Evaluación de impacto (EIPD)
Cuando un tratamiento de datos personales pueda llegar a entrañar un alto riesgo para los derechos y libertades de las personas físicas, será necesario realizar, con carácter previo a dicho tratamiento, una evaluación de impacto.
Encargados de tratamiento
Es muy habitual que las empresas cuenten con uno o varios encargados de tratamiento de datos de carácter personal: asesorías, servicios de prevención de riesgos laborales, hosting, …
Se deben elegir únicamente encargados de tratamiento que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas. Además, la relación con el encargado se debe regular a través de un contrato.
Deber de información
Se debe facilitar al interesado la información necesaria para garantizar un tratamiento leal y transparente. Dicha información debe ser concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo.
A la hora de definir el procedimiento de información se deberá tener en cuenta que el medio elegido debe permitir acreditar el cumplimiento de este deber de información.
Ejercicio de derechos
Deben definirse procedimientos para facilitar y atender el ejercicio de derechos de los interesados, en relación a sus datos personales: acceso, rectificación, supresión (derecho al olvido), oposición, portabilidad, limitación del tratamiento y a no ser objeto de decisiones individuales automatizadas.
Transferencias internacionales de datos
Las comunicaciones de datos de carácter personal a un tercer país deben realizarse ofreciendo garantías de seguridad de los datos y derechos de las personas.
En este punto se debe prestar atención especial al uso de aplicaciones web cuyo uso implica comunicaciones de datos fuera de la Unión Europea (Gmail, Facebook, Mailchimp son algunos ejemplos).
Notificación de violación de seguridad
Si se produce una brecha de seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, que implique un riesgo para los derechos y libertades de las personas, será necesario informar a la autoridad de control, y en algunos casos, a las personas afectadas.