Apunte sobre el Reglamento General de Protección de Datos

10 mayo, 2018

El 25 de mayo de 2016 entró en vigor el Reglamento General de Protección de Datos (RGPD), que sustituirá a la actual normativa vigente y que comenzará a aplicarse el 25 de mayo de 2018.

El derecho a la protección de datos de carácter personal viene entendiéndose, de acuerdo con la consolidada jurisprudencia constitucional, como contenido esencial del derecho fundamental a la intimidad, honor y propia imagen comprendido en el artículo 18 de la Constitución española (CE). Concretamente ha sido regulado como manifestación del mandato establecido en el artículo 18.4 CE, que reconoce la denominada «libertad informática» o «autodeterminación informativa» –«la ley limitará el uso de la informática para garantizar el honor e intimidad personal y familiar de los ciudadanos»– (SSTC 254/1993, de 20 de julio, FJ 6º; 143/1994, de 9 de mayo , FJ 7º; 11/1998, de 13 de enero , FJ 4º; 94/1998, de 4 de mayo, FJ 6º; 202/1999, de 8 de noviembre; o 290/2000, de 30 de noviembre, FJ 7º)

En este nuevo Reglamento Europeo 2016/679, (RGPD), la protección de los derechos y libertades de las personas físicas con respecto al tratamiento de datos personales exige la adopción de medidas técnicas y organizativas apropiadas con el fin de garantizar el cumplimiento de los requisitos que describe.

Así, el responsable del tratamiento debe adoptar políticas internas y aplicar medidas que cumplan en particular los principios de protección de datos desde el diseño y por defecto o actúe con responsabilidad activa en relación con el tratamiento que de los datos personales se realice en su organización.

Dichas medidas podrían consistir, entre otras, en reducir al máximo el tratamiento de datos personales, seudonimizar lo antes posible los datos personales, dar transparencia a las funciones y al tratamiento de datos personales, permitir a los interesados supervisar el tratamiento de datos o crear y mejorar elementos de seguridad.

El RGPD establece un catálogo de las medidas que los responsables, y en ocasiones los encargados, deben aplicar para garantizar que los tratamientos que realizan son conformes con el Reglamento; y lo que supone más impacto, deben estar en condiciones de demostrarlo.

Además condiciona la adopción de las medidas de responsabilidad activa al riesgo que los tratamientos puedan suponer para los derechos y libertades de los interesados y así, en algunos casos, prevé que determinadas medidas solo deberán aplicarse cuando el tratamiento suponga un alto riesgo (por ejemplo tras Evaluaciones de Impacto sobre la Protección de Datos) y en otros casos, las medidas deberán modularse en función del nivel y tipo de riesgo que el tratamiento conlleve (por ejemplo, con las medidas de protección de datos desde el diseño o con las medidas de seguridad).

Todos los responsables deberían realizar una valoración de los riesgos que comportan los tratamientos que realizan a fin de poder establecer qué medidas técnicas, organizativas y de seguridad deben aplicar para lograr el adecuado tratamiento continuo de datos personales al objeto de preservar los derechos y libertades de los ciudadan@s.