PROGRAMA

1. El marco legal de la evaluación de impacto

• El artículo 35 RGPD y el artículo 28 de la LOPDGDD.
• Relación entre el análisis de riesgos y la EIPD: dos instrumentos distintos que se confunden con frecuencia.
• El principio de responsabilidad proactiva como fundamento de la obligación.

2. ¿Cuándo hay que hacer una EIPD?

• Los tres supuestos del artículo 35.3 RGPD.
• La lista de tratamientos que requieren EIPD publicada por la AEPD.
• Los criterios del antiguo Grupo de Trabajo del Artículo 29 (hoy Comité Europeo de Protección de Datos).
• Supuestos de exención y tratamientos con base en una norma con rango de ley.

3. Metodología: cómo se elabora paso a paso

• Descripción sistemática del tratamiento y de sus finalidades.
• Evaluación de la necesidad y proporcionalidad: el test de las tres fases.
• Identificación y valoración de riesgos: probabilidad e impacto.
• Medidas mitigadoras y riesgo residual.
• Conclusión y decisión: seguir adelante, modificar el tratamiento o descartarlo.

4. Caso práctico: videovigilancia en el centro de trabajo

• Planteamiento del supuesto y datos de partida.
• Desarrollo guiado de la EIPD sobre el caso.
• Análisis de las alternativas menos invasivas.
• Redacción de las conclusiones y de las medidas a implantar.

5. Después de la EIPD

• El papel de la Delegación de Protección de Datos (o «del personal delegado de protección de datos»): qué debe hacer y qué no.
• La consulta previa a la AEPD: cuándo procede y cómo se tramita.
• Revisión y actualización de la evaluación.
• Errores más frecuentes detectados en procedimientos sancionadores.

PROGRAMA

1. Marco normativo aplicable

• El RGPD y el artículo 89 de la LOPDGDD.
• El artículo 20.3 del Estatuto de los Trabajadores y el poder de dirección de la empresa.
• La Ley 5/2014, de Seguridad Privada, y su relación con la videovigilancia.
• Bases jurídicas del tratamiento: por qué el consentimiento de la persona trabajadora no es la vía adecuada.

2. Videovigilancia en el centro de trabajo

• El juicio de proporcionalidad: idoneidad, necesidad y proporcionalidad en sentido estricto.
• Zonas de captación permitidas y zonas expresamente excluidas.
• El deber de información: dispositivo informativo, información por capas y comunicación a la representación legal de las personas trabajadoras.
• La videovigilancia encubierta tras la doctrina del Tribunal Europeo de Derechos Humanos.
• Conservación de imágenes: plazos, excepciones y supresión.
• Acceso a las imágenes por parte de la persona trabajadora y de terceros.

3. Geolocalización de vehículos y dispositivos

• El artículo 90 de la LOPDGDD: requisitos y límites.
• Vehículos de empresa con uso privado autorizado: el problema del tiempo de descanso.
• Geolocalización mediante aplicaciones instaladas en dispositivos móviles.
• Información previa y transparencia sobre el sistema instalado.

4. Uso disciplinario y valor probatorio

• Requisitos para que la prueba obtenida sea válida en juicio.
• La prueba ilícita y sus efectos: el artículo 11 de la Ley Orgánica del Poder Judicial.
• Doctrina del Tribunal Constitucional y del Tribunal Supremo sobre el control empresarial.
• Análisis de supuestos reales de despido basados en imágenes y datos de localización.

5. Régimen sancionador y prevención del riesgo

• Resoluciones recientes de la AEPD: criterios y cuantías.
• Infracciones más habituales y cómo evitarlas.
• Documentación mínima que debe tener preparada la organización.
• Checklist de cumplimiento aplicable de inmediato.

PROGRAMA

1. Qué es una brecha de seguridad

1. Concepto del artículo 4.12 del RGPD: confidencialidad, integridad y disponibilidad.
2. Incidentes que constituyen brecha y supuestos que quedan fuera.
3. Tipología habitual: ransomware, exfiltración de datos, envío erróneo, pérdida de dispositivos, accesos no autorizados.
4. La relación con la Directiva NIS2 y con el Esquema Nacional de Seguridad.

2. El cómputo del plazo de 72 horas

1. Cuándo se entiende que la persona responsable tiene constancia de la brecha.
2. Notificación por fases y notificación tardía justificada.
3. Obligaciones de la entidad encargada del tratamiento frente a la responsable.
4. Qué ocurre cuando la brecha se detecta a través de un proveedor.

3. Caso práctico: ataque de ransomware paso a paso

1. Detección del incidente y activación del comité de crisis.
2. Contención, evaluación del alcance y preservación de evidencias.
3. Valoración del riesgo para los derechos y libertades de las personas afectadas.
4. Decisión sobre la notificación a la AEPD y sobre la comunicación a las personas afectadas.
5. Interlocución con proveedores tecnológicos, aseguradora y Fuerzas y Cuerpos de Seguridad.
6. La cuestión del pago del rescate y sus implicaciones legales.

4. La notificación a la autoridad de control

1. Contenido mínimo exigido por el artículo 33.3 del RGPD.
2. El formulario electrónico de la AEPD: recorrido práctico.
3. Errores frecuentes en la redacción de la notificación.
4. Qué sucede después: actuaciones de investigación y posible procedimiento sancionador.

5. La comunicación a las personas afectadas

1. Cuándo es obligatoria conforme al artículo 34 del RGPD.
2. Excepciones legalmente previstas.
3. Redacción de la comunicación: qué decir y qué no decir.
4. Gestión de la reputación y coordinación con la comunicación externa.

6. Documentación y cierre

1. El registro interno de brechas: contenido y conservación.
2. Análisis posterior y medidas correctoras.
3. Elaboración del protocolo interno de respuesta.

PROGRAMA

1. Cómo puede delinquir una empresa

   1. El artículo 31 bis del Código Penal: origen y evolución.
   2. Las dos vías de atribución de responsabilidad: representantes y subordinados.
   3. El defecto de organización como fundamento de la responsabilidad.
   4. Compatibilidad entre la responsabilidad de la empresa y la de las personas físicas.

2. Qué delitos pueden afectar a la organización

   1. Recorrido por el catálogo de delitos con responsabilidad de la persona jurídica.
   2. Los que se producen con mayor frecuencia en la práctica: estafa, delitos contra la Hacienda Pública y la Seguridad Social, blanqueo de capitales, delitos contra los derechos de las personas trabajadoras, delitos medioambientales, corrupción en los negocios y descubrimiento y revelación de secretos.
   3. La perspectiva sectorial: por qué el riesgo penal no es el mismo en todas las actividades.

3. Las consecuencias

   1. Penas previstas: multa, disolución, suspensión de actividades, clausura de locales, inhabilitación para obtener subvenciones y contratar con el sector público, intervención judicial.
   2. Consecuencias indirectas: reputación, acceso a licitaciones, relación con entidades financieras y con la clientela.
   3. La empresa como investigada: qué implica en la práctica un procedimiento penal.

4. La exención: el modelo de organización y gestión

   1. Los requisitos del artículo 31 bis, apartados 2 y 5, del Código Penal.
   2. El mapa de riesgos penales como punto de partida.
   3. Protocolos de decisión, modelo de gestión de recursos financieros y canal de denuncias.
   4. El órgano de supervisión y control: funciones, independencia y recursos.
   5. La Circular 1/2016 de la Fiscalía General del Estado y los criterios de eficacia del modelo.
   6. Por qué un modelo meramente documental no exime de responsabilidad.

5. Qué le corresponde decidir a la dirección

   1. Obligaciones indelegables del órgano de administración.
   2. Responsabilidad del compliance officer y límites de la delegación.
   3. Recursos, plazos y esfuerzo real que exige la implantación de un programa.
   4. Criterios para valorar si la organización debe abordarlo con medios propios o externos.