Navegaci贸n
RGPD > Art铆culo聽25. Protecci贸n de datos desde el dise帽o y por defecto
Descargar PDF

Art铆culo聽25 RGPD. Protecci贸n de datos desde el dise帽o y por defecto

Article 25 GDPR. Data protection by design and by default

1. Teniendo en cuenta el estado de la t茅cnica, el coste de la aplicaci贸n y la naturaleza, 谩mbito, contexto y fines del tratamiento, as铆 como los riesgos de diversa probabilidad y gravedad que entra帽a el tratamiento para los derechos y libertades de las personas f铆sicas, el responsable del tratamiento aplicar谩, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas t茅cnicas y organizativas apropiadas, como la seudonimizaci贸n, concebidas para aplicar de forma efectiva los principios de protecci贸n de datos, como la minimizaci贸n de datos, e integrar las garant铆as necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.

1. Taking into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing, the controller shall, both at the time of the determination of the means for processing and at the time of the processing itself, implement appropriate technical and organisational measures, such as pseudonymisation, which are designed to implement data-protection principles, such as data minimisation, in an effective manner and to integrate the necessary safeguards into the processing in order to meet the requirements of this Regulation and protect the rights of data subjects.

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27002, section 14.2.1.

Here is the relevant paragraphs to article 25(1) GDPR:

6.11.2.1 Secure development policy

Implementation guidance

Policies for system development and design should include guidance for the organization鈥檚 processing of PII needs, based on obligations to PII principals and/or any applicable legislation and/or regulation and the types of processing performed by the organization. Clauses 7 and 8 provide control considerations for processing of PII, which can be useful in developing policies for privacy in systems design.


para acceder al texto completo

Textos enlazados

2. El responsable del tratamiento aplicar谩 las medidas t茅cnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines espec铆ficos del tratamiento. Esta obligaci贸n se aplicar谩 a la cantidad de datos personales recogidos, a la extensi贸n de su tratamiento, a su plazo de conservaci贸n y a su accesibilidad. Tales medidas garantizar谩n en particular que, por defecto, los datos personales no sean accesibles, sin la intervenci贸n de la persona, a un n煤mero indeterminado de personas f铆sicas.

2. The controller shall implement appropriate technical and organisational measures for ensuring that, by default, only personal data which are necessary for each specific purpose of the processing are processed. That obligation applies to the amount of personal data collected, the extent of their processing, the period of their storage and their accessibility. In particular, such measures shall ensure that by default personal data are not made accessible without the individual’s intervention to an indefinite number of natural persons.

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added additional ISO/IEC 27002 guidance for PII controllers.

Here is the relevant paragraph to article 25(2) GDPR:

7.4.2 Limit processing

Control

The organization should limit the processing of PII to that which is adequate, relevant and necessary for the identified purposes.


para acceder al texto completo

Ley de Directrices y caso Textos enlazados

3. Podr谩 utilizarse un mecanismo de certificaci贸n aprobado con arreglo al art铆culo聽42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados聽1 y聽2 del presente art铆culo.

3. An approved certification mechanism pursuant to Article聽42 may be used as an element to demonstrate compliance with the requirements set out in paragraphs聽1 and 2 of this Article.

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27001, section 4.1.

Here is the relevant paragraph to article 25(3) GDPR:

5.2.1 Understanding the organization and its context

The organization shall include among its interested parties (see ISO/IEC 27001:2013, 4.2), those parties having interests or responsibilities associated with the processing of PII, including the PII principals.


para acceder al texto completo

Textos enlazados
Comentario de expertos Considerandos Ley de Directrices y caso Deja un comentario
Comentario de expertos
Considerandos

(78) La protecci贸n de los derechos y libertades de las personas f铆sicas con respecto al tratamiento de datos personales exige la adopci贸n de medidas t茅cnicas y organizativas apropiadas con el fin de garantizar el cumplimiento de los requisitos del presente Reglamento. A fin de poder demostrar la conformidad con el presente Reglamento, el responsable del tratamiento debe adoptar pol铆ticas internas y aplicar medidas que cumplan en particular los principios de protecci贸n de datos desde el dise帽o y por defecto. Dichas medidas podr铆an consistir, entre otras, en reducir al m谩ximo el tratamiento de datos personales, seudonimizar lo antes posible los datos personales, dar transparencia a las funciones y el tratamiento de datos personales, permitiendo a los interesados supervisar el tratamiento de datos y al responsable del tratamiento crear y mejorar elementos de seguridad. Al desarrollar, dise帽ar, seleccionar y usar aplicaciones, servicios y productos que est谩n basados en el tratamiento de datos personales o que tratan datos personales para cumplir su funci贸n, ha de alentarse a los productores de los productos, servicios y aplicaciones a que tengan en cuenta el derecho a la protecci贸n de datos cuando desarrollan y dise帽en estos productos, servicios y aplicaciones, y que se aseguren, con la debida atenci贸n al estado de la t茅cnica, de que los responsables y los encargados del tratamiento est谩n en condiciones de cumplir sus obligaciones en materia de protecci贸n de datos. Los principios de la protecci贸n de datos desde el dise帽o y por defecto tambi茅n deben tenerse en cuenta en el contexto de los contratos p煤blicos.

(78) The protection of the rights and freedoms of natural persons with regard to the processing of personal data require that appropriate technical and organisational measures be taken to ensure that the requirements of this Regulation are met. In order to be able to demonstrate compliance with this Regulation, the controller should adopt internal policies and implement measures which meet in particular the principles of data protection by design and data protection by default. Such measures could consist, inter alia, of minimising the processing of personal data, pseudonymising personal data as soon as possible, transparency with regard to the functions and processing of personal data, enabling the data subject to monitor the data processing, enabling the controller to create and improve security features. When developing, designing, selecting and using applications, services and products that are based on the processing of personal data or process personal data to fulfil their task, producers of the products, services and applications should be encouraged to take into account the right to data protection when developing and designing such products, services and applications and, with due regard to the state of the art, to make sure that controllers and processors are able to fulfil their data protection obligations. The principles of data protection by design and by default should also be taken into consideration in the context of public tenders.

Ley de Directrices y caso Deja un comentario
[js-disqus]