Se trata de nueva norma de la UE que sustituirá a la Directiva de Protección de Datos de la UE de 1995 (DPD) para mejorar significativamente la protección de los datos personales de los ciudadanos de la UE y aumentar las obligaciones de las organizaciones que recopilan o procesan datos de carácter personal.
TABLA DE CONTENIDO
El 25 de mayo de 2018 entrará en vigor el nuevo Reglamento Europeo de Protección de Datos (RGPD) y será de aplicación muy similar en la mayoría de los países de la Unión Europea. Se trata de nueva norma de la UE que sustituirá a la Directiva de Protección de Datos de la UE de 1995 (DPD) para mejorar significativamente la protección de los datos personales de los ciudadanos de la UE y aumentar las obligaciones de las organizaciones que recopilan o procesan datos de carácter personal.
En España, se va a mantener la LOPD adaptada a ese nuevo reglamento europeo para no entrar en contradicción con él y evitar posibles conflictos. Esta nueva normativa incluye varias disposiciones nuevas para reforzar los derechos de los interesados y agregar sanciones más severas a las empresas por las infracciones que se cometan.
Si bien la legislación vigente de la UE (la Directiva de Protección de Datos de 1995) regula las entidades dentro de la Unión Europea, el alcance territorial del RGPD es mucho más amplio, ya que también se aplicará a las empresas no pertenecientes a la UE que comercialicen sus productos en la UE o que monitoricen el comportamiento de ciudadanos en la UE. Dicho de otra manera, incluso si tu empresa no tiene sede en la UE, pero recopilas o procesas datos de ciudadanos de la UE, también estarás obligado a respetar el RGPD.
Esta nueva normativa cambiará la forma de obtener los datos de los ciudadanos en todos los estados miembros de la Unión Europea e implica una concienciación global sobre la privacidad de las personas y de las empresas.
El Gobierno español trabaja en un primer borrador del anteproyecto de ley de modificación de la Ley Orgánica de Protección de Datos (LOPD), un cambio necesario ante la entrada en vigor del próximo Reglamento Europeo de Protección de Datos en mayo de 2018.
Actualmente, en España tenemos dos leyes vigentes: la Ley Orgánica de Protección de Datos de Carácter Personal, la LOPD, del año 1999 y la ley 34/2002 de Servicios de la Sociedad de la Información y Comercio Electrónico. Estas dos normativas son las que se utilizan en la actualidad para regular y legislar las relaciones de las sociedades con el mundo digital.
Las empresas tendrán que examinar toda la normativa de privacidad de datos que siguen en este momento. Principalmente, porque el consentimiento de los usuarios que prestan su conformidad a que una compañía determinada trate sus datos personales tendrá que cumplir una serie de requisitos.
La persona que presta ese consentimiento deberá hacerlo de forma libre, sin ningún tipo de coacción. El RGPD aumenta el estándar para las divulgaciones al obtener ese consentimiento, ya que este debe ser “dado libremente, específico, informado e inequívoco” y los responsables del tratamiento de datos deben emplear un lenguaje legal “claro y sencillo” que se “distinga claramente de otros asuntos”.
La empresa deberá informar en cada caso con qué fines y en qué condiciones va a utilizar esos datos. Esencialmente, no se puede obligar a los clientes a dar su consentimiento y estos no pueden desconocer que están otorgando dicho consentimiento para el tratamiento de sus datos personales.
Los usuarios deberán saber exactamente para qué están otorgando su consentimiento y han de ser informados previamente de su derecho a retirarlo si lo desean. Obtener el consentimiento requerirá, por tanto, una indicación positiva de acuerdo.
El consentimiento no podrá ser inferido de la ausencia de afirmaciones (silencio de la parte interesada), de casillas marcadas de manera predeterminada o de la inactividad, lo que significa que informar al usuario durante el proceso de autorización se volverá más importante tras la implementación del reglamento.
El usuario tendrá que manifestar expresamente que se pueden tratar sus datos, y ese consentimiento se dará de forma expresa.
El reglamento también integra dos nuevos derechos para las partes interesadas; el derecho al olvido exige que los responsables del tratamiento de los datos alerten a los destinatarios subsiguientes sobre las peticiones de eliminación de datos.
Este derecho permite que los interesados soliciten una copia de sus datos en un formato común.
Estos dos derechos harán que sea más fácil para los usuarios solicitar que cualquier información almacenada se elimine o que la información recopilada se comparta con ellos. A partir de la entrada en vigor del nuevo RGPD, los usuarios podrán:
Por estos motivos, las empresas deberán revisar sus políticas de privacidad y tendrán que adoptar una serie de medidas de seguridad adecuadas en función del volumen y del tipo de datos que se traten. Dependiendo del tipo de infracción en cuestión, los responsables y encargados que no velen por el buen procesamiento de los datos personales o que incumplan de alguna manera los derechos de las partes interesadas podrían incurrir en multas de hasta 20 millones de euros o el 4 % de su ingreso anual global (la cifra que sea mayor).
El nuevo reglamento dice que se tendrán que adoptar las medidas que se consideren adecuadas en el mercado. En la actualidad, existen normativas ISO y será necesario conocerlas para ver qué medidas es necesario adoptar en cada caso. Algunas veces serán suficientes y otras, insuficientes. La propia Agencia Española de Protección de Datos orientará a las empresas en este sentido a través de comunicados o circulares que irá emitiendo.
La nueva normativa europea implicará un cambio radical en la obtención y captura de datos por parte de empresas y agencias. El mayor cambio vendrá dado por la obtención del consentimiento. En la actualidad se permite recibir un “consentimiento tácito”, que significa que si alguien no dice lo contrario se entiende que se acepta la obtención de datos. Este sería el caso de los datos obtenidos mediante las cookies de la web.
En el caso de los formularios, lo que habrá que hacer es crear una casilla de verificación en la que el usuario pueda marcar su consentimiento para todas las finalidades con las que se tratarán sus datos. Este debería estar informado acerca de para qué y en qué condiciones se va a usar esa información.
Aun así, la frontera entre la legalidad y la ilegalidad de la “Política de cookies” no está del todo definida. Mientras que el nuevo reglamento es muy estricto en lo que a formularios se refiere, no interpreta una cookie como una forma de obtención de un dato de carácter personal. Quizás dentro de unos meses se interpretará que estas cookies deberán cumplir con el reglamento europeo de protección de datos, pero de momento la Agencia no ha entrado en este debate.
Al igual que en el resto de los casos, tanto en el ecommerce como en el sector del marketing digital, la obtención explícita del consentimiento por parte del usuario para tratar sus datos va a ser el aspecto clave para actuar conforme a la normativa.
Respecto al tema de elaboración de perfiles y segmentación, ponemos un ejemplo práctico: el usuario que compra en un portal suele rellenar un formulario ligado a una política de privacidad. En este caso, sería legal que la empresa utilizase esos datos para realizar campañas de emailing promocionando ofertas vinculadas al portal, como ya se hace hoy en día. Lo que cambiará con la entrada en vigor de la nueva normativa europea será que para realizar, por ejemplo, un análisis de perfiles, se necesitará el consentimiento expreso del usuario. Y respecto a los píxeles de seguimiento que se consiguen y utilizan a través de grandes plataformas, deberemos remitirnos a las políticas de privacidad de cada una de ellas.
No existe ninguna obligación en el RGPD de almacenar los datos en la UE, y las normas relativas a la transferencia de datos personales fuera de la UE no cambiarán. Esto significa que los datos se pueden transferir al extranjero siempre y cuando se encuentren “protegidos adecuadamente”.
Por ejemplo, la UE ha elaborado una lista de países que considera que proporcionan un nivel de protección adecuado (conocidos como “países de la lista blanca”), por lo que está permitido transferir datos a esos países. Cuando un país no figura en esa lista de la UE (como por ejemplo, Estados Unidos), el responsable del tratamiento debe recurrir al uso de disposiciones contractuales aprobadas (por ejemplo, las cláusulas modelo o las normas empresariales obligatorias) u otra medida alternativa determinada por la ley, como la certificación del Escudo de la Privacidad.
En este caso, habrá que comprobar en primer lugar si la empresa está adherida al acuerdo de protección de datos Escudo de la Privacidad y luego saber si ese proveedor dispone de unas cláusulas específicas que cumplan con la normativa de los diferentes países en los que opera. Así, estas plataformas norteamericanas tendrán que adaptarse a la normativa europea si no quieren arriesgarse a recibir las sanciones que antes hemos comentado.
Más que un cambio en la norma será un cambio en la aplicación de la norma. Será necesario trabajar el tema de la obtención del consentimiento. El consejo de los expertos es:
En función de eso, llegado el momento y antes del 25 de mayo de 2018, deberemos tener preparada nuestra versión de cómo vamos a obtener ese consentimiento para recopilar los datos de los usuarios.
Para realizar una rápida evaluación y saber si tu empresa está preparada para cumplir con este reglamento, puedes contestar y valorar las siguientes preguntas:
En términos de seguridad, el RGPD obligará a muchas empresas a nombrar a un delegado de protección de datos (DPO) para ayudar a supervisar los esfuerzos de su cumplimiento. Las organizaciones que necesitarán contar con la figura del DPO serán autoridades públicas y organizaciones cuyas actividades implican el seguimiento de manera regular y sistemática de los datos a gran escala u organizaciones que procesan lo que actualmente se conoce como datos personales de carácter confidencial. Los DPO también ayudarán en la supervisión de las relaciones de los responsables con los proveedores que procesan y almacenan datos personales. De esta manera, contribuirán a revisar las prácticas de seguridad de los proveedores e informarán a estos sobre las solicitudes de las partes interesadas.
Durante el actual periodo de implementación del reglamento, y antes de su entrada en vigor, HubSpot está evaluando los nuevos requisitos y restricciones impuestas por la nueva normativa y está desarrollando las medidas necesarias para garantizar el correcto tratamiento de los datos de sus clientes antes de la fecha límite de 2018.
Actualmente, los equipos de tecnología y seguridad están trabajando para efectuar los cambios necesarios en el servicio de HubSpot y cumplir con la fecha límite de mayo de 2018. De esta manera, los clientes de HubSpot podrán cumplir con sus obligaciones en el marco del RGPD a la hora de recopilar y almacenar datos personales de la UE.
El equipo legal de HubSpot también se está ocupando de garantizar que su documentación legal (es decir, los “Términos de uso para los clientes”, el “Acuerdo de procesamiento de datos” y la “Política de privacidad”) se actualice para reflejar cualquier modificación del producto e incluir las disposiciones obligatorias para el encargado del tratamiento de datos que exige el artículo 28 del RGPD.
Además, HubSpot, Inc. dispone de una Certificación del Escudo de la Privacidad con el Departamento de Comercio de EE. UU., la cual garantiza que se establezcan las salvaguardias adecuadas al transferir datos personales de la UE a EE. UU. Esta plataforma también ofrece un “Acuerdo de tratamiento de datos” (que contiene las cláusulas modelo aprobadas por la UE) a determinados clientes que tienen su sede en la UE/EEE, bajo solicitud.
En resumen, para cumplir con el nuevo reglamento europeo de datos, estos son los consejos de los expertos:
El consumidor cada vez es más exigente y conoce mejor la normativa en vigor, por lo cual va a ser muy estricto con el cumplimiento de sus derechos.
Respecto a las compañías encargadas del tratamiento, el análisis de datos o la gestión de envíos, es muy probable que se vean obligadas a adaptarse antes porque sus clientes se lo van a demandar.
Por lo tanto, lo más importante es que las políticas de privacidad sean lo más transparentes y directas posibles para obtener el consentimiento expreso del usuario. Por otro lado, es clave conocer las obligaciones que, como empresa, se van a tener a partir de la entrada en vigor de la normativa, pero sin adelantarse antes de ver cómo va evolucionando todo. El anteproyecto de ley ayudará también a facilitar y a entender la aplicación del reglamento.