El 27 de abril de 2016 se aprobó el Reglamento (UE) 2016/679 sobre protección de datos, que es de plena aplicación des del 25 de mayo del 2018.
La globalización y el uso de las nuevas tecnologías implican un riesgo para los datos personales. La finalidad de la nueva normativa europea es dotar de un mayor control a las personas que son titulares.
A continuación haremos una recopilación de las novedades que presenta el nuevo Reglamento (UE) 2016/679, relativo a la protección de datos personales y libre circulación de estos datos.
Ámbito de aplicación
El Reglamento afecta organizaciones públicas, privadas, y personas físicas profesionales que traten con datos de carácter personal, siempre que actúen dentro de la Unión Europea (UE), con la finalidad de proporcionar un marco normativo harmonizado para todos los estados miembros y ofrecer más garantías a la ciudadanía europea.
En relación a las organizaciones, no es importante el hecho que su sede esté ubicada físicamente o no en el territorio de la Unión Europea, siempre y cuando:
- Ofrezcan bienes y servicios (incluidos los gratuitos) en Europa.
- Dispongan de ficheros de ciudadanos/as europeos/as. En este caso, si no tienen un establecimiento permanente en la Unión Europea, tendrán que nombrar un representante en la UE, que actuará como punto de contacto con las autoridades de supervisión y con las personas ciudadanas.
Información sobre el tratamiento de datos
La información sobre el tratamiento de datos tendrá que adecuarse a las personas destinatarias, especialmente cuando se trate de personas menores de edad. Se tendrá que facilitar por escrito, en un lenguaje claro y sencillo.
Los principales elementos que tiene que recoger este derecho son los siguientes:
- Datos identificativos y de contacto del responsable del tratamiento.
- Datos identificativos y de contacto de la personas delegada de protección de datos.
- Finalidad del tratamiento y su base jurídica.
- Personas destinatarias de los datos recogidos y la categoría de datos.
- Intención de transferir los datos a un tercer país.
- Plazo de conservación de los datos.
- Derechos de las personas titulares de los datos y el procedimiento de poderlos ejercer.
Consentimiento
La validez del tratamiento de los datos implica que las personas titulares tienen que prestar su consentimiento de forma expresa e inequívoca. Por lo tanto, se considera inválido cualquier tipo de consentimiento tácito.
Por otra parte, los tratamientos basados en el consentimiento que se hayan iniciado antes de la aplicación de la nueva normativa europea continuarán siendo legítimos, siempre que este consentimiento se haya prestado de la manera que prevé la citada norma, es decir, mediante una manifestación explícita.
Respecto a las personas menores de edad, el tratamiento de sus datos se considerará válido cuando tengan, como mínimo, 16 años.
Aun así, los estados miembros podrán establecer que el consentimiento se pueda prestar por una persona con una edad inferior, que podrá ser hasta 13 años. En caso de ser menor de 13 años, el consentimiento lo tiene que prestar la persona representante legal del menor.
Derechos de los titulares de datos
La normativa prevé unos derechos de las personas titulares de los datos personales, entre los cuales destacan los siguientes:
- Derecho de acceso a los datos.
- Derecho de rectificación de las mismas en caso que se proceda.
- Derecho de cancelación de los datos que se consideren inadecuados o excesivos.
- Derecho de oposición al tratamiento de ciertos datos.
- Derecho de supresión de los datos o también llamado derecho al olvido.
- Derecho de limitación del tratamiento.
- Derecho de portabilidad de los datos.
- Derecho a no ser objeto de decisiones individualizadas.
La norma europea no establece una manera concreta para ejercer los derechos, pero sí permite que se haga por medios electrónicos y de forma gratuita. En caso que se tratara de solicitudes infundadas o excesivas, el responsable del tratamiento puede decidir aplicar una tasa o bien negarse a actuar.
Este también tiene que informar a la persona interesada sobre las actuaciones derivadas de su petición de ejercicio de derechos en el plazo de un mes , que se puede ampliar a dos meses más cuando se trata de solicitudes especialmente complejas.
Si la persona responsable decide no atender la solicitud, tiene que informar y motivar la negativa dentro del plazo de un mes desde que se presentó.
Encargo del tratamiento de datos
Cuando una entidad responsable del tratamiento de unos datos cede una parte de estas a un tercero como, por ejemplo, a través de una relación contractual de prestación de servicios, este pasa a denominarse encargado del tratamiento de datos.
La relación entre el responsable y el encargado de los datos se tiene que formalizar mediante un contrato que tiene que recoger como mínimo los siguientes aspectos:
- El objecto y la duración del encargo.
- La naturaleza del tratamiento.
- El tipo de datos personales que tienen que tratar.
- Las categorías de interesados.
- Las obligaciones y los derechos del responsable.
- El compromiso de confidencialidad.
- La disponibilidad para atender las solicitudes de ejercicio de derechos.
- La supresión o la devolución de los datos en finalizar el encargo.
Las personas encargadas tienen la obligación de poner a disposición del o la responsable toda la información necesaria para demostrar que cumple sus obligaciones con respecto a la protección de datos, y permitir que el o la responsable u otro/a auditor/a autorizado/a efectúe auditorías e inspecciones.
Si tienes dudas sobre el reglamento de protección de datos, el equipo jurídico de Suport Tercer Sector te los resolverá a través del servicio en línea de asesoramiento.
Información relacionada:
Más novedades sobre la ley de protección de datos
¿Qué sanciones establece la ley de protección de datos?