El nuevo Reglamento General de Protección de Datos

En mayo de 2018 va a entrar en vigor una nueva normativa de protección de datos (además de la LOPD), el Reglamento General de Protección de Datos* (RGPD o GDPR en sus siglas inglesas) que trae cambios sustanciales respecto a la actual y vigente. Si ya en España tenemos fama de ser bastante exigentes en materia de protección de datos, lo que espera a las empresas a la vuelta del año es mucho peor.

La Agencia Española de Protección de Datos (AEPD) ha indicado que “estamos en un momento de gran demanda de profesionales, lo que va a conllevar la creación de miles de puestos de trabajo en el sector”, por lo que habrá que formarse y mucho para poder certificar a estos profesionales. En este post vamos a detallar unos puntos para saber como afecta a las empresas el nuevo RGPD.

Tabla de contenidos

A quiénes afectan la LOPD y el RGPD

Están obligados a cumplir el Reglamento General de Protección de Datos, en todos los Estados Miembro de la Unión Europea:

Las empresas españolas.
Las Comunidades.
Las Asociaciones.
Las administraciones públicas.

Cuando se esté fuera de la Unión Europea estarán obligados:

Los que dirijan sus servicios hacia residentes en la Unión Europea.

Los encargados del tratamiento de datos para sujetos obligados.

Hay que pasar auditorías. ¿Quién está obligado?

Las empresas deben auditar el estado en el que se encuentra su cumplimiento de la normativa sobre la protección de datos. Ahora bien, los obligados a estudiar y respetar la nueva norma serán los profesionales de los departamentos legales jurídicos y los informáticos especializados en protección de datos y seguridad informática.

Nueva figura legal: el Delegado de Protección de Datos (DPO)

Cuando entre en vigor, e Reglamento General de Protección de Datos obliga a las empresas a designar un DPO. Este perfil no lo podrá llenar cualquiera ya que se exige que sea un licenciado o graduado en Derecho con más de 4 años de práctica (más recomendable si tuviera más de 10 años de experiencia) en protección de datos. Algunas empresas se han puesto las pilas y ya han empezado a designar a los Delegados de Protección de Datos.

Otros obligados por la RGPD a disponer de un DPO son:

Las autoridades u organismos públicos;
Las empresas que lleven a cabo una observación habitual y sistemática de interesados;
Las empresas que traten a gran escala categorías especiales de datos.

Deber de actualizar los Contratos de Encargo del Tratamiento

Los contratos de encargo de tratamiento son contratos escritos, que mantienen las empresas con empresas o profesionales terceros por los cuales les autorizan a realizar el tratamiento de datos. Si quieren seguir cumpliendo el nuevo RGPD, estos contratos deben estar actualizados.

Estos contratos deben detallar muy claramente:

Las instrucciones del Responsable al encargado en materia de seguridad.
El régimen de subcontratación.
La confidencialidad.
Destino de los datos cuando se acabe la prestación del servicio.

Al final de este artículo adjuntamos el modelo.

Las empresas deben hacer una evaluación de impacto

Otra novedad del nuevo Reglamento es que las empresas en general, y más, en particular las que usan nuevas tecnologías, debido al tipo de datos que tratan, deben evaluar el impacto que tiene el tratamiento de éstos sobre la protección de datos personales. La misión de esta evaluación es medir el riesgo para las libertades y derechos de las personas, en relación con la protección de datos.

Detallamos los tipos de empresas que deben realizar la evaluación de impacto:

Empresas que evalúan aspectos personales de personas físicas de forma automatizada, y que, al tomar decisiones le puedan producir efectos jurídicos o similares.
Empresas que traten un gran volumen de datos personales sobre: categorías especiales, o relativos a condenas e infracciones penales.
Empresas que observen grandes volúmenes de zonas de acceso público.
Responsables de empresas que manejen un gran volumen de operaciones que entrañen alto riesgo para las personas.

Sanciones importantes

No cumplir el RGPD significa para las empresas enfrentarse a multas administrativas (art. 83 RGPD) de hasta:

de hasta 20 Millones de euros;

de hasta el 4 % del volumen de negocio total anual global del ejercicio financiero anterior, tratándose de una empresa.

Para más información

Para más información, aquí te dejamos la guía y las directrices que la AEPD ha publicado al respecto del nuevo RGPD:

Guía del Reglamento General de Protección de Datos para responsables de tratamiento.

Directrices para la elaboración de contratos entre responsables y encargados del tratamiento.

Artículo en Cinco Días.

Artículo del despacho de abogados Abanlex

Los derechos que tienen los ciudadanos con el GDPR.

*Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

Este RGPD lleva en vigor desde mayo de 2016 aunque será aplicable a partir del 25 de mayo de 2018.