Služby GDPR / Španělsko
GDPR a LOPDGDD ve Španělsku — co která norma vyžaduje
GDPR je evropské nařízení, ve Španělsku přímo použitelné bez transpozice. LOPDGDD — Ley Orgánica 3/2018 o ochraně osobních údajů a zaručení digitálních práv — je španělský zákon, který ho rozvádí, konkretizuje a přidává vlastní povinnosti. Vaše firma odpovídá podle obou, před jediným úřadem: AEPD.
Jednáte za klienta? Býváme jmenováni v zákulisí profesionálních poradců a reportujeme vám. Vztah s vaším klientem zůstává váš.
Co která norma dělá, jasnými slovy
GDPR staví rámec
Zásady (zákonnost, minimalizace, odpovědnost), právní tituly, práva subjektů údajů, role správce a zpracovatele, posouzení vlivu, porušení zabezpečení a sankční režim. V celé EU je totožné a nepotřebuje národní zákon.
LOPDGDD dodává španělské drobné písmo
Kde nařízení nechává prostor, Španělsko ho vyplnilo: kdo musí jmenovat pověřence (článek 34), povinnost blokace údajů (článek 32), věk souhlasu nezletilých od 14 let, konkrétní pravidla pro kamerové systémy a interní oznamovací systémy a celý titul digitálních práv — odpojení, soukromí vůči firemním zařízením a další.
Správce, zpracovatel a pověřenec — rozlišení, které vše uspořádá
Tři role, které se v auditech objevují zaměněné znovu a znovu — a jejichž záměna znehodnocuje celé smlouvy a informace.
- SPRÁVCE: kdo rozhoduje o účelech a prostředcích — vaše firma, u vlastních dat zákazníků a zaměstnanců
- ZPRACOVATEL: kdo zpracovává z pověření správce — mzdový dodavatel, účetní kancelář, cloudová platforma; potřebuje smlouvu dle článku 28
- POVĚŘENEC (delegado de protección de datos): nezávislá role, která dohlíží a radí — nerozhoduje o účelech, nezpracovává pro nikoho a za svůj úsudek odpovídá před AEPD
Do kterého políčka spadne který dodavatel a které oddělení, rozhoduje o smlouvách, informacích a převzaté odpovědnosti. Uvést to do pořádku je obvykle první výstup našeho auditu GDPR.
Co LOPDGDD vyžaduje a GDPR nikdy nezmiňuje
- Článek 34: španělský seznam subjektů povinných jmenovat pověřence — širší než tři evropské spouštěče
- Článek 32: povinnost blokace — opravené či vymazané údaje zůstávají znehybněné po promlčecí lhůty možných odpovědností
- Článek 7: souhlas nezletilých platný od 14 let
- Článek 22: domněnky a vlastní pravidla pro kamerové systémy
- Článek 24: interní oznamovací systémy
- Titul X: digitální práva — digitální odpojení, soukromí vůči firemním zařízením a geolokalizace v práci
Žádná z těchto povinností se neobjevuje v generické šabloně GDPR psané pro celou Evropu. Je to vrstva, která odlišuje poskytovatele znalého Španělska od poskytovatele, který překládá dokumenty.
Jak to pokrýváme
Jeden program, který bere GDPR a LOPDGDD jako to, čím jsou — jednu povinnost se dvěma prameny. Audit vůči oběma normám, externí pověřenec oznámený AEPD, záznamy a smlouvy dle článku 28 v pořádku a — pro firmy s britskými klienty — pokrytí UK GDPR z naší britské entity, ověřitelné v Companies House (17350509), vedle evropské v maltském rejstříku (C 95774).
Otázky a odpovědi
Jaký je ve Španělsku rozdíl mezi správcem, zpracovatelem a pověřencem?
Tři odlišné role, které GDPR přesně definuje. Správce rozhoduje o účelech a prostředcích — vaše firma, u vlastních dat. Zpracovatel zpracovává z pověření správce — mzdový dodavatel, účetní kancelář, cloudová platforma. A pověřenec nezpracovává pro nikoho: je to nezávislá role, která dohlíží na soulad, radí a jedná s AEPD. Jejich záměna je nejčastější chyba, kterou v auditech nacházíme.
Když plníme GDPR, plníme už i LOPDGDD?
Ne automaticky. LOPDGDD rozvádí evropské nařízení pro Španělsko a přidává vlastní povinnosti: seznam subjektů s povinným pověřencem v článku 34, povinnost blokace údajů v článku 32, věk souhlasu 14 let, zvláštní pravidla pro kamerové a oznamovací systémy a celý titul digitálních práv. Firma může mít GDPR slušně pokryté, a přesto porušovat čistě španělské povinnosti.
Co je povinnost blokace podle článku 32 LOPDGDD?
Španělská zvláštnost: když je údaj opraven nebo vymazán, správce ho musí blokovat — uchovat znehybněný, výhradně k dispozici soudcům, soudům, státnímu zastupitelství nebo příslušným správním orgánům, po promlčecí lhůty možných odpovědností. Není to prosté smazání: je to konkrétní technická a organizační povinnost, kterou mnozí zahraniční dodavatelé šablon ani nezmiňují.
Může maltsko-britská firma vést španělský soulad?
GDPR je přímo použitelné v celé EU a naše evropská entita — Privacy Core Services Ltd, C 95774, Malta — je usazena ve stejném rámci jako vaše firma. Španělskou vrstvu (LOPDGDD, kritéria a vodítka AEPD) děláme jako součást služby, jmenování pověřence se AEPD oznamuje jako u kteréhokoli místního poskytovatele, a přidáváme něco, co čistě místní poskytovatel nemá: pokrytí UK GDPR z naší britské entity pro klienty s britskou expozicí.
Začněte krátkým rozhovorem
Řekněte nám, co vaše firma zpracovává a pro koho, a my vám jasně řekneme, co GDPR a LOPDGDD vyžadují — a co ne. Žádná automatická registrace; odpovídáme do jednoho pracovního dne.