La entrada en vigor del Reglamento General de Protección de Datos (RGDP) y la aprobación el pasado mes de diciembre de la Ley Orgánica de Protección de Datos y de Garantía de Derechos Digitales (LOPDGDD) han obligado a muchas empresas a ponerse al día.

La normativa, que actualiza y refuerza los derechos de los ciudadanos sobre su información personal, cambia la forma en que las organizaciones gestionan la protección de datos, debiendo adoptar medidas conscientes, diligentes y proactivas.

Para dar cumplimiento al RGPD, las empresas deben informar a los ciudadanos de manera clara y transparente sobre el tratamiento de sus datos y sobre la finalidad, la base legal, el tiempo de conservación, los derechos de los usuarios y su ejercicio, la cesión a terceros, la toma de decisiones automatizadas o las transferencias internacionales.

Multas multimillonarias

Al respecto de estas obligaciones, recientemente la autoridad de protección de datos francesa ha sancionado a Google con una multa de 50 millones de euros por falta de transparencia en la información que facilita al usuario acerca del tratamiento de sus datos. Según el regulador galo, Google informa al usuario que abre una cuenta sobre lo que se hará con sus datos, pero dicha información no es fácilmente accesible y está diseminada en diferentes documentos que el internauta no acaba consultando nunca.

Los expertos de Das estiman que aún es necesario llevar a cabo un esfuerzo por parte de las pymes para conocer los cambios que implica la nueva normativa y adaptarse a las obligaciones que impone el nuevo Reglamento. Al margen de las muchas compañías que han actualizado su política de protección de datos, existe todavía un número muy considerable que lo han hecho sólo en apariencia, otras que no se han adaptado en absoluto y un grupo que simplemente desconoce la entrada en vigor de las nuevas disposiciones legales.

El RGDP establece sanciones muy contundentes contra las empresas o instituciones que incumplan sus preceptos. Anteriormente, en España se aplicaba la LOPD, que también establecía sanciones muy severas, que podían alcanzar hasta los 600.000 euros.  El actual RGPD establece, para los casos más graves, multas que pueden llegar al 4% de la facturación mundial de la compañía o hasta los 20 millones de euros. A pesar del protagonismo adquirido por el citado caso de Google, además de otros que han implicado a firmas como Facebook o WhatsApp, los expertos recuerdan que todas las empresas, sean grandes compañías, pymes o autónomos, así como instituciones u ONG, deben cumplir con el nuevo marco legal.

Principales novedades de la LOPDGDD

El pasado 7 de diciembre entró en vigor la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. Las principales novedades son:

• La nueva normativa regula el modo en que debe informarse a las personas acerca del tratamiento de sus datos, optando en internet por un sistema de información por capas que permita al ciudadano conocer sus aspectos más importantes de forma clara y sencilla.
• Reconoce el derecho por parte de los familiares y herederos de las personas fallecidas a tener acceso y, en su caso, poder rectificar o suprimir los datos de las personas fallecidas.
• Fija en 14 años la edad a partir de la cual los menores pueden prestar consentimiento de manera autónoma.
• Refuerza las obligaciones del sistema educativo para garantizar la formación del alumnado en el uso seguro y adecuado de internet.
• Establece el derecho al olvido en redes sociales y servicios equivalentes de la sociedad de la información.
• Dota a las empresas de un mecanismo para que los sistemas de denuncias internas anónimas, a través de los cuales puede ponerse en conocimiento de un responsable la comisión de actos o conductas que pudieran resultar contrarios a la normativa, sean respetuosos con la protección de datos de las personas.
• Protege el derecho a la intimidad de los trabajadores frente al uso de dispositivos de vídeovigilancia y de grabación de sonidos en el lugar de trabajo. Cuando la empresa facilite a los empleados dispositivos digitales que utilicen sistemas de geolocalización, los empleados deben ser informados.
• Regula los ficheros de morosos, reduciendo de 6 a 5 años el periodo máximo de inclusión de las deudas, y exigiendo una cuantía mínima de 50 euros para la incorporación de las deudas a dichos sistemas.