Normativa y datos
RGPD
El RGPD es el Reglamento (UE) 2016/679, la norma de la Unión que regula el tratamiento de datos personales. Se aplica directamente desde el 25 de mayo de 2018 y en España lo completa la LOPDGDD. Obliga igual a un colegio mayor, a una residencia privada y a un coliving.
También se le llamaReglamento General de Protección de Datos · Reglamento (UE) 2016/679 · GDPR
Lo que pide a un centro
No distingue figuras jurídicas: lo que cuenta es quién decide para qué se tratan los datos, y ése es el responsable del tratamiento, tenga o no ánimo de lucro. Para un centro de alojamiento, el reglamento se traduce en unas pocas obligaciones que vuelven una y otra vez:
- Una base jurídica para cada tratamiento (art. 6). Alojar, cobrar y prestar el servicio se apoyan en el contrato, no en el consentimiento.
- Más cuidado con la salud (art. 9): una alergia alimentaria es categoría especial y pide una base del art. 9.2.
- Un contrato con cada proveedor que trate datos por cuenta del centro: el DPA del art. 28.
- Un registro de actividades de tratamiento: el ROPA del art. 30.
- Respuesta a los derechos —acceso, rectificación, supresión, oposición— en un mes, prorrogable dos más si la solicitud es compleja (art. 12.3).
La LOPDGDD añade reglas propias de España: el tratamiento de los datos de un menor solo puede fundarse en su consentimiento cuando es mayor de catorce años (art. 7), y las imágenes de las cámaras se suprimen en un mes como máximo, salvo para acreditar hechos (art. 22.3). Cómo se aterriza todo en una residencia, con la base de cada categoría de datos, está en la guía del RGPD en residencias de estudiantes.
Fuentes
Términos relacionados
- Responsable y encargado del tratamientoResponsable del tratamiento es quien decide para qué y cómo se tratan unos datos personales; encargado, quien los trata por cuenta del responsable. En una residencia, el centro es responsable de los datos de sus residentes, y el proveedor de software o el catering que los maneja por él es encargado.
- DPA (contrato de encargo del tratamiento)Un DPA (data processing agreement) es el contrato que el art. 28.3 del RGPD exige entre el responsable del tratamiento y cada encargado: fija el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y de interesados, y las obligaciones y derechos de cada parte.
- ROPA (registro de actividades de tratamiento)El ROPA, o registro de actividades de tratamiento, es el documento que el art. 30 del RGPD exige al responsable y al encargado: qué datos se tratan, para qué, de quién, a quién se comunican, si salen fuera de la UE, cuándo se suprimen y con qué medidas de seguridad. Se entrega a la autoridad de control que lo pida.
- Derecho de supresiónEl derecho de supresión, o derecho al olvido, permite obtener del responsable que borre sin dilación indebida los datos personales propios si ya no son necesarios, si se retira el consentimiento en que se basaban, si hay oposición al tratamiento o si se trataron ilícitamente. Lo regula el art. 17 del RGPD.