El Reglamento General de Protección de Datos cumple años. ¿Estamos mejor?

Estamos de celebración. El RGPD (o GDPR para los amigos) cumple dos añitos de pleno funcionamiento.

¿Quién nos iba a decir que dos años después media humanidad iba a estar confinada por un virus (no informático) que nos ha cambiado el orden de las prioridades?

Dos años en los que el RGDP tiene ya un cierto recorrido de aprendizaje, de aplicación y también de cuantiosas sanciones. Dos años que culminan con una prueba de fuego a la privacidad: datos de salud, pasaportes de inmunidad, aplicaciones de contacto, teletrabajo, teleenseñanza, sociedades hiperconectadas…

En estos meses, desde que la Organización Mundial de la Salud declaró la pandemia por Covid19 han sido muchos los temas en los que el RGPD ha estado muy presente. Todas las autoridades de control de la UE han emitido informes, documentos, posiciones y recomendaciones sobre temas diversos: desde la posible restricción de derechos en los declarados estados de alarma (o similares en los países de nuestro entorno) hasta la necesidad de recabar los datos de salud para entender cómo se está comportando el virus y poder atajar su propagación.

Pero el RGPD tiene mucho más recorrido y si miramos atrás, podemos decir que el que más o el que menos ha oído hablar de esta norma; que el que más o el que menos ha intentado aplicarla y el que más o el que menos conoce sus derechos.

Sin embargo y a pesar de los esfuerzos de las autoridades de control, en particular de nuestra Agencia Española de Protección de Datos y de los profesionales que nos dedicamos a ello, todavía queda mucho por hacer. ¿Por qué?

• Porque todavía no todos aquellos que tratan datos conocen bien sus obligaciones
• Porque los ciudadanos todavía no conocen bien sus derechos.
• Porque todavía hay profesionales que no asesoran bien.

Respondiendo a la pregunta de nuestro titular y desde nuestro humilde punto de vista hemos obtenido muchos logros en la protección de este derecho fundamental:

• Hemos ganado en transparencia:
  • Ahora nos informan mejor, sabemos qué hacen con nuestros datos, si están en la UE o fuera. Si hay terceros que acceden a ellos, cuánto tiempo se conservan, a quién nos tenemos que dirigir para ejercitar nuestros derechos y quién está verdaderamente detrás del tratamiento.
  • La figura del Delegado de Protección de Datos ha contribuido a esta transparencia supervisando actividades, velando por el cumplimiento, asesorando a las entidades y en definitiva convirtiéndose en una figura a la que acudir para cualquier cuestión relacionada con la privacidad. Como decía un antiguo compañero abogado del que mucho aprendí: si no hay nadie que específicamente se ocupe del asunto, el asunto no sale. El hecho de contar un DPO, ya en sí mismo, implica que la organización tiene claro que hay “alguien” a quien deben consultarse las cosas. Y ello se traduce en hacer las cosas mejor.
  • El hacer una reflexión sobre las finalidad, las bases de legitimación, los destinatarios, las transferencias internacionales y muy importante, sobre los riesgos, ayuda a las organizaciones a saber lo que tienen entre manos en términos de privacidad.
• Hemos ganado en concienciación:
  • Es difícil encontrar ya empresas o profesionales que no les “suene” que existe una normativa de protección de datos que tienen que cumplir (todavía se encuentra algún “mirlo blanco” pero es excepcional.
  • En las organizaciones, a poco que hayan hecho los deberes, se sabe que “no todo vale”, especialmente los departamentos comerciales y de marketing que antiguamente eran los auténticos agujeros negros de los datos.
  • Los propios ciudadanos saben que tienen derecho a decidir sobre sus datos, a no recibir información comercial no deseada, a que no se haga tratamiento de sus datos si no lo han consentido…
  • Existe mayor reticencia a descargarse aplicaciones que piden permisos por encima de lo necesario o cuyo uso es dudoso.
• Hemos ganado en homogeneidad:
  • Antes del RGPD teníamos veintiocho regulaciones de privacidad bajo el paraguas de la antigua Directiva. El RGPD nos igualó a todos. Hablamos el mismo lenguaje de “privacidad”. Los principios son los mismos para todos, las obligaciones, los derechos… Esto ayuda cuando una empresa u organización tiene presencia en varios países. No obstante, aquí todavía existe un principio de “lado oscuro” que exponemos más adelante.

Sin embargo, nuestra opinión es que hay algunos aspectos que quizás, de forma inevitable, van unidos a lo anterior y que podemos considerar como «menos positivos» (el lado oscuro del RGPD):

• No nos hemos deshecho de documentación sino más bien todo lo contrario
  • Para demostrar el cumplimiento debemos hacer las cosas bien y ser capaces de probarlo. Para ello la documentación es esencial. Y son muchas las obligaciones que hay que probar: procedimientos, políticas, modelos, comunicaciones, instrucciones…. El volumen ha aumentado sin lugar dudas.
• La responsabilidad proactiva y el enfoque desde el riesgo genera problemas a muchas empresas que no saben muy bien lo que tienen que hacer
  • El trasladar a las empresas la responsabilidad sobre lo que tienen que hacer en lugar de establecer “lo que tienen que hacer” de forma clara en una ley genera problemas. Todavía es difícil hacer entender que en ningún sitio de la Ley pone que hay que hacer copias de seguridad por ejemplo, cada semana y que la periodicidad dependerá de la organización. El “y donde pone eso” exige explicación exhaustiva que pasa por explicar el principio de accountability y la nueva perspectiva de cumplimiento desde el riesgo y desde el diseño y por defecto.
• Los ciudadanos ejercen sus derechos pensando que la protección de datos es absoluta
  • No es extraño encontrar a un cliente que exige que se borren sus datos a pesar de que su pedido se encuentra pendiente. O que retira su consentimiento cuando la base de legitimación es otra…
  • Todavía al preguntar en las formaciones si los asistentes conocen sus derechos, existe confusión… de todas formas estamos mucho mejor en este punto.
• A pesar de la homogeneidad en la regulación, cada autoridad de control está adoptando criterios propios que afectan a sus respectivos países y que al final vuelven a parcelar el mercado europeo
  • En estos días de confinamiento, las diferentes autoridades de control se están pronunciando sobre aspectos relativos a la privacidad relacionada con el Covid19 tales como la toma de temperatura, los controles de salud, pasaportes de inmunidad etc. Existen matices según el país y algunos no coinciden.
  • Lo mismo sucede en materia de cookies, sanciones etc. Cada país sigue sus propios criterios (bajo el paraguas del GDPR siempre eso sí) que provoca situaciones curiosas.

En todo caso los avances son indudables. Este derecho fundamental ocupa un lugar importante en la mente de los ciudadanos. Las empresas intentan hacerlo mejor que antes. Dos años de rodaje y el balance es positivo.

Que cumpla muchos más. Y que estemos aquí para ayudar a cumplirlo.

 

25 de mayo de 2020

 

Paz Martin

#losdetallesimportan