El nuevo Reglamento General de Protección de Datos Personales (RGPD o GDPR) entra definitivamente en vigor en toda Europa el próximo 25 de mayo de 2018. Este reglamento sustituye a la Directiva 95/46/CE y consigue un nivel igual de protección de los datos personales en toda la Unión Europea, ya que es de aplicación directa.

Este nuevo Reglamento tiene como objetivo dar mayor control a las personas físicas sobre sus datos personales en un entorno de comunicaciones avanzadas tecnológicamente. Afecta a todas aquellas empresas que traten datos de los ciudadanos europeos aunque sean de Estados Unidos, como Google o Facebook. Esta es la principal razón por la que estos días no paras de recibir correos con actualizaciones en las políticas de privacidad de diferentes servicios y webs que habitualmente utilizas.

Esto va a suponer un importante cambio en la política de privacidad y tratamiento de la información personal que hasta ahora regían en Internet.

Claves del nuevo Reglamento General de Protección de Datos

Para saber cómo afecta este nuevo reglamento a tu web primero debemos conocer las claves del nuevo reglamento, que son condiciones adicionales a los principios vigentes, y que detallamos a continuación:

1. Consentimiento expreso: Para poder utilizar los datos personales de los usuarios, el consentimiento por parte de estos deberá ser expreso, específico y verificable. Ya no bastará simplemente con un clic en un enlace, sino que las empresas deberán demostrar que el usuario les facilitó su consentimiento.
2. Derecho al olvido y rectificación: Se facilita al usuario más elementos de control y medios para ejercerlos. Esta medida recoge que, con el paso del tiempo, los datos obsoletos de los usuarios se borren.
3. Derecho a la portabilidad: Los usuarios podrán solicitar una copia de sus datos personales para su traslado de un prestador de servicios a otro.
4. Menores: La edad mínima para que los menores puedan dar su consentimiento para el uso de sus datos es de 16 años, aunque en España sigue fijada en los 14 años, ya que se permite a cada estado regularlo.
5. Información expresa: La información contenida en los avisos legales y políticas de privacidad deberá mostrarse de forma clara y accesible, así como todos los datos legales de la empresa y el uso de los datos personales que realizan a través de Internet.
6. Responsabilidad activa: Las empresas deberán acreditar en su web que se han adoptado todas las medidas necesarias para tratar los datos personales tal y como se exige en la RGPD.
7. Avisos de privacidad: Las empresas deberán revisar las Declaraciones de Privacidad, los Avisos de Privacidad y el resto de políticas internas, si las hubiera con el fin de explicar al usuario la base legal para el tratamiento de los datos, los períodos de retención de los mismos y que los interesados puede dirigir sus reclamaciones a las Autoridades de protección de datos.

Como adaptar tu web al nuevo RGPD

• Debes adaptar todos los formularios de tu web acabando con todos los opt-ins automáticos y añadiendo un checkbox para obtener el consentimiento del usuario, con un enlace a una sección donde se hable más detenidamente sobre la Política de Privacidad de los datos. Además insertar una cláusula legal visible, debajo de cada formulario, con los principales aspectos de tu tratamiento de datos y que esté sujeta a aceptación por parte del usuario antes de enviar sus datos. 
• Para los registros antiguos de usuarios deberás convertir todos los consentimientos tácitos que tengas hasta ahora en consentimientos explícitos, haciendo que todos los usuarios vuelvan a dar su consentimiento siguiendo las normas del nuevo reglamento.
• Hay que actualizar el contenido de la política de privacidad para indicar que se cumple con la nueva ley de protección de datos. Toda información y comunicación relativa al tratamiento de datos personales debe ser fácilmente accesible y fácil de entender y, especialmente, que no se diluya en palabrería técnica. También deberás de especificar de manera detallada qué tipo de información recoges de los usuarios, es decir, sus direcciones IP, desde qué dispositivo navegan, teléfono, dirección de envío y facturación, etc.
• Deberás indicar la identidad de los que tienen acceso, además de ti, a la información del usuario, que incluye informar de todos los servicios de terceros que utilices en tu web y que almacenen también esos datos, como Hosting, plataforma de e-mail marketing, servicio de captación de leads, etc.
• También deberás explicar la existencia de procesos automatizados, incluida la elaboración de perfiles para segmentación
• Con el nuevo reglamento tienes la obligación de comunicar cualquier tipo de incidente de seguridad que comprometa la confidencialidad de los datos personales que están bajo tu responsabilidad, a la autoridad de protección de datos, lo que implica tener a punto los procedimientos y protocolos de comunicación internos y externos para comprobar que se adaptan a la normativa. También te obliga a tener un procedimiento para comunicar esa brecha a los usuarios o clientes cuya información personal se vea comprometida.

Sanciones e indemnizaciones

El nuevo reglamento trae consigo un importante incremento de las sanciones por incumplimiento de cualquiera de estas premisas:

• En el caso de infracciones leves las sanciones ascienden hasta los 10 millones de euros o, si se trata de una empresa, de un 2% del volumen de negocio total anual del ejercicio financiero anterior.
• En el caso de infracciones graves hasta 20 millones de euros o un 4% del volumen de negocio del año anterior.

Además hay otra peculiaridad, la nueva normativa reconoce igualmente el derecho de los usuarios a percibir indemnizaciones por el mal uso o protección de sus datos, algo que no contemplaba la actual LOPD.

En conclusión, cualquier empresa, en mayor o menor medida van a tener que adaptarse al nuevo reglamento, por lo que te recomendamos contactar con un profesional que te asesore sobre cómo implementar en la documentación y procesos las mejoras para darle cumplimiento y evitar incidencias.

Si quieres obtener más información detallada accede a la página de la Agencia Española de Protección de Datos en la que encontrarás una sección dedicada al nuevo RGPD y sus diferentes campos de aplicación para empresas, administraciones públicas, autónomos o ciudadanía en general.