Reglamento sobre el tratamiento de datos personales de ООО «101 ГРУПП»

El presente Reglamento sobre el procedimiento de tratamiento de datos personales de ООО «101 ГРУПП» (en adelante, el Reglamento) define los fines, condiciones y procedimiento del tratamiento de datos personales y establece los requisitos generales para garantizar la seguridad de los datos personales tratados por ООО «101 ГРУПП» (en adelante, la Empresa), con o sin medios automatizados.

Esta aplicación se ha desarrollado teniendo en cuenta los requisitos de la Ley Federal n.º 152-ФЗ, de 27.07.2006, «Sobre los datos personales».

1. TÉRMINOS Y DEFINICIONES

El Reglamento utiliza los términos y definiciones del artículo 3 de la Ley Federal n.º 152-ФЗ, de 27.07.2006, «Sobre los datos personales»:

1.1. Bloqueo de datos personales: suspensión temporal de su tratamiento, salvo cuando este sea necesario para precisar los datos personales.

1.2. Sistema de información de datos personales: conjunto de datos personales contenidos en bases de datos y de tecnologías de la información y medios técnicos que permiten su tratamiento.

1.3. Disociación de datos personales: actuaciones que impiden determinar, sin información adicional, la pertenencia de los datos personales a un interesado concreto.

1.4. Tratamiento de datos personales: cualquier acción (operación) o conjunto de acciones (operaciones) realizadas sobre datos personales, con o sin medios automatizados, incluidas la recogida, registro, sistematización, acumulación, almacenamiento, precisión (actualización, modificación), extracción, bloqueo, supresión y destrucción de datos personales.

1.5. Operador: autoridad estatal, autoridad municipal, persona jurídica o persona física que, de manera independiente o junto con otras personas, organiza y/o realiza el tratamiento de datos personales y determina sus fines, los datos que deben tratarse y las acciones (operaciones) realizadas sobre ellos.

1.6. Datos personales: cualquier información relativa a una persona física identificada o identificable, directa o indirectamente (interesado).

1.7. Difusión de datos personales: actuaciones destinadas a revelar datos personales a un grupo indeterminado de personas.

1.8. Transferencia transfronteriza de datos personales: transferencia de datos personales al territorio de un Estado extranjero, a una autoridad de un Estado extranjero, a una persona física extranjera o a una persona jurídica extranjera.

1.9. Destrucción de datos personales: actuaciones que imposibilitan restablecer el contenido de los datos personales en un sistema de información de datos personales y/o que destruyen los soportes físicos que los contienen.

1.10. Tratamiento automático de datos personales: tratamiento de datos personales mediante equipos informáticos.

1.11. Comunicación de datos personales: actuaciones destinadas a revelar datos personales a una persona determinada o a un grupo determinado de personas.

2. DISPOSICIONES GENERALES

2.1. Fines y ámbito de aplicación del Reglamento

El Reglamento define los fines del tratamiento de datos personales y establece los requisitos generales de seguridad de los datos personales tratados por la Empresa, con o sin medios automatizados.

Todos los empleados de la Empresa que traten datos personales deben conocer el Reglamento y firmar constancia de ello. Con su firma personal, cada empleado confirma que ha sido informado de que trata datos personales y de las categorías de datos tratados, y que conoce los requisitos de tratamiento y seguridad establecidos en el Reglamento y en otros documentos internos que regulan el tratamiento de datos personales, en lo relativo a sus funciones laborales.

2.2. Principios del tratamiento de datos personales

El tratamiento de datos personales debe realizarse conforme a los siguientes principios:

Legalidad de los fines y métodos del tratamiento de datos personales y buena fe
Correspondencia de los fines del tratamiento con los fines definidos previamente y declarados al recoger los datos personales, así como con las facultades de la Empresa
Adecuación del volumen y la naturaleza de los datos personales tratados y de los métodos de tratamiento a los fines del tratamiento
Exactitud de los datos personales y suficiencia para los fines del tratamiento; prohibición de tratar datos excesivos respecto de los fines declarados al recogerlos
Prohibición de combinar bases de datos de sistemas de información de datos personales creadas para fines incompatibles entre sí.

2.3. Almacenamiento de datos personales

Los datos personales deben almacenarse de una forma que permita identificar al interesado. No deben conservarse durante más tiempo del necesario para los fines del tratamiento, salvo que una ley federal o un contrato en el que el interesado sea parte, beneficiario o fiador establezca un plazo de conservación. Los datos tratados deben destruirse o disociarse cuando se alcancen los fines del tratamiento o deje de ser necesario alcanzarlos, salvo disposición en contrario de una ley federal.

2.4. Métodos de tratamiento de datos personales

La Empresa puede tratar datos personales con o sin medios automatizados. Todas las medidas de protección durante el tratamiento se aplican tanto a los soportes de información en papel como a los electrónicos.

La Empresa puede realizar las siguientes actuaciones durante el tratamiento de datos personales:

Recogida
Registro
Sistematización
Acumulación
Almacenamiento
Precisión (actualización, modificación)
Extracción
Uso
Transferencia (difusión, comunicación, acceso)
Disociación
Bloqueo
Supresión
Destrucción.

2.5. Obligación de notificar al organismo autorizado para proteger los derechos de los interesados

La Empresa debe notificar el tratamiento de datos personales al organismo autorizado para proteger los derechos de los interesados, conforme al artículo 22 de la Ley Federal n.º 152-ФЗ, de 27.07.2006, «Sobre los datos personales».

3. INTERESADOS Y CATEGORÍAS DE DATOS PERSONALES

3.1. Interesados

La Empresa puede tratar datos personales de las siguientes categorías de interesados:

Empleados que mantuvieron o mantienen una relación laboral con la Empresa
Personas físicas que mantuvieron o mantienen relaciones contractuales u otras relaciones de derecho civil con la Empresa
Usuarios de la aplicación para dispositivos móviles 101 GROUP (en adelante, la Aplicación Móvil)
Visitantes del sitio web 101-app.com (en adelante, el sitio web).

Se recomienda distinguir las siguientes categorías de datos personales:

Datos personales clasificados como categorías especiales de datos personales conforme a la Ley Federal n.º 152-ФЗ, de 27.07.2006, «Sobre los datos personales»
Datos personales clasificados como datos personales biométricos conforme a la Ley Federal n.º 152-ФЗ, de 27.07.2006, «Sobre los datos personales»
Datos personales clasificados como datos personales de acceso público o disociados conforme a la Ley Federal n.º 152-ФЗ, de 27.07.2006, «Sobre los datos personales»
Datos personales que no puedan clasificarse como categorías especiales, datos biométricos, datos de acceso público ni datos disociados.

En los sistemas de información de la Empresa no deben tratarse datos personales relativos a:

Categorías especiales de datos personales sobre origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, salud, vida íntima o antecedentes penales
Datos personales sobre la vida privada, la pertenencia de los interesados a asociaciones públicas o sus actividades sindicales.

Los datos personales indicados en el apartado 3.2.2 del Reglamento solo pueden tratarse en los casos establecidos por la legislación.

4. FINES DEL TRATAMIENTO DE DATOS PERSONALES

La Empresa ha definido los siguientes fines del tratamiento de datos personales:

4.1. Los datos personales de los empleados de la Empresa pueden tratarse para:

Organizar el registro de empleados
Llevar registros de personal y contabilidad
Ayudar a los empleados en materia de empleo
Formación
Promoción profesional
Garantizar la seguridad personal de los empleados
Controlar la cantidad y calidad del trabajo realizado
Garantizar la conservación de los bienes
Abrir cuentas bancarias personales de los empleados para abonar los salarios
Contratar seguros en programas de seguro médico voluntario
Transferir cotizaciones de seguros a fondos de pensiones no estatales
Disfrutar de diversas prestaciones conforme al Código Laboral de la Federación de Rusia, su Código Tributario, otras leyes federales y los estatutos y disposiciones de la Empresa.

4.2. Los datos personales de las personas físicas que mantuvieron o mantienen relaciones contractuales u otras relaciones de derecho civil con la Empresa se tratan para:

Obtener beneficios
Celebrar contratos y cumplir las obligaciones de los contratos celebrados
Realizar las actividades previstas en los documentos constitutivos de la Empresa.

4.3. Los datos personales de los usuarios de la Aplicación Móvil se tratan para:

Registrar y autorizar a los usuarios de la Aplicación Móvil
Enviar mensajes informativos y de servicio a los usuarios
Informar a los usuarios mediante llamadas telefónicas
Evaluar y analizar el funcionamiento de la Aplicación Móvil
Mejorar el funcionamiento y las funcionalidades de la Aplicación Móvil
Enviar a los usuarios de la Aplicación Móvil notificaciones sobre nuevos productos y servicios, ofertas especiales y diversos eventos.

4.4. Los datos personales de los visitantes del sitio web se tratan para:

Comunicarse con los visitantes y enviarles notificaciones, solicitudes e información sobre el funcionamiento del sitio web y los servicios
Cumplir los acuerdos con los visitantes y tramitar sus solicitudes y peticiones
Proporcionar periódicamente información sobre los servicios y actividades de la Empresa
Evaluar y analizar el funcionamiento del sitio web
Mejorar el funcionamiento y las funcionalidades del sitio web
Informar a los visitantes del sitio web mediante llamadas telefónicas.

5. VOLUMEN Y CONTENIDO DE LOS DATOS PERSONALES

Para los fines del tratamiento definidos en la sección 4 del Reglamento, se establece el siguiente volumen y contenido de datos personales:

5.1. Volumen y contenido de los datos personales de los empleados de la Empresa:

Apellidos, nombre y patronímico
Fecha de nacimiento
Lugar de nacimiento
Sexo
Nacionalidad
Datos del pasaporte o de otro documento de identidad (serie, número, fecha de expedición y autoridad expedidora)
Información sobre características fisiológicas (imagen facial)
Domicilio
Número de teléfono
Dirección de correo electrónico
Otros datos de contacto
Información sobre formación, cualificaciones, conocimientos especializados y preparación especial
Información sobre actividad laboral, salario y otros ingresos y gastos
Información sobre el registro militar
Información sobre estado civil e hijos
Información sobre pólizas de seguro médico obligatorio y/o voluntario
Información sobre el número de identificación fiscal
Contrato de trabajo y libreta laboral
Copias de órdenes de contratación, traslado, despido, aumento salarial, primas, reconocimientos y sanciones
Ficha personal según el formulario Т-2
Solicitudes, notas explicativas y memorandos internos del empleado
Otra información necesaria para alcanzar los fines anteriores y prevista en la legislación laboral vigente.

5.2. Volumen y contenido de los datos personales de las personas físicas que mantuvieron o mantienen relaciones contractuales u otras relaciones de derecho civil con la Empresa:

Apellidos, nombre y patronímico
Fecha de nacimiento
Lugar de nacimiento
Sexo
Nacionalidad
Datos del pasaporte o de otro documento de identidad (serie, número, fecha de expedición y autoridad expedidora)
Información sobre características fisiológicas (imagen facial)
Información sobre el número de identificación fiscal
Domicilio
Número de teléfono
Dirección de correo electrónico
Otros datos de contacto
Otra información necesaria para alcanzar los fines anteriores y prevista en la legislación laboral vigente.

5.3. Volumen y contenido de los datos personales de los usuarios de la Aplicación Móvil:

Apellidos, nombre y patronímico
Número de teléfono
Dirección de correo electrónico
Datos disociados sobre visitantes tratados mediante los servicios Yandex Metrica y Google Analytics.

5.4. Volumen y contenido de los datos personales de las personas físicas que visitan el sitio web:

Apellidos, nombre y patronímico
Número de teléfono
Dirección de correo electrónico
Datos disociados sobre visitantes tratados mediante los servicios Yandex Metrica y Google Analytics.

6. PLAZOS DE TRATAMIENTO DE DATOS PERSONALES

Para los fines definidos en la sección 4 del Reglamento, se establecen los siguientes plazos de tratamiento de datos personales:

Para los datos personales de los empleados de la Empresa: durante la vigencia del contrato de trabajo. La Empresa trata los datos personales de antiguos empleados durante el plazo establecido en el punto 5 de la parte 3 del artículo 24 de la primera parte del Código Tributario de la Federación de Rusia y en la parte 1 del artículo 29 de la Ley Federal n.º 402-ФЗ, de 06.12.2011, «Sobre la contabilidad».
Para los datos personales de las personas físicas que mantuvieron o mantienen relaciones contractuales u otras relaciones de derecho civil con la Empresa: durante la vigencia de los contratos celebrados con ellas. La Empresa puede tratar datos personales de clientes después de su vencimiento durante el plazo establecido en el punto 5 de la parte 3 del artículo 24 de la primera parte del Código Tributario de la Federación de Rusia y en la parte 1 del artículo 29 de la Ley Federal n.º 402-ФЗ, de 06.12.2011, «Sobre la contabilidad».
Para los datos personales de los usuarios de la Aplicación Móvil: hasta la eliminación de la cuenta en la Aplicación Móvil.
Para los datos personales de los visitantes del sitio web: hasta alcanzar el fin del tratamiento de datos personales.

7. NECESIDAD DEL CONSENTIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES

Los datos personales de las categorías de interesados indicadas en el apartado 3.1 del Reglamento solo pueden tratarse con el consentimiento escrito de los interesados.

Para cada categoría de interesados definida en el apartado 3.1 del Reglamento debe elaborarse un formulario de consentimiento para el tratamiento de datos personales, aprobado por orden del director de la Empresa. El formulario debe elaborarse conforme a la Ley Federal n.º 152-ФЗ, de 27.07.2006, «Sobre los datos personales».

8. CONDICIONES DEL TRATAMIENTO DE DATOS PERSONALES

8.1. Confidencialidad de los datos personales

Conforme al Decreto del Presidente de la Federación de Rusia n.º 188, de 06.03.1997, «Sobre la aprobación de la lista de información de carácter confidencial», los datos personales son información confidencial.

8.1.1 La Empresa debe documentar y aprobar una lista de los datos personales tratados.

8.1.2. La Empresa y los terceros que tengan acceso a datos personales deben garantizar su confidencialidad durante el tratamiento, estableciendo condiciones que impidan su difusión sin el consentimiento del interesado, salvo en los siguientes casos:

Cuando los datos personales hayan sido disociados
Respecto de datos personales de acceso público.

8.2. Encargo del tratamiento de datos personales a un tercero

Si la Empresa encarga por contrato el tratamiento de datos personales a otra persona, una condición esencial del contrato debe ser la obligación de dicha persona de garantizar la confidencialidad y seguridad de los datos personales durante su tratamiento.

8.3. Almacenamiento y destrucción de datos personales

Los datos personales deben almacenarse de una forma que permita identificar al interesado y durante un tiempo no superior al necesario para los fines del tratamiento.

Salvo disposición legal en contrario, la Empresa debe cesar el tratamiento y destruir los datos personales recogidos en los siguientes casos, dentro de los plazos legales:

Al alcanzar los fines del tratamiento o dejar de ser necesario alcanzarlos
A petición del interesado o del organismo autorizado para proteger sus derechos, si los datos son incompletos, obsoletos, inexactos, obtenidos ilícitamente o innecesarios para el fin declarado del tratamiento
Cuando el interesado retire su consentimiento al tratamiento de sus datos personales, si dicho consentimiento es legalmente necesario
Cuando el operador no pueda subsanar las infracciones cometidas durante el tratamiento de datos personales.

8.4. Tratamiento de datos personales para promocionar bienes y servicios

El tratamiento de datos personales para promocionar bienes y servicios en el mercado mediante contactos directos con consumidores potenciales a través de medios de comunicación solo se permite con el consentimiento previo del interesado, elaborado y aprobado conforme al apartado 7.2 del Reglamento.

8.5. Transferencia transfronteriza de datos personales

La transferencia transfronteriza de datos personales (a través de la frontera estatal de la Federación de Rusia a una autoridad, persona física o persona jurídica de un Estado extranjero) solo puede realizarse con el consentimiento escrito del interesado, elaborado y aprobado conforme al apartado 7.2 del Reglamento.

La transferencia transfronteriza de datos personales puede realizarse sin consentimiento del interesado en los siguientes casos:

Cumplimiento de un contrato en el que el interesado sea parte
Protección de la vida, salud u otros intereses vitales del interesado o de otras personas cuando resulte imposible obtener el consentimiento escrito del interesado.

8.6. Tramitación de comunicaciones y solicitudes

La Empresa debe definir y documentar el procedimiento de actuación ante solicitudes de los organismos autorizados para proteger los derechos de los interesados u otras autoridades supervisoras que ejerzan control y supervisión en materia de datos personales.

9. MEDIDAS PARA GARANTIZAR LA SEGURIDAD DE LOS DATOS PERSONALES

9.1. Disposiciones generales

Las medidas para garantizar la seguridad de los datos personales forman parte integrante de las actividades de la Empresa.

9.1.1 Para seleccionar y aplicar métodos y medios de protección de datos personales puede contratarse una organización que posea una licencia debidamente expedida para realizar actividades de protección técnica de información confidencial.

9.1.2. La Empresa debe definir, documentar y aprobar una lista de personas cuyo acceso a los datos personales tratados en sus sistemas de información sea necesario para cumplir sus obligaciones oficiales, laborales o profesionales.

9.1.3. Los empleados pueden figurar en la lista por funciones, según su puesto y con arreglo a los siguientes requisitos:

Las funciones de los empleados deben identificarse y documentarse.
Las funciones deben asignarse a personas concretas, estableciendo la responsabilidad por su desempeño y documentándola en la descripción del puesto.
Deben documentarse y aplicarse procedimientos de control de la actividad de los empleados que posean una combinación de facultades (funciones) que les permita controlar un activo de información protegido de la Empresa.
Deben documentarse los procedimientos de contratación que afecten a la seguridad de la información y que prevean registrar los resultados de las comprobaciones. Deben incluir la verificación de la autenticidad de los documentos aportados, las cualificaciones declaradas y la exactitud e integridad de los datos biográficos, así como comprobar las aptitudes profesionales y evaluar la idoneidad profesional.
Deben documentarse procedimientos de comprobación periódica de las aptitudes y la idoneidad profesionales de los empleados, dejando constancia de los resultados, y comprobaciones extraordinarias, también documentadas, cuando se detecten comportamientos anómalos, participación en incidentes de seguridad de la información o sospechas al respecto.
Todos los empleados deben comprometerse por escrito a mantener la confidencialidad y respetar las normas de ética corporativa, incluidos los requisitos para evitar conflictos de intereses.
En las relaciones con organizaciones externas y clientes, los requisitos de seguridad de la información deben regularse mediante cláusulas incluidas en los contratos (acuerdos) celebrados con ellos.
La obligación de los empleados de cumplir los requisitos de seguridad de la información debe incluirse en los contratos laborales y/o las descripciones de puestos.

9.1.4. El acceso de los empleados de la Empresa a los datos personales y el tratamiento de los datos personales de los empleados deben realizarse únicamente para cumplir sus funciones laborales.

9.1.5. La Empresa debe definir y documentar el procedimiento de acceso de empleados y otras personas a los locales donde se traten datos personales.

9.1.6. El incumplimiento de los requisitos de seguridad de la información por los empleados debe equipararse al incumplimiento de sus funciones laborales y dar lugar, como mínimo, a responsabilidad disciplinaria.

9.2. Medidas de seguridad de los datos personales durante el tratamiento automatizado

La seguridad de los datos personales tratados en sistemas de información de datos personales se garantiza mediante un sistema de protección que incluye medidas organizativas, herramientas de protección de la información y las tecnologías de la información utilizadas en dichos sistemas.

9.2.1. Deben identificarse obligatoriamente los tipos de amenazas de todos los sistemas de información de datos personales de la Empresa.

9.2.2. La Empresa debe identificar los tipos de amenazas de los sistemas de información de datos personales conforme a:

Los requisitos de protección de datos personales tratados en sistemas de información de datos personales aprobados por la Resolución del Gobierno de la Federación de Rusia n.º 1119, de 01.11.2012.
Los resultados de la identificación de los tipos de amenazas deben formalizarse en el acta correspondiente.
Para clasificar los sistemas automatizados (АБС) como sistemas de información de datos personales se aplica el siguiente criterio: los sistemas automatizados cuya creación y uso tengan, entre otros fines, el tratamiento de datos personales deben incluirse en la lista de sistemas de información donde se traten datos personales.
Para cada sistema deben definirse los fines del tratamiento, el volumen y contenido de los datos personales tratados, la lista de actuaciones sobre ellos y los métodos de tratamiento.
Las funciones deben asignarse a personas concretas, estableciendo la responsabilidad por su desempeño y documentándola en la descripción del puesto.
El volumen y contenido de los datos personales, así como la lista de actuaciones y los métodos de tratamiento, deben corresponder a los fines del tratamiento.
En las relaciones con organizaciones externas y clientes, los requisitos de seguridad de la información deben regularse mediante cláusulas incluidas en los contratos (acuerdos) celebrados con ellos.

9.2.3. Deben establecerse y documentarse los niveles de protección de los datos personales tratados en los sistemas de información de la Empresa.

9.3. Medidas de seguridad de los datos personales durante el tratamiento sin medios automatizados

Cuando la Empresa trate datos personales en papel, especialmente al utilizar formularios normalizados cuya información implique o permita incluir datos personales, debe cumplir el «Reglamento sobre las particularidades del tratamiento de datos personales sin medios automatizados», aprobado por la Resolución del Gobierno de la Federación de Rusia n.º 687, de 15.09.2008.

9.3.1. El tratamiento sin medios automatizados debe organizarse de modo que, para cada categoría de datos personales, puedan determinarse los lugares de almacenamiento de los datos (soportes físicos) y la lista de personas que los traten o tengan acceso a ellos.

9.3.2. Debe garantizarse el almacenamiento separado de los datos personales (soportes físicos) tratados para fines distintos.

9.3.3. Los soportes físicos deben almacenarse en condiciones que garanticen la conservación de los datos personales e impidan accesos no autorizados.

9.3.4. Se permite almacenar soportes físicos siempre que se respeten condiciones que garanticen la conservación de los datos personales e impidan accesos no autorizados.

9.3.5. Los empleados que traten datos personales sin automatización deben ser informados de que realizan dicho tratamiento sin medios automatizados, de las categorías de datos tratados y de las particularidades y Normas aplicables a ese tratamiento.

9.3.6. La lista de lugares de almacenamiento de los datos personales tratados sin medios automatizados debe aprobarse por orden del director de la Empresa.

9.3.7. Al utilizar formularios normalizados cuya información implique o permita incluir datos personales, deben cumplirse las siguientes condiciones:

El formulario normalizado debe contener:

Información sobre el fin del tratamiento de datos personales
Nombre y dirección de la Empresa
Apellidos, nombre, patronímico y dirección del interesado
La lista de actuaciones sobre los datos personales que se realizarán durante su tratamiento
Una descripción general de los métodos de tratamiento de datos personales utilizados por la Empresa.

9.3.8. El formulario normalizado debe incluir un campo donde el interesado pueda indicar su consentimiento al tratamiento de sus datos personales.

9.3.9. Los soportes físicos de datos personales deben destruirse cuando se alcancen los fines del tratamiento de los datos que contienen, salvo disposición legal en contrario (destrucción física, completa e irreversible de los datos personales contenidos en dichos soportes). La Empresa debe definir y documentar el procedimiento de destrucción de estos soportes.

9.4. Medidas de seguridad de los datos personales durante el almacenamiento de sus soportes

La Empresa debe definir y documentar un procedimiento de registro y almacenamiento de los soportes físicos de datos personales que establezca:

Los lugares de almacenamiento de los soportes de datos personales
Los requisitos de seguridad de los datos personales durante el almacenamiento de sus soportes
Las personas responsables de aplicar los requisitos de seguridad de los datos personales
El procedimiento de control del cumplimiento de los requisitos de seguridad de los datos personales durante el almacenamiento de sus soportes.

10. PERSONA QUE DESEMPEÑA LAS FUNCIONES DE PROTECCIÓN DE DATOS PERSONALES

10.1 La persona responsable del tratamiento de datos personales desempeña las funciones de organización de su protección en la Empresa.

10.2. La persona responsable del tratamiento de datos personales se nombra por orden del director de la Empresa.

10.3. La persona responsable del tratamiento de datos personales se nombra por orden del director de la Empresa.

10.4. En su actividad, la persona responsable del tratamiento se rige por los actos legislativos y normativos de la Federación de Rusia en materia de protección de datos personales, el Reglamento y otras disposiciones de la Empresa.

10.5. Los derechos, obligaciones y responsabilidad de la persona responsable del tratamiento de datos personales se definen en la descripción de su puesto.

11. CONTROL DEL CUMPLIMIENTO DEL REGLAMENTO

11.1. El cumplimiento de los requisitos del Reglamento está sujeto a control.

11.2. La lista y periodicidad de las medidas de control se determinan en el Plan de control de la seguridad de los datos personales, tanto interno como con participación de organizaciones auditoras externas independientes.

11.3. El control consiste en comprobar el cumplimiento de los requisitos de los documentos normativos sobre protección de la información y evaluar la justificación y eficacia de las medidas adoptadas.

11.4. Los resultados del control se recogen en un informe.

11.5. Las medidas de control pueden realizarse por organizaciones externas mediante contrato.

11.6. Las personas culpables de infringir los requisitos del Reglamento incurren en la responsabilidad civil, administrativa, disciplinaria, penal y de otro tipo prevista en la legislación.

Inicio