Multas de hasta 20 millones por violar la nueva protección de datos

El 25 de mayo entra en vigor la nueva regulación europea que endurece las sanciones y refuerza la protección. Pese a haber tenido dos años para adaptarse, no todas las empresas han hecho los deberes.

Una persona acude a una agencia de viajes y contrata un paquete turístico en la otra punta del mundo. Cuando busca en Google la dirección del hotel, el buscador le indica que posee una reserva en dicho establecimiento, con la fecha exacta de llegada y de salida. Es el negocio de la información. El flujo de datos nunca cesa y viaja de un sitio a otro con nuestro consentimiento tácito (al aceptar con nuestros clics o nuestra firma las distintas políticas de privacidad) pero sin que seamos realmente conscientes. Empresas y organismos acumulan ingentes flujos de datos de prácticamente todos nosotros, en muchos casos con una motivación exclusivamente económica. Todos hemos aceptado sin ni siquiera una lectura rápida –seguramente muchas veces– la política de privacidad de alguna aplicación móvil, red social, página web, compra on-line, organismo público, centros médicos, colegios bancos, etc., que solicitan nuestros datos personales como requisito para prestar sus servicios. Nuestra información permanece en decenas de bases de datos durante años, circulando incluso, sin que sepamos muy bien el uso que se hace de ella.

Para poner un poco de orden sobre todo esto, la Unión Europea aprobó en 2016 un nuevo reglamento sobre protección de datos, dando dos años a las empresas y a administraciones públicas para adaptarse a él. Desde el 25 de mayo termina ese periodo de gracia y los «guardianes» de nuestra información deben regirse ya por las nuevas normas comunes para toda la UE. De hecho, es muy posible que en las últimas semanas usted haya aceptado ya los nuevos términos de privacidad impuestos por Facebook o WhatsApp y, una vez más, ni siquiera los haya leído, yo mismo incluido. El nuevo reglamento amplía la protección en varios aspectos como el consentimiento, el derecho a solicitar, trasladar y suprimir esos datos, fijando una nueva relación nueva entre los usuarios y los tenedores de esa información. Además, endurece las sanciones antes las violaciones de la protección de datos. Las multas a las empresas podrán alcanzar hasta 20 millones de euros o un 4% del volumen de facturación global, frente al máximo de 600.000 euros existente hasta ahora en España.

En cualquier caso, la normativa comunitaria ha dejado varios aspectos abiertos que el Gobierno espera cubrir con una nueva ley nacional, que está ya en la fase final de tramitación en el Congreso de los Diputados y que podría entrar en vigor a finales de este año. La anterior ley de este tipo en España se remonta a 1999, cinco años antes del nacimiento de Facebook. Precisamente, la red social estadounidense ha estado este año en el punto de mira por el uso que hace de los datos de sus usuarios. En concreto, la información personal de 87 millones de cuentas de Facebook acabaron en manos de la empresa Cambridge Analytica para a su vez ser usada para influir en el voto de las elecciones presidenciales americanas de 2016, en las que salió elegido Donald Trump. Un escándalo que le costó a la empresa fundada por Mark Zuckerberg casi 70.000 millones de euros por el desplome de su cotización y que refleja el negocio millonario que supone el uso de los datos personales. Según la Comisión Europea, el valor de la economía de los datos en Europa es de 300.000 millones de euros. En 2020, la previsión es que sea más del doble: 740.000 millones de euros.

Aunque Europa ha dado dos años para adaptarse a la nueva regulación, a la mayoría de las empresas les ha pillado el toro, sobre todo en el caso de las pymes. Por ello, se han lanzado a la búsqueda de abogados especializados y las consultas a la Agencia Española de Protección de Datos (AEPD) se han disparado. Entre las novedades, los organismos públicos y las empresas privadas que gestionen un gran volumen de datos deberán contar con una nueva figura: un delegado de protección de datos. Es decir, un experto en la materia que preste asesoramiento sobre el uso de la información. Las empresas deberán elaborar un registro de actividades en el tratamiento de los datos, así como un análisis de los riesgos y revisar sus medidas de seguridad. Además, obliga a emplear un lenguaje claro y entendible, quedando prohibidos los consentimientos por omisión o las casillas premarcadas.

Con todo, la nueva normativa puede llegar a resultar un laberinto, sobre todo para las empresas más pequeñas o para los autónomos, con menor capacidad para controlar una regulación tan compleja. Por este motivo, la AEPD ha publicado una serie de guías para orientar al sector privado de cada a la adaptación. Además, ha puesto en marcha «Facilita RGPD», una herramienta para que las empresas comprueban su grado de cumplimiento de la nueva protección de datos mediante un rápido cuestionario on-line y que emite recomendaciones para lograr cumplir con los requisitos legales. También permite analizar si la empresa está afectada por algún factor de riesgo, ya sea debido al sector (sanidad, banca, publicidad, política, etc.), datos que maneja (religiosos, étnicos, políticos, etc.) o actividades que realiza. Una aplicación similar ha sido desarrollada también por el despacho de abogados Lant para los autónomos. Además de saber si cumplen con la protección de datos y emitir avisos para conseguirlo, por 50 euros más ofrece defensa jurídica en temas de este tipo y un seguro para cubrir posibles sanciones durante un año.