Aitana Security Lab | Enterprise Vulnerability Assessment Platform

Fuentes Oficiales

¿Qué es el GDPR?

El Reglamento General de Protección de Datos (RGPD en español, GDPR en inglés) es el Reglamento (UE) 2016/679, en vigor desde el 25 de mayo de 2018. Aplica a cualquier organización que trate datos personales de personas físicas en la UE, independientemente de dónde esté establecida. Tiene efecto directo en todos los Estados miembro (no requiere transposición).

Principios Clave (Art. 5)

Licitud, lealtad y transparencia

Debe existir una base legal para el tratamiento. El interesado debe ser informado.

Limitación de la finalidad

Los datos se recogen para fines determinados y no se tratan de forma incompatible.

Minimización de datos

Solo los datos adecuados, pertinentes y limitados a lo necesario para la finalidad.

Exactitud

Los datos deben ser exactos y, si es necesario, actualizados.

Limitación del plazo de conservación

Solo conservar mientras sea necesario para la finalidad.

Integridad y confidencialidad

Seguridad adecuada: protección contra tratamiento no autorizado, pérdida o daño.

Derechos de los Interesados

Acceso (Art. 15)Rectificación (Art. 16)Supresión / "Olvido" (Art. 17)Limitación del tratamiento (Art. 18)Portabilidad (Art. 20)Oposición (Art. 21)No ser objeto de decisiones automatizadas (Art. 22)Información (Arts. 13/14)Reclamación ante la AEPD

Obligaciones Principales

DPO (Delegado de Protección de Datos)

Obligatorio para: autoridades públicas, tratamientos a gran escala de datos sensibles, o monitorización sistemática. Ver Art. 37-39.

Registro de Actividades de Tratamiento (RAT)

Documentar todos los tratamientos: base legal, finalidad, categorías de datos, plazos, medidas de seguridad. Art. 30.

Notificación de brechas (72 horas)

Las brechas de seguridad deben notificarse a la autoridad supervisora en 72 horas desde su conocimiento. Art. 33.

EIPD (Evaluación de Impacto)

Obligatoria cuando el tratamiento conlleva alto riesgo para derechos de las personas. Art. 35.

Privacy by Design / Default

Integrar protección de datos desde el diseño del sistema y por defecto. Art. 25.

Sanciones

Nivel 1

€10M / 2% facturación

Infracciones de: obligaciones de responsable y encargado, organismos de certificación, de supervisión. Art. 83.4.

Nivel 2 (máximo)

€20M / 4% facturación

Infracciones de: principios básicos, derechos de los interesados, transferencias internacionales. Art. 83.5.

Se aplica el importe mayor entre la multa fija y el porcentaje de la facturación anual global.

Siguiente Paso

Aprende sobre la Directiva NIS2, que complementa al GDPR en materia de ciberseguridad de infraestructuras

Directiva NIS2 →