El pr\u00f3ximo 25 de mayo de 2018 es el d\u00eda que todos los consultores en materia de protecci\u00f3n de datos, abogados y asesores tienen marcada en sus calendarios, ya que es la fecha l\u00edmite de aplicaci\u00f3n del Reglamento Europeo 679\/2016 de Protecci\u00f3n de Datos , m\u00e1s conocido como RGPD, una vez transcurridos los dos a\u00f1os de margen desde su entrada en vigor.<\/p>\n
<\/p>\n
La aplicaci\u00f3n de este nuevo Reglamento es el cambio m\u00e1s importante que se produce en este \u00e1mbito desde hace muchos a\u00f1os y pretende armonizar todas las normativas de los Estados miembros y dar m\u00e1s garant\u00edas de control a los ciudadanos.<\/p>\n
<\/p>\n
En este contexto, hay mucha inquietud entre las empresas sobre c\u00f3mo implantar las nuevas medidas y entre los consultores, ciertas dudas sobre algunos aspectos que se ponen de manifiesto en las ponencias y congresos a los que asistimos. Adem\u00e1s, en paralelo a la aplicaci\u00f3n de este Reglamento que deroga la anterior Directiva 95\/46 \/ CE, se ha aprobado la nueva ‘LOPD’ que podr\u00e1 complementar en algunos aspectos al RGPD y que se ha previsto entre en vigor el mismo d\u00eda que el RGPD.<\/p>\n
<\/p>\n
Desde HST, queremos ayudarle a entender de forma sintetizada cu\u00e1les ser\u00e1n esos cambios y las implicaciones pr\u00e1cticas que tendr\u00e1 el nuevo RGPD para facilitar al m\u00e1ximo la transici\u00f3n. Hemos preparado un resumen de los aspectos que consideramos m\u00e1s importantes:<\/p>\n
<\/p>\n
1) \u00bfAplicar el RGPD supone m\u00e1s carga para mi empresa?<\/b><\/p>\n
<\/p>\n
El Reglamento supondr\u00e1 un mayor compromiso de las empresas con la protecci\u00f3n de datos, pero no necesariamente una mayor carga de trabajo.<\/p>\n
Es muy importante tener en cuenta que, si actualmente ya llevamos una correcta gesti\u00f3n de la actual LOPD, el RGPD ser\u00e1 una continuaci\u00f3n o reemplazo de las medidas que ya estamos aplicando. Adem\u00e1s, en nuestro caso, partimos de una buena base a lo que hace referencia a las medidas de seguridad (RD1720 \/ 2007) derivadas de la LOPD, aspecto diferencial con otros pa\u00edses.<\/p>\n
<\/p>\n
2) Obtenci\u00f3n del consentimiento.<\/b><\/p>\n
<\/p>\n
Es uno de los cambios m\u00e1s relevantes que implica el RGPD. Si hasta ahora ten\u00edamos varias modalidades de obtenci\u00f3n del consentimiento para el tratamiento de datos, ahora se limita a que haya una declaraci\u00f3n de los interesados \u200b\u200bo una acci\u00f3n positiva que indique el acuerdo del mismo.<\/p>\n
Se proh\u00edben pr\u00e1cticas como el consentimiento t\u00e1cito o por inacci\u00f3n del ciudadano tipo: ‘si en 30 d\u00edas no nos da su negativa al tratamiento de sus datos, entendemos que est\u00e1 de acuerdo …’.<\/em><\/p>\n En el caso de las p\u00e1ginas web, se podr\u00e1n seguir utilizando las casillas para la obtenci\u00f3n del consentimiento, pero no ser\u00e1n v\u00e1lidas las casillas premarcadas.<\/p>\n Adem\u00e1s, el consentimiento deber\u00e1 darse por cada una de las finalidades de tratamiento y ser verificable.<\/p>\n Si el consentimiento obtenido previo a la aplicaci\u00f3n del RGPD se conforme a los requisitos, no ser\u00e1 necesario obtenerlo de nuevo. Los tratamientos basados \u200b\u200ben el ‘consentimiento t\u00e1cito’ deber\u00e1n encontrar fundamento en otra causa de legitimaci\u00f3n. Sin embargo, se deber\u00e1 estudiar caso por caso, ya que en algunos supuestos, es posible que no sea necesario el consentimiento para el tratamiento se realiza bajo el amparo del inter\u00e9s leg\u00edtimo o por la ejecuci\u00f3n de un contrato.<\/p>\n <\/p>\n 3) Cl\u00e1usulas de informaci\u00f3n \u2013 aviso de privacidad.<\/b><\/p>\n <\/p>\n Se deber\u00e1n revisar las cl\u00e1usulas informativas y avisos legales. El RGPD prev\u00e9 que se incluya en la informaci\u00f3n que se proporciona a los interesados \u200b\u200buna serie de cuestiones que con la Directiva y muchas leyes nacionales de transposici\u00f3n no eran necesariamente obligatorias (base jur\u00eddica del tratamiento, plazo de conservaci\u00f3n o criterios para su determinaci\u00f3n) .<\/p>\n Esta informaci\u00f3n deber\u00e1 proporcionarse de forma concisa, transparente, inteligible, de f\u00e1cil acceso, con un lenguaje claro y sencillo, por escrito u otros medios y de forma gratuita.<\/p>\n <\/p>\n 4) Contratos con terceros\u2013 Encargados de Tratamiento (ET).<\/b><\/p>\n <\/p>\n Se ampl\u00eda el contenido de los contratos firmados con los encargados de tratamiento (ET-terceros que nos prestan un servicio con acceso a datos) que deber\u00e1n incluir entre otros aspectos: descripci\u00f3n detallada de los servicios prestados, medidas aplicadas, posibles transferencias internacionales de datos , subcontrataciones, etc.<\/p>\n Es recomendable firmar de nuevo con todos los terceros los nuevos contratos con el contenido adaptado al RGPD.<\/p>\n <\/p>\n 5) Niveles de seguridad de los datos.<\/b><\/p>\n <\/p>\n No se establecen niveles de los datos (b\u00e1sico, medio, alto) como en la LOPD para aplicar las correspondientes medidas de seguridad, aunque se mantiene la categor\u00eda de nivel alto que pasa a llamarse ‘categor\u00edas especiales de datos’. Adem\u00e1s, el RGPD incluye dos nuevas categor\u00edas en este apartado: datos gen\u00e9ticos y datos biom\u00e9tricos.<\/p>\n <\/p>\n 6) Medidas de seguridad.<\/b><\/p>\n <\/p>\n El RGPD no establece medidas de seguridad espec\u00edficas tal como conoc\u00edamos las de RD1720 \/ 2007 pero aparece el concepto LA RESPONSABILIDAD PROACTIVA (accountability) que hace referencia a la prevenci\u00f3n por parte de las organizaciones que tratan datos. Es decir, las empresas, deber\u00e1n aplicar las medidas necesarias para garantizar los criterios de seguridad correspondientes: confidencialidad, integridad, disponibilidad y resiliencia. Medidas para asegurar el cumplimiento del RGPD: <\/p>\n 7) Registro de ficheros.<\/b><\/p>\n El actual inscripci\u00f3n de ficheros ante la Agencia de Protecci\u00f3n de Datos (AEPD) desaparece, pero se obliga al responsable de tratamiento (RT) y al encargado de tratamiento (ET) a llevar un ‘registro de actividades de tratamiento’ con un contenido m\u00ednimo. Este registro de actividades ser\u00eda, de alguna manera, el equivalente a la actual ‘documento de seguridad’.<\/p>\n <\/p>\n 8) Nuevos Derechos – Olvido y Portabilidad.<\/b><\/p>\n <\/p>\n Adem\u00e1s de los tradicionales derechos ARCO (acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n) el RGPD introduce nuevos conceptos como el derecho al olvido (manifestaci\u00f3n de los tradicionales derechos de cancelaci\u00f3n y oposici\u00f3n aplicados a los buscadores de internet) y derecho a la portabilidad (permite al interesado recuperar sus datos de forma estructurada para trasladarlos a otro responsable).<\/p>\n <\/p>\n 9) Delegado de Protecci\u00f3n de Datos \u2013 DPO.<\/b><\/p>\n Se asignar\u00e1 un delegado de protecci\u00f3n de datos siempre que:<\/p>\n
\n<\/span><\/p>\n\n