¿Qué es y cómo afecta el RGPD?

Cualquier empresa que quiera cumplir satisfactoriamente con el Reglamento General de Protección de Datos debe:

• Contar con un consentimiento inequívoco o expreso sobre el tratamiento de los datos de carácter personal.
• Actuar desde la responsabilidad proactiva, analizando el riesgo y evaluando el impacto en dicho tratamiento.
• Rendir cuentas notificando brechas de seguridad y creando un registro de actividades de tratamiento.
• Crear una figura responsable quien si corresponde planificará la aplicación de la seguridad y actuará como enlace entre la empresa y la autoridad de control.

No hay empresa ajena al cumplimiento, aunque sí es cierto que dependiendo del nivel de riesgo de los datos que se traten deberán implicarse en mayor o menor medida. De este modo empresas, sociedades, comunidades, asociaciones y autónomos que deben cumplir con el reglamento de rgpd en la Unión Europea son aquellos que:

• Están establecidos en la Unión Europea independientemente de si el tratamiento se hace o no dentro de la Europa de los 27.
• Los que ofrecen bienes o servicios a personas que se encuentren en la Unión Europea.
• Los que monitorizan el comportamiento de las personas que se encuentren en la Unión Europea.

Por lo tanto cualquier empresa u organización que va a realizar una actividad comercial o social dentro de la Unión Europea, que deba tratar algún dato personal de la Unión Europea o bien sobre datos de personas que se encuentren dentro de la Unión, debe cumplir inexorablemente con el reglamento general de protección de datos en la UE.

Cualquier ciudadano de la UE tiene derecho a presentar reclamaciones si considera que el tratamiento de sus datos personales vulnera el reglamento de protección de datos, y puede hacerlo de forma individual o colectiva. Por otro lado, al ser la privacidad un derecho fundamental dicho ciudadano tiene el derecho tanto a una tutela judicial efectiva y a la indemnización por los daños y perjuicios sufridos a consecuencia de una infracción del rgpd.

Las autoridades podrán investigar y corregir las infracciones. Para ello estarán en disposición de ordenar al responsable que le faciliten información, auditorías o acceso a los datos, locales y equipos.

Las sanciones por infracción podrán ir desde advertencias, apercibimientos y limitaciones temporales, hasta prohibir el tratamiento, ordenar supresión de datos e imponer multas. En lo que a las multas se refiere, no cumplir correctamente con el rgpd para empresas conlleva sanciones de hasta un 4% del volumen de facturación anual global o multas de 20 millones de euros, siempre en función de la infracción.

Los datos personales están relacionados con una persona identificada o identificable. Según el reglamento de protección de datos personales, un dato personal es un identificador online como direcciones IP, nombre de usuario, correo electrónico, las cookies en las páginas web, etiquetas RFID, datos de localización, etc.

En general son datos personales que nuestros clientes nos dan, por ejemplo, al cumplimentar los pedidos o durante el curso de nuestros servicios: su nombre y apellidos, direcciones, datos de facturación, datos de solvencia económica, DNI, datos biométricos o de salud, edad, estado civil, números de teléfono, correo electrónico, localización, etc.

Dentro de rgpd que es un concepto muy amplio, también son datos personales los análogos de nuestros empleados incluidos los datos profesionales o de formación y los de nuestros contactos en proveedores. Protegerlos, evitando fugas y brechas de datos es un deber y una necesidad. Las pérdidas económicas y de imagen para la empresa pueden ser cuantiosas, además de enfrentarnos a sanciones por incumplimiento legal.

En el Reglamento General de Protección de Datos se definen unas categorías especiales de datos denominados datos sensibles, que exigen una protección reforzada y que, por lo tanto, están sujetos a un régimen jurídico especial. Se denominan así porque son datos especialmente protegidos rgpd que, debido a su incidencia especial en la intimidad, las libertades públicas y los derechos fundamentales de la persona, requieren una mayor protección respecto al resto de datos personales.

Por lo tanto, la diferencia entre datos personales y datos personales sensibles radica en el impacto que la publicidad de los sensibles puede tener sobre la vida de las personas, incluso conllevando a la discriminación si se conoce alguno de esos en determinadas circunstancias.

Todos debemos ser cuidadosos con los datos personales, y de cualquier tipo, con los que trabajamos en nuestras empresas. Sin embargo, la llegada del reglamento general de protección de datos nos ha dejado tres figuras encargadas de esta función: el Responsable, el Encargado y el Delegado de Protección de Datos:

• El Responsable es el que determina por qué hace falta el tratamiento y para qué, el quien realiza el análisis de riesgos del tratamiento y también el responsable último del mismo. Toda empresa debe tener uno o varios. También es quien debe elegir a los encargados.
• Los Encargados pueden ser el soporte tecnológico o jurídico, interno o externo, que contratamos para cumplir con el reglamento. Ellos son los profesionales que ofrecen garantías suficientes para aplicar medidas técnicas y organizativas de manera que el tratamiento se realice conforme a los requisitos del reglamento.
• El Delegado de Protección de Datos es una figura que sólo es obligatoria si la empresa realiza operaciones de tratamiento de datos personales rgpd que requieran una observación habitual y sistemática de personas a gran escala o tratamiento a gran escala de datos de categorías especiales.