Que el nuevo Reglamento General de Protección de Datos de la Unión Europea (RGPD), va a suponer un cambio radical en la forma en que se gestionan los datos personales, es algo que no tiene discusión hoy día.
Las áreas de las empresas implicadas y que van a ver, de una forma u otra, modificados sus procedimientos de gestión de información son muchas. Pero si un área va a tener que redefinir y clarificar aún más estos procedimientos, es el área de marketing.
El nuevo RGPD, amplia los requisitos exigibles a la hora de llevar a cabo una recogida de datos personales más legal, de forma que la información a ofrecer a los usuarios, es ahora más exhaustiva y sobre todo, la recogida adecuada del consentimiento se vuelve la piedra angular de toda la gestión.
Vamos a ver algunos de los aspectos que el nuevo RGPD nos plantea;
1. Identificación del responsable del tratamiento. RGPD 2016/679 de 27 de abril. Art. 13.1 a) y b)
Deberá informarse a la hora de recoger datos de los interesados, de la identidad concreta y datos de contacto del responsable que va a llevar a cabo esta recogida y gestión de la información o de su representante. Igualmente deberá informarse, si fuera necesario, de la identidad del Delegado de Protección de Datos (DPO, por sus siglas en inglés).
2. Fines del tratamiento y base jurídica para el mismo. RGPD 2016/679 de 27 de abril. Art. 13.1 c)
Deberá informarse sobre el destino que va a tener el tratamiento de datos (campañas de email marketing, generación de contactos, boletines, etc.) de forma concreta y expresa. Además deberá incluirse en esta información, que base y referencias jurídicas justifican estas finalidades.
3. Destinatarios o categorías de destinatarios del tratamiento. RGPD 2016/679 de 27 de abril. Art. 13.1 e)
Deberá informarse sobre quién o quienes van a recibir los datos personales objeto del tratamiento de datos. Tendrá que incluirse la información necesaria para identificar a los destinatarios aún en el caso de tratarse de hosting, plataformas de email-marketing y otros servicios similares.
4. Transferencias internacionales de tratamientos. RGPD 2016/679 de 27 de abril. Art. 13.1 f)
Deberá informarse si los datos personales objeto del tratamiento, van a ser gestionados totalmente o en parte en terceros países. Es recomendable que esta gestión internacional se realice en países de la UE o en su defecto, con entidades de EEUU que hayan suscrito el acuerdo de Privacy Shield.
5. Plazos para la conservación de los datos personales. RGPD 2016/679 de 27 de abril. Art. 13.2 a)
Deberá informarse del plazo de tiempo previsto para la conservación de los datos personales objeto del tratamiento. Si esto no fuera posible, deberá indicarse que criterios se seguirán para justificar la conservación (validez de una oferta, obligación legal, etc).
6. Derechos de los usuarios en la gestión de sus datos. RGPD 2016/679 de 27 de abril. Art. 13.2 b)
Deberá informarse de los derechos que asisten a los usuarios como propietarios de los datos personales, así como el procedimiento para ejercer estos derechos. Se recogen los nuevos derechos al olvido y a la portabilidad de los datos personales.
7. Obligaciones contractuales y obligación de informar. RGPD 2016/679 de 27 de abril. Art. 13.2 e)
Deberá informarse a los usuarios sobre si la información recogida es una obligación contractual y es requerida para la formalización de un contrato o acuerdo. Deberá también informarse de las consecuencias de no prestar dicha información.
8. Decisiones automatizadas y elaboración de perfiles. RGPD 2016/679 de 27 de abril. Art. 13.2 f)
Deberá informarse a los usuarios si la información recopilada va a ser usada para la creación de perfiles y/o patrones. La información deberá también mostrar que criterios y lógica se va a seguir para la creación de dichos perfiles y la importancia o consecuencias para el usuario.
9. Finalidades distintas a las previstas para el tratamiento. RGPD 2016/679 de 27 de abril. Art. 13.3
Deberá informarse a los usuarios si el responsable de tratamiento tiene previsto a posteriorí usar la información recopilada para fines distintos a los previstos inicialmente
10. Consentimiento expreso y acreditable. RGPD 2016/679 de 27 de abril. Art. 7
Se deberá recoger el consentimiento del usuario de forma expresa. Además el responsable del tratamiento, tendrá que ser capaz de demostrar en cualquier momento que este consentimiento ha sido obtenido de forma libre y explícita. Los formularios para la recogida de la información, no podrán contar con campos pre-marcados.
Como se puede ver las obligaciones, actualizadas y aumentadas, que se plantean a las empresas a la hora de recopilar información personal, generan una información extra, que estas han de clarificar y mostrar en el momento en que procedan a la recogida de la información.
Esto supone que las condiciones de uso y los avisos legales en las web, tengan que revisarse por completo y que se adecuen a la realidad de cada tratamiento de datos. A la vez, que se ofrecen mayores y mejores garantías a los usuarios.
José Manuel Sanz
Consultor LOPD – Auditor Interno ISO 9001:2015
www.josemanuelsanz.es
