Navegaci贸n
RGPD > Art铆culo聽24. Objeto
Descargar PDF

Art铆culo聽24 RGPD. Objeto

Article 24 GDPR. Subject-matter and objectives

1. Teniendo en cuenta la naturaleza, el 谩mbito, el contexto y los fines del tratamiento as铆 como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas f铆sicas, el responsable del tratamiento aplicar谩 medidas t茅cnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisar谩n y actualizar谩n cuando sea necesario.

1. Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organisational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added additional ISO/IEC 27002 guidance for PII controllers.

Here is the relevant paragraph to article 24(1) GDPR:

7.2.8 Records related to processing PII

Control

The organization should determine and securely maintain the necessary records in support of its obligations for the processing of PII.

Implementation guidance

A way to maintain records of the processing of PII is to have an inventory or list of the PII processing activities that the organization performs.


para acceder al texto completo

Textos enlazados

2. Cuando sean proporcionadas en relaci贸n con las actividades de tratamiento, entre las medidas mencionadas en el apartado聽1 se incluir谩 la aplicaci贸n, por parte del responsable del tratamiento, de las oportunas pol铆ticas de protecci贸n de datos.

2. Where proportionate in relation to processing activities, the measures referred to in paragraph聽1 shall include the implementation of appropriate data protection policies by the controller.

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27002, section 5.1.1.

Here is the relevant paragraph to article 24(2) GDPR:

6.2.1.1 Policies for information security

Implementation guidance

Either by the development of separate privacy policies, or by the augmentation of information security policies, the organization should produce a statement concerning support for and commitment to achieving compliance with applicable PII protection legislation and/or regulation and with the contractual terms agreed between the organization and its partners, its subcontractors and its applicable third parties (customers, suppliers etc.), which should clearly allocate responsibilities between them.


para acceder al texto completo

3. La adhesi贸n a c贸digos de conducta aprobados a tenor del art铆culo聽40 o a un mecanismo de certificaci贸n aprobado a tenor del art铆culo聽42 podr谩n ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.

3. Adherence to approved codes of conduct as referred to in Article聽40 or approved certification mechanisms as referred to in Article聽42 may be used as an element by which to demonstrate compliance with the obligations of the controller.

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27001, section 4.1.

Here is the relevant paragraph to article 24(3) GDPR:

5.2.1 Understanding the organization and its context

The organization shall include among its interested parties (see ISO/IEC 27001:2013, 4.2), those parties having interests or responsibilities associated with the processing of PII, including the PII principals.


para acceder al texto completo

Textos enlazados
Comentario de expertos Considerandos Ley de Directrices y caso Deja un comentario
Comentario de expertos

(EN) A controller is a person or an organization that determines the personal data to process and the purposes and means of the processing (Article 4(7)). The definition rightly points to the decision-making capacity of the entity that 鈥decides why and how data will be processed鈥 (ULD Schleswig-Holstein/Wirtschaftsakademie, Opinion of Advocate General).


para acceder al texto completo

(EN) Author
Louis-Philippe Gratton
(EN) Louis-Philippe Gratton PhD, LLM
(EN) Privacy Expert
Considerandos

(74) Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por 茅l mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el 谩mbito, el contexto y los fines del tratamiento as铆 como el riesgo para los derechos y libertades de las personas f铆sicas.

(74) The responsibility and liability of the controller for any processing of personal data carried out by the controller or on the controller's behalf should be established. In particular, the controller should be obliged to implement appropriate and effective measures and be able to demonstrate the compliance of processing activities with this Regulation, including the effectiveness of the measures. Those measures should take into account the nature, scope, context and purposes of the processing and the risk to the rights and freedoms of natural persons.

(75) Los riesgos para los derechos y libertades de las personas f铆sicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar da帽os y perjuicios f铆sicos, materiales o inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a problemas de discriminaci贸n, usurpaci贸n de identidad o fraude, p茅rdidas financieras, da帽o para la reputaci贸n, p茅rdida de confidencialidad de datos sujetos al secreto profesional, reversi贸n no autorizada de la seudonimizaci贸n o cualquier otro perjuicio econ贸mico o social significativo; en los casos en los que se prive a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales; en los casos en los que los datos personales tratados revelen el origen 茅tnico o racial, las opiniones pol铆ticas, la religi贸n o creencias filos贸ficas, la militancia en sindicatos y el tratamiento de datos gen茅ticos, datos relativos a la salud o datos sobre la vida sexual, o las condenas e infracciones penales o medidas de seguridad conexas; en los casos en los que se eval煤en aspectos personales, en particular el an谩lisis o la predicci贸n de aspectos referidos al rendimiento en el trabajo, situaci贸n econ贸mica, salud, preferencias o intereses personales, fiabilidad o comportamiento, situaci贸n o movimientos, con el fin de crear o utilizar perfiles personales; en los casos en los que se traten datos personales de personas vulnerables, en particular ni帽os; o en los casos en los que el tratamiento implique una gran cantidad de datos personales y afecte a un gran n煤mero de interesados.

(85) 袧邪褉褍褕械薪懈械 斜械蟹芯锌邪褋薪芯褋褌懈 锌械褉褋芯薪邪谢褜薪褘褏 写邪薪薪褘褏, 械褋谢懈 芯薪芯 薪械 斜褘谢芯 薪邪写谢械卸邪褖懈屑 芯斜褉邪蟹芯屑 懈 胁芯胁褉械屑褟 褍褋褌褉邪薪械薪芯, 屑芯卸械褌 锌芯胁谢械褔褜 褎懈蟹懈褔械褋泻懈泄, 屑邪褌械褉懈邪谢褜薪褘泄 懈谢懈 屑芯褉邪谢褜薪褘泄 胁褉械写 褎懈蟹懈褔械褋泻懈屑 谢懈褑邪屑, 泻邪泻, 薪邪锌褉懈屑械褉, 锌芯褌械褉褟 泻芯薪褌褉芯谢褟 薪邪写 懈褏 锌械褉褋芯薪邪谢褜薪褘屑懈 写邪薪薪褘屑懈 懈谢懈 芯谐褉邪薪懈褔械薪懈械 懈褏 锌褉邪胁, 写懈褋泻褉懈屑懈薪邪褑懈褟, 泻褉邪卸邪 谢懈褔薪芯褋褌懈 懈谢懈 械械 屑芯褕械薪薪懈褔械褋泻芯械 懈褋锌芯谢褜蟹芯胁邪薪懈械, 褎懈薪邪薪褋芯胁褘械 锌芯褌械褉懈, 薪械褋邪薪泻褑懈芯薪懈褉芯胁邪薪薪邪褟 锌芯胁褌芯褉薪邪褟 懈写械薪褌懈褎懈泻邪褑懈褟 锌褋械胁写芯薪懈屑懈蟹懈褉芯胁邪薪薪褘褏 写邪薪薪褘褏, 褍褖械褉斜 褉械锌褍褌邪褑懈懈, 薪邪褉褍褕械薪懈械 泻芯薪褎懈写械薪褑懈邪谢褜薪芯褋褌懈 锌械褉褋芯薪邪谢褜薪褘褏 写邪薪薪褘褏, 蟹邪褖懈褖械薪薪褘褏 锌褉芯褎械褋褋懈芯薪邪谢褜薪芯泄 褌邪泄薪芯泄, 懈谢懈 谢褞斜芯泄 写褉褍谐芯泄 蟹薪邪褔懈褌械谢褜薪褘泄 褝泻芯薪芯屑懈褔械褋泻懈泄 懈谢懈 褋芯褑懈邪谢褜薪褘泄 胁褉械写, 薪邪薪械褋械薪薪褘泄 褎懈蟹懈褔械褋泻芯屑褍 谢懈褑褍. 袩芯褝褌芯屑褍, 泻邪泻 褌芯谢褜泻芯 泻芯薪褌褉芯谢褢褉褍 褋褌邪薪芯胁懈褌褋褟 懈蟹胁械褋褌薪芯 芯 薪邪褉褍褕械薪懈懈 斜械蟹芯锌邪褋薪芯褋褌懈 锌械褉褋芯薪邪谢褜薪褘褏 写邪薪薪褘褏, 芯薪 芯斜褟蟹邪薪 褍胁械写芯屑懈褌褜 芯 褌邪泻芯屑 薪邪褉褍褕械薪懈懈 薪邪写蟹芯褉薪褘泄 芯褉谐邪薪 斜械蟹 薪械芯锌褉邪胁写邪薪薪芯泄 蟹邪写械褉卸泻懈 懈, 锌芯 胁芯蟹屑芯卸薪芯褋褌懈, 薪械 锌芯蟹写薪械械 72 褔邪褋芯胁, 蟹邪 懈褋泻谢褞褔械薪懈械屑 褋谢褍褔邪械胁, 泻芯谐写邪 泻芯薪褌褉芯谢褢褉 屑芯卸械褌 锌芯写褌胁械褉写懈褌褜, 胁 褋芯芯褌胁械褌褋褌胁懈懈 褋 锌褉懈薪褑懈锌芯屑 锌芯写芯褌褔械褌薪芯褋褌懈, 褔褌芯 薪邪褉褍褕械薪懈械 斜械蟹芯锌邪褋薪芯褋褌懈 锌械褉褋芯薪邪谢褜薪褘褏 写邪薪薪褘褏 褋 屑邪谢芯泄 胁械褉芯褟褌薪芯褋褌褜褞 屑芯卸械褌 锌褉械写褋褌邪胁谢褟褌褜 褉懈褋泻 薪邪褉褍褕械薪懈褟 锌褉邪胁 懈 褋胁芯斜芯写 褎懈蟹懈褔械褋泻懈褏 谢懈褑. 袙 褋谢褍褔邪褟褏, 泻芯谐写邪 锌芯写芯斜薪芯械 褍胁械写芯屑谢械薪懈械 薪械 屑芯卸械褌 斜褘褌褜 褋写械谢邪薪芯 胁 褌械褔械薪懈械 72 褔邪褋芯胁, 锌褉懈褔懈薪褘 褌邪泻芯泄 蟹邪写械褉卸泻懈 写芯谢卸薪褘 褋芯锌褉芯胁芯卸写邪褌褜 褍胁械写芯屑谢械薪懈械 懈 懈薪褎芯褉屑邪褑懈褟 屑芯卸械褌 锌褉械写芯褋褌邪胁谢褟褌褜褋褟 锌芯褝褌邪锌薪芯 斜械蟹 写芯锌芯谢薪懈褌械谢褜薪芯泄 蟹邪写械褉卸泻懈.

(76) La probabilidad y la gravedad del riesgo para los derechos y libertades del interesado debe determinarse con referencia a la naturaleza, el alcance, el contexto y los fines del tratamiento de datos. El riesgo debe ponderarse sobre la base de una evaluaci贸n objetiva mediante la cual se determine si las operaciones de tratamiento de datos suponen un riesgo o si el riesgo es alto.

(76) The likelihood and severity of the risk to the rights and freedoms of the data subject should be determined by reference to the nature, scope, context and purposes of the processing. Risk should be evaluated on the basis of an objective assessment, by which it is established whether data processing operations involve a risk or a high risk.

(77) Se podr铆an proporcionar directrices para la aplicaci贸n de medidas oportunas y para demostrar el cumplimiento por parte del responsable o del encargado del tratamiento, especialmente con respecto a la identificaci贸n del riesgo relacionado con el tratamiento, a su evaluaci贸n en t茅rminos de origen, naturaleza, probabilidad y gravedad y a la identificaci贸n de buenas pr谩cticas para mitigar el riesgo, que revistan, en particular, la forma de c贸digos de conducta aprobados, certificaciones aprobadas, directrices dadas por el Comit茅 o indicaciones proporcionadas por un delegado de protecci贸n de datos. El Comit茅 tambi茅n puede emitir directrices sobre operaciones de tratamiento que se considere improbable supongan un alto riesgo para los derechos y libertades de las personas f铆sicas, e indicar qu茅 medidas pueden ser suficientes en dichos casos para afrontar el riesgo en cuesti贸n.

(77) Guidance on the implementation of appropriate measures and on the demonstration of compliance by the controller or the processor, especially as regards the identification of the risk related to the processing, their assessment in terms of origin, nature, likelihood and severity, and the identification of best practices to mitigate the risk, could be provided in particular by means of approved codes of conduct, approved certifications, guidelines provided by the Board or indications provided by a data protection officer. The Board may also issue guidelines on processing operations that are considered to be unlikely to result in a high risk to the rights and freedoms of natural persons and indicate what measures may be sufficient in such cases to address such risk.

(83) A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la t茅cnica y el coste de su aplicaci贸n con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relaci贸n con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucci贸n, p茅rdida o alteraci贸n accidental o il铆cita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicaci贸n o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar da帽os y perjuicios f铆sicos, materiales o inmateriales.

(83) In order to maintain security and to prevent processing in infringement of this Regulation, the controller or processor should evaluate the risks inherent in the processing and implement measures to mitigate those risks, such as encryption. Those measures should ensure an appropriate level of security, including confidentiality, taking into account the state of the art and the costs of implementation in relation to the risks and the nature of the personal data to be protected. In assessing data security risk, consideration should be given to the risks that are presented by personal data processing, such as accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed which may in particular lead to physical, material or non-material damage.

Ley de Directrices y caso Deja un comentario
[js-disqus]