RGPD: el Reglamento General de Protección de Datos

Los principios del tratamiento

El artículo 5 fija cómo tienen que tratarse los datos personales:

1. art. 5.1.aLicitud, lealtad y transparenciaTratar los datos de forma lícita, leal y transparente para la persona.
2. art. 5.1.bLimitación de la finalidadRecogerlos para fines determinados, explícitos y legítimos, y no usarlos después para otros incompatibles.
3. art. 5.1.cMinimizaciónSolo los datos adecuados, pertinentes y necesarios para esos fines.
4. art. 5.1.dExactitudDatos exactos y, si hace falta, actualizados.
5. art. 5.1.eLimitación del plazo de conservaciónConservarlos de forma que identifiquen a la persona solo el tiempo necesario.
6. art. 5.1.fIntegridad y confidencialidadProtegerlos con medidas técnicas u organizativas apropiadas.
7. art. 5.2Responsabilidad proactivaEl responsable debe cumplir todo lo anterior y ser capaz de demostrarlo.

Cuándo es lícito tratar datos

Solo si se cumple al menos una de las condiciones del artículo 6.1. Son seis: el consentimiento de la persona, un contrato en el que es parte, una obligación legal, intereses vitales, una misión de interés público o un interés legítimo. Salvo el consentimiento, todas exigen que el tratamiento sea necesario para ese fin.

El interés legítimo del responsable o de un tercero solo vale si no prevalecen los derechos de la persona, en particular si es un niño. Y no pueden usarlo las autoridades públicas en el ejercicio de sus funciones.

Obligaciones que más se consultan

• Brechas de seguridad: el responsable tiene que notificarlas a la autoridad de control competente sin dilación indebida y, si es posible, a más tardar 72 horas después de conocerlas. Si se notifica más tarde, hay que explicar el motivo. No hace falta si es improbable que supongan un riesgo para las personas (art. 33).
• Delegado de protección de datos: obligatorio para autoridades y organismos públicos, salvo los tribunales en su función judicial. También cuando la actividad principal exige observar a personas de forma habitual y sistemática a gran escala, o tratar a gran escala datos sensibles o penales (art. 37.1). En España se suman los casos del artículo 34 de la LOPDGDD.
• Informar a la persona: el artículo 13 dice qué hay que contarle al recoger sus datos, y el 14 si no los da ella. Está en qué debe incluir una política de privacidad.

Multas

Hay dos escalas según el artículo que se incumple: hasta 10 millones de euros o el 2 % (art. 83.4) y hasta 20 millones o el 4 % (art. 83.5). En las empresas se toma la cifra mayor. En España, las administraciones públicas no reciben multa (art. 77 LOPDGDD). El detalle está en multas por protección de datos en España.