Orientaciones sobre protección de datos – Pregunta 4
Seguridad: ¿qué etapas hay que seguir cuando se recojan en papel los datos de los firmantes?
Aplicable a la hipótesis n.º 2
Si las declaraciones (y las direcciones de correo electrónico, según el caso) se recogen en papel, también se consideran datos personales protegidos por el RGPD.
Medidas de seguridad
Los grupos de organizadores deben aplicar medidas de seguridad técnicas y organizativas para proteger las declaraciones, en particular contra la destrucción, pérdida o alteración accidental o ilícita, comunicación o acceso no autorizados, teniendo en cuenta los riesgos para los firmantes.
Deben consistir, al menos, en lo siguiente:
- Garantizar la seguridad física de los formularios de declaración en papel cuando se almacenen (preferiblemente cerrados en cajas fuertes).
- Presentar los formularios recogidos en papel a las autoridades de validación y certificación del Estado miembro de forma segura, por ejemplo, por correo certificado, mediante un transportista de confianza o utilizando el servicio de intercambio de archivos de la Comisión.
NOTA: Acuerdos con los activistas de las campañas
Como la recogida de las declaraciones de apoyo en papel se suele hacer de manera descentralizada, por lo general son los activistas de las campañas, voluntarios o contratados, los que las recogen, y no los propios los organizadores de la iniciativa. Estos activistas deben considerarse encargados del tratamiento de datos y deben actuar sobre la base de un acuerdo escrito con el representante.
Un acuerdo con un «activista de la campaña» es, por lo tanto, un acuerdo entre un responsable y un encargado del tratamiento de datos en el sentido del artículo 28 del RGPD y debe abarcar los aspectos enumerados en dicho artículo.
A título indicativo, un acuerdo de este tipo en este contexto podría incluir:
- Autorización del representante para que un activista de la campaña recoja en su nombre declaraciones de apoyo (y direcciones de correo electrónico de los firmantes) para una determinada iniciativa
- Instrucciones del representante sobre cómo atender a las posibles consultas y peticiones de los firmantes relacionadas con la protección de datos
- Compromiso del activista de la campaña de respetar la política de protección de datos de los organizadores y, en particular:
- recoger declaraciones de apoyo (y direcciones de correo electrónico de los firmantes) únicamente de acuerdo con las instrucciones de los organizadores y únicamente a través de los formularios que les comuniquen estos organizadores
- abstenerse de recoger otros datos
- informar a los firmantes del contenido de la iniciativa y de sus derechos de conformidad con la declaración de confidencialidad
- informar a los firmantes de que facilitar direcciones de correo electrónico es solo opcional y no condiciona sus derechos para apoyar la iniciativa
- almacenar las declaraciones de apoyo recogidas (y las direcciones de correo electrónico) en un lugar seguro hasta su transmisión a los organizadores de la iniciativa
- transferir las declaraciones de apoyo recogidas y las direcciones de correo electrónico de manera segura, por ejemplo, por correo certificado o por servicio de mensajería y únicamente a los organizadores de la iniciativa.
- Confirmación por parte de los activistas de la campaña de que:
- han leído y comprendido lo dispuesto en la declaración de confidencialidaddefinida en el anexo III del Reglamento sobre la iniciativa ciudadana europea y están familiarizados con el contenido de la iniciativa, así como con los medios que los organizadores utilizan para comunicarla (sitio web y otros documentos o información relevantes)
- son conscientes de su responsabilidad en relación con los datos recogidos.
Referencias:
- Artículos 28 y 32 del RGPD.