RGPD: Lo que debes saber del nuevo reglamento general de protección de datos

Por qué el RGPD

La razón de ser del RGPD apunta a dos objetivos principales:

• El primero, actualizar la Directiva vigente desde 1995, ya que tanto los comportamientos como los valores de la sociedad han cambiado sustancialmente en parte debido a la incorporación de las redes sociales y otros servicios de Internet (en este sentido, se incorpora el derecho al olvido).
• El segundo, armonizar la normativa en la Unión Europea a través de los estados miembros, ya que cada uno implementó la Directiva de manera diferente.

Debe considerarse, además, que el GDPR afecta a los datos personales de los residentes en la Unión Europea, independientemente de si las empresas tienen o no presencia física en ella. Esto implica que, por ejemplo, un proveedor de nube que no tuviera su sede ni presencia alguna en la UE podría ser incluido.
Para conseguir tanto la modernización como la armonización es necesario que muchos de los requisitos que exige el GDPR sean más restrictivos, en la mayor parte de los casos, que la legislación que sustituye.

Nuevas obligaciones

Las obligaciones que introduce el GDPR para las organizaciones podemos resumirlas en cinco puntos que conllevan la responsabilidad activa:

• Evaluaciones de impacto
• Protección de los datos e información
• Información de brechas de seguridad
• Nombramiento de un delegado de protección de datos
• Notificación de rectificación, cancelación o restricción en el tratamiento

Con respecto a la información de brechas de seguridad, cabe destacar que se introducen por primera vez requisitos de notificación obligatoria de las fugas de datos personales, de forma que tanto las autoridades como las personas afectadas deben ser informadas en caso de pérdida de datos personales, robo u otro tipo de exposición a diferentes riesgos.

Qué es y que implica responsabilidad activa

Como responsabilidad activa se entiende el conjunto de medidas de prevención y protección sobre los datos por parte de las organizaciones. Las empresas deben adoptar medidas que aseguren razonablemente que están en condiciones de cumplir con los principios, derechos y garantías que el Reglamento establece.
Actuar sólo cuando ya se ha producido una infracción es insuficiente como estrategia, dado que esa infracción puede causar daños a los interesados que pueden ser muy difíciles de compensar o reparar. Para ello, el Reglamento prevé una batería completa de medidas:

• Protección de datos desde el diseño
• Protección de datos por defecto
• Mantenimiento de un registro de tratamientos
• Medidas de seguridad
• Realización de evaluaciones de impacto sobre la protección de datos
• Nombramiento de un delegado de protección de datos
• Promoción de códigos de conducta y esquemas de certificación
• Notificación de violaciones de la seguridad de los datos