Las 10 claves del nuevo Reglamento de Protección de Datos

Seguro que muchos de vosotros habéis oído hablar sobre una nueva normativa que va a regular la forma en que las empresas utilizan los datos personales, y éstas van a tener que adaptarse a ella bajo pena de cuantiosas sanciones. Y es que dentro de menos de un mes, el próximo 25 de mayo, será de aplicación el nuevo Reglamento General de Protección de Datos (RGPD), cuyo objetivo es unificar los regímenes de todos los estados miembros de la Unión Europea sobre la materia.
Con él, se pretende otorgar a los ciudadanos europeos un mayor control sobre los datos personales que las organizaciones recaban, utilizan y almacenan. Desde Internacional de Marketing explicamos los diez aspectos más importantes del reglamento para que podáis comprenderlo con mayor facilidad:
1. ¿A quién se aplica? A empresas o entidades que tratan datos personales y están establecidas en la Unión Europea, o fuera de la Unión Europea pero ofrecen bienes o servicios a personas que aquí residen.
¿También a las personas físicas? No, salvo que estén dadas de alta como autónomos y traten datos personales como parte de su actividad.
2.  Recoge el principio anglosajón de “Accountability”, por el cual se exige a las organizaciones una responsabilidad proactiva y la capacidad de demostrar que cumplen con el conjunto de obligaciones establecidas. Y esto, ¿qué significa? Que el responsable del tratamiento de datos debe aplicar medidas técnicas y organizativas para garantizar y demostrar su cumplimiento. En este sentido, va a ser obligatorio hacer un registro continuado de las actividades de tratamiento de datos.
3. El tratamiento de los datos personales solo será lícito si el interesado dio su consentimiento de forma libre, específica, informada y sin ambigüedad, lo cual deberá ser demostrable por parte de la empresa. El interesado podrá retirar el consentimiento en cualquier momento. En definitiva, la organización debe ofrecer las facilidades necesarias que hagan que al usuario le resulte igual de fácil dar el consentimiento como retirarlo.
¿Cuál es la edad mínima a partir de la cual se considera válido el consentimiento? 16 años. Por debajo de esa edad, deberá dar o autorizar dicho consentimiento el tutor.
4. Consagra el estándar de la “protección de datos desde el diseño”, que consiste en la introducción de las medidas técnicas y organizativas necesarias, teniendo en cuenta el contexto y los avances tecnológicos, que garanticen la protección de los datos personales desde la fase inicial de planificación de los procedimientos y sistemas.  
5. Regula el conocido popularmente como “derecho al olvido”, el derecho que tiene todo ciudadano a solicitar la supresión de los datos personales que le conciernan de forma inmediata, con el fin de impedir la difusión de información personal a través de Internet cuando no se cumplen los requisitos de adecuación.   
6. En caso de que se produzca una violación de la seguridad de los datos personales, el responsable del tratamiento debe notificarlo a la autoridad de control competente (en nuestro caso, la Agencia Española de Protección de Datos) en el plazo máximo de 72 horas de haber tenido constancia de ella. Si la brecha de seguridad entrañara un alto riesgo para los interesados, por ejemplo, fraude o usurpación de identidad, éstos también deberán ser notificados.
7. Establecimiento de una nueva figura: Delegado de Protección de Datos o Data Protección Officer (DPO). Será obligatorio designar a un DPO en determinados supuestos:

• Cuando se trate de la Administración y organismos públicos.
• Cuando se lleve a cabo tratamiento de datos a gran escala como actividad principal o intrínseca a la actuación de la empresa (por ejemplo, un hospital que recopila datos de pacientes y actúa acorde a ellos).
• Cuando se lleve a cabo tratamiento a gran escala de categorías especiales de datos personales (por ejemplo, que revelen el origen étnico o racial, opiniones políticas, convicciones religiosas, etc.) y datos relativos a condenas e infracciones penales como actividad principal.

Este profesional deberá contar con conocimientos especializados de Derecho y podrá formar parte de la plantilla de la organización, o bien desempeñar la tarea de forma externa.
8.Se incorpora la obligación de realizar una Evaluación de Impacto en la Protección de Datos (EIPD) de aquellos tratamientos que entrañen un alto riesgo para los derechos y libertades de las personas con el fin de evitar situaciones graves no deseadas y permitir a los responsables tomar las medidas adecuadas que reduzcan dichos riesgos. Algunas de las entidades que se verán obligadas a realizar esta evaluación de impacto son las empresas farmacéuticas, los hospitales y clínicas médicas, los colegios, etc.  
9. ¿Cómo afectará al Email Marketing? Estas prácticas deberán ser acordes a lo mencionado en el punto 3 respecto al consentimiento de los usuarios (libre, específico, informado y sin ambigüedad). En consecuencia, será recomendable realizar una auditoría de la base de datos actual y comprobar que guardamos las pruebas del consentimiento otorgado por parte de los usuarios; si no es así, volver a pedir su autorización expresa para enviarles comunicaciones por email marketing. 
10. Notable incremento en la cuantía de las sanciones impuestas por incumplimiento:

• Multas de hasta 10.000.000€ o 2% del volumen de negocio global por vulneración de las obligaciones del responsable y encargado, de certificación o de control.
• Multas de hasta 20.000.000€ o 4% de volumen de negocio global por vulneración de los principios básicos, los derechos de los interesados, transferencias de datos a terceros países o incumplimiento de una resolución.

Si os siguen quedando dudas o queréis aprender más al respecto para estar prevenidos, no os perdáis la próxima masterclass el día 16 de mayo en Barcelona: “El nuevo Reglamento de protección de datos: Cómo te afecta y por qué”.

Autora invitada:
Elena Brasero

Digital Marketing Consultant for Legal and Financial Services y
Coordinadora de la sede IM Madrid
 

Redacción IM

Formamos marketers digitales de alto rendimiento a través de una metodología que une capacitación en competencias técnicas con capacitación en habilidades de performance multiplicando resultados.