En menos de un año será plenamente aplicable y exigible el Reglamento General de Protección de Datos (RGPD), siendo que, a partir del 25 de mayo de 2018, todas las empresas españolas (y europeas por extensión) deberán cumplir con las obligaciones que impone el nuevo Reglamento.
Sin querer ser alarmistas, si la mayoría de las empresas no se han puesto manos a la obras, es muy probable que ya lleguen tarde a la fecha de aplicación del nuevo Reglamento europeo. Esto supone exponerse a graves sanciones por falta de previsión y no haber hecho los deberes a tiempo.
Al tratarse de un Reglamento no necesita ser traspuesto por una ley nacional, ya que es de aplicación directa en nuestro ordenamiento jurídico. Por lo que ahora mismo contamos con apenas diez meses para examinar y adecuar en lo necesario los tratamientos de datos que estemos llevando a cabo en nuestras empresas, así como los protocolos implementados en materia de protección de datos personales.
Los cambios introducidos por el RGPD son muy considerables, especialmente para empresas u y organizaciones de gran tamaño o con un considerable volumen de tratamiento de datos. Por lo que, especialmente para estas entidades, su adaptación al RGPD puede ser laboriosa, requiriendo largos meses de trabajo.
Pero, ¿Cuáles son estas nuevas exigencias del RGPD? Pues bien, intentaremos destacar las más relevantes, a pesar de que en algunos preceptos el RGPD no es muy clarividente y, en nuestra opinión, se excede con la terminología jurídica indeterminada.
De entrada debemos recordar que, en todo aquello no previsto por el Reglamento, así como en aquellas cuestiones en que éste deja alternativas, será de aplicación la normativa nacional de cada Estado miembro. Por lo que, en nuestro caso no debemos perder de vista la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, ni su Reglamento de desarrollo.
Aunque debemos decir que en España, se ha iniciado un proceso de reforma de la LO 15/1999 para adaptarla, evitando así las inevitables contradicciones con el RGPD e introducir determinadas mejoras en la normativa general y, en su caso, en la normativa sectorial sobre protección de datos.
Pero ¿cuales son las novedades del nuevo Reglamento europeo?
1º.- Petición de consentimiento: La obligación del deber de informar a los usuarios y clientes se amplía, por lo que se obliga a que el consentimiento del usuario sea siempre explícito, exigiendose una declaración o acción afirmativa.
2º.- Delegado de Protección de Datos: Se crea la figura del Delegado de Protección de Datos o Data Protection Officier (DPO), de gran importancia y obligatorio para muchas de las empresas. Su función es la de garantizar el cumplimiento, notificar las violaciones de seguridad y tramitar las autorizaciones que sean necesarias. El DPO será obligatorio para los organismos públicos y para aquellas empresas que traten datos personales a gran escala. Podrá formar parte de la plantilla o ser un trabajador externo.
3º.- Ampliación del ámbito de aplicación: El RGPD se aplica a los responsables que se dirijan y traten datos de ciudadanos europeos, independientemente del lugar donde radique su negocio. Por lo que, es aplicable a aquellos responsables que no están en la Unión Europea, pero que ofrecen productos o servicios dentro de ella.
4º.- Las empresas responsables deben determinar, desde el primer momento, que medidas de seguridad se deben aplicar para el tratamiento de los datos de carácter personal que van a realizar.
5º.- Declaración de impacto sobre Protección de Datos: El RGPD requiere la realización de evaluaciones o declaraciones de impacto, especialmente cuando se vayan a tratar datos sensibles, debiendo hacer esta evaluación antes de poder iniciar el tratamiento de los datos personales.
6º.- Notificación de fuga de datos: los responsables de los datos observen una violación de seguridad deberán ponerlo en conocimiento de la Autoridad competente dentro de un plazo de 72 horas. Así pues, la empresa responsable deberá inculparse a sí misma y informar de que se ha producido una brecha de seguridad en la propia empresa. En el caso de que haya perjuicio significativo para los ciudadanos, éstos deben ser también notificados.
7º.- Mayores sanciones: El régimen sancionador es mucho más duro, especialmente para aquellas empresas con mayor facturación. Éste afectará tanto a los responsables como a los encargados de protección de datos. Las multas pueden alcanzar hasta los 20 millones de euros o el 4% del volumen de negocios total anual del ejercicio financiero anterior.
8º.- Ventanilla única: Si una empresa tiene sede en varios países miembros de la Unión Europea, ésta responderá ante la autoridad de protección de datos del país en el que tenga su sede principal. Esta autoridad de protección de datos nacional actuará como ventanilla única para todas aquellas actividades que la empresa desempeñe en los distintos países.
9º.- Protección de la infancia: Se requerirá el consentimiento de los padres para recoger, procesar o almacenar datos de menores de 16 años. En este caso se deja abierta la puerta a que una ley nacional decida rebajar esta edad como máximo hasta los 13 años.
10º.- Datos de especial protección: Se endurecen las medidas aplicadas a datos que requieren especial protección. Estos incluyen: datos sanitarios, biométricos, genéticos, raciales e ideológicos.
11º.- Derecho de portabilidad: Aquellas empresas u organizaciones que custodien datos de manera automatizada deberán proporcionar a los ciudadanos interesados una copia de estos datos en formato electrónico para facilitar la portabilidad. Cuando sea posible, el ciudadano podrá solicitar que la misma empresa transfiera los datos a otro responsable directamente.
En cualquier caso, el nuevo Reglamento nos brinda una magnifica oportunidad para dotar a nuestras empresas de unos mecanismos más sólidos, más idóneos y más respetuosos con los ciudadanos que aportan algo tan preciado para la sociedad tecnológica como es la información.