La RGPD es una regulación de la Unión Europea que rige para todos los estados miembros desde el 25 de mayo de 2018. Regula el manejo de datos personales.
La RGPD es neutral tecnológicamente. Debido a las circunstancias especiales de Internet se han emitido regulaciones adicionales. Por ejemplo, la Directiva ePrivacy. En su segunda versión también fue denominada Directiva del galletas.
Para Internet y páginas web, la RGPD es especialmente relevante porque las direcciones IP son datos personales (ver sentencias del TJUE y el BGH). Un tratamiento de datos se produce ya en una recopilación de datos a la posible notificación a un destinatario mencionado por el proveedor.
Por lo tanto, cada llamada a una página web es un procedimiento que cae bajo la competencia de la RGPD. Cada propietario de una página web debe someterse a la RGPD. Muchos lo hacen con resentimiento o no, como se puede ver en el uso de herramientas de consentimiento ilegales.
Sin embargo, es hay que destacar que las direcciones IP eran ya datos personales antes de la entrada en vigor del RGPD. El BDSG (Ley federal de protección de datos) simplemente no se aplicó de manera consecuente. En este contexto, se mencionó que algunas autoridades de protección de datos en Alemania no brillan precisamente por su actividad excesiva (saludos especialmente a Hesse).
Para sitios web surgen algunas consecuencias, entre otras:
- Obtener una autorización antes de realizar ciertos procesos de tratamiento de datos
- Declaración de los procesos de tratamiento de datos realizados en la política de privacidad y en las solicitudes de consentimiento
- La mención de los derechos de los afectados en la declaración de protección de datos
- Mención de una persona responsable en la política de privacidad
- Accesibilidad a la política de privacidad desde cualquier subpágina (con un máximo de dos clics)
- Control permanente por parte de las autoridades de protección de datos posible
- En caso de infracciones a la protección de datos, se pueden imponer multas
¿Qué significa procesamiento de datos?
La respuesta se encuentra en el artículo 4 de la RGPD. Resumen breve por mi: Casi cualquier forma de suministrar datos personales a terceros se considera procesamiento de datos, ya sea que una eventual procesamiento real ocurra o no. Esta definición es razonable porque nadie puede demostrar el siguiente proceso:
- La página W proporciona a un proveedor de servicios D un enlace (URL) a los datos de un usuario mediante Tracking (captura del URL por un rastreador)
- El proveedor de servicios D consulta la URL recibida
- El proveedor de servicios D evalúa los contenidos extraídos
El artículo 4 de la RGPD establece en el punto 2:
En el sentido de esta ordenación, se entiende por:
Procesamiento“ cada uno de los procedimientos o series de procedimientos realizados con o sin la ayuda de procesos automatizados en relación con datos personales como el recolección, el registro, la organización, la clasificación, el almacenamiento, la adaptación o modificación, el recuperación, el consultado, la utilización, la difusión por transmisión, distribución o cualquier otra forma de poner a disposición, el comparar o vincular, restringir, eliminar o destruir;
Artículo 4, número 2 de la RGPD
Si alguien transmite una URL a través de Tracking a terceros que representan un enlace a datos personales de un tercero, permite el procesamiento de estos datos y probablemente infringe el Artículo 32 RGPD (Seguridad del tratamiento), específicamente:
…adoptar por los responsables y los encargados de la prestación de servicios medidas técnicas y organizativas adecuadas, con el fin de… garantizar durante su existencia la capacidad, confidencialidad, integridad, disponibilidad y resistencia a fallos de los sistemas y servicios en relación con el tratamiento
Extractos del artículo 32, apartado 1 de la RGPD
La procesamiento de datos comienza ya con la recopilación de ellos. Me he estudiado más a fondo la recolección de datos. Tan pronto como un servidor recibe una solicitud (como una página web) y no la bloquea, hay un procesamiento de datos! Tan pronto como tienes un sobre en tu buzón que alguien te ha enviado debido a tu oferta, estás recopilando los datos del sobre (excepto si tu buzón se apaga inmediatamente después de recibir el sobre)
Los artículos más importantes de la RGPD
Al evaluar preguntas sobre protección de datos en sitios web, siempre vuelven a surgir los siguientes artículos:
- Artículo 4 RGPD: Definiciones generales de los términos, como lo que son datos personales
- Artículo 5 RGPD: Principios de la tratamiento de datos personales. En particular, hay que mencionar aquí la minimización de datos. En la práctica esto significa un prohibición del uso de Google Fuentes, que se cargan desde el servidor de Google (pedir permiso para fuentes no tiene mucho sentido). Solución: integrar las fuentes localmente
- Artículo 6 RGPD: Bases legales. En particular importante: ¿Hay un interés legítimo?
- El artículo 7 de la RGPD: Condiciones para una autorización por parte del usuario
- Artículo 12 RGPD: Información transparente, sencilla y comprendible. Mucho éxito al describir las procesiones de datos por parte del conglomerado Google. Lo mejor es no utilizar herramientas de Google o proporcionar una descripción exhaustiva de posibles peligros
- Artículo 13 RGPD: Obligaciones de información. De ello se derivan también la necesidad de una Declaración de protección de datos y la Declaración de los fines de Cookies
- Artículo 15 RGPD Derecho a la información de las personas afectadas incluido derecho de reclamación ante una autoridad de control
- Artículo 26 RGPD: Responsabilidad compartida de dos procesadores de datos que trabajan juntos
- Artículo 30 RGPD: Registro de actividades de tratamiento
- Artículo 32 RGPD: Seguridad de la tratamiento
- Artículo 44ff RGPD: Principios de la transmisión de datos. Sobre todo importante en transferencias de datos a EE.UU. (herramientas de Google, etc.)
Temas seleccionados en sitios web
Para sitios web, sobre todo el uso de servicios llamados herramientas es un proceso relevante para la protección de datos. En este sentido he escrito una serie de artículos y recomiendo especialmente los siguientes:
- Galletas: Fundamentos
- Anuncios de galletas en pop-up: Cinco razones por las que son inconfiables y siempre lo serán
- Herramientas de Consentimiento: Prueba en la práctica
- El Administrador de etiquetas de Google es obligatorio con consentimiento
- El Google Analytics en sus configuraciones diferentes es obligatorio para la aprobación
Mensajes clave
El RGPD es una ley europea que regula cómo se usan los datos personales en internet, incluyendo las direcciones IP.
Compartir una URL que lleva a datos personales de terceros puede ser una violación de la privacidad y las leyes de protección de datos.
Para sitios web, es crucial proteger los datos de los usuarios al usar herramientas como Google Analytics y asegurarse de que el consentimiento para el uso de cookies sea válido y transparente.
Me llamo Klaus Meffert. Soy doctor en informática y llevo más de 30 años dedicándome profesional y prácticamente a las tecnologías de la información. También trabajo como experto en informática y protección de datos. Obtengo mis resultados analizando la tecnología y el Derecho. Esto me parece absolutamente esencial cuando se trata de protección de datos digitales.
