Cómo demostrar el cumplimiento del artículo 11 del RGPD

Artículo 11 del RGPD: la clave para minimizar los datos

GDPR El artículo 11 trata sobre los principios de minimización de datos., que limitan en gran medida el tratamiento de los datos vinculados únicamente a lo que se considera necesario.

Los responsables del tratamiento deben eliminar u ocultar cualquier referencia al interesado en el momento en que los datos ya no sean necesarios. Cuando esto ocurre, los controladores también necesitan obtener más información sobre el interesado para seguir cumpliendo.

Si los sujetos desean ser reidentificados, los controladores deben tenerlo en cuenta y formular medidas para abordar la solicitud.

Es importante señalar que, si el interesado no está identificado, el artículo 11 se aplica en parte, pero si el interesado solicita una reidentificación, el responsable del tratamiento debe intentarlo (a menos que, por la carga de la prueba, esto resulte imposible).

RGPD Artículo 11 Texto Legal

Versión del RGPD de la UE

Tratamientos que no requieren identificación

1. Si los fines para los cuales un controlador procesa datos personales no requieren o ya no requieren la identificación de un interesado por parte del controlador, el controlador no estará obligado a mantener, adquirir o procesar información adicional para identificar al interesado para el con el único fin de cumplir con el presente Reglamento.
2. Cuando, en los casos a que se refiere el apartado 1 del presente artículo, el responsable del tratamiento pueda demostrar que no está en condiciones de identificar al interesado, informará de ello al interesado, si es posible. En tales casos, los artículos 15 a 20 no se aplicarán excepto cuando el interesado, con el fin de ejercer sus derechos en virtud de dichos artículos, proporcione información adicional que permita su identificación.

Versión del RGPD del Reino Unido

Tratamientos que no requieren identificación

1. Si los fines para los cuales un controlador procesa datos personales no requieren o ya no requieren la identificación de un interesado por parte del controlador, el controlador no estará obligado a mantener, adquirir o procesar información adicional para identificar al interesado para el con el único fin de cumplir con el presente Reglamento.
2. Cuando, en los casos a que se refiere el apartado 1 del presente artículo, el responsable del tratamiento pueda demostrar que no está en condiciones de identificar al interesado, informará de ello al interesado, si es posible. En tales casos, los artículos 15 a 20 no se aplicarán excepto cuando el interesado, con el fin de ejercer sus derechos en virtud de dichos artículos, proporcione información adicional que permita su identificación.

Artículo 11 (1) del RGPD de la UE e ISO 27701, cláusula 7.4.5

Desidentificación y eliminación de PII al final del procesamiento

Cuando la PII ya no cumple un propósito declarado, las organizaciones deben destruir completamente los datos o modificarlos de manera que impida cualquier forma de identificación, ya sea interna o externa.

Tan pronto como la organización establezca que la PII no necesita ser procesada en ningún momento en el futuro, la información debe eliminarse o modificarse de una manera que haga imposible identificar al interesado.

Artículo 11 (2) del RGPD de la UE e ISO 27701, cláusula 7.3.2

Determinación de información para directores de PII

Las organizaciones deben documentar la información que reciben los directores de PII, que describe cómo se procesa la PII.

Es necesario que exista un conjunto de requisitos que regulen cuándo se debe proporcionar la información y exactamente qué es esa información, como por ejemplo:

• El propósito de la PII que se recopila y procesa.
• Detalles de contacto.
• Cómo se obtuvo la PII.
• Requisitos escritos (contractuales, estatutarios).
• El proceso mediante el cual se elimina el consentimiento.
• Transferencias de datos.
• Un procedimiento de denuncia.
• El proceso interno de toma de decisiones.
• Plazos de conservación de los datos.

Artículo 11 (2) del RGPD de la UE e ISO 27701, cláusula 7.3.3

Proporcionar información a los directores de PII

Las organizaciones deben definir quién es el controlador de la PII y cómo se procesan los datos, a través de medios "claros y accesibles" que no inhiban la difusión de información crucial.

La información debe ser fácil de seguir y estar expresada en términos sencillos para que cualquiera que la lea pueda comprender la naturaleza de lo que se transmite, junto con cualquier detalle técnico u operativo (consulte la cláusula 27701 de ISO 7.3.2).

Respaldo de cláusulas ISO 27701

• ISO 27701 7.3.2

Controles compatibles con ISO 27701

Cómo ayuda ISMS.online

Nuestro entorno prediseñado le permite describir y demostrar su enfoque para proteger los datos de sus clientes europeos y del Reino Unido de una manera que se integre perfectamente en su sistema de gestión.

La plataforma ISMS.online contiene orientación integrada en cada paso, así como nuestro enfoque de implementación 'Adoptar, Adaptar, Agregar', que reduce la cantidad de esfuerzo necesario para cumplir con el RGPD. También recibirá una variedad de beneficios que le permitirán ahorrar tiempo.

Si tiene problemas para cumplir con el RGPD debido a una falta de confianza, capacidad o motivación para tomar medidas, podemos ayudarlo proporcionándole nuestros expertos internos o recomendándole a uno de nuestros socios de confianza.

Descubre más por reservar una demostración.