¿Qué es el RGPD?

RGPD: definición y ámbito de aplicación

El Reglamento General de Protección de Datos se aplica directamente en todos los Estados miembros de la UE y en Alemania se complementa con la Ley Federal de Protección de Datos (BDSG). Afecta a cualquier tratamiento de datos personales, es decir, de toda información referida a una persona identificable: desde el nombre y el correo electrónico hasta la dirección IP, las fotos y los números de cliente. También quedan incluidos los negocios pequeños, las asociaciones y los autónomos.

El principio básico es la prohibición con reserva de autorización: solo se pueden tratar datos si existe una base jurídica. Son bases habituales el consentimiento, la ejecución de un contrato, una obligación legal y el interés legítimo (art. 6 RGPD). Para categorías especiales, como los datos de salud, rigen normas más estrictas. El reglamento también alcanza a proveedores de fuera de la UE que ofrecen bienes o servicios a personas en la UE.

Principios y derechos de los interesados

El art. 5 RGPD recoge los principios: licitud y transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, e integridad y confidencialidad. Las empresas deben poder demostrar su cumplimiento (responsabilidad proactiva). En la práctica, esto significa documentar decisiones, contratos y medidas de protección para poder acreditarlos ante las autoridades de control y ante los afectados.

Los interesados tienen derecho a la información, al acceso, a la rectificación, a la supresión, a la limitación del tratamiento, a la portabilidad y a la oposición. Las solicitudes deben responderse, por regla general, en el plazo de un mes, con posible prórroga en casos justificados. Por ello, toda empresa necesita un procedimiento interno claro sobre quién recibe, revisa y contesta esas solicitudes.

Ejemplo práctico: un instalador de calefacción con web y software en la nube

Un caso típico: un instalador de calefacción con doce empleados tiene una web con formulario de contacto, utiliza una herramienta de boletín, gestiona los datos de clientes en un software en la nube y ha integrado Google Maps. Una revisión muestra que la política de privacidad no menciona la herramienta de boletín, que no existe un contrato de encargado del tratamiento con el proveedor de la nube y que el mapa transmite datos en cuanto se carga la página.

La solución consta de cuatro pasos: registrar los tratamientos, firmar los contratos que faltan, cargar el mapa solo tras el consentimiento y actualizar la política de privacidad. El esfuerzo es asumible, muy inferior al de una reclamación ante la autoridad de control o una advertencia legal. Es importante documentar después estos puntos y volver a revisarlos cuando se incorporen herramientas nuevas.

Obligaciones, sanciones y errores habituales

Las autoridades de control pueden imponer multas de hasta 20 millones de euros o el 4 % del volumen de negocio mundial anual, aplicándose la cifra más alta; para determinadas obligaciones formales rige un marco inferior. A ello se suman posibles reclamaciones de indemnización de los afectados. En la práctica, los procedimientos suelen comenzar con la reclamación de una persona afectada.

• Proveedores con acceso a datos sin contrato de encargado del tratamiento
• Seguimiento, mapas o vídeos que se cargan antes del consentimiento
• Política de privacidad copiada de una plantilla que no encaja con la web
• Sin plazos de supresión: los datos permanecen indefinidamente en el sistema
• Sin procedimiento para solicitudes de acceso y brechas de seguridad (notificación en 72 horas)

Qué deben tener en cuenta las empresas

Empiece con un inventario: qué datos se generan dónde, quién tiene acceso, qué proveedores intervienen. De ahí resultan el registro de actividades de tratamiento, los contratos, el concepto de supresión y la política de privacidad. La protección de datos debe incluirse desde la planificación de cualquier software nuevo (privacidad desde el diseño). Nano Concepts apoya la implementación técnica, por ejemplo en soluciones de consentimiento, hosting en Alemania y conceptos de roles. Este artículo no sustituye el asesoramiento jurídico.