Protección de datos a contrarreloj: ¿a qué estarán obligadas las empresas y qué se puede hacer para evitar sustos?

España es el 'alumno aventajado' en cuanto a protección de datos. Ya ha hecho gran parte del trabajo al transponer la anterior directiva europea

Xavier Salla, profesor de Comunicación Digital de la Universitat Abat Oliba CEU y doctor en Ciencias Jurídicas, explica que hoy, fruto de los avances tecnológicos, “nuestros datos están en muchos sitios, pero somos incapaces de saber qué hacen con ellos”. Y precisamente por eso se están promoviendo estas legislaciones, para “devolver al individuo algo de poder”.

El reglamento europeo es el último paso que se ha dado en este sentido. Antes se había promovido una directiva, que cada país adaptó de forma distinta. Sin embargo, la nueva legislación es de obligado cumplimiento, por lo que todos los Estados de la Unión Europea van a tener que trabajar intensamente para acomodarse a ella. Y tendrán que hacerlo a contrarreloj. No obstante, España es el 'alumno aventajado', ya que según Salla hizo gran parte del trabajo al transponer la directiva europea, por lo que ahora sólo deberá hacer alguna que otra modificación para adaptarse a los nuevos conceptos que incluye.

Por ejemplo, explica el experto, en España ya se tipificaron los casos en los que se podrá interponer una multa en caso de incumplir la ley de protección de datos, así como sus cuantías, que están entre los 600 y 60.000 euros euros si son infracciones leves, entre 60.000 y 300.000 euros en caso de que sean consideradas como infracciones graves, y de 300.000 a 600.000 euros si son muy graves. Y la encargada de interponer esas sanciones es la Agencia Española de Protección de Datos (AEPD).

Aunque en el nuevo proyecto de Ley Orgánica de Protección de Datos al que el Gobierno dio luz verde hace dos semanas se dan nuevos pasos para “aumentar la seguridad jurídica” y “adaptar la normativa a la evolución tecnológica”. Incluso, como gran novedad, se regula la potestad de los herederos sobre la información de personas fallecidas.

En esta ley, que sustituirá a la actual, se recogen medidas como el adelanto a los 13 años la edad -antes 14- del consentimiento para el tratamiento de datos, y se potencia la figura del delegado de protección de datos en las organizaciones, que puede ser una persona física o jurídica cuya designación ha de ser comunicada a la autoridad competente y que mantendrá una relación directa con la AEPD.

Otras novedades se centran en el tema del tratamiento de los datos personales, incorporando el derecho de los afectados a ser informados sobre dicho tratamiento, y además se contempla de forma expresa los derechos de acceso, rectificación, supresión o derecho a la limitación de ese tratamiento. También se mantiene la prohibición de almacenar datos de especial protección, como ideología, afiliación sindical, religión, orientación sexual, origen racial o étnico y creencias, y se regulan los casos en los que se puede argumentar la existencia de “interés público” para acceder a determinados datos, como pueden ser archivos de videovigilancia.

LAS EMPRESAS HACEN LOS DEBERES POR 'MIEDO'

Las empresas ya se han puesto manos a la obra, y según Salla últimamente se apuesta por una “seguridad por defecto”, que no es más que adoptar las medidas de seguridad necesarias en cuanto al tratamiento de datos personales desde el principio, y no una vez se presentan los problemas. Aunque reconoce que no siempre ocurre así.

Los propios ciudadanos tienen en sus manos una forma de proteger sus información personal: denunciar ante la Agencia de Protección de Datos

Los propios ciudadanos tienen en sus manos una importante forma de proteger sus datos personales. Cualquiera puede denunciar ante la Agencia de Protección de Datos si considera que alguna organización está haciendo un mal uso de ellos o si los está utilizando sin el consentimiento necesario para ello. “En España el régimen sancionador es tan elevado que por miedo a tener que enfrentarse a una cuantiosa multa, muchas empresas han hecho ya los deberes”, dice el experto de la Abat Oliba CEU.

Y las que no lo han hecho todavía tienen poco tiempo para ello, ya que la nueva normativa europea va a exigir el nombramiento de un Responsable de Protección de Datos dentro de las empresas. El periodo de adaptación será de unos seis meses desde su entrada en vigor, y no cumplir con esta legislación y hacer un mal uso de los datos personales de terceros podría suponer multas de hasta 20 millones de euros o el 4% de la facturación global a los infractores. Aunque serán los propios Estados los que tendrán que contemplar los supuestos de sanción en base al “mal causado”, buscar el “equilibrio” que consiga el “efecto de corrección” necesario, dice el experto.

Salla indica que desde que acabó el verano son muchas las compañías que se han puesto manos a la obra y han empezado a revisar contratos para comprobar que tienen “consentimiento explícito” de todas y cada una de las personas cuyos datos manejan. Y es que para que una empresa u organización pueda usar datos personales de terceros deben cumplirse una serie de preceptos: bien contar con ese consentimiento explícito de forma “libre, específica e inequívoca”; que haya una relación contractual que lo permita, por ejemplo entre una empresa y sus trabajadores; o bien que haya una ley que contemple el tratamiento de los datos, como podría ser el caso de Hacienda, que conoce los datos de todos los contribuyentes.

“La nueva normativa viene cargada de obligaciones para las empresas. Será interesante ver cómo se adaptan, estando siempre bajo la amenaza de multa, y también ver cómo logran encajar supuestos como el de que alguien dé su consentimiento para el tratamiento de sus datos personales y luego quiera revocarlo”, afirma Xavier Salla.

¿SE ACABARON LAS MOLESTAS LLAMADAS?

Precisamente una de las quejas más repetidas en lo que respecta a protección de datos es la de las llamadas de empresas con las que no se tiene ningún tipo de relación y, sin embargo, tienen toda la información del afectado. Las más señaladas son las compañías telefónicas, famosas por contactar para 'vender' sus productos y ofertas, incluso sin tener consentimiento de la persona para usar esos datos (nombre, apellido, número de teléfono…). Pero no son las únicas, otras como ONGs e incluso agencias de viajes hacen lo propio.

“Estas llamadas no se van a acabar con la nueva normativa”, augura Salla, que dice que muchas grandes empresas tienen un volumen de negocio tan elevado que incumplir la ley ya está previsto. “Tienen departamentos tan diferenciados que los comerciales intentan vender sin preocuparse de la protección de datos y, si hay algún problema, ya será el departamento jurídico el que se encargue de solucionarlo”, dice el experto, que apunta a una “prevalencia de los intereses únicamente comerciales” que hace que sean los ciudadanos los que tengan que “moverse y denunciar” si quieren acabar con esta situación.

Muchas empresas necesitan que un experto les informe y les guíe en materia de protección de datos

Muchas empresas necesitan de un experto que les informe y les guíe sobre protección de datos, porque no saben qué es lo que pueden o no hacer y en muchas ocasiones infringen la ley porque no tienen consentimiento para utilizar esta información sensible. Otras muchas, aun sabiendo que no están cumpliendo con la ley de protección de datos, siguen realizando acciones comerciales porque “saben que los afectados no se van a molestar en arreglarlo, en denunciarlo, a no ser que sean casos graves”.

Todos aquellos que se hayan visto afectados por un mal uso de sus datos personales pueden o bien apuntarse a la ya famosa 'Lista Robinson' de la Asociación Española de Economía Digital, que es un servicio gratuito de exclusión publicitaria que permite reducir la cantidad de publicidad que se recibe, o bien acudir directamente a la Agencia de Protección de Datos y denunciar el caso. Sea como sea, está en manos del consumidor. “Todo depende de que te quieras molestar y denunciar, pero la realidad es que no se denuncia mucho”, afirma Salla.

Entonces, ¿qué se puede hacer? El experto apunta que la AEPD cuenta con unas guías didácticas tanto para empresas como para ciudadanos sobre la protección de datos. A las primeras las instruye sobre cómo adaptarse a la normativa, mientras que a los segundos les explica cuáles son sus derechos y qué pueden hacer para evitar sustos y limitar el acceso a sus datos personales.