EUROPA SE TOMA EN SERIO LA PRIVACIDAD
El uso que empresas y administraciones hacen de los datos personales es motivo de preocupación entre los ciudadanos, que viven con la incertidumbre de saber si su información personal está en buenas manos. Ante esta realidad, la UE ha aprobado un nuevo Reglamento de Protección de Datos con importantes repercusiones en la gestión que se haga de esta información. Una regulación con efecto directo sobre las empresas, y que prevé sanciones millonarias para los casos más graves.
Sin embargo, la aprobación de este reglamento no ha sido para nada fácil. Ha costado más de cuatro años de borradores, largas y complejas negociaciones, presiones de poderosos lobbies empresariales liderados por las tecnológicas americanas, múltiples enmiendas y desacuerdos internos entre los estados miembros, el lograr un texto definitivo, que viene a sustituir de facto a la anterior Directiva 95/46/CE que fue traspuesta a nuestro ordenamiento por nuestra vigente Ley Orgánica de Protección de Datos de 1999.
El resultado es el mayor desarrollo legislativo en materia de privacidad desde 1995, ya que representa un nuevo paradigma, por la amplitud y la profundidad de los cambios que supone en materia de protección de datos, y viene a consagrar el derecho a la protección de datos como un pilar básico de las garantías y libertades de los ciudadanos europeos.
Tal es la envergadura y profundidad de los cambios introducidos por el nuevo reglamento, que se establece un plazo de dos años para que sus disposiciones sean de aplicación, con objeto de que las empresas y administraciones sean capaces de adecuar sus procedimientos y procesos de gestión al nuevo marco normativo. Hay trabajo por delante, y la opinión pública se encuentra más sensibilizada que nunca en la forma en que su información personal es utilizada en un mundo cada vez más digital.
Las principales características del reglamento son su efecto directo (no necesita de ley nacional para su aplicación directa en España), la transformación de la responsabilidad de quien trata los datos, bien del responsable o de quien los procesa en su interés, el fortalecimiento y desarrollo de nuevos derechos de los afectados y, en general, el establecimiento de nuevas obligaciones, así como atribuciones a las autoridades de control nacionales -nuestra AEPD- con el fin de ofrecer una mayor seguridad jurídica y contribuir al desarrollo del Mercado Único Digital europeo.
Otra de las novedades es el endurecimiento del régimen sancionador, que prevé la imposición de sanciones de hasta 20 millones de euros o el 4 por ciento de la facturación anual del anterior ejercicio fiscal, según sea el importe más elevado.
De igual modo, se importa a Europa del sistema jurídico anglosajón el concepto de la privacidad desde el diseño, que obligará a las empresas a implementar políticas y medidas que les permitan acreditar el cumplimiento del marco legislativo desde el momento en el que se diseña un nuevo producto o servicio -especialmente, los digitales- que implique un tratamiento de datos. De esta forma, las empresas que realicen este ejercicio previo obtendrán una ventaja competitiva sostenible, al poder identificar y mitigar apriori los posibles riesgos de fuga de información o uso indebido de la misma, ligados a la implementación de determinados servicios o productos, lo que puede suponer una reducción de elevados costes.
Otra importante novedad consiste en la incorporación de nuevas medidas técnicas y organizativas, hasta ahora inéditas en las legislaciones nacionales, entre las cuales cabe destacar la obligación para las empresas de designar un delegado de Protección de Datos, siempre que concurran los requisitos establecidos en el reglamento. Se admite la externalización de esta figura.
Asimismo, las empresas deberán notificar una violación de datos personales a la autoridad nacional de control y, en algunos supuestos, a los propios interesados; documentar las operaciones de tratamiento de datos personales que se realicen, a través de una evaluación de impacto; obtener el consentimiento expreso de los afectados y utilizar un lenguaje claro que permita conocer fácilmente las finalidades del tratamiento, entre otras medidas.
En definitiva, para garantizar el cumplimiento de esta nueva normativa, las empresas deberán actualizar y, en muchos casos, elaborar políticas, procedimientos internos y procesos de gestión, incluida la formación de sus empleados, para adecuarse a los cambios que introducirá el nuevo reglamento. Como siempre en estos casos, las empresas se enfrentan a un gran reto, pero también ante una gran oportunidad que le puede permitir adquirir una ventaja competitiva en el mercado que les diferencie de su competencia.
En este contexto, es aconsejable que cualquier entidad, con independencia de su grado de adaptación a la actual normativa de protección de datos, realice un diagnóstico de situación y, en función de su problemática particular y de su sector, establezca un mapa y calendario de adaptación al efecto de minimizar los costes y aprovechar las oportunidades que puede suponer una pronta adaptación al nuevo marco regulatorio frente a colectivos de los titulares de datos -como clientela y trabajadores- así como frente a sus competidores.
