¿Qué debo cambiar en mi empresa con el nuevo Reglamento General de Protección de Datos?

Los medios especializados llevan meses bombardeando a empresas e instituciones con el mensaje de que se agota el plazo para llevar a cabo la implantación del nuevo Reglamento General de Protección de Datos europeo (RGPD). Y es cierto. Aunque esta norma fue aprobada en el año 2016, el plazo inicialmente concedido para adaptarse a ella expira el 25 de mayo de 2018, por lo que, a estas alturas, no sobra demasiado tiempo para implantarla.

La inquietud se agrava cuando el principal mensaje que las empresas e instituciones están recibiendo es el de que, con el Reglamento Europeo, el régimen jurídico de la protección de datos se endurece sustancialmente. Se habla de que podrán imponerse multas de hasta 20.000.000 de euros o equivalentes al 4% de la facturación anual de la entidad. Se mencionan nuevas figuras que, como el Delegado de Protección de Datos, se van a imponer como obligatorias para muchas empresas y, en todo caso, para el conjunto de las Administraciones Públicas. Se discute sobre conceptos casi desconocidos en nuestro derecho patrio, como los análisis de riesgos o las evaluaciones de impacto en la privacidad.

Ante este nuevo escenario, es razonable cierto nerviosismo y que surjan muchas dudas cuya resolución no está al alcance de cualquiera.

El nuevo régimen jurídico, además, transforma de modo sustancial el modo en el que cualquier entidad debe afrontar el cumplimiento de la normativa sobre protección de datos. Se introduce un nuevo concepto fundamental (con origen en el derecho anglosajón y en normas de naturaleza no jurídica, como las ISO), que es el denominado Principio de Responsabilidad Proactiva. No bastará ya con que implementemos en nuestros negocios y actividades las obligaciones exigidas por la norma. Ahora será necesario que, además, seamos capaces de demostrar que las cumplimos.

En definitiva, se produce un cambio de paradigma, que constriñe a modificar la mentalidad empresarial, para integrar los procesos de protección de datos como una parte más de los procedimientos de trabajo. Desaparece la posibilidad de cumplir la norma sólo formalmente. Se impone la necesidad de observarla de modo efectivo.

Frente al vigente sistema en el que la propia Ley enumera taxativamente cuáles son las obligaciones que tenemos que cumplir, el nuevo RGPD parte de un concepto mucho más abstracto: el del enfoque basado en el riesgo.

Así, se deja un importante grado de libertad a los responsables de ficheros y encargados del tratamiento para decidir qué medidas técnicas y organizativas deben adoptar e implantar en sus sistemas de tratamiento de datos. Tal decisión vendrá condicionada por los riesgos derivados de la necesidad de preservar la seguridad de los datos y los derechos fundamentales de sus titulares, pero poniéndolo en relación con factores variables, como el contexto en el que los datos sean tratados, la naturaleza de los datos o los fines del tratamiento.

Como puede imaginarse, la incertidumbre que esta situación genera es muy superior a la del régimen impuesto por la aun hoy vigente LOPD. Con la consiguiente inseguridad jurídica que ello genera.

En los últimos meses, están apareciendo multitud de soluciones tecnológicas que prometen facilitar al empresario la implantación de la nueva norma de modo sencillo y a un precio irrisorio. Pero no debemos dejarnos engañar. En la mayoría de casos, se trata de aplicaciones y plataformas on-line que se han limitado a calcar el deficitario sistema de implantación de la LOPD que venían ofreciendo desde hace tiempo, sustituyendo ahora las referencias a las antiguas obligaciones por las que impone el RGPD. Se trata, por tanto, de sistemas de implantación automática y estandarizada del RGPD que no permiten cumplir realmente los nuevos principios que antes explicábamos.

Por el contrario, cobra ahora especial importancia el trabajo especializado de asesoramiento-jurídico técnico en la nueva norma. No caben ya soluciones modelo que se reproducen de modo idéntico para cualquier institución o empresa. Sólo un trabajo personalizado efectuado por expertos en la materia permitirá integrar efectivamente  las nuevas obligaciones legales en los procesos de producción de la empresa sin que ello incida negativamente en estos. Este será el único modo de mantener el normal funcionamiento de la entidad, a la vez que se garantiza el cumplimiento del RGPD y se obtienen las ventajas que de él se derivan.

Porque el empresario no debe ver este cambio legislativo como una nueva carga, sino como una oportunidad. Una ocasión para revisar y, en caso necesario, reformular sus procesos internos, obteniendo así una ventaja competitiva en el mercado, tanto por la imagen de cumplimiento normativo que proyectará ante sus clientes, como por la minimización de los riesgos que afectan a activos fundamentales de la empresa como resultado de la adecuación al RGPD de sus procedimientos de trabajo.

 

Ernesto José Muñoz Corral.

Abogado Socio.

Picón & Asociados Abogados.