Artículo 25 del RGPD: protección de datos desde el diseño y por defecto

Las preguntas de Reglamento general de protección de datos (RGPD) que citan este artículo, resueltas y con su cita literal.

Estudiar la colección Leer la norma entera

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Según el RGPD, ¿en qué momento tiene que aplicar el responsable las medidas de protección de datos desde el diseño?

Al determinar los medios del tratamiento y durante el propio tratamiento
Solo al determinar los medios, antes de empezar a tratar ningún dato
Solo durante el tratamiento, cuando ya se conozcan sus riesgos reales
Solo en la revisión anual del tratamiento, una vez que ya está en marcha

El nombre engaña: la protección «desde el diseño» no se agota en la fase de diseño. El responsable aplica las medidas apropiadas —la seudonimización es el ejemplo que da el Reglamento— tanto al determinar los medios del tratamiento como en el momento del propio tratamiento. Quedarse en el diseño es la trampa del nombre; esperar a tratar olvida que la protección se concibe antes; y no se reduce a una revisión periódica del tratamiento ya en marcha.

tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, ¿qué tienen que garantizar en particular las medidas de protección de datos por defecto?

Que se seudonimicen antes de comunicarlos a cualquier destinatario
Que se supriman de oficio tras un año sin haberse utilizado
Que sin intervención de la persona no queden al alcance de cualquiera
Que se guarden solo en servidores situados dentro de la Unión

Por defecto quiere decir sin que la persona haga nada: de entrada solo se tratan los datos necesarios para cada fin —en cantidad, extensión, plazo de conservación y accesibilidad— y, en particular, no quedan accesibles a un número indeterminado de personas sin su intervención, como un perfil que naciera público. La seudonimización es un ejemplo de medida desde el diseño, no lo que este apartado garantiza; y el Reglamento no fija aquí un plazo de un año ni exige servidores en la Unión.

Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.

Reglamento (UE) 2016/679, de 27 de abril