La nueva normativa sobre protección de datos es la gran novedad. Los principales cambios se van a producir a nivel empresarial. Sin embargo, sigue siendo también una gran desconocida. Muchas personas se están preguntando cuáles son los efectos que van a tener en sus datos. Por ello, te contamos todas las implicaciones a continuación.

La entrada en vigor del nuevo Reglamento General de Protección de Datos (RGPD) ha sido el pasado 25 de mayo de 2018. En primer lugar, te vamos a explicar los grandes cambios y las implicaciones que esta normativa va a generar en el día a día de las empresas y más adelante, en las personas físicas.

Cómo pueden aplicar el nuevo RGPD las empresas

Cuál es su regulación

La reciente normativa regula todo lo que tiene relación con los datos personales de las personas físicas en el ámbito de la Unión Europea. Esto implica que su fin primordial es el control de los datos personales de este tipo de portadores. Es ahora cuando tus datos están más protegidos que nunca.

La extensión de su ámbito de aplicación

No obstante, no solo van a tratar los datos de las empresas que manejan información personal dentro del continente Europeo. También, se verán afectados aquellos que se traten fuera de los Estados Miembros de la Unión Europea. Con la condición, eso sí, de que los datos afecten a personas físicas que se encuentran dentro de este ámbito espacial.

En el caso de nuestro país, es el Reglamento General de Protección de Datos el que va a sustituir a partir de ahora la actual Ley Orgánica de Protección de datos (LOPD). La cual, ha seguido vigente hasta hace muy poco. Es decir, hasta el mismo día en el que ha entrado en vigor el nuevo reglamento europeo.

Cuáles son las sanciones que se aplican a las empresas por incumplimiento del RGPD

La protección de tus datos personales es un derecho fundamental que se ampara en el artículo 18 de nuestra Carta Magna. Por ello, en caso de que creas que se ha infringido dicha protección, puedes denunciar ante la propia Agencia Estatal de Protección de Datos (AEPD).

Uno de los elementos más importantes que debes tener en cuenta con el nuevo Reglamento General de Protección de Datos en caso de que tengas una empresa son las sanciones.

Esto se debe a que si las empresas no cumplan con el RGPD, pueden sufrir estas consecuencias, que no tienen mínimo y sin embargo, pueden alcanzar un 4 % del volumen total de negocio o bien, 20 millones de euros. Depende de cuál sea mayor.

En la antigua Ley Orgánica de Protección de Datos las sanciones tenían un mínimo de 900 € y un máximo de 600.000 €. Por tanto, con este cambio de tanta magnitud, las empresas han empezado a realmente preocuparse sobre el nuevo RGPD.

¿Cómo pueden prepararse las empresas para hacer frente al RGPD?

En primer lugar, debes conocer cuál es la categoría de empresa a la que perteneces según la clasificación del nuevo Reglamento General de Protección de Datos. También, cuál es el tipo de datos que tratas, pues pueden ser muy sensibles si se tratan, por ejemplo, de salud.

Principios que debes tener en cuenta proteger como empresa

El primero de ellos es el de transparencia. Este es uno de los más importantes y lo recoge el RGPD en su artículo 12.1. El ámbito de protección es tratar de facilitar a tus clientes toda la información pertinente, así como que hagas las comunicaciones de una forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo.

El segundo de gran importancia que tienes que considerar es el principio de responsabilidad, también conocido como el de «accountability». Consiste en la asunción de las responsabilidades que tiene que recoger tu empresa para tratar los datos personales de tus clientes.

Lo introdujo la publicación de las Guías de la OCDE y su objetivo principal era que las empresas como la tuya pusieran en marcha procesos, así como medidas, que pudieran garantizar los principios y obligaciones que tienes para con las personas físicas. Deberás mostrarlas ante las autoridades competentes para demostrar que estás cumpliendo con la normativa pertinente.

Otras de las importantes medidas para la protección de datos es la llevada a cabo desde el diseño y por defecto («data protection by design» y «by default» respectivamente).

Si eres responsable del tratamiento de datos de personas físicas tienes que realizar medidas organizativas, políticas y técnicas. De este modo, cumplirás con los principios mencionados y podrás reducir el tratamiento, mientras aportas medidas de transparencia, prevención y mejora de todas las medidas de seguridad en tu empresa.

¿En qué consiste el Reglamento General de Protección de Datos de cara a las personas físicas?

Veamos a continuación que implica para ti el nuevo Reglamento General de Protección de Datos en caso de que seas una persona física.

Otros principios y derechos que protege y garantiza el RGDP

Lo primero que debes saber es que los datos que permitas deben ser utilizados por las empresas de forma limitada a lo estrictamente necesario para los objetivos que se estén tratando. Esto se conoce como el principio de limitación de la finalidad.

Además, se han mantenido los derechos ARCOS que ya se protegían en la antigua LOPD. Estos son los de acceso, rectificación, cancelación y oposición. A estos, con el nuevo RGPD se les ha añadido el derecho al olvido y el derecho a la portabilidad.

El derecho al olvido implica que puedes solicitar que toda tu información personal sea eliminada de los proveedores de servicios de internet cuando tú lo desees. Por otro lado, el derecho a la portabilidad implica que puedes pedir que tus datos se transmitan al responsable de una empresa a otro encargado.

El derecho a la portabilidad se la podrás llevar a cabo en cualquier momento que sea necesario. La única limitación debe ser la técnica.

La información que tienes que saber sobre la adquisición de tus datos

La Ley Orgánica de Protección de Datos ya establecía que cuando fueras a consentir a la proporción de tus datos personales, tenías que recibir una información previa determinada. Principalmente, esta consistía en quién era el responsable del fichero o encargado del tratamiento, así como el objetivo de la recogida de tu información.

A su vez, se te debía informar de la posibilidad de llevar a cabo el ejercicio de los derechos ARCO. Recordemos, los de acceso, rectificación, cancelación y oposición.

En la actualidad, además de todo lo anterior, también es obligatorio que se te informe del fundamento jurídico del tratamiento de tus datos, de cuál será el período de su conservación, y de la identidad del DPO (nueva figura que crea el RGPD, que corresponde al Delegado de Protección de Datos y solo es obligatorio en algunas empresas).

Del mismo modo, deberás saber en todo caso si va a haber o no una transferencia internacional de datos o las decisiones automatizadas. Al igual que el ejercicio de tu derecho a presentar reclamaciones.

Novedades sobre el consentimiento de datos personales

La LOPD ya establecía que tu consentimiento debía expresarse de forma inequívoca. Sin embargo, para el caso de los datos no sensibles (señalados ahora en el RGPD), se permitía que fuera tácito.

El RGPF prohíbe en todo caso el consentimiento tácito. Este deberá ser expreso, además de libre, informado, específico y basado en una acción positiva o en tu declaración. Es decir, no se podrá presumir como consentimiento válido el silencio o las casillas que ya vengan pre-marcadas, así como tampoco la inacción.

Si antes de la entrada en vigor del RGPD se obtuvo tu consentimiento de cesión de datos de manera tácita, te lo deberán volver a solicitar, de acuerdo con la reciente normativa.

Además, el reglamento europeo deja la libertad a los Estados Miembros de que sean estos quienes impongan la edad mínima para que se pueda considerar válido el consentimiento de un menor sin el permiso expreso de sus padres o tutores. En todo caso, dicha edad no podrá ser inferior a 13 y en el caso de España, se ha impuesto a los 16.

¿Y qué hay sobre los contratos de tratamientos de datos?

Los contratos sobre el tratamiento de datos personales deberán llevarse a caso siempre por escrito. Además, deberán estar detalladas las instrucciones por parte del responsable de los datos al encargado de ellos con respecto a las medidas de seguridad.

Asimismo, se tendrá que indicar cuál es el régimen de subcontratación, al igual que de la confidencialidad y cuál será el destino de tus datos tras el tratamiento de los mismos.

El registro de las actividades del tratamiento de datos

Por último, cabe destacar que este punto no se regulaba en la Ley Orgánica de Protección de Datos. El registro debe tener, de acuerdo con el RGPD cuáles son esos datos.

También, cuáles se van a tratar de acuerdo con los destinatarios, la identidad de los mismos, el tiempo de conservación, la finalidad y las medidas técnicas y de seguridad que la empresa haya adoptado, de acuerdo con lo dispuesto en la nueva normativa.