Nota informativa Reglamento General de Protección de Datos
En los últimos meses se ha hablado mucho del nuevo Reglamento General de Protección de Datos (en adelante, “el Reglamento”), que tras su aprobación en mayo de 2016, será de obligado cumplimiento a partir del 25 de mayo de 2018 y es ahora cuando más dudas están surgiendo en cuanto a las novedades que introduce.
Lo cierto es que era muy esperada esta nueva regulación, sin precedentes en el ámbito europeo, derivado del aumento de los riesgos ligados al uso extensivo y masivo de nuestros datos personales que circulan por la red, en la que perdemos el control de su uso, y cuya difusión no hace más que incrementarse con las nuevas tecnologías. Además, el hecho de que se haya optado por el Reglamento no es casual, ya que al tener aplicabilidad directa, permite homogeneizar las distintas legislaciones nacionales de los Estados miembros, permitiendo una mejor defensa de los derechos de los usuarios y un aumento de la eficiencia empresarial.
El Reglamento, como hemos mencionado, es una norma directamente aplicable, que no requiere normas internas de trasposición, por ello, debemos asumir que la norma de referencia es el Reglamento, aunque la ley que sustituirá a la actual Ley Orgánica de Protección de Datos (LOPD) si podrá incluir precisiones en materias en las que el Reglamento lo permite.
Si bien el Reglamento contiene muchos conceptos, principios y mecanismos similares a los ya establecidos, se modifican algunos aspectos del régimen actual y contiene nuevas obligaciones, entre las que destacan las siguientes:
- Principio de responsabilidad proactiva. Es una de las principales novedades y es que el Reglamento supone una revolución en cuanto a la percepción que se tiene de la protección de datos. Las medidas que se apliquen ya no deben ser reactivas, en las que se observaba la defensa de los datos personales como algo secundario. Ahora adquiere un papel fundamental, prioritario, para cualquier responsable o encargado del tratamiento. Pasamos de una concepción reactiva, a una preventiva y proactiva.
- Consentimiento y recogida de datos. El consentimiento ya no debe ser tácito, sino explícito e inequívoco. Además, las cláusulas de recogida de datos deberán emplear un lenguaje claro y sencillo, así como facilitar más información (datos de contacto, derechos, elaboración de perfiles, etc.).
- Nuevos derechos de los interesados. El Reglamento refuerza los derechos de los interesados, incluyendo nuevos derechos y reforzando los ya existentes, de modo que los interesados tengan mayor control de sus datos.
- Nuevas obligaciones de los responsables y encargados del tratamiento. Una de las obligaciones principales es cumplir con las medidas de seguridad que establece el Reglamento, siendo las más relevantes:
-Comunicación de brechas de seguridad.
-Realización de evaluaciones de impacto.
-Registro interno de actividades de tratamiento.
-Designación de un Delegado de Protección de Datos.
- Transferencias internacionales. Se amplía la lista de posibles instrumentos para realizar transferencias, de modo que se garantice la seguridad de los datos, ya no siendo necesaria la autorización de la Agencia Española de Protección de Datos en determinados casos.
- Endurecimiento de las sanciones. Una de las novedades que más eco ha tenido en el mundo empresarial ha sido el nuevo régimen sancionador, que ha incrementado las sanciones en caso de incumplimiento, llegándose al 4% del volumen de negocio a nivel mundial.
- Autoridad de control. Se introduce el mecanismo de ventanilla única (One Stop Shop) que permite a la Autoridad de Control del lugar en el que se encuentre el establecimiento principal de un responsable actuar como autoridad de control principal en tratamientos transfronterizos y coordinar los procedimientos de infracciones. Esto obedece a la ampliación del ámbito territorial del Reglamento, suponiendo, además, un refuerzo de los derechos de los interesados, así como una reducción de la burocracia para las empresas europeas con varias sedes.
Marina Balduz Bernal
Abogada
