El Reglamento General de Protección de Datos (RGPD) es un hito significativo en la legislación sobre privacidad y protección de datos personales en la Unión Europea (UE). Aplicable desde el 25 de mayo de 2018, el RGPD estableció un conjunto de normas sólidas para la protección de los datos personales en la Unión Europea. Así, garantiza el derecho a la protección de datos personales y las demás libertades fundamentales de las personas físicas, con independencia de su nacionalidad o lugar de residencia.
El derecho a la protección de datos personales en el RGPD
En este artículo, analizamos el derecho a la protección de datos personales tal como lo establece el RGPD. Para ello, examinamos sus principales principios, los derechos de los interesados y las responsabilidades de las organizaciones. Asimismo, abordamos el impacto de esta normativa en el panorama mundial de la privacidad. Por último, presentamos buenas prácticas para que las empresas garanticen el cumplimiento de las exigencias del RGPD y la confianza de sus clientes y usuarios.
Principios fundamentales del RGPD
El RGPD se basa en varios principios fundamentales que orientan el tratamiento de datos personales. Estos principios son esenciales para garantizar un tratamiento de los datos personales justo, transparente y seguro:
Licitud, lealtad y transparencia: Las organizaciones deben tratar los datos personales de manera lícita, leal y transparente en relación con el interesado. Por eso, deben informar claramente a las personas sobre cómo van a utilizar sus datos y garantizar un tratamiento justo y legal.
Limitación de la finalidad: Las organizaciones solo deben recoger datos con fines determinados, explícitos y legítimos. Por consiguiente, no pueden tratarlos posteriormente de manera incompatible con dichos fines.
Minimización de datos: Las organizaciones solo deben tratar los datos adecuados, pertinentes y necesarios para los fines del tratamiento.
Exactitud: Los datos personales deben ser exactos y, si fuera necesario, estar actualizados. Para ello, las organizaciones deben adoptar todas las medidas razonables para suprimir o rectificar los datos inexactos.
Limitación del plazo de conservación: Las organizaciones solo deben conservar los datos durante el tiempo necesario para los fines del tratamiento. Transcurrido ese plazo, los datos no deben permitir la identificación de los interesados.
Integridad y confidencialidad: Las organizaciones deben tratar los datos personales con una seguridad adecuada. En particular, deben protegerlos contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental.
Derechos de los interesados
El RGPD refuerza los derechos de las personas sobre sus datos personales y les proporciona más control y transparencia. El artículo sobre los derechos de los interesados explica cómo se ejercen y cómo deben responder las organizaciones. En resumen, los más significativos son:
Derecho de acceso: Las personas tienen derecho a saber si la organización trata sus datos personales. En tal caso, también pueden acceder a esos datos y a la información relacionada con el tratamiento.
Derecho de rectificación: Los interesados tienen derecho a obtener la rectificación de los datos personales inexactos que les conciernan. Además, pueden completar los datos incompletos.
Derecho de supresión (derecho al olvido): En determinadas circunstancias, las personas tienen derecho a obtener la supresión de sus datos personales. Es el caso, por ejemplo, de los datos que ya no son necesarios para los fines para los que se recogieron.
Derecho a la limitación del tratamiento: Los interesados pueden solicitar la limitación del tratamiento de sus datos personales en determinadas situaciones. Esto ocurre, en particular, cuando impugnan la exactitud de los datos o cuando el tratamiento es ilícito.
Derecho de oposición: Las personas tienen derecho a oponerse al tratamiento de sus datos personales en determinadas condiciones, incluso con fines de mercadotecnia directa.
Derecho a la portabilidad de los datos: Los interesados tienen derecho a recibir los datos personales que hayan facilitado a una organización en un formato estructurado, de uso común y lectura mecánica. También tienen derecho a transmitir esos datos a otra organización.
Derecho a no ser objeto de decisiones automatizadas: Las personas tienen derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles. Esto se aplica a las decisiones que produzcan efectos jurídicos o que les afecten significativamente.
Obligaciones de las organizaciones
Además de respetar los derechos de los interesados, las organizaciones tienen varias obligaciones en virtud del RGPD:
Designación de un delegado de protección de datos (DPD): En determinadas circunstancias, las organizaciones deben designar un DPD para supervisar el cumplimiento del RGPD.
Evaluaciones de impacto relativas a la protección de datos: Estas evaluaciones son obligatorias cuando es probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas.
Notificación de violaciones de datos: Las organizaciones deben notificar a la autoridad de protección de datos competente las violaciones de datos personales sin dilación indebida. En determinados casos, también deben comunicar la violación a los interesados.
Seguridad de los datos: Las organizaciones deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
Un derecho fundamental
Ante todo, la protección de datos personales no es solo una norma técnica. De hecho, es un derecho fundamental, reconocido en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea. En Portugal, el artículo 35 de la Constitución consagra también, desde 1976, la protección de los ciudadanos frente al uso de la informática. Por su parte, el RGPD concreta este derecho, y la Ley 58/2019 garantiza su ejecución en el ordenamiento jurídico portugués.
Así, esta naturaleza de derecho fundamental tiene consecuencias prácticas. Por ejemplo, cualquier restricción debe estar prevista en la ley y ser necesaria y proporcionada. Además, los tribunales y las autoridades de control interpretan las normas de forma que se garantice una protección efectiva de las personas.
El papel de la CNPD
La Comisión Nacional de Protección de Datos (CNPD) es la autoridad de control en Portugal. En concreto, recibe reclamaciones de los interesados y notificaciones de violaciones de datos, emite orientaciones y puede imponer multas. Según el RGPD, las multas pueden alcanzar los 20 millones de euros o el 4 % del volumen de negocio anual a escala mundial, si esta cuantía es superior. Por otro lado, la CNPD desempeña un importante papel pedagógico, mediante directrices y respuestas a preguntas frecuentes.
La protección de datos en las relaciones laborales
En el ámbito laboral, el tratamiento de los datos de los trabajadores se rige por normas específicas. El artículo 28 de la Ley 58/2019 regula las relaciones laborales y establece, entre otros aspectos, límites al uso de datos biométricos y de sistemas de videovigilancia. Del mismo modo, el Código del Trabajo portugués protege la intimidad de la vida privada del trabajador. Por eso, las organizaciones deben configurar con especial cuidado las plataformas de gestión documental que tratan documentos de trabajadores.
Ejemplo práctico: Solicitar solo lo necesario
Imagine una empresa que exigía una copia del documento de identidad de todos los trabajadores externos. Sin embargo, al revisar el proceso, comprueba que solo necesita el nombre y un número de identificación para el control de accesos. En consecuencia, deja de recoger las copias y pasa a registrar únicamente los datos necesarios. De este modo, reduce el riesgo en caso de violación de datos y cumple el principio de minimización.
Preguntas frecuentes
¿Quién puede presentar una reclamación ante la CNPD?
En principio, cualquier interesado que considere que el tratamiento de sus datos infringe el RGPD, sin perjuicio de que también pueda acudir a los tribunales.
¿Se aplica el RGPD a las pequeñas empresas?
Sí. De hecho, el RGPD se aplica a todas las organizaciones que tratan datos personales, con independencia de su tamaño. No obstante, algunas obligaciones, como el registro de las actividades de tratamiento, tienen excepciones limitadas para las pequeñas empresas.
Conclusión: El derecho a la protección de datos personales
El Reglamento General de Protección de Datos (RGPD) representa un hito significativo en la protección de los datos personales. De hecho, refleja la creciente necesidad de salvaguardar la privacidad de las personas en un contexto digital en constante evolución. Mediante un conjunto amplio de normas y derechos, el RGPD refuerza la autonomía de los ciudadanos sobre sus datos personales. A cambio, impone obligaciones rigurosas a las organizaciones que manejan esos datos.
La aplicación del RGPD ha puesto de relieve la importancia de unas prácticas transparentes y responsables en la recogida, el tratamiento y la conservación de los datos personales. Derechos como el acceso, la rectificación, la supresión y la portabilidad garantizan a las personas el control sobre sus datos. Al mismo tiempo, el consentimiento, cuando es la base jurídica adecuada, debe ser libre, específico, informado e inequívoco.
Para las organizaciones, el cumplimiento del RGPD no es solo una obligación legal, sino también una oportunidad para generar confianza y reputación en el mercado. La adopción de medidas de seguridad sólidas, políticas de privacidad claras y procesos eficaces de gestión de datos es esencial para cumplir las exigencias del reglamento y para proteger los datos de los clientes. Además, el cumplimiento del RGPD puede constituir un factor de diferenciación competitiva, porque posiciona a la empresa como una entidad responsable y comprometida con la privacidad.
En última instancia, el RGPD no solo protege derechos individuales, como el derecho a la protección de datos personales, sino que también establece una referencia mundial en esta materia. La tecnología sigue avanzando y las amenazas a la privacidad son cada vez más complejas. Por eso, la adhesión a los principios del RGPD será crucial para garantizar la seguridad y la confianza en el entorno digital.
Para las organizaciones que gestionan la documentación de trabajadores y contratistas, esto significa integrar la protección de datos en los procesos y en las plataformas que los respaldan, recogiendo solo la información necesaria y manteniéndola segura.
Lea también: RGPD: Impacto en las empresas, retos y oportunidades y Adaptación de las plataformas de gestión documental a las directrices del RGPD.
Para obtener información oficial sobre sus derechos, consulte la Comisión Nacional de Protección de Datos (CNPD).