Nuevo Reglamento General de Protección de Datos

El nuevo Reglamento General de Protección de Datos (RGPD) entra en vigor el próximo 25 de mayo de 2018

Este reglamento regula la protección de las personas físicas en lo que respecta:

• al tratamiento de datos personales y
• a la libre circulación de estos datos

Es una norma de aplicación obligatoria a partir de su entrada en vigor y que impone a las empresas nuevos deberes en relación a la privacidad.

El RGPD tiene aplicación directa en todos los estados de la UE y no precisa de mecanismo de transposición. Es decir, que no hace falta que exista ninguna ley española para que el Reglamento europeo resulte obligatorio. Por lo que es exigible como si fuera una ley nacional.

En el nuevo Reglamento hay numerosas decisiones jurídicas relevantes a tener en cuenta.

Identificar y analizar áreas de riesgo

Todas las empresas deberán identificar y analizar las áreas de riesgo y documentar los tratamientos de datos personales que se llevan a cabo. Esto deberá de realizarse a través de un inventario de todas las actividades de tratamiento que realiza la empresa.

En base a ello resultará más sencillo clasificar los datos de acuerdo con:

• su naturaleza,
• finalidad,
• categoría,
• origen,
• si son susceptibles de ser compartidos,
• etc.

Sanciones por no adaptarse al nuevo Reglamento General de Protección de Datos

Si las empresas, autónomos y organismos públicos y privados que tratan datos de carácter personal no se adaptan al nuevo RGPD pueden ser sancionadas.

El riesgo de no adaptarse puede conllevar posibles sanciones: las multas pueden elevarse desde el 4% de la facturación anual global del infractor hasta los 20 millones de euros.

» Recordemos que la autoridad de control puede actuar de oficio o por denuncia de un interesados.

Principales cambios del nuevo Reglamento General de Protección de Datos

En relación con los cambios y obligaciones que afectan a las empresas, podemos citar entre otros los siguientes:

• Delegado de Protección de Datos (DPD). El Reglamento obliga a quienes realicen ciertos tratamientos, a nombrar un delegado. Este deberá ser una persona experta en Protección de Datos. Además deberá ser un experto en métodos y técnicas de Seguridad de la información. El delegado podrá ser interno o externo.
• Desaparece el consentimiento tácito y debe ser expreso. Las empresas están obligadas recabar un nuevo consentimiento para poder mantener todos aquellos datos obtenidos con anterioridad a la norma.
• Obligatoriedad de realizar una evaluación de impacto relativa a la protección de datos para ciertos tratamientos.
• Se incrementan las obligaciones de información a los afectados. Esto conlleva poner al día en dicha información a los ya existentes.
• Obligación de comunicar las violaciones de la seguridad de los datos personales. El plazo para comunicarlo a la Agencia Española de Protección de Datos será de 72 horas. Y en casos graves también se debe comunicar a los propios afectados.
• Si los contratos anteriores no cumplen con el RGPD se deberán de establecerse nuevos contratos con los encargados de tratamiento. Esto es así debido a que se amplía el contenido mínimo en los contratos de acceso a datos por parte de terceros.
• Una novedad es que el RGPD no establece diferenciación entre datos personales y datos profesionales. Es decir no diferencia los datos de contacto de empresarios individuales y los de personas físicas que prestan sus servicios en una persona jurídica. Ello obliga a las empresas a tener que realizar acciones informativas a esta categoría de datos.

Aclaraciones al nuevo Reglamento General de Protección de Datos (RGPD)

Vamos a aclarar algunos cambios que consideramos interesantes del nuevo Reglamento General de Protección de Datos.

# Consentimiento expreso

Las empresas están obligadas a obtener un consentimiento expreso, inequívoco y verificable de la información que se obtenga de sus clientes. Recordemos que con la anterior legislación el consentimiento era tácito.

A pesar de ello el consentimiento tácito se seguirá admitiendo, siempre y cuando no nos encontremos ante datos especialmente protegidos.

Importante: A partir del 25 de mayo de 2018, no se podrá seguir obteniendo el consentimiento de los afectados tácitamente o por omisión. Para evitar sanciones es recomendable revisar todos los tratamientos anteriores, para adecuarlos a la nueva normativa.

Se puede entender que el consentimiento se otorga de forma implícita cuando se deduzca que se otorga de forma inequívoca. Un ejemplo de ello es cuando uno acepta las cookies en la navegación para monitorizar la misma.

# Transparncia en la información

Es necesario que las empresas detallen explícitamente y con un lenguaje claro los datos e información personal requerida al usuario. Y en tal caso solo se tratarán los datos en caso de tener un interés legítimo.

Con el nuevo RGPD se amplía considerablemente la información que se les debe suministrar a los afectados sobre el uso y las finalidades del tratamiento de datos. El nuevo Reglamento General de Protección de Datos incluye aspectos no contemplados hasta la fecha como:

• “Base jurídica del tratamiento
• Intención de realizar transferencias internacionales
• Datos del Delegado de Protección de Datos (si lo hubiere)
• El plazo o los criterios de conservación de la información,
• La existencia de decisiones automatizadas o elaboración de perfiles,
• El derecho a presentar una reclamación ante las Autoridades de Control”

“ Los procedimientos, modelos o formularios diseñados de conformidad con la LOPD, deben ser revisados y adaptados al nuevo RGPD.

# Seguridad

En caso de sufrir una brecha de seguridad, las empresas están obligadas a informar a las autoridades de control. Dependiendo de la gravedad también se debe de informar a los afectados. Por lo que se debe de establecer y dejar plasmada una estrategia en materia de seguridad.

Con la nueva normativa, tras un análisis previo cada empresa deberá contar con un nivel de seguridad adecuado en función de los riesgos detectados en el citado análisis.

También se debe tener en cuenta que la tipología de los datos no es la única variable a tomar en consideración a la hora de determinar las medidas técnicas y organizativas aplicables.

Entre otras se deberá de tener en cuenta el coste de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades.

# Encargados de tratamiento

En relación con los encargados de trtamiento en síntesis los tres puntos principales que trae el nuevo RGTD son:

A) Se resalta el deber de diligencia en la elección del encargado del tratamiento. De tal modo que los responsables deben de elegir únicamente encargados que ofrezcan garantías para aplicar medidas técnicas y organizativas apropiadas.

B) Se establecen ciertas obligaciones expresamente dirigidas a los encargados de tratamiento, como:

• El mantenimiento de un registro de actividades de tratamiento.
• Deben de determinar las medidas de seguridad aplicables a los tratamientos que realizan.
• Obligación de designar a un Delegado de Protección de Datos en los casos previstos por la norma.

C) El contenido mínimo que debe incluir el contrato con el encargado del tratamiento, debe incluir aspectos como:

• “Tipo de datos personales y categorías de interesados
• Objeto, duración, naturaleza y la finalidad del tratamientos
• Condiciones para que el responsable pueda dar su autorización previa, específica o general, a las subcontrataciones
• Obligación del encargado de tratar los datos personales únicamente siguiendo instrucciones documentadas del responsable
• Asistencia al responsable, siempre que sea posible, en la atención al ejercicio de derechos de los interesados…”

“ Recomendación: Revisar todos los contratos de encargo de tratamiento firmados con anterioridad, para contrastar que cumplen las nuevas exigencias del RGPD.

# Derechos del ciudadano

El nuevo Reglamento General de Protección de Datos (RGPD) incluye nuevos derechos del ciudadano. Veamos los principales.

Derecho de acceso

El derecho de acceso es el derecho que tiene una persona para conocer qué datos de carácter personal suyos están siendo tratados por parte del responsable. A su vez le permite conocer también:

• la finalidad de este tratamiento,
• el origen de los citados datos, y
• si se han comunicado o se van comunicar a un tercero.

En la medida de lo posible, el responsable del tratamiento debe de poder facilitar el acceso directo al interesado a sus datos personales. Este acceso puede ser remoto a un sistema seguro que le ofrezca tales datos.

“ El nuevo RGPD reconoce expresamente el derecho de los afectados a obtener gratuitamente una copia de los datos personales objeto de tratamiento.

Derecho a la portabilidad de datos

El derecho a la portabilidad de datos es una forma avanzada del derecho de acceso. Permite al interesado obtener una copia de sus datos en un formato estructurado, de uso común y lectura mecánica.

Los datos se pueden transmitir entre responsables sin la necesidad de transmitirse antes al interesado, si es posible técnicamente.

Derecho de cancelación

Este derecho permite al interesado la cancelación de sus datos personales que sean inadecuados o excesivos.

Existen una serie de casos en las que los interesados tienen derecho a que sus datos personales dejen de tratarse o supriman, si:

• llegado el momento ya no son necesarios para los fines para los que fueron recogidos o tratados de otro modo,
• los interesados se oponen al tratamiento o retiran su consentimiento,
• se da el caso de que el tratamiento de sus datos personales incumple de algún otro modo el RGPD

Derecho de rectificación

El derecho de rectificación permite al interesado modificar aquellos datos personales que sean inexactos o incompletos. Podrá modificar los datos inexactos y completar los incompletos incluso con una declaración adicional.

Derecho de oposición

El interesado mediante el ejercicio de este derecho puede oponerse al tratamiento de sus datos personales en supuestos tales como:

• Si no es necesario su consentimiento para el tratamiento, cuando exista un motivo legítimo y fundado referente a su concreta situación personal. Todo ello siempre y cuando no exista una Ley que establezca lo contrario.
• Cuando la finalidad del tratamiento de sus datos personales sea realizar prospección comercial o actividades de publicidad.
• Si el tratamiento tiene como fin la adopción de una decisión referida a su persona, que se base únicamente en un tratamiento automatizado de sus datos personales

Derecho al olvido

Este derecho al olvido es una manifestación de los derechos de cancelación u oposición en el entorno online.

Este derecho tiene algunas limitaciones como son:

• la libertad de expresión,
• el derecho a la información,
• el interés público en el ámbito de la salud,
• la investigación, y
• la defensa de reclamaciones.

Si el responsable del tratamiento ha hecho públicos datos personales, está obligado a notificar a los responsables del tratamiento, que supriman cualquier enlace a ellos, así como las copias o réplicas de los mismos.

Derecho a la limitación del tratamiento

El interesado tendrá derecho a la limitación del tratamiento de datos y podrá solicitar al responsable que suspenda el mismo cuando:

• el interesado considere que el tratamiento es ilícito y no quiera que se supriman, prefiera la limitación del uso.
• se impugne la exactitud de los datos. Eso será así mientras dure la verificación de dicha exactitud.
• el interesado necesite que se mantengan sus datos personales para la formulación, el ejercicio o la defensa de reclamaciones. Aunque el responsable ya no los necesite.
• el interesado ha ejercitado su derecho de oposición al tratamiento de datos. Esto será así hasta que se verifique si los motivos del responsable prevalecen sobre el interesado.

Derecho a no ser objeto de decisiones individualizadas

El interesado debe tener derecho a que no se tomen decisiones, que puedan incluir una medida, que evalúe aspectos personales referentes a él. O medidas que se basen únicamente en el tratamiento automatizado y produzcan efectos jurídicos en él o le afecten significativamente.

» El interesado siempre podrá solicitar al responsable que suspenda el tratamiento de sus datos

# Registro

El nuevo Reglamento General de Protección de Datos exige la obligación de registrar documentalmente las operaciones de tratamiento. Esto es así, tanto por parte de los Responsables de Fichero como por los Encargados de Tratamiento.

# Consentimiento en páginas web

No todas las páginas web deben solicitar el consentimiento de los usuarios.

Pero cualquier página web o tienda online que recoja datos personales a través de formularios debe solicitarlo para poder tratar sus datos.

Normalmente estos datos se solicitan a través de:

• contacto,
• suscripción o
• solicitud de presupuesto

# Envió comunicaciones comerciales

Tal vez dudes si puedes enviar comunicaciones comerciales a los clientes sin su consentimiento.

Tan solo se permite el envío de mensajes publicitarios o comerciales por correo electrónico a:

• aquellos usuarios que previamente lo hubieran solicitado o autorizado de forma expresa
• aquellos usuarios con los que exista una relación contractual previa.

Para más información, puedes consultar también la página Web de la Agencia Española de Protección de Daatos AEPD.

Hoja de ruta para adaptarse al RGPD.

Si tienes dudas de cómo adaptarte, la Agencia ha elaborado una HOJA DE RUTA sobre cómo adaptarse al Reglamento General de Protección de Datos (RGPD), normativa aplicable desde el 25 de mayo de 2018.

Descargar Infografía adaptación RGPD.

La Agencia ha desarrollado una herramienta para empresas que realizan tratamientos de datos personales que implicarían escaso nivel de riesgo. Si quieres conocer con detalle esta herramienta accede al programa de ayuda para facilitar el cumplimiento del Reglamento General de Protección de Datos. Aunque debes de saber que el uso de este programa no garantiza el pleno cumplimiento del RGPD.

Artículos relacionados

Si tienes interés en seguir leyendo, aquí te dejo algunos artículos relacionados:

• Novedades Reglamento Europeo de Protección de Datos
• La protección de datos y los trabajadores
• Normativa sobre protección de datos

Si deseas ampliar información sobre el nuevo Reglamento General de Protección de Datos, no dudes en solicitar una cita para estudiar tu caso o un presupuesto sin compromiso, nuestros abogados atenderán tu caso.

O si lo prefieres puedes enviarnos un mail a asepyme@asepyme.com

Ayúdanos a difundir el contenido de este post compartiéndolo en tus redes sociales. Muchas gracias.