Reglamento General de Protección de Datos (GDPR)

El Reglamento General de Protección de Datos (GDPR) se convirtió en ley en mayo de 2018 y fue un avance importante en el panorama de la protección de datos en Europa. Ha traído nuevas responsabilidades y desafíos para las organizaciones que obtienen y procesan datos personales. Esta columna está diseñada para responder algunas de las preguntas que los artistas pueden tener cuando intentan familiarizarse con sus obligaciones de GDPR.

¿Soy un controlador de datos?

El primer paso es saber si eres un “controlador de datos”. Si obtiene información personal de individuos y utiliza esta información en el curso de sus actividades profesionales, usted es un controlador de datos. El uso de los datos personales de las personas se denomina 'procesamiento' y cubre una amplia gama de actividades que incluyen la recopilación, el registro, el almacenamiento, la consulta, la divulgación y la destrucción. Para las organizaciones artísticas, esto podría incluir información sobre los miembros del estudio, empleados, voluntarios, asistentes a eventos y suscriptores de listas de correo. Una forma útil de comprender su función como controlador de datos es realizar un ejercicio de mapeo de datos. Esto implica examinar y documentar las categorías de personas cuyos datos posee, qué elementos particulares de datos procesa y con qué fines.

¿Cuáles son mis responsabilidades?

Las responsabilidades de los controladores de datos se pueden dividir en algunas áreas clave de protección de datos:

• El procesamiento de datos debe ser legal, justo y transparente: ¡nadie debería sorprenderse al descubrir lo que está sucediendo con sus datos! La transparencia significa asegurarse de que las personas cuyos datos utiliza entiendan por qué.
• Los datos se procesarán para fines específicos, explícitos y legítimos: antes de recopilar información de las personas, comprende por qué y no la usa para otra cosa después del hecho.
• Solo se procesarán los datos que sean adecuados, relevantes y necesarios para un propósito particular: solo recopile la información que necesita; no recopile información adicional porque podría ser útil en el futuro.
• Los datos deben mantenerse precisos y actualizados: mantener datos inexactos, como los datos de contacto, crea el riesgo de revelar la información de alguien a la persona equivocada. Trate de mantener actualizados todos los registros de datos personales.
• Los datos deben conservarse solo durante el tiempo que sea necesario para lograr sus propósitos; por lo general, no se permite conservar los datos personales de forma indefinida. Considere por qué necesita los datos y decida qué plazo razonable se puede establecer.
• Se deben implementar medidas de seguridad para garantizar la confidencialidad y la integridad de los datos; esto significa medidas técnicas (como el cifrado de correo electrónico y contraseñas seguras), pero también asegurarse de que todos los que manejan los datos comprendan sus responsabilidades.

Los controladores de datos también deben considerar la base legal para el procesamiento que llevan a cabo. Uno de los siguientes debe aplicarse a cada uso de datos:

• Consentimiento: la persona le ha dado permiso para usar sus datos.
• Contrato: necesita usar los datos para cumplir con los términos de un contrato. Esto se aplicará en particular en el empleo.
• Obligación legal: está obligado por ley a procesar datos, por ejemplo, un accidente notificable, a la Autoridad de Salud y Seguridad.
• Interés público: para los organismos públicos, debe utilizar los datos para llevar a cabo sus funciones públicas.
• Intereses legítimos: para fines privados y sin fines de lucro, debe usar datos para lograr sus objetivos legítimos.

Este lenguaje puede parecer bastante legal y formal, pero al volver a su ejercicio de mapeo de datos, puede comenzar a comprender por qué usa los datos y qué base legal se aplica. Es importante destacar que el principio de responsabilidad sustenta todas estas responsabilidades, ya que requiere que los controladores cumplan con la ley y puedan demostrar el cumplimiento; tómese el tiempo para documentar su toma de decisiones sobre la protección de datos.

¿Qué pasa con las listas de correo electrónico?

El uso de listas de correo es importante en un sector como el de las artes visuales, para la promoción de eventos, marketing, etc. El mejor consejo es que te asegures de obtener una suscripción clara de las personas y que cada correo electrónico tenga una opción para darse de baja. Si utiliza una plataforma de terceros para administrar sus contactos, asegúrese de que esté integrada en sus comunicaciones.

¿Dónde debemos almacenar los datos?

En organizaciones más pequeñas y voluntarias, las personas tendrán que usar sus propias computadoras portátiles y dispositivos móviles para procesar datos. Asegúrese de que las cuentas de correo electrónico compartidas y las bases de datos en línea estén protegidas con contraseña y evite usar direcciones de correo electrónico personales para los negocios de la organización cuando sea posible. El uso de cuentas de correo electrónico para almacenar datos no es una buena práctica; El correo electrónico es una herramienta de comunicación, no un medio de almacenamiento.

Derechos de los sujetos de datos

Los controladores de datos tienen obligaciones importantes en torno a los derechos de las personas. Principalmente, las personas tienen derecho a una información clara y transparente sobre por qué procesa sus datos. Cuando recopila información en línea, un aviso de privacidad del sitio web es la mejor manera de hacerlo. Las personas también tienen derecho a acceder a la información que se tiene sobre ellas y usted tiene la obligación de facilitarlo. Si alguien solicita una copia de su información, debe proporcionarse dentro de un mes.

¿Necesitas una Política de Protección de Datos?

Una política de protección de datos se considera una buena práctica, en términos de establecer lo que su organización hace con los datos y ayudar al personal y a los voluntarios a saber qué hacer. También es una buena manera de cumplir con los requisitos de rendición de cuentas.

La Comisión de Protección de Datos proporciona más orientación sobre estos temas. También puedes contactar con el Equipo de Consulta del Sector Voluntario de la DPC. protecciondedatos.es

Para los artistas de Irlanda del Norte, la información sobre el RGPD en el Reino Unido se puede encontrar en la Oficina del Comisionado de Información (ICO):

https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/individual-rights/