Mireia Alcàzar, advocada a Roqueta-Torras, especialista en dret de les noves tecnologies, ens presenta aquest interessant escrit sobre el nou reglament de protecció de dades:
Tot i que ja fa temps que està en vigor, a partir del proper 25 de maig de 2018 el Reglament Europeu de Protecció de Dades (2016/679, de 14 d’abril), serà d’obligat compliment per a tots els països membres de la Unió Europea, així com per a tots aquells que tractin dades de ciutadans europeus.
El RGPD incorpora tota una sèrie de novetats amb la finalitat de fer un pas més en la protecció de les dades personals. En general, el que pretén la nova normativa és evitar el mer compliment per part dels responsables mitjançant formularis tipus, i vol garantir que hi hagi una anàlisi al darrere de cada actuació o mesura que s’adopti. És per això que s’elimina l’obligació d’inscriure els fitxers a l’Agència Espanyola de Protecció de Dades.
Pel que fa a les novetats més rellevants que afectaran els responsables, resumidament serien les següents:
– Deure d’informació: a l’hora de fer la recollida de les dades, s’exigirà un esforç considerable als responsables del fitxer, ja que hauran d’adaptar les seves clàusules d’informació als interessats, incloent-hi molta més informació que el simple peu de pàgina que la LOPD permetia utilitzar.
– Obtenció del consentiment: fins ara, el consentiment tàcit o per omissió eren vàlids, però amb la nova normativa s’exigeix que el consentiment per part de l’interessat sigui inequívoc, és a dir, que ho manifesti de manera clara o bé que hi hagi una acció positiva per part de l’interessat (per exemple, que s’hagi de marcar una casella).
– Ampliació dels drets dels interessats: per garantir la protecció de les dades personals de qualsevol persona física, la LOPD regula els anomenats drets ARCO. La nova normativa manté aquests drets i n’afegeix tres més:
Dret de supressió (o dret a l’oblit): suposa sol·licitar l’eliminació total i definitiva de les dades d’una persona, sobretot d’un lloc web o en donar-se de baixa d’un servei.
Dret a la portabilitat: permet que els interessats rebin totes les dades que han facilitat a un responsable per poder-les transmetre a un altre responsable. També pot implicar que sigui el mateix responsable qui hagi de facilitar les dades de l’interessat a un altre responsable.
Dret de limitació: implica que, a petició de l’interessat, es deixin d’aplicar les operacions de tractament que corresponguin a les seves dades personals.
– Notificació de violacions de dades: cada vegada que es produeixi una violació de seguretat (qualsevol accident que comporti la destrucció, pèrdua, alteració de dades personals, etc.), el responsable ho haurà de notificar a l’autoritat de protecció de dades. Això suposa que sigui la pròpia empresa responsable l’encarregada d’acusar-se a ella mateixa en el sentit que dins de la seva empresa s’ha produït una escletxa de seguretat.
– Delegat de protecció de dades (DPD): és una de les novetats que ha tingut més ressò. Les administracions públiques, i aquelles empreses que facin un seguiment regular i sistemàtic dels interessats a gran escala, estaran obligades a designar un DPO (Data Protection Officer). Aquesta figura, que pot ser interna o externa a l’empresa, assessorarà el responsable i l’encarregat sobre tot allò relatiu a la protecció de dades de l’empresa.
Finalment, i no menys important, la nova normativa enforteix el règim sancionador, establint multes que poden arribar fins al 4% de la facturació global o als 20 milions d’euros, òbviament en els casos d’infraccions més greus.
És important, doncs, que totes les empreses i autònoms que tractin dades personals facin un esforç per adaptar-se a la nova normativa; ja sigui modificant i adaptant el que ja tenen fet en matèria de protecció de dades, o bé partint des de zero si no han fet l’adaptació a la LOPD.
