RGPD: qué cambia y así te afectará el nuevo reglamento de privacidad europeo

En principio, recalcan expertos en derecho digital consultados, las exigencias europeas vienen a ofrecer protecciones para los usuarios, empleados y clientes. Uno de los factores determinantes es, sin lugar a dudas, la existencia de un consentimiento expreso y no tácito como venía sucediendo hasta ahora. Una medida que, en principio, contribuirá a una mayor transparencia acerca del tráfico de información privada de cada ciudadano . Las empresas estarán obligadas a adoptar este marco legal dado que su incumplimiento las expondrá a cuantiosas sanciones de hasta 20 millones de euros o hasta el 4% de la facturación anual.

Esta es, sin lugar a dudas, una de las medidas más importantes para beneficio de los usuarios ante las empresas que tratan información personal. Con la nueva norma, los responsables de los servicios deberán ofrecer al usuario todas las posibilidades de aceptación o rechazo. Habrá que darles el premiso expreso y no tácito como hasta ahora. Así, en los casos en los que sea necesaria una aceptación expresa esta tendrá que ser libre , «no pudiendo ser obligado el usuario a aceptar un tratamiento de sus datos como contraprestación para acceder al servicio», establece el reglamento. De ahí que, a partir de ahora, queden prohibido las casillas premarcadas o activadas por defecto.

«El RGPD va a beneficiar a los usarios de a pie porque los derechos se ven potegidos. Las empresas no lo tienen que ver como una carga, sino como una forma de afianzar la confianza de los usuarios. Más alla de verse como un obstáculo se tiene que ver como una oportunidad para generar más confianza, algo que hemos visto como de la noche a la mañana se pierde como en el caso de Facebook», explica a este diario Eduard Blasi , experto en derecho digital de Marimón Abogados .

«Nuestros datos van a estar sin duda más protegidos», asegura a Efe el presidente de la Asociación de Usuarios de Internet (AUI), Miguel Pérez Subías , tras destacar las garantías de privacidad que ofrecerá el reglamento de protección de datos. Esta ambiciosa norma que cambia las reglas del juego para las empresas ante la privacidad de los ciudadanos pues impondrá obligaciones para hacer valer «nuestros derechos», y asimismo herramientas al regulador para poder exigir que se cumplan.

La transferencia de datos personales a terceros «sin mi consentimiento» no estará permitida, y cualquier problema de seguridad que afecte a la privacidad deberá ser informado por parte de las empresas a las autoridades competentes e incluso al usuario cuando sea de alto riesgo. « Los datos personales no podrán guardarse más tiempo del necesario para la función que fueron recabados ». De ahí que los correos informativos de empresas que tienen nuestras direcciones se hayan acumulado en los últimos días, aunque si bien es cierto que muchos de ellos no cumplen en realidad con el protocolo porque no intentan recabar el consentimiento expreso.

Otra de las medidas que contempla el reglamento es la posibilidad de recibir una especie de paquete con toda la información completa con los datos personales de cada uno, algo útil y necesario en caso de cambiar de servicio con otra empresa. El RGPD introducirá, al menos, unos derechos inexistentes hasta ahora como el de la posibilidad de descargarse sus datos en un formato electrónico , así como solicitarle a la empresa que remita esos datos personales a otra para ser dados de alta en otro servicio. No obstante, esta portabilidad no implica la baja en el servicio original como sí sucede en las empresas de telecomunicaciones.

Esto también representará una garantía de control por parte de los departamentos de recursos humanos. «El objetivo de la nueva regulación es estandarizar y fortalecer los derechos de los residentes europeos en relación a sus datos personales», señalan fuentes de la consultora Factorial . Esto significa que cualquier organización que se ocupe de los datos privados de residentes en la UE debe cumplir con los nuevos estándares de transparencia, seguridad y sobre todo responsabilidad.

En particular, la nueva normativa obligará a las empresas a guardar únicamente datos de sus empleados que sean correctos, actualizados y necesarios en una plataforma que cumpla también con el nuevo reglamento. «Las empresas se verán obligadas a comunicar con claridad, cómo, dónde y durante cuánto tiempo se almacenará la información personal de un trabajador», añaden las mismas fuentes. Pudiendo, además, solicitar una copia de todos esos datos en cualquier momento así como ordenar su eliminación.

Aunque ya estaba en vigor, a partir de ahora se refuerza este derecho a solicitar a servicios de internet y empresas que tratan datos personales de la posibilidad borrar nuestra información siempre y cuando se ajuste a unos supuestos. En el caso del « derecho al olvido » en internet, siempre habrá que ponderar si se antepone o no el derecho a la información.

A partir de ahora se extiende y se amplía las garantías no solo a los motores de búsqueda como Google, el más usado el mundo, sino también a otros entornos . Pero también entra el concepto de supresión, más ampliado que en LOPD, y que permite al usuario tener a mano herramientas para solicitar la eliminación de sus datos de un fichero. Y, por primera vez, el reglamento incluye la posibilidad de que el consumidor decida el tiempo de duración de la información tratada.

Otra de las medidas importantes, recalcan los expertos consultados, estriba en la protección al menor. Hasta ahora, la normativa vigente (LOPD) establecía una edad mínima de 14 años para poder ingresar, teóricamente, a los diferentes servicios digitales. Con la puesta en marcha del RGPD se asciende esa edad hasta los 16 años. Aplicaciones y redes sociales deberán recabar el consentimientos de los usuarios de mayor edad y, en caso de no alcanzarla, habrá que contar con la aprobación de los tutores o padres, aunque esta norma es difícil realmente de procesar y confirmar.

Una de las principales medidas que se establecen en el nuevo marco legislativo es que los términos de uso y las políticas de las compañías (no solo las que operan en la esfera de la tecnología, sino todas aquellas que traten datos personales) deban redactarse y publicarse de una manera más sencilla y clara, es decir, comprensible para todos. Teniendo a mano una información más clara acerca de la privacidad de la información se pretende que los usuarios y consumidores sean a qué atenerse, sabiendo en detalle y de una manera más exhaustiva para qué fines se van a utilizar los datos agregados, qué duración, dónde y cómo.

Entre las obligaciones de las empresa se encuentra la designación de un Delegado de Protección de Datos (DPO) . Aunque esta es una figura legal dentro de la empresa, todas ellas deberán designar (ya sea a nivel interno o contratar asesores externos) con una persona que se encargue de velar los la privacidad de los datos personales de los usuarios y clientes. ¿Qué quiere decir eso? Los ciudadanos y usuarios se encontrarán con un defensor de los datos al que dirigirse.

También otra medida que contempla el reglamento es la creación de una «ventanilla única», otra de las medidas para que los usuarios interesados puedan efectuar trámites, aunque estos afecten a las autoridades e, incluso, a diferentes estados miembros. Es decir, una denuncia se podrá efectuar también fuera de tu país de residencia, algo que hasta la fecha era un quebradero de cabeza.

De ahí que cobre mayor importancia algunos avances técnicos. «El uso de tecnologías del tipo Big Data, donde se aportan datos de todo tipo, estructurados y no estructurados, nos pueden hacer perder nuestra intimidad, nuestra libertad, por eso es tan importante tener nuestros datos controlados, que no se usen sin nuestro consentimiento, y solo para aquello para lo que autorizamos. El derecho a la intimidad, a la privacidad hay que valorarlo más, nos estamos jugando nuestra libertad», apunta en un comunicado Ricardo Barrasa , presidente de la Asociación de Auditores y el Control de los Sistemas de Información ( ISACA ).

El RGPD promete una mayor transparencia: además de informar claramente a los ciudadanos para qué y cómo procesan sus datos personales, a partir de mayo será de obligado cumplimiento que las empresas incorporen nuevas notificaciones a la Autoridad de Control y anuncien, con total transparencia, acerca de posibles brechas de seguridad y autorización previa para determinados tipos de tratamiento en un plazo máximo de 72 horas. La pregunta es si lo cumpliarán o si, por el contrario, muchas empresas preferirán pagar la sanción.

En ese sentido, es fácil pensar que el cibercrimen es algo que solo puede afectar a los demás. Sin embargo, las estimaciones apuntan a que el 10% de la población mundial es víctima del cibercrimen cada año. En opinión de Eduardo Esparza , responsable de la consultora Affinion España, las regulaciones como el RGPD están ayudando a dirigir el rumbo en la dirección correcta dado que «las compañías deben facilitar a sus clientes las herramientas necesarias para la protección de su identidad, ya sean servicios que busquen de manera activa riesgos potenciales en la privacidad de datos como soluciones que sensibilicen a los consumidores para fomentar una mayor seguridad y la tan ansiada defensa de la marca».