Como ya sabemos, el pasado 25 de Mayo de 2018 entró en vigor el Reglamento 679/2016, la nueva normativa europea de protección de datos (en adelante, RGPD), sustituyendo la actual Ley Orgánica de Protección de Datos (LOPD) del año 1999.
La rápida evolución tecnológica y la globalización han planteado nuevos retos para la protección de los datos personales. La magnitud de la recogida y del intercambio de datos personales ha aumentado de manera significativa, y las empresas tanto públicas como privadas utilizan datos personales en una escala sin precedentes a la hora de realizar sus actividades.
Este Reglamento pretende dar mayor poder a los interesados sobre sus datos personales, tanto en redes sociales, smartphones, banca online, etc., de forma que tendrán mayor control sobre sus datos.
¿No sabes las que implican estos cambios para tu empresa?
No te preocupes, a continuación, te resumimos los principales cambios y las implicaciones que puedan suponer en el día a día de tu negocio.
Este reglamento se aplicará a todos aquellos profesionales y empresas que traten datos de carácter personal y que se encuentren dentro de la Unión Europea.
También se aplicará al tratamiento de datos personales de personas residentes en Europa por parte de responsables y encargados no establecidos en la UE, siempre que traten datos como consecuencia de una oferta de bienes o servicios destinados a ciudadanos de la Unión.
Las principales modificaciones con el nuevo Reglamento Europeo de Protección de Datos son:
Este nuevo Reglamento supone un mayor compromiso por parte de las empresas y organizaciones con la Protección de Datos.
Las entidades deben adoptar medidas que garanticen que estar en condiciones de cumplir con las directrices que establece el nuevo Reglamento.
El RGPD entiende que actuar solo cuando haya tenido lugar una infracción no es suficiente, ya que la infracción puede ocasionar daños a los interesados que se deben prevenir. Por ello todas las entidades deben efectuar un análisis de riesgo de sus tratamientos para poder establecer qué medidas han de aplicar y cómo hacerlo.
Se trata de una nueva figura de responsabilidad dentro de la entidad y se encargará de la planificación de las medidas de seguridad aplicables a los tratamientos de datos, así como la gestión de los mismos.
Hay que destacar que servirá de enlace entre la empresa y la autoridad de control.
El responsable y el encargado del tratamiento designarán a un delegado de protección de datos siempre que:
Se amplía la información que se les debe dar a los interesados en relación con el tratamiento de sus datos personales, así como los derechos que tienen sobre ellos.
Se incorpora el concepto de privacidad desde el diseño, esto supone que en la elaboración de los procedimientos empresariales se deben tener en cuenta la protección de los datos desde el primer momento.
En caso de violación de la seguridad de los datos personales, el responsable de su tratamiento deberá notificárselo a Autoridad de Control (Agencia Española de Protección de Datos).
Cuando sea probable que la violación de la seguridad de los datos personales tenga una gran repercusión para los afectados, el responsable del tratamiento deberá comunicárselo a los mismos
La nueva normativa, elimina la obligación de registrar los ficheros ante la Autoridad de Control correspondiente. Sin embargo, obliga a llevar un registro interno de todos los tratamientos de datos personales llevados a cabo por la entidad, siempre que esta tenga más de 250 empleados o cuando se traten datos sensibles.
Se introducen nuevas medidas que aumentan la capacidad de decisión y control de los ciudadanos sobre los datos personales que facilitan a terceros.
El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen, y en tal caso, derecho de acceso a los datos personales y a saber los fines del tratamiento, ser informado del plazo de conservación de sus datos, derecho a presentar una reclamación…
El responsable del tratamiento facilitar una copia de los datos personales objeto del tratamiento.
El interesado tendrá derecho a obtener del responsable, la rectificación de los datos personales inexactos que le conciernan. Dependiendo de los findes del tratamiento, también tendrá derecho a que se completen sus datos.
Es el derecho que tienen el interesado a solicitar, y conseguir de los encargados, que los datos personales que le conciernan sean suprimidos cuando estos ya no sean necesarios para el fin para el que fueron reunidos, cuando se haya revocado el consentimiento o cuando estos se hayan obtenido de forma ilegal.
Implica que el interesado que haya proporcionado sus datos a un responsable que los esté tratando de forma digitalizada podrá requerir recobrar esos datos en un formato que le permita su traslado a otro responsable.
El Reglamento pide que el consentimiento, con carácter general, sea libre, informado, específico e inequívoco.
Las empresas deberán revisar la forma en la que obtienen y guardan el consentimiento.
Actualmente existen prácticas que se encuadran en el llamado consentimiento tácito y que son aceptadas con la actual normativa, pero dejarán de serlo cuando el Reglamento sea de aplicación.
Para poder considerar que el consentimiento es “incuestionable”, el Reglamento requiere que haya una declaración de los interesados o una acción positiva que apunte al acuerdo del interesado.
La aceptación no puede deducirse del silencio o de la inacción de los ciudadanos.
Se exige que el consentimiento tenga que ser “manifiesto” en determinados casos, como puede ser para autorizar el tratamiento de datos sensibles.
Por tanto, el consentimiento tiene que ser verificable y quienes recopilen datos personales deben poder probar que el afectado les concedió su consentimiento.
El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando el interesado impugne la exactitud de los datos, cuando el tratamiento sea ilícito, cuando el responsable ya no necesite los datos personales para los fines del tratamiento o cuando el interesado se haya opuesto al tratamiento de los mismos.
Esperamos que este post haya sido de vuestro interés. Si quieres ampliar esta información te recomendamos que accedas a la página de la Agencia Española de Protección de Datos donde podrás encontrar una serie de guías básicas, haz clic aquí y descúbrelas.