GDPR / RGPD: Una nueva era en la protección de datos personales

Me atrevo a iniciar este artículo afirmando, casi sin temor a equivocarme, que muchos se deben estar preguntando por qué sus bandejas de correo electrónico han sido invadidas por correos sobre actualización de políticas de datos personales. No obstante, un gran número de ese tipo de mensajes no cumple realmente con el protocolo, pues no intentan recabar el consentimiento expreso, sino que más bien están orientados a informar. Y es que este 25 de mayo de 2016 entra en vigor el Reglamento General de Protección de Datos de la Unión Europea (“RGPD” o “GDPR” por sus siglas en inglés), que sustituirá a la actual normativa vigente y que comenzará a aplicarse este 25 de mayo de 2018. Este periodo de dos años tenía como objetivo permitir que los Estados de la Unión Europea, las instituciones y también las empresas y organizaciones que tratan datos vayan preparándose y adaptándose para el momento en que el reglamento sea aplicable.

En cuanto a temas como el denominado derecho al olvido, el debate se ha revivido con la aprobación del referido Reglamento (UE) 2016/679, del 27 de abril de 2016, relativo a la protección de las personas físicas, en lo concerniente al tratamiento de datos personales y a la libre circulación de estos datos, el cual contiene una regulación expresa del “derecho al olvido” (art. 17) y que, a diferencia de la anterior Directiva 95/46/CE, es de aplicación directa en el derecho interno de los estados de la Unión Europea. Aunque el derecho al olvido ya estaba vigente en Europa, con el reglamento se refuerza la posibilidad de ejercer este derecho a solicitar a servicios de internet y empresas que tratan datos personales borrar la información de carácter personal bajo determinadas condiciones, las cuales casi siempre son límites antepuestos por las libertades informativas.

Y es que la creciente preocupación ciudadana por la sobreexposición de los datos personales en el universo digital sensibilizó al legislador europeo, que consideró que resultaba necesario reformar el marco de la protección de datos en Europa.

En el ámbito europeo, la protección de datos está configurada como un derecho fundamental de los ciudadanos. Haciendo un poco de historia, cabe destacar que la principal norma en la materia era la directiva 95/46 de la Unión Europea, la cual estaría vigente hasta la entrada en vigor del reglamento, tras la vacatio legis establecida, a partir del 25 de mayo de 2018. Pero con anterioridad, ya en 1981, el Consejo de Europa había adoptado el Convenio No. 108, sobre la protección de las personas, que era el único instrumento internacional vinculante sobre protección de datos.

Ambos textos han sido objeto de procesos de revisión dirigidos a actualizarlos para tener en cuenta las consecuencias de los desarrollos tecnológicos, la globalización de los intercambios de datos y, en el caso de la Directiva, las modificaciones legales e institucionales que supuso la entrada en vigor en 2009 del Tratado de Lisboa.

La Comisión presentó en enero de 2012 dos propuestas de nuevos actos normativos. Un Reglamento General de Protección de Datos y una Directiva de protección de datos en materia de cooperación policial y judicial. Ambos textos fueron tramitados en el procedimiento legislativo ordinario, con participación del Consejo y el Parlamento Europeo.

El convenio comenzó su reforma en marzo de 2010, a partir de una decisión del Comité de Ministros del Consejo de Europa. El Comité Consultivo del Convenio elaboró una propuesta técnica que está siendo objeto de discusión a nivel político, en el seno de un Grupo Ad Hoc.

La posición destacada de la protección de datos en Europa, reflejada en su consideración como derecho fundamental y en la existencia de numerosas normas que la regulan tanto de forma general como en sectores específicos, tiene también su correlato en la diversidad e importancia de los organismos, estructuras y grupos de cooperación.

Siguiendo con las novedades del nuevo reglamento, es importante resaltar que la transferencia de datos personales a terceros sin consentimiento expreso (no tácito) no está permitida, y cualquier problema de seguridad que afecte a la privacidad deberá ser informado por parte de las empresas a las autoridades competentes y al usuario cuando sea de alto riesgo. Queda prohibido almacenar los dates personales por más tiempo del necesario para la función que fueron recabados.

Así pues, podemos concluir citando a Eduardo Esparza, responsable de la consultora Affinion España, el cual sostiene que las regulaciones como el RGPD están ayudando a dirigir el rumbo en la dirección correcta dado que “las compañías deben facilitar a sus clientes las herramientas necesarias para la protección de su identidad, ya sean servicios que busquen de manera activa riesgos potenciales en la privacidad de datos como soluciones que sensibilicen a los consumidores para fomentar una mayor seguridad y la tan ansiada defensa de la marca”.

La creciente preocupación ciudadana por la sobreexposición de los datos personales en el universo digital sensibilizó al legislador europeo, que consideró que resultaba necesario reformar el marco de la protección de datos en Europa.