Declaración de la Renta
El Reglamento General de Protección de Datos (RGPD) es la principal norma europea en materia de protección de datos personales. Aunque comenzó a aplicarse el 25 de mayo de 2018, continúa plenamente vigente y forma parte del marco normativo que deben conocer empresas, autónomos, profesionales y organizaciones que traten datos personales.
En España, el RGPD se complementa principalmente con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Además, cuando una empresa dispone de una página web, realiza comercio electrónico o envía comunicaciones comerciales por medios electrónicos, también debe tener en cuenta la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI).
En este artículo explicamos qué es el RGPD, a quién se aplica, cuáles son sus principales obligaciones y derechos y cómo se relaciona con la normativa española de protección de datos y con la LSSI.
¿Qué es el Reglamento General de Protección de Datos?
El Reglamento General de Protección de Datos, conocido como RGPD, es el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
El Reglamento fue aprobado en 2016 y comenzó a aplicarse el 25 de mayo de 2018. Su objetivo es establecer un marco común para la protección de los datos personales en la Unión Europea y reforzar el control que las personas tienen sobre la información que les identifica o permite identificarlas.
El RGPD regula, entre otras cuestiones, cómo pueden recogerse, utilizarse, almacenarse, conservarse, comunicar y protegerse los datos personales. También establece las obligaciones de las organizaciones que realizan estos tratamientos y los derechos que pueden ejercer las personas afectadas.
¿A quién se aplica el RGPD?
El RGPD se aplica al tratamiento de datos personales realizado por empresas, autónomos, organizaciones y Administraciones públicas, tanto cuando están establecidos en la Unión Europea como en determinados supuestos en los que organizaciones situadas fuera de la UE ofrecen bienes o servicios a personas que se encuentran en la Unión o monitorizan su comportamiento.
La propia Agencia Española de Protección de Datos (AEPD) señala que el ámbito de aplicación alcanza a responsables y encargados establecidos en la Unión Europea y, en determinados casos, también a organizaciones que no están establecidas en ella. Consulta la información de la AEPD sobre el ámbito de aplicación del RGPD.
Por tanto, no se trata de una normativa que afecte únicamente a grandes empresas. Una pequeña empresa, un autónomo, una comunidad de propietarios, una asociación o un comercio electrónico pueden estar obligados a cumplir el RGPD si realizan tratamientos de datos personales dentro de su actividad.
¿Qué se considera un dato personal?
El RGPD considera dato personal cualquier información relativa a una persona física identificada o identificable.
Esto incluye datos evidentes como el nombre, los apellidos, el DNI, la dirección postal, el teléfono o el correo electrónico, pero también puede abarcar otros datos que permitan identificar directa o indirectamente a una persona, como determinados identificadores en línea, datos de localización o información relacionada con sus características físicas, económicas o profesionales.
Por ello, la protección de datos no se limita a los documentos que tradicionalmente asociamos con la identificación de una persona. También puede afectar a la información que una empresa obtiene a través de sus formularios web, aplicaciones, servicios digitales o relaciones comerciales.
Principios básicos del RGPD
El tratamiento de datos personales debe realizarse respetando una serie de principios. Entre los más importantes se encuentran los siguientes:
- Licitud, lealtad y transparencia: los datos deben tratarse de manera lícita, leal y transparente respecto de la persona afectada.
- Limitación de la finalidad: los datos deben recogerse para finalidades determinadas, explícitas y legítimas.
- Minimización de datos: deben utilizarse únicamente los datos adecuados, pertinentes y necesarios para la finalidad correspondiente.
- Exactitud: los datos deben mantenerse correctos y actualizados cuando sea necesario.
- Limitación del plazo de conservación: los datos no deben conservarse durante más tiempo del necesario para las finalidades que justifican su tratamiento.
- Integridad y confidencialidad: deben adoptarse medidas apropiadas para garantizar la seguridad de los datos.
- Responsabilidad proactiva: la organización debe ser capaz de demostrar que cumple los principios y obligaciones establecidos por la normativa.
¿Es obligatorio pedir siempre el consentimiento para tratar datos personales?
No. Una de las ideas que conviene aclarar sobre el RGPD es que el consentimiento no es la única base jurídica que permite tratar datos personales.
Dependiendo del tratamiento, puede existir otra base jurídica válida, como la necesidad de ejecutar un contrato, cumplir una obligación legal, proteger intereses vitales, realizar una misión de interés público o satisfacer un interés legítimo cuando se cumplan los requisitos establecidos por la normativa.
Cuando el tratamiento se base en el consentimiento, este debe reunir los requisitos establecidos por el RGPD. En términos generales, debe tratarse de una manifestación de voluntad libre, específica, informada e inequívoca. Además, la persona debe poder retirar su consentimiento.
Por este motivo, una empresa no debería utilizar formularios o casillas de aceptación genéricas para todos los tratamientos. Es necesario determinar qué datos se recogen, para qué se utilizan y cuál es la base jurídica que permite cada tratamiento.
EJEMPLO. Una tienda online quiere enviar a sus clientes ofertas comerciales por correo electrónico.
- No debería incluir el consentimiento para recibir publicidad como una condición genérica y obligatoria para cualquier tratamiento.
- Debe analizar cuál es la base jurídica aplicable al envío de comunicaciones comerciales y, cuando corresponda, solicitar un consentimiento que sea libre, específico, informado e inequívoco.
¿Cuáles son los derechos que reconoce el RGPD?
El RGPD refuerza el control de las personas sobre sus datos personales y reconoce diferentes derechos que pueden ejercerse frente al responsable del tratamiento.
- Derecho de acceso: permite conocer si se están tratando datos personales y obtener información sobre dicho tratamiento.
- Derecho de rectificación: permite solicitar la corrección de datos inexactos o incompletos.
- Derecho de supresión: permite solicitar la eliminación de los datos cuando concurran las circunstancias previstas por la normativa.
- Derecho a la limitación del tratamiento: permite solicitar que se limite el uso de los datos en determinados supuestos.
- Derecho a la portabilidad: permite recibir determinados datos personales en un formato estructurado y, cuando proceda, transmitirlos a otro responsable.
- Derecho de oposición: permite oponerse a determinados tratamientos cuando concurran los requisitos establecidos.
- Derecho a no ser objeto de determinadas decisiones individuales automatizadas: protege frente a determinadas decisiones basadas exclusivamente en tratamientos automatizados, incluida la elaboración de perfiles.
Entre estos derechos se encuentra también el denominado derecho al olvido, relacionado con el derecho de supresión y que presenta particularidades cuando se solicita la eliminación de información de los resultados de los buscadores.
El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. (Fuente: artículo 5.2 del RGPD)
¿Qué obligaciones tiene una empresa en materia de protección de datos?
Las obligaciones concretas dependen del tipo de empresa, de los tratamientos realizados y de los riesgos asociados. No existe un único procedimiento de adaptación al RGPD válido para todas las organizaciones.
Entre las actuaciones que pueden resultar necesarias se encuentran:
- Identificar y documentar los tratamientos de datos personales realizados.
- Determinar la base jurídica que legitima cada tratamiento.
- Informar correctamente a las personas cuyos datos se recaban.
- Establecer procedimientos para atender el ejercicio de derechos.
- Aplicar medidas técnicas y organizativas adecuadas para proteger la información.
- Formalizar correctamente las relaciones con los encargados del tratamiento.
- Analizar los riesgos asociados a los tratamientos.
- Realizar, cuando proceda, evaluaciones de impacto relativas a la protección de datos.
- Gestionar adecuadamente las posibles violaciones de seguridad de los datos personales.
- Conservar la documentación necesaria para poder demostrar el cumplimiento de la normativa.
Una cuestión importante es que el RGPD no establece simplemente la obligación de «tener unos documentos de protección de datos». El principio de responsabilidad proactiva exige que la organización pueda demostrar que sus tratamientos cumplen la normativa y que las medidas adoptadas son adecuadas al riesgo.
Responsable y encargado del tratamiento: ¿cuál es la diferencia?
El responsable del tratamiento es quien determina, en términos generales, las finalidades y los medios del tratamiento de datos personales. El encargado del tratamiento, por su parte, trata los datos personales por cuenta del responsable y siguiendo sus instrucciones.
Esta distinción tiene consecuencias prácticas. Por ejemplo, una empresa puede contratar a un proveedor externo para determinados servicios que impliquen acceso a datos personales. Si dicho proveedor actúa como encargado del tratamiento, la relación debe quedar regulada conforme a las exigencias del RGPD.
El contrato o acto jurídico que regule esta relación debe establecer, entre otras cuestiones, el objeto y duración del tratamiento, su finalidad, los tipos de datos y categorías de interesados, así como las obligaciones y derechos del responsable.
EJEMPLO. Una empresa que utiliza un servicio externo de gestión de nóminas.
Imaginemos una empresa que contrata a una gestoría para gestionar las nóminas de sus trabajadores. La empresa decide qué datos de sus empleados se utilizan y con qué finalidad, por lo que, en relación con ese tratamiento, actúa como responsable del tratamiento.
La gestoría, por su parte, accede y trata esos datos para prestar el servicio contratado y siguiendo las instrucciones correspondientes. En este supuesto, puede actuar como encargada del tratamiento.
La relación entre ambas partes debe quedar regulada conforme a las exigencias del RGPD cuando exista una relación responsable-encargado.
¿Cuándo es obligatorio contar con un Delegado de Protección de Datos?
El Delegado de Protección de Datos (DPD o DPO) es una figura prevista por el RGPD para determinados responsables y encargados del tratamiento.
No todas las empresas están obligadas a designarlo. La obligación depende de las circunstancias previstas por el Reglamento y por la normativa aplicable, como la naturaleza de la actividad, la realización de tratamientos que requieran una observación habitual y sistemática de interesados a gran escala o el tratamiento a gran escala de determinadas categorías especiales de datos.
Por tanto, no debe asumirse que cualquier empresa necesita un DPO ni, en sentido contrario, que una empresa está exenta simplemente por tener un tamaño reducido. Es necesario analizar la actividad y los tratamientos concretos.
¿Qué relación existe entre el RGPD y la LOPD?
En España suele hablarse todavía de «LOPD» para referirse de forma genérica a la legislación sobre protección de datos. Sin embargo, la normativa española vigente debe distinguirse de la antigua Ley Orgánica 15/1999.
La norma española actualmente fundamental es la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta determinados aspectos del RGPD al ordenamiento jurídico español y regula cuestiones adicionales dentro del margen que permite el Reglamento europeo.
Por tanto, no se trata de elegir entre «RGPD o LOPD». En España, ambas normas deben entenderse conjuntamente: el RGPD establece el marco europeo y la LOPDGDD desarrolla y complementa determinados aspectos en el ámbito nacional.
La denominación «LOPD» puede seguir apareciendo habitualmente en búsquedas y conversaciones empresariales, pero cuando se haga referencia a la legislación española vigente es más preciso hablar de LOPDGDD.
RGPD y páginas web: ¿qué debe tener en cuenta una empresa?
Una página web puede implicar numerosos tratamientos de datos personales: formularios de contacto, solicitudes de información, creación de cuentas de usuario, contratación online, newsletters, herramientas de analítica, publicidad, cookies u otros servicios de terceros.
Por ello, el cumplimiento del RGPD no consiste únicamente en publicar una política de privacidad. La información facilitada al usuario debe corresponderse con los tratamientos que realmente realiza la página y debe existir una base jurídica adecuada para cada tratamiento.
También es necesario revisar las relaciones con proveedores externos, las herramientas utilizadas, las transferencias internacionales que puedan producirse y las medidas de seguridad aplicables.
¿Cómo afecta la LSSI a una página web o comercio electrónico?
El RGPD no es la única norma que debe tenerse en cuenta cuando una empresa desarrolla su actividad en Internet.
La Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI) establece obligaciones específicas para los prestadores de servicios de la sociedad de la información y regula, entre otras materias, determinadas cuestiones relacionadas con las comunicaciones comerciales electrónicas.
Por ejemplo, el artículo 21 de la LSSI establece como regla general la prohibición de enviar comunicaciones publicitarias o promocionales por correo electrónico u otros medios de comunicación electrónica equivalentes que previamente no hubieran sido solicitadas o expresamente autorizadas por sus destinatarios, con las excepciones previstas legalmente.
La LSSI y el RGPD, por tanto, pueden resultar aplicables simultáneamente, pero regulan cuestiones diferentes. Una estrategia adecuada de cumplimiento debe analizar conjuntamente ambas normas cuando la actividad de la empresa se desarrolla a través de Internet.
¿Cuánto tiempo se pueden conservar los datos personales?
No existe un único plazo de conservación aplicable a todos los datos personales.
El RGPD establece el principio de limitación del plazo de conservación: los datos no deben mantenerse durante más tiempo del necesario para las finalidades para las que fueron recogidos. Sin embargo, otras normas pueden imponer la conservación de determinada documentación durante plazos concretos.
Por ello, una empresa debe determinar los plazos de conservación teniendo en cuenta tanto la finalidad del tratamiento como las obligaciones legales que puedan resultar aplicables. Cuando finaliza el plazo correspondiente, los datos deberán suprimirse o, cuando proceda, anonimizarse.
¿Qué ocurre si se produce una brecha de seguridad?
Una violación de la seguridad de los datos personales puede producirse, por ejemplo, por una pérdida, destrucción, alteración, comunicación o acceso no autorizado a datos personales.
Ante una brecha de seguridad, la organización debe valorar el incidente y sus posibles consecuencias para los derechos y libertades de las personas afectadas. Cuando la violación pueda entrañar un riesgo para las personas, el RGPD establece la obligación de notificarla a la autoridad de control competente sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde que se haya tenido constancia de ella.
Si es probable que la violación entrañe un alto riesgo para los derechos y libertades de las personas, también puede ser necesario comunicarla a los afectados.
¿Qué sanciones contempla el RGPD?
El RGPD establece un régimen sancionador que puede alcanzar importes elevados. En función de la infracción y de las circunstancias del caso, las multas administrativas pueden llegar hasta 20 millones de euros o, tratándose de una empresa, hasta el 4% del volumen de negocio anual global del ejercicio financiero anterior, aplicándose el importe que resulte más elevado en los supuestos previstos por el Reglamento.
La cuantía concreta de una sanción no se determina únicamente por el tipo de incumplimiento. Entre los factores que pueden valorarse se encuentran la naturaleza, gravedad y duración de la infracción, el carácter intencionado o negligente, las medidas adoptadas para reducir los daños, el grado de responsabilidad y otros elementos establecidos en el RGPD.
Preguntas frecuentes sobre el Reglamento General de Protección de Datos
¿Qué es el RGPD?
El RGPD es el Reglamento (UE) 2016/679 de protección de datos personales. Es la norma europea que establece las principales reglas sobre el tratamiento y protección de los datos personales y se aplica desde el 25 de mayo de 2018.
¿A quién se aplica el RGPD?
Se aplica a responsables y encargados que tratan datos personales dentro de su ámbito de aplicación, incluidos aquellos establecidos en la Unión Europea y determinados responsables o encargados situados fuera de ella cuando ofrecen bienes o servicios a personas en la UE o monitorizan su comportamiento.
¿Qué datos protege el RGPD?
Protege los datos personales de las personas físicas identificadas o identificables. El concepto incluye mucho más que el nombre o el DNI y puede abarcar información que permita identificar directa o indirectamente a una persona.
¿Es siempre necesario el consentimiento para tratar datos personales?
No. El consentimiento es una de las bases jurídicas previstas por el RGPD, pero existen otras, como la ejecución de un contrato, el cumplimiento de una obligación legal o determinados intereses legítimos.
¿Cuáles son los derechos de protección de datos?
Entre otros, las personas pueden ejercer los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, además de los derechos relacionados con determinadas decisiones individuales automatizadas.
¿Qué diferencia hay entre RGPD y LOPD?
El RGPD es la norma europea directamente aplicable en materia de protección de datos. En España, la Ley Orgánica 3/2018 (LOPDGDD) complementa y adapta determinados aspectos del Reglamento al ordenamiento jurídico español.
¿Todas las empresas necesitan un Delegado de Protección de Datos?
No. La obligación de designar un Delegado de Protección de Datos depende de los supuestos establecidos por el RGPD y por la normativa aplicable a cada actividad.
¿Cuánto tiempo puede una empresa conservar mis datos?
No existe un plazo único para todos los datos. Deben conservarse durante el tiempo necesario para la finalidad correspondiente y durante los plazos que puedan exigir otras obligaciones legales.
¿Qué relación hay entre RGPD y LSSI?
Son normas diferentes que pueden aplicarse conjuntamente. El RGPD regula principalmente el tratamiento de datos personales, mientras que la LSSI establece obligaciones específicas para los servicios de la sociedad de la información y determinadas comunicaciones comerciales electrónicas.
¿Qué debe hacer una empresa para cumplir el RGPD?
Debe analizar los tratamientos que realiza, identificar su base jurídica, informar a los interesados, garantizar sus derechos, aplicar medidas de seguridad adecuadas, regular las relaciones con encargados del tratamiento y cumplir las restantes obligaciones que correspondan según sus actividades y nivel de riesgo.
Conclusión: el RGPD sigue siendo una obligación actual
El Reglamento General de Protección de Datos es una norma europea vigente desde el 25 de mayo de 2018 y continúa siendo una pieza fundamental de la regulación de la privacidad y la protección de datos personales.
Para una empresa española, el cumplimiento debe analizarse teniendo en cuenta el RGPD, la LOPDGDD y, cuando la actividad se desarrolla a través de Internet, la LSSI y el resto de normativa que pueda resultar aplicable.
Además, cumplir con la normativa de protección de datos no consiste simplemente en disponer de una política de privacidad o aceptar unas condiciones. Es necesario revisar cómo se obtienen, utilizan, conservan y protegen los datos personales y poder demostrar que los tratamientos realizados son adecuados y conformes con la normativa.
Si tienes dudas sobre las obligaciones de protección de datos de tu empresa, autónomo o negocio online, es recomendable analizar los tratamientos concretos que realizas y adaptar la documentación, los procedimientos y las medidas de seguridad a tu situación.
Conócenos en Google