Se acerca la fecha de aplicación del nuevo Reglamento de Protección de Datos
Se acerca poco a poco la fecha de aplicación del nuevo Reglamento de Protección de Datos, en este post contestamos algunas de las preguntas más frecuentes.
Ya cumplo la Ley Orgánica de Protección de Datos española, ¿la entrada en vigor del nuevo Reglamento me afecta?
Si. El Reglamento ha entrado en vigor en el año 2016 pero no comenzará a aplicarse hasta el 25 de mayo de 2018. Hasta entonces, tanto la Directiva 95/46 como las normas nacionales que la trasponen, entre ellas la española, siguen siendo plenamente válidas y aplicables.
¿tengo que hacer algo antes de que comience a aplicarse el nuevo Reglamento?
No, ya que el periodo de dos años hasta la aplicación del Reglamento tiene como objetivo permitir que los Estados de la Unión Europea, las Instituciones Europeas y también las organizaciones que tratan datos vayan preparándose y adaptándose para el momento en que el Reglamento sea aplicable.
¿Afectara a mi empresa?
Si, siempre que maneje datos de particulares. El Reglamento se aplicará como hasta ahora a responsables o encargados de tratamiento de datos.
¿Tiene mi empresa que empezar a aplicar ya las medidas contempladas en el Reglamento?
No, ya que, aunque el Reglamento está en vigor este será aplicable hasta 2018.
Sería interesante por parte de las empresas empezar a valorar la implantación de algunas de las medidas previstas, siempre que esas medidas no sean contradictorias con las disposiciones de la LOPD, que sigue siendo la norma por la que han de regirse los tratamientos de datos en España.
Por ejemplo, las organizaciones deben tener en cuenta que a partir de mayo de 2018 deberán realizar análisis de riesgo de sus tratamientos y que puede ser útil para ellas empezar desde ahora a identificar el tipo de tratamientos que realizan, el grado de complejidad del análisis que deberán llevar a cabo, etc. En esta tarea podrían utilizar las herramientas y recursos que paulatinamente vayan desarrollando las Autoridades de protección de datos.
¿Qué pasos deberá seguir la empresa?
Crear un registro de actividades de tratamiento y documentarlo
Revisar el cumplimiento de los nuevos requisitos del consentimiento, si se precisan
Adaptar las cláusulas informativas al nuevo reglamento
Designar un Delegado de Protección de Datos
Revisar y rehacer los contratos con los encargados de tratamiento
Revisar mecanismos para realizar transferencias internacionales
Realizar una evaluación de riesgos e impacto
Implantar nuevas medidas seguridad
Establecer protocolo para notificar violaciones
Poder demostrar que el tratamiento de datos se realiza conformidad con el Reglamento
¿Qué implica para los ciudadanos que el Reglamento amplíe el ámbito de aplicación territorial?
Amplia el concepto de “Dato Personal” ya que incluirá los números de identificación en línea o de localización. Además, requiere un consentimiento libre, específico, informado, inequívoco y demostrable. Es decir, el responsable del tratamiento de los datos deberá probar que el interesado prestó el consentimiento en su cesión de datos. Además, el vocabulario empleado en las cláusulas de conformidad ha de ser entendible y concreto según la situación, nunca genérico.
También se amplían los derechos para los interesados: Olvido, limitación y portabilidad
¿A qué edad pueden los menores prestar su consentimiento para el tratamiento de sus datos personales?
El Reglamento establece que la edad en la que los menores pueden prestar por sí mismos su consentimiento para el tratamiento de sus datos personales en el ámbito de los servicios de la sociedad de la información (por ejemplo, redes sociales) es de 16 años. Sin embargo, permite rebajar esa edad y que cada Estado miembro establezca la suya propia, estableciendo un límite inferior de 13 años. En el caso de España, ese límite continúa en 14 años. Por debajo de esa edad, es necesario el consentimiento de padres o tutores.
En el caso de las empresas que recopilen datos personales, es importante recordar que el consentimiento tiene que ser verificable y que el aviso de privacidad debe estar escrito en un lenguaje que los niños puedan entender.
¿Cambia la forma en la que hay que obtener el consentimiento?
Las empresas deberían revisar la forma en la que obtienen y registran el consentimiento. Prácticas que se encuadran en el llamado consentimiento tácito y que son aceptadas bajo la actual normativa dejarán de serlo cuando el Reglamento sea de aplicación.
Además, el Reglamento prevé que el consentimiento haya de ser «explícito» en algunos casos, como puede ser para autorizar el tratamiento de datos sensibles. Se trata de un requisito más estricto, ya que el consentimiento no podrá entenderse como concedido implícitamente mediante algún tipo de acción positiva. Así, será preciso que la declaración u acción se refieran explícitamente al consentimiento y al tratamiento en cuestión.
Hay que tener en cuenta que el consentimiento tiene que ser verificable y que quienes recopilen datos personales deben ser capaces de demostrar que el afectado les otorgó su consentimiento. Por ello, es importante revisar los sistemas de registro del consentimiento para que sea posible verificarlo ante una auditoría.
¿Deben las empresas revisar sus avisos de privacidad?
Con carácter general, sí. El Reglamento prevé que se incluyan en la información que se proporciona a los interesados una serie de cuestiones que con la Directiva y muchas leyes nacionales de trasposición no eran necesariamente obligatorias. Por ejemplo, habrá que explicar la base legal para el tratamiento de los datos, los períodos de retención de los mismos y que los interesados puede dirigir sus reclamaciones a las Autoridades de protección de datos. Si creen que hay un problema con la forma en que están manejando sus datos. Es importante recordar que el Reglamento exige de forma expresa que la información que se proporcione sea fácil de entender y presentarse en un lenguaje claro y conciso.
