Novedades, cambios y efectos del nuevo RGPD sobre la LOPD

El Reglamento General de Protección de Datos (RGPD) publicado en el Diario Oficial de la UE el pasado 4 de mayo de 2016, culmina el arduo proceso encabezado por la Comisión Europea para la regulación de la privacidad en toda la UE, derogando a la Directiva 95/46/CE.

No debemos entender esta derogación como “inminente”, pues la Directiva ya mencionada continuará vigente hasta la entrada en vigor del Reglamento, tras la vacatio legis establecida, a partir del 25 de mayo de 2018.

De entre las principales novedades introducidas por el Reglamento General de Protección de Datos (RGPD), podemos mencionar:

Ámbito de aplicabilidad

Se amplía el ámbito territorial a aquellos sujetos responsables y encargados del tratamiento que no estuviesen establecidos en la UE pero que las actividades de tratamiento referidas a la oferta de bienes o servicios o al control del comportamiento de los sujetos, si tuvieren lugar en la UE.

Principios

• Principio de Transparencia. Aparece recogido en el artículo 12.1 del RGPD entendiéndose por las medidas que deberán tomar los responsables del tratamiento “para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 (…) en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo”.
• Principio de Responsabilidad o “Accountability”. Fue introducido con la publicación de las Guías de la OCDE. Consiste en la asunción de responsabilidad, por parte de la entidad que recoge y procede al tratamiento de datos personales, de poner en funcionamiento los procesos y medidas que garanticen el cumplimiento de los principios y obligaciones y, por ende, mostrando ante las autoridades el cumplimiento de la normativa correspondiente.
• Protección de datos desde el diseño (Data Protection by Design) y por defecto (By Default). El responsable del tratamiento debe llevar a cabo las medidas organizativas, políticas y técnicas para “cumplir con los principios de protección de datos desde el diseño y por defecto”, reduciendo el tratamiento y contribuyendo a la transparencia, anticipación y mejora de las medidas de seguridad.

Derechos y Sanciones

• Derecho al Olvido: queda recogido en el artículo 17 del RGPD. Consiste en el derecho inherente al sujeto interesado de obtener sin dilación alguna del responsable del tratamiento, la supresión de los datos personales.
• Refuerzo del Consentimiento: no cabe el consentimiento tácito sino que deberá darse de forma expresa “mediante una declaración o una clara acción afirmativa”. En el caso de tratarse de sujetos menores de 16 años, requerirá del consentimiento de sus padres o tutores legales.
• Derecho a la Portabilidad de los Datos: recogido en el artículo 20 del RGPD, según el cual “el interesado tendrá derecho a recibir los datos personales que le incumban, que haya facilitado a un responsable del tratamiento, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable del tratamiento sin que lo impida el responsable al que se los hubiera facilitado”.
• Sanciones: se verán incrementados los topes exigidos a las empresas por el incumplimiento de la normativa. Se pasa de un tope máximo fijado en la LOPD de 600.000€ a un tope máximo de 20.000.000€ o un 4% del volumen total del negocio, a partir de 2018, optándose por la mayor cantidad.

Obligaciones para las administraciones, empresas u otras entidades tras el nuevo RGPD

• Obligación de designar a un Delegado de Protección de Datos, encargado de garantizar el cumplimiento de las disposiciones legales vigentes.
• Se deben realizar Evaluaciones de Impacto o “EIPD”, para determinar los riesgos en el tratamiento de datos de carácter personal y así poder mitigar o suprimir los mismos.
• El RGPD concede libertad suficiente a las empresas para que implanten las medidas necesarias para garantizar un alto nivel de seguridad. Se pasa de un modelo, dentro del cual, el Reglamento que desarrolla la LOPD requería de una serie de medidas de obligado cumplimiento, a un modelo que otorga total libertad en la adopción de modelos y medidas a seguir.
• La “Ventanilla Única” que prevé la posibilidad de que los ciudadanos no tengan que relacionarse con distintas Autoridades, presentando las reclamaciones o denuncias correspondientes ante la Autoridad nacional. Ésta será a su vez responsable comunicar su resolución al interesado.

Este periodo de 2 años hasta la aplicación del RGPD, pretende dotar de cierto margen de tiempo a los EEMM, Instituciones de la UE y a las organizaciones que tratan datos de carácter personal, para la adaptación a la nueva disposición reglamentaria. Asimismo, resulta recomendable comenzar cuanto antes con la aplicación de estas medidas, permitiendo así, determinar los posibles errores y solventarlos en una etapa en la que éstas no son obligatorias.