El próximo 25 de mayo se cumplirán tres años de la entrada en vigor del Reglamento General de Protección de Datos (RGPD). Un reglamento relativo al tratamiento de datos personales y a la libre circulación de estos datos de personas físicas. Durante este tiempo, la Agencia Española de Protección de Datos (AEPD) ha impuesto sanciones por incumplir la RGPD. En algunos casos han resultado millonarias, propiciadas por la falta de seguridad en el tratamiento de los datos.
Los ciudadanos, ejercen sus derechos de RGPD
Cada vez son más los ciudadanos que, en el ejercicio de sus derechos, inician los trámites para reclamar la protección de sus datos. De igual forma, se preocupan por clarificar los trámites en los que proporcionan su consentimiento para recibir notificaciones.
La Memoria 2019 de la Agencia Española de Protección de Datos (AEPD) recoge que en ese periodo se tramitaron 11.590 reclamaciones. La mayor parte estuvieron relacionadas con sectores como servicios de Internet (13%). Asimismo, otros fueron videovigilancia (12%), inserción indebida en ficheros de morosidad (12%) y reclamación de deudas y publicidad, excepto spam (9%).
Resoluciones sancionadores en 2019
En 2019 se dictaron un total de 338 resoluciones sancionadoras. Los resultados indican que se redujo un 29% los tiempos medios de resolución de los procedimientos sancionadores. Los tiempos de actuaciones de investigación se redujeron en un 22%.
La temática de los procedimientos destacan, por este orden: Videovigilancia (287), servicios de Internet (58), publicidad a través de correo electrónico o teléfono móvil (32), telecomunicaciones (21) y Administración Pública (15).
Las áreas con mayor importe global de multas, correspondieron a directorios (2,9 millones de euros) y telecomunicaciones (641.000). Le siguen contratación fraudulenta (620.620) y quiebras de seguridad (460.000).
Delegados de protección de datos
En cuanto a las cifras de delegados de protección de datos (DPD), el ejercicio se cerró con un total de 50.326 (44.069 del sector privado y 6.257 del sector público).
En lo relativo a los servicios de ayuda para la adaptación al Reglamento, la Agencia recibió casi 3.000 consultas a través de INFORMA_RGPD.
Los temas más demandados fueron los relacionados con la necesidad de nombrar un Delegado de Protección de Datos y las figuras del encargado, responsable y corresponsable. Otras fueron por el tratamiento de datos en el ámbito laboral debido a los cambios legislativos y la videovigilancia.
Escenario adaptado a una realidad cambiante
Igualmente, en el ejercicio de 2020 fue habitual escuchar términos como procedimiento de urgencia. Este mecanismo permite a la autoridad de control dictaminar medidas provisionales urgentes para proteger los derechos y libertades de los interesados. El 16 de julio del pasado año también supuso el fin del escudo de privacidad, dictaminado por el Tribunal de Justicia de la Comunidad Europea (TJCE). El objetivo de esta medida fue garantizar un mayor nivel de protección en la realización de transferencias internacionales de datos personales a EE.UU.
COVID-19 y teletrabajo
Durante 2020, a raíz de la crisis humanitaria mundial por la pandemia de la Covid-19, surgieron nuevos escenarios por la excepcionalidad de la situación relacionadas con las medidas de protección y prevención de riesgos.
La toma de temperatura para acceder al puesto de trabajo o a centros comerciales generó dudas en su implantación. Esta situación llevó a que el Supervisor Europeo de Protección de Datos (SEPD) tuviera que pronunciarse en septiembre para arrojar luz.
La implantación del teletrabajo también motivó que la Agencia Española de Protección de Datos (AEPD) hiciera público un documento con recomendaciones tanto para la organización y los trabajadores.
¿Sabes a qué sanciones por incumplir la RGPD se podría enfrentar tu empresa?
El Reglamento europeo establece un amplio sistema de sanciones, correspondiendo a cada autoridad de control garantizar que las imposiciones de las multas administrativas sean efectivas, proporcionadas y disuasorias.
Concretamente en su artículo 83, se regulan cuáles serán las multas administrativas que se impondrán en función de las circunstancias de cada caso individual. Estas multas oscilarán entre los diez y veinte millones de euros, o una cuantía equivalente al 2% y el 4% como máximo del volumen de negocio total anual.
Dentro de este marco, nuestra Ley Orgánica mantiene la clasificación de las tres categorías de sanción por incumplir la RGPD: muy graves, graves y leves.
Sanciones muy graves
► Se consideran muy graves las infracciones que supongan una vulneración sustancial del tratamiento de los datos personales y su utilización para una finalidad no compatible para la cual fueron recogidos. Se incluyen aspectos como no tener el consentimiento del afectado y la vulneración del deber de confidencialidad.
Además, se contempla la exigencia del pago de un canon para facilitar al afectado la información necesaria, la transferencia internacional de datos personales a un destinatario que se encuentre en un tercer país sin las garantías y requisitos legales, entre otras.
Las infracciones muy graves prescriben a los tres años.
Sanciones graves
► Se consideran graves las infracciones que supongan una vulneración sustancial del tratamiento de los datos personales y estén relacionados con datos de un menor de edad recabados sin su consentimiento.
También la falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar los principios de protección de datos, un nivel de seguridad apropiado, el incumplimiento de la obligación de designar un representante del responsable o encargado del tratamiento, entre otras.
Las infracciones graves prescriben a los dos años.
Sanciones leves
► Se consideran leves las infracciones de carácter meramente formal, y en particular, tales como el incumplimiento de la transparencia de la información o no facilitar toda la información exigida por el afectado.
Este apartado contempla el no atender los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, el incumplimiento por el encargado de las estipulaciones impuestas en el contrato que regula el tratamiento, facilitar información inexacta a la Autoridad de protección de datos, entre otras.
Las infracciones leves prescriben al año.
¿Qué adaptación a la protección de datos debe realizar las empresas?
Es normal el desconocimiento en la materia sobre el propio perfil que tiene una empresa. Vamos a arrojar algo de luz al respecto. Las empresas pueden uno de estos dos perfiles:
- Las que tienen presencia y actividad online: Si tienen página web, redes sociales, comercio electrónico o realizan email marketing, la empresa necesita la adaptación al RGPD y LSSI (Ley de Servicios a la Sociedad de la Información y de Comercio electrónico). Si tiene una web y el empresario no sabe si cumple con el RGPD o no, en Audiolís realizamos un informe gratuito de evaluación de protección de datos.
- Las que no tienen presencia y actividad online: Igualmente custodian, gestionan y tratan datos de carácter personal, por lo que necesitan únicamente la adaptación al RGPD. Nos referimos a información como nóminas, contratos, currículums, tickets de tarjetas de créditos, libros de reservas, etc.
En Audiolís ayudamos a las empresas con el firme cumplimiento de la normativa en protección de datos. Estamos presente en su implantación, en el mantenimiento del servicio, en la resolución de incidencias y en el apoyo en caso de procesos de inspección. Además, toda la documentación estará en la nube, por lo que cuenta con acceso 24 horas al día, 365 días al año, con un servicio de consultas ilimitadas y un consultor asignado exclusivamente a cada empresa.
España, país europeo en quinto lugar por incumplir la RGPD
Finalizamos recordando el informe elaborado por la firma de abogados DLA Piper con datos de los 27 estados de la UE incluyendo también a Noruega, Islandia, Reino Unido y Liechtenstein.
El estudio recoge que en 2020 Europa interpuso multas por vulnerar el RGPD por valor de 159 millones de euros. Esta cantidad supone la mitad de las sanciones propuestas desde que está en vigor la normativa. Además, el informe sitúa a España en la quinta posición por incumplir la RGPD.
Otros artículos de interés
- Protocolo de acoso laboral es obligatorio en el entorno empresarial
- Plan de igualdad obligatorio para las empresas de más de 50 trabajadores
- El registro salarial o registro retributivo, obligatorio desde abril de 2021
- Cómo protege un Plan de Igualdad a la empresa
- Las empresas están obligadas a establecer canales de denuncia internos más seguros y efectivos
