Si las empresas se aprovechan de tus datos es porque quieres

La Comisión Europea aprobó esa normativa en 2016 y ha dado un plazo de dos años a las compañías y organizaciones, entre ellas las gubernamentales, para que realicen los cambios y cumplan con las nuevas obligaciones. A partir del día 25 deberán comunicar a los usuarios de dónde han obtenido sus datos, para qué los van a usar, durante cuánto tiempo los van a conservar, a quién se los van ceder y qué base jurídica les legitima para tratarlos.

Más información

El Delegado de Protección de Datos (DPD), una nueva figura profesional

Zuckerberg comparecerá en el Parlamento Europeo por la filtración masiva de datos

En cuanto a la cesión da datos personales a terceros, motivo por el que Mark Zuckerberg comparecerá esta semana ante el Parlamento Europeo, la nueva normativa contempla algunas excepciones. Las organizaciones podrán hacerlo sin el permiso de los usuarios si está autorizado por ley (por ejemplo, pasar información a la Agencia Tributaria); si ha sido requerida por un tribunal, o si se trata de una cesión de datos entre administraciones con un fin estadístico o de investigación, entre otras.

“España tiene un mayor grado de madurez en cuanto al tratamiento de datos que otros países europeos”, asegura Rafael García, responsable del área de internacional de la Agencia Española de Protección de Datos (AEPD), el organismo regulador. Su comentario no es baladí. A diferencia de otros estados europeos, España aprobó la Ley Orgánica de Protección de Datos en 1999 con un régimen sancionador que obliga a las empresas a ser cuidadosas con la privacidad de los ciudadanos para no cometer ninguna infracción y sortear multas de hasta 600.000 euros.

Algunos puntos del nuevo reglamento europeo son incluso más laxos que lo estipulado en la actual ley española. García pone un ejemplo. “Para poder hacer una transferencia internacional de datos -fuera de la UE- las empresas tenían que solicitar autorización a la AEPD en la mayoría de los casos. La nueva normativa los acota y, por lo tanto, las organizaciones tienen un trámite menos que hacer”.

También hay algunas desventajas. “Pasamos de un régimen reactivo, en el que es la Agencia la que actúa en base a las denuncias, a otro en el que la responsabilidad es de las empresas, que deben tener una actitud preventiva”, explica. Precisamente ese punto es el que más preocupa a las compañías porque supone un cambio absoluto de cultura, según confirman varios expertos consultados. “Estamos acostumbrados a que papá Estado nos dé la autorización para todo; las empresas han seguido un cumplimiento pasivo. Ahora pasamos a un sistema más anglosajón en el que hay que ser proactivo y tomar decisiones para garantizar la seguridad de los datos”, señala Borja Adsuara, abogado especializado en derecho digital y miembro de la comisión de Propiedad Intelectual del Ministerio de Educación.

Para realizar esa evaluación de posibles riesgos, la normativa europea contempla la figura del Delegado de Protección de Datos (DPO, siglas en inglés de data protection officer ), un nuevo puesto de trabajo obligatorio para las administraciones públicas y para las empresas que tratan datos de alto riesgo a gran escala. Su función será supervisar que la hoja de ruta marcada se aplica de forma correcta y hacer de intermediario entre la empresa y las autoridades en caso de que se detecten irregularidades en el tratamiento de los datos.

En el caso de las pymes españolas, en el 75% de los casos no es necesaria la incorporación del delegado por el tipo de actividad que realizan, según los datos de la Confederación Española de la Pequeña y la Mediana Empresa (Cepyme), que representa a casi un millón de compañías de todo el país. Para realizar su análisis de riesgo, disponen de herramientas online como Facilita, impulsada por la AEPD, que les ayuda al cumplimiento de las nuevas obligaciones en solo 20 minutos. “Si manejan datos sensibles, una primera evaluación por parte de un experto les puede costar desde los 300 hasta los 1.200 euros”, indica Carlos Ruiz, responsable de Economía de Cepyme.

Carlos Mateo, abogado especializado en protección de datos de 31 años, trabaja desde hace dos meses como delegado de protección de datos para ocho empresas. Una de ellas es CoverWallet, un comparador online de seguros con sede en Nueva York. Le pagan unos 400 euros por un trabajo a media jornada. “Hay que entender muy bien el reglamento y en el caso de España no nos lo han puesto fácil; la aprobación de la nueva ley no se va a tramitar para el día 25, por lo que tenemos que interpretar la normativa europea nosotros”, lamenta.

“Nadie” está preparado para el nuevo sistema, ni siquiera la propia la Agencia Española de Protección de Datos, pese a ser “de las más activas de Europa”, considera el abogado Borja Adsuara. Cree que el primero será un año de aprendizaje que se empezará a consolidar cuando se hagan efectivas las primeras sanciones. La actual normativa estipula tres tipos: las leves con 40.000 euros, las graves con 300.000 y las muy graves con 600.000. La europea contempla multas de hasta 20 millones de euros o del 4% del volumen de facturación anual.