SEXTO ANIVERSARIO DE LA APLICACIÓN EN ESPAÑA DEL REGLAMENTO
GENERAL DE PROTECCIÓN DE DATOS (RGPD)

El 25 de mayo de 2024 el Reglamento General de Protección de Datos (RGPD) cumplirá seis años y, evidentemente, son muchos los acontecimientos que han ocurrido hasta la fecha.

Por un lado, han aumentado de manera exponencial las apps, el comercio electrónico, así como todo tipo de canales en el mundo digital que plantean poco a poco nuevos retos en materia de privacidad y que requieren de un estudio previo, valorar sus riesgos y tomar medidas para asegurar un tratamiento de datos correcto, pertinente y adecuado.

Por otro lado, no debemos olvidar avances en ámbitos conexos a la protección de datos como el conocido “canal de denuncias” en las empresas. En virtud de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, la existencia de dicho canal será obligatoria para empresas de más de 50 trabajadores.

Si bien el Reglamento General de Protección de Datos (RGPD) entró en vigor en la Unión Europea el 24 de mayo de 2016, España no comenzó a aplicarlo hasta el 25 de mayo de 2018, conforme al artículo 99 del mismo.

Por su parte, el derecho a la protección de datos personales lleva siendo objeto de regulación en Europa ya desde mucho antes de la publicación del Reglamento. La Carta de Derechos Fundamentales de la Unión Europea o el Tratado de Funcionamiento de la Unión Europea (TFUE), ya lo hacían, pero dicha regulación era más bien escueta y no profundizaba.

No sería hasta la publicación del RGPD cuando Europa comenzó a contar con una regulación propia y profunda sobre la materia, reconociéndose de manera efectiva y eficaz el derecho de los ciudadanos a la protección de datos. Así, la principal función y característica del RGPD es la armonización de una normativa común en materia de protección de datos para todos los Estados miembros de la Unión Europea.

Una de las figuras clave surgidas a raíz del Reglamento fue la del Delegado de Protección de Datos (DPO), obligatoria para determinadas empresas y voluntaria para todas, que permite mejorar el cumplimiento y profundizar en la implementación de una cultura de protección de datos en el seno de las empresas, además de ser el canal a través del cual poder atender denuncias o reclamaciones.

La presencia del DPO, cada vez es más valorada y ayuda no sólo a cumplir con un imperativo legal, en los casos en los que así se requiera, sino a potenciar la imagen de marca de un gran número de empresas.

En cuanto al sistema punitivo, hasta la fecha, la mayor parte de las sanciones vienen dadas por incumplimientos derivados del tratamiento de datos sin base de legitimación (sin recabar de manera adecuada, por ejemplo, el consentimiento de los interesados), o por falta de información, o información poco clara y transparente. Mención aparte merecen los envíos publicitarios sin recabar autorización, o bien sin facilitar los medios para darse de manera sencilla de baja por parte del interesado.

Desde la entrada en vigor del RGPD en España, las sanciones impuestas por la Agencia Española de Protección de Datos (AEPD) han aumentado exponencialmente cada año, siendo destacable el hecho de que no sólo se imponen a grandes empresas o multinacionales, sino a cualquier entidad que incumpla el mismo. Según datos de la Memoria Anual de la Agencia de 2023, las infracciones más sancionadas el año pasado estuvieron relacionadas con las denominadas “brechas de seguridad”.

Otro dato a destacar son los cada vez más numerosos controles y exigencias por parte de aquellos responsables del tratamiento que contratan servicios con proveedores que suponen un tratamiento de datos con un nivel elevado de riesgos.

En definitiva, los cambios desde el año 2018 son muchos y de diverso calado lo que implica que debemos prestar mayor atención. Cualquier descuido en materia de protección de datos, puede acarrear innumerables consecuencias.