A partir del 25 de mayo, entra en vigor el nuevo Reglamento de Proteccion de Datos lo que implica que tendrás que dar tu consentimiento inequívoco para que las empresas puedan usar tus datos si eres ciudadano europeo. Es más, te tendrán que decir qué datos están utilizando, cómo los están tratando, para qué y quién es la persona responsable de los mismos.
Ese día entra en vigor en toda Europa una nueva ley de protección de datos: GDPR (General Data Protection Regulation). Una normativa que afecta a todas aquellas empresas que traten datos de los ciudadanos europeos aunque sean de Estados Unidos, como Google o Facebook.
Las grandes multas a las que se enfrentan quienes no cumplan con ella son uno de los puntos más controvertidos y mediáticos. Pero detrás de estas siglas también se esconde una nueva manera de informar a los usuarios sobre qué información cedemos y para qué se usa.
Qué es GDPR (o RGPD)
GDPR, por sus siglas en inglés (General Data Protection Regulation), o RGPD por sus siglas en español (Reglamento General de Protección de Datos) es la nueva normativa que regula la protección de los datos de los ciudadanos que vivan en la Unión Europea.
El reglamento entró en vigor el 24 de mayo de 2016, pero será de obligado cumplimiento a partir del 25 de mayo de 2018. Se trata de la primera norma sobre esta materia que afecta a todos los países de la Unión Europea y unifica, por tanto, tanto los derechos como las obligaciones.
A quién afecta GDPR
Como ocurre con la actual norma, tanto empresas, autónomos, profesionales, entes públicos y cualquiera que por su actividad realice tratamientos de datos, ya sean estos por su cuenta propia o a través de terceros. TODAS las empresas, independientemente de su país de origen o de actividad, deberán cumplirla si recogen, guardan, tratan, usan o gestionan algún tipo de dato de los ciudadanos de la Unión Europea.
Y, por supuesto, nos afecta a todas las personas que vivimos en la Unión Europea.
Cuáles son tus derechos
Pese a que la anterior ley ya incluía ciertas obligaciones en cuanto a la información y al modo de presentarla, la LOPD 2018 deja claros tres nuevos aspectos:
- Base legal del tratamiento de datos debe estar especificada.
- Los tiempos de retención de dichos datos también deben mostrarse al consumidor.
- La información que se proporciona de manera obligatoria al usuario ha de ser clara y concisa para que este la comprenda.
Consentimiento del usuario
Aunque ya la anterior normativa obligaba a solicitar el consentimiento, la LOPD 2018 va más allá especificando que solo podrán solicitarse los datos exclusivamente necesarios para prestar el servicio y/o producto evitando así que se puedan pedir más bajo la misma firma. Es decir, que el consentimiento debe ser inequívoco, claro y distinguible de otros asuntos. Las empresas tendrán que mostrar sus condiciones de forma inteligible y de fácil acceso, usando un lenguaje claro y sencillo.
Esto implica dos cosas. Por un lado, que cuando te des de alta en un servicio, web, aplicación o producto, el aceptar los términos de uso irá por un lado y, por otro, todo lo relativo al tratamiento de tus datos.
El derecho al olvido
Una nueva protección para el consumidor que podrá ejercer la potestad de solicitar la eliminación de sus datos en determinadas circunstancias. Estas son si se han recogido ilícitamente, si ya no son necesarios o si ha retirado en la forma adecuada su consentimiento.
El derecho a la portabilidad
Es otra de las novedades de la LOPD 2018. Con ella se pretende obligar a la empresa que gestione los datos de una determinada persona a enviarlos en los formatos adecuados para poder pasarlos a otro proveedor, o incluso ser ella misma la que los transfiera cuando esto sea posible.
Estudios de riesgo previos a modificaciones
La LOPD 2018 establece que cuando se vaya a realizar una modificación sustancial, ya sea en el soporte, en el almacenaje, o en cualquier otro aspecto, debe hacerse previamente un estudio de riesgos y viabilidad con el fin de evitar que estos puedan ser expuestos y tomar las medidas necesarias.
Delegado de Protección de Datos
Aquellas empresas que utilicen bases de datos de organismos públicos o se dediquen al tratamiento de datos masivo están obligadas a nombrar esta figura que será el responsable de la supervisión de las prácticas habituales para que se ajusten a la normativa actual.
Con la entrada en vigor de GDPR las empresas deberán informar en un plazo de 72 horas de que han sufrido un incidente de seguridad. Y no sólo deberán dar parte a las autoridades competentes (en el caso de España, la Agencia de Protección de Datos), sino también a todos aquellos usuarios cuyos datos se hayan podido ver comprometidos.
¿A qué sanciones me expongo?
Las multas por la no aplicación de la normativa LOPD 2018 podrán aplicarse a partir del 26 de mayo de 2018. Cualquiera que haya recopilado datos para su actividad puede ser objeto de sanción.
Estas son muy altas, y aunque se modulan en función de proporcionalidad, efectividad y efecto disuasorio pueden alcanzar entre los 10 y 20 millones de euros o entre el 2% y el 4% del volumen de negocio en función de su gravedad.