El Gobierno envió el 10 de noviembre a las Cortes el proyecto de ley orgánica que adapta España al reglamento europeo, aplicable desde el 25 de mayo de 2018.
El Consejo de Ministros aprobó el 10 de noviembre de 2017 la remisión a las Cortes Generales del proyecto de ley orgánica de protección de datos de carácter personal, que adaptará la legislación española a un reglamento comunitario de 2016. Ese reglamento se aplicará a partir del 25 de mayo de 2018 y busca acabar con la fragmentación de las normativas nacionales y adaptar la protección de datos a la rápida evolución tecnológica y a los fenómenos derivados de la sociedad de la información.
Según la nota oficial, los objetivos del proyecto son aumentar la seguridad jurídica y adaptar la normativa a la evolución tecnológica. En España, donde la protección de datos es un derecho fundamental recogido en el artículo 18.4 de la Constitución, el texto incorpora novedades en el régimen de consentimiento, en los tratamientos y en la creación de nuevas figuras y procedimientos, que afectan a cualquier empresa o profesional que maneje datos de clientes, empleados o proveedores.
Consentimiento, menores y fallecidos
El proyecto fija en trece años la edad a partir de la cual un menor puede consentir el tratamiento de sus datos, en línea con otros países del entorno. Excluye el consentimiento tácito, que se sustituye por una acción afirmativa y expresa de la persona afectada, y recoge de forma manifiesta el deber de confidencialidad. Si los datos obtenidos de forma directa son inexactos, no se imputa al responsable cuando haya adoptado todas las medidas razonables para rectificarlos o suprimirlos.
También regula el tratamiento de los datos de personas fallecidas, a solicitud de sus herederos, y mantiene la prohibición de almacenar categorías especiales de datos, como la ideología, la afiliación sindical, la religión, la orientación sexual, el origen racial o étnico y las creencias. Para esas categorías, el solo consentimiento de la persona interesada no basta para dar viabilidad al tratamiento, una cautela pensada para evitar situaciones discriminatorias.
Derechos, delegados y supuestos concretos
El texto incorpora el principio de transparencia en el derecho de las personas a ser informadas sobre el tratamiento de sus datos y contempla expresamente los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición. Potencia la figura del delegado de protección de datos, persona física o jurídica cuya designación debe comunicarse a la autoridad competente, y configura la Agencia Española de Protección de Datos como autoridad administrativa independiente.
El proyecto introduce además supuestos concretos: presume la prevalencia del interés legítimo del responsable del tratamiento en determinados casos, como los sistemas de información crediticia, y regula situaciones de interés público, como la videovigilancia, los sistemas de exclusión publicitaria, conocidos como listas Robinson, la función estadística pública y las denuncias internas en el sector privado. Son terrenos donde la práctica empresarial es muy habitual y donde las reglas serán más claras.
Qué conviene revisar
La fecha de aplicación del reglamento, el 25 de mayo de 2018, es el verdadero límite: aunque el proyecto de ley todavía debe tramitarse en las Cortes, las obligaciones europeas ya están fijadas. Conviene empezar ya por un inventario de datos: qué datos personales trata su empresa, para qué, con qué base legal, durante cuánto tiempo y quién tiene acceso, y comprobar si los consentimientos existentes siguen siendo válidos con las nuevas exigencias.
También conviene revisar los contratos con proveedores que tratan datos por cuenta de la empresa, los procedimientos para atender los derechos de las personas, los plazos de conservación y la seguridad de la información, incluida la forma de actuar ante una brecha. Y valorar si necesita nombrar un delegado de protección de datos. Las sanciones previstas en el reglamento pueden ser elevadas, de modo que conviene abordar la adaptación con tiempo y con asesoramiento especializado.
La protección de datos deja de ser un trámite para convertirse en una forma de gobernar la información de la empresa.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
