EL REGLAMENTO DE PROTECCIÓN DE DATOS EN 12 PREGUNTAS

El Reglamento General de Protección de Datos ha entrado en vigor el 25 de mayo de 2016. Hemos elaborado este documento simplificado, para facilitar la comprensión del nuevo marco normativo a los colegiados y colegiadas.

1. La entrada en vigor del Reglamento, ¿supone que ya no se aplica la Ley Orgánica de Protección de Datos española?

No. El Reglamento ha entrado en vigor el 25 de mayo de 2016 pero no comenzará a aplicarse hasta dos años después, el 25 de mayo de 2018. Hasta entonces, la Directiva 95/46 y las normas nacionales siguen siendo plenamente aplicables.

2. ¿Qué significa, entonces, que el Reglamento haya entrado en vigor?

El periodo de dos años hasta la aplicación del Reglamento tiene como objetivo permitir que las empresas, Instituciones y organismos públicos y privados que tratan datos vayan preparándose y adaptándose para el momento en que el Reglamento sea aplicable.

3. ¿A qué empresas u organizaciones se aplica?

El Reglamento se aplicará a responsables o encargados de tratamiento de datos establecidos en la Unión Europea, y se amplía a responsables y encargados no establecidos en la UE siempre que realicen tratamientos derivados de una oferta de bienes o servicios destinados a ciudadanos de la Unión o como consecuencia de una monitorización y seguimiento de su comportamiento.

4. ¿Qué implica para los ciudadanos que el Reglamento amplíe el ámbito de aplicación territorial?

Esta novedad supone una garantía adicional a los ciudadanos europeos. En la actualidad, para tratar datos no es necesario mantener una presencia física sobre un territorio, por lo que el Reglamento permite que sea aplicable a empresas que, hasta ahora, podían estar tratando datos de personas en la Unión y, sin embargo, se regían por normativas de otras regiones o países que no siempre ofrecen el mismo nivel de protección que la normativa europea.

5. ¿Qué nuevas herramientas de control de sus datos poseen los ciudadanos?

El Reglamento introduce nuevos elementos, como el derecho al olvido y el derecho a la portabilidad, que mejoran la capacidad de decisión y control de los ciudadanos sobre los datos personales que confían a terceros.

6. ¿A qué edad pueden los menores prestar su consentimiento para el tratamiento de sus datos personales?

El Reglamento establece que la edad en la que los menores pueden prestar por sí mismos su consentimiento para el tratamiento de sus datos personales es de 16 años. Sin embargo, el Reglamento permite que cada Estado miembro establezca la suya propia, estableciendo como  límite los 13 años. En el caso de España, ese límite continúa en 14 años. 

7. ¿Qué implica la responsabilidad activa recogida en el Reglamento?

Uno de los aspectos esenciales por no decir el más importante del Reglamento, es que éste se basa en la prevención por parte de las organizaciones que tratan datos. Es lo que se conoce como responsabilidad activa. Las empresas deben adoptar medidas que aseguren razonablemente que están en condiciones de cumplir con los principios, derechos y garantías que el Reglamento establece. Para ello, el Reglamento prevé una batería completa de medidas:

• Protección de datos desde el diseño
• Protección de datos por defecto
• Medidas de seguridad
• Mantenimiento de un registro de tratamientos
• Realización de evaluaciones de impacto sobre la protección de datos
• Nombramiento de un delegado de protección de datos (en determinados casos)
• Notificación de violaciones de la seguridad de los datos
• Promoción de códigos de conducta y esquemas de certificación.

8. Entonces, ¿supone una mayor carga de obligaciones para las empresas?

El Reglamento supone un mayor compromiso de las organizaciones, públicas o privadas con la protección de datos, será una forma de gestionar la protección de datos distinta de la actual.

En primer lugar, hay medidas que introduce el Reglamento que son una continuación o reemplazan a otras ya existentes, como es el caso de las medidas de seguridad o de la obligación de documentación y la evaluación de impacto y la consulta a Autoridades de supervisión.

Otras constituyen la formalización de prácticas como la privacidad desde el diseño y por defecto, la evaluación de impacto sobre protección de datos y ocasionalmente la existencia de un delegado de protección de datos.

En todos los casos, el Reglamento prevé que la obligación de estas medidas, dependerá del tipo de tratamiento, los costes de implantación de las medidas de seguridad o el riesgo que el tratamiento presenta para los derechos y libertades de los titulares de los datos.

Por ello, es necesario realizar un análisis de riesgo de los tratamientos para poder determinar qué medidas han de aplicar y cómo hacerlo.

Más adelante tendremos a disposición las herramientas que faciliten la identificación y valoración de riesgos y recomendaciones sobre la aplicación de medidas, en relación con pymes y otras entidades que realizan los tratamientos de datos.

9. ¿Cambia la forma en la que hay que obtener el consentimiento?

Desaparece el consentimiento tácito.

El Reglamento pide que el consentimiento sea libre, informado, específico e inequívoco, y para ser “inequívoco”, el Reglamento requiere que haya una declaración de los interesados o una acción positiva que indique el acuerdo del interesado, por lo tanto, el consentimiento no puede deducirse del silencio o de la inacción de los ciudadanos. 

Hay que tener en cuenta que el consentimiento tiene que ser verificable y que quienes recopilen datos personales deben ser capaces de demostrar que el afectado les otorgó su consentimiento.

10. ¿Deben las empresas revisar sus avisos de privacidad?

Con carácter general, sí. El Reglamento prevé que se incluyan en la información que se proporciona a los interesados una serie de cuestiones que con la Directiva y muchas leyes nacionales de trasposición no eran necesariamente obligatorias. Por ejemplo, habrá que explicar la base legal para el tratamiento de los datos, los períodos de retención de los mismos y que los interesados puede dirigir sus reclamaciones a las Autoridades de protección de datos.

11. ¿En qué consiste el sistema de ‘ventanilla única’?        

Este sistema está pensado para que los responsables establecidos en varios Estados miembros o que, estando en un solo Estado miembro, hagan tratamientos que afecten significativamente a ciudadanos en varios Estados de la UE tengan una única Autoridad de protección de datos como interlocutora.

La ventanilla única, no afectará a empresas que sólo estén en un Estado miembro y que realicen tratamientos que afecten sólo a interesados en ese Estado.

12. ¿Tienen las empresas que empezar a aplicar ya las medidas contempladas en el Reglamento?

No. El Reglamento está en vigor, pero no será aplicable hasta 2018.

NC CONSULTORS

CONSULTAS SOBRE PROTECCIÓN DE DATOS>>>

Fecha de publicación: 30/9/2016