Comienza la cuenta atrás para la aplicación del Reglamento Europeo de Protección de Datos

El próximo 25 de mayo será aplicable el Reglamento General de Protección de Datos (RGPD). A partir de esa fecha, el RGPD será la norma de referencia y las actuales regulaciones de cada Estado Miembro quedarán derogadas. Así, en España, quedará derogada la Ley Orgánica 15/1999, de Protección de Datos.

Muchos de los conceptos y mecanismos que contiene el RGPD ya están previstos de forma muy similar en la normativa actualmente vigente. Por ello, las compañías que hoy en día vienen cumpliendo con la normativa actual tienen una buena base para progresar hacia una correcta aplicación del RGPD. No obstante, el RGPD sí modifica ciertas bases del régimen actual y contiene nuevas obligaciones. A continuación nos referimos a algunas de las que consideramos más relevantes.

Principio de responsabilidad

A partir de ahora quienes traten datos personales ya no deberán inscribir los ficheros en la Agencia de Protección de Datos, ni tampoco disponer de un documento de seguridad. El RGPD no exige el cumplimiento de unas formalidades concretas, sino que deja a cada compañía la libertad de organizarse como crea conveniente para cumplir con el RGPD. Para ello, deberán realizar evaluaciones de impacto, analizando los posibles riesgos en el uso de datos personales, en función de qué datos traten, cómo los traten y con qué finalidad. Es conveniente que todos estos procesos estén documentados, al objeto de poder demostrar que se cumple con el RGPD.

Información y consentimiento

Para conseguir una mayor transparencia, la información que se debe facilitar al interesado cuyos datos se vayan a utilizar deberá ser más completa, y se proporcionará de modo conciso y con un lenguaje sencillo. Por su parte, el consentimiento que preste dicho interesado ahora deberá ser “inequívoco”, es decir, mediante una clara acción afirmativa del interesado. No resultará ya admisible el consentimiento otorgado de forma tácita. Cuando se recojan datos de salud, biométricos o genéticos, dicho consentimiento deberá ser, además, explícito.

Implicaciones prácticas

Aunque las compañías puedan estar al día de sus obligaciones en materia de protección de datos, es muy recomendable que revisen su forma de actuar en este ámbito. En particular, es recomendable revisar el contenido de las cláusulas informativas y la forma en que se obtienen los consentimientos. También conviene revisar las políticas de privacidad y los concretos procedimientos que puedan tener implementados las compañías para, en caso de ser necesario, adaptarlos a las exigencias del RGPD.

Algunos aspectos del RGPD serán complementados por la nueva ley de protección de datos que en los próximos meses se aprobará en España. Nos referiremos a estas cuestiones en próximos Cápsulas.