Orientaciones sobre protección de datos – Pregunta 12
¿Cuál es la responsabilidad de los responsables del tratamiento de datos?
Aplicable a la hipótesis n.º 2, salvo en lo que se refiere a la utilización del servicio de intercambio de archivos de la Comisión.
Los representantes del grupo de organizadores pueden tener que compensar a los firmantes en caso de que sufran daños y perjuiciosmateriales (por ejemplo, costes directos) o morales (por ejemplo, reputación, imagen, etc.) causados por el tratamiento y como consecuencia de una infracción del RGPD.
Ejemplos:
- En caso de que se revele (de forma intencionada o por negligencia) que Juan García, empleado y gerente en una industria química, apoya iniciativas para prohibir el uso de plaguicidas producidos por su empleador: podría acarrearle daños materiales, como la pérdida del empleo, y dañosmorales, como la pérdida de su reputación o de oportunidades de empleo.
- En caso de que los datos recogidos se pongan a disposición del grupo de organizadores de otra iniciativa o de alguna organización que los utilice para el análisis político, la elaboración de perfiles o la representación de intereses: se podrían generar daños morales.
Esta responsabilidad se extiende al encargado del tratamiento por los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del RGPD dirigidas específicamente a los encargados del tratamiento o cuando haya actuado al margen o en contra de las instrucciones legales del responsable.
Tanto el responsable como el encargado del tratamiento estarán exentos de responsabilidad por los daños causados por el tratamiento, si el responsable del tratamiento puede demostrar que no es en modo alguno responsable del hecho que originó el daño.
Sin perjuicio de la responsabilidad del representante del grupo de organizadores, los miembros de un grupo de organizadores serán conjunta y solidariamente responsables de los posibles daños y perjuicios causados en la organización de una iniciativa por actos ilegales cometidos deliberadamente o con negligencia grave, en virtud del Derecho nacional aplicable.
En caso de que se cree una entidad jurídica para gestionar la iniciativa, la responsabilidad se transferirá a la entidad jurídica, junto con la función de responsable del tratamiento de datos.
NOTA:
En la hipótesis n.º 1, su responsabilidad se reduce sustancialmente, ya que las principales responsabilidades en relación con el tratamiento de los datos de los firmantes se transfieren a la Comisión.
Referencias:
- Artículo 5 del Reglamento sobre la iniciativa ciudadana europea.
- Capítulo VIII del RGPD.