COLEGIO PROFESIONAL DE LOGOPEDAS DE CANTABRIA

1. Introducción

El principio de responsabilidad proactiva o “accountability” (art. 24 RGPD) de las empresas es uno de los aspectos novedosos y esenciales del REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), en adelante RGPD y se basa en el reconocimiento de responsabilidad y la prevención de las organizaciones que tratan datos personales. En este sentido, el RGPD considera que actuar sólo cuando ya se ha producido una infracción es insuficiente como estrategia, debido a que dicha infracción puede causar daños de difícil compensación o reparación a los interesados.

Así, las organizaciones son responsables de implementar los medios que les permitan realizar un correcto tratamiento de datos personales de forma segura, y además deben ser capaces de demostrar que han actuado con la diligencia debida (art. 5.2 RGPD que implica la inversión de la carga de la prueba). Por tanto, El responsable del tratamiento deberá disponer de documentación que acredite la diligencia en el tratamiento de datos, y el cumplimiento de la normativa.

El RGPD dispone en su Considerando 82 que “para demostrar la conformidad y cumplimiento del mismo, tanto el responsable como el encargado de tratamiento deben mantener registros de las actividades de tratamiento bajo su responsabilidad”.

Tal y como establece el Considerando 89 del RGPD, se suprime la obligación formal del registro de ficheros de las empresas ante la autoridad de control (en nuestro caso la notificación de ficheros ante el RGPD de la AEPD). Sin embargo, el régimen de inscripción se sustituye por una obligación mucho más amplia de documentación de todos los tratamientos de datos realizados (artículo 30 RGPD)

1.1. Objeto de este documento

El objeto del presente documento es establecer el registro de las actividades de tratamiento de COLEGIO PROFESIONAL DE LOGOPEDAS DE CANTABRIA a efectos de cumplir con lo establecido en el art. 30 RGPD.

Esta obligación del art. 30 RGPD es aplicable empresas con una plantilla superior a 250 trabajadores (Art.30.5 RGPD), o teniendo menos de 250 trabajadores realicen tratamientos que puedan entrañar un riesgo para los derechos y libertades fundamentales de los interesados, no sea ocasional o incluya categorías especiales de datos incluidos en el artículo 9.1 del RGPD o datos de infracciones o condenas penales recogidos en el artículo 10.

No obstante, el enfoque basado en el riesgo es uno de los pilares del RGPD, apareciendo en reiteradas ocasiones a lo largo de su articulado: art 25 relativo a la privacidad por diseño y por defecto, art 32 relativo a seguridad, art 33 y 34 relativo a la notificación de brechas de seguridad, artículo 35 relativo a las evaluaciones de impacto en protección de datos, artículo 36 relativo a la consulta previa a la autoridad de control y articulo 37 relativo al delegado de protección de datos. Este enfoque basado en el riesgo requiere con carácter previo identificar los tratamientos y los activos implicados, por lo que partirá de la información reflejada en el presente registro de actividades de tratamiento.

Por otra parte, la necesidad de la llevanza del registro de las actividades del tratamiento afecta a COLEGIO PROFESIONAL DE LOGOPEDAS DE CANTABRIA en su calidad de

• Responsable del tratamiento, respecto a los tratamientos propios (art. 30.1 RGPD)

• Encargado del tratamiento, respecto a los servicios prestados a clientes (art. 30.2 RGPD)

Los registros de las actividades del tratamiento se mantendrán recogidos en el presente documento y deberán ser actualizados cuando se realicen cambios o se añadan tratamientos no registrados en COLEGIO PROFESIONAL DE LOGOPEDAS DE CANTABRIA . Para ello se deberán establecer revisiones periódicas cada año y el responsable interno del tratamiento deberá prestar atención a los cambios organizativos y técnicos que alteren el contenido de los registros reflejados en el presente documento, debiendo solicitar la modificación del presente documento tan pronto como detecte variaciones en los tratamientos inventariados, Con carácter extraordinario deberá actualizarse el documento cuando se pretendan iniciar nuevos tratamientos.

Este registro es de uso interno y estará a disposición de la Autoridad de Control (AEPD) cuando sea requerido, tal y como establece el art. 30.4 RGPD.

1.2. Contenido preceptivo del registro de actividades del tratamiento

Para las actividades de tratamiento de datos realizadas como responsable del tratamiento:

COLEGIO PROFESIONAL DE LOGOPEDAS DE CANTABRIA como responsable del tratamiento llevará un registro de las actividades de tratamiento efectuadas bajo su responsabilidad que contendrá toda la información reflejada en el art. 30.1 RGPD, indicada a continuación:

COLEGIO PROFESIONAL DE LOGOPEDAS DE CANTABRIA como encargado del tratamiento llevará un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de un responsable, que contendrá toda la información reflejada en el art. 30.2 RGPD, indicada a continuación:

1.3. Tabla resumen de actividades de tratamiento

Tras el análisis de los diferentes tratamientos realizados por cada uno de los departamentos o áreas de COLEGIO PROFESIONAL DE LOGOPEDAS DE CANTABRIA se han llegado a identificar los tratamientos que se indican continuación:

Actividades de tratamiento realizadas en calidad de Responsable

2. Descripción de las actividades de tratamiento realizadas como responsable

Resumen sobre las finalidades de los tratamientos, descripción general de las categorías de interesados y datos personales tratados, el origen y procedencia de los datos, las categorías de destinatarios a los que se comunicarían los datos personales, incluidas las transferencias internacionales, si fuera posible los plazos de conservación para las diferentes categorías de datos y una descripción general de las medidas técnicas y organizativas de seguridad.

3. Descripción de las actividades de tratamiento realizadas como encargado

En este apartado se recogen las categorías de tratamientos en las que COLEGIO PROFESIONAL DE LOGOPEDAS DE CANTABRIA actúa como encargado del tratamiento, con detalle en su caso de las transferencias internacionales, y una descripción general de las medidas técnicas y organizativas de seguridad aplicadas.

4. Medidas de seguridad aplicadas en los tratamientos de este registro

• Funciones y obligaciones de los usuarios definidas y documentadas
• Trabajo fuera de los locales (o acceso remoto) sujeto a autorización
• Designación de las personas con funciones de control de la seguridad
• Procedimiento de notificación, gestión y registro de incidentes de seguridad
• Procedimiento de gestión de soportes, incluyendo su identificación e inventario
• Desecho de soportes con borrado irreversible o destrucción
• Control de acceso en base al criterio de mínimo necesario
• Identificación y autenticación inequívoca de los usuarios
• Renovación periódica de las credenciales de acceso
• Cifrado de contraseñas
• Copias de seguridad

Medidas de seguridad adicionales para tratamientos con datos de infracciones adminitrativas, solvencia patrimonial / crédito, datos financieros, datos de medios de pago, perfiles de comportamiento de las personas o de los consumidores

• Auditorías de seguridad de la información, al menos cada 2 años
• Registro de entrada/salida de los soportes con información sensible
• Bloqueo de reintentos de autenticación fallidos
• Control de acceso físico a los servidores

Medidas de seguridad adicionales para tratamientos que involucren datos de categorías sensibles:

• Auditorías de seguridad de la información, al menos cada 2 años
• Registro de entrada/salida de los soportes con información sensible
• Bloqueo de reintentos de autenticación fallidos
• Control de acceso físico a los servidores
• Cifrado de los soportes que almacenan información sensible
• Cifrado de redes inalámbricas
• Cifrado de la transferencia de datos
• Log/registro de accesos a los ficheros con datos sensibles

Medidas de seguridad en relación a la documentación en soporte papel:

• Custodia de los documentos durante su tramitación
• Archivo de documentos bajo llave
• Criterios de archivo/organización de los documentos para garantizar su localización
• Destrucción de documentos mediante trituradora o servicios de destrucción confidencial certificada
• Transporte de los documentos mediante contenedores que garanticen que no pueden ser manipulados

además, para los documentos con información de categorías especialmente sensibles:

• Los dispositivos de archivo de los documentos se ubicarán en zonas de acceso restringido
• Realización de copias de los documentos (papel) con información sensible bajo régimen de autorización
• Se limitará las personas que pueden utilizarlos y se dejará constancia de cualquier acceso realizado por otras personas
• Verificación periódica de las medidas de seguridad (al menos cada dos años)

El listado completo de medidas se encuentra desarrollado en el documento de análisis de riesgos y en el documento de seguridad. Véase también el procedimiento de actuación ante brechas de seguridad.

5. Plazos previstos para la supresión de las diferentes categorías de datos

Con el objetivo de poder determinar los plazos de supresión para las diferentes categorías de datos, en la siguiente tabla se recogen los plazos previstos para la supresión, para las categorías de datos más frecuentes, conforme lo establecido en la legislación española. Se recogen los plazos más frecuentes, pero existen otros plazos establecidos en las normativas sectoriales (historia clínica, educación, libro-registro hotelero, auditorías de cuentas, legislación en materia de seguros, etc)