EL REGLAMENT DE PROTECCIO DE DADES EN 12 PREGUNTES

El Reglament General de Protecció de Dades ha entrat en vigor el 25 de maig de 2016. Hem elaborat aquest document per facilitar la comprensió del nou marc normatiu als col·legiats i ajudar al seu compliment:

1. L’entrada en vigor del Reglament, suposa que ja no s’aplica la Llei Orgànica de Protecció de Dades espanyola?

No. El Reglament ha entrat en vigor el 25 de maig de 2016 però no s’aplicarà fins el 25 de maig de 2018. Fins aquesta data, la Directiva 95/46 i  les normes nacionals, segueixen plenament aplicables.

2. Què significa, doncs, que el Reglament ha entrat en vigor?

El període de dos anys fins l’aplicació del Reglament té como objectiu permetre que els Estats membres de la Unió Europea y les organitzacions que tracten dades es vagin preparant i adaptant pel moment que el Reglament sigui aplicable.  

3. A quines empreses i organitzacions s’aplica?

El Reglament s’aplicarà a responsables o encarregats de tractament de dades establerts a la Unió Europea i, s’amplia a responsables i encarregats no establerts en la UE sempre que realitzin tractaments derivats d’una oferta de béns o serveis destinats a ciutadans de la Unió o com a conseqüència d’una monitorització i seguiment del seu comportament.

4. Què implica pels ciutadans que el Reglament ampliï l’àmbit d’aplicació territorial?

Aquesta novetat suposa una garantia addicional als ciutadans europeus. En l’actualitat, no és necessari mantenir una presència física sobre un territori per tractar dades de ciutadans Europeus, de tal manera que el Reglament permet que sigui aplicable a empreses que fins ara podien estar tractant dades de persones a la Unió però es regien per normatives d’altres regions o països que no sempre ofereixen el mateix nivell de protecció que la normativa europea.

5. Quines noves eines de control disposen els ciutadans europeus de les seves dades?

El Reglament introdueix nous elements com són; el dret a l’oblit i el dret a la portabilitat, que milloren la capacitat de decisió i control dels ciutadans sobre les dades personals que confien a tercers.

6. A quina edat poden els menors d’edat prestar el seu consentiment pel tractament de les seves dades personals?  

El Reglament estableix que l’edat dels menors per atorgar el consentiment per sí mateixos pel tractament de les seves dades personals és de 16 anys. No obstant, el Reglament permet que cada Estat membre estableixi la pròpia edat del menor, que mai por estar per sota el límit dels 13 anys. En el cas d’Espanya, aquest límit continua en els 14 anys

7. Què implica la responsabilitat activa recollida en el Reglament?

Un del aspectes essencials per no dir el més important del Reglament, és que aquest es basa en la prevenció per part de les organitzacions que tracten dades. És el que s’anomena Responsabilitat Activa. Les empreses han d’adoptar mesures que assegurin de forma raonable que estan en condicions de complir amb els principis, drets i garanties que s’estableixen en el Reglament i per això el Reglament preveu una bateria complerta de mesures:

• Protecció de dades des del disseny
• Protecció de dades per defecte
• Mesures de seguretat
• Manteniment d’un registre de tractaments
• Realització d’avaluacions d’impacte sobre la protecció de dades
• Nomenament d’un delegat de protecció de dades  (quan calgui)
• Notificació de violacions de la seguretat de les dades
• Promoció de codis de conducta i esquemes de certificacions.

8. Llavors significa una major càrrega d’obligacions per les empreses?  

El Reglament suposa un major compromís de les organitzacions, públiques o privades amb la protecció de dades. Serà, per tant, una forma de gestionar la protecció de dades diferent de l’actual.

En primer lloc, hi ha mesures que introdueix el Reglament que són una continuació o substitueixin altres ja existents com és el cas de les mesures de seguretat o de l'obligació de documentació i l’avaluació d’impacte i la consulta a les Autoritats de supervisió.

Altres mesures constitueixen la formalització de pràctiques com la privacitat des del disseny i per defecte, l’avaluació d’impacte sobre la protecció de dades i ocasionalment l’existència d’un delegat de protecció de dades.

En tots aquests casos, el Reglament preveu que l’obligació d’aquestes mesures despendrà del tipus de tractament de dades que es faci, les despeses de la implantació de els mesures de seguretat o el risc que el tractament presenta pels drets i llibertats dels titulars de les dades.

És necessari, per tant, realitzar un anàlisi del risc dels tractaments per poder determinar quines mesures s’han d’aplicar i de quina manera aplicar-les.

Més endavant es disposarà de les eines que facilitin la identificació i valoració dels riscos i les recomanacions sobre l’aplicació de mesures en relació amb les Pimes i altres entitats que realitzin el tractament de dades.

9. Canvia la forma en la que s’ha d’obtenir el consentiment?

Desapareix el consentiment tàcit.

El Reglament demana que el consentiment sigui lliure, informat, específic i inequívoc i per ser “inequívoc” el Reglament requereix que hi hagi una declaració dels interessats o una acció positiva que indiqui l’acord de l’interessat, per tant, el consentiment no es podrà deduir del silenci i de la inacció dels ciutadans.

S’ha de tenir en compte que el consentiment ha se ser verificable i els que recopilin dades personals han de tenir la capacitat de demostrar que l’afectat els hi va atorgar el consentiment.  

10. Les empreses han de revisar els seus avisos de privacitat?

Amb caràcter general sí. El Reglament preveu que s’inclogui a la informació que es proporciona als interessats una sèrie de qüestions que amb la Directiva  i altres lleis nacionals de transposició no eren abans obligatòries. Per exemple, s’haurà d’explicar la base legal per al tractament de les dades, els períodes de retenció d’aquestes i que els interessats puguin dirigir les seves reclamacions a les Autoritats de Protecció de Dades.

11. En què consisteix el sistema de ‘finestra única’?       

Aquest sistema està pensat pels responsables establerts en un o varis Estats membres i que facin tractaments que afectin significativament a ciutadans en varis Estats de la UE tinguin una única Autoritat de protecció de dades com interlocutora.

La finestra única, no afectarà a les empreses que solament estiguin en un Estat membre i que realitzin tractaments que afectin solament a interessats en aquest Estat.

12. Tenen les empreses que començar  ja a aplicar les mesures contemplades en el Reglament?

No. El Reglament està en vigor, però no serà aplicable fins el 2018.

NC CONSULTORS

CONSULTES SOBRE PROTECCIÓ DE DADES >>>

Data de publicació: 30/9/2016