05 Abr El nuevo RGPD y los problemas con la privacidad (el caso Facebook)
Conforme se iba acercando el mes de mayo de 2018 cada vez más profesionales y empresas me preguntaban por la nueva LOPD (que terminó siendo la LOPDGDD) y por el nuevo RGPD. ¿Cómo iban a afectar a sus negocios?
Era normal la confusión. En muchos medios se comentaba que cambiaba la normativa de Protección de Datos, pero no se daba información muy rigurosa.
Ahora ya podemos decir que, desde el 25 de mayo de 2018 es de obligado cumplimiento el nuevo RGPD (el Reglamento Europeo 679/2016 de Protección de Datos). Es una norma legal que obliga a todos los países integrantes de la Unión Europea y que supone un gran avance. Unifica las diferentes legislaciones sobre la Protección de Datos Personales que había en cada uno de los países de la UE.
La entrada en vigor de la nueva LOPD
El nuevo RGPD es una norma legislativa de ámbito europeo. Pero después, cada país de la UE puede aprobar una ley nacional que lo desarrolle. En España ésta tendría que ser la nueva LOPD.
La intención era aprobarla antes de mayo de 2018. Pero los trámites legislativos se retrasaron y finalmente no pudo estar lista en esa fecha.
Por eso, hasta que finalmente se aprobó la nueva LOPDGDD en diciembre de 2018, siguió vigente la Ley 15/1999 (LOPD) en todo lo que no se oponía al RGPD.
Fueron unos meses en que el tema legal resultó complejo. Era, y sigue siendo, muy recomendable contar con un consultor de Protección de Datos para adaptar un negocio a los diferentes cambios de normativa pasados, presentes y futuros.
El problema de Facebook con la privacidad
Precisamente entonces, que estábamos preocupados por que nuestros negocios cumplieran con la normativa de Protección de Datos para evitar posibles sanciones, saltó el escándalo de Facebook en EE.UU.
Fue un caso que, cuanto más se profundizaba, cobraba una dimensión más grande. Se calcularon en más de 87 los millones de personas afectadas.
También durante marzo de 2018, la Agencia Española de Protección de Datos (AEPD) sancionó con 300.000€ a Whatsapp y 300.000€ a Facebook. ¿Por qué? Por dos infracciones graves de la LOPD entonces vigente.
Cedieron los datos personales de los usuarios de WhatsApp a Facebook para que los tratara sin el consentimiento de los usuarios. Ese consentimiento se debe dar de manera libre, específica y habiendo sido previa y correctamente informado. En este caso, la AEPD consideró que ninguna de las dos empresas lo había cumplido.
Esto ayudó a despertar a la opinión pública. Seguramente la mayoría de los consumidores entonces no eran del todo conscientes de lo siguiente:
«Entre las compañías tecnológicas de fuera de la UE, en cuyas webs o apps nos registramos, muy pocas cumplen con el RGPD ni con la nueva LOPDGDD».
Como usuarios, ¿estamos dispuestos a renunciar a utilizar sus servicios? Sí que deberíamos hacerlo para evitar problemas como este «caso Facebook». Además, hay otras compañías con las que sí podemos contratar, que se toman en serio nuestra privacidad y cumplen con la legislación de Protección de Datos. No existen únicamente Facebook y Whatsapp.
Especial cuidado hay que tener cuando seleccionas herramientas tecnológicas para tu negocio, ya seas un autónomo o una empresa. Porque aquí no debes únicamente velar por el buen tratamiento de tus propios datos, sino también de los de tus clientes, proveedores y leads.
El responsable de tratamiento
Como titular de tu negocio, eres el responsable de que el tratamiento de los datos de tus clientes, proveedores y leads se haga acorde a la legislación vigente (RGPD/LOPDGDD).
Para ello, toma las siguientes medidas:
1. Selecciona con cuidado los canales de comunicación y las herramientas tecnológicas que utilizaréis. Asegúrate de que todas ellas van a cumplir con el nuevo RGPD.
Un ejemplo: el Whatsapp que todos usamos y Whatsapp Business, a día de hoy, no cumplen con el nuevo RGPD ni con la LOPDGDD. Se desconoce dónde guardan nuestros datos, si los ceden a otras empresas, además de que realizan de forma no segura las transferencias internacionales de datos.
2. Firma nuevos acuerdos de confidencialidad con los encargados de tratamiento (terceros que te prestan un servicio: gestor, informático, comercial, diseñador, etc.). Que se comprometan a tratar los datos que les cedes según el nuevo RGPD.
3. Los contratos de servicio que tengas firmados con tus clientes también deben actualizarse a la nueva normativa. Si se firmaron antes del 25 de mayo de 2018, podéis redactar un contrato nuevo o un suplemento al mismo. En él ha de contemplarse el deber de informar según el nuevo RGPD, que amplía el que ya indicaba la antigua LOPD.
4. Los procedimientos, modelos o formularios diseñados de conformidad con la LOPD deberían haberse revisado y adaptado por los Responsables de Tratamiento antes del 25/05/18. Pero si no se ha hecho, hay que hacerlo cuanto antes. Deben incorporar el deber de informar según el nuevo RGPD. Esto incluye revisar:
- los formularios de contacto que tengáis en la web
- los comentarios a las entradas del blog
- el Aviso Legal, la Política de Privacidad y el Aviso de Cookies de la web
- cualquier comunicación corporativa con clientes: emails, cartas, facturas, presupuestos…
- las comunicaciones comerciales: email marketing y otras. Esto lo desarrollaremos con amplitud en próximos artículos.