La Unión Europea creó en mayo de 2016 un Reglamento General de Protección de Datos (RGPD). Por encima de la Directiva 95/46/CE, quieren unificar la forma en que los 27 estados garantizaban a los ciudadanos la protección de sus datos personales. El Reglamento entrará en vigor definitivamente el 25 de mayo de 2018, transpuesto en España incluso por una nueva Ley Orgánica de Protección de Datos. En este informe tratamos de recoger los cambios principales para los que tendremos que preparar nuestras organizaciones.
Todas las personas físicas o jurídicas que por su actividad profesional gestionen y/o almacenen datos personales (como nombres, direcciones, documentos de identidad, teléfonos, correos electrónicos, etc.) están obligadas al cumplimiento de la normativa vigente en materia de protección de datos.
En función del tipo de información que la entidad maneje y la sensibilidad de esos datos almacenados. Las medidas a aplicar serán de mayor o menor importancia. Pero están reguladas por una ley de protección de datos que ha sido modificada y entrará en vigor en mayo de este 2018.
La ley regula, como se venía haciendo ya, los mecanismos de control y seguridad de esa información registrada. Con ella se garantiza a los usuarios los llamados ARCO (Acceso, Rectificación, Cancelación y Oposición) con respecto a los datos personales que se almacenen. Pero se añaden nuevas cuestiones (e incluso nuevos derechos, como el del olvido) con el fin de recoger el Reglamento General de Protección de Datos (RGPD), que trata de unificar la gestión de la protección de datos en todos los países de la Unión Europea. Realmente, el RGPD es una norma aplicable y de referencia asumible por encima incluso de las normas nacionales.
Cambios en la ley de protección de datos
Uno de esos cambios, quizás el más llamativo, es el que recoge la obligatoriedad del consentimiento inequívoco, por el que se excluye la figura del consentimiento tácito a la hora de ser incluido en un fichero de tratamiento de datos: con solo ser informado de que se hará y si no se pone oposición al respecto, basta. Se sustituye por la obligatoriedad de una acción afirmativa y expresa por parte del afectado.
El RGPD añade además, como hemos dicho, algunos derechos como el del olvido. Se podrá así solicitar la supresión de datos personales cuando concurran una serie de supuestos contemplados. Como, por ejemplo, cuando haya desaparecido la finalidad que motivó el tratamiento de la información, o que se haya realizado un tratamiento ilícito de dicha información.
En cuanto a la población a la que se aplicarán las garantías. Se adelanta a los 13 años la edad de consentimiento para el tratamiento de datos. En consonancia con la normativa de otros países de nuestro entorno. Y se dan mecanismos a seguir para tomar en cuenta el tratamiento de los datos correspondientes a personas fallecidas sobre la base de la solicitud de sus herederos.
En lo que se refiere a la gestión del tratamiento de los ficheros. Las novedades más importantes pasan por la obligatoriedad de contar con un registro de actividades. Se deberán recoger qué datos se almacenan y con qué fin se tratan. Y a partir de ahí realizar operaciones como la comunicación posible a terceros. Encargos en el tratamiento, transferencias o almacenamientos en terceros países, medidas técnicas y organizativas para preservar su seguridad, etc.
Responsabilidad en la organización: el responsable del fichero
La ley sigue considerando la figura del responsable del fichero o tratamiento, aquella sobre la que recaen las principales obligaciones de la protección de datos. Debe pertenecer por ello directamente a la organización. Siendo conocedor de cuanta información se maneja y cómo de sensible es esta. Siempre de cara a proteger a los derechos de aquellos individuos cuyos datos puedan estar recogidos dentro de la misma.
Este responsable será quien deba inscribir dichos ficheros ante la Administración (la Agencia de Protección de Datos). Manteniendo la información actualizada y haciendo cumplir sobre ellos los mecanismos de protección y seguridad que marca la ley. Deberá ahora, como hemos dicho, llevar un registro de actividades en el tratamiento de los ficheros.
Cuando la información almacenada deba ser tratada además por colaboradores externos a la organización, se considerará a los mismos encargados del tratamiento. Su figura y responsabilidades se refuerzan con el RGPD. En este debe ser recogida la relación en un contrato de encargo que identifique el alcance y las características del tratamiento a realizar.
Nueva figura: el delegado de protección de datos
Además de los responsables del tratamiento y los eventuales encargados, que la Ley de Protección de Datos contemplaba hasta ahora. El nuevo reglamento crea la figura del delegado de protección de datos. Será este una persona física o jurídica (se puede, por tanto, externalizar la función). Encargada de garantizar el cumplimiento de la normativa de protección de datos en la organización. Su designación ha de ser comunicada a la AEPD, organismo con el que podrá mantener relación para las diferentes comunicaciones que deben ser registradas. Ya sean cambios en la información gestionada, violaciones en la seguridad detectadas, etc.
El delegado de protección de datos debe supervisar el cumplimiento del RGPD por parte de los responsables o de los encargados del tratamiento. Informando y asesorando a los mismos cuando sea necesario en todo lo relativo a la normativa de protección de datos. Se estipula para ello que debe tener conocimientos especializados de Derecho y en el ámbito de la protección de datos.
Existencia obligatoria de la Ley de protección de datos
– Autoridades y organismos públicos.
– Responsables o encargados que tengan entre sus actividades principales las operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala.
– Responsables o encargados que tengan entre sus actividades principales el tratamiento a gran escala de datos sensibles.
Se ha preparado, por parte de la Agencia Española de Protección de Datos. Una acreditación reconocida para los delegados de protección de datos con una certificación final homologada. Dicha acreditación se crea con el fin de generar confianza a los usuarios finales, o a los ciudadanos en general. Pero no es obligatoria para que alguien o una compañía externa pueda desempeñar esta función.
Como se ve, hay cambios importantes que tenemos que adoptar en cuanto al tratamiento de datos personales en nuestras organizaciones. Empezando por cambiar las solicitudes de inclusión en el fichero para que sean expresas e inequívocas por parte de nuestros usuarios. O personas físicas con las que debamos tratar en general en el transcurso de nuestros procesos de trabajo. Y en mayo debe estar funcionando; pongámonos manos a la obra.
Si tienes alguna duda, contacta con nosotros.
José Miguel Serrano Díaz
Unidad de Desarrollo de Sistemas Software
