Por desgracia, el concepto de tratamiento de datos personales a gran escala, no queda bien definido la normativa, ya que no existe un artículo en el Reglamento Europeo de Protección de Datos específico para este término. Pero no te preocupes, gracias a los diferentes dictámenes y directrices del Grupo de Trabajo del Art. 29 (Grupo de expertos en protección de datos dependiente de la Comisión Europea. GT29), sumado a la interpretación de diferentes Considerandos y Artículos del RGPD, podemos explicarte lo que quiere decir el legislador relativo a este concepto.
En este artículo hablamos de:
¿Qué es el tratamiento de datos a gran escala?
Para llegar a entender lo que dice el legislador, como hemos mencionado anteriormente deberemos tener en cuenta las opiniones del GT29 y de lo redactado en la normativa europea.
De manera previa a profundizar en este término, podríamos definir que el tratamiento de datos a gran escala es aquel que afecta a una gran cantidad de datos, referentes a un elevado número de sujetos, procedentes de una amplia diversidad geográfica, y que pueden entrañar un riesgo para los interesados.
El tratamiento de datos a gran escala en el RGPD y la LOPDGDD
En el Considerando 91 RGPD se habla ya de operaciones de tratamiento a gran escala:
“Aquellas que persiguen tratar una cantidad considerable de datos personales a nivel regional, nacional o supranacional y que podrían afectar a un gran número de interesados y entrañen probablemente un alto riesgo, por ejemplo, debido a su sensibilidad, cuando, en función del nivel de conocimientos técnicos alcanzado, se haya utilizado una nueva tecnología a gran escala y a otras operaciones de tratamiento que entrañan un alto riesgo para los derechos y libertades de los interesados, en particular cuando estas operaciones hace más difícil para los interesados el ejercicio de sus derechos”.
El artículo 27 del RGPD señala que en los casos de tratamientos a gran escala de datos fuera de la Unión Europea, el responsable o encargado del tratamiento han de designar un representante en la Unión.
El artículo 35 del RGPD hace referencia a los casos en los que será necesario realizar una evaluación de impacto, incluyendo el tratamiento a gran escala de categorías especiales de datos.
El artículo 37 del RGPD habla sobre la figura del Delegado de protección de datos, e indica que será necesario contar con él si se hace un tratamiento de datos a gran escala.
El tratamiento de datos a gran escala en la ley de protección de datos personales española (LOPDGDD) solo aparece mencionado en el artículo 34, sobre el Delegado de protección de datos, y remarca lo mismo que ya hemos visto en el RGPD.
El tratamiento de datos a gran escala por el Grupo de Trabajo del Artículo 29
El GT29, en su dictamen sobre la designación de delegados de protección de datos, indica qué se considera tratamiento de datos a gran escala:
- El número de interesados afectados, bien en términos absolutos, bien como proporción de una determinada población
- El volumen de datos y la variedad de datos tratados
- La duración o permanencia de la actividad de tratamiento
- La extensión geográfica de la actividad de tratamiento
Por otro lado en su directriz 248 sobre la Evaluación del Impacto de la Protección de Datos (EIPD), en particular en el punto 5, lo dedica a intentar concretar el concepto gran escala:
“Datos tratados gran escala: el GDPR no define lo que constituye a gran escala, aunque el considerando 91 proporciona algunas orientaciones. En cualquier caso, el GT29 recomienda que se tengan en cuenta, en particular, los siguientes factores para determinar si el tratamiento se realiza a gran escala:
- El número de sujetos afectados, ya sea como número específico o como proporción de un conjunto de población
- El volumen de datos y / o el rango de diferentes tipos de datos que se están tratando
- La duración o permanencia de la actividad de tratamiento de datos
- La extensión geográfica del tratamiento”
La protección de datos personales a gran escala
La protección de datos personales a gran escala resulta fundamental, ya que afectan a un número muy elevado de personas. Esta protección es todavía más importante cuando, además, se trata de datos especialmente protegidos, por ejemplo aquellos que se refieren al sexo, ideología, identidad de género, creencias religiosas, o datos biométricos.
Las empresas que tratan datos de usuarios a gran escala o que realizan un tratamiento sistematizado y automatizado, por ejemplo, para la elaboración de perfiles, han de cumplir una serie de requisitos, los cuáles vemos a continuación.
¿A que estoy obligado si realizo tratamiento de datos a gran escala?
Como medidas de responsabilidad activa, la nueva normativa exige tres obligaciones fundamentales si realizamos este tipo de tratamiento:
- Es obligatorio el Delegado de Protección de Datos (DPO)
- Llevar un registro de las actividades de tratamiento, siempre actualizado
- Realización de una evaluación de impacto
¿Cómo realizar la protección de gran cantidad de datos personales?
En el mundo tecnológico en el que vivimos, generamos una gran cantidad de datos.
A través de nuestros múltiples dispositivos, como móviles, pulseras deportivas, relojes inteligentes, etc., se recopilan gran cantidad de datos sobre nuestros hábitos, horarios, etc.
Para que el binomio Big Data y protección de datos funcione, es necesario que las empresas que realizan un tratamiento de datos a gran escala cumplan con las exigencias de realizar evaluaciones de impacto y contar con Delegados de Protección de Datos.
Además, habrá que asegurarse de que el responsable o encargado del tratamiento aplican las medidas técnicas y organizativas necesarias para garantizar la seguridad e integridad de los datos, como la anonimización de datos personales.
En definitiva, por “Tratamientos de Datos a Gran Escala” se entiende que son aquellos que tratan:
- Una gran cantidad de datos
- Con ámbito geográfico regional o superior
- Con afectación a gran número de interesados
- Referidos a datos sensibles, como datos biométricos o de salud
- Aplicando nuevas tecnologías (que puedan tener riesgos para la privacidad) a esa gran escala
- Que entrañen alto riesgo para los derechos y libertades de los interesados
Asimismo si realizamos este tipo de tratamientos deberemos tener un DPO en nuestra entidad, realizar una EIPD y llevar un registro actualizado de las actividades de tratamiento.
Esperamos haberte solucionado tus dudas sobre los Tratamientos de Datos a Gran Escala y, si no es así, siempre puedes consultar tus dudas con nuestro departamento jurídico.