Nuevas implicaciones prácticas del Reglamento General de Protección de Datos (RGPD) para entidades en el periodo de transición.
El pasado 25 de mayo de 2016 ha entrado en vigor el RGPD (Reglamento General de Protección de Datos) que comenzará a llevarse a cabo en 2 años. Sin embargo, la Agencia Española de Protección de Datos (AEPD) anima a las organizaciones que vayan adaptando sus procesos en este periodo de transición debido a la gestión disruptiva a la llevada a cabo hasta el momento.
En los siguientes puntos, mostramos algunas implicaciones que toda organización debe conocer para afrontar la nueva normativa y cumplir con ella de manera gradual hasta que se aplique el nuevo reglamento.
En primer lugar, el consentimiento.
La nueva normativa implicará que los datos personales que gestionan las organizaciones, se presten a través de unamanifestación clara y afirmativa, excluyendo así el consentimiento tácito actual. Aquellos consentimientos anteriores a la aplicación del RGPD serán continuarán siendo aceptados si se consiguieron según los requisitos de las nuevas directrices.
La AEPD recomienda a las empresas que siguen usando el consentimiento tácito que los revisen y adecúen porque a partir de 2018 sólo serán legítimos los que se han presentado con una manifestación clara y afirmativa tal y cómo comentábamos anteriormente.
En segundo lugar, la información.
En relación a la información, la nueva normativa añade requisitos que hasta el momento no eran necesarios. Por eso, es una necesidad replantearse las cláusulas informativas empleadas en nuestros negocios.
Existen numerosas vías para esta adaptación, y es muy recomendable hacerlo de manera progresiva hasta el momento de aplicación del reglamento. En ESI Soluciones, te asesoraremos la vía que mejor se adapta a tu negocio y la más económica, por ejemplo, en muchos casos, puede realizarse mediante la propia página web de las empresas o mediante los canales de comunicación que se emplean en el día a día con los clientes. Esto ayudará a reducir los casos en los que las cláusulas informativas tengan carencias.
En tercer lugar, evaluaciones de impacto sobre la protección de datos.
Las evaluaciones de impacto, obligatorias en algunos tratamientos, han de ser previas al tratamiento de datos para minimizar al máximo los inconvenientes, que dichos tratamientos pueden, pueden suponer a las personas.
Por eso la AEPD aconseja que no se espere a que la evaluación se realice en fechas obligatorias sino periódicamente para garantizar que todo está adecuado a la normativa.
Mediante este procedimiento, las organizaciones se encontrarán en mejores condiciones y se asegurarán el cumplimiento total de la normativa evitando de este modo multas y sanciones por incumplirla.
Esta evaluación, además, requiere de preparación y profesionales cualificados que se encarguen de escoger la metodología indicada para cada tipo de negocio y cualquier condición que pueda darse.
En cuarto lugar, la certificación.
En relación a la implantación de esquemas de certificación y su gestión, se abren nuevas oportunidades y estas certificaciones podrán ser dadas por autoridades de protección de datos o por entidades acreditadas.
A su vez, existirán diferentes niveles de participación del Comité Europeo y de las autoridades pertinentes de supervisión. La Agencia además entiende que la acreditación de estas entidades sea llevada a cabo por la Entidad Nacional de Acreditación (ENAC).
En quinto lugar, los delegados de protección de datos.
Los Delegados de Protección de Datos tendrán que ser elegidos por sus cualificaciones, en especial en relación a la protección de datos, y por su desempeño para estas funciones.
A pesar de este punto, el reglamento no dice cuáles tienen que ser estas cualificaciones ni cómo demostrarse ante las organizaciones que tienen que incorporar estos delegados.
A día de hoy, existen certificaciones y títulos en el ámbito de la protección de datos y adquieren un papel importante dado que pueden representar un aspecto adicional para que la empresa que ha de elegir un Delegado de Protección de Datos, tenga constancia de su formación para el puesto y por otra parte, el que algunos estén acreditados no significará que los que no lo estén no sean válidos para ser Delegado de Protección de Datos.
En sexto lugar, la relación entre responsables y encargados.
Deberá existir un contenido mínimo en los contratos adicional al ya vigente en la LOPD. Por ello, existirán nuevas obligaciones para las partes a la hora de prestar un servicio, teniendo siempre en cuenta el contenido fijado en el RGPD.
Es muy recomendable que en este periodo de transición hasta la aplicación del RGPD se lleven a cabo 2 acciones:
- Revisión de los contratos actuales y que se vayan a prolongar en el tiempo (que vayan a ser compatibles en 2018 con el RGPD).
- Inclusión de nuevas cláusulas consideradas necesarias por el RGPD.
La Agencia Española de Protección de Datos, junto con las autonómicas, ofrecerá unas recomendaciones a seguir en la elaboración de los con contratos de encargo.
En séptimo lugar, herramientas para pymes y sectoriales.
Se ofrecerán herramientas orientativas para comprender el RGPD, como recursos online, listas de medidas en función del nivel de riesgo… Con esto, la Agencia quiere ofrecer un apoyo pero recomienda que se complemente con recursos más avanzados, sobre todo en el caso de pymes cuyo tratamiento de datos cuenta con un nivel de riesgo considerable y maneje numerosos daros sensibles.
Si tienes un negocio, no esperes más en poner al día tus tratamientos de datos y en evitar cualquier tipo de sanción y ponte en contacto con nosotros. Te asesoraremos y guiaremos en estos nuevos requisitos que se plantean para la adecuación a la LOPD sea cual sea tu negocio.