable dels danys i perjudicis ocasionats que podrà traslladar als treballadors.

19 Autoritats de control –Organismes de tutela
15/06/2018 AUTORITAT CATALANA DE PROTECCIÓ DE DADES Competent: Empreses/Entitats públiques Empreses en exercici de competències o funcions públiques. AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS Competent: Empreses privades Particulars 19

20 Consultes sobre protecció de dades
15/06/2018 Moltes gràcies per l’atenció! Responsable corporativa de protecció de dades Consultes sobre protecció de dades Servei d’Assistència Municipal i Suport Estratègic Direcció de Serveis de Tecnologies i Sistemes Corporatius Àrea de Presidència Tel /017