Klass Wagen Hungary Kft. (Srl.)

 

 

 

POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS

 

  

 

Aplicaci n de la pol tica de privacidad y protecci n de datos

 

Denominación/nombre de la organización: Klass Wagen Hungary Kft.

Sede de la organización: 1185 Budapest(a), Üllői út 822.

El responsable del contenido de esta política: Móricz Ferencz

Fecha de entrada en vigor del reglamento: 01.01.2024

 

Otros documentos relacionados con esta política:

Los documentos y las políticas que contengan, por ejemplo, una declaración escrita de consentimiento para el tratamiento de datos o, en el caso de sitios web, un aviso de privacidad obligatorio, deben adjuntarse y gestionarse junto con la política de privacidad y protección de datos.

Además de esta política, consulte los Términos y condiciones y la Política de cookies.

 

Esta política establece reglas sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de datos personales. Esto se aplica a actividades específicas de tratamiento de datos y en el caso de emitir instrucciones y avisos que regulen el tratamiento de datos.

 

La obligación de contratar (designar) un delegado de protección de datos se extiende a todas las autoridades públicas u otros organismos con funciones públicas (independientemente de los datos que traten), así como a otras organizaciones cuya actividad principal consista en un seguimiento sistemático y a gran escala, amplio, de personas o que procesan un gran número de categorías especiales de datos personales.

 

La organización        □ contrata   x no contrata un delegado de protección de datos.

Alcance de la regulación/política

Esta política es válida hasta que sea revocada y se aplica a los funcionarios, empleados y al delegado de protección de datos dentro de la organización.

 

 

Fecha: Budapest, 01.01.2024

Móricz Ferencz

director de la organización

 

 

 

Objetivo de la política

 

El objetivo de esta política es armonizar los requisitos de otras normas internas de la organización en relación con las actividades de gestión de datos con el fin de proteger los derechos y libertades fundamentales de las personas físicas y garantizar el tratamiento adecuado de los datos personales.

 

La organización tiene como objetivo cumplir plenamente con los requisitos legales relativos al tratamiento de datos personales durante el curso de su actividad, en particular el Reglamento (UE) del Parlamento Europeo y del Consejo núm. 679/2016.

 

Otro propósito importante de emitir esta política es garantizar que, conociéndola y cumpliéndola, los empleados de la organización estén en condiciones de gestionar lícitamente los datos de las personas físicas.

 

 

 

Conceptos clave, definiciones.

 

• El RGPD (Reglamento General de Protección de Datos) es el nuevo reglamento de protección de datos de la UE

 

• operador: la persona física o jurídica, autoridad pública, agencia o cualquier otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento de datos personales; si los fines y medios del tratamiento están establecidos por la legislación de la Unión o de los Estados miembros, el operador o los criterios específicos para la designación del operador también podrán estar establecidos por la legislación de la Unión o de los Estados miembros;

 

• tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, por medios automatizados o no, tales como: recolección, registro, organización, estructuración, almacenamiento, adaptación o modificación, extracción, consulta, uso, divulgación, transmisión, difusión o puesta a disposición de otra manera, alineación o combinación, restricción, eliminación o destrucción;

 

• procesador de datos: una persona física o jurídica, una autoridad pública, una agencia o cualquier otro organismo que trate datos personales por cuenta del operador;

 

• datos personales: cualquier información relativa a una persona física identificada o identificable (titular de los datos); una persona física identificable es una persona que puede identificarse, directa o indirectamente, en particular mediante un identificador como un nombre, un número, datos de ubicación, un identificador en línea o uno o más elementos específicos de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona física;

 

• tercero/parte tercera: una persona física o jurídica, una autoridad pública, una agencia o cualquier otro organismo, distinto del interesado, el operador, la persona autorizada por el operador o las personas que, bajo la autoridad directa del operador o de la persona autorizada por el operador, están autorizados a procesar los datos personales;

 

• consentimiento del interesado: una manifestación voluntaria, específica, informada e inequívoca de la voluntad del interesado mediante la cual expresa su consentimiento al tratamiento de los datos personales que le conciernen mediante una declaración o acto de afirmación inequívoco;

 

• restricción del tratamiento de datos: marcar los datos personales almacenados para restringir su tratamiento futuro;

 

• seudonimización: tratar datos personales de tal manera que ya no sea posible identificar a la persona física a la que se refieren los datos personales sin información adicional, siempre que dicha información adicional se mantenga por separado y se tomen medidas técnicas y organizativas para garantizar que no se pueda establecer ningún vínculo entre datos personales y personas físicas identificadas o identificables; 

 

• sistema de registro: un conjunto de datos personales estructurados de cualquier forma, ya sea centralizada, descentralizada o estructurada según criterios funcionales o geográficos, al que se pueda acceder en función de criterios específicos;

 

• incidente de violación de la seguridad de datos: una violación de la seguridad que resulte en la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o no autorizado a datos personales transmitidos, almacenados o procesados ​​de otro modo;

 

 

 

 

Principios de gestión de datos

 

                                                                                    

El tratamiento de datos personales debe ser legal, equitativo y transparente para el interesado.

 

Los datos personales sólo podrán recopilarse para fines determinados, explícitos y legítimos.

 

Las finalidades para las que se tratan los datos personales deben ser adecuadas, pertinentes y limitadas a lo necesario.

 

Los datos personales deben ser exactos y estar actualizados. Los datos personales inexactos deben eliminarse sin demora.

 

 

 

Los datos personales deben almacenarse en una forma que permita la identificación de los interesados ​​durante un período de tiempo que no exceda el período necesario. Los datos personales pueden almacenarse durante períodos más prolongados sólo si el almacenamiento se realiza con fines de archivo en interés público, con fines de investigación científica e histórica o con fines estadísticos.

 

Los datos personales deben tratarse de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilegal, la pérdida accidental, la destrucción o el daño, mediante el uso de medidas técnicas u organizativas apropiadas.

 

Los principios de protección de datos se aplican a toda la información relativa a una persona física identificada o identificable.

 

Un empleado de la organización responsable del tratamiento de datos está sujeto a medidas disciplinarias, indemnizaciones, responsabilidad civil y penal por el tratamiento legal de datos personales. Si un empleado se da cuenta de que los datos personales que está tratando son inexactos, incompletos o no están actualizados, deberá corregirlos o hacer que los corrija el responsable de su registro.

 

 

 

Tratamiento de datos personales

                                                                                    

Debido a que las personas pueden estar asociadas con identificadores en línea, como direcciones IP e identificadores de cookies, proporcionados por los dispositivos, aplicaciones, herramientas y protocolos que utilizan, estos datos, combinados con otra información, pueden coincidir o usarse para establecer el perfil y la identificación de estas personas físicas.

 

El tratamiento de datos e información sólo podrá tener lugar si el interesado presta su consentimiento libre, específico, informado e inequívoco al tratamiento de sus datos mediante una acción afirmativa clara y expresa, como por ejemplo, una declaración escrita, incluso electrónica, u oral.

 

También se considerará otorgado el consentimiento al tratamiento de datos personales si el interesado marca una casilla a tal efecto cuando visita el sitio web. La acción silenciosa, el marcado automático de una casilla por parte del operador o la inacción no constituyen consentimiento.

 

También se considera otorgado el consentimiento cuando un usuario, en el curso de la utilización de servicios electrónicos, realiza las configuraciones técnicas pertinentes o realiza una declaración o emprende una acción que, en el contexto pertinente, indique claramente el consentimiento del interesado al tratamiento de datos personales.

 

 

 

 

 

 

Los datos personales de salud incluyen datos relacionados con la salud de un interesado, que contienen información sobre su salud física o mental pasada, presente o futura. Estos incluyen:

 

• registro en la base de datos/registro de servicios de salud;

 

• un número, símbolo o dato asignado a una persona física con el fin de identificarla individualmente con fines médicos;

 

• información obtenida tras las pruebas o los exámenes de una parte del cuerpo o material constitutivo, incluidos datos genéticos y muestras biológicas;

 

• información sobre la enfermedad, discapacidad, riesgo de enfermedad, historial médico, tratamiento clínico o condición fisiológica o biomédica del individuo, independientemente de su fuente, que puede ser, por ejemplo, un médico u otro profesional de la salud, un hospital, un dispositivo médico o un prueba diagnóstica.

 

Los datos genéticos se definen como datos personales relativos a las características genéticas heredadas o adquiridas de una persona física y que resultan del análisis de una muestra biológica tomada de esa persona, en particular el análisis cromosómico o el análisis del ácido desoxirribonucleico (ADN) o del ácido ribonucleico (ARN) o cualquier otro elemento que permita extraer información equivalente a la que se pueda obtener de ellos.

 

Los datos personales de los niños merecen una protección especial, ya que pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos asociados al tratamiento de datos personales. Esta protección especial debería aplicarse en particular al uso de datos personales de niños con fines de marketing o para crear perfiles personales o de usuario.

 

Los datos personales deben tratarse de una manera que garantice un nivel adecuado de seguridad y confidencialidad, en particular para evitar el acceso no autorizado o el uso no autorizado de los datos personales y los medios utilizados para tratar los datos personales.

 

Se deben tomar todas las medidas razonables para corregir o eliminar datos personales inexactos.

 

 

 

 

 

 

 

 

 

 

Legalidad del tratamiento de datos

 

El tratamiento de datos personales es lícito si se cumple una de las siguientes condiciones:

 

• el interesado ha dado su consentimiento para el tratamiento de sus datos personales para uno o más fines específicos;

 

• el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para tomar medidas a petición del interesado antes de la celebración del contrato;

 

• el tratamiento es necesario para cumplir con una obligación legal a la que está sujeto el operador;

 

• el tratamiento es necesario para la protección de los intereses vitales del interesado o de otra persona física;

 

• el tratamiento es necesario para el desempeño de una misión realizada en interés público o en el ejercicio de la autoridad pública conferida al operador;

 

• el tratamiento es necesario para los fines de los intereses legítimos perseguidos por el operador o un tercero, a menos que estos intereses sean anulados por los intereses o derechos y libertades fundamentales del interesado que requieren la protección de datos personales, en particular si la persona interesada es un niño.

 

 

Como se indicó anteriormente, el tratamiento es lícito si es necesario en el contexto de un contrato o la intención de celebrar un contrato.

 

Si el tratamiento se lleva a cabo en cumplimiento de una obligación legal a la que está sujeto el operador o si es necesario para la realización de una tarea realizada en interés público o en el ejercicio de la autoridad pública, el tratamiento debe tener una base legal procedente del Derecho de la Unión o del Derecho de un Estado miembro.

 

El tratamiento se considera lícito cuando se realiza con la finalidad de proteger la vida del interesado o los intereses de otra persona física mencionada anteriormente. El tratamiento de datos personales basado en los intereses vitales de otra persona física, en principio, sólo debería tener lugar si no existe otra base jurídica para el tratamiento en cuestión.

 

 Algunos tipos de tratamiento de datos personales pueden servir tanto a intereses públicos importantes como a intereses vitales del interesado, por ejemplo, cuando el tratamiento es necesario por razones humanitarias, incluso cuando es necesario monitorear epidemias y su propagación o en caso de una emergencia humanitaria, especialmente un desastre natural o provocado por el hombre.

 

El interés legítimo del operador - incluido el operador con quien se pueden compartir los datos personales - o de un tercero puede constituir una base legal para el tratamiento. Tal interés legítimo puede ser, por ejemplo, cuando existe una relación relevante y adecuada entre el interesado y el operador, como cuando el interesado es un cliente o un empleado del operador.

 

También se considera que el tratamiento de datos personales estrictamente necesario para la prevención del fraude responde al interés legítimo del operador en cuestión. También se podrá considerar que el tratamiento de datos personales con fines de marketing directo se basa en el interés legítimo.

 

Para establecer la existencia de un interés legítimo, es necesario analizar cuidadosamente, entre otras cosas, si el interesado podía razonablemente esperar, en el momento y en el contexto de la recogida de los datos personales, que se llevara a cabo el tratamiento para los fines para los cuales se recogieron los datos. Los intereses y derechos fundamentales del interesado pueden prevalecer sobre los intereses del responsable del tratamiento cuando los datos personales se procesan en circunstancias en las que los interesados ​​no esperan un tratamiento posterior.

 

El tratamiento de datos personales por parte de autoridades públicas, unidades de respuesta a emergencias cibernéticas, unidades de gestión de incidentes de seguridad de las redes, operadores de redes y proveedores de servicios de comunicaciones electrónicas y proveedores de servicios de tecnología de seguridad, en la medida estrictamente necesaria y proporcionada para garantizar la seguridad de las redes y de la información, se considera que es de interés legítimo del operador en cuestión.

 

El tratamiento de datos personales para fines distintos de aquellos para los cuales fueron recopilados originalmente se permite solo si el tratamiento es compatible con los fines iniciales para los cuales se recopilaron inicialmente los datos personales. En este caso, no se requiere una base jurídica distinta de la base jurídica que hizo posible la recopilación de datos personales.

 

Se considera de interés público el tratamiento de datos personales por parte de las autoridades públicas para lograr los objetivos de organizaciones religiosas oficialmente reconocidas, tal como las define el derecho constitucional o el derecho internacional público.

 

 

Consentimiento del interesado, condiciones

 

• Si el tratamiento se basa en el consentimiento, el operador debe poder demostrar que el interesado ha dado su consentimiento para el tratamiento de sus datos personales.

 

• Si el interesado da su consentimiento en una declaración escrita que también se refiere a otros asuntos, la solicitud de consentimiento debe comunicarse de una manera que se distinga claramente de esos otros asuntos.
• El interesado tiene derecho a retirar el consentimiento en cualquier momento. La retirada del consentimiento no afecta a la legalidad del tratamiento basado en el consentimiento previo a su retirada. El interesado es informado antes de otorgar su consentimiento. Retirar el consentimiento es posible de la misma forma sencilla que darlo.

 

• Para determinar si el consentimiento es voluntario se deberá tener en cuenta en la mayor medida, entre otras cosas, que el consentimiento para el tratamiento de datos personales que no sean necesarios para la ejecución del contrato, incluida la prestación de servicios, se ha convertido en una condición para la ejecución del contrato.

 

• El tratamiento de datos personales en relación con servicios de la sociedad de la información ofrecidos directamente a niños es legal cuando el niño tiene al menos 16 años. En el caso de niños menores de 16 años, el tratamiento de datos personales de los niños es legal siempre que el consentimiento haya sido dado o autorizado por la persona que ostenta la patria potestad sobre el niño.

 

 

 

El tratamiento de datos personales que revelen origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas o afiliación sindical, datos genéticos o datos biométricos que revelen la identidad de personas físicas, datos de salud y datos personales relacionados con la vida sexual o la orientación sexual de personas físicas está prohibido, salvo que el interesado haya dado su consentimiento explícito al tratamiento de estos datos personales para uno o varios fines específicos.

 

El tratamiento de datos personales relacionados con decisiones sobre responsabilidad penal e infracciones conexas y medidas de seguridad sólo puede tener lugar si son procesados ​​por una autoridad pública.

 

 

 

Tratamiento de datos que no requieren identificación

 

Si los fines para los cuales el operador trata datos personales no requieren o ya no requieren que el operador identifique al interesado, el operador no está obligado a conservar información adicional.

 

Si el responsable del tratamiento puede demostrar que no puede identificar al interesado, le informará de ello, cuando sea posible, por los medios adecuados.

 

 

 

 

Información y derechos del interesado

El principio de procesamiento justo y transparente requiere que el interesado sea informado sobre el hecho y los fines del tratamiento.

Si se recabaran datos personales del interesado, también se deberá informar al interesado de la obligación de facilitarlos y de las consecuencias de no comunicarlos. Esta información también podrá complementarse con iconos estandarizados para proporcionar al interesado información general sobre el tratamiento previsto de forma visible, comprensible y legible.

La información sobre el tratamiento de datos personales relacionados con el interesado debe proporcionarse al interesado en el momento de su recopilación o, si los datos han sido recopilados de una fuente distinta del interesado, dentro de un plazo razonable, teniendo en cuenta en cuenta las circunstancias del asunto.

El interesado tiene derecho a acceder a los datos recopilados que le conciernen y a ejercer este derecho de forma sencilla y en intervalos razonables para comprobar y verificar la legalidad del tratamiento. Cada interesado debe tener derecho a ser informado, en particular, de los fines para los cuales se tratan los datos personales y, si es posible, del período durante el cual se tratan los datos personales.

En particular, el interesado tiene derecho a que sus datos personales se eliminen y dejen de tratarse si la recopilación u otro tratamiento de los datos personales ya no es necesario en relación con los fines iniciales del tratamiento o si los interesados ​​han retirado su consentimiento para el tratamiento de datos.

Si el tratamiento de datos personales se realiza con fines de marketing directo, el interesado debe tener derecho a oponerse en cualquier momento, de forma gratuita, al tratamiento de los datos personales que le conciernen para dichos fines.

Revisión de datos personales

Para garantizar que el almacenamiento de datos personales se limite al período necesario, el operador establecerá plazos para su eliminación o revisión periódica.

 

Período de revisión periódica establecido por el responsable de la organización: 1 año.

 

 

Los deberes/funciones del operador de datos

 

El responsable del tratamiento aplica las normas internas de protección de datos adecuadas para garantizar la legalidad del tratamiento. Estas reglas cubren las funciones y responsabilidades del operador.

 

Es responsabilidad del operador implementar medidas apropiadas y efectivas y poder demostrar que las actividades de procesamiento cumplen con la legislación aplicable.

 

Dicha regulación debe realizarse teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del procesamiento y el riesgo para los derechos y libertades de las personas físicas.

 

 

El responsable del tratamiento implementa medidas técnicas y organizativas adecuadas, teniendo en cuenta la naturaleza, el alcance, el contexto y las finalidades del tratamiento, así como los diferentes grados de riesgo para los derechos y libertades de las personas físicas, que varían en probabilidad y gravedad. Revisa y, en su caso, actualiza otras normas internas en base a estas normas.

 

El operador o la persona autorizada por el operador mantendrá registros adecuados de las actividades de tratamiento realizadas bajo su autoridad. Cada operador y persona autorizada por el operador coopera con la autoridad de control y pone estos registros a disposición, previa solicitud, para controlar las operaciones de tratamiento en cuestión.

 

Derechos relacionados con el tratamiento de datos

 

Derecho a solicitar información

 

Cualquier persona puede solicitar información, a través de los datos de contacto facilitados, sobre los datos que trata la organización, con qué base jurídica, con qué finalidad, de qué fuente y durante cuánto tiempo. La solicitud será enviada a los datos de contacto proporcionados sin demoras indebidas y en un plazo no superior a 30 días.

 

 

Derecho de rectificación

 

Cualquier persona puede solicitar el cambio de cualquiera de sus datos utilizando los datos de contacto facilitados. Dicha solicitud será atendida con prontitud y en un plazo no superior a 30 días y se enviará la información a los datos de contacto facilitados.

 

 

 

 

 

Derecho de supresión

 

Cualquier persona puede solicitar la supresión de sus datos utilizando los datos de contacto facilitados. Si lo solicita, deberá hacerlo sin demoras indebidas y en el plazo máximo de 30 días, debiendo enviar la información a los datos de contacto proporcionados.

 

 

Derecho a bloquear, restringir

 

Cualquier persona puede solicitar el bloqueo de sus datos utilizando los datos de contacto proporcionados. El bloqueo durará mientras el motivo indicado haga necesaria la conservación de los datos. Si lo solicita, deberá hacerlo sin demora y en el plazo máximo de 30 días, debiendo enviar la información a los datos de contacto facilitados.

 

 

Derecho a la oposición

 

Cualquier persona puede oponerse al tratamiento de sus datos utilizando los datos de contacto facilitados. La objeción será examinada y se tomará una decisión sobre el fondo lo antes posible a partir de la fecha de la solicitud, pero en el plazo máximo de 15 días, y la información sobre la decisión se enviará a los datos de contacto proporcionados.

 

 

Posibilidades de implementación en relación con el tratamiento de datos

 

Autoridad Nacional de Protección de Datos y Libertad de Información

(Nemzeti Adatvédelmi és Információszabadság Hatóság)

Dirección postal: 1530 Budapest(a), Pf.: 5.

Dirección: 1125 Budapest(a), Szilágyi Erzsébet fasor 22/C.
Teléfono: +36 (1) 391-1400 
Fax: +36 (1) 391-1410 
Adresă e-mail: ugyfelszolgalat (kukac) naih.hu 
URL: https://naih.hu 
Coordenadas: N 47°30'56''; E 18°59'57'' 

 

 

En caso de violación de los derechos del interesado, éste podrá llevar al operador ante los tribunales. El tribunal soluciona el caso de forma amistosa. El interesado podrá, a su elección, interponer la acción ante el tribunal competente del lugar en que resida o tenga su domicilio.

 

 

Las tareas/funciones de la organización para garantizar una adecuada protección de datos

 

• Concienciación sobre la protección de datos. Debe garantizarse la competencia profesional para cumplir con las disposiciones legales. La formación del personal y el conocimiento de las disposiciones son esenciales.

 

• Se debe revisar la finalidad del tratamiento de datos, los criterios y el concepto de tratamiento de datos personales . Garantizar el tratamiento lícito y conforme a la política de gestión y protección de datos.

 

• Informar adecuadamente al interesado. Se debe prestar atención al hecho de que, cuando el tratamiento se base en el consentimiento del interesado, el operador debe, en caso de duda, demostrar que el interesado ha dado su consentimiento.

 

•  La información proporcionada al interesado debe ser concisa, de fácil acceso y fácil comprensión y, por tanto, debe estar redactada y presentada en un lenguaje claro y sencillo.

 

• El tratamiento transparente de datos personales requiere que el interesado esté informado sobre el hecho y las finalidades del tratamiento de sus datos. La información debe proporcionarse antes del inicio del tratamiento y el derecho a ser informado recae en el interesado durante su tratamiento, hasta el final del mismo.

 

• Los principales derechos del interesado son:

• acceso a datos personales que le conciernen;
• rectificación de datos personales;
• eliminación de datos personales;
• restricciones al tratamiento de datos personales;
• oposición a la elaboración de perfiles y tratamientos automatizados;
• derecho a la portabilidad de los datos.
   

• El operador informará al interesado sin dilación indebida y en el plazo máximo de un mes desde la recepción de la solicitud. Si fuera necesario, teniendo en cuenta la complejidad de la solicitud y el número de solicitudes, este plazo podrá ampliarse otros dos meses. La obligación de proporcionar información puede garantizarse mediante el funcionamiento de un sistema en línea seguro a través del cual el interesado pueda acceder fácil y rápidamente a la información necesaria.

 

• Se deben revisar las prácticas de gestión de datos de la organización y garantizar el derecho a la autodeterminación en materia de información. A petición del interesado, los datos deberán eliminarse sin demora si el interesado retira el consentimiento en virtud del cual se realizó el tratamiento.

 

•  El consentimiento del interesado debe indicar de forma inequívoca que el interesado consiente el tratamiento. Si el tratamiento se basa en el consentimiento del interesado, el operador deberá, en caso de duda, demostrar que el interesado ha dado su consentimiento a la operación de tratamiento.

 

• Al tratar datos personales de niños, se debe prestar especial atención al cumplimiento de las normas de tratamiento de datos. El tratamiento de datos personales en relación con servicios de la sociedad de la información ofrecidos directamente a niños es legal cuando el niño tiene al menos 16 años. En el caso de niños menores de 16 años, el tratamiento de datos personales de los niños es legal siempre que el consentimiento haya sido dado o autorizado por la persona que ostenta la patria potestad sobre el niño.

 

• En caso de tratamiento o gestión ilegal/no conforme a las disposiciones sobre los datos personales, se debe notificar a la autoridad de control. El responsable del tratamiento deberá realizar la notificación a la autoridad de control sin dilaciones indebidas y, de ser posible, dentro de 72 horas como máximo desde que tuvo conocimiento de la violación de seguridad de los datos personales, a menos que sea improbable que la violación de seguridad de los datos personales presente un riesgo para los derechos de la persona física.

 

• En determinados casos, puede ser adecuado que el operador lleve a cabo una evaluación del impacto en la protección de datos antes del tratamiento. La evaluación del impacto debe examinar el impacto de las operaciones de tratamiento previstas en la protección de datos personales. Si la autoridad de control del tratamiento de datos personales concluye que es probable que el tratamiento presente un alto riesgo, el operador debe consultar a la autoridad de control antes de tratar los datos personales.

 

• En los casos en que las actividades principales impliquen operaciones de tratamiento/gestión de datos/información personal que, por su naturaleza, alcance o finalidades, requieran un seguimiento sistemático y a gran escala de los interesados, se deberá nombrar un delegado de protección de datos. El propósito de nombrar a dicho funcionario/delegado es fortalecer la seguridad de los datos.

 

 

 

Seguridad de los datos

 

En particular, se deben tomar medidas adecuadas para proteger los datos contra el acceso no autorizado, la modificación, la divulgación, la transmisión, la eliminación o la pérdida, la destrucción accidental o el daño accidental, así como contra la inaccesibilidad resultante de cambios en la tecnología utilizada.

 

Para proteger los archivos de datos gestionados electrónicamente en los registros, deben adoptarse medidas técnicas adecuadas para garantizar que los datos almacenados en dichos registros no puedan vincularse directamente ni atribuirse al interesado.

 

A la hora de diseñar e implementar la seguridad de los datos, se debe tener en cuenta el estado actual de la tecnología. Entre varias posibles soluciones de tratamiento de datos, debería elegirse aquella que garantice un mayor nivel de protección de los datos personales, a menos que esto imponga una carga desproporcionada al operador.

 

 

El delegado de protección de datos

 

El nombramiento de un delegado de protección de datos es obligatorio en base a los siguientes criterios:

 

• el tratamiento sea realizado por autoridades públicas u otros organismos con misión de servicio público, con excepción de los tribunales que actúen en el ejercicio de su función judicial;

 

• las principales actividades del operador o de la persona autorizada por el operador impliquen operaciones de tratamiento que, por su naturaleza, alcance o finalidades, requieran un seguimiento sistemático y a gran escala de los interesados;

 

• las principales actividades del operador o de la persona autorizada por el operador se relacionan con el tratamiento de una gran cantidad de datos personales relacionados con decisiones sobre responsabilidad penal e infracciones.

 

Cuando el nombramiento de un delegado sea obligatorio, se aplicarán las siguientes reglas:

 

El delegado de protección de datos se nombra sobre la base de la competencia profesional y, en particular, del conocimiento especializado de la legislación y la práctica de la protección de datos, así como de la capacidad para desempeñar las funciones de operador de datos.

 

El delegado podrá ser un empleado del operador o de la persona autorizada por el operador, pero también podrá desempeñar las funciones en el marco de un contrato de servicios.

 

El nombre y los datos de contacto del delegado de protección de datos deben ser publicados por el operador o la persona autorizada por el operador y comunicados a la autoridad de control.

 

 

 

 

Estatuto del delegado de protección de datos

 

El operador debe asegurarse de que el delegado participe en todos los aspectos relacionados con la protección de datos personales de manera adecuada y oportuna. Debe garantizarse que estén disponibles los recursos necesarios para mantener el nivel de experiencia del delegado de protección de datos.

 

 

El delegado no acepta instrucciones de nadie en relación con el desempeño de sus funciones. El operador o la persona autorizada por el operador no despide ni sanciona al delegado en relación con el desempeño de sus funciones. El delegado es directamente responsable ante la dirección superior del operador o ante la persona autorizada por el operador.

 

 

Los interesados ​​pueden dirigirse al delegado de protección de datos para todos los aspectos relacionados con el tratamiento de sus datos personales y el ejercicio de sus derechos.

 

El delegado está sujeto a obligaciones de confidencialidad o protección de datos en el ejercicio de sus funciones.

 

El delegado podrá desempeñar otras funciones, pero no debe haber ningún conflicto de intereses en relación con estas funciones.

 

 

Deberes del Delegado de Protección de Datos

 

• proporcionar información y asesoramiento profesional al operador o a la persona autorizada por el operador y al personal que realiza el tratamiento;

 

• vigilar el cumplimiento de las normas internas del operador o de la persona autorizada por el operador en materia de protección de datos personales;

 

• previa solicitud, brindar asesoramiento técnico sobre la evaluación de impacto de la protección de datos y monitorear el progreso de la evaluación de impacto;

 

• cooperar con la autoridad de control.

 

 

 

Incidente de protección de datos

 

Una violación de datos es una violación de la seguridad que resulta en la destrucción accidental o ilegal, la pérdida, la alteración, la divulgación no autorizada o el acceso a datos personales transmitidos, almacenados o tratados de otra manera.

 

Una violación de la seguridad de los datos personales puede causar daño físico, material o moral a las personas, incluida la pérdida de control sobre sus datos personales o la restricción de sus derechos, la discriminación, el robo de identidad o el uso indebido de su identidad, si no se soluciona de manera adecuada y a su debido tiempo.

 

 

 

Se debe notificar a la autoridad de control competente sin dilaciones indebidas y en un plazo máximo de 72 horas cualquier posible incidente de protección de datos, a menos que pueda demostrarse, de conformidad con el principio de responsabilidad, que es poco probable que el incidente de protección de datos suponga un riesgo para los derechos y libertades de las personas físicas.

 

El interesado debe ser informado sin demora si la violación de la seguridad de los datos personales puede entrañar un riesgo elevado para los derechos y libertades de la persona física, para permitirle tomar las precauciones necesarias.

 

 

Tratamiento de datos con fines administrativos y de mantenimiento de registros

 

La organización también puede tratar datos personales en el contexto de sus actividades y con fines administrativos y de mantenimiento de registros.

 

El tratamiento se basa en el consentimiento libre y explícito del interesado, con información previa adecuada. Después de la información detallada, incluso sobre los fines, la base jurídica y la duración del tratamiento y los derechos del interesado, se debe informar al interesado sobre el carácter voluntario del tratamiento. El consentimiento para el tratamiento se presentará por escrito.

 

El tratamiento de datos con fines administrativos y de mantenimiento de registros tiene las siguientes finalidades:

 

• tratar los datos de los miembros y empleados de la organización, en base a una obligación legal;

 

• tratar los datos de las personas que tienen una relación contractual con la organización para fines de contacto, contabilidad y registro;

 

• tratar los datos de contacto de otras organizaciones, instituciones y empresas que hacen negocios con la organización, que pueden incluir datos de contacto e identificación de personas físicas.

 

El tratamiento de los datos descritos anteriormente se basa, por un lado, en una obligación legal y, por otro lado, en el consentimiento explícito del interesado al tratamiento de sus datos (por ejemplo, a efectos de un contrato de trabajo o al registrarse como colaborador en un sitio web etc.).

 

En el caso de documentos escritos (como CV, solicitudes de empleo, otras propuestas etc.) que contengan datos de carácter personal, se debe presumir el consentimiento del interesado. Una vez cerrado el caso, los documentos deben destruirse en ausencia de consentimiento para su uso posterior. El hecho de la destrucción deberá constar en un informe.

 

En el caso de tratamientos con fines administrativos, los datos personales se incluyen únicamente en los expedientes y registros del caso. El tratamiento de estos datos dura hasta que se elimina el documento en el que se basa el tratamiento.

El tratamiento con fines administrativos y de mantenimiento de registros debe revisarse anualmente para garantizar que el almacenamiento de datos personales se limite al período necesario y que los datos personales inexactos se eliminen sin demora.

 

También debe garantizarse el cumplimiento de la ley en caso de tratamiento con fines administrativos y de conservación de datos.

 

 

Tratamiento para otros fines

 

Si la organización desea realizar un tratamiento que no está cubierto por esta política, primero debe modificar estas reglas internas en consecuencia o agregar reglas o regulaciones adicionales correspondientes a los nuevos fines del tratamiento.

 

 

Otros documentos relacionados con esta política

 

Los documentos y las políticas que contengan, por ejemplo, una declaración escrita de consentimiento para el tratamiento de datos o, en el caso de sitios web, un aviso de privacidad obligatorio, deben adjuntarse y gestionarse junto con la política de privacidad y protección de datos.

 

 

 

Legislación en la que se basa el tratamiento de datos

 

• REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

 

-Ley núm. CXII de 2011 relativa al derecho a la autodeterminación informativa y a la libertad de información.

 

• Ley núm. LXVI de 1995 relativa a los registros públicos, archivos públicos y protección del material de archivo privado.

 

• Decreto gubernamental núm. 335/2005 (29.XII.) sobre los requisitos generales para la gestión de documentos por parte de los organismos públicos.

 

• Ley CVIII de 2001 relativa a determinados aspectos de los servicios de comercio electrónico y de los servicios de la sociedad de la información.

 

• Ley núm. C de 2003 relativa a las comunicaciones electrónicas.