RGPD, Data Protection Officer

Diez preguntas de muestra del examen

Una de cada dominio de competencia, tal como salen en el simulador.

1. Reglamentación general de protección de datos

   Una empresa con sede en Singapur explota un sitio de comercio electrónico en español que entrega regularmente a clientes residentes en España y Bélgica. ¿Está esta empresa sujeta al RGPD?

   1. No, porque su domicilio social está fuera de la Unión Europea y no tiene ningún establecimiento en la UE
   2. Sí, debido a la oferta de bienes o servicios a personas situadas en la UE, indicios de orientación
   3. Únicamente si su volumen de negocios en la UE supera los 10 millones de euros anuales
   4. Únicamente para las transacciones efectuadas con tarjeta bancaria emitida por un banco europeo

2. Medidas técnicas y organizativas para la seguridad

   Un equipo de marketing desea recoger, al inscribirse a un programa de fidelización, el nombre, la dirección de correo electrónico, la fecha de nacimiento, la dirección postal, el número de teléfono, la profesión, los ingresos y las aficiones de los clientes. ¿Qué principio del RGPD se pone principalmente en entredicho si algunos de estos campos no están justificados por los fines declarados del programa?

   1. El principio de licitud (art. 5.1.a)
   2. El principio de minimización (art. 5.1.c)
   3. El principio de exactitud (art. 5.1.d)
   4. El principio de integridad y confidencialidad (art. 5.1.f)

3. Responsabilidad proactiva

   El principio de responsabilidad proactiva (accountability) consagrado por el artículo 5.2 del RGPD impone al responsable del tratamiento poder demostrar el cumplimiento de los principios enunciados en el artículo 5.1. De las siguientes prácticas, ¿cuál es la menos eficaz para demostrar la responsabilidad proactiva?

   1. Mantener un registro de las actividades de tratamiento detallado y actualizado (art. 30)
   2. Apoyarse en compromisos verbales y en un clima de confianza interno, por virtuoso que sea
   3. Documentar las evaluaciones de impacto (EIPD) y los análisis de bases jurídicas
   4. Establecer procedimientos escritos de gestión de los derechos y de notificación de violaciones

4. Reglamentación general de protección de datos

   De los siguientes tratamientos, ¿cuál está excluido del ámbito de aplicación material del RGPD según el artículo 2?

   1. El tratamiento de datos personales por una pyme española para la gestión de sus clientes
   2. El tratamiento efectuado por una autoridad pública en el ejercicio de sus misiones de servicio público
   3. El tratamiento de datos por una asociación sin ánimo de lucro para gestionar a sus socios
   4. El tratamiento efectuado por una persona física exclusivamente en el marco de actividades estrictamente personales o domésticas

5. Medidas técnicas y organizativas para la seguridad

   Una organización conserva copias de seguridad completas de sus bases de clientes durante 3 años por razones técnicas de restauración. ¿Cómo regula el RGPD esta práctica?

   1. Toda conservación más allá de los plazos de uso activo del tratamiento principal está estrictamente prohibida por el principio de limitación del art. 5.1.e
   2. Las copias de seguridad están excluidas del ámbito de aplicación del RGPD porque responden únicamente a una finalidad técnica de continuidad de la actividad
   3. Los plazos deben ser proporcionados a la finalidad de continuidad técnica y estar documentados
   4. Las copias de seguridad pueden conservarse indefinidamente siempre que estén cifradas con un algoritmo robusto y almacenadas fuera de línea

6. Responsabilidad proactiva

   Una persona dirige a un responsable del tratamiento una solicitud de acceso en virtud del artículo 15 del RGPD. ¿En qué plazo y con qué condiciones debe responder el responsable?

   1. En un plazo de 72 horas desde la recepción de la solicitud, al igual que la notificación de una violación de datos
   2. En un plazo de un mes, prorrogable dos meses como máximo en caso de complejidad o de un número elevado de solicitudes
   3. En un plazo de 30 días estrictamente, sin ninguna posibilidad de prórroga, con independencia de la complejidad de la solicitud
   4. Sin plazo impuesto por el RGPD, siempre que la respuesta del responsable del tratamiento se produzca antes de que finalice el año natural en curso

7. Reglamentación general de protección de datos

   Una sociedad estadounidense sin establecimiento en la UE trata los datos de sus propios empleados estadounidenses, algunos de los cuales realizan misiones puntuales de unos días en España. ¿Se aplica el RGPD a este tratamiento de recursos humanos?

   1. No, porque el tratamiento de recursos humanos no tiene por objeto ofrecer bienes o servicios a personas en la UE
   2. Sí, en cuanto un empleado pone un pie en el territorio de la UE, la totalidad del tratamiento de recursos humanos pasa a regirse por el RGPD
   3. Sí, pero únicamente para los datos recogidos físicamente durante la presencia del empleado en el territorio europeo
   4. El RGPD solo se aplica si la empresa dispone de un representante designado en la UE en el sentido del artículo 27

8. Medidas técnicas y organizativas para la seguridad

   Según el artículo 4.5 del RGPD, ¿qué es la seudonimización y cuál es su régimen jurídico?

   1. Una técnica de transformación que vuelve los datos totalmente anónimos y los hace salir definitivamente del ámbito de aplicación del RGPD
   2. Un simple cambio de nombre de variable o de columna en una base de datos, sin ninguna otra medida técnica asociada
   3. Un tratamiento que impide la atribución sin información adicional conservada por separado con medidas técnicas y organizativas (art. 4.5)
   4. Una medida obligatoria y sistemática para todos los tratamientos automatizados que impliquen datos personales

9. Responsabilidad proactiva

   El artículo 22 del RGPD regula el derecho del interesado a no ser objeto de una decisión basada únicamente en un tratamiento automatizado. ¿En qué casos se aplica esta protección?

   1. A cualquier decisión automatizada, sea cual sea su naturaleza, sus consecuencias o el grado de intervención humana
   2. A cualquier decisión que implique un algoritmo, incluso cuando un operador humano valida manualmente el resultado antes de su ejecución
   3. A las decisiones basadas únicamente en el tratamiento automatizado (incluida la elaboración de perfiles) que producen efectos jurídicos o afectan significativamente a la persona (art. 22.1)
   4. Únicamente a las decisiones adoptadas por autoridades públicas en el ejercicio de sus funciones de servicio público

10. Reglamentación general de protección de datos

    Según el artículo 4.1 del RGPD, ¿cuál de los siguientes elementos NO constituye, por sí mismo y fuera de contexto, un dato personal?

    1. Una dirección IP estática atribuida a un abonado particular de un proveedor de acceso a Internet
    2. Un número de matrícula de vehículo vinculado al Registro de Vehículos de la DGT
    3. El volumen de negocios anual agregado de una empresa comercial, sin referencia a una persona física
    4. Una fotografía del rostro de un empleado almacenada en una base de recursos humanos junto con su nombre y su número de identificación

Responda estas mismas diez preguntas en el simulador y vea la explicación de cada opción, también de las incorrectas. Se abre sin registro →

Sobre el examen oficial: el formato, la duración y el número de preguntas los fija el organismo que certifica y pueden cambiar, así que conviene confirmarlos en su documentación antes de presentarse. Este material entrena la norma, no el examen de un organismo concreto, de modo que sirve igual si se certifica con otro.