Claves del RGPD: Cumplimiento y Protección de Datos para Empresas

El Nuevo Reglamento General de Protección de Datos (RGPD): Fundamentos y Alcance

El Reglamento General de Protección de Datos (RGPD) tiene como objetivo principal aumentar la protección de las personas físicas frente al tratamiento y la libre circulación de cualquier tipo de datos personales en un contexto de actividades profesionales. Esta normativa es más estricta que las anteriores, y las sanciones para las empresas por incumplimiento pueden ascender hasta el 4% de su facturación anual.

Además, el RGPD otorga un mayor control a los ciudadanos sobre sus datos personales, ampliando sus derechos a decidir cómo desean que sus datos sean tratados y cómo quieren recibir información de las empresas.

¿Qué es el RGPD?

El RGPD constituye un nuevo marco jurídico sobre la protección de los datos personales y sobre su libre circulación. Está diseñado para otorgar mayor seguridad y control a las personas sobre su información personal, así como para establecer unas reglas comunes de protección de dicha información en toda Europa.

Tipo de Tratamiento de los Datos y Tipo de Consentimiento

El tratamiento de datos debe ser proactivo. El consentimiento de los interesados pasa de ser tácito a un consentimiento expreso, dependiente de una acción afirmativa clara y fehaciente. Para obtener el consentimiento, se pueden usar casillas, pero es crucial recordar que las casillas premarcadas no constituyen una forma válida de prestar el consentimiento.

Deber de Información

Antes de solicitar datos personales a tus clientes, debes facilitarles información clara y concisa sobre los siguientes puntos:

• Identidad y datos de contacto del responsable (es decir, tuyos).
• Datos identificativos del Delegado de Protección de Datos (DPO), en caso de tenerlo.
• Por qué se solicitan esos datos y para qué los vas a utilizar.
• Quién va a tener acceso a los datos.
• Si vas a transferirlos a terceros países.
• Plazo de conservación de los mismos.
• Derechos que le corresponden al interesado (acceso, rectificación, supresión, limitación, portabilidad, oposición).
• Si es obligatorio facilitar los datos y las consecuencias de no hacerlo.

El Delegado de Protección de Datos (DPO)

El Delegado de Protección de Datos (DPO) es la persona encargada de supervisar el cumplimiento de la normativa de protección de datos y de asesorar a la empresa en cualquier cuestión relacionada con esta materia. Es obligatorio contratar un DPO en los siguientes casos:

• Cuando se trate de una autoridad u organismo público.
• Cuando las actividades principales de la empresa consisten en elaborar perfiles de comportamiento de los clientes o usuarios.
• En caso de tratar categorías especiales de datos (como datos de salud) o datos personales relacionados con condenas y delitos penales.

Contratos de Confidencialidad

La gestión de la confidencialidad es un pilar fundamental en el cumplimiento del RGPD, especialmente en dos ámbitos clave:

Con Encargados del Tratamiento de Datos

Son los terceros que te prestan algún servicio y, para ello, acceden a datos personales que tú manejas, ya sean de tus clientes o de tus empleados. Es imprescindible formalizar un contrato que regule este acceso y el tratamiento de los datos.

Con Empleados

Los empleados deben firmar un acuerdo de confidencialidad con el que se evitará que la información sensible sea revelada a personas no autorizadas. Además, están obligados a observar las medidas de seguridad implantadas por la empresa para garantizar la protección de los datos personales.

Registro de Actividades de Tratamiento

El Registro de Actividades de Tratamiento (RAT) es un documento en el que se debe reflejar el tipo de datos que maneja la empresa y en qué cantidad. Este registro debe incluir, como mínimo, la siguiente información:

• Tipo de datos que se recogen.
• Finalidad del tratamiento.
• Dónde se guardan esos datos.
• Si se ceden esos datos o se realizan transferencias fuera del Espacio Económico Europeo.
• Medidas de seguridad que se aplican.
• Nivel de seguridad que corresponde.

Evaluación de Riesgos y Medidas de Seguridad

Es fundamental elaborar un informe donde se identifiquen y evalúen los riesgos que pueden existir sobre los datos que se manejan, con el objetivo de prevenirlos. Una vez realizada esta evaluación, se deben aplicar medidas de seguridad robustas y eficaces que sean capaces de impedir un ataque informático o cualquier otra vulneración de los datos.