An independent member of UHY international We do More
NOVEDADES LEGALES
Número 1/2018
Implicaciones del nuevo Reglamento General de Protección de Datos Europeo, de aplicación directa para todos los
estados miembro.
REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS EUROPEO
OBLIGATORIEDAD EN MAYO DEL 2018
El 25 de mayo de 2016 entró en vigor el Reglamento General de Protección de Datos (RGPD). Aunque no sería de aplicación hasta dos años después, se recomendó la importancia de que las organizaciones se fueran adaptando a sus procesos, ya que la nueva normativa supone una gestión distinta de la que se viene empleando, por lo que la Agencia Española de Protección de datos recomienda a las
organizaciones que vayan adaptando sus procesos, más aún cuando solamente quedan 2 meses para ello.
El RGPD introduce nuevos elementos, como el derecho al olvido y el derecho a la portabilidad, que mejoran la capacidad de decisión y control de los ciudadanos sobre los datos personales que confían a terceros.
El derecho al olvido se presenta como la consecuencia del derecho que tienen los ciudadanos a solicitar, y obtener de los responsables, que los datos personales sean suprimidos.
Por su parte, el derecho a la portabilidad implica que el interesado que haya proporcionado sus datos a un responsable que los esté tratando de modo automatizado podrá solicitar recuperar esos datos en un formato que le permita su traslado a otro responsable.
Otro de los aspectos esenciales del RGPD es que se basa en la prevención de riesgos por parte de las organizaciones que tratan datos. Es lo que se conoce como responsabilidad activa. Las empresas deberán adoptar medidas que aseguren razonablemente que están en condiciones de cumplir con los principios, derechos y garantías que el RGPD establece.
El RGPD entiende que actuar únicamente cuando ya se ha producido una infracción es insuficiente, dado que esa infracción puede causar daños a los interesados difíciles de compensar o reparar.
Así pues, el RGPD prevé las siguientes medidas:
ü protección de datos desde el diseño ü protección de datos por defecto ü medidas de seguridad
ü mantenimiento de un registro de tratamientos
ü realización de evaluaciones de impacto sobre la protección de datos ü nombramiento de un delegado de protección de datos
ü notificación de violaciones de la seguridad de los datos
ü promoción de códigos de conducta y esquemas de certificación
An independent member of UHY international We do More ASPECTOS A DESTACAR DEL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS
CONSENTIMIENTO
Una de las bases fundamentales para tratar datos personales es el consentimiento. El RGPD pide que el
consentimiento, con carácter general, sea libre, informado, específico e inequívoco. El RGPD requiere que haya una declaración de los interesados o una acción positiva que indique el acuerdo del interesado. Los
consentimientos obtenidos con anterioridad a la fecha de aplicación del RGPD sólo seguirán siendo válidos como base de tratamiento si se obtuvieron respetando los criterios fijados por este nuevo RGPD.
A partir de mayo de 2018, sólo tendrán legitimación suficiente los tratamientos basados en el consentimiento inequívoco, con independencia de cuándo se haya obtenido ese consentimiento.
Las empresas deberían revisar por tanto la forma en la que se obtiene y registra el consentimiento. Prácticas que se encuadran en el llamado consentimiento tácito y que son aceptadas bajo la actual normativa dejarán de serlo cuando el RGPD sea de aplicación.
Con carácter general las empresas deberán revisar sus avisos de privacidad. El RGPD prevé que se incluyan en la información que se proporciona a los interesados una serie de cuestiones que no eran necesariamente
obligatorias, entre otras, la mención a la base legal para el tratamiento de los datos, los períodos que se guardarán los datos y que los interesados pueden dirigir sus reclamaciones a las Autoridades de control.
Otro de los aspectos remarcables es que el RGPD establece que la edad en la que los menores pueden prestar por sí mismos su consentimiento para el tratamiento de sus datos personales en el ámbito de los servicios de la sociedad de la información (por ejemplo, redes sociales) es de 16 años. No obstante, permite rebajar esa edad y que cada Estado miembro establezca la suya propia, estableciendo un límite inferior de 13 años. En el caso de las empresas que recopilen datos personales de menores, es importante recordar que el consentimiento tiene que ser verificable y que el aviso de privacidad debe estar escrito en un lenguaje que sea comprensible.
INFORMACIÓN
En materia de información, el RGPD incluye cuestiones adicionales que actualmente no son requeridas por la normativa española, con lo que cabe plantearse qué va a suceder con todas las cláusulas informativas utilizadas con anterioridad a mayo de 2018 una vez que el RGPD sea de aplicación.
El periodo transitorio debería ser utilizado por las organizaciones para realizar una adaptación progresiva por diferentes vías, entre otras, sus páginas web o aprovechando los canales de comunicación regulares que puedan mantener con sus clientes.
EVALUACIONES DE IMPACTO SOBRE LA PROTECCIÓN DE DATOS
El RGPD supone un mayor compromiso de las organizaciones, públicas o privadas, con la protección de datos. En primer lugar, algunas de las medidas que introduce el RGPD son una continuación o reemplazan a otras ya existentes, como es el caso de las medidas de seguridad o de la obligación de documentación y, hasta cierto punto, la evaluación de impacto y la consulta a Autoridades de supervisión.
En todos los casos, el RGPD prevé que la obligación de estas medidas, o el modo en que se apliquen, dependerá de factores tales como el tipo de tratamiento, los costes de implantación de las medidas o el riesgo que el tratamiento presenta para los derechos y libertades de los titulares de los datos.
Por ello, es necesario que todas las organizaciones que tratan datos realicen un análisis de riesgo de sus tratamientos para poder determinar qué medidas han de aplicar y cómo hacerlo. Estos análisis pueden ser operaciones muy simples en entidades que no llevan a cabo tratamientos de datos sensibles, o por otro lado operaciones complejas en entidades que desarrollen muchos tratamientos, que afecten a gran cantidad de interesados o que por sus características requieren de una valoración cuidadosa de sus riesgos.
La realización de Evaluaciones de Impacto sobre la protección de datos, aplicables de forma
obligatoria en ciertos tratamientos, tiene carácter previo a la puesta en marcha de estos y tiene como objetivo minimizar los riesgos que un tratamiento de datos plantea para los ciudadanos.
La AEPD considera que no debería esperarse a la fecha en que la realización de las evaluaciones resulte obligatoria para comenzar a utilizar esta herramienta, ya que requiere de preparación, elección de la metodología adecuada, identificación de los equipos de trabajo y otra serie de condiciones que no pueden improvisarse.
DELEGADOS DE PROTECCIÓN DE DATOS
El RGPD requiere que los Delegados de Protección de Datos (DPO) sean nombrados en función de sus cualificaciones profesionales, en especial, su conocimiento en materia de protección de datos, y su capacidad para el desempeño de sus funciones. La AEPD considera que no es oportuno establecer un sistema de certificación de Delegados de Protección de Datos que opere como requisito para el acceso a la profesión, pero valora los profesionales del derecho y con experiencia en las auditorias de protección de datos actualmente vigentes.
RELACIÓN ENTRE RESPONSABLES Y ENCARGADOS
El RGPD describe un contenido mínimo de los contratos de encargo de tratamiento que excede las previsiones contempladas en la Directiva. En el caso español, la LOPD contemplaba la inclusión de algunos de esos contenidos en los contratos, aunque existen nuevas prescripciones legales.
El contrato es el documento que determina las obligaciones de las partes ante la prestación del servicio de encargo que se acuerda. Por ello, debe respetar en todo caso el contenido fijado por el RGPD ya que, en caso contrario, no se estarían trasladando a los encargados las obligaciones que el RGPD específicamente prevé.
Este momento de transición entre la entrada en vigor y la aplicación del RGPD debería aprovecharse para llevar a cabo dos acciones paralelas. De entrada, para abordar la revisión de los contratos ya existentes y que se refieran a encargos con vocación de prolongarse en el tiempo, de forma que en mayo de 2018 sean compatibles con las disposiciones del RGPD, y también, para comenzar a incluir en las nuevas cláusulas contractuales todos los elementos que el RGPD considera necesarios.
An independent member of UHY international We do More PARA MÁS INFORMACIÓN NO DUDE EN CONTACTAR CON NOSOTROS
DEPARTAMENTO DE ASESORAMIENTO TRIBUTARIO
BARCELONA
Susana Blasco Jordana [email protected] MADRID
Blanca Jiménez Ortiz [email protected] MÁLAGA-MARBELLA Inmaculada Domecq [email protected] SANTANDER
Manuel Fernández González de Torres [email protected] SANTIAGO
Francisco Loimil Garrido
AVISO LEGAL: Esta publicación ha sido elaborada detenidamente, sin embargo, ha sido redactada en términos generales y debe ser contemplada únicamente como una referencia general. Esta publicación no puede utilizarse como base para amparar situaciones específicas y usted no debe actuar o abstenerse de actuar de conformidad con la información contenida en este documento sin obtener asesoramiento profesional específico. Póngase en contacto con UHY Fay & Co en cualquiera de nuestras oficinas para tratar estos asuntos en el marco de sus circunstancias particulares. UHY Fay & Co, sus socios, empleados y agentes no aceptan ni asumen cualquier
responsabilidad o deber de cuidado ante cualquier pérdida derivada de cualquier acción realizada o no por cualquier individuo al amparo de la información contenida en esta publicación o ante cualquier decisión basada en ella.
Derechos Exclusivos Reservados por FAY & CO AUDITORES SRL, ninguna parte de esta publicación, incluido el diseño, puede ser reproducida, almacenada o transmitida en manera alguna ni por ningún medio, ya sea eléctrico, electrónico, químico, mecánico, óptico, de grabación o de fotocopia, sin permiso previo y por escrito del autor.
We do more
UHY Fay & Co es una firma de servicios profesionales multidisciplinar con 30 años de experiencia ofreciendo servicios integrales a la medida de las necesidades de nuestros clientes.
Nuestra ventaja competitiva es nuestro conocimiento local y capacidad internacional. A través de nuestra red global, UHY, disponemos de más de 300 oficinas en más de 100 países
UHY FAY & CO
MADRID +34 91 426 07 23 BARCELONA +34 93 595 50 50 MALAGA +34 95 206 04 69 MARBELLA +34 95 276 40 65 Email [email protected]
SERVICIOS
Auditoría
Asesoramiento Tributario Asesoramiento Legal Asesoramiento Laboral Business Services Corporate Finance
Internacionalización de Empresas Consultoría Medioambiental Prevención del Blanqueo de Capitales Insolvencia y Reflotación
UHY Fay & Co es miembro de Urbach Hacker Young International Limited, sociedad del Reino Unido, y forma parte de UHY, red internacional de firmas independientes de auditoría y consultoría.
UHY es la marca de la red internacional UHY. Los servicios aquí descritos son prestados por UHY Fay & Co y no por UHY o ningún otro miembro de UHY. Ni UHY ni ningún otro miembro de UHY tiene responsabilidad alguna por los servicios prestados por otros miembros.
© 2018 UHY Fay & Co
We do more
UHY Fay & Co is a leading firm of
multidisciplinary professional services with 30 years of experience offering tailor-made integral services to our clients.
Our competitive advantage is our local knowledge and global reach. Through our global network, UHY, we have access to more than 300 offices in over 100 countries.
UHY FAY & CO
MADRID +34 91 426 07 23 BARCELONA +34 93 595 50 50 MALAGA +34 95 206 04 69 MARBELLA +34 95 276 40 65 Email [email protected]
SERVICES
Audit and Assurance Tax Advisory Legal Advisory Labour Advisory Business Services Corporate Finance
Internacionalization of Businesses Environmental Consultancy Prevention of Money Laundering Insolvency and Turnaround
UHY Fay & Co (the “Firm”) is a member of Urbach Hacker Young International Limited, a UK company, and forms part of the international UHY network of legally independent accounting and consulting firms. UHY is the brand name for the UHY international network. The services described herein are provided by the Firm and not by UHY or any other member firm of UHY. Neither UHY nor any member of UHY has any liability for services provided by other members.”
© 2018 UHY Fay & Co
