Protección de datos: así cambió del modelo continental al anglosajón con el RGPD y la LOPDGDD
En 2017, la normativa de protección de datos vivía un momento de especial atención mediática. Ataques cibernéticos a grandes corporaciones -como el ransomware que afectó a Telefónica y a otras compañías- y episodios de gran repercusión, como la filtración de los datos personales de más de 30 millones de usuarios de la web «Ashley Madison», habían puesto en primer plano la necesidad de reforzar la regulación europea en esta materia.
En aquel contexto se anunciaba la entrada en vigor del Reglamento General de Protección de Datos (RGPD), prevista para mayo de 2018. Con la perspectiva que dan los años transcurridos desde entonces, podemos confirmar que aquel cambio en la normativa de protección de datos se produjo tal y como se anticipaba, y analizar qué de lo que se preveía en aquel momento se cumplió finalmente.
El cambio de modelo en la normativa de protección de datos: del sistema continental al anglosajón
El RGPD supuso, efectivamente, la asimilación de conceptos y estructuras propios del sistema anglosajón, en detrimento del modelo continental que había regido hasta entonces la protección de datos en España. Instituciones como la tipicidad cerrada de las conductas y sus sanciones dieron paso a fórmulas de diligencia debida y gestión responsable (accountability), en línea con la cultura de cumplimiento normativo de origen anglosajón.
Tal y como se anticipaba, al tratarse de un Reglamento europeo, sus disposiciones resultaron de aplicación directa en toda la Unión, sin necesidad de transposición, salvo en aquellos aspectos que el propio RGPD permitía desarrollar a cada Estado miembro. Para completar esos aspectos, el legislador español aprobó la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que entró en vigor el 7 de diciembre de 2018 y que, en efecto, ha venido funcionando desde entonces como complemento del Reglamento europeo, ocupándose de aquellas cuestiones que el RGPD reserva a los Estados miembros.
Las novedades que trajo la nueva normativa de protección de datos
Ámbito de aplicación extraterritorial. Se confirmó tal y como se anticipaba: el artículo 3 del RGPD extiende su aplicación al tratamiento de datos de personas que se encuentren en la Unión Europea, con independencia de que el responsable o encargado del tratamiento esté establecido fuera de ella.
Legitimación para el tratamiento de los datos. El consentimiento tácito desapareció como base legitimadora válida. El RGPD exige un consentimiento inequívoco, mediante una declaración o una clara acción afirmativa, debiendo quedar reflejada expresamente la base jurídica y la finalidad concreta del tratamiento. El interés legítimo del responsable se consolidó, además, como una de las bases de legitimación habituales para determinados tratamientos.
Derechos de los interesados. El catálogo tradicional de derechos ARCO (acceso, rectificación, cancelación y oposición) se amplió efectivamente con el derecho de supresión (el conocido «derecho al olvido»), el derecho a la portabilidad de los datos (con excepciones, como el expediente académico o la historia clínica) y el derecho a la limitación del tratamiento. Hoy en día ya no se habla solo de derechos «ARCO», sino del catálogo completo de derechos reconocido por el RGPD y la LOPDGDD.
El fichero de datos y el registro ante la Agencia. Desapareció, en efecto, la obligación de inscribir los ficheros de datos en el registro de la Agencia Española de Protección de Datos (AEPD). En su lugar, se reforzó el concepto de «tratamiento» y se introdujo la obligación de mantener, internamente, un Registro de Actividades de Tratamiento (RAT), como parte del principio de responsabilidad proactiva.
Medidas de seguridad. Las categorías de nivel de seguridad alto, medio y básico, propias del antiguo Reglamento de desarrollo de la LOPD de 1999, desaparecieron efectivamente. Fueron sustituidas por un enfoque basado en el riesgo, en el que cada responsable debe evaluar la naturaleza, el alcance y la sensibilidad de los datos tratados, así como el volumen del tratamiento, para determinar las medidas de seguridad adecuadas, de forma similar a como opera la evaluación de riesgos en el ámbito del compliance penal.
Régimen sancionador. El sistema pasó, en efecto, de un catálogo cerrado de infracciones tipificadas a un análisis casuístico de cada supuesto. El artículo 83 del RGPD establece los criterios que deben ponderarse caso por caso para graduar la sanción (naturaleza, gravedad y duración de la infracción, carácter intencionado o negligente, medidas adoptadas para paliar el daño, entre otros), y elevó de forma muy significativa los importes máximos de las sanciones, que pueden alcanzar los 20 millones de euros o el 4 % de la facturación anual global de la empresa, si esta cifra fuera superior.
La figura del Delegado en la normativa de Protección de Datos (DPO). Se consolidó, tal y como se anticipaba, como una figura de gran relevancia dentro de las organizaciones obligadas a designarlo, con un perfil marcadamente directivo, encargado de supervisar el cumplimiento de la nueva normativa de protección de datos basada en la responsabilidad proactiva y no ya en normas tasadas. La AEPD mantiene, desde entonces, un registro público de delegados de protección de datos comunicados por los responsables y encargados del tratamiento.
¿Se resolvió la contradicción sobre los ficheros de morosos?
El artículo original de 2017 advertía de una posible contradicción entre el proyecto de ley española y el RGPD en relación con los ficheros de solvencia patrimonial (los conocidos como «ficheros de morosos»), al entender que el anteproyecto solo reconocía el interés legítimo como título habilitante para el tratamiento de datos de «morosos», pero no respecto de bases de datos de «cumplidores».
Finalmente, la LOPDGDD reguló esta materia en su artículo 20, reconociendo la legitimidad de los ficheros de solvencia patrimonial y crédito sobre la base del interés legítimo del responsable, siempre que se cumplan determinados requisitos: que la deuda sea cierta, vencida y exigible, que no haya sido objeto de reclamación administrativa o judicial, y que se haya practicado un requerimiento previo de pago al deudor, entre otras condiciones. El Tribunal Supremo ha ido perfilando estos requisitos en numerosas sentencias posteriores, reforzando las garantías de quienes son incluidos indebidamente en este tipo de ficheros.
Un modelo pensado, sobre todo, para las grandes corporaciones
La reflexión que apuntaba el artículo original -que el nuevo modelo, basado en planes de gestión responsable y evaluaciones de riesgo, estaba pensado sobre todo para grandes corporaciones- se ha visto matizada con el paso de los años. Es cierto que la implantación de un modelo de accountability exige recursos y estructura, lo que en la práctica ha supuesto un mayor esfuerzo de adaptación para pymes y autónomos. Pero el RGPD y la LOPDGDD también han contemplado mecanismos de proporcionalidad en función del tamaño y la actividad de cada organización, y la propia AEPD ha desarrollado a lo largo de estos años guías y herramientas específicamente dirigidas a pequeñas y medianas empresas para facilitar su cumplimiento.
En definitiva, el Plan de Gestión de Responsable de Protección de Datos (con su evaluación de riesgos y la consiguiente planificación de medidas para evitarlos) y el Delegado (garante de la eficacia de dicho plan) se han consolidado, en efecto, como las dos figuras clave sobre las que pivota el sistema instaurado por la actual normativa de protección de datos.
Por último, cabe recordar que el propio artículo original señalaba, con cierta ironía, que el modelo anglosajón que inspiraba el nuevo Reglamento europeo procedía de un país -el Reino Unido- que paradójicamente se disponía a salir de la Unión Europea. Aquella salida, el Brexit, se produjo finalmente el 31 de enero de 2020, con un periodo transitorio que finalizó el 31 de diciembre de ese mismo año. Desde entonces, el Reino Unido cuenta con su propia normativa de protección de datos (el UK GDPR), inspirado en el RGPD europeo, y la Unión Europea le ha reconocido una decisión de adecuación que permite la transferencia de datos personales entre ambos territorios.
¿Qué cambió la normativa de protección de datos con la llegada del RGPD?
La normativa de protección de datos pasó de un modelo continental, basado en infracciones tipificadas de forma cerrada, a un modelo anglosajón basado en la responsabilidad proactiva (accountability) y el análisis caso por caso.
¿Qué ley completa en España la normativa de protección de datos europea?
La Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), que desarrolla y completa el RGPD en aquellos aspectos que el propio Reglamento reserva a los Estados miembros.
¿La normativa de protección de datos sigue exigiendo inscribir los ficheros ante la AEPD?
No. Esa obligación desapareció; en su lugar, cada responsable debe mantener internamente un Registro de Actividades de Tratamiento (RAT).
¿Qué papel tiene el Delegado de Protección de Datos en la normativa vigente?
Es una figura clave con perfil directivo en la normativa de protección de datos, encargada de supervisar el cumplimiento del modelo de responsabilidad proactiva que exige la normativa de protección de datos actual.
¿Cómo regula la normativa de protección de datos los ficheros de morosos?
A través del artículo 20 de la LOPDGDD, que reconoce su legitimidad sobre la base del interés legítimo, siempre que la deuda sea cierta, vencida, exigible y se haya practicado un requerimiento previo de pago.
¿Necesita asesoramiento? Acceda a nuestras áreas relacionadas con la normativa de protección de datos y el cumplimiento normativo:
