Este año la cita ha estado marcada por la aplicación en toda Europa del nuevo Reglamento General de Protección de Datos (GDPR, por sus siglas en inglés de General Data Protection Regulation). Esta nueva normativa, que entró en vigor en 2016 pero que no se ha aplicado hasta ahora, empezará a imponerse sin excepciones a partir del 25 de mayo, fecha en el que todas las empresas que trabajan en la UE, nacionales y extranjeras, que tengan información de ciudadanos europeos, deberán aplicarla o podrán enfrentarse a multas de hasta 20 millones de euros o del 4% de su volumen de negocios global anual.
Pero, ¿en qué consiste el nuevo Reglamento General de Protección de Datos de la UE?
Primero de todo es importante recordar que el nuevo Reglamento está por encima de la Ley Orgánica de Protección de Datos (LOPD) de vigencia en nuestro país por lo que, en caso de contradicción, prevalecerá siempre la normativa europea. En el caso de España, la LOPD deberá adaptarse al nuevo marco normativo europeo y actualmente el proyecto de ley está en fase de tramitación parlamentaria.
Según la “Guía del Reglamento General de Protección de Datos para responsables de tratamiento” editada por la Agencia Española de Protección de Datos, el nuevo reglamento “requiere que las organizaciones analicen qué datos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo”. Posteriormente, las empresas deben “determinar de forma explícita la forma en que aplicarán las medidas que el RGPD prevé” y asegurarse de que “esas medidas son las adecuadas para cumplir con el mismo”. En resumen, se trata de que las compañías muestren una actitud, responsable, consciente y proactiva frente a todos los tratamientos de datos personales que lleven a cabo.
Los cambios que trae consigo el nuevo reglamento son complejos. No obstante, en este artículo trataremos de desgranar algunos de los más destacados:
Uno de los cambios más significativos es que, a partir del mes de mayo, el ciudadano debe expresar por escrito su consentimiento “inequívoco y verificable” para el uso de datos de carácter personal por parte de las empresas. Tal como indica la Guía de la AEPD, “a diferencia de lo que indica la LOPD, no se admiten formas de consentimiento tácito o por omisión, ya que se basan en la inacción”. Además, el nuevo Reglamento exige que la información que se facilite a los interesados deberá “proporcionarse de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo” evitando emplear fórmulas farragosas de consentimiento o que remitan a textos legales.
Otro de las novedades más importantes es que las empresas se verán obligadas a informar a usuarios afectados y autoridades de control (en el caso de España, la Agencia Española de Protección de Datos) cuando hayan sufrido alguna brecha o problema de seguridad.
Por otro lado, el nuevo Reglamento introduce nuevas herramientas que ayudan a los ciudadanos a tener mayor capacidad de decisión y control sobre los datos que facilitan a terceros. Por ejemplo, uno de los elementos introducidos más relevantes es el llamado “derecho al olvido”, cuyo origen se remonta a 2014 tras una sentencia pionera del Tribunal de Justicia de la Unión Europea contra Google España. Gracias al reconocimiento de este derecho, el ciudadano puede exigir que sus datos personales sean eliminados cuando éstos ya no sean necesarios para el fin para el que fueron recabados, cuando se hayan obtenido de forma ilegal, o cuando se revoque el consentimiento.
Como puede ver, son muchos los cambios que introduce el nuevo Reglamento, aunque en este artículo sólo hemos expuesto algunos de los más significativos. Cabe recordar que el incumplimiento de la nueva normativa conlleva sanciones más severas y un mayor control sobre las organizaciones, por lo que es necesario que tu empresa esté preparada para la aplicación del Reglamento a partir del próximo mes de mayo.
Desde Everial garantizamos que nuestros procesos y servicios cumplen con la legislación y normativas vigentes.