Exposición de motivos

El AYUNTAMIENTO de NAVAS DEL MARQUÉS pretende establecer con esta Política un marco de actuación para dar respuesta a la vigente normativa en materia de protección de datos personales contenida, entre otras, en el  Reglamento (UE) 2016/679 del Parlamento europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos -RGPD-), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de derechos digitales, así como las directrices de las autoridades de control el Comité Europeo y la Agencia Española de Protección de Datos.

Además, el AYUNTAMIENTO propone un modelo de cumplimiento normativo desde el punto de vista organizativo que sirva de evidencia de las buenas prácticas y medidas de diligencia debida como demostración de su firme compromiso con la garantía en la protección de los datos personales y la seguridad de la información.

Con fecha 30 de junio de 2022, el Pleno de la corporación municipal , según lo establecido en el artículo 22 de la Ley 7/1985, de 2 de abril, Reguladora de las Bases de Régimen Local, aprueba la Política de Protección de Datos de carácter personal del Ayuntamiento de NAVAS DEL MARQUÉS.

Artículo 1.  Ámbito objetivo de aplicación

1. Constituye el objeto de esta Política de Protección de datos el establecimiento de los principios, directrices y las responsabilidades en la gestión de las actividades de tratamiento con datos de carácter personal del AYUNTAMIENTO de NAVAS DEL MARQUÉS.
2. Esta Política se aplicará a los tratamientos de datos personales efectuados por el AYUNTAMIENTO como responsable del tratamiento, Según se define en la vigente normativa de protección de datos.
3. Las presentes instrucciones no serán de aplicación a los datos de personas fallecidas cuyo tratamiento se regirá por lo establecido en la LOPDGDD.

Artículo 2. Principios de protección de datos personales

1. AYUNTAMIENTO tratará los datos personales bajo su responsabilidad conforme a los siguientes principios de protección de datos reconocidos en el artículo 5 del RGPD y demás normativa vigente en la materia:
2. a) Licitud, lealtad y transparencia: los datos de carácter personal serán tratados de manera lícita, leal y transparente en relación con la persona afectada;
3. b) Legitimación en el tratamiento de datos personales: solo se tratarán los datos de carácter personal cuando dicho tratamiento se encuentre amparado en alguna de las causas de legitimación establecidas en el artículo 6 del RGPD y, para las categorías especiales de datos, las excepciones del artículo 9 del RGPD;
4. c) Limitación de la finalidad: los datos de carácter personal serán tratados para el cumplimiento de fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines;
5. d) Minimización de datos: los datos de carácter personal serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados;
6. e) Exactitud: los datos de carácter personal serán exactos y, en su caso, actualizados siguiendo indicaciones de las personas afectadas; el AYUNTAMIENTO adoptará todas las medidas razonables para que se supriman o rectifiquen, sin dilación, cuando aquellos sean inexactos con respecto a los fines para los que se tratan, según las comunicaciones recibidas por los interesados;
7. f) Limitación del plazo de conservación: los datos de carácter personal serán mantenidos de forma que se permita la identificación de las personas afectadas el tiempo necesario para los fines que justificaron su tratamiento, o para la presentación de reclamaciones por las personas afectadas o ante la existencia de alguna obligación legal que obligue a su conservación y/o bloqueo, sin perjuicio del cumplimiento de las obligaciones legales en materia de política de gestión documental y archivo del AYUNTAMIENTO de acuerdo a los requisitos de la legislación en materia de patrimonio histórico;
8. g) Integridad y confidencialidad: los datos de carácter personal serán tratados de tal manera que se garantice su seguridad, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas al riesgo del tratamiento. Quienes intervengan en el tratamiento de los datos estarán sujetos al deber de secreto y confidencialidad incluso después de haber concluido la relación con la entidad local, se extremarán estas precauciones en el supuesto de contratación con terceros en los que se traten datos personales, incluso cuando incidentalmente pueda conocer datos personales. La obligación de secreto será complementaria a las obligaciones que puedan tener los empleados públicos por su propia normativa reguladora de su profesión o por la de terceros contratados por el AYUNTAMIENTO;
9. h) Responsabilidad proactiva: el AYUNTAMIENTO será responsable del cumplimiento de los principios anteriormente señalados y adoptará las medidas técnicas y organizativas que le permitan estar en condiciones de demostrar dicho cumplimiento;
10. i) Derechos de las personas afectadas: se adoptarán las medidas y procedimientos que garanticen el adecuado ejercicio por las personas afectadas de los derechos de acceso, rectificación, supresión, oposición y, cuando sea posible, limitación del tratamiento y portabilidad respecto de sus datos de carácter personal. Se respetará, en aquellos tratamientos basados en el consentimiento, el derecho a la revocación de este en cualquier momento;
11. l) Seguridad integral: la seguridad tenderá a la preservación de la confidencialidad, la integridad y la disponibilidad de la información, pudiendo, además, abarcar otras propiedades, como la autenticidad. La seguridad se entiende como un proceso integral constituido por todos los elementos técnicos, humanos, materiales y organizativos, relacionados con el tratamiento de los datos personales responsabilidad del AYUNTAMIENTO;
12. m) Gestión de Riesgos: la gestión del riesgo es el conjunto de actividades coordinadas que el AYUNTAMIENTO desarrolla para dirigir y controlar el riesgo, entendiendo como riesgo el efecto de la incertidumbre sobre la consecución de los objetivos que, en el marco del RGPD, es la protección de los derechos y libertades de los titulares de los datos que trata el AYUNTAMIENTO. El análisis y gestión de riesgos son parte esencial del modelo de responsabilidad proactiva propugnado por el RGPD, de forma que permita el mantenimiento de un entorno controlado en el tratamiento de los datos personales, minimizando los riesgos hasta niveles aceptables por el AYUNTAMIENTO. La reducción de estos niveles se realizará mediante la aplicación de medidas de seguridad, que deberán ser adecuadas a lo establecido en el Esquema Nacional de Seguridad, en cumplimiento de la Disposición Adicional Primera de la LOPDGDD;
13. n) Protección de datos y seguridad desde el diseño y por defecto: el AYUNTAMIENTO promoverá la implantación del principio de protección de datos desde el diseño de los tratamientos de datos. Además, evaluará periódicamente el grado de cumplimiento normativo, implementando medidas de mejora del mismo.
14. p) Consentimiento de la persona afectada, en aquellos tratamientos donde la base de legitimación sea el consentimiento, según el artículo 6.1.a) del RGPD, este debe ser una manifestación de voluntad libre, específica, informada e inequívoca por la que se acepta el tratamiento. La declaración se recabará principalmente por medios escritos sin perjuicio de otras que puedan evidenciar la acción afirmativa de la persona afectada por cualquier otro medio, pero siempre deberá quedar constancia de este. Se facilitará a las personas afectadas la revocación.
15. o) Tratamiento de datos de categorías especiales: el AYUNTAMIENTO, tratará aquellos datos personales de categorías especiales en el desempeño de sus competencias propias o delegadas, respetando los principios del RGPD, entre otros el de minimización.

Artículo 4. Medidas de cumplimiento normativo

Además del respeto a los principios antes referenciados, el Ayuntamiento deberá mantener actualizado un modelo de gestión de la protección de datos que incluya, entre otras medidas, las siguientes:

1. a) Creación, gestión y mantenimiento del Registro de actividades de tratamiento, sometido a la debida publicidad en los términos que establezca la normativa vigente, en el Portal de Transparencia de la Entidad local;
2. b) Se mantendrá actualizada la información para que las personas afectadas conozcan de forma transparente, con un lenguaje entendible y accesible, los tratamientos de sus datos personales que realiza la Entidad local;
3. c) Se evitarán, en la medida de los posible, las transferencias internacionales de datos personales fuera de la Unión Europea. En caso de que fuese necesario el tratamiento de datos fuera de la Unión Europea el AYUNTAMIENTO adoptará las medidas técnicas organizativas previstas en el RGPD. Se prestará especial atención a que los prestadores de servicios no realicen transferencias internacionales de datos;
4. d) Seguridad en el tratamiento de datos personales: se implantarán las medidas técnicas y organizativas para que cualquier persona que acceda o pueda acceder a los activos de información y a los datos de carácter personal, conozca sus obligaciones y responsabilidades en materia de seguridad, reduciendo el riesgo derivado de un uso indebido de dichos activos, teniendo en cuenta el ciclo de vida del tratamiento de los datos personales desde su incorporación a los sistemas hasta su total destrucción, garantizando la seguridad por defecto;
5. e) Gestión de los incidentes de seguridad: se implantarán los mecanismos apropiados para el control y minimización del impacto en las personas afectadas, diseñando un procedimiento para la gestión y resolución del incidente, teniendo en cuenta la necesidad de comunicar, en su caso, a la AEPD y a las personas afectadas teniendo en cuenta también la necesidad de realizar las debidas notificaciones al CCN-CERT o las Fuerzas y Cuerpos de Seguridad del Estado.
6. f) Se adoptarán las medidas técnicas, organizativas y procedimentales necesarias para el cumplimiento de la normativa legal vigente en materia de protección de datos de carácter personal, entre ellas las necesarias para la adecuada gestión de los derechos de las personas afectadas por el tratamiento, estableciéndose procedimientos de respuesta rápida a las solicitudes de información o al ejercicio de derechos.
7. g) En la gestión indirecta de los servicios de competencia municipal bien mediante empresas externas u otras entidades u organismo se tendrá en cuenta si estas van a acceder a datos personales para instruirles mediante un contrato de encargado del tratamiento de cómo deben actuar.

Artículo 5. Roles y responsabilidades

El AYUNTAMIENTO, según las funciones descritas en el artículo anterior, actúa como responsable del tratamiento cuando determine los fines y medios del tratamiento, según la definición del artículo 4 apartado séptimo del RGPD. Para la adecuada gestión las obligaciones de la normativa de protección de datos personales, se atribuyen las siguientes responsabilidades y funciones:

• Al Pleno del Ayuntamiento le corresponde:
  • La aprobación de la Política de Privacidad y sus modificaciones;
  • El ejercicio de acciones judiciales o administrativas en defensa del Entidad local como responsable del tratamiento de los datos personales, para lo cual contará con el asesoramiento del Delegado de Protección de Datos, o bien, en la defensa de los intereses del AYUNTAMIENTO en las posibles reclamaciones por parte de terceros;
• Al Alcalde o concejal en quien delegue le corresponde:
  • La dirección y representación de la Entidad local en materia de protección de datos personales;
  • Aprobación del Registro de Actividades del Tratamiento y, en su caso, la modificación o supresión de las actividades de tratamiento.
  • La aprobación/firma de las resoluciones y/o comunicaciones relacionadas con la respuesta al ejercicio de derechos u otras peticiones realizadas por las personas afectadas por el tratamiento de sus datos personales;
  • La notificación a la AEPD y/o las personas afectadas aquellos incidentes de seguridad, en su caso;
  • La firma de los contratos o actos jurídicos vinculantes de Encargado del Tratamiento con entidades o personas físicas o jurídicas que presten servicios al AYUNTAMIENTO cuando accedan a datos personales;
  • La designación, cese o remoción de la persona designada como Delegado/a de Protección de Datos, así como su inscripción ante la AEPD;
  • Dictar las instrucciones internas para el adecuado cumplimiento de la normativa de protección de datos.
• La persona designada como Delegado/a de Protección de Datos: informa y asesora al responsable del tratamiento de las obligaciones en materia de cumplimiento del RGPD y supervisa el cumplimiento de la normativa, coopera con la autoridad de control, además de dar respuesta a las reclamaciones presentadas por los interesados previas al recurso ante la AEPD.

Artículo 6. Obligaciones del personal

Todas las personas integrantes del AYUNTAMIENTO, con independencia de su relación jurídica, prestarán su colaboración en las actuaciones de implementación de la normativa de protección de datos

Todos los empleados municipales, con independencia de la relación de carácter funcionarial o laboral, fijos, interinos o eventuales, que presten servicios en la AYUNTAMIENTO tienen la obligación de conocer y cumplir las instrucciones o procedimiento en el tratamiento de datos personales, actuando con confidencialidad y deben de colaborar en la mejora de los procedimientos y requisitos en materia de protección de datos evitando actuaciones que puedan incrementar los riesgos a los que se encuentran expuestos los datos personales, tanto en la función del AYUNTAMIENTO como Responsable del Tratamiento como en la de Encargado.

La presente Política será de conocimiento público mediante la publicación en la página web municipal (Portal de Transparencia).

Registro de Actividades del Tratamiento

Consulte el registro de actividades del tratamiento pulsando aquí (PDF).