Carlos B Fernández. El primer aniversario de la plena aplicabilidad del Reglamento General de Protección de Datos (LA LEY 6637/2016) (RGPD), está generando una notable actividad de revisión de las experiencias que se han suscitado durante este tiempo, en forma de jornadas profesionales.
Una de las más recientes ha sido la organizada por PONS IP, firma global especializada en el asesoramiento integral sobre propiedad industrial e intelectual y nuevas tecnologías, en la que, con la participación de la Agencia Española de Protección de Datos (AEPD), se ha analizado el grado de cumplimiento del Reglamento en el entorno empresarial en sectores muy vinculadas al tratamiento y gestión de estos dato, como el marketing y las relaciones laborales, y los efectos del nuevo marco jurídico introducido por la Ley Orgánica 3/2018, de protección de datos (LA LEY 19303/2018) de carácter personal y garantía de los derechos digitales.
Aumenta la preocupación por la protección de los datos
Actualmente y según datos del CIS, uno de cada tres españoles (76%) reconoce preocuparle “bastante o mucho” la protección de sus datos personales. La cifra, según explicó en la presentación del acto la directora general de PONS IP, Nuria Marcos “es un reflejo claro de la preocupación existente en la sociedad respecto al tratamiento de sus datos de carácter personal, y gracias al RGPD las empresas han logrado madurar y mejorar mucho sus sistemas de gestión del dato”.
Prueba de esa preocupación es que durante el primer año de aplicación del Reglamento se han presentado ante la AEPD 14.397 reclamaciones y notificado 966 brechas de seguridad.
El cumplimiento del RGPD es una tarea permanente
Para el subdirector general de Inspección de Datos, Pedro Colmenares, el cumplimiento del RGPD es una tarea nunca acabada, en la cual lo relevante es analizar y documentar permanentemente y no una tarea cosmética que simplemente dé apariencia de cumplimiento.
Las empresas no tienen que tener miedo a ser diligentes, añadió, porque la protección de datos tiene que ver con unos modelos de negocio en los que no se puede hacer cualquier cosa con los datos.
Por ello, ello la tarea de supervisión de la Agencia es también permanente, aunque su papel no pueda ser el simplemente sancionador y pretende ser de acompañamiento y facilitador del cumplimiento. En este sentido, destacó que las actuaciones de la AEPD ante reclamaciones o notificaciones de brechas de seguridad “son una oportunidad para hacer un ejercicio de autocrítica, autoanálisis y mejora de los sistemas de gestión de los datos en la empresa”. Desde la AEPD, señaló Colmenares, “priorizamos la actuación sobre los procesos de gestión mal diseñados e implementados más que sobre casos o errores puntuales, en ocasiones derivados de fallos humanos”. Por eso, han enfocado también su actividad sobre responsables concretos que han mostrado incumplimientos reiterados de sus obligaciones.
En este sentido, añadió Colmenares, el papel del Delegado de Protección de Datos (DPO) resulta fundamental. Si bien este puesto no es obligatorio para cualquier tipo de empresa, si es muy conveniente, destacó, que estas cuenten con alguien que les diga si lo que están haciendo en materia de protección de datos está bien o está mal y, además, que les permita analizar lo sucedido en caso de fallo. Pese a ello, destacó también que es frecuente la queja de estos profesionales en el sentido de que las empresas no les facilitan los medios que precisan para realizar adecuadamente su trabajo.
Pero además del deber de diligencia de las empresas, los ciudadanos también tienen que ser conscientes del uso que hacen de sus datos, algo para lo que resulta fundamental la educación, tal como se ha incorporado a la LOPDGDD (LA LEY 19303/2018).
Los nuevos derechos digitales en el ámbito laboral
Estrella Arana, abogada de la Asesoría Jurídica de PONS IP, dedicó su intervención a una cuestión clave como son las relaciones laborarles y la gestión del dato personal entre empresa y empleado. Para esta experta, “la nueva LOPD (LA LEY 19303/2018) incorpora el reconocimiento del derecho a la desconexión digital en el ámbito laboral, pero esto no siempre es fácil de implementar para las empresas. Además, existen otras cuestiones como el registro del control horario, el uso de sistemas de videovigilancia o el control mediante dispositivos de geolocalización. Todo ello conlleva ponderar las obligaciones legales de las empresas con el derecho a la privacidad de sus empleados”.
Desarrollo de negocio y protección de datos
Begoña Moreno, abogada del Área de Asesoría Jurídica de PONS IP, planteó por su parte algunas soluciones a los nuevos desafíos que los departamentos de marketing ha debido adoptar para adaptar sus estrategias al nuevo marco de protección de datos, abriendo nuevas líneas que cumplan con las expectativas de los consumidores.
En general, los datos más tratados para estas actividades son los de identidad, contacto, imagen y preferencias de los consumidores, principalmente con la finalidad de segmentación y elaboración de perfiles. En este contexto es fundamental tener en cuenta la aplicación de los principios del tratamiento de datos recogidos en el art. 5 del RGPD (LA LEY 6637/2016), entre los que destaca el de ser transparente con el titular de los datos respecto de los tratamientos efectuados, de forma accesible, clara y sencilla. Igualmente son muy relevantes los principios de privacidad desde el diseño y por defecto recogidos en el art. 25.
Por otra parte, el comercio electrónico está alcanzando una enorme importancia, pues en la actualidad casi el 50% de las compras se realizan a través del mismo. Por ello, Moreno resaltó la importancia de la información que se debe ofrecer en las páginas web dedicadas a esta actividad, como son el aviso legal, las condiciones de uso de la web, las condiciones de compra, la política de privacidad y la política de cookies. En particular, sobre estas, explicó, cabe aplicar una información por capas, una primera que debe permitir la configuración por el usuario y que no puede limitar su acceso, y una segunda, que en un lenguaje claro y sencillo informe de las cookies utilizadas y su persistencia.
Moreno concluyó añadiendo que el reto que supone para muchos departamentos de marketing, superar la merma de sus bases de datos que se ha producido con la entrada en vigor del RGPD supone una oportunidad para crear mayor confianza en los clientes y obtener una ventaja competitiva en el mercado a través de nuevas estrategias de marketing.
La dificultad de las PYMES para adaptarse al Reglamento
La jornada finalizó con una mesa debate, moderada por el “Of Counsel” de PONS IP, José Carlos Erdozain, en la que se abordaron diversas cuestiones sobre la adecuada aplicación de una correcta política de protección de datos en las empresas.
En ella, Gloria Rodríguez Mármol, Delegada de Protección de Datos y Asesor Jurídico de la Fundación Universitaria San Pablo CEU, explicó su experiencia en al implantación de una cultura cultura de seguridad entre los trabajadores.
Por su parte, Jesús Sánchez, CEO Audea y es-ciber, indicó que si bien las empresas han avanzado en la implantación de estas políticas, todavía les cuesta adaptarse al nuevo paradigma, sobre todo a las pequeñas y medianas, pues las grandes ya lo tenían asumido. En cualquier caso, añadió, la protección de datos es algo más cercano para las organizaciones que las políticas de cumplimento normativo genérico o compliance, pues se trata de algo más cercano, sobre todo por la evidencia de la posibilidad de sanción y por la implantación de medidas de ciberseguridad, que requieren una alta concienciación de sus usuarios.
Finalmente, David Moreno del Cerro, Head of Technology TENDAM Global Fashion Retail, destacó la importancia de la privacidad como uno de los tres vectores de la seguridad informática, y la necesidad de considerar a la tecnología como una aliada para garantizar un mayor nivel de seguridad frente a los crecientes ataques cibernéticos.