Lo mejor y lo peor de la nueva normativa de privacidad, según los expertos

Entre sus «beneficios», muchos apuntan a que el usuario estará más protegido y tendrá el control de lo que las empresas, sobre todo las grandes tecnológicas como Google , Facebook o Microsoft , conocen de su alter ego en internet. El hecho de que tengan que responder ante la justicia europea aunque estén afincadas en países extracomunitarios es otro de los motivos por los que este reglamento se ha llevado aplausos. Pero también hay quien critica su imprecisión en muchos de sus apartados , o que la normativa, a pesar de haber nacido en 2016 (las empresas han tenido dos años de plazo para «aclimatarse» a esta nueva realidad), ha sufrido cambios hasta hace apenas unas semanas.

Por ello, ABC se ha puesto en contacto con cuatro expertos en Derecho especializados en protección de datos que señalan, en su opinión, lo mejor y lo peor del recién llegado RGPD.

Lo mejor : «Obliga a las multinacionales norteamericanas y asiáticas que prestan servicios en Europa y, por ello, tratan datos personales de ciudadanos europeos, a someterse a la legislación, a las agencias de protección de datos y a los tribunales de la UE. Por ende, pueden ser sancionados con multas que pueden ser muy importantes (miles de millones de euros). Ya no se pueden "escapar", como hacían antes».

Lo peor : «"Degrada" el principio y la regla general del consentimiento del titular para el tratamiento de sus datos personales y lo pone al mismo nivel de lo que eran y deberían seguir siendo unas excepciones, muy fundamentadas: el "interés público" o el "interés legítimo" de una empresa por tratar nuestros datos personales SIN nuestro consentimiento. Habrá que estar muy vigilantes, porque puede ser una "puerta de atrás" o un auténtico "agujero negro" para evitar pedir el consentimiento de los titulares de los datos».

Lo mejor: «La ampliación del ámbito territorial de aplicación. Hasta ahora, la protección que confería la normativa se basaba en la ubicación de la empresa que tratase los datos personales, de forma que si esa empresa no estaba establecida en España o algún otro país de la UE, no le eran exigibles las garantías establecidas en la normativa de protección de datos. Esto dejaba a los europeos desprotegidos cuando, por ejemplo, una gran corporación de Estados Unidos trataba nuestros datos pero no tenía sede en Europa. Ahora, con el RGPD, el criterio a tener en cuenta es la residencia de la persona titular de los datos, de suerte que si es europea el manto protector del RGPD le acompañará en todo momento, aunque la empresa que trate los datos se encuentre en un lugar recóndito del planeta».

Lo peor: «El gran número de imprecisiones del RGPD. Hay numerosas disposiciones que utilizan expresiones como "medidas razonables", "sin dilaciones", "no más tiempo del necesario", "a gran escala", "cuando sea técnicamente posible", etc. Esto se traduce en una gran inseguridad jurídica pues el destinatario de la norma no va a tener claro si está cumpliendo o no con la normativa. Un par de ejemplos. ¿Durante cuánto tiempo se pueden mantener los datos que permitan la identificación de los interesados? Durante no más tiempo del necesario dice el RGPD, ¿pero cuánto tiempo es eso? Otro más: en relación al tratamiento de menores de edad, ¿cómo debe el responsable del tratamiento asegurarse que el consentimiento fue dado por sus padres? El RGPD dice que mediante "esfuerzos razonables", ¿pero qué es un esfuerzo razonable?».

Lo mejor: «Introduce una serie de aspectos positivos en la protección de derechos, pudiendo destacar entre ellos las obligaciones de prevención impuestas a las organizaciones a la hora de tratar datos. Pasamos de un modelo reactivo a uno proactivo, con la existencia de medidas como la protección de datos desde el diseño y por defecto, además de la obligación de notificación de violaciones de seguridad.

Además, se regula de manera más estricta la figura del consentimiento, exigiendo ahora una declaración de los interesados o una acción positiva e impidiendo que pueda utilizarse el mero silencio o inacción para entender que el titular de derechos ha dado su consentimiento para el tratamiento de sus datos, además de deber dar la opción de consentir las diversas finalidades (lo que llamamos un consentimiento granular).

La información que se debe facilitar, y el derecho a la portabilidad de los datos, van más allá de la regulación actual. Por otro lado, la existencia de sanciones que tienen en cuenta el volumen de negocio total anual global a la hora de establecer el importe favorecerá la búsqueda del cumplimiento de la norma incluso entre entidades de gran relevancia y volumen».

Lo peor: «Respecto a los aspectos negativos, existen múltiples opiniones. Desde algunos sectores se habla de nuevas cargas para cumplir con el Reglamento. De hecho, pese a que ha transcurrido un periodo de tiempo amplio para la adaptación desde la entrada en vigor del Reglamento, existen muchas entidades que aún no han realizado el trabajo interno necesario para adaptarse al mismo.

Además, el Reglamento introduce una serie de conceptos jurídicos como el ‘interés legítimo’, que han planteado dudas sobre cómo deben interpretarse y su alcance a la hora de legitimar un determinado tratamiento.

Por otro lado, y aunque no haya sido causado por el texto en sí de la norma, la introducción del Reglamento ha llevado en algunos casos a un miedo a las sanciones tal (en parte causado por los importes mencionados) que en los últimos días se realizan notificaciones y peticiones de consentimiento que van mucho más allá de lo que exige el Reglamento. Se trata de una materia amplia y compleja, y podemos encontrar incluso grandes empresas que están llevando a cabo actuaciones que denotan que el asesoramiento que se ha recibido no es el más adecuado».

Lo mejor: «Una de las novedades más positivas del RGPD es la libertad que otorga a los empresarios para que ellos mismos puedan elegir sin barreras las medidas de seguridad que consideren idóneas para proteger los datos personales. Con ello se pretende generar consciencia sobre el valor de los datos para que, a continuación, se implementen las medidas de seguridad físicas, lógicas y organizativas adecuadas para mitigar el riesgo con soluciones seguras y configuradas con privacidad por defecto. El RGPD es un antes y un después en la concienciación sobre los datos y en el impulso a la seguridad proactiva».

Lo peor: «Lo peor del RGPD no es su contenido sino que ha pasado desapercibido desde su entrada en vigor, en 2016, hasta prácticamente el día a partir del que es obligatorio su cumplimiento, el 25 de mayo de 2018. El problema lo hemos encontrado en una preocupante dejadez por parte de la Agencia Española de Protección de Datos, de la que he llegado a recibir respuestas telefónicas indicando que el reglamento no había entrado en vigor o que aún tenía que ser objeto de transposición. La desinformación y la desidia, hasta tiempos recientes, por parte de la autoridad de control han conducido a que un número importante de empresas españolas no hayan podido abordar adecuadamente sus adecuaciones o lo hayan hecho de forma precipitada y con errores graves que les ha llevado a, por ejemplo, pedir innecesarias renovaciones de consentimientos para el envío de comunicaciones publicitarias por vía electrónica. El RGPD es correcto; pero no lo ha sido tanto la forma de impulsar su cumplimiento».