Cómo afectará el nuevo reglamento de protección de datos de la UE

Informa además de que las autoridades de protección de datos europeas de forma colectiva, y la AEPD individualmente, trabajan ya en el desarrollo de herramientas que facilitarán la identificación y valoración de riesgos de la normativa, así como en recomendaciones sobre la aplicación de las medidas.

Estos son algunos de los puntos principales del reglamento:

1. Fecha límite. Como el resto de países de la Unión, España tendrá como máximo hasta el 25 de mayo de 2018 para aplicar el reglamento. Mientras tanto se seguirá aplicando la Ley Orgánica de Protección de Datos española.

2. Nuevos elementos para el control de datos por el ciudadano. Se reconoce de forma expresa el llamado “derecho al olvido”, y se incluyen otros, como de la portabilidad, de modo que el interesado podrá recuperar sus datos tratados por una empresa en un formato que le permita llevarlos a otra, y cuando sea técnicamente posible, será el responsable de la organización el que transferirá los datos directamente al nuevo responsable designado por el interesado.

3. El consentimiento sobre el tratamiento de datos personales habrá de ser, con carácter general libre, informado, específico e inequívoco del interesado. El consentimiento habrá de ser “explícito” en casos como la autorización del tratamiento de datos sensibles.

4. Con carácter general las empresas deberán revisar sus avisos de privacidad. El reglamento prevé que se incluyan en la información a los interesados una serie de cuestiones no necesariamente obligatorias previamente. Por ejemplo, explicar la base legal para el tratamiento de datos, los períodos de retención de los mismos e informar de que los interesados pueden dirigir sus reclamaciones a las autoridades de protección de datos. Se exige que la información que se proporcione sea fácilmente comprensible y se presente en un lenguaje claro y conciso.

5. Se establecen los 16 años como edad a partir de la cual se puede prestar consentimientorespecto al tratamiento de datos personales en el ámbito de los servicios de la sociedad de la información (por ejemplo, redes sociales). No obstante, cada Estado podrá establecer la suya propia, hasta un tope de 13 años. En el caso de España, actualmente ese límite es de 14. Por debajo de esa edad, se necesita consentimiento de padres o tutores.

6. Ampliación del ámbito de aplicación territorial de la normativa. Esto supone una garantía adicional para la privacidad de los ciudadanos europeos, porque el reglamento será asimismo aplicable a empresas que tratan datos de europeos aunque estén fuera de la Unión.

7. Aplicación del reglamento. Afectará como hasta ahora a responsables o encargados de tratamiento de datos establecidos en la UE, y se amplía a responsables y encargados no establecidos en la Unión siempre que realicen tratamientos derivados de una oferta de bienes o servicios dirigidos a ciudadanos de la Unión o como consecuencia de una monitorización y seguimiento de su comportamiento.

Las organizaciones nombrarán un representante en la UE, como punto de contacto de las autoridades de supervisión y los ciudadanos. En caso necesario, podrá ser destinatario de las acciones de supervisión que desarrollen esas autoridades. Sus datos de contacto deberán proporcionarse a los interesados entre la información relativa a los tratamientos de sus datos personales.

8. Responsabilidad activa. Se trata de unos de los aspectos esenciales del reglamento, que promueve la prevención por parte de las organizaciones que tratan datos. Las empresas deberán adoptar medidas que aseguren razonablemente que están en condiciones de cumplir con los principios, derechos y garantías que fija la norma. Se considera insuficiente la estrategia de actuar sólo tras la infracción y se incluye una batería de medidas de prevención.

En concreto: la protección de datos desde el diseño, la protección por defecto, medidas de seguridad, mantenimiento de un registro de tratamientos de datos, realización de evaluaciones de impacto sobre la protección de datos, nombramiento de un delegado de protección de datos, notificación de violaciones de la seguridad de los datos, promoción de códigos de conducta y esquemas de certificación.

9. El mayor compromiso exigido a las organizaciones, públicas o privadas con la protección de datos, no implica necesariamente ni en todos los casos mayores cargas. En muchos casos sólo variará la forma de gestionar la protección de datos, dado que algunas medidas son sólo continuación y otras reemplazan a algunas existentes.

10. El sistema de “ventanilla única”. Está pensado para que los responsables establecidos en varios Estados miembros o que estando en un solo Estado miembro hagan tratamientos que afecten significativamente a ciudadanos en varios Estados de la UE tengan una única Autoridad de protección de datos como interlocutora.

Cada autoridad europea de protección de datos, en lugar de analizar una denuncia o autorizar un tratamiento a nivel estrictamente nacional, valorará si tiene carácter transfronterizo, en cuyo caso se abrirá un procedimiento de cooperación entre todas las autoridades afectadas buscando una solución aceptable para todas ellas.

Ante discrepancias insalvables, el caso puede elevarse al Comité Europeo de Protección de Datos, un organismo de la Unión integrado por los directores de todas sus autoridades de protección de datos, que resolverá la controversia con decisiones vinculantes para las autoridades implicadas.

Los ciudadanos siempre pueden plantear sus reclamaciones o denuncias ante su propia autoridad nacional (en el caso español, la AEPD). La gestión será realizada por esta entidad, que será también responsable de informar al interesado del resultado final de su reclamación o denuncia.

La ventanilla única, en todo caso, no afectará a empresas que sólo estén en un Estado miembro y que realicen tratamientos que afecten sólo a interesados en ese Estado. EFE