Source: http://reduce.es/que-cambios-deberan-asumir-las-empresas-con-la-nueva-lopd/
Timestamp: 2019-06-25 16:58:12+00:00

Document:
Qué cambios deberán asumir las empresas con la nueva LOPD. - Reduce
Qué cambios deberán asumir las empresas con la nueva LOPD.
El nuevo texto legislativo sobre protección de datos aporta algo de luz frente a las diferentes interpretaciones que hacía la Agencia Española de Protección de Datos (AEPD) y el Grupo de Trabajo del Artículo 29 sobre los canales de denuncias. En efecto, la LOPD introduce la posibilidad de que las denuncias puedan ser anónimas y obliga a aplicar importantes medidas de confidencialidad.
La información del soplón en el canal de denuncias únicamente se podrá mantener durante un máximo de tres meses. Una vez pasado este tiempo, los datos deberán ser anonimizados y trasladados a otro espacio. En cuanto a la obligatoria comunicación al denunciado, ésta podrá ser excepcionada si este intercambio de información pudiera poner en riesgo la culminación de la investigación.
La LOPD realiza una actualización de los requisitos en los tratamientos con fines de videovigilancia. Hasta el momento sólo existía una instrucción de la AEPD y ahora en el nuevo texto, por fin, se genera una base legitimadora regulada.
Este tratamiento se podrá realizar siempre que la finalidad sea preservar la seguridad de las personas y bienes e instalaciones o control laboral. Las imágenes deberán suprimirse a los 30 días, salvo si se cometen actos contra la seguridad. En este caso, las grabaciones deberán ser puestas a disposición de las fuerzas de seguridad antes de las 72 horas desde el suceso. En caso de la videovigilancia de empleados, éstos siempre deberán tener información previa, expresa, clara y concisa.
Se lleva a cabo una simplificación de las obligaciones de transparencia e información al afectado. En el sistema de información en dos capas -que adquiere rango normativo-, se reduce el contenido mínimo de la capa básica frente a las recomendaciones de la guía publicada por la AEPD. Además, siempre se deberá indicar una dirección electrónica o medio alternativo para acceder de forma sencilla a la información.
El artículo 13 recoge nuevas especificaciones en el derecho de acceso. De hecho, plantea la posibilidad de que se pueda crear un módulo en el que el titular de los datos pueda acceder a su información de forma remota, directa, simple y segura.
Según explica el artículo 12.5 del RGPD, en caso de que el interesado repita este ejercicio en menos de seis meses -salvo que exista una causa legítima-, la empresa podrá optar por negarse a atender la solicitud o aplicarle un canon razonable, que la compañía deberá justificar”.
El RGPD impone que, cuando sea probable que un tratamiento implique un alto riesgo para los derechos y libertades de los ciudadanos, el responsable de tratamiento deberá llevar a cabo una evaluación de impacto. A pesar de lo dicho en la normativa, el RGPD no planteaba supuestos concretos frente a la evaluación de impacto. El nuevo texto de la LOPD, sin embargo, sí que lo hace en su artículo 28.
Entre los supuestos en que será obligatorio realizar esta evaluación, hay que destacar cuando se den situaciones de discriminación, usurpación de identidad, fraude, pérdidas financieras o daño para la reputación; la inclusión de datos sensibles o relacionados con la comisión de infracciones administrativas; la transferencia internacional de datos sin el nivel adecuado de protección; así como cuando se trate de personas en situación de vulnerabilidad, como menores de edad o personas con discapacidad.
La LOPD se remite al RGPD en relación al régimen sancionador de las entidades privadas. Éstas van hasta los 10 millones de euros o 2% de la facturación anual o hasta los 20 millones de euros o 4% de la facturación anual, dependiendo de la gravedad de las irregularidades. Sin embargo, no plantea sanciones económicas a las administraciones públicas. La norma también categoriza y plantea los plazos de prescripción de los casos leves -1 año-; graves -2 años- y muy graves -3 años-.
Exclusión publicitaria
El texto introduce la posibilidad de que cada persona seleccione qué tipo de publicidad quiere recibir. El nuevo texto de la LOPD añade la posibilidad de incluir sistemas de preferencia para que los ciudadanos limiten la recepción de comunicaciones comerciales de forma personalizada o las procedentes de determinadas empresas.
A efectos de considerar cumplida la obligación por parte de las empresas de consulta previa al envío de publicidad, será suficiente la consulta de los sistemas de exclusión publicados por el órgano de control.
¿Qué es y cuándo aplica el interés legítimo?
El interés legítimo es una de las excepciones que existe a la necesidad del consentimiento explícito del interesado. Esta situación permite al responsable tratar datos siempre que, en un ejercicio de ponderación entre el interés legítimo y los derechos fundamentales de la persona, prevalezca el primero sobre los segundos.
Según ha explicado el Grupo Artículo 29, para ser aceptado por la normativa vigente el interés legítimo debe ser concreto, real -y no especulativo- y lícito en relación con el derecho nacional y de la Unión Europea. Esta figura, que aparece recogida en el artículo 6 del Reglamento General de Protección de Datos (RGPD) y que no se incluyó en la anterior LOPD, ofrece ventajas y desventajas respecto a la aplicación que se ha hecho hasta ahora. En el primer apartado habría que apuntar que la evaluación que se realiza antes de poder apelar al interés legítimo sirve para identificar los riesgos y a cumplir con el principio de privacidad desde el diseño. Otra ventaja es que el sistema se flexibiliza y que no obliga a colmar al interesado con múltiples solicitudes de consentimiento innecesarias.
En la columna de desventajas se encuentran la necesidad de justificar el interés legítimo y el deber de demostrarlo. Aunque el RGPD no explica cómo realizar este tipo de justificación, lo más adecuado para una empresa es actuar de manera proactiva y documentar el conjunto del proceso de análisis que se realizó antes del inicio del tratamiento. La responsabilidad de proteger los derechos de los interesados es mayor, puesto que éstos no han asumido los riesgos al consentir. Lo mismo ocurre con el deber de transparencia, dado que se deben explicar cuáles son los intereses legítimos.

References: Artículo 29
 artículo 13
 artículo 12
 artículo 28
 Artículo 29
 artículo 6