Principales novedades del Reglamento Europeo de Protección de Datos

El Reglamento Europeo de Protección de Datos (Reglamento UE 2016/679 de 27 de abril de 2016) aprobado el pasado año 2016 y que resultará de aplicación directa en los Estados miembro desde mayo del año 2018, tiene por objeto la renovación y sustitución de la normativa reguladora de toda la UE en materia de protección de datos.

Este nuevo Reglamento, que pasa a sustituir a la Directiva 95/46/CE, supone un paso adelante en el refuerzo del derecho a la protección de los datos de los ciudadanos de la Unión, teniendo por uno de sus fundamentos la armonización de la diversa normativa interna de los Estados en esta materia.

PRINCIPALES NOVEDADES

Ámbito de aplicación: el ámbito de aplicación territorial del Reglamento se extiende. Además de su aplicación al tratamiento de datos en el contexto de las actividades de establecimientos de responsables o encargados localizados en la UE, el Reglamento será de aplicación al tratamiento de datos por a entidades no establecidas en la UE relacionados con:

• ·         La oferta de bienes o servicios
• ·    El control de su comportamiento (por ejemplo a través del seguimiento mediante cookies)

Deber de información reforzado: la información que debe proporcionarse sobre el tratamiento de los datos es más extensa que la que prevé la actual Ley de Protección de Datos (LOPD). Los artículos 13 y 14 del Reglamento detallan la información que debe facilitarse al interesado.

Principio de accountability: Se establece una obligación de responsabilidad proactiva, la cual exige a las organizaciones la adopción de medidas y mecanismos que garanticen y permitan demostrar el cumplimiento de las disposiciones reglamentarias. Esta exigencia se materializa en la adopción de políticas de protección de datos adaptadas a las circunstancias y características de la organización, estando implementadas y funcionando en la práctica. Asimismo el Reglamento exige a las organizaciones tener en cuenta la protección de datos desde el momento del diseño de sus productos y servicios (privacy by design) y a que, por defecto solo sean tratados los datos personales mínimos que sean necesarios para alcanzar el fin legítimo perseguido (privacy by default).

Nuevos derechos de los ciudadanos: además de los tradicionales derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) se establecen nuevos derechos, entre los que cabe numerarse:

• ·         El derecho al olvido
• ·      Derecho a la limitación del tratamiento dentro del derecho de cancelación (ahora de supresión).
• ·       Derecho a la oposición del profiling, esto es la segmentación de perfiles en base a los datos, dentro del derecho de oposición.

Registro de las actividades de tratamiento interno: Salvo que resulte de aplicación alguna de las excepcionalidades previstas por el Reglamento (por ejemplo, que la empresa tenga menos de 250 empleados) éstas deberán llevar a cabo un Registro Interno y por escrito de las actividades de tratamiento que lleven a cabo.

Introducción de los PIAs (Privacy Impact Assessments): se exige la realización de evaluaciones de impacto de carácter previo para aquellos tratamientos que supongan un riesgo significativo para los derechos de las personas. El propio Reglamento recoge algunos supuestos en los que éstas evaluaciones serán obligatorias:

1.    Evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;

2.    Tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1(datos relativos al origen étnico o racional, opiniones políticas, convicciones religiosas, tratamiento de datos genéticos y biométricos), o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10,

3.    Observación sistemática a gran escala de una zona de acceso público

Cuando del resultado de la evaluación se deduzca un alto riesgo, deberá consultarse con la Autoridad de Control antes de llevar a cabo el tratamiento.

Introducción del Data Protection Officer (DPO): Al igual que en otras áreas en las que se designa un responsable que asegure el cumplimiento normativo de la empresa (compliance Officer) el Reglamento establece la figura obligatoria del DPO. De esta forma, la empresa deberá designar un DPO (interno o externo) cuando:

• ·         Las actividades principales del responsable consistan en operaciones de tratamiento que requieran un seguimiento regular y sistemático de los interesados y se realicen a gran escala
• ·         Las actividades principales del responsable consistan en el tratamiento a gran escala de categorías especiales de datos (p.e., datos sanitarios)

Principio One Stop Shop: bajo determinadas circunstancias, permite a la Autoridad de Control del lugar en el que se encuentre el establecimiento principal de un responsable o encargado actuar como autoridad de control principal en tratamientos de datos transfronterizos y asumir competencias de coordinación de procedimientos relativos a infracciones. Sin embargo, este principio no excluye completamente la competencia de las Autoridades de Control locales respecto a los tratamientos efectuados en sus correspondientes territorios.

Las multas económicas se incrementan respecto a los rangos establecidos en la LOPD y pueden alcanzar (i) hasta 10.000.000 de euros o hasta 2% del volumen de negocios mundial; o (ii) hasta 20.000.000 EUR o hasta 4% del volumen de negocios mundial. Asimismo, se reconoce la posibilidad de que los interesados deleguen en asociaciones y otras entidades sin ánimo de lucro la posibilidad de interponer reclamaciones en su nombre en materia de protección de datos.

Flujos transfronterizos: Se intenta paliar los riesgos derivados de que los datos personales trascienden cada vez más las fronteras de los países por la rápida evolución tecnológica y la globalización por lo que han aumentado los riesgos inherentes a que las informaciones sobre los individuos se hayan multiplicado de forma exponencial siendo más accesibles y más fáciles de procesar, al tiempo que se ha hecho más difícil el control de su uso y destino.