"
El 25 de mayo de 2016 entró en vigor el Reglamento General de Protección de Datos (RGPD). Aunque no comenzará a aplicarse hasta el 25 de mayo de 2018, es importante que las empresas vayan adaptando sus procesos, ya que la nueva normativa supone una gestión distinta de la que se viene empleando.
El Reglamento requiere el consentimiento expreso para al tratamiento de datos personales. Esto excluye la utilización del llamado consentimiento tácito, que actualmente permite la normativa española.Los consentimientos obtenidos con anterioridad a la fecha de aplicación del RGPD sólo seguirán siendo válidos como base de tratamiento si se obtuvieron respetando los criterios fijados por el propio Reglamento. Por tanto, la Agencia aconseja que las organizaciones que en estos momentos utilizan el llamado consentimiento tácito como base para los tratamientos comiencen tanto a revisar los consentimientos ya obtenidos para adecuarlos al Reglamento como a utilizar mecanismos acordes con la nueva legislación.A partir de mayo de 2018, sólo tendrán legitimación suficiente los tratamientos basados en el consentimiento expreso, con independencia de cuándo se haya obtenido ese consentimiento.En materia de información el RGPD incluye cuestiones adicionales que actualmente no son requeridas por la normativa española. En concreto, cuando los datos se recaben del propio interesado, deberá facilitarse la siguiente información:a) La identidad y los datos de contacto del responsable y, en su caso, de su representante.b) Los datos de contacto del delegado de protección de datos, en su caso.c) Los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento.d) En su caso, los intereses legítimos del responsable o de un tercero para el tratamiento de los datos.e) Los destinatarios o las categorías de destinatarios de los datos personales, en su caso.f) En su caso, la intención del responsable de transferir datos personales a un tercer país y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o 49 del RGPD, referencia a las garantías adecuadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado.g) El plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo.h) La existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos.i) La existencia del derecho a retirar el consentimiento en cualquier momento.j) El derecho a presentar una reclamación ante una autoridad de control.k) La existencia de decisiones automatizas, incluida la elaboración de perfiles, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.Cabe plantearse, por tanto, qué va a suceder con todas las cláusulas informativas utilizadas con anterioridad a mayo de 2018 una vez que el Reglamento sea de aplicación.Por tanto, el periodo transitorio debería ser utilizado por las empresas para realizar una adaptación progresiva al RGPD, incluyendo la adaptación de sus políticas de privacidad.La AEPD considera que no debería esperarse a la fecha en que la realización de las evaluaciones resulte obligatoria para comenzar a utilizar esta herramienta, ya que requiere de preparación, elección de la metodología adecuada, identificación de los equipos de trabajo y otra serie de condiciones que no pueden improvisarse.Comenzar a incorporar este sistema a la actuación no sólo va a permitir estar en mejores condiciones en el momento en que el RGPD resulte obligatorio, sino que también permitirá asegurar el cumplimiento de la actual normativa.Este momento de transición entre la entrada en vigor y la aplicación del RGPD debería aprovecharse para llevar a cabo dos acciones paralelas: (I) abordar la revisión de los contratos ya existentes y que se refieran a encargos con vocación de prolongarse en el tiempo, de forma que en mayo de 2018 sean compatibles con las disposiciones del RGPD y (II) comenzar a incluir en las nuevas cláusulas contractuales todos los elementos que el RGPD considera necesarios.La AEPD está trabajando en la preparación de unas recomendaciones para los contratos de encargo que puedan servir de orientación en esta primera etapa para que las empresas respondan a los nuevos requerimientos."
