REGLAMENTO GENERAL DE PROTECCIÓN

DE DATOS (RGPD)

QUÉ ES, A QUIÉN AFECTA, QUÉ NOVEDADES OFRECE…

Introducción■ Gestionar una gran cantidad de datos siempre ha sido una tarea ardua y con ciertas dificultades. Desde la

Antigüedad, pasando por el reciente y cada vez más obsoleto uso del papel y, por último, llegando a las actuales

nuevas tecnologías con las que podemos tener bibliotecas enteras y bases de datos en la palma de nuestras

manos. Por si eso fuera poco, tener en nuestro poder ciertos datos sensibles entraña unos riesgos extra,

aunque siempre y cuando se respeten las leyes reguladoras no deberían representar ningún problema. Desde

hace unos años, dichas normas se han endurecido, en forma, por ejemplo, de la archiconocida Ley Orgánica de

Protección de Datos (LOPD). Aún así, no debemos olvidarnos de que el lienzo que representa nuestro país

queda incluido en una obra mucho mayor: la Unión Europea. De allí procede el nuevo Reglamento General de

Protección de Datos Europeo (GDPR, General Data Protection Regulation, RGPD según sus siglas en español),

aprobado el día 27 de abril de 2016. Su entrada en vigor se produjo el 25 de mayo del mismo año pero no será

hasta ahora, 2018, cuando será aplicado. ¿La fecha clave? 25 de mayo. El RGPD será el encargado, a partir de

entonces, de una regulación que sea capaz de garantizar unas medidas de protección mayores y adecuadas a

los nuevos tiempos en cuanto al tratamiento de datos personales de las personas físicas pertenecientes a la

Unión Europea.

■ Grupo Garatu ha querido confeccionar este documento con el fin de que informar a las empresas para que se

adapten de la mejor manera al nuevo marco legal, reseñando las novedades y diferencias con la antigua LOPD,

así como dar algunos consejos e indicaciones para que el cambio sea de la mejor manera posible. De esta

forma, os invitamos a efectuar un viaje en forma de lectura que esperamos resulte de gran utilidad para los

cambios que se encuentran a la vuelta de la esquina.

¿QUÉ ES EL REGLAMENTO GENERAL DE PROTECCIÓN

DE DATOS (RGPD)?

■ El Reglamento General de Protección de Datos (RGPD) es el nuevo reglamento de la UE relacionado con el procesamiento de datos personales

pertenecientes a personas físicas que viven en cualquiera de los Estados miembros de la UE. La ley -cuyo nombre oficial es UE 2016/679, de 27 de

Abril de 2016- ha derogado a la anterior Directiva 95/46/CE y será el que regule a partir de ahora la protección de las personas físicas en lo que

respecta al tratamiento de datos personales y a la libre circulación de los mismos en los países pertenecientes a la alianza europea. Igualmente, en

algunos casos se complementará con algunas matizaciones nacionales. De esta manera, junto con la Directiva (UE) 2016/680 del Parlamento Europeo

y del Consejo, de 27 de abril de 2016 –que regulará el uso de los datos por parte de las autoridades- se configura en nuevo marco legal en los estados

de la UE.

■ El RGPD es un reglamento unificador

■ El Reglamento General de Protección de Datos (UE) 2016/679 es un reglamento, más que una directiva, a diferencia de su predecesora, la

Directiva de Protección de Datos de 1995 95/46/EC. Una regulación es un acto legislativo vinculante, el cual debe aplicarse en toda la UE.

Sin embargo, una directiva lo que hace es establecer un objetivo que todos los países de la UE deben lograr, correspondiendo a cada país

diseñar sus propias leyes sobre cómo alcanzar dichos fines.

Por lo tanto, la Directiva de Protección de Datos de 1995 95/46/EC tuvo como

consecuencia que cada estado miembro desarrollase sus propias leyes de protección de

datos de forma individual. Como resultado, las empresas y organizaciones que operan a lo

largo y ancho de diferentes países de la alianza europea se encontraron inmersas en todo

un gran laberinto legal formado por múltiples leyes. Afortunadamente, el RGPD reemplaza

esta complejidad con una sola ley unificada que simplifica significativamente la gestión

para las empresas.

■ ¿Es necesario el RGPD? ¿Por qué?

■ La Directiva 95/46/CE fue emitida hace más de veinte años. De mediados de los noventa nos separa ahora mismo todo un océano compuesto por los

enormes cambios tecnológicos, económicos y sociales, que nos han llevado hasta situación en la que vivimos hoy. Hemos pasado de los días en que los

ordenadores de sobremesa eran la norma, los teléfonos móviles hacían poco más que llamadas y la conexión a Internet era solamente para unos pocos,

requiriendo el uso de conexiones de acceso telefónico.

El crecimiento de Internet, las conexiones de banda ancha, los sofisticados dispositivos móviles y las redes sociales, por nombrar solo algunos, han

creado una explosión en la forma en que compartimos, almacenamos y procesamos datos personales. Llevamos nuestros datos en los smartphones,

los compartimos en múltiples plataformas y con innumerables entidades, y los almacenamos en ubicaciones como “la nube", de manera intangible e

invisible. Por ello, cada vez más empresas recopilan y procesan nuestros datos personales.

El volumen se ha disparado en los últimos años, y continúa creciendo a un ritmo increíble. Gran parte de esta información se procesa

electrónicamente, aunque aún se realicen gestiones manuales de datos.

Nuestra expectativa al brindar esta información a las empresas es que traten nuestros datos con respeto, sin usos no consentidos y/o ilícitos. Sin

embargo, según indican muchos casos, no todas las compañías gestionan nuestros datos personales de acuerdo con este pensamiento. Además,

otra presunción que se hace al brindar datos personales es que serán guardados bajo unas mínimas condiciones de seguridad.

Lamentablemente no siempre es el caso.

Con este crecimiento en el volumen de procesamiento de datos personales también se ha incrementado la explotación de los mismos para fines

fraudulentos, a pesar del aumento de dinero que, año tras años, se gasta en mecanismos para garantizar la seguridad. Aquí es donde entra en juego

la RGPD, al traer consigo una legislación reforzada con medidas más estrictas en la gestión de los datos personales y para implementar normativas

adaptadas a los tiempos actuales.

¿A QUIÉN AFECTA EL RGPD Y QUÉ SON

“DATOS PERSONALES”?

■ El reglamento, que se complementará con junto con la Directiva (UE) 2016/680

del Parlamento Europeo y del Consejo, de 27 de abril de 2016 para el caso de las

administraciones, afecta a todas aquellas o empresas o compañías que atesoren

datos personales de personas físicas de países miembros de la UE. Ello también

se aplica a empresas extranjeras, a pesar de que no gocen presencia física en el

territorio pero sí posean este tipo de información.

■ Respecto al concepto de personas físicas no se debe pasar por alto el detalle de

que no se refiere únicamente a los clientes; sino también a ex-clientes, empleados

y colaboradores, posibles candidatos a una vacante de los que se haya guardado

un CV, usuarios de productos y servicios adquiridos por un tercero, etc.

■ Dentro del RGPD es considerado dato personal y, por lo tanto objeto de su

regulación, toda aquella información relativa a personas cuya identidad pueda

averiguarse, de manera directa o indirecta, a través de alguno de dichos datos.

Por ejemplo, un nombre, la dirección de un domicilio, el número del documento

nacional de identidad, etc. También otros datos que hacen referencia a la

identidad de la persona en distintos ámbitos –como el físico, psíquico,

económico, cultural o social de dicha persona, como fotografías o números de

cuenta bancaria- es englobado dentro de la ley (Artículo 4, apartado 1, RGPD).

■ Solo hay un tipo de personas físicas sobre cuyos datos no es necesaria la

aplicación de la RGPD, las cuales son las personas fallecidas.

■ Además de todos factores enumerados, la RGPD hace hincapié en una categoría especial: los Datos

Personales Sensibles. Se trata de aquellos a los que, debido a que pueden entrar en conflicto con los

derechos y libertades fundamentales de las personas, han de ser gestionados más cuidadosamente y

dotarles de una mayor protección.

■ La nueva legislación es muy clara al respecto en cuanto al tratamiento de datos que puedan dar a conocer la

raza del interfecto, su orientación sexual, su orientación política o afiliación sindical, sus creencias religiosas

e, incluso, datos biométricos o del ADN que permitan identificar a la persona de manera exacta. Solamente

existen las siguientes excepciones para su tratamiento: que el interesado dé su consentimiento explícito; que

estos datos sean tratados por una organización sin ánimo de lucro; en caso de protección de sus intereses

vitales o que se trate de una información hecha pública de manera manifiesta.

■ Una vez definido lo que es un dato personal para la nueva regulación, hay que recordar cuándo será

necesario cambiar el tratamiento que se les da en las empresas. Es especialmente importante, destacar –y

diferenciar- la entrada en vigor y de aplicación del texto, para que a nadie “le pille el toro”.

■ El Reglamento General de Protección de Datos fue aprobado el 27 de abril de 2016, para entrar en vigor el

25 de mayo del mismo año. ¿Entonces, llevamos desde ese momento siendo regulados por este? No. ¿La

LOPD sigue aplicándose? Sí, y también las europeas como la 95/46/CE. Aunque pueda resultar un poco

confuso, la respuesta es sencilla: la Unión Europea ha decidido dejar dos años de margen para que los

estados y, en el caso que a nosotros nos interesa, las empresas que manejan datos, vayan estudiando los

cambios y adaptándose a ellos para que, llegada la fecha de su aplicación, todo esté a punto.

■ La Agencia Española de Protección de Datos resalta que la nueva normativa supone “una gestión distinta de

la que se viene empleando”. Entonces, ¿cuándo se producirá el cambio definitivo? El 25 de mayo de 2018.

En resumen,

tres máximas:

▪ Todas aquellas

empresas con datos

personales de

personas físicas de

países miembros de la

UE se verán afectadas.

▪ Algunos de los datos

tendrán la

consideración de

sensibles y tendrán que

gozar de una especial

protección.

▪ La fecha de aplicación

será partir del 25 de

mayo de 2018.

NOVEDADES DEL REGLAMENTO GENERAL

DE PROTECCIÓN DE DATOS

■ La regulación del tratamiento de datos no era una cuestión sobre la que hubiera un

vacío en el marco europeo, ni mucho menos. Las novedades vienen a completar las

anteriores directrices para crear procedimientos más seguros y unificadores. A partir

de ahí, pasamos a enumerar las principales.

■ Una de las modificaciones clave, además de la obvia unificación legal entre los países

de la UE, será la del consentimiento, el cual siempre ha sido un tema delicado. Al

respecto, la RGPD es muy clara y más dura que la LOPD: exige, en cualquier caso, una

demostración inequívoca mediante la cual el sujeto conceda dicho consentimiento a la

empresa para el tratamiento de sus datos (Artículo 4, apartado 11, RGPD). A pesar de

que la LOPD también exigía un consentimiento similar, este cambio implica que queda

fuera otro tipo de manifestación que sí contemplaba: la tácita. Dicha figura se podía

aplicar en el caso de datos que no fueran especialmente sensibles, tal y como detalla

la Agencia Española de Protección de Datos en su Informe Jurídico 0645/2009.

Especial atención han de tener las empresas con todos aquellos datos recabados

hasta ahora a través del consentimiento tácito ya que, a partir de mayo de 2018, no

tendrán potestad para su tratamiento. Ello significa que han de volver a revisar

como obtuvieron y obtener consentimientos inequívocos que sustituyan a los

tácitos.

Otras maneras de proceder habituales por parte de las entidades, como casillas

marcadas por defecto en contratos o el silencio del interesado tomado como

asentimiento, también dejan de tener validez, según su el artículo 32 de la RGPD. Y,

en el caso de los datos sensibles, el consentimiento tendrá que ser, además de

inequívoco, explícito.

UNA DE LAS MODIFICACIONES CLAVE:

EL CONSENTIMIENTO. UNA DEMOSTRACIÓN

INEQUÍVOCA MEDIANTE LA CUAL EL SUJETO

CONCEDA DICHO CONSENTIMIENTO A LA EMPRESA

PARA EL TRATAMIENTO DE SUS DATOS

Artículo 4, apartado 11, RGPD

■ Al respecto de los datos personales de menores de edad también se han introducido cambios. Hasta

ahora, la LOPD establecía, con algunas excepciones, poder recabar datos personales de mayores de 14

años sin necesidad de obtener el consentimiento paterno. Cambia la edad de consentimiento en el caso

de los menores, que pasa de los 14 a los 16 años. De esta manera no será posible que los menores de

16 años cedan sus datos sin el consentimiento paterno o del tutor legal, aunque este caso es

susceptible de que una ley a nivel español marque el límite una edad inferior.

Si se diera dicha circunstancia, este nunca se encontrará por debajo de los 13 años.

A tener en cuenta:

▪ Es necesario evaluar las

bases legales utilizadas

para los tratamientos

actuales y revisar si

siguen siendo válidas

bajo el RGPD.

▪ Revisar las políticas de

privacidad.

▪ Asegurar que el

consentimiento ha sido

dado de acuerdo con los

nuevos requisitos y que

el responsable de

tratamiento puede

demostrarlo.

■ El deber de información sobre su recogida es otro de los puntos sensibles. A las obligaciones de informar

sobre los ficheros que alojarán la información, la identidad del responsable del tratamiento, la finalidad de la

recogida o la puesta en conocimiento de los derechos de acceso, rectificación, cancelación y oposición,

contempladas por la LOPD, se añaden otras nuevas. Cuestiones como cuánto tiempo se conservarán sus

datos o a qué autoridades dirigirse en caso de que surja algún problema habrán de ser comunicadas.

■ Por otro lado, si una entidad obtiene los datos de alguien parte de un tercero (Artículo 4, apartado 10, RGPD),

se reduce a un mes el periodo que tiene para informar al interesado de su posesión y procedencia

(anteriormente eran tres).

■ En cuanto a los derechos de los interesados (Artículo 4, apartado 1, RGPD), clientes o personas que figuran en

nuestras bases de datos, el RGPD no cambia la legislación actual sino que la amplía. A los ya conocidos de

acceso, rectificación, oposición y cancelación se unen algunos más, así como la obligación del responsable del

tratamiento de permitir el ejercicio de los mismos de manera telemática. medios necesarios para su

eliminación.

A tener en

cuenta:

▪ Revisión de los

procedimientos de

acceso de los

interesados.

▪ Considerar las

implicaciones del

derecho al olvido para

los sistemas de las

tecnologías de la

información.

▪ Considerar formas de

automatizar respuestas

ante solicitudes

individuales.

Especialmente relevante es el ejercicio del derecho de supresión o

“derecho al olvido”, por sus implicaciones tecnológicas.

Permitirá la supresión sin dilación indebida en el caso de que los datos ya

no sean necesarios, se retire el consentimiento, se oponga al tratamiento,

o que sus datos hayan sido tratados ilícitamente, entre otros.

■ La referencia tecnológica que se engloba en el “derecho al olvido”, se refiere a los casos en

los que se hayan hecho públicos a través de la Red y cumplan alguno de los puntos

anteriores, poniendo la organización los medios necesarios para su eliminación.

■ El derecho a la transparencia también figura entre las novedades. Este indica que las

informaciones y comunicaciones respecto al tratamiento de datos se ejerzan de una manera

explícita y fácil de entender por los interesados, además de ser de fácil acceso.

De esta manera, no ha de quedar ninguna duda de la recogida de datos personales, así

como de cuestiones como su fin, el plazo establecido para su tratamiento o quién es el

destinatario. También han de ser explicados debidamente los riesgos, normas y derechos

que se pueden ejercer respecto a los datos personales, así como las vías mediante las

que los interesados pueden hacer valer sus derechos respecto a estos.

■ También se ha introducido el llamado derecho de limitación, mediante el cual el interesado

puede pedir la limitación del tratamiento de sus datos al responsable de su tratamiento en

el contexto de ciertos supuestos, como la inexactitud de datos (permite impugnarlos durante

un plazo de tiempo hasta su verificación por parte del responsable); ilicitud de uso de datos

(si el interesado no quiere suprimirlos, limita su uso); para la defensa de reclamaciones o

que el interesado se oponga al tratamiento. En la práctica, el ejercicio de este derecho se

resume en que el responsable del tratamiento podrá conservar los datos pero no utilizarlos.

■ Por último, pero no menos importante, está el derecho a la portabilidad. Tal y como indica la Agencia

Española de Protección de Datos, implica que el interesado podrá solicitar recuperar esos datos en un

formato que le permita su traslado a otro responsable.

A tener en cuenta:

▪ Evaluar los métodos de

cumplimiento de las

solicitudes de

portabilidad de datos y

de limitación.

▪ Asegurar la claridad en la

comunicación con los

interesados y poner

todas las facilidades a su

disposición para que

ejerzan sus derechos.

■ La nueva norma también introduce la evaluación de impacto del tratamiento

de los datos personales (EIPD). La medida, que no se contemplaba en la LOPD,

consiste en que las organizaciones deben evaluar, como dice su enunciado, el

impacto en los tratamientos de datos en aquellos casos que puedan implicar

un alto riesgo para los derechos y libertades de las personas físicas. Dicho

estudio debe hacerse antes de iniciar el tratamiento y ha de evaluarse el

origen, la naturaleza, la particularidad y la gravedad de dicho riesgo. La

principal meta es reducir los riesgos para la protección de los datos personales

y para otros derechos que puedan verse afectados como consecuencia del

tratamiento de los datos de carácter personal.

■ Una EIPD consta, básicamente, de seis fases:

1. Descripción y análisis de la necesidad de la EIPD;

2. Descripción y documentación;

3. Identificación de los riesgos;

4. Evaluación de los riesgos;

5. Gestión y medidas de los riesgos;

6. Revisión e implantación de las medidas.

■ Respecto a la figura del responsable de seguridad -que cita la LOPD y que cuya

designación es obligatoria en caso de tratamiento de ficheros de nivel

medio/alto para coordinar la implementación de las medidas de seguridad

pertinente-, se verá complementada por una nueva. Será el delegado de

protección de datos (DPO).

Este cargo asume competencias inéditas, principalmente en cuestiones

de coordinación y control del cumplimiento de RGPD.

Deberá, principalmente, actuar en sinergia con el responsable del

tratamiento de datos, informándole y asesorándole de las obligaciones

que debe efectuar para cumplir con el RGPD.

Ha de existir un registro en papel de las comunicaciones entre ambos.

Además, deberá supervisar la aplicación de dichas normas de

tratamiento.

■ El DPO también se encargará de la documentación, comunicación y notificación respecto a la violación

de datos personales y de ejercer como enlace con la autoridad de control. Su presencia no será

obligatoria siempre –con un matiz- excepto en el caso de tres supuestos:

– Si El tratamiento lo lleva a cabo una autoridad u organismo público, excepto los tribunales que

actúen en ejercicio de su función;

– Si las actividades principales del responsable requieran una observación habitual y sistemática

de datos a gran escala; y que en dicho tratamiento a gran escala se gestionen datos

pertenecientes a categorías especiales o concernientes a cuestiones penales o condenas.

– Y es que “el matiz” consiste en que la definición de “gran escala” no queda muy clara por lo

que, aunque en teoría solo e exigible en esos supuestos, en la práctica se hace necesario en

casi todas las empresas debido a su ambigüedad.

A tener en cuenta:

▪ Los delegados deben

asegurarse de que se

cumplen con los

requisitos del RGPD.

▪ Determinar si el

nombramiento de un

DPO es obligatorio, y en

caso contrario,

considerar la

designación voluntaria

del mismo.

■ La comunicación de fallos de seguridad a la autoridad de protección de datos ha sido convenientemente

regulada, lo cual solventa un punto no contemplado en la LOPD. Esta nueva obligación supone que el

responsable del tratamiento ha de notificar a la Agencia Española de Protección de Datos todos aquellos

fallos de seguridad que se produzcan en su empresa, en un plazo de 72 horas. Para ello, ha de disponer

de un sistema efectivo para realizar este reporte a la AEPD o para comunicar el fallo a los afectados si

existiera algún riesgo para sus derechos. El informe deberá incluir una descripción de la naturaleza del

incidente e impacto; el número de interesados afectados y el número de registros; nombre y datos de

contacto del delegado de protección de datos; descripción de las posibles consecuencias del incidente; y

descripción de las medidas adoptadas o propuestas para solventarlo.

■ Y para prevenir estos fallos, también se establecen una serie de medidas en cuanto al registro y la

seguridad, que también suponen no un cambio sino algo inédito respecto a la LOPD. De esta forma,

aquellas organizaciones que manejen datos sensibles o de riesgo para la privacidad de los interesados,

tendrán que disponer de un registro que recoja información de distintas actividades cómo los

tratamientos de datos efectuados, su finalidad, datos personales tratados, destinatarios de estos,

medidas de seguridad aplicadas... Es decir, todas aquellas actividades realizadas bajo su

responsabilidad.

■ Abordando el tema de las medidas de seguridad, la RGPD concreta que se aplicarán “teniendo en

cuenta: estado de la técnica, costes de aplicación, naturaleza, alcance, contexto y fines del tratamiento,

así como los riesgos para los derechos y libertades de las personas físicas”. La nueva legislación habla

de “medidas técnicas y organizativas apropiadas” para garantizar un nivel de seguridad adecuado al

riesgo. En este caso, la LOPD es más específica, estableciendo niveles en los ficheros -básico, medio,

alto- y entrando en detalle de qué medidas de seguridad ha de aplicar el responsable de tratamiento en

función de éstos.

A tener en cuenta:

▪ Implementar

procedimientos para

identificar los incidentes de

seguridad, para dar

respuesta a los mismos y

realizar las necesarias

notificaciones.

▪ Evaluar y aplicar la

seguridad y realizar

regularmente pruebas.

▪ Comprobar la probabilidad

de los riesgos cibernéticos.

▪ Asignar la responsabilidad y

establecer un presupuesto

para el cumplimiento de la

protección de datos.

Actualización de estos para

garantizar el cumplimiento,

y desarrollar nuevos

procesos cuando sea

necesario.

■ Por último pero no menos importante, no hay que olvidar el régimen sancionador, que se endurece muy

notablemente. El máximo de 600.000 euros de multa por cada dato mal tratado que contempla la LOPD

se incrementa hasta cantidades que podrían ascender a los 20 millones de euros o el 4% del volumen

total de negocio del ejercicio anterior en el caso de la RGPD.

■ Sin embargo, las sanciones no son las únicas consecuencias del incumpliendo del reglamento a partir

de su entrada en vigor el 25 de mayo 2018. Estar preparado cuanto antes ha de ser la prioridad, que no

debe de verse como una mera obligación sino que también puede ser enfocado desde el punto de vista

de las ventajas que ofrece, proporcionando un incremento en el control de los datos, una protección y

seguridad mayores e, incluso, puede hacer resaltar a nuestra empresa por un tratamiento impoluto de

los datos manejados.

■ Por el contrario, las empresas que no se adapten pueden enfrentarse, como decíamos, a problemas tan

graves como las sanciones.

■ Las pérdidas económicas también pueden producirse, por ejemplo, por incidentes de seguridad. Éstas

quizá conllevarían a una suspensión de los servicios a los clientes, que desamparados, acudirían a la

competencia en el mejor de los casos; en el peor, estarían las acciones legales. También, se puede

provocar un daño en la reputación de la empresa, que lleve a dicha pérdida de clientes actuales y/o

futuros. Sin embargo, cumpliendo la ley, además de poder evitarse los contratiempos enumerados, el

escenario puede cambiar al otro extremo, ganando clientes, confianza y reputación. Por ello se ha de

reiterar, una vez más, el cambio legislativo como una oportunidad de mejora.

A tener en cuenta:

▪ Evaluar la posible

exposición a

responsabilidades con

los clientes o

proveedores.

▪ Seguimiento de los

desarrollos legislativos

nacionales que ya que

podrían crear nuevas

sanciones.

▪ Estar preparado cuanto

antes ha de ser la

prioridad

LA ADAPTACIÓN DE LA EMPRESA A LA

NORMATIVA. ¿POR DÓNDE EMPEZAR?

■ Las empresas necesitan adaptarse a la RGPD de la manera más eficiente posible, y

para ello han de empezar por ubicar en que tesitura están de cumplir la legislación con

sus actuales medios.

■ Un buen comienzo podría ser que las empresas sean plenamente conscientes de los

tratamientos de datos que están llevando a cabo, empezando por cuáles son los datos

personales que tratan. Para ello pueden documentar todo el flujo de información y

buscar fallos: desde la recogida de los mismos hasta su almacenamiento y

procesamiento. La ubicación de las bases de datos donde se guarda la información y,

sobre todo, quién tiene acceso a ella, incluyendo terceras empresas y colaboradores es

de vital importancia.

■ Cuando se realicen transferencias de información han de documentarse todos los

actores que intervengan. ¿Controlar la seguridad? Crucial.

■ En cuanto a los derechos de las personas físicas, hay que establecer los cauces más

ágiles y adecuados para permitir el ejercicio de los mismos mediante la identificación,

modificación, borrado o transferencia de sus datos personales. La transparencia ha de

ser una prioridad, y con ella las maneras de informar sobre las políticas de privacidad y

cómo se guarda y hace uso en el tratamiento de los datos.

■ Con la comprensión de las lagunas en el cumplimiento con el reglamento, las empresas

estarán en una buena posición para evaluar el riesgo en su tratamiento de datos

personales y desarrollar planes de remediación priorizados.

■ Desconocimiento y adaptación:

algunas pautas

■ Todos los cambios conllevan, en un principio, un desconocimiento

de lo que está por venir. En el caso del RGPD se manifiesta en el

que las empresas pueden tener sobre las obligaciones, el

impacto en sus organizaciones y los riesgos económicos,

reputaciones e incluso de la propia actividad empresarial. Una

vez las empresas sean conscientes, el proceso de adecuación

requiere de un gran esfuerzo de concienciación, formación y

análisis e implantación de nuevas prácticas y tecnología tendrán

el cambio encarrilado para lo que viene después: la adaptación

en sí misma, con la ayuda de las tecnologías para aplicar las

nuevas prácticas.

■ Igualmente, todo este esfuerzo corre el riesgo de acabar por no

servir de nada si existen decisiones no acertadas. Para ello, el

cumplimiento del RGPD puede basarse en dos máximas: un buen

gobierno de la información en sinergia con la máxima seguridad.

Ambas premisas garantizan un óptimo control de los datos que se

recogen, almacenan y tratan dentro de la empresa a todos sus

niveles. A partir de esta base, pueden hay tres puntos clave:

preparación, protección y visibilidad.

■ Preparación:

■ La actitud proactiva por parte de las empresas es muy importante. Así, lo más primordial es estar preparados en todos los sentidos: para la detección de

cualquier incidente de seguridad con el fin de neutralizarlo lo antes posible o el bloqueo del atacante en el caso de que logre entrar en los sistemas; para

tener los procedimientos legales a punto; para ser capaces de atender las peticiones de sus clientes; es decir, para todo. Se basa en uno de los consejos de

la Agencia Española de Protección de datos: la prevención, de la que deriva la preparación.

■ Protección:

■ Centrándonos más en la seguridad, es absurdo desaprovechar la tecnología avanzada que tenemos a nuestra disposición. La inteligencia humana y

computacional, junto con el machine learning son la mejor solución. Con ellos podemos automatizar la detección de amenazas y de respuestas. Las

empresas están saturadas con el volumen de eventos y alertas generados por los sistemas, pero una vez que existe una falla, una gran cantidad de

información puede ser robada en segundos. Las soluciones de seguridad deben identificar rápidamente un ataque en curso, tomar medidas para evitar

daños y aliviar la carga del equipo, generando reducción de costes, automatizando totalmente lo que les ocupaba el tiempo durante días.

■ Visibilidad:

■ Hay que tener los datos en bajo control y no en un servidor “cogiendo polvo”; también necesitan mantenimiento. Los datos crecen, cambian y se mueven.

Adecuarse a la nueva norma es solo el principio. Una vez que todo esté como debe, es imprescindible mantener un control constante sobre los mismos. Es

exactamente como ordenar nuestra casa para recibir una visita, pero cuando se va todo vuelve a su caos habitual. No podemos permitirlo.

¿Algún consejo?

■ Revisión de los métodos utilizados hasta ahora: Encontrar contradicciones con

la nueva normativa y subsanarlas en cuanto sea posible, sin prisa pero sin

pausa. Prestar mucha atención a los datos recabados mediante

consentimientos tácitos y, especialmente, los que impliquen a menores de 16

años.

■ Trabajar en el deber de la información: Se traduce en proveer todas las

facilidades para que los interesados puedan ejercer sus derechos sobre los

datos de la manera más ágil posible. La transparencia y los medios

tecnológicos se postulan como factores decisivos, así como el establecimiento

de unas bases legales claras en el momento de la recogida de datos.

■ Ser previsores en cuanto a las evaluaciones de impacto: Evaluar los riesgos

en el tratamiento de datos de manera adecuada, más aún en un principio,

hasta que el protocolo esté interiorizado y asimilado. Para ello, será

especialmente útil una de las guías que la Agencia Española de Protección de

datos ha dedicado a este menester.

■ Activar los nuevos protocolos de registro y de seguridad: Se recomienda que

se pongan en marcha cuanto antes, a pesar de no ser todavía obligatorios,

basándose en las premisas de previsión y adaptación progresiva.

■ Designar ya mismo un Delegado de Protección de Datos: En caso de que sea

necesario en la organización su instauración facilitaría mucho los procesos de

cara a mayo de 2018.

Desde su entrada en vigor, la Agencia Española

de Protección de Datos ha elaborado una serie

de decálogos y guías para orientar a las

organizaciones y empresas en su correcta

adaptación a la normativa. Las cuestiones sobre

las que hacen mayor hincapié son la previsión y

la adaptación progresiva, pero también existen

algunas más concretas que se pueden resumir

en los siguientes puntos:

EL 25 DE MAYO DE 2018 LA RGPD SERÁ DE OBLIGADO CUMPLIMIENTO

PODEMOS AYUDARTE: info@grupogaratu.com