El 25 de mayo de 2018 entró en vigor el Reglamento General de Protección de Datos de la Unión Europea (UE). El reglamento incorpora principios como la responsabilidad de las organizaciones que tratan datos, la portabilidad de los datos, la obligación de notificar brechas de seguridad y otros requisitos. Su objetivo es establecer reglas comunes para que las organizaciones puedan operar en la UE y tratar datos de forma conforme. Es importante señalar que el reglamento no se aplica únicamente a organizaciones registradas en la UE, sino también a entidades establecidas fuera de ella que tratan datos de personas de la Unión Europea. Dado que las sanciones por incumplimiento pueden ser elevadas, las organizaciones deben conocer sus obligaciones y saber cómo demostrar que cumplen las normas aplicables a su actividad.
1. ¿A quién se aplica el reglamento?
El Reglamento General de Protección de Datos de la UE se aplica a cualquier organización establecida en la Unión Europea que trate datos personales en el marco de sus actividades.
- Tratar datos de personas que se encuentran en el territorio de la Unión Europea para ofrecerles servicios o productos, independientemente de que sean de pago o gratuitos;
- Supervisar el comportamiento de personas que se encuentran en el territorio de la Unión Europea;
Para determinar si el reglamento resulta aplicable deben valorarse, entre otros factores, si la organización dispone de un sitio web en alguna lengua oficial de la Unión Europea, si los precios de productos o servicios se expresan en una moneda de la UE, si ofrece atención al cliente en Estados miembros y otros indicios similares. También puede considerarse monitorización del comportamiento el seguimiento online de las acciones de personas en territorio de la UE para analizar sus intereses y actitudes. Por ejemplo, si un desarrollador utiliza datos de una aplicación para marketing dirigido, la actividad puede quedar sometida al reglamento. Cuando el reglamento se aplica a una organización establecida fuera de la UE, esta puede estar obligada a designar un representante en la Unión Europea.
Están exentos de la obligación de designar un representante:
- Los organismos públicos;
- Las organizaciones que solo de forma ocasional tratan datos personales de personas en la UE, no realizan tratamientos a gran escala de categorías especiales de datos y cuyo tratamiento sea poco probable que suponga un riesgo para los derechos de las personas;
2. Principios del tratamiento de datos
Las organizaciones deben tratar los datos conforme a los siguientes principios:
- Los datos deben tratarse de forma lícita, leal y transparente; la información sobre el tratamiento debe estar fácilmente disponible para la persona;
- Los datos solo deben recopilarse para fines específicos, claramente definidos y legítimos;
- Los datos deben tratarse únicamente en la medida necesaria para alcanzar un fin legítimo concreto;
- Los datos deben ser exactos y, cuando sea necesario, mantenerse actualizados;
- Una vez alcanzado el objetivo para el que se tratan los datos, su conservación en una forma que permita identificar a la persona debe limitarse al tiempo necesario;
- Durante el tratamiento debe garantizarse la seguridad de los datos frente a tratamientos no autorizados o ilícitos, pérdida accidental, destrucción o daño;
Para seguir los principios del reglamento se recomienda:
- Desarrollar una política de protección de datos y de seguridad de la información;
- Llevar un registro de los datos personales, las bases jurídicas del tratamiento y las operaciones realizadas sobre ellos;
- Informar y formar de nuevo, cuando sea necesario, a los empleados que participan en el tratamiento de datos;
- Conservar durante el periodo establecido los documentos relacionados con el tratamiento, por ejemplo el consentimiento escrito de una persona;
- Evaluar los riesgos asociados al tratamiento de datos;
- Definir plazos de conservación y los procedimientos correspondientes;
- Elaborar un código de conducta o adherirse a uno ya aprobado para el sector de actividad;
- Recurrir, cuando proceda, a mecanismos de certificación voluntaria;
3. Bases del tratamiento de datos
Según el reglamento, el tratamiento de datos es lícito cuando se realiza sobre al menos una de las siguientes bases:
La persona ha dado su consentimiento para el tratamiento de sus datos con uno o varios fines específicos;
- El tratamiento es necesario para ejecutar un contrato con la persona o para adoptar medidas precontractuales a petición de esta;
- El tratamiento es necesario para que la organización cumpla una obligación legal;
- El tratamiento es necesario para proteger intereses vitales de una persona;
- El tratamiento es necesario para cumplir una misión realizada en interés público o en el ejercicio de poderes públicos;
- El tratamiento es necesario para proteger intereses legítimos de la organización o de un tercero, siempre que proceda conforme a la normativa;
4. Consentimiento
El consentimiento es una de las bases más comunes para el tratamiento de datos. El reglamento establece requisitos concretos que una organización debe cumplir cuando obtiene el consentimiento de una persona:
El consentimiento debe ser libre, informado y expresado de forma clara;
- Antes de consentir, la persona debe recibir información completa sobre el tratamiento en un lenguaje comprensible;
- La persona debe realizar una acción afirmativa para consentir; el silencio, la inacción o las casillas premarcadas no deben considerarse consentimiento válido;
- El consentimiento debe darse para el tratamiento de datos con fines específicos;
- Si los datos van a tratarse para más de un fin, la persona debe poder consentir de forma adecuada cada uno de esos fines;
- Las cláusulas de consentimiento incluidas en documentos deben distinguirse claramente del resto del texto y redactarse en un lenguaje sencillo y comprensible;
- La persona tiene derecho a retirar su consentimiento en cualquier momento. El procedimiento para retirarlo debe ser tan sencillo como el utilizado para prestarlo, y la persona debe ser informada previamente de este derecho;
- Cuando se ofrecen servicios electrónicos a menores en los supuestos previstos por la normativa, puede ser necesario el consentimiento del progenitor o representante legal;
5. Derechos de la persona
El reglamento refuerza los derechos individuales, amplía las facultades del interesado e impone obligaciones correlativas a las organizaciones que tratan datos personales.
Derecho de acceso a los datos
- La organización debe informar a la persona de si está tratando o no datos personales que le conciernen;
- Cuando la persona lo solicite, debe recibir información sobre los fines del tratamiento, las categorías de datos, los plazos de conservación y otros aspectos relevantes;
- En la primera solicitud de acceso debe facilitarse una copia de los datos de forma gratuita. En determinadas solicitudes repetitivas o excesivas, la organización puede cobrar una tasa razonable conforme a la normativa;
Derecho a la supresión de los datos
La organización debe eliminar los datos cuando, por ejemplo:
- Ya no sean necesarios para el fin para el que se recopilaron o trataron;
- El tratamiento sea ilícito;
- La persona retire el consentimiento cuando este constituya la base del tratamiento y no exista otra base jurídica aplicable;
Limitación o bloqueo del tratamiento
- El reglamento obliga a las organizaciones a limitar el tratamiento en determinados casos. Por ejemplo, si una persona impugna la exactitud de los datos, la organización debe limitar su uso mientras verifica dicha exactitud. Si la persona se opone al tratamiento, puede ser necesario limitarlo mientras se determina si prevalecen motivos legítimos para continuar. También puede solicitarse la limitación cuando el tratamiento sea ilícito pero la persona prefiera que los datos no sean suprimidos;
- Si los datos se han comunicado a terceros, la organización debe informar a los destinatarios sobre la limitación o bloqueo cuando sea posible y no exija un esfuerzo desproporcionado;
Derecho a la portabilidad de los datos
La persona tiene derecho, en los casos previstos por la normativa, a recibir los datos que proporcionó a la organización en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otra organización cuando:
- El tratamiento se base en el consentimiento de la persona o en una obligación contractual;
- El tratamiento se realice por medios automatizados;
- Cuando sea técnicamente posible, la persona puede solicitar que sus datos personales se transmitan directamente de una organización a otra;
6. Protección de datos desde el diseño (Privacy by Design) y por defecto (Privacy by Default)
Teniendo en cuenta la categoría y el volumen de los datos, los fines y bases del tratamiento, los medios técnicos utilizados y los riesgos, las organizaciones deben adoptar medidas técnicas y organizativas adecuadas desde el momento en que se determinan los medios del tratamiento. Medidas como la seudonimización deben integrarse directamente, cuando proceda, en las herramientas y sistemas con los que se realiza el tratamiento.
Las organizaciones deben garantizar desde el principio que solo se traten los datos y durante el tiempo necesarios para un fin legítimo concreto. Por defecto, los datos no deberían quedar accesibles a un número indeterminado de personas. Por ejemplo, una red social o una aplicación puede configurar como privada la opción inicial al publicar una fotografía y permitir que sea el propio usuario quien decida después hacerla pública.
7. Evaluación de los riesgos del tratamiento de datos
Según el reglamento, el proceso de evaluación debe incluir al menos:
- Una descripción del tratamiento de datos previsto y de sus objetivos;
- La evaluación de la necesidad y proporcionalidad del tratamiento;
- La evaluación de los riesgos para los derechos de las personas;
- Una lista de medidas destinadas a reducir los riesgos y garantizar el cumplimiento del reglamento;
8. Delegado de Protección de Datos
El Delegado de Protección de Datos es la persona que, dentro de una organización, supervisa el cumplimiento de los requisitos establecidos por el reglamento en relación con el tratamiento de datos. Su designación es obligatoria en determinados supuestos, por ejemplo cuando la organización:
- Realiza una observación regular y sistemática de un gran número de personas;
- Trata a gran escala categorías especiales de datos o datos relativos a condenas e infracciones;
- Debe designarlo conforme a la legislación aplicable de un Estado miembro de la UE;
Entre las funciones del Delegado de Protección de Datos deben figurar, al menos:
- Informar a la organización y a los empleados que participan en el tratamiento sobre sus responsabilidades;
- Supervisar internamente el cumplimiento de las normas de tratamiento de datos en la organización;
- Participar, cuando sea necesario, en las evaluaciones de riesgos y supervisar ese proceso;
- Cooperar con la autoridad de control de protección de datos personales;
- Actuar como punto de contacto con la autoridad de control para asuntos relacionados con el tratamiento y la protección de datos personales;
- Un grupo empresarial puede designar un único Delegado de Protección de Datos para varias empresas del grupo cuando se cumplan las condiciones legales;
- Los datos de contacto del Delegado de Protección de Datos deben estar disponibles públicamente;
- El Delegado de Protección de Datos debe informar directamente al máximo nivel jerárquico de la organización y mantener independencia en el desempeño de sus funciones;
¡Si la organización incumple el reglamento, la responsabilidad recae en la organización y no en el Delegado de Protección de Datos!
9. Multas
Las infracciones del reglamento pueden agruparse en distintas categorías según su gravedad:
Primera categoría de infracciones:
- La organización no ha cumplido su obligación de notificar una brecha de datos;
- Una organización establecida fuera de la Unión Europea no ha designado un representante en la UE cuando estaba obligada a hacerlo;
- No se tuvieron en cuenta los estándares de protección de datos al crear los medios o sistemas de tratamiento;
- No se adoptaron las medidas exigidas en relación con los datos;
- Para determinadas infracciones de esta categoría, el importe máximo de la multa puede alcanzar 10.000.000 de euros o el 2 % del volumen de negocio anual de la empresa, según corresponda;
Segunda categoría de infracciones:
- La organización infringió las normas relativas al consentimiento de la persona;
- Se vulneraron los derechos de la persona;
- Se infringieron las reglas aplicables a las transferencias internacionales de datos;
- La organización no siguió las instrucciones de la autoridad de control o dificultó una inspección;
- etc.;
Para las infracciones más graves de esta categoría, la multa máxima puede alcanzar 20.000.000 de euros o el 4 % del volumen de negocio anual de la empresa, según corresponda.
