Propuesta Nuevo Reglamento LOPD – El DPO (Data Protection Officer)

En junio de 2014 se organizó una ponencia de trabajo en la que el Coordinador de Auditoria y Seguridad de la información en la Autoridad Catalana de Protección de Datos, expuso las novedades de la propuesta de Reglamento UE de Protección de Datos y anticipó los puntos que probablemente formarán parte de la nueva norma.

En este artículo se va a profundizar sobre uno de los principales puntos que serán susceptibles de aplicación para la mayoría de entidades, en el momento de la aprobación del reglamento de la Unión Europea de Protección de Datos.

El Reglamento será de aplicación directa a todos los Estados miembros. Todas las empresas que traten datos de carácter personal y dispongan de un establecimiento en un Estado miembro deberán aplicarlo, aunque las operaciones materiales de tratamiento de la información se lleven a cabo fuera de la Unión Europea.

El objetivo del Reglamento es alcanzar un mayor nivel de protección de los datos de carácter personal, especialmente en el medio digital, alineando la gestión de la protección de datos con el resto de actividades ordinarias y cotidianas que conforman la estructura organizativa y las reglas de negocio de las empresas, a lo que se une la obligación de ofrecer una mayor transparencia respecto del tratamiento de datos que llevan a cabo, en base a informar más y mejor sobre las operaciones de tratamiento.

Este nuevo Reglamento está considerado por las instituciones europeas como uno de los pilares del mercado único digital europeo, que debería estar ultimado, al menos conceptualmente, en el 2015.

Aunque no será de cumplimiento obligatorio para todas las Organizaciones, unos de los mayores cambios es el de disponer de la figura del DPO. 

Se establece el perfil del DPO como un profesional conocedor de la materia (legislación y buenas prácticas) y capacitado para desarrollar todas las funciones que describe el Reglamento (ej. supervisión, información, asesoramiento, formación, comunicación al Comité de empresa sobre el tratamiento de datos de los empleados, auditorías, seguridad, etc.), aunque por el momento no se detalla la obligación de acreditar una formación determinada.

No obstante, muy probablemente se establecerán mecanismos de acreditación, ya sean a nivel europeo o local, respecto de la formación o capacitación requerida.

Entre las funciones que habrá de desarrollar las más destacadas serian:

• El DPO deberá ser el punto de enlace entre la Autoridad de Control y el responsable o encargado tratamiento, aunque la responsabilidad por el incumplimiento de la normativa recaerá siempre sobre la empresa.
• Ha de ser una persona física y su identidad y datos de contacto deberán ser comunicados a la Autoridad competente y al público en general. Podrá ser interno (el mandato mínimo será de 4 años) o externo (el mandato mínimo será de 2 años), En cualquier caso el DPO deberá contar con los recursos humanos y materiales necesarios para desarrollar sus funciones de forma adecuada.
• El cargo de DPO no reviste exclusividad por lo que el profesional podrá desarrollar otras funciones y competencias, siempre que le permitan garantizar los principios de independencia (no parece por tanto que esta función pueda ser asignada, por ejemplo, al Responsable de Seguridad) y deber de secreto que rigen su actividad. Se deberán considerar los aspectos legales pertinentes en el contrato al momento de externalizar esta función.
• Deberá estar presente en la toma de decisiones sobre los procesos que vayan a implicar el tratamiento de datos personales, y disponer de una interlocución directa con la Dirección Ejecutiva, si bien no es necesario que pertenezca a ella.

Se expone la figura del DPO por estar calificado como uno de los cambios más sustanciales de la normativa, pero no será de aplicación para todas las entidades que traten datos de carácter personal.

Los supuestos en que se determina la obligatoriedad del DPO son:

• Tratamiento de datos de más de 5.000 personas durante 12 meses consecutivos.
• Tratamiento de categorías especiales de datos (ej. Hospitales).
• Tratamiento de datos de localización (ej. geolocalización).
•  Tratamiento que consista en la monitorización del interesado (ej. navegación).
• Tratamiento de datos de menores y empleados a gran escala.
• Administraciones Públicas.

Tu Otra Identidad - Identidad 2.0

Afirmar que las redes sociales hayan llegado para quedarse es hoy en día indiscutible. Las propias cifras lo demuestran claramente: 700 millones de usuarios en Facebook, 200 millones en Twitter y más de 7 millones para la española Tuenti hacen que el no estar en una red social sea cada vez más la excepción a la regla. Esta irrupción de las redes sociales en nuestras vidas presenta nuevos e importantes retos desde el punto de vista de la privacidad o la protección de datos y la seguridad en general.

La Identidad 2.0 o también conocida como identidad digital, es el nuevo concepto de identidad. Por definición es el rastro que cada usuario de internet deja en la red como resultado de su interrelación con otros usuarios o con la generación de contenidos en portales web y redes sociales. Es decir, estamos hablando de una consecuencia directa de la evolución tecnológica y de comunicación, concretamente del término bautizado como comunicación 2.0.

Los elementos que integran la identidad digital, y que por tanto permiten a las personas diferenciarse frente a otras en ámbitos concretos, son los rasgos de identidad o atributos informativos. Forman parte de estos datos tu nombre y apellidos, la dirección de correo electrónico, los datos de contacto, las fotografías o vídeos, tu información laboral, aficiones o incluso preferencias políticas, religiosas o sexuales. En definitiva, es un rasgo de identidad cualquier pieza de información personal que forme  parte del puzle de la identidad online.  

En general, hay dos categorías principales que componen tu identidad digital:

• Categoría Profesional – es tu huella profesional  y es fácil de entender, se refiere a tu trabajo, tu profesión, tu puesto, y es información que compartes en lugares como LinkedIn, tu blog o el sitio web de tu empresa. 

• Categoría Personal – en este caso es un poco más complicado de identificar, cuando pensamos ‘personal’ lo relacionamos tal vez con privado,. Sin embargo redes sociales como Facebook y Google+, hacen que el concepto de   vida privada lo sea un poco menos, aun sin ser conscientes de los riesgos que esto conlleva desde el punto de vista de la seguridad y el tratamiento de nuestros datos.

Por tanto es muy importante  tener en cuenta que tu identidad digital la vas definiendo tú mismo con lo que compartes, tu presencia e interacción en las diferentes redes sociales, blogs, foros, sitios web, etc. El quién eres, es una pregunta que vas contestando incluso en ocasiones sin darte cuenta, realmente al final del camino somos nosotros como usuarios quien determinamos a través de la información que publicamos que tanto de privacidad queremos tener en la red.

Hoy en día ya es todo un habito “Googlear” el nombre de alguien para conocer quién es, por eso es importante cuidar tu identidad online.

Es de lógica entonces que nuestra identidad digital también conlleve una reputación digital, que nos va a ser difícil separar de nuestro yo. Los problemas se pueden agravar aún más por la propia persistencia de la información en Internet. Todo lo que se hace, bueno o malo, queda grabado casi para siempre. Y, asumiendo que Internet se extiende cada vez más a todos los ámbitos, sin duda este será otro de los aspectos que provoque que el “derecho al olvido” vaya a ser uno de los caballos de batalla de la privacidad en Internet durante la próxima década.

Gestionar este término conocido también como Reputación 2.0 para una persona física ya se ha visto que puede ser complicado, pero si hablamos de una entidad u organización empresarial el tema se complica en exceso.

Una entidad jurídica tiene, por descontado, su propia identidad en la red y con ello su consecuente reputación, pero ¿hasta qué punto está reputación se puede ver afectada por la reputación de un usuario que en su categoría profesional tenga indicaciones de la entidad para la que trabaja?

Es algo difícil de evaluar y actualmente también prácticamente imposible de gestionar sin un adecuado marco de gobierno. Todo lo expuesto invita a reflexionar en la inminente necesidad de crear procedimientos para gestión de la identidad digital en el ámbito corporativo con a finalidad de garantizar la protección de la imagen o reputación. 

La solución pasa por controlar mediante la aplicación de políticas corporativas el uso que los empleados puedan hacer de su identidad en el ámbito laboral dentro de las redes sociales, para evitar con ello problemas de imagen sobre la empresa para la cual una persona física presta sus servicios.

Por eso se debe tener en mente que lo que se comparta online y firmes con tu persona, tarde o temprano puede ser visto por cualquiera. Así hay que procurar no compartir nada que realmente no se quiera compartir con TODO el mundo y que por tanto desde ese momento  sea de dominio público.

Se puede afirmar que aprender a interactuar con terceros y manejar aspectos básicos de personal  o construcción de una marca personal puede convertirse en algo esencial para el desarrollo de la personalidad y el futuro social y profesional.

Sin duda la conclusión que mejor se adapta al mensaje que se quiere transmitir es una frase de Julio Alonso, fundador y Director General de Weblogs SL, una de las principales empresas españolas de contenidos especializados en Internet donde dice: “Dedicar esfuerzo a construir tu propia identidad digital ya no es opcional. Es un acto de pura responsabilidad”.

Marco de seguridad de datos accedidos por terceros en 5 pasos

La seguridad de los datos ha estado entre las tareas prioritarias del responsable de seguridad. En la actualidad esta tarea ha cobrado mayor importancia debido a los siguientes factores:

• Incremento de los requerimientos de cumplimiento de la legislación vigente sobre protección de datos personales, protección de datos de tarjetas de debido y crédito, blanqueo de capitales, entre otros requerimientos regulatorios.

• Los datos del negocio son accedidos desde distintos puntos, distintos repositorios y por diferentes tipos de usuario empleados, operadores/administradores/programadores de las compañías de servicios TI contratadas.

• La creciente externalización de servicios a proveedores de TI (comunicaciones, alojamiento de servidores, explotación de sistemas, etc).

• Incidentes de pérdida de datos,  sanciones e investigaciones de  organismos reguladores locales y Europeos.

Para construir un Marco de gestión de la seguridad de datos accedidos por terceros, aconsejamos seguir los siguientes pasos:

1. Definir el enfoque global para la identificación y categorización de proveedores:

• Crear un inventario de proveedores.
• Evaluar el riesgo de seguridad de datos.
• Priorizar y clasificar los proveedores por el nivel de seguridad de datos.
• Desarrollar e implementar un programa para mitigar los riesgos identificados.

2. Estandarizar el procesos de gestión de la seguridad del acceso a datos por terceros:

• Revisión anual de contratos.
• Definición obligaciones contractuales basadas en requerimientos de seguridad.
• Desarrollar e implementar indicadores de seguimiento y revisar de forma periódica dichos indicadores.
• Definir reuniones de seguimiento de los requerimientos de seguridad con los proveedores.
• Definir un calendario de visitas anuales/regulares según el tipo de proveedor.
• Realizar auditorias a las operaciones del proveedor.
• Establecer requerimientos adicionales de seguridad a los proveedores de riesgo alto.

3. Definir el marco de seguridad de datos:

• Desarrollar e implementar las políticas y procedimientos con los requerimientos de seguridad dirigidos a terceros que acceden datos personales y del negocio.
• Definir controles técnicos para el control de accesos, caducidad de conexiones remotas, registros de auditoria para la descarga de datos, traspaso de programas al entorno de producción, etc.
• Definición de roles de usuario con accesos específicos, asignación de privilegios basados en funciones específicas.
• Revisión mensual de accesos asignados, supervisar la rotación de personal del proveedor
• Establecer un programa de concienciación del personal interno y del proveedor.

4. Definir roles y responsabilidades:

• Establecer el rol de responsable del servicio en ambas partes (tanto en la compañía como en el proveedor).
• Establecer responsabilidades a los responsables.
• Definir una matriz RACI incluyendo a todos los niveles que intervienen en la prestación del servicio.
• Establecer el proceso de revisión de los roles cuando se realicen cambios en el servicio.

5. Monitorizar la ejecución del marco de gestión:

• Revisión de la ejecución de indicadores de seguimiento.
• Revisión de la ejecución de los controles técnicos, registros de auditoria, cambios de claves de acceso, etc.
• Revisión de la aplicación de las políticas y procedimientos definidos, revisiones de accesos, autorizaciones, actas de reuniones con el proveedor.

5 aspectos destacables del Reglamento Europeo de Protección de Datos

El 12 de marzo de 2014 es aprobada la propuesta de Reglamento del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos).

Visión general del contenido del reglamento:

Objetivos del Reglamento:

• Adaptar la protección de datos a las nuevas demandas del mundo digital.

• Evitar las actuales divergencias en la aplicación de las normas (de 1995) por parte de los diferentes Estados miembros y velar por los derechos fundamentales a la protección de datos personales y la aplicación de manera uniforme en todos los ámbitos de las actividades de la Unión.

• Aumentar la confianza del consumidor en los servicios en línea facilitando una mejor información con respecto a los derechos y a la protección de datos mediante la introducción del derecho a la rectificación, al olvido y a la supresión, derecho a la portabilidad de datos y de oposición.

• Impulsar el mercado único digital reduciendo la fragmentación actual y las cargas administrativas.

Aspectos destacables del reglamento:

1. Los negocios que manejen datos personales de más de 5000 usuarios, deberán efectuar evaluaciones de impacto sobre la privacidad con carácter obligatorio para cualquier operación de procesamiento de datos que entrañe riesgo, considerándose procesamiento arriesgado el efectuado con datos personales de 5000 o más individuos.

2. Sanciones desproporcionadas. La autoridad de control correspondiente impondrá al menos una de las siguientes sanciones:

• (i) un aviso por escrito en casos de primer incumplimiento no deliberado;
• (ii) auditorías regulares del sistema de protección de datos;
• (iii) Las sanciones administrativas oscilarán entre1.000.000€ o el 2% del volumen de negocios total de la empresa, hasta 100.000.000 € o el 5% del volumen de negocios global, prevaleciendo la cantidad que resulte superior.

3. Figura del “Data Protection Officer” (DPO): Se modifican los casos en que será obligatoria la designación del DPO. Ahora será obligatoria para: una autoridad u organismo públicos, si el tratamiento lo lleva a cabo una persona jurídica con respecto a más de 5 000 interesados durante un periodo consecutivo de 12 meses, cuando las actividades principales del responsable o del encargado del tratamiento consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran un seguimiento periódico y sistemático de los interesados y cuando las actividades principales del responsable o del encargado del tratamiento consistan en el tratamiento de categorías especiales de datos con arreglo al artículo 9, apartado 1, datos de localización o datos relativos a niños o a empleados en ficheros a gran escala.

4. Obligaciones del Responsable del tratamiento: El Responsable del tratamiento estará obligado a enfrentarse a responsabilidades muy específicas tales como la obligación de elaborar y aplicar políticas internas de protección de datos que den cumplimiento a los principios del “Privacy by design” y el “Privacy by default” y las cuales deberán ir mucho más allá del mero hecho de disponer de un documento de seguridad.

Puesto que el Reglamento tiene como objetivo la protección de los datos personales de los ciudadanos europeos, las mejoras más destacables son las siguientes:

1. Dificultad para las transferencias de datos a terceros países, sobre todo en casos de transferencias requeridas por tribunales o autoridades administrativas de países terceros. Si un país tercero solicita a una empresa (por ejemplo, una red social o un buscador) información personal procesada en la UE, dicha empresa deberá obtener el permiso de la autoridad nacional de protección de datos e informar a la persona en cuestión antes de enviar la información.

2. Derecho de supresión (que sustituye al derecho al olvido),  por el que cualquier persona podría solicitar que se borren sus datos sí;

• (i) no se cumplen las normas de la UE,
• (ii) los datos ya no son necesarios o
• (iii) la persona retira o no da su consentimiento al almacenamiento de esa información. La invocación de este derecho quedará limitada cuando los datos en cuestión hayan sido recabados con fines estadísticos, para la investigación histórica o científica, por motivos de salud pública o para ejercer la libertad de expresión.

3. Datos que revelen creencias filosóficas, orientación o identidad sexual, sanciones administrativas, fallos judiciales y presuntos delitos no serán susceptibles de ser tratados.

4. Consentimiento explícito y lenguaje claro, será entendido como una “manifestación libre, específica e informada de la voluntad del interesado, ya sea mediante una declaración o una clara acción afirmativa”. Esto impediría, por ejemplo, prácticas como la de mantener marcada la casilla de “aceptar” en las políticas de privacidad.

5. Reforzamiento de los derechos individuales del titular de los datos. Esto es así a través de la definición del derecho al olvido, el derecho a la portabilidad (de extraordinaria relevancia en el sector de las redes sociales) y el principio de rendición de cuentas (Accountability), aspectos analizados en profundidad en nuestra formación, con vistas al impacto que tendrá en las empresas una vez que entre en vigor la norma.

El Data Privacy Institute publica el libro “Estudio de impacto y comparativa con la normativa española de la propuesta de Reglamento General de Protección de Datos de la Unión Europea”

Desde que viera la luz el pasado 25 de enero de 2012 el borrador del Reglamento General de Protección de Datos de la Unión Europea, surgió la necesidad entre los profesionales de la privacidad de evaluar el “gap” que suponía este reglamento con respecto a la legislación vigente a nivel nacional en materia de protección de datos, es decir la Ley 15/1999 y el RD 1720/2007.

Este duro y necesario trabajo lo ha realizado los profesionales que conforman el Data Privacy Institute que durante 9 largos meses se han dedicado a analizar detalladamente este borrador de Reglamento General, generando un libro que compara cada  articulo del mismo con la legislación vigente a nivel nacional. Este libro es sin duda una base de conocimiento inicial y esencial que deben obtener las empresas de cara al cambio sustancial que se aproxima.

He de recordar que este futuro Reglamento (que deberá aprobarse antes de marzo de 2014) tendrá una aplicación directa sobre todas las organizaciones europeas que tienen que cumplir con la normativa, logrando una armonización inexistente hoy en día. Sin embargo, este Reglamento General nace con el reto de coexistir con la normativa nacional de los Estados miembros, hecho donde quizás en España tengamos cierta ventaja ya que existe una cultura y conocimiento de la protección de datos gracias a las normas publicadas desde el año 1992 (LORTAD, LOPD, RMS y RD 1720/2007 principalmente) aunque en este borrador existen novedades que sin duda requerirán de esfuerzos importantes en el seno de las empresas españolas.

No pretendo en este artículo explicar en detalle el conjunto de novedades que se exponen en este borrador, (para ello recomiendo este libro) pero si me gustaría hacer hincapié en la nueva visión que aporta este borrador, describiendo un marco de GRC (Gobierno, Riesgo y Cumplimiento)  donde se alineen los objetivos de negocio con requerimientos de privacidad, analizando los riesgos y teniendo en cuenta la privacidad desde la concepción de los sistemas de tratamiento de datos. Es aquí donde nacen los conceptos de Accountability, Privacy by Design, Privacy by Default y el Privacy Impact Assesment que obligaran a las empresas a preocuparse de la privacidad desde el primer momento que se implementen nuevos procesos en las empresas. En mi opinión será necesario hacer un importante esfuerzo entre los profesionales de la privacidad para hacer ver al negocio que los requerimientos de privacidad no son un impedimento al negocio sino que puede ser desencadenantes de retornos de la inversión a través de un reforzamiento de la imagen, un mejor posicionamiento en el mercado y una mayor confianza de los stakeholders.

Otros puntos novedosos a destacar es la incorporación de la figura del Delegado de Protección de Datos una figura que deberá existir en organizaciones de más de 250 empleados y que será la encargada de velar por la privacidad en la organización. Será un rol directivo cuya misión deberá ser trasladar los requerimientos de privacidad a la Dirección y cuyo reto deberá residir en el retorno de la inversión como valor añadido al cumplimiento legal. Otras novedades son la aparición de mecanismos y procedimientos como las consultas previas, certificaciones orientadas a privacidad, la notificación de violaciones de seguridad, el establecimiento de los derechos al olvido y a la portabilidad de datos, la evaluación del impacto desde el punto de vista de la privacidad de los nuevos sistemas de tratamiento de datos (Privacy Impact Assesment) y los cambios sustanciales que se producen tanto en el ámbito de aplicación de la norma como los criterios sancionadores.

A modo de conclusión es importante señalar que este borrador define una serie importante de novedades, algunas con impactos mínimos pero otras con impactos severos como hemos comentado y que requerirán esfuerzos muy importantes por parte de las organizaciones. La mayor incógnita reside en las dudas existentes en cuanto a cómo va a ser la estrategia de evolución entre el modelo europeo y el nacional, cuestión todavía por definir.  Sin duda alguna se aproximan tiempos de duro trabajo tanto para los profesionales de la privacidad como para las empresas europeas.

Datos elocuentes en la publicación de la Memoria Anual de la AEPD

La Agencia Española de Protección de Datos ha hecho pública su Memoria de Actividades de 2011 a través de su página web (www.agpd.es) mostrando datos muy interesantes que dejan patente que existe un mayor conocimiento de la LOPD en la sociedad, además de una creciente preocupación en los ciudadanos por la seguridad de los datos.

La Memoria hace una exposición de las actuaciones llevadas a cabo por la Agencia en el año 2011 y expone cifras muy relevantes entre las que me gustaría destacar:

-          El número de escritos de denuncia han aumentado un 51,60% respecto al periodo anterior, alcanzado la cifra de 7.648 denuncias, frente a las 5.045 de 2010. Este dato ha generado un crecimiento en el número de resoluciones declarativas de infracción del 37,7%, alcanzándose un total de 898 resoluciones declarativas de infracción, de las cuales 817 tuvieron como destinatarios a responsables privados y 81 a Administraciones Públicas.

-          El montante total de las sanciones económicas superó la suma de 19,5 millones de euros, incrementándose un 12% respecto al año anterior.

-          En cuanto a la distribución de la cuantía de las sanciones, los sectores con mayor importe global de sanciones fueron: el sector de telecomunicaciones -que aglutinó más del 63% del global de las sanciones- con 12,3 millones de euros, seguido por el sector financiero, con 3,8 millones, las entidades de suministro y comercialización de gas, electricidad y agua, con algo más de 1 millón de euros, la videovigilancia con 494.000 euros y las comunicaciones electrónicas comerciales - spam (LSSI)-, con 305.000 euros.

-          De las sanciones impuestas en 2011, un 66,49% de ellas son graves, un 32,78% leves y solo 0,73% muy graves.

-          La Memoria pone de relieve que «el derecho al olvido» en internet se ha configurado como un derecho cada vez más reclamado por los ciudadanos, ya que de las tres solicitudes recibidas en la Agencia en 2007 se ha pasado a las 160 de 2011. La Agencia da respuesta a esta demanda ciudadana «a través de los derechos de cancelación y oposición». Este último se aplica para evitar la indexación de datos personales por los motores de búsqueda.

-          En cuanto a las áreas temáticas en las que se produce un mayor crecimiento de las actuaciones, destacan la difusión de datos personales en internet y la vulnerabilidad de las medidas de seguridad en la red, así como la inclusión de datos de morosidad en ficheros. 

 

Por tanto concluyendo:

Hay una tendencia al alza en el número de resoluciones declarativas de infracción, las cuantías económicas se han elevado significativamente y además, la gran mayoría de ellas son graves.  Uno de los motivos que ha provocado el aumento del  número de sanciones es tal y como muestran los números, el crecimiento exponencial que ha sufrido la solicitud del derecho de cancelación y oposición y la imposibilidad de respuesta por parte de muchas organizaciones. La ley cada vez es más conocida por la sociedad y así se refleja en este dato, ya que los ciudadanos cada vez ejercitan más a las organizaciones los derechos ARCO. Durante mi trayectoria profesional, he adecuado y auditado a empresas de muy diferentes tipos a los requerimientos de la LOPD y de RD 1720/2007, y las solicitudes que se producían de los derechos ARCO eran poco frecuentes por lo general. La Agencia siempre ha insistido en la importancia de estos derechos como uno de los principios básicos de la LOPD, y yo como consultor, siempre he intentado trasladar esto a mis clientes. Sin embargo, en ocasiones, he visto como las organizaciones se han relajado en recomendaciones sobre la “ejercitación de derechos”  convencidas de que el desconocimiento de la ley por parte de la sociedad garantizaba que nadie los solicitaría. Por tanto estos datos deben “poner en alerta” a las organizaciones definiendo procedimientos de atención y respuesta a los derechos ARCO y cumpliendo las medidas de seguridad del Titulo VIII del RD 1720/2007, ya que sin duda 2011 ha supuesto el “empujón definitivo” que los derechos ARCO necesitaban para ser finalmente reconocidos en las organizaciones como uno de los pilares fundamentales de la protección de datos.

La AGPD presenta la herramienta “DISPONE” para administraciones públicas

Esta herramienta gratuita pretende ayudar a las administraciones a realizar los trámites necesarios para la notificación de sus ficheros. Desde el pasado 9 de Marzo está disponible a través de la web de la Agencia Española de Protección de Datos.

La normativa actual de protección de datos establece que la creación, modificación o supresión de ficheros de titularidad pública debe realizarse por medio de una disposición general publicada en el BOE o en el Diario Oficial pertinente. Sin embargo, resultaba frecuente la aparición de dudas sobre qué información se debía incluir en este tipo de disposiciones.

Mediante la aplicación “DISPONE” la AGPD pretende ayudar a las administraciones públicas a generar estas comunicaciones. Solamente es necesario ir introduciendo cierta información relativa a la identificación de la propia administración, y del procedimiento a realizar (inscripción, modificación o supresión de ficheros), y automáticamente genera un documento con toda la información que la administración debería incluir en su comunicado.