El Reglamento General de Protección de Datos entró en mayo de 2016 y es aplicable desde el 25 de mayo de 2018. El RGPD es una norma directamente aplicable, que no requiere de normas internas de trasposición ni tampoco, en la mayoría de los casos, de normas de desarrollo o aplicación. Por ello, los responsables deben ante todo asumir que la norma de referencia es el RGPD y no las normas nacionales
El RGPD contiene muchos conceptos, principios y mecanismos similares a los establecidos por la Directiva 95/46 y por las normas nacionales que la aplican. Sin embargo, el RGPD modifica algunos aspectos del régimen actual y contiene nuevas obligaciones que deben ser analizadas y aplicadas por cada organización teniendo en cuenta sus propias circunstancias.
Dos elementos de carácter general constituyen la mayor innovación del RGPD para los responsables y se proyectan sobre todas las obligaciones de las organizaciones:
- El principio de responsabilidad proactiva: El RGPD describe este principio como la necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento. En términos prácticos, este principio requiere que las organizaciones analicen qué datos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo. A partir de este conocimiento deben determinar de forma explícita la forma en que aplicarán las medidas que el RGPD prevé, asegurándose de que esas medidas son las adecuadas para cumplir con el mismo y de que pueden demostrarlo ante los interesados y ante las autoridades de supervisión. En síntesis, este principio exige una actitud consciente, diligente y proactiva por parte de las organizaciones frente a todos los tratamientos de datos personales que lleven a cabo.
- El enfoque de riesgo: El RGPD señala que las medidas dirigidas a garantizar su cumplimiento deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas. De acuerdo con este enfoque, algunas de las medidas que el RGPD establece se aplicarán sólo cuando exista un alto riesgo para los derechos y libertades, mientras que otras deberán modularse en función del nivel y tipo de riesgo que los tratamientos presenten. La aplicación de las medidas previstas por el RGPD debe adaptarse, por tanto, a las características de las organizaciones. Lo que puede ser adecuado para una organización que maneja datos de millones de interesados en tratamientos complejos que involucran información personal sensible o volúmenes importantes de datos sobre cada afectado no es necesario para una pequeña empresa que lleva a cabo un volumen limitado de tratamientos de datos no sensibles.
En Inafac le asesoramos en la implantación del RGPD durante todo el proceso y de forma global, jurídicamente y en relación a los procedimientos y medídas técnicas de seguridad.
- INAFAC asesorará jurídicamente en todo lo referente al cumplimiento de la normativa de protección de datos, y participará en la elaboración de informes exigidos por la nueva normativa (Evaluación de Impacto de la Privacidad) o en la creación de nuevos recursos que de alguna forma dañen la privacidad de los usuarios (aplicación del principio de Privacidad desde el Diseño o por Defecto).
- Implementaremos en su empresa el principio de accountability según el cual cada persona que pertenezca a la organización, tiene que ser responsable del tratamiento de datos que lleve a cabo. En este sentido resulta básico implantar sistemas de trazabilidad en los acuerdos de la empresa y el DPO será el responsable de plantearlas y garantizar su cumplimiento.
- En relación a la seguridad, seremos el contacto con el departamento técnico, dirigiendo la auditoría, en caso que fuera obligatoria, y controlando las incidencias de seguridad.
- Nos responsabilizaremos de instruir y concienciar al personal, así como de mantener al día las políticas de protección de datos de la empresa, según su organización vigente en cada momento y los nuevos retos que se planteen.
- Redactaremos, revisaremos y negociaremos contratos con prestadores de servicios que puedan manejar datos personales por cuenta de la empresa.
- Mantendremos a su organización al día respecto nuevas propuestas legislativas o que le afecten de modo directo o indirecto