Dado un texto de referencia sobre el GDPR, dime cómo ayuda el GDPR a proteger los datos personales.
The General Data Protection Regulation (2016/679, "GDPR") is a Regulation in EU law on data protection and privacy in the EU and the European Economic Area (EEA). The GDPR is an important component of EU privacy law and of human rights law, in particular Article 8(1) of the Charter of Fundamental Rights of the European Union. It also addresses the transfer of personal data outside the EU and EEA areas. The GDPR's primary aim is to enhance individuals' control and rights over their personal data and to simplify the regulatory environment for international business. Superseding the Data Protection Directive 95/46/EC, the regulation contains provisions and requirements related to the processing of personal data of individuals, formally called "data subjects", who are located in the EEA, and applies to any enterprise—regardless of its location and the data subjects' citizenship or residence—that is processing the personal information of individuals inside the EEA.
The GDPR was adopted on 14 April 2016 and became enforceable beginning 25 May 2018. As the GDPR is a regulation, not a directive, it is directly binding and applicable, and provides flexibility for certain aspects of the regulation to be adjusted by individual member states.

According to the European Commission, "Personal data is information that relates to an identified or identifiable individual. If you cannot directly identify an individual from that information, then you need to consider whether the individual is still identifiable. You should take into account the information you are processing together with all the means reasonably likely to be used by either you or any other person to identify that individual." The precise definitions of terms such as "personal data", "processing", "data subject", "controller", and "processor" are stated in Article 4 of the Regulation. 

Principles
Personal data may not be processed unless there is at least one legal basis to do so. Article 6 states the lawful purposes are:

(a) If the data subject has given consent to the processing of his or her personal data;
(b) To fulfill contractual obligations with a data subject, or for tasks at the request of a data subject who is in the process of entering into a contract;
(c) To comply with a data controller's legal obligations;
(d) To protect the vital interests of a data subject or another individual;
(e) To perform a task in the public interest or in official authority;
(f) For the legitimate interests of a data controller or a third party, unless these interests are overridden by interests of the data subject or her or his rights according to the Charter of Fundamental Rights (especially in the case of children).

Security of personal data
Controllers and processors of personal data must put in place appropriate technical and organizational measures to implement the data protection principles. Business processes that handle personal data must be designed and built with consideration of the principles and provide safeguards to protect data (for example, using pseudonymization or full anonymization where appropriate). Data controllers must design information systems with privacy in mind. For instance, using the highest-possible privacy settings by default, so that the datasets are not publicly available by default and cannot be used to identify a subject. No personal data may be processed unless this processing is done under one of the six lawful bases specified by the regulation (consent, contract, public task, vital interest, legitimate interest or legal requirement). When the processing is based on consent the data subject has the right to revoke it at any time.

Article 33 states the data controller is under a legal obligation to notify the supervisory authority without undue delay unless the breach is unlikely to result in a risk to the rights and freedoms of the individuals. There is a maximum of 72 hours after becoming aware of the data breach to make the report. Individuals have to be notified if a high risk of an adverse impact is determined (Article 34). In addition, the data processor will have to notify the controller without undue delay after becoming aware of a personal data breach (Article 33). However, the notice to data subjects is not required if the data controller has implemented appropriate technical and organisational protection measures that render the personal data unintelligible to any person who is not authorised to access it, such as encryption (Article 34).

Data protection officer

Article 37 requires appointment of a data protection officer. If processing is carried out by a public authority (except for courts or independent judicial authorities when acting in their judicial capacity), or if processing operations involve regular and systematic monitoring of data subjects on a large scale, or if processing on a large scale of special categories of data and personal data relating to criminal convictions and offences (Articles 9 and Article 10) a data protection officer (DPO)—a person with expert knowledge of data protection law and practices—must be designated to assist the controller or processor in monitoring their internal compliance with the Regulation.

A designated DPO can be a current member of staff of a controller or processor, or the role can be outsourced to an external person or agency through a service contract. In any case, the processing body must make sure that there is no conflict of interest in other roles or interests that a DPO may hold. The contact details for the DPO must be published by the processing organisation (for example, in a privacy notice) and registered with the supervisory authority.

The DPO is similar to a compliance officer and is also expected to be proficient at managing IT processes, data security (including dealing with cyberattacks) and other critical business continuity issues associated with the holding and processing of personal and sensitive data. The skill set required stretches beyond understanding legal compliance with data protection laws and regulations. The DPO must maintain a living data inventory of all data collected and stored on behalf of the organization. More details on the function and the role of data protection officer were given on 13 December 2016 (revised 5 April 2017) in a guideline document.

Organisations based outside the EU must also appoint an EU-based person as a representative and point of contact for their GDPR obligations (Article 27). This is a distinct role from a DPO, although there is overlap in responsibilities that suggest that this role can also be held by the designated DPO.
El Reglamento General de Protección de Datos proporciona directrices sobre el almacenamiento y tratamiento de datos personales. Los datos personales son cualquier información sobre una persona identificada o identificable, también conocida como el interesado. Los datos personales incluyen información como su:

nombre
dirección
número de DNI/pasaporte
ingresos
perfil cultural
dirección del Protocolo de Internet (IP)
datos en poder de un hospital o de un médico (que identifican de forma única a una persona con fines sanitarios).

Categorías especiales de datos
No puedes tratar los datos personales de una persona:

origen racial o étnico
orientación sexual
opiniones políticas
creencias religiosas o filosóficas
afiliación sindical
datos genéticos, biométricos o de salud, excepto en casos específicos (por ejemplo, cuando se te ha dado consentimiento explícito o cuando el tratamiento es necesario por razones de interés público sustancial, sobre la base de la legislación nacional o de la UE)
datos personales relacionados con condenas e infracciones penales, salvo que lo autorice la legislación nacional o de la UE.

¿Quién procesa los datos personales?
Durante el tratamiento, los datos personales pueden pasar por varias empresas u organizaciones diferentes. Dentro de este ciclo hay dos perfiles principales que se ocupan del tratamiento de los datos personales:

El responsable del tratamiento - decide la finalidad y el modo en que se procesan los datos personales.
El encargado del tratamiento: conserva y trata los datos en nombre del responsable del tratamiento.
¿Quién supervisa cómo se procesan los datos personales en una empresa?
El Responsable de Protección de Datos (RPD), que puede haber sido designado por la empresa, es responsable de supervisar cómo se procesan los datos personales y de informar y asesorar a los empleados que procesan datos personales sobre sus obligaciones. El RPD también coopera con la Autoridad de Protección de Datos (APD), sirviendo de punto de contacto ante la APD y los particulares.

Tratamiento de datos para otra empresa
Un responsable del tratamiento sólo puede recurrir a un encargado del tratamiento que ofrezca garantías suficientes, que deben incluirse en un contrato escrito entre las partes implicadas. El contrato también debe contener una serie de cláusulas obligatorias, por ejemplo, que el encargado del tratamiento sólo tratará los datos personales cuando así se lo ordene el responsable del tratamiento.

Transferencia de datos fuera de la UE
Cuando se transfieren datos personales fuera de la UE, la protección que ofrece el RGPD debe viajar con los datos. Esto significa que si exportas datos al extranjero, tu empresa debe garantizar el cumplimiento de una de las siguientes medidas:

La UE considera adecuadas las protecciones del país no perteneciente a la UE.
Tu empresa toma las medidas necesarias para proporcionar las garantías adecuadas, como incluir cláusulas específicas en el contrato acordado con el importador no europeo de los datos personales.
Tu empresa se basa en motivos específicos para la transferencia (excepciones), como el consentimiento de la persona.
¿Cuándo está permitido el tratamiento de datos?
Las normas de protección de datos de la UE implican que debes tratar los datos de manera justa y lícita, con un fin determinado y legítimo, y sólo tratar los datos necesarios para cumplir este fin. Debes asegurarte de que cumples una de las siguientes condiciones para procesar los datos personales; tú:

has recibido el consentimiento de la persona interesada
necesitas los datos personales para cumplir una obligación contractual con el individuo
necesitas los datos personales para cumplir una obligación legal
necesitas los datos personales para proteger los intereses vitales del individuo
tratas datos personales para llevar a cabo una tarea en interés del público
actúas en interés legítimo de tu empresa, siempre que no se vean gravemente afectados los derechos y libertades fundamentales de la persona cuyos datos se tratan. Si los derechos de la persona prevalecen sobre los intereses de tu empresa, entonces no puedes tratar los datos personales.


Aceptar el tratamiento de datos - consentimiento
Derecho de acceso y derecho a la portabilidad de los datos
Derecho de rectificación y derecho de oposición
Derecho de supresión (derecho al olvido)
Toma de decisiones y elaboración de perfiles automatizados
Violación de datos: notificación adecuada
Respuesta a las solicitudes
Evaluaciones de impacto
Mantener un registro