En 2016 el Parlamento Europeo aprueba el Reglamento General de Protección de Datos (RGPD), cuya entrada en vigor está prevista para el 25 de mayo de 2018.
Seguirá vigente la actual normativa Española vigente (en lo no regulado por este), a saber:
– Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
– Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal).
Este reglamento será directamente aplicable en España, sin necesidad de trasposición, y por tanto obligatorio para todas las empresas, llevando a las mismas a la obligación de afrontar un importante y complicado proceso jurídico – técnico de readaptación de sus procesos y protocolos a la nueva normativa.
El Reglamento trae nuevas obligaciones, derechos y garantías tanto para empresas como para ciudadanos en general, las cuales analizamos a continuación.
- OBLIGACIÓN DE DESIGNAR UN DELEGADO DE PROTECCIÓN DE DATOS.
Como gran novedad, dicho reglamento impone la obligación por parte de las empresas/entidades tanto públicas como privadas de designar un Delegado de Protección de datos (DPO) desde su constitución, pudiendo ser este externo a la propia empresa, con el fin de asistirlas en el proceso de adaptación y cumplimiento de la compleja e imperativa normativa de protección de datos.
El reglamento introduce, también, la obligación de realizar evaluaciones de impacto continuas sobre la privacidad para determinar los riesgos específicos que supone tratar ciertos datos de carácter personal y de este modo, prever medidas para mitigar o eliminar dichos riesgos.
1.1. ¿QUE ES UN DELEGADO DE PROTECCIÓN DE DATOS?
Es el garante de la adaptación y cumplimiento de la normativa de protección de datos en las distintas entidades/empresas.
Las funciones del DPO serán, entre otras:
- Informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones.
- Supervisar el cumplimiento de lo dispuesto en el Reglamento, de otras disposiciones y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;
- Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación;
- Cooperar con la autoridad de control;
- Actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto.
1.2. ¿QUE EMPRESAS ESTÁN OBLIGADAS A TENER UN DELEGADO DE PROTECCIÓN DE DATOS?
- Empresas o entidades cuya actividad tenga como elemento necesario el tratar con datos personales (tales como publicidad, programas fidelización, ‘mailing’, estudio de consumidores etc.).
- Empresas o entidades que procesen categorías especiales de datos personales. Es decir, aquellos datos que revelen afiliación sindical, salud, ideología, raza, sexo, datos penales, infracciones
- Proveedores de servicios que accedan a datos personales (encargados del tratamiento).
¡OJO!, en general todas las empresas quedan obligadas pese a la impresión preliminar que pudiera erróneamente desprenderse de una primera lectura de la norma.
1.3. PROTOCOLO Y MEDIDAS A ADOPTAR.
- Designación de un Responsable, Delegado de Protección de datos y oficial de cumplimiento normativo.
- Identificación de los datos y los ficheros que son utilizados.
- Determinación del nivel de seguridad necesario de los datos objeto de tratamiento y creación de un protocolo que recoja un sistema de tratamiento, almacenamiento, vigilancia y gestión de los mismos.
- Creación de un Protocolo de ‘Corporate Compliance’.
- Elaboración de un Manual Data completo (medidas, obligaciones y actuaciones necesarias para garantizar la seguridad de los datos y su rigurosa protección) con instrucciones claras, canales de denuncias, canales de comunicación, plazos de conservación, modelos de petición de consentimiento, personas autorizadas etc.
- Creación de un protocolo de reacción a seguir en caso de incumplimiento de la normativa con canales de comunicación inmediatos.
- Creación de códigos éticos.
- Formación continua del personal, responsables y alta dirección de la entidad/empresa.
- Auditorías anuales de manuales, códigos y protocolos para adaptarlos a posibles modificaciones de la normativa Estatal y Europea.
- Revisión continúa de Contratos y clausulas en materia de protección de datos.
1.4. ¿QUÉ CONSECUENCIAS TIENE NO CUMPLIR CON EL REGLAMENTO?
Las sanciones, en caso de incumplir o no adaptarse al nuevo RGPD mediante brechas de seguridad no comunicadas en plazo, fugas de datos, falta de consentimiento, cesión datos no consentida, omisión o gestión inadecuada de derechos ARCO etc., pueden suponer desde el 4% del volumen anual de facturación de la empresa/entidad hasta los 20 Millones de Euros más las consecuencias penales, administrativas, societarias y los daños y perjuicios que se deriven en su caso.
En España, las sanciones no solo se aplican a la persona jurídica como entidad/empresa, sino que también se concreta en representantes, administradores de hecho o de derecho, directivos, responsables, personas autorizadas o, en definitiva, personas que tengan acceso a los datos.
Estas personas físicas serán individualmente imputadas y/o sancionadas de no tener implantado un adecuado protocolo y de no adoptar las medidas necesarias, señalando el código penal concretamente en ciertos delitos que las penas se impondrán no solo por la participación en el delito, sino por la falta de implementación de los programas de prevención a que estaban obligados.
- MODIFICACIONES Y NOVEDADES MÁS RELEVANTES.
- Desaparece la obligación de inscribir los ficheros (si bien es recomendable) y se sustituye por un control interno y en ocasiones por un inventario de operaciones de tratamiento de datos que se realicen.
- Las empresas multinacionales, grupos de empresas, entidades de integración, sucursales etc., tendrán como interlocutora a una sola autoridad de control nacional, la del establecimiento principal de la entidad. De esta forma se establece, lo que se conoce como Ventanilla única (‘One stop shop’).
- Las brechas de seguridad, fugas de datos, incidentes de privacidad y derivados, deberán ser comunicadas a las autoridades de control, y en casos graves, a los afectados, tan pronto sean conocidas, estableciéndose el plazo máximo de 72 horas.
- Se amplían los datos especialmente protegidos, incluyendo actualmente los datos biomédicos, genéticos, los relativos a las infracciones y a las condenas judiciales.
- Los requisitos que debe cumplir el encargado de tratamiento de los datos de la empresa se endurecen, debiendo elegir a la persona que aporte unas garantías mínimas y suficientes de conocimiento y posibilidad de hacer cumplir la normativa.
- Se aumentan y vuelven más estrictas las garantías y mecanismos de seguimiento en relación con las transferencias internacionales de datos fuera de la Unión Europea.
- Se prevé la creación de certificaciones y sellos de cumplimiento que permitan acreditar el conocimiento y la responsabilidad de las entidades/empresas de protección de datos.
- Se hace mucho más hincapié en la obligación de proporcionar información de un modo inteligible, completo y sencillo, por parte de las empresas a los usuarios y de este modo favorecer la toma de decisión por parte de los mismos, teniendo especial consideración con los menores de edad.
- El consentimiento requerido para el tratamiento de los datos de carácter personal ha de ser inequívoco, libre y revocable, dándose mediante un acto afirmativo claro, no admitiéndose (como hasta ahora en ciertos casos) el consentimiento tácito.
- Se incluye el Derecho al olvido, pudiendo actualmente el usuario, mediante este derecho, exigir la supresión y eliminación de los datos en redes sociales o buscadores de internet.
- Los derechos de los usuarios (conocidos hasta ahora como ARCO) quedan modificados y aumentados, dando lugar a la existencia de los siguientes: derechos de Transparencia, Información, Acceso, Rectificación, Supresión o derecho al olvido, Limitación del tratamiento, Portabilidad de datos y Oposición.
- Se incluye la posibilidad de transferir datos personales del usuario de un proveedor de servicios en internet con otros. Conocido coloquialmente como Portabilidad de los datos.
- Las denuncias se podrán presentar a través de asociaciones de usuarios y consumidores.
- Se reconoce la posibilidad de exigir indemnizaciones por daños y perjuicios derivados del tratamiento ilícito de los datos personales (incluidos los daños morales).
- ¿CÓMO ACTUAR CORRECTAMENTE?
El proceso de readaptación al RGPD no es nada fácil ni a nivel jurídico ni a nivel técnico, por lo que será importante para las empresas contar con asesoramiento jurídico especializado que ofrezca las garantías suficientes.
Le Quid, a través de un cualificado equipo de profesionales especialistas en la materia y certificados a nivel nacional e internacional, puede ayudarte estableciendo manuales y procesos de control efectivo y eficaz, añadiendo con ello seguridad y un gran valor añadido a su marca.
Jose María Dutilh / Isaac Guijarro.
Jose María Dutilh
