Cuando la comisaria de Justicia de la UE recordó a principios de 2018 que “necesitamos normas modernas para responder a nuevos riesgos” no imaginaba que semanas después una investigación periodística revelaría el escándalo de Cambridge Analytica y Facebook. El debate público y la actividad política que ha generado este caso coincide en el tiempo con la aplicación del Reglamento General de Protección de Datos (RGPD), que a partir del 25 de mayo dispone un nuevo escenario de protección y control de información personal para millones de usuarios europeos.

Efrén Santos, socio-abogado de ICEF Consultores, alude al derecho a la autodeterminación informativa, reconocido en la Carta de Derechos Fundamentales de la UE, como base para entender mejor lo que supone el RGPD: “El objetivo principal de esta regulación es que el usuario conozca quién y cómo está tratando sus datos personales, con la posibilidad de tomar una decisión al respecto”. Todo ello bajo el principio básico de la transparencia, que implica información clara y directa.

”El mayor cambio será que las empresas y administraciones públicas tendrán que pedir consentimiento expreso y específico al ciudadano para cada finalidad o uso de datos”. Eso supone que ya no será válido aplicar el consentimiento tácito, por el que un usuario presuntamente acepta lo que no rechaza de plano, ni tampoco podrán ofrecérsele casillas ya marcadas de asentimiento. El artículo 25 del reglamento describe la privacidad por diseño y defecto como principios obligatorios.

En la práctica, esto pone en cuestión muchos de los registros que hoy forman parte de las bases de datos de diferentes organizaciones, obtenidos bajo tácticas y procesos que ahora ya no son legales. “Si una organización no puede demostrar que tiene el consentimiento expreso del titular para ese fin y uso concreto, es mejor que no los use o que los borre, porque la Agencia Española de Protección de Datos le va a pedir la documentación si le inspecciona”.

Ese es el motivo por el que muchos usuarios han estado recibiendo correos de diferentes servicios, en los que se les solicitaba revalidar mediante algún proceso el permiso para mantener su información personal. Si el usuario no completa ese procedimiento, su registro pasa a ser automáticamente ilegal a partir del 25 de mayo. La consecuencia de retenerlo o usarlo puede ser para la empresa una multa del 4% de la facturación global anual o 20 millones, lo que resulte más gravoso.

La cuantía de esas sanciones preocupa especialmente en aquellas organizaciones que manejan mayor cantidad de datos, que además no son originarias de la Unión Europea. Hasta la fecha, gigantes tecnológicos como Facebook y Google podían eludir cierto control de agencias nacionales de protección de datos o responsabilidad ante tribunales de la UE, pero eso ya no será así.

Además, la suya es una posición más controvertida respecto al principio de “minimización” que promueve la nueva norma. El significado de ese concepto como la intención de que “solamente sean tratados los datos imprescindibles y únicamente sean guardados para la finalidad propia para la cual se tratan, informando sobre el plazo de conservación asociado”.

El RGPD trae como novedad precisamente la posibilidad de limitar por primera vez el tiempo en el que la información de cualquier usuario sea tratada. Esa alternativa completa el esquema de acceso, rectificación, cancelación y oposición que ya venía siendo regulado por la Ley Orgánica de Protección de Datos española (LOPD).

“Tendremos una época de inseguridad jurídica” porque la nueva regulación de datos tendrá que ser interpretada en relación con el nuevo reglamento de privacidad en línea, que habrá de ser aprobado próximamente. Ambos esquemas legales se solaparán en algunos puntos y de la interpretación dependerán aspectos como el tratamiento de las cookies, sobre las que se asienta el modelo de negocio publicitario histórico en internet.

Con la normativa ya en marcha lo que quedará por ver es la actitud de los ciudadanos ante los nuevos derechos que les asisten. El director de operaciones de la Agencia de Seguridad de las Redes y de la Información de la Unión Europea (ENISA) contaba recientemente a La Vanguardia que “los usuarios en Europa se están empezando a despertar y dando cuenta que quieren más seguridad. Cosa que no ocurría en el pasado”.