El nuevo reglamento General de Protección de Datos es una evolución natural de la LOPD, debido a todo el cambio o evolución tecnológica que está afectando al ciudadano, se necesitaba evolucionar la LOPD.
Comentar que es para todos los países de la Unión Europea y por tanto no se necesita transposición y es de aplicación directa, entra en vigor en el 25/5/2018, pero se considera que las empresas deberían empezar a ir adaptándose a este nuevo reglamento, ya que siendo una evolución de la LOPD. Incorpora nuevas normas como la figura del Data Protection Officer, que no existe en la LOPD actual como se definen en el nuevo reglamento.
Hay un cambio de paradigma, del cumplimiento de la protección de datos, se pasa a la gestión de la protección de los datos, también se cambia el enfoque a un enfoque basado en riesgos y prevención, con la obligación de realización de auditorías cada dos años.
Las novedades que propone este nuevo reglamento respecto a la actual LOPD son las siguientes:
- Inclusión de muestras biológicas como dato personal
- Especial protección a los niños.
- Incorpora el derecho al olvido (art. 17)
- Se establece la figura del Data Protection Officer (Sec. 4, art. 35) complementando al responsable del fichero como experto en protección de datos. Cabe destacar que esta figura no tiene porqué ser empleado directo de la compañía, si no que puede ser una figura externa.
- Desaparece la obligación del registro de ficheros en la agencia de protección de datos (sec 3. Art 33)
- Para ello, se ha sustituido por el desarrollo de un análisis de impacto en los casos de operaciones y flujos complejos de datos personales.
- Este análisis de impacto deberá llevar asociado una serie de recomendaciones sobre medidas de seguridad a aplicar en cada una de las soluciones tecnológicas para proteger los datos personales que se traten.
- Cabe destacar que este análisis de impacto, únicamente deberá desarrollarse en procesos que traten una gran cantidad de datos personales y sobre los que se haya detectado un alto riesgo de fuga o interés externo sobre ellos.
- Obligatoriedad de comunicar a las autoridades los incidentes de seguridad detectados en menos de 72 horas. En caso de no poder ser notificado en este plazo, se deberá acompañar de la información necesaria que justifique el haber superado dicho plazo.
- Establecimiento de iconos estandarizados que indiquen, tanto la recolección de datos, como su tratamiento y finalidad (art 12).
- Aplicación del concepto de ventanilla única, con el fin de agilizar los trámites en los derechos de los ciudadanos (art 54a).
- Incremento cuantitativo de las sanciones a aplicar. Con el fin de prevenir comportamientos irregulares, se hacen efectivas las nuevas sanciones:
- Sanciones de hasta 10.000.000€ o el 2% de la facturación bruta anual (la cantidad que sea mayor).
- Sanciones de hasta 20.000.000€ o el 4% de la facturación bruta anual, en caso de que se puedan aplicar agravantes (datos especialmente protegidos, negligencia, intencionalidad).
Infográfico sobre el nuevo reglamento