El galimatías del RGPD

El 25 de mayo termina el plazo de adaptación dado a las instituciones, empresas y organizaciones europeas para aplicar el Reglamento General de Protección de Datos (RGPD) que entró en vigor el pasado 25 de mayo de 2016. Reglamento que nace porque, según se indica en el texto publicado en el Diario Oficial de la Unión Europea, la protección de las personas físicas en relación con el tratamiento de datos personales «es un derecho fundamental». Como ocurre con todo cambio normativo, la confusión es total también en este caso y, a falta de unos días para su total aplicación, las dudas son más que las certezas.

Este nuevo reglamento regula cómo ha de ser a partir de ahora la gestión de los datos personales de que disponen las empresas en sus bases, sobre el fundamento de que esos datos que mueven no son suyos, sino de los propios titulares. Datos que solo pueden ser utilizados para las finalidades previamente autorizadas o legitimadas por ley. Además, el reglamento obliga a establecer las medidas de seguridad pertinentes para evitar el mal uso de esos datos.

A partir de ahora, las autorizaciones dadas por el interesado, es decir, el titular del dato correspondiente, han de ser concisas, claras y transparentes, y deben ser solicitadas por parte de la empresa de forma exclusiva. Es más, «si los datos personales son tratados con fines de mercadotecnia directa, el interesado debe tener derecho a oponerse a dicho tratamiento», se especifica en el texto, que ahonda en que ese derecho ha de ser comunicado «explícitamente al interesado y presentarse claramente y al margen de cualquier otra información», o sea, de forma independiente.

Lógicamente, el reglamento establece una serie de sanciones para el caso de que haya incumplimiento. Así, en su artículo 82 se dice que «todo el que haya sufrido daños y perjuicios materiales como consecuencia de una infracción (…) tendrá derecho a recibir una indemnización» que se establecerá en cada caso.

También regula las multas administrativas, que pueden llegar hasta un máximo de 20 millones de euros o, si fuera de mayor cuantía que esta cifra, el 4% del volumen de negocio que la empresa haya tenido en el ejercicio anterior.

Por eso no resulta extraño que los buzones electrónicos se estén llenando desde hace días de correos en los que se pide «tu permiso para seguir enviándote convocatorias y notas de prensa. Solo has de revisar que tus datos sean correctos y marcar la casilla Acepto». Y se aclara al receptor del aviso que «puedes cambiar de opinión en cualquier momento haciendo clic en el enlace da baja que figura en cada email o contactando con nosotros».

Los bufetes de abogados que se han especializado en aplicar el RGPD no dan abasto para atender las consultas que les llegan desde las empresas de todos los sectores, sabedoras de que el día 25 han de estar al día.

José Luis del Moral