En 2014 entrará en vigor el Reglamento europeo de protección de datos. Esta norma, de aplicación directa en todos los estados miembros, se convertirá en una verdadera hoja de ruta para la protección de la privacidad y servirá para homogeneizar las legislaciones de los países de la Unión Europea (UE).
El reglamento ampliará los derechos de los usuarios, impondrá nuevas obligaciones a las empresas y creará una nueva figura legal: el delegado de protección de datos (DPO, por sus siglas en inglés).
Según especifica la norma europea, tanto autoridades y organismos públicos como empresas con más de 250 empleados deberán contar con este nuevo perfil que se encargará de hacer cumplir el reglamento, formar al personal, velar por la conservación de la documentación y ser el contacto con las autoridades de control.
«Las empresas podrán optar por asignar este puesto a alguien de la asesoría jurídica de la compañía o por alguien externo. Sin embargo, está claro que esta nueva figura tendrá que contar con un perfil mixto: deberá ser un abogado que domine la legislación de protección de datos y el derecho en general, pero también tener amplios conocimientos de aspectos técnicos y tecnológicos», explica María González, asociada senior del área Information Technology del despacho Ecija.
El último aspecto del perfil de este nuevo tipo de abogado es esencial, ya que el DPO será el encargado de aplicar medidas de seguridad, tendrá que conocer los nuevos sistemas existentes para hacerlo y poseer la capacidad para implantarlos con la ayuda del equipo de sistemas de la empresa u organización. Además, deberá actuar de forma independiente con respecto a la dirección.
«Sin embargo, esto no implica que no esté en contacto con la cúpula directiva. No cabe duda de que, mientras hace cumplir el reglamento de protección de datos, el DPO tiene que ser consciente de los objetivos de negocio de la compañía y no ir en su contra. Como siempre, en el equilibrio está la virtud», añade González.
El director de la Agencia Española de Protección de Datos (AEPD), José Luis Rodríguez Álvarez, va más allá y comenta que esta norma es esencial, ya que permitirá «compatibilizar la garantía del derecho a la privacidad de los usuarios con la actividad económica en general».
Derechos y obligaciones Además de la figura del DPO, el reglamento de la UE también crea nuevos derechos para los usuarios y obligaciones para las empresas. Entre los aspectos más relevantes en relación con los ciudadanos, cabe destacar el derecho al olvido, la posible oposición a la creación de perfiles, así como el derecho a la portabilidad de datos.
«El derecho al olvido –supresión de datos personales en Internet– está previsto en la ley orgánica de protección de datos española (LOPD) como derecho de cancelación. Pero el reglamento de la UE lo ha ampliado y, entre otras cosas, impondrá a los responsables de los datos a informar a terceros la obligación de suprimirlos si éstos han sido difundidos», dice González.
En cuanto a las empresas, el reglamento europeo introduce dos nuevos principios que están levantando muchas ampollas: la accountability (rendición de cuentas) y el principio de transparencia. El primero es el más polémico, ya que impone una responsabilidad directa a las compañías en la implantación de sistemas para cumplir la norma.
Este punto, que podría sufrir cambios antes de la entrada en vigor del reglamento, es el que más debates está generando en la Unión Europea. El director de la AEPD advierte de que «las críticas de las disposiciones relacionadas con la accountability parece que, en algunos casos, están dando paso a soluciones alternativas que alivian la carga de las empresas, pero que no siempre mantienen un nivel adecuado de garantías».
El principio de transparencia pretende facilitar las relaciones entre los responsables de los datos y los usuarios, así como con las autoridades de control. Para cumplir esta parte de la norma, las empresas deberán conservar la documentación de todas las operaciones de tratamiento de datos, establecer mecanismos sencillos para el ejercicio de los derechos y rendir cuentas a la Comisión y al Consejo Europeo de Protección de Datos.
Sanciones y brechas de seguridad El nuevo reglamento europeo de protección de datos también plantea posibles sanciones para todos aquellos que incumplan las reglas del juego. En España, la LOPD impone multas de entre 900 y 600.000 euros. En este caso, la UE ha establecido que la autoridad de protección de datos podrá imponer sanciones de hasta un millón de euros o, si se trata de una multinacional, de hasta un 2% de su volumen de negocio anual a los que, de forma deliberada o por negligencia, incumplan la normativa.
«Muchas compañías cuentan con partidas para pagar multas y, muchas veces, 600.000 euros no significan gran cosa para ellas. Sin embargo, aplicar un porcentaje sobre la facturación anual les empujará a tomarse este asunto muy en serio», dice la asociada senior de Ecija, María González.
Otra novedad del reglamento se centra en la seguridad. Según el texto, se impone la obligación de notificar en un plazo de 24 horas, tanto a las autoridades como a los afectados, las incidencias, pérdidas y actos de piratería respecto al tratamiento de datos. Además, la Comisión podrá elaborar normas para establecer nuevas medidas de seguridad, teniendo en cuenta el desarrollo tecnológico.
Fuente: Expansion.com
