Día de Protección de Datos, en plena cuenta atrás para el nuevo Reglamento

La conmemoración este domingo del Día Internacional de la Protección de Datos se produce en plena cuenta atrás para que la nueva norma europea, que prevé millonarias multas para las empresas que la incumplan, sea de obligado cumplimiento, y en España ya han avisado de que no habrá prórrogas en su aplicación.

El Reglamento General de Protección de Datos (RGPD) entró en vigor el 25 de mayo de 2016, pero será a partir del 25 de mayo próximo cuando comience a aplicarse, ya que este periodo de dos años ha servido para que empresas y organizaciones que tratan datos personales vayan preparándose y adaptándose.

Pero una vez que llegue el día D, la norma se aplicará desde el "minuto uno", sin "régimen transitorio", ni plazos, ni prórrogas, han avisado desde la Agencia Española de Protección de Datos (AEPD), organismo que velará en España por su cumplimiento.

"Todo el mundo ha tenido dos años para prepararse. A partir del 25 de mayo, se aplicarán para bien y para mal las obligaciones y los derechos del Reglamento", afirmó esta semana la directora de la AEPD, Mar España, en un foro empresarial dedicado a la nueva norma.

Pero España acompañó ese mensaje de "rigor" con el de "flexibilidad", al tiempo que transmitió a las empresas el "espíritu de ayuda y colaboración" de su organismo.

"Soy consciente de la preocupación en el sector privado", añadió la directora de la AEPD, que afirmó que su intención no es cargarse las empresas del país.

La nueva norma regula el tratamiento de cualquier dato personal y las empresas gestionan a diario millones de ellos: desde nombres a datos bancarios y de consumo, perfiles de cliente e información médica, considerada más sensible.

El reglamento introduce cambios: desde mayo, por ejemplo, el consentimiento para el uso de estos datos ha de ser inequívoco y verificable, y no tácito como hasta ahora, y las empresas están obligadas a informar cuando hayan sufrido una brecha de seguridad a las autoridades de control y, dependiendo de la gravedad, a los afectados.

La norma prevé el derecho al olvido, que permite impedir la difusión de información personal a través de internet cuando su publicación no cumpla los requisitos previstos, y a la portabilidad, por el que se puede obtener una copia de los datos personales en formato electrónico para cederlos a otra compañía.

El RGPD prevé millonarias multas para las organizaciones que lo incumplan, que pueden alcanzar los 20 millones de euros o hasta un 4 % de su facturación anual, la cifra de mayor cuantía.

Además, las empresas tendrán que contar con un delegado de protección de datos (DPO), como el defensor del cliente o del ciudadano en esta materia, una figura con la que ya cuentan empresas como el BBVA, Huawei Technologies o Ericsson España, aunque muchas otras tienen pendiente el nombramiento.

Desde la AEPD se apuesta por esta figura, que será clave cuando se produzca una denuncia, ya que la empresa, a través de su DPO tendrá una "primera oportunidad" de resolver el problema y si el afectado estuviese satisfecho, "no tiene por qué incoarse el régimen sancionador".

Destacó que, además de las sanciones, hay procedimiento de advertencias y de apercibimiento e insistió en que están "apostando por la flexibilidad".

El Reglamento también regula las posibles brechas, incidentes o violaciones de seguridad, que, en opinión de la responsable de Protección de Datos de Ericsson, Silvia Gerbolés, es "muy probable" que todos suframos alguna vez, por lo que abogó por la "prevención" y por que las medidas de protección se hagan de forma transversal en toda la organización.

Por su parte, el especialista en Ciberseguridad para la región de Iberia y Telefónica Global de Juniper Networks, José Fidel Tomás, considera que estos marcos regulatorios dan "la oportunidad de que las empresas vean que puede ser más caro no afrontar la seguridad que afrontarla desde el inicio".