La evolución del concepto de privacidad y la praxis para salvaguardarla con el desarrollo de la Era digital trae cola. Pero es un tema tan delicado como confuso para el gran público y para el mundo empresarial. Por eso acudimos al VIII Foro de la Privacidad organizado por el Data Privacy Institute (DPI), perteneciente a ISMS Forum Spain y traemos respuestas.
Thomas Zerdick: las implicaciones del nuevo Reglamento de Protección de Datos
El foro comenzó con la conferencia de Thomas Zerdick, subdirector de la Unidad de Protección de Datos de la Comisión Europea, que recordó que en su participación en el anterior foro realizó una serie de previsiones que han acabado cumpliéndose. En su ponencia de este año, que versó sobre el desarrollo del nuevo Reglamento Europeo de Protección de Datos, sobre todo hizo hincapié en los nuevos requisitos que se han de cumplir en el cambiante entorno digital. Y es que este nuevo texto, que lleva redactándose desde hace cuatro años, presumiblemente se hará público a mediados de 2016. De hecho el reglamento ya está terminado, pero faltan las traducciones a los distintos idiomas usados en Europa, lo que está alargando el proceso. Una vez publicado, y esto es lo importante, el mundo empresarial tendrá dos años de margen para adoptar las medidas oportunas para garantizar la privacidad de la información que tratan. Si bien el reglamento no parte de cero, sí que introduce algunos cambios que afectan al tratamiento de datos, como pueden ser: el deber de informar (por ejemplo decir al usuario dónde van a procesarse sus datos, si en la Unión Europea o fuera), en lo referente al sistema de notificaciones de fuga de información, la rendición de cuentas, las evaluaciones de impacto de la privacidad (básicamente el análisis de riesgos en que se incurre con el tratamiento de información) o en que a AEPD tiene la misma autoridad que las demás autoridades supervisoras en Europa.
En definitiva, Zerdick vino a concluir que la puesta en práctica de este nuevo Reglamento no supone una revolución, sino más bien una evolución necesaria enfocada a unificar criterios y prácticas en la protección de datos.
Jacob Kohnstamm: los 7 cambios a tener en cuenta del reglamento de protección de datos
En esta ponencia, el director de la Agencia Holandesa de Protección de Datos y ex presidente del Grupo del Artículo 29 del reglamento, continuó con el análisis que había comenzado Zerdick, profundizando más en las transferencias internacionales de datos. Además de la mención a la Directiva 9546, Kohnstamm explicó los siete cambios más relevantes en el reglamento, a saber: 
-
La Contabilidad
-
La Evaluación del Impacto de la Protección de Datos
-
El Data Protection Officer
-
Las notificaciones de fuga de información
-
El poder sancionador administrativo
-
El Class Action (por el que se regula el derecho del usuario que infringe algún apartado de la protección de datos)
-
El One Stop Shop, la ventanilla única que permite a las empresas lidiar con solo una de las autoridades en protección de datos en lugar de todas las que hay ahora mismo*
* Veremos si esto se realiza de manera funcional porque entre los propios profesionales caben dudas al respecto.
Para terminar, Kohnstamm habló de la ilegalidad determinada por sentencia del acuerdo Safe Harbor para la transmisión de datos fuera del Espacio Económico Europeo desde octubre de 2015, habiéndose llegado a un nuevo pacto en febrero, que verá la luz en abril de 2016. El nuevo acuerdo que reemplaza a Safe Harbor se denomina EU-US Privacy Shield.
Rafael García Gozalo: flexibilidad de interpretación y sanciones del reglamento
El Jefe del Departamento Internacional de la Agencia Española de Protección de Datos (AEPD) aportó la visión del reglamento de la principal autoridad española en el campo de la protección de datos. Destacó la confluencia de criterios para unificar prácticas. Admitió también cierta flexibilidad a la hora de interpretar el reglamento y recordó que el hecho de “no incumplir” las condiciones de aceptación de la política de datos por los usuarios (de forma clara e unívoca) puede no eximir a la empresa de una sanción si no se ha actuado correctamente. 
El artículo 4 del nuevo reglamento presenta un análisis de las interrelaciones entre los distintos ámbitos de actuación:
- El modo en que el control de la información personal contribuye al poder de mercado en la economía digital y las repercusiones en materia de protección de datos.
- Los riesgos que suponen para el consumidor las concentraciones y el abuso de la posición dominante, situaciones en las que las empresas tratan ingentes cantidades de datos personales.
- El modo en que puede alentarse el crecimiento de un mercado vibrante para los servicios de protección del derecho a la intimidad, mediante el refuerzo de la elección de los consumidores con conocimiento de causa.
Ante la solución de la “ventanilla única”, Rafael realizó un llamamiento para llegar a un planteamiento, una ejecución y una cooperación comunes entre las autoridades de control a escala nacional, internacional y de la UE. Mientras que en su respuesta a una pregunta de uno de los más de 400 asistentes al evento, Rafael explicó que siguiendo el artículo 18.4, la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.
Mesa redonda: Del checkbox a la gestión de riesgos
Varias personalidades destacadas del mundo de la privacidad debatieron sobre el presente y el futuro de la seguridad de la información y la privacidad. Destacaron que “no solo debemos tener en cuenta la integridad, confidencialidad y disponibilidad, sino también el impacto y la probabilidad” (para profundizar, ver el artículo 30 del nuevo reglamento, de seguridad en el tratamiento de datos) y tener en cuenta las distintas legislaciones que afectan al tratamiento de información (LPI, LSSI, RLOPD…).
Por otra parte, en general se está de acuerdo en que la orientación de la nueva norma, enfocada a los riesgos, es un acierto, suponiendo esta adaptación más fácil para las empresas que cuentan con un Sistema de Gestión de Seguridad de la Información o con la certificación UNE ISO/IEC 27001, como Normadat. Este enfoque a riesgos presupone que hay ciberataques que son inevitables, pero sí implementa medidas para mitigar los efectos que puedan tener. Aquí una guía de la AEPD para la evaluación del impacto de la protección (PIA).
Estas nuevas condiciones nos hacen presuponer que con este escenario, la reputación y la confianza se valorarán cada vez más, llegando a solicitar las empresas a sus proveedores de servicios o de BPO determinadas certificaciones de cumplimiento de protección de datos, como la susodicha ISO 27001.
Eduardo Ustarán: El impacto del nuevo reglamento en la economía digital.
El VIII Foro de la Privacidad contó con Eduardo, especializado en derecho internacional y autor de “The future of privacy”, para concluir la jornada. Con sus propias palabras vino a decir que la clave para que el nuevo reglamento funcione correctamente es que este se adapte a la economía digital y no al revés. Por tanto, el impacto de la norma va a ser grande y desconcertante incluso, pero puede ser muy positivo si se encauza bien; de hecho asegura que aumentará el nivel de sensibilización y llevará al desarrollo de prácticas más responsables.
Las fuentes para conocer los entresijos de la transferencia internacional de datos son:
-Privacy shield
-BCR. Normas corporativas unilaterales
-Estructuras contractuales
-Certificaciones y códigos
¡Demos la bienvenida a la globalización de la privacidad!
