Qué debes saber sobre el Reglamento General de Protección de Datos (RGPD)

El Reglamento General de Protección de Datos (RGPD), o General Data Protection Regulation (GDPR, por sus siglas en inglés), pasó a ser de obligado cumplimiento el 25 de mayo de 2018, cambiando algunos aspectos relevantes en el tratamiento de datos personales por parte de las empresas.

A raíz de la aprobación de este Reglamento, tú como usuario tienes que dar tu consentimiento inequívoco para que las empresas puedan utilizar tus datos si eres ciudadano de la Unión Europea. Y no solo eso, sino que tienen que decirte qué datos están utilizando, cómo están siendo tratados, para qué fin y quién es la persona responsable de los mismos.

Esta normativa ha afectado y afecta a todas aquellas empresas que traten datos de los ciudadanos europeos, aunque sean de Estados Unidos, como por ejemplo es el caso de Google o Facebook. Las importantes multas a las que se enfrentan quienes no cumplan con este Reglamento es uno de sus puntos más controvertidos, pero estas siglas también suponen una nueva manera de avisarnos acerca de qué información cedemos y para qué se usa. Te lo contamos a continuación.

¿Qué es el RGPD y qué objetivo tiene?

Tal y como podemos comprobar en la Web Oficial de la Unión Europea, el paquete de medidas sobre protección de datos busca preparar a Europa para la era digital y facilitar la actividad económica, ya que aclara las normas aplicables a las empresas y los organismos públicos en el mercado único digital. Además, la existencia de una norma única pone fin a la fragmentación en distintos sistemas nacionales y a las cargas administrativas innecesarias. El Reglamento entró en vigor el 24 de mayo de 2016, pero no fue hasta el 25 de mayo de 2018 que pasó a ser de obligado cumplimiento.

El Reglamento General de Protección de Datos (RGPD) es un Reglamento por el que el Parlamento Europeo, el Consejo de la Unión Europea y la Comisión Europea, tienen la intención de reforzar y unificar la protección de datos para todos los individuos dentro de la Unión Europea. Asimismo, se ocupa de la exportación de datos personales fuera de la UE. Su objetivo principal es otorgar control a los ciudadanos y residentes sobre sus datos personales y simplificar el entorno regulador de los negocios internacionales unificando la regulación dentro de la UE.

Este nuevo régimen de protección de datos de la UE amplió el ámbito de aplicación de la legislación de protección de datos de la UE a todas las empresas extranjeras que traten datos de residentes europeos, armonizando así los reglamentos de protección de datos en la Unión Europea y facilitando que las empresas no europeas cumplan estas normas. Sin embargo, esto conlleva un estricto régimen de cumplimiento de la protección de datos. Las sanciones más graves van de 300.001 € a 20.000.000 € o el 4% de la facturación anual (la cuantía que sea mayor).

Se trata de la primera norma sobre esta materia que afecta a todos los países de la Unión Europea y unifica, por tanto, tanto los derechos como las obligaciones. De hecho, fue una reivindicación de muchas empresas y sectores como el tecnológico durante años, ya que tenían que hacer frente a 28 legislaciones diferentes sobre el uso y tratamiento de datos personales para poder ofrecer sus servicios en Europa.

¿Quién debe cumplir el RGPD?

Son muchas las empresas que manejan una importante base de datos de sus clientes, proveedores o personas que en algún momento estuvieron interesadas en sus productos o servicios.

En la mayoría de las ocasiones, estos datos son utilizados por la empresa únicamente para mejorar la calidad de sus servicios, conocer más y mejor a sus clientes y adaptar su oferta a lo que buscan o necesitan. Sin embargo, hay casos en los que se da un tratamiento abusivo a los datos personales, difundiéndolos a cualquier otra empresa sin el consentimiento del cliente.

Debido a esta mala praxis podemos ser vulnerables a hackers o scammers, recibir SPAM o información no deseada, …, sin saber cómo se han difundido nuestros datos.

Ante esta problemática, surgió el Reglamento General de Protección de Datos. Su principal fin es otorgar un uso más responsable a los datos personales que proporcionan los consumidores, ofreciéndoles mayor seguridad en el mundo digital.  Además, le confiere a cada persona el derecho a decidir si sus datos pueden ser utilizados o no por una entidad pública o privada.

El Reglamento General de Protección de Datos determina que todas las empresas, independientemente de cuál sea su país de origen o actividad, están obligadas a su cumplimiento si recogen, gestionan, usan, tratan o guardan algún tipo de dato de los ciudadanos de la Unión Europea.

Es decir, hablamos de que las siguientes figuras con presencia en la Unión Europea deben cumplir con el RGPD:

• Entidades mercantiles
• Administraciones e instituciones públicas
• Asociaciones
• Autónomos
• Comunidades de bienes
• Comunidades de vecinos o propietarios
• Organizaciones No Gubernamentales (ONG’s)

¿Cómo cumplir con el RGPD?

Con la irrupción de las nuevas tecnologías en nuestra vida diaria y en los negocios, el manejo y uso de datos personales es un aspecto clave para la seguridad de todos los usuarios.

El RGPD implica responsabilidad por parte de las empresas, aplicando medidas tanto técnicas como organizativas que demuestren que el tratamiento de datos se hace conforme al Reglamento. Ello requiere que las organizaciones y empresas analicen qué datos tratan, con qué finalidad y cómo son utilizados estos datos.

En el caso de España, no podemos decir que haya sido una normativa revolucionaria ya que, por la existencia de LOPD (Ley Orgánica de Protección de Datos) que llevaba varios años implantada y que fue derogada por la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se había generado la suficiente concienciación acerca de la necesidad de proteger los datos privados de los usuarios.

Consejos para cumplir con el RGPD

• Asegurar que la información almacenada es correcta. El RGPD favorece a las empresas que almacenan la información y les da el derecho de tener la información correcta almacenada en sus servidores.
• Identificar qué datos mantener y cuáles no. Los datos que por algún motivo quedan en desuso o son obsoletos, deben ser borrados.
• Revisión de las Políticas de Privacidad. Se ha de ser transparente con los datos que se manejan de clientes, por lo que revisar los acuerdos de privacidad es un paso a tener en cuenta para actualizarlos al RGPD. A mayor transparencia, mayor confianza.
• Cumplimiento con los derechos de las personas. El RGPD otorga más derechos a los usuarios, siendo de los principales el derecho a la eliminación de datos o el derecho al olvido.
• Obtención de consentimiento expreso. Para que se considere válido, este consentimiento deberá ser comunicado de forma transparente al usuario, asegurándonos de que han sido correctamente informados y han aceptado la cesión de sus datos.
• Actualizar las políticas y procesos de seguridad de datos. La redacción de estas políticas ha de ser de fácil comprensión y con un lenguaje sencillo y claro. Además, deben ser accesibles.
• Adoptar el RGPD en la cultura de la empresa. Aquellas personas que manejen datos han de ser conscientes de los motivos por los que disponen de ellos y de si es necesario notificar que los tienen.
• Establecer un Delegado de Protección de Datos. Esta figura es importante en las administraciones públicas y asociaciones que manejen grandes volúmenes de datos. Puede ser una figura externa a la compañía y se encargará de identificar cualquier riesgo involucrado en la protección de datos así como sus posibles soluciones.
• Seguridad. En caso de que haya algún tipo de filtración de datos, se dispone de 72 horas para informar a los afectados. Para evitar estas situaciones, lo mejor es optar por la contratación de servicios fiables de almacenamiento de datos, además de establecer una política de seguridad actualizada.
• Fuente de transparencia y fiabilidad. El RGPD nos ofrece la oportunidad de mejorar de forma que nos ayude a aumentar la confianza de nuestros clientes.

¿Cuáles son tus derechos como usuario?

El Reglamento General de Protección de Datos permite a los ciudadanos retirar su consentimiento y eliminar la información de los servidores de la empresa. Es decir, que aquel que ceda el tratamiento de sus datos personales lo hace con pleno conocimiento.

De igual modo, las empresas serán responsables de la seguridad de los datos personales, que deberán ser gestionados correctamente según la normativa y se emplearán para los fines establecidos. Los ciudadanos menores – de 16 años en adelante – pueden dar su propio consentimiento. Los Estados miembros pueden rebajar la edad, pero en ningún caso será para menores de 13 años.

Derechos reconocidos en el RGPD

Este Reglamento recoge y reconoce derechos, tales como el derecho al olvido que comentábamos anteriormente y el derecho de portabilidad. El derecho al olvido establece que los ciudadanos podemos solicitar que nuestros datos personales sean eliminados cuando, entre otros casos, ya no sean necesarios para la finalidad con la que fueron obtenidos, cuando se haya retirado el consentimiento o cuando se hayan recogido de forma ilícita.

El problema es que no es un derecho absoluto y existe confrontación con otros derechos, como la libertad de información de la que hablábamos en unos de nuestros últimos artículos sobre el derecho de rectificación, por lo que habría que valorar cada caso de forma concreta y en base a unos determinados criterios.

Respecto al derecho de portabilidad, permite que si tus datos están siendo tratados de modo automatizado, puedas recuperarlos en un formato estructurado como Excel para cederlos a otro responsable. Los derechos como usuarios siempre se pueden ejercitar, como por ejemplo solicitar su cancelación, pero en la práctica no siempre es tan fácil, especialmente si está en vigor una relación contractual o existe un plazo legal de conservación.

Otro de los nuevos derechos que contempla el RGPD es el de acceso. De este modo, podrás pedir a las empresas que te confirmen si tus datos se están procesando, dónde y con qué finalidad. Si lo haces, puedes pedir también una copia de tus datos personales de manera gratuita.

Conclusión

El período de adaptación de las empresas al RGPD finalizó ya en 2018 y fue a partir de entonces cuando pasó a ser de obligado cumplimiento. Aunque ya llevamos un tiempo con esta normativa, seguimos recalcando la importancia de entender que ya no es posible solicitar ningún tipo de dato personal sin fundamentos legales ajustados al RGPD.

Esto significa que las políticas de uso y gestión de datos deben publicarse en detalle para que clientes, proveedores, empleados y usuarios de la página las conozcan. Con el RGPD, cada página web debe ofrecer la opción de que un cliente revoque cualquier permiso sobre su información personal y que, cuando quiera, pueda solicitar a la página que elimine por completo sus datos almacenados.

Esto significa que es muy importante contar con una base de datos interna separada, que sea segura y que esté actualizada en cuanto a las peticiones por parte de los usuarios, tanto de suscripción como de eliminación.

Tanto si tienes una empresa y necesitas asesoramiento acerca del uso y gestión de los datos personales de tus clientes, como si quieres que se garanticen tus derechos como usuario y el ejercicio de estos, en RepScan podemos ayudarte. No dudes en contactar con nosotros, estaremos encantados de atenderte.