Nuevo reglamento general de protección de datos

El nuevo Reglamento General de Protección de Datos (RGPD) entró en vigor en mayo de 2016 pero comenzará a aplicarse el día 25 de mayo de 2018. En España únicamente tenemos hasta el momento un Proyecto de Ley. Este Reglamento modifica algunos aspectos del régimen actual en materia de protección de datos y contiene nuevas obligaciones que deben ser analizadas y aplicadas por cada organización teniendo en cuenta sus propias circunstancias.

Todas las EMPRESAS, AUTÓNOMOS con actividades empresariales, PROFESIONALES con o sin personal a su cargo, U ORGANISMOS PÚBLICOS QUE MANEJEN CUALQUIER TIPO DE DATOS PERSONALES DE TERCEROS DEBEN CUMPLIR con las nuevas obligaciones que establece, si bien las medidas de protección de los mismos dependerá del tipo de información:

• Nivel básico: datos identificativos, como el NIF, nombre, apellidos, dirección, teléfono, firma, imagen, e-mail, nombre de usuario, número de tarjeta, matrícula, etc.
• Nivel medio: datos relativos a infracciones administrativas o penales, solvencia o crédito, datos tributarios o de la Seguridad Social, datos de prestación servicios financieros, y datos referentes a la personalidad o comportamiento de las personas, como gustos, costumbres aficiones etc.
• Nivel alto: datos sobre ideología, religión, creencia, origen racial, salud, vida sexual o violencia de género.

Por contra, para los ciudadanos supone mayores garantías pues se introducen nuevos elementos que mejoran la capacidad de decisión y control de las personas sobre los propios datos que confían a terceros, como el derecho de acceso e información, el derecho al olvido, es decir, a que sus datos sean suprimidos, el derecho de rectificación de los mismos, o el derecho a la portabilidad.

Hasta ahora, los pasos que se deben seguir para implantar la Ley Orgánica de Protección de Datos son los siguientes:

• Identificación de los ficheros que contengan datos de carácter personal (ya sean empleados, clientes, proveedores, etc).
• Identificación del nivel de seguridad que se les aplica.
• Identificación del Administrador del Fichero.
• Elaboración del Documento de Seguridad en el que se establece el protocolo de actuación y las medidas que garanticen que los datos estén protegidos en función del nivel de seguridad que exijan los datos que tratamos.
• Información a los titulares de los datos sobre la existencia de los ficheros.
• Inscripción de los ficheros en el Registro de la Agencia Española de Protección de Datos.
• Además, en el caso de que nuestra empresa tenga datos calificados de nivel medio y/o alto, estaremos obligados a hacer auditorías internas o externas bienales.

A partir del 25 de mayo, se prevén una serie de medidas complementarias que deben adoptar las empresas (también profesionales y autónomos), en base al principio de responsabilidad proactiva que establece el Reglamento. Ello implica que las organizaciones que tratan datos deben realizar prácticas de prevención garantizando la efectiva protección de los datos personales. En este sentido, las medidas más significativas y novedosas son las siguientes:

• OBTENCIÓN DEL CONSENTIMIENTO de forma libre, informado e inequívoco, fruto de una acción positiva. Conviene advertir que ya no es suficiente recabar el consentimiento del interesado para el tratamiento de datos de forma tácita como hasta ahora, sino que se exige que se preste de forma EXPRESA.
• Se elimina la obligación de notificar los ficheros de datos a la AEPD, y se introduce en su lugar la obligación en determinados casos de mantener un REGISTRO INTERNO que refleje por escrito y de forma detallada las actividades del tratamiento que se efectúa.
• Realización de evaluaciones de impacto (PIAs), o análisis de riesgo, que serán obligatorias cuando el tratamiento de datos pueda implicar un riesgo alto para los derechos de los individuos.
• Nombramiento de un delegado de protección de datos en la empresa con conocimientos informáticos y jurídicos, únicamente obligatorio en aquellas organizaciones que traten datos a gran escala o que éstos estén especialmente protegidos (datos relativos a ideología, religión, creencia, origen racial, salud, vida sexual o violencia de género).
• COMUNICACIÓN DE VIOLACIONES DE LA SEGURIDAD de los protocolos seguidos para garantizar la protección de datos a la AEPD y a los interesados, si las hubiera.

Todo ello supone un mayor compromiso de las empresas, pero no implica necesariamente una mayor carga. En muchos casos será sólo una forma de gestionar la protección de datos distinta de la que se viene empleando ahora.

Para comenzar, es necesario que todas las empresas que tratan datos realicen un análisis de riesgo de sus tratamientos para poder determinar qué medidas concretas han de aplicar y cómo hacerlo. Estos análisis pueden ser operaciones muy simples en entidades que no llevan a cabo más que unos pocos tratamientos sencillos, u operaciones más complejas en entidades que desarrollen muchos tratamientos, que afecten a gran cantidad de interesados o que por sus características requieren de una valoración cuidadosa de sus riesgos.

Conviene recordar que, aunque todavía no se haya aprobado una nueva Ley de Protección de Datos en España que establezca medidas, infracciones y sanciones más concretas, este Reglamento es directamente aplicable a partir del 25 de mayo de 2018.

Así, Sagasta Asesores se pone a vuestra disposición para ayudar a los responsables y a los encargados a adaptarse a estas nuevas obligaciones. Advertimos que no podemos pasar por alto este cambio normativo, pues el incumplimiento de las medidas que prevé el RGPD puede acarrear sanciones de hasta 20 millones de euros, con un límite del 4% de la facturación anual del ejercicio anterior.

El equipo de Sagasta Asesores espera que esta información sea de vuestro interés, y quedamos a vuestra disposición para ampliaros o aclararos cualquier extremo.