• En Cataluña la cifra asciende a 370.000 compañías, según datos de la compañía ARAG
• El nuevo Reglamento prevé sanciones de hasta 20 millones de euros o del 4% de facturación de la empresa

La aplicación del nuevo Reglamento General de Protección de datos (RGPD) el próximo 25 de mayo pone en situación de alerta a más del 40% de las pymes españolas, según datos del sector empresarial y tecnológico del país, a los que ARAG, compañía de Defensa Jurídica, ha tenido acceso. La entidad alerta de que a un mes del inicio efectivo de la normativa, más de 1,2 millones de empresas siguen sin haber adoptado las normas descritas y contempladas por la iniciativa europea cuyo incumplimiento contempla sanciones de hasta 20 millones de euros o del 4% del total de la facturación en caso de que supere dicha cantidad.

En Cataluña, los porcentajes son similares a los del resto de España y la cifra de empresas que todavía no se han preparado asciende a 370.000 compañías. En el caso de los autónomos, el número se dispara hasta el 50%, lo que supone que a día de hoy 766.736 profesionales de todo el Estado todavía no se han adaptado a las especificaciones del RGPD. 

La normativa prevé dos años de transición para que tanto las pymes como las microempresas y las grandes firmas integren todos los requisitos en su actividad diaria. El periodo finaliza el próximo 25 de mayo, fecha a partir de la cual se podrán comenzar a aplicar las nuevas sanciones.

Muchas empresas deberán tener un Delegado de Protección de Datos

La aún vigente Ley Orgánica de Protección de Datos reconoce los derechos ARCO (acceso, rectificación, cancelación y oposición). El RGPD añade a los anteriores el de portabilidad y el de limitación del tratamiento, e introduce expresamente el derecho al olvido como parte del derecho de supresión (nueva denominación del derecho de cancelación).

Entre las principales novedades está la de designar de forma oficial un Delegado de Protección de Datos en muchas empresas. Esta nueva figura deberá supervisar la aplicación de las medidas técnicas y organizativas adecuadas para cumplir con la normativa y servir de enlace con la autoridad de control y con los titulares de los datos. La directora de la Asesoría Jurídica Corporativa y abogada especialista en protección de datos de ARAG, M. Belén Pose, recomienda que este perfil tenga “suficientes conocimientos jurídicos para poder trabajar de la mano de la Agencia Española de Protección de Datos así como conocimientos sobre las nuevas tecnologías”.  Por el momento, la abogada afirma que existe un nivel muy bajo de comunicación a la autoridad de la identidad de los Delegados de Protección de Datos, lo que, según Pose, constituye un reflejo más del limitado grado de adaptación al Reglamento por parte de las empresas.

La normativa también contempla la obligación por parte de las empresas de notificar las violaciones de seguridad de los datos a la Autoridad en un plazo de 72 horas y también a los usuarios en los casos en los que se vean afectados. También insta a las empresas a la creación y mantenimiento de un registro de tratamiento de datos en el que se detallen todas las actividades que se lleven a cabo en esta materia y que afecten a los usuarios.

Con relación a las nuevas tecnologías, el RGPD establece los 16 años como la edad mínima para acceder a las redes sociales sin intervención de los padres o tutores. Cada país tendrá la potestad de rebajarlo como máximo hasta los 13 años. Todo apunta a que ese será el criterio que aplicará la futura LOPD en España, rebajando en un año el límite actual de 14 años.

Ya no servirá el consentimiento tácito

Desde ARAG, Belén Pose recomienda “no utilizar ningún dato sin asegurarse de que su tratamiento es lícito” y tener muy presente que a partir del 25 de mayo, en los casos en los que se requiera del consentimiento del interesado, éste no podrá deducirse del silencio o la inactividad de la persona, sino que requerirá de una acción afirmativa o manifestación del mismo. Este nuevo e importante matiz obliga a todas las empresas a revisar sus bases de datos, sus avisos, políticas de privacidad, así como la forma en la que obtienen el consentimiento de los titulares de los datos.

La nueva normativa no sólo afecta a empresas europeas, también a todas aquellas que gestionen datos de ciudadanos europeos para  ofrecerles bienes o servicios, o para hacer un seguimiento de su conducta.

En el caso de España, el Gobierno impulsó la creación de una nueva ley orgánica en materia de protección de datos en la que se incluyan todas las especificidades del  RGPD. El Proyecto de Ley se está tramitando en estos momentos en el Congreso de los Diputados y es previsible que su aprobación definitiva se demore más allá del próximo 25 de mayo.