El nuevo Reglamento Europeo de Protección de Datos (RGPD o GDPR por sus siglas en inglés) es el nuevo marco regulatorio de protección de datos de la Unión Europea. Entró en vigor el 25 de mayo de 2016 y comenzará a aplicarse en España el próximo 25 de mayo de 2018.
El RGPD es aplicable a todas las empresas respecto al tratamiento de datos personales relacionados con una persona física de la Unión Europea. Independientemente del tipo de tratamiento de datos personales realizado (recursos humanos, salud, seguros, etc.), las empresas deben asegurarse que están trabajando para cumplir con los nuevos requerimientos.
Ámbito territorial. Estarán sujetas al Reglamento las empresas establecidas fuera de la UE que realicen tratamiento de datos personales de ciudadanos residentes en la UE.
Consentimiento del interesado. El consentimiento para autorizar el tratamiento de datos debe ser libre, específico, informado, explícito e inequívoco. Será tan fácil retirar el consentimiento como darlo. El responsable del tratamiento deberá poder demostrar que se ha obtenido el consentimiento. No se permite el consentimiento tácito.
Información al interesado. La información deberá estar unificada y facilitada por escrito o medios electrónicos. El deber de informar estará basado en la transparencia del tratamiento.
Derechos de los interesados. Además de los derechos ARCO (acceso, restricción, cancelación y oposición) que existían anteriormente, aparecen tres nuevos derechos:
- Derecho al olvido, como equilibrio entre el derecho a la información y el derecho a la supresión de datos. Permite suprimir o bloquear información que, pese a ser cierta, está obsoleta o es irrelevante por el transcurso del tiempo. Se incluye la salvaguarda de que no se aplicará el derecho a la supresión cuando sea necesario para ejercer los derechos a la libertad de expresión e información.
- Derecho a la limitación del tratamiento de los datos. Permite limitar el uso de los datos personales mientras se comprueban ciertas circunstancias de los mismos, como por ejemplo, que sean inexactos, que se esté dando un uso ilícito, etc.
- Derecho a la portabilidad de los datos. Permite que no tengamos que ir rellenando en cada momento un nuevo formulario sino que podamos ir trasladando nuestros datos de forma sencilla y automatizada
Responsabilidad proactiva. Los responsables del tratamiento deberán ser capaces de demostrar el cumplimiento de todos los principios del RGPD: licitud, información de los fines, minimización de los datos, exactitud, limitación del plazo de conservación, efectividad, integridad y confidencialidad.
Medidas de seguridad. Implantar medidas que garanticen la protección de los datos desde el diseño y en cualquier fase del tratamiento de los mismos: obtención, acceso, intervención, transmisión, conservación y supresión. En caso de violación de datos, se deberán notificar las incidencias a la autoridad de control en 72 horas, documentando la naturaleza de la violación y los posibles efectos de la misma.
Evaluación del impacto. Las empresas deberán asumir la responsabilidad de evaluar el grado de riesgo que representa para las personas que sean objeto de tratamiento, debiendo realizar una evaluación del impacto.
Registro de las actividades del tratamiento. Los responsables y encargados del tratamiento tendrán la obligación de llevar un registro de actividades cuando empleen a un mínimo de 250 personas, o cuando el tratamiento pueda suponer un riesgo para sus derechos y libertades.
Delegado de Protección de Datos. En ciertos casos (tratamiento de datos a gran escala. Tratamiento de datos por organismos públicos) es obligatorio que exista un Delegado que se encargue de la protección de datos, así como su ubicación dentro de la estructura de la organización.
Sanciones. Las multas serán proporcionales a cada caso particular. Habrá un incremento de la cuantía sancionable que podrá llegar, en casos graves, al 4% de la facturación en todo el mundo.
Fuente: Mazars.