En 2016 la UE aprobó el Reglamento general de protección de datos (GDPR,
de General Data Protection Regulation) es una norma, ya vigente, y que será de
obligado cumplimiento en la UE desde el 25 de mayo de 2018.
Los aspectos más reseñables del nuevo reglamento son estos:
Información y transparencia
en los avisos legales y políticas de privacidad de las páginas web. aplicaciones y
servicios: los responsables deberán proporcionar toda la información de forma
concisa, transparente, comprensible y de fácil acceso (lenguaje claro y sencillo).
con especial atención en los servicios orientados a menores.
El consentimiento tiene que ser
libre, informado, específico e inequívoco. Cuando el tratamiento de datos
tenga varias finalidades se requerirá el consentimiento hay que pedirlo para cada
una de ellas. Prácticas como el consentimiento tácito y las casillas pre-marcadas
estarán prohibidas en el nuevo reglamento.
Aparece el concepto de ‘seudonimización’
para tratar datos de manera que ya no se pueden almacenar en claro datos que puedan
atribuirse a una persona sin utilizar información adicional que figure por separado
y sujeta a medidas técnicas.
Se contempla el derecho al
olvido sobre los datos cuando ya no sean necesarios en relación con los
fines para los que fueran recogidos, cuando el interesado retire el consentimiento o
se oponga al tratamiento de los mismos, entre otros supuestos.
Portabilidad de datos,
el interesado tiene derecho a recibir sus datos personales y a transmitirlos a otro
responsable.
Cuando el tratamiento de datos implique
riegos para los derechos y libertades de la persona (elaboración de perfiles,
tratamiento a gran escala de datos sensibles) se deberán llevar a cabo evaluaciones
de impacto consultando si es necesario a la autoridad de control
correspondiente.
Hay obligación de notificar
a la autoridad de control (plazo 72 horas) y al afectado las violaciones de
seguridad cuando afecten a los datos personales gestionados por una empresa u
organización.
Aparece la figura del DPO (delegado
de protección de datos) que supervisará el cumplimiento del RGPD y tendrá
más responsabilidades que el actual ‘responsable de seguridad’.
Establece que debe haber una proactividad
en las empresas para establecer y pensar en la privacidad desde el diseño
de aplicaciones y servicios (privacy by design and privacy by default).
Hay una nueva regulación de las transferencias
internacionales de datos (privacy shield).
Multas de hasta 20 millones
de euros o el 4% de la facturación de la empresa en el caso de incumplimientos
graves.
