Entradas

La frase “El 25/05/2018, empieza a aplicarse el Reglamento General de Protección de Datos” últimamente se repite con cierto apuro. Quizá, nos falte explicar qué significa la frasesita, y porqué le debe importar a nuestros actuales y futuros clientes, y a todo aquel al que le afecte.

Empecemos por el principio. La normativa de protección de datos ha cambiado, así como suena. Ahora bien, ¡a Dios gracias’!, tenemos hasta el 25/05/2018, un plazo “prudente”, para cumplir con la novedad, el Reglamento General de Protección de Datos – 679/2016 UE, en adelante el RGPD.

Lo que conocemos hasta ahora, la Ley Orgánica, 15/1999, de protección de datos de carácter personal, y su reglamento de desarrollo el RD. 1720/2007, vienen de la una Directiva derogada por el RGPD, la 95/46/CE. Por tanto, el marco legal aplicable será el del RGPD. Todo de ahora en adelante, deberá modificarse para no contravenirlo. Es así como en este momento en España, estamos en medio del proceso de modificación de nuestra querida LOPD. En un post anterior, os comentamos las claves del anteproyecto de modificación.

Ok, todo cambia pero, ¿Qué es el Reglamento General de Protección de Datos?

El RGPD es una norma nacida en el seno de la Unión Europea, con el más alto rango normativo que puede tener una legislación comunitaria. El documento en que se publicó el contenido del RGPD se titula de la siguiente manera «Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE» Ya con esto está todo dicho. O no.

El crear una nueva norma con forma de reglamento, no es casualidad. En primer lugar, se le quiso dotar de la superioridad normativa necesaria para ir por encima de las normas nacionales -que para aprobarlo todos estuvieron de acuerdo-. En segundo lugar, homogeneizar la normativa. Es decir todos los estados tenemos la misma legislación, o casi. En tercer y último lugar, se pretendía que la norma en su momento de en vigor, y en el inicio de su aplicación fuera directamente aplicable para todos, gobiernos y particulares.

El RGPD tiene como finalidad garantizar el derecho a la protección de datos de todos los ciudadanos.

¿A quién aplica el RGPD?

Como dijimos en el anterior párrafo, a todos. Ahora bien, a unos nos reconoce derechos, y a otros les impone obligaciones de hacer, o de no hacer. Por un lado, a los particulares, nos reconoce una serie de derechos, unos ya los teníamos, otros son casi nuevos. Por contra, a las empresas, profesionales y organismos públicos o privados, les impone una serie de obligaciones. Las obligaciones impuestas por el RGPD, pretenden proteger a las personas de las cuales las empresas tratan datos personales, garantizando sus derechos, y limitando sus usos y tratamientos.

Diferencias entre las obligaciones de la actual LOPD y el RGPD

Este post no pretende hacer un examen minuciosos de las reglas que cambian. Ya lo haremos luego, no os preocupéis. Así que a grandes rasgos, las diferencias entre lo que tenemos ahora, y lo que nos llega con el RGPD, son las siguientes:

Cumplimiento limitado a la Ley, vs. Cumplimiento activo.

Hasta ahora, para las empresas, cumplir la LOPD ha sido cosa de inscribir unos ficheros en el Registro General de Protección de Datos; poner las medidas de seguridad del RD 1720/2007 que nos apliquen; poner cláusulas, y firmar documentos. Y luego, que demuestren que he fallado.

Con el RGPD, se introduce el termino Acountability, o cumplimiento activo.  Se plantea el reto de la privacidad por defecto y por diseño. Son las empresas las que tienen que actuar proactivamente protegiendo los derechos de las personas de las cuales tratan, o podrían tratar datos personales. El cumplimiento del RGPD no se basa en una lista concreta de cosas para hacer, sino, de cosas para prever de forma activa. Ahora, se deberá demostrar el cumplimiento, si o si.

Medidas de Seguridad. Ahora, según evaluación de riesgos

Las medidas de seguridad que conocemos de nuestra LOPD y su reglamento de desarrollo, el RD 1720/2007, ya no estarán incluidas como tal en el RGPD. No habrá una lista concreta de medidas a aplicar, sino, que debemos llevar una gestión de riesgos de los datos personales que manejamos.  En este sentido se recomienda el uso, de los controles de seguridad de la familia ISO 27001.

Encargados de tratamiento. De menos a más responsabilidad.

Hasta ahora con la LOPD, se había establecido la obligación de firmar el contrato que exige el artículo 12, y alguna poca cosa más. Pero con el RGPD, las empresas deberán evaluar de forma activa el cumplimiento de sus proveedores. Deberán implementar un protocolo de contratación en el que el cumplimiento de la norma sea un requisito básico para contratarlos;  también el seguimiento de dicho cumplimiento, un requisito para el manteniendo del contrato. El contrato deberá ser más detallado a la relación concreta, los datos tratados, las finalidades y los tipos de tratamientos.  Por lo anterior, se trasladará una mayor parte de la carga del cumplimiento al prestador.

Registros de tratamiento en lugar de inscripción de ficheros. 

Ya no se notificarán ficheros a la AEPD. Ese tan conocido Registro General de Protección de Datos, al que las empresas notificaban los ficheros ; muchas veces era un mero tramite administrativo, vació de cumplimiento activo, ahora ya no existirá. La AEPD ha informado por activa y por pasiva, que pese a que tenemos que cumplir con esta obligación hasta el 24/05/2018, a partir de la entrada en vigor del Reglamento General de Protección de Datos, el 25/05/2018, ya no se deberá, ni se podrá seguir inscribiendo ficheros. 

Hay muchas más novedades, pero estas son las principales, y además, la idea era hacer corto este artículo. Así que seguimos

¿Cuando tenemos que empezar a cumplir?

Pues cuanto antes, en función de la actividad de la empresa, o de los datos que trate, o de las finalidades o cantidades de datos que tratemos. El caso es que el 25 de mayo de 2018, cuando el Reglamento General de Protección de Datos inicie su plena aplicación, todos los obligados deberán estár cumpliendo. En ese momento el RGPD será directamente aplicable y exigible a todos.

El día de inicio de aplicación del RGPD, o GDPR como son la siglas en inglés, todos los ciudadanos veremos alargada nuestra lista de derechos y herramientas para ejercitarlos, así que las empresas deberán estár listas para garantizar su respeto y ejercicio.

En resumen

El RGPD es el cambio más grande que hemos tenído en los últimos años, en matería de protección de datos. Estos dos daños que nos dierón desde su entrada en vigor, hasta el inicio de su aplicación ya se están agotando y hay que ponerse en marcha si ya no se ha hecho.

Esta norma se ha de afrontar en muchos casos como si de una norma ISO se tratara, o algo similar. Con mucho rigor, compromiso de la dirección y trazabilidad de todos los actos de cumplimiento. Ahora tenemos que demostrar que cumplimos; cumpliendo y registrando ese cumplimiento es como se consigue.

 

 

 El 2017 nos depara a nivel de protección de datos, un periodo de transición, reestructuración y adaptación en lo que concierne al Reglamento EU General de Protección de Datos, también en lo referido al Privacy Shield y las transferencias internacionales de datos, muchos tira y afloja con las políticas de privacidad de las grandes empresas tecnológicas, y finalmente, estamos seguros que traerá grandes retos en cuanto los tratamientos de datos realizados en el ámbito de los avances tecnológicos, entre ellos, la inteligencia artificial (AI), la robótica, los drones, el Big Data, la investigación genética, etc.

Definitivamente el 2017 trae curvas, y, si el gran giro en materia de protección de datos se dio este año con la publicación y entrada en vigor del Reglamento UE 2016/679 General de Protección de Datos – RGPD,  será en el 2017 cuando se empiecen a materializar los cambios que este introduce, empezando por la misma Agencia Española de Protección de Datos que ya ha anunciado cambios, siguiendo por los sujetos obligados a cumplir con la normativa de Protección de Datos que deberán prepararse para estar adecuados el 25 de mayo del 2018, cuando empiece la aplicación del reglamento.   

 

Cambios relacionados con la Agencia Española de Protección de Datos

Sobre los cambios que anunció La Agencia Española de Protección de Datos -AEPD, durante su 8ª sesión anual abierta, el pasado 29 de junio (2016), podemos vislumbrar tres líneas claras de actuación, ambas relacionadas con el Reglamento General de Protección de Datos.

  • La primera, se refiere a la modificación de los estatutos de la propia agencia, habrá una reestructuración de sus departamentos, así como de las funciones de los mismos.
  • La segunda tiene que ver con el anunció de la actualización de Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (a ver qué pasa con su Reglamento de Desarrollo el RD 1720/2007) que según dijo la directora de la Agencia, Dª. Mar España, esperan presentar la propuesta de modificación a la Comisión General de Codificación durante el primer trimestre del 2017, esperemos que así sea, que nos vendría bien conocer por donde van los tiros de la Agencia.
  • Y para terminar, la tercera línea de actuación será la creación de material informativo y divulgativo para todos los afectados: los ciudadanos, las empresas responsables y los encargados de tratamiento. También han anunciado la creación de herramientas y recursos de apoyo para el entendimiento y cumplimiento del Reglamento General, especialmente centrándose en las Pymes que realizan tratamientos de riesgo bajo o muy bajo.

 

Cambios relacionados con los sujetos obligados a cumplir la normativa de Protección de Datos. Responsables y encargados.

Desde luego que aquí es sencillo vislumbrar el cambio: las empresas y profesionales han de empezar a adecuarse al Reglamento Europeo General de Protección de Datos. Es así de simple.

La directora de la AEPD, dejo claro en la 8ª sesión anual abierta, que:

  • Los dos años de transición –ahora ya un año y medio- son para que los sujetos obligados al cumplimiento de esta normativa se adecuen, y que el 28 de mayo del 2018 cuando empiece la aplicación del RGPD, estén ciento por cien adecuadas.
  • Que se deben a empezar a aplicar los principios del RGPD. Si los consentimientos recabados al inicio de aplicación del RGPD no se obtuvieron o se actualizaron para que fueran conforme a los mismos, entonces serán inválidos.
  • Se debe realizar una revisión de lo hecho hasta ahora, revisar contratos, compromisos, cláusulas, etc… y comprobar que cumplen con los principios y exigencias básicas del RGPD, en caso de que no, se deberán actualizar, y poner medidas para que los nuevos contenidos cumplan con ellos.
  • Se deben empezar a realizar las evaluaciones de impacto en la privacidad, y claro, poner en marcha las medidas de seguridad y mitigación de riesgos, necesarias para proteger el derecho a la protección de datos de los afectados en los tratamientos de datos.

Otros temas

Privacy Shield

Este acuerdo que inició su andadura el primero de agosto de este 2016, apenas está empezando a ver como su lista adheridos crece, después que durante los primeros meses estuviera casi estancada.

Esperamos que dure lo suficiente como para mantener un poco la “estabilidad” de las transferencias de datos realizadas a su amparo, aunque los escépticos no le auguran mucho tiempo, ya que lo consideran un parche con las mismas grietas que tuvo su antecesor el Safe Harbour, y que el triunfo del el sr. Trump, hace que crezcan las dudas sobre el cumplimiento de EEUU. en materia de derechos fundamentales.

Tira y afloja con empresas tecnológicas

Lo estamos viendo ahora mismo con WhatsApp y Facebook, que si te obligo a aceptar mi política de privacidad, que si las agencias de protección de datos de la UE no están contentas, que si ahora digo que nunca hemos compartido los datos y no lo volveremos a hacer… así nos va.

Las grandes empresas conocen el valor de nuestros datos, y cada día encuentran una nueva forma de explotarlos, de conseguir que se los demos, de pasárselos entre ellos, etc. Y ahí, claro, chocan con el muro de la legislación europea que protege “férreamente” los derechos de sus ciudadanos.

Os avisamos, esta película la viviremos más a menudo, a cada cual se le ocurrirán nuevas formas de liarse la manta de nuestros datos a la cabeza, y según el caso lo lograrán… al tiempo.

Tratamientos de datos asociados a evoluciones tecnológicas

Como ya está largo el post, no entraremos a tocar cada una de ellas, pero si mencionaremos que los retos en protección de datos y derechos de la personalidad que están surgiendo y surgirán, son tremendos.

En el RGPD se establecieron los principios básicos para el uso de los datos personales en estas evoluciones tecnológicas, ahora bien, seguramente no sean suficientes debido al desconocimiento integral de su alcance, por algo están en desarrollo. Aun así es grato ver que por primera vez una norma incluye indicaciones sobre temas tan complejos, y que están en plena efervescencia, y no solo de temas que ya han pasado.

 

Pues ya está, parece fácil, pero cuando tengamos que empezar a adecuar nuestras empresas, y en nuestro caso, nosotros a nuestros clientes, puede que el filtro se opaque un poco y ya no sea tan sencillo. Recordad, si cumplís correctamente con la normativa actual de protección de datos, el paso al RGPD será subir un escalón, o dos, pero no mucho más, así que os recomendamos revisar, actualizar y prepararse para lo que viene en el 2017, y especialmente para estar listos el 25 de mayo del 2018 cuando inicia su aplicación el RGPD-EU.