«Año nuevo, ¿privacidad nueva?», tribuna de Ignacio González de Aledo, abogado de ECIJA, para Bez.
Un nuevo año acaba de entrar y con él, nuevos retos y nuevos escenarios en materia de privacidad y protección de datos personales. Y es que la entrada en vigor en 2018 del nuevo Reglamento Europeo de Protección de Datos prevé un año 2017 marcado por la adaptación, tanto de empresas privadas como de administraciones públicas, a las nuevas exigencias en materia de privacidad marcadas desde Europa.
¿A qué nos enfrentamos realmente? Las novedades más destacables de este nuevo Reglamento y de las que todos habremos ya oído hablar vienen encabezadas, entre otras muchas, por la eliminación de la posibilidad de recabar el consentimiento de forma tácita, la consolidación del archiconocido “Derecho al Olvido” o una mayor rigidez impuesta a las empresas en materia de transparencia e información en el tratamiento de datos personales.
En cualquier caso, resulta infructuoso hablar de la entrada en vigor de las nuevas obligaciones del Reglamento Europeo sin tener en cuenta el primer paso necesario para ello: la modificación de la actual Ley de Protección de Datos en nuestro país. Un paso que, aparentemente, parece tener controlado la Agencia Española de Protección de Datos, que ya ha afirmado estar trabajando en dicha adaptación, que podría ver la luz durante los primeros meses de este nuevo año.
Sin embargo, la adaptación al nuevo Reglamento de protección de datos no consiste simplemente en modificar la Ley acorde a los nuevos requisitos impuestos por el Parlamento Europeo. Consiste en una adaptación real y práctica por parte de empresas públicas y privadas a estos requisitos que deberá llevarse a cabo antes de la entrada efectiva en vigor de la norma.
¿Cómo lo hacemos? Son muchas las dudas que siguen surgiendo respecto a la adaptación de las nuevas medidas impuestas por la Unión Europea. Dudas que hoy por hoy tienen difícil respuesta en la mayoría de los casos y que deberán ir resolviéndose a medida que las autoridades competentes se pronuncien al respecto.
En todo caso, hay elementos que resultan bastante claros y que las entidades que traten datos de carácter personal deben empezar a tener en cuenta. Cabe hablar aquí, por ejemplo, de Privacy by design –desde el diseño- y by default –por defecto-. Estos conceptos implican que, antes de llevar a cabo un tratamiento de datos de carácter personal, las empresas deberán tener en cuenta todas las obligaciones en materia de privacidad que les sean de aplicación y tratar, por defecto, únicamente aquellos datos necesarios para las finalidades de dicho tratamiento. En otras palabras: deberán anticiparse y cumplir con todas las obligaciones en materia de privacidad desde el “minuto uno” de cualquier proceso que implique el tratamiento de datos personales. En términos similares nos encontramos con las Evaluaciones de Impacto: en determinados casos, como cuando se traten datos sensibles a gran escala, se deberá llevar a cabo una evaluación previa a fin de conocer los posibles riesgos asociados a dicho tratamiento.
Los datos biométricos son también una de las piedras angulares de esta nueva regulación. ¿Cuántas veces hemos encendido nuestro teléfono móvil o accedido al gimnasio sólo con la huella de nuestro dedo? Pues bien, el nuevo Reglamento considera los datos biométricos como datos especialmente protegidos, por lo que su tratamiento deberá venir asociado con unas medidas de seguridad acordes a dicha especial protección otorgada por el nuevo marco normativo. Sin olvidar, por supuesto, la necesidad de consentimiento expreso para dicho tratamiento.
¿Y qué pasa con el Derecho al Olvido? Y es que junto con los famosos derechos ARCO –acceso, rectificación, cancelación y oposición-, el Reglamento Europeo incorpora un nuevo derecho: el de supresión. En otras palabras, el Derecho al Olvido, o la posibilidad de exigir que los datos que hayan sido publicados sean suprimidos por el responsable de dicha publicación. Pero no nos vengamos arriba tan rápido: habla el nuevo Reglamento de la necesidad conciliar dicho Derecho al Olvido con las normas que rigen la libertad de expresión e información. Es decir, podremos exigir la supresión de la información publicada sobre nosotros siempre que ésta no pueda amparase dentro de las libertades de expresión o de información recogidas en nuestra Constitución.
(…)
Haga clic aquí para acceder a la versión completa del artículo.