El Reglamento General de Protección de Datos (RGPD) ha entrado en vigor el 25 de mayo de 2016 tras un proceso de revisiones llevado a cabo en el seno de la Unión Europea que comenzó en 2012. Antes de la aprobación de este nuevo reglamento las instituciones europeas han analizado y valorado a fondo las medidas contempladas en la legislación en materia de protección de datos con la finalidad de garantizar la máxima seguridad y un tratamiento homogéneo en toda Europa.
Se trata de una normativa que las empresas deben cumplir y, para ello, se ha establecido un periodo de adaptación que finalizará en mayo de 2018, fecha tope establecida para adaptar las empresas al cumplimiento de esta nueva normativa. Previamente a la aprobación de este reglamento en España estaba en vigor la Ley Orgánica de Protección de Datos (LOPD) que tras la aprobación del reglamento convive con esta normativa otorgando siempre prioridad a lo establecido en el reglamento en caso de discrepancias o dudas.
Uno de los aspectos más destacados de este nuevo reglamento es el relativo a las sanciones a las que pueden verse sometidas las empresas en caso de no cumplir con lo establecido en la normativa. Estas sanciones pueden llegar hasta los 20 millones de euros o un 4 % de la facturación anual.
¿Qué novedades incorpora el Reglamento General de Protección de Datos?
La finalidad de este Reglamento no es otra que permitir un nivel adecuado de protección de datos para las empresas. Para ello se han introducido una serie de novedades y cambios que se describen a continuación:
– Obligación de informar a usuarios y clientes
Se hace una ampliación del deber de informar a los usuarios y clientes y se establece que el consentimiento del usuario siempre deberá ser explícito, que deberá ponerse de manifiesto mediante una acción afirmativa o declaración.
– Ámbito de aplicación
Lo establecido en el reglamento afectará a los responsables que traten datos personales de ciudadanos de la Unión Europea con independencia del lugar donde esté ubicado el negocio. Por tanto, para empresas ubicadas fuera de la Unión Europea pero que están ofreciendo sus productos o servicios en el seno de la unión.
– El Data Protection Officer
En el nuevo reglamento se establece la figura del Data Protection Officer como figura indispensable en cualquier organización. Esta figura deberá tenerla tanto las empresas públicas u organismos públicos como las empresas que operan en Europa y trabajan con grandes cantidades de datos. Sus principales funciones serán garantizar el cumplimiento de la normativa, notificar las situaciones en las que se den violaciones de la seguridad y gestionar las autorizaciones necesarias. La normativa permite que esta figura sea un trabajador propio de la empresa o que sea contratado externamente.
– Evaluaciones de impacto
Otro aspecto importante en la normativa es la exigencia de desarrollar evaluaciones de impacto previamente al tratamiento de los datos que van a ser evaluados.
– Definición de privacidad desde el inicio
Un aspecto importante de esta regulación es que desde el comienzo del desarrollo del proceso de protección de datos las empresas deben conocer y definir qué medidas van a llevar a cabo para la protección de datos.
– Obligación de comunicar la violación de datos
Otra de las novedades que introduce la nueva regulación es la obligación para las empresas de comunicar cualquier violación de datos o brecha de seguridad. La propia empresa será la que tendrá que comunicar a la autoridad competente que se ha producido una pérdida de datos. Las empresas no solo deben comunicar este fallo en la protección de datos a la entidad responsable, sino a los propietarios de los datos que se han perdido o violado.
– Mayores sanciones
En la nueva regulación se introducen sanciones más cuantiosas ante un incumplimiento de la normativa. Para las empresas, especialmente de mayor tamaño, que incumplan con lo establecido en la legislación podrá haber multas de hasta 20 millones de euros o un 4 % de la facturación de la empresa el año anterior. Cabe señalar que estas multas afectarán tanto a la empresa como al responsable del fichero.
Otras medidas que incorpora el nuevo reglamento de protección de datos vienen dadas por los sistemas de seguridad que están obligados a implementar. En el caso de las empresas se establece la obligación de un sistema de cifrado y una doble autenticación.
El proceso de adaptación de la normativa en las empresas será un proceso largo y, por eso, es importante que la adaptación se comience a poner en marcha lo antes posible para que en el plazo establecido se disponga de tiempo para cumplir con todos los requisitos. Esto es importante ya que el Reglamento General de Protección de Datos es un documento que incorpora penalizaciones y multas importantes antes un incumplimiento y que afecta a todas las empresas a nivel europeo.
