Publicado el nuevo Reglamento de Protección de Datos: ¿Cuáles son las novedades?
En Ilisástigui Abogados ya nos hicimos eco hace pocas semanas de muchas de las novedades que traería de la mano la aprobación del nuevo Reglamento de Protección de Datos. Ahora, tras cuatro años de negociaciones y un trámite final en el Parlamento comunitario, el texto definitivo ha visto la luz. Te contamos todo lo que trae de nuevo y recordamos cómo afectará a las empresas la nueva normativa, más estricta y garante de los derechos de los consumidores.
Un texto de compleja negociación
El nuevo Reglamento de Protección de Datos fue aprobado definitivamente el pasado 14 de abril por el Parlamento Europeo, y trae de la mano un gran número de novedades que prometen afectar a miles de empresas no sólo en Europa, sino en todo el mundo, ya que se aplicará también a aquellas sociedades que traten datos personales de quienes pertenezcan al ámbito de la UE. Queda, por tanto, un largo camino por recorrer durante el margen de tiempo de que disponen las empresas para adaptarse a la nueva norma: 2018 será el año que marque ese fin definitivo de la aplicación de la anterior normativa.
Se trata de un texto cargado de modificaciones, fruto de cuatro años de intensa negociación y de una actualización de contenidos que tiene mucho que ver con los nuevos problemas que plantea la era digital: su objetivo es devolver a los ciudadanos el control de sus datos personales y garantizar en toda la UE unos estándares de protección elevados y adaptados al entorno digital. Entre otras cosas, se regula el Derecho al Olvido (ya dibujado en gran parte gracias a la jurisprudencia del TJUE), o el tratamiento de datos personales especialmente sensibles.
¿Cuáles son los nuevos derechos para los ciudadanos europeos?
Una de las claves del nuevo Reglamento se encuentra en otorgar a los ciudadanos europeos nuevos derechos en materia de protección de datos, reforzando además los existentes y aclarando los términos necesarios. Se trata de actualizaciones necesarias en un entorno en el que la era digital supone cambios de paradigma muy rápidos.
– La norma se inspira en nuevos principios reguladores: los tratamientos de datos deberán ser justos, legales y transparentes, y éstos deberán obtenerse para finalidades específicas, explícitas y legítimas, así como no usados para finalidades incompatibles. Igualmente deberán ser adecuados, relevantes y limitados a las finalidades previstas, debiendo ser actualizados o eliminados cuando sean inexactos.
– Además, nacen nuevas obligaciones relacionadas con nuevas categorías especiales de datos: origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, pertenencia a sindicatos, datos genéticos y biométricos en orden a identificar singularmente a una persona o cualquier otro dato relativo a la salud, y vida u orientación sexual de una persona. Según el nuevo Reglamento, todos estos tratamientos quedan prohibidos salvo que se cuente con el consentimiento explícito del afectado o que se ampare en alguna de las excepciones previstas, entre otras el cumplimiento de obligaciones en materia de empleo y seguridad social derivadas del derecho de la Unión, Estados Miembros o Convenios Colectivos, en interés vital de afectado o de otra persona que se encuentre física o mentalmente incapaz de prestar el consentimiento.
– El texto también recoge el llamado ‘Derecho al Olvido’, dando así forma legal a lo que la jurisprudencia comunitaria ya ha ido construyendo. Se trata del derecho que tiene el titular de un dato personal a borrar, bloquear o suprimir información personal que se considera obsoleta o no relevante por el transcurso del tiempo o que de alguna manera afecta el libre desarrollo de alguno de sus derechos fundamentales.
– El nuevo Reglamento también hace especial hincapié en el derecho a la portabilidad de los datos de un usuario de un sistema de tratamiento electrónico a otro, e impone que se vele por un acceso más fácil a los datos personales.
– Su enfoque es más preventivo que sancionador: las empresas también tendrán una nueva obligación de realizar análisis de riesgos y evaluaciones de impacto antes de iniciar el tratamiento de datos, con el fin de comprobar que cumplen con la normativa. La idea es identificar previamente los riesgos que un producto o servicio puede implicar para la protección de datos antes de que se materialicen. También deberán registrarse documentalmente las operaciones de tratamiento de datos, una obligación que afectará tanto a los responsables de fichero como a los encargados de tratamiento.
– Con todo, el texto incluye un régimen sancionador completo, que detallan tanto las agravantes como las atenuantes.
– En línea con lo anterior, aparece la figura del DPO (Data Protection Officer), que deberá designarse en las Administraciones Públicas -excluyendo juzgados y tribunales-, así como las empresas, organizaciones y entidades que lleven a cabo un tratamiento de datos “a gran escala”, entendiéndose por gran escala tener más de 250 trabajadores o manejar datos especialmente sensibles, como los relacionados con salud, religión, etc.
– El texto contiene una nueva regulación de los mecanismos de supervisión y control, algo muy importante teniendo en cuenta que en la actualidad solo 13 de las autoridades nacionales tienen la competencia previa de autorización de flujos de datos a terceros países, mientras que en el resto de los casos intervienen solo después cuando conocen que se ha producido algún tipo de vulneración de la normativa.
– Otra novedad pasa por la creación de la ‘ventanilla Única’ (One-stop-shop), que permitirá que una empresa española con sedes en otros países de la UE sólo tenga que dirigirse a la autoridad de protección de datos española o a la del Estado miembro donde se encuentre su matriz.
¿Necesitas que tu empresa se adapte al nuevo Reglamento? ¡Consúltanos!