A la espera del nuevo acuerdo de la UE sobre DATOS de CARÁCTER PERSONAL
Se requerirá autorización paterna para que menores de 13 años o de 16, según el Estado miembro, accedan a las redes sociales.
Bruselas cambia las normas de juego en la protección de datos. Los atentados de París desbloquean una ley atascada desde hace cuatro años.
De un mal como fueron los atentados de París del pasado 13 de noviembre han salido algunos bienes, entre otros el desbloqueo de varios paquetes legislativos relacionados con la seguridad y la protección de datos personales. Este jueves 17 de diciembre la Comisión de Libertades del Parlamento Europeo ha aprobado el acuerdo al que han llegado las tres principales instituciones europeas para desbloquear un texto que llevaba cuatro años en danza. Representantes de la Comisión, el Consejo y el propio parlamento habían llegado a un acuerdo en la última fase legislativa, el llamado «triálogo» del que aún no se conocen todos los detalles pero que viene a reformar una legislación que data de los años 90, cuando internet no era más que un balbuceante proyecto.
El eurodiputado del Grupo de los Verdes Jan Philipp Albrecht, que ha liderado la negociación por parte del Parlamento, considera que con esta reforma «se devuelve el control de los datos personales a los ciudadanos y las compañías ya no estarán autorizadas a divulgar las informaciones que han obtenido sin el consentimiento expreso de los afectados». La norma deberá ser transpuesta a la legislación de los 28 estados miembros, con lo que al final del proceso podrían aparecer matices diferentes, si bien lo crucial es que la negociación se ha desbloqueado. Algunas de las medidas que se han aprobado hoy son:
Acceso a redes sociales
Regula el uso por los menores de 16 años
Los diputados deben votar si los menores de 16 años tienen acceso libre a redes sociales como Facebook, Snapchat, Tuenti e Instagram y en qué circunstancias. El texto propone que desde su entrada en vigor se requerirá la autorización expresa de los padres para el uso de redes sociales por parte de sus hijos, si son niños y adolescentes. Cada país definirá la edad para la cual ese requisito se aplica. Unos países fijan ese listón en 13 años y otros en 16 años. La propuesta inicial de la Comisión Europea de elevarla por encima de esta edad, no prosperó en primera instancia, de modo que no tendrá recorrido en el reglamento de protección de datos que se vote hoy. Si se aprueba la medida prohibitiva, el Pleno de la Eurocámara lo revalidará a principios del próximo año. Y a partir de ese momento los Estados miembros, como España, tendrían dos años para adaptar su legislación a la nueva directiva comunitaria.
Multa por violar la privacidad
Hasta el 4% del ingreso de la empresa
Lo primero que fija el texto son sanciones. Las multas por violar las reglas de esta norma de protección de datos pueden llegar hasta el 4 por ciento de la cifra de negocios (o ingresos) de la compañía que sea condenada por vulnerar la norma. En el caso de las grandes compañías, como Google, eso puede llegar a cifras astronómicas.
Responsabilidad empresarial
Afecta a todas las que usen datos de terceros
La responsabilidad se amplía a todas las compañías que usan datos de terceras personas, lo que implica que afecta también a los modelos de negocio basados en la nube.
Derecho al olvido
El usuario pedirá borrar su rastro digital
Se clarifica el llamado «derecho al olvido» que ya había sido establecido en una legislación diferente y que se convierte en un derecho al que cualquier persona puede acogerse. Los medios de comunicación pueden estar exentos de esta obligación en determinadas circunstancias. La formulación de la ley establece que todo el mundo puede pedir que se borren sus datos «siempre que no haya bases legítimas para retenerlos».
Transferencia de datos
Entre compañías
Se establece la capacidad absoluta de trasladar sus datos de una compañía a otra. Todos los contactos personales que Google acumula en la cuenta de cada usuario deberán poder ser traspasados a otra compañía que pueda ofrecer un servicio similar.
Comunicación al Estado
Se informará de cualquier violación
Las empresas deben comunicar a las autoridades nacionales competentes «lo antes posible» cualquier violación de las reglas sobre protección de datos.
Cambios en las plantillas
Cada empresa nombrará un responsable
La directiva propone también cierta renovación en las plantillas de las entidades empresariales, ya que cada una de ella que trabaje con datos de los usuarios debe nombrar a un responsable específico de protección de datos dentro de sus organigramas.
Trámites preceptivos
Entrada en vigor de una ley atascada
La legislación se ha tramitado a través del procedimiento de codecisión, en el que intervienen las tres instituciones. La Comisión lanzó la iniciativa, que en este caso se hizo en tiempos del segundo equipo de José Manuyel Barroso. La entonces comisaria de la Sociedad de la Información, la luxemburguesa Viviane Reding, es ahora eurodiputada y ha sido de las primeras en felicitarse por haber alcanzado el acuerdo. La propuesta debe ser aprobada tanto por los países en el seno del Consejo y por el Parlamento europeo. Si no están de acuerdo se establece una negociación, que es donde estaba el trámite después de cuatro años. Una vez apactado, se ratifica primero por el propio Consejo, que lo puede hacer a través de los embajadores permanentes en un trámite administrativo. El Parlamento lo ha de votar en sesión plenaria. Los grupos quieren hacerlo coincidir, a primeros de 2016, con la votación sobre el registro de pasajeros, para cerrar el círculo de esta batalla.
El reto de la privacidad
Tras años de espera, el Reglamento Europeo de Protección de Datos está a punto de ver la luz. Esta es una buena noticia para todos, ya que va a otorgar un marco homogéneo de seguridad jurídica en todo el continente inexistente hasta el momento.
Los principales beneficiados de esta nueva normativa son los ciudadanos europeos puesto que se definen nuevos derechos que se unen a los ya existentes, como son el derecho a la portabilidad de datos –permitirá migrar información de perfiles entre redes sociales o servicios de unternet–, el derecho de supresión –conocido como derecho al olvido–, ya reconocido por el TJUE pero que encuentra así acomodo legislativo, o la mayor protección a los menores –será potestad de cada estado la edad límite entre 13 y 16 años–, al exigir la autorización de padres o tutores para poder utilizar servicios telemáticos, debiendo las empresas establecer mecanismos técnicos para verificación de la edad real de cada usuario.
Esto, por el contrario, redunda en un mayor control y exigencias técnicas y de seguridad, sobre todo de las grandes empresas. Si bien para ellas tener un marco normativo común europeo es una ventaja a la hora de prestar servicios por igual en todo el continente, se introducen medidas adicionales a las que ya venían siendo obligadas como, por ejemplo, la evaluación del impacto en aquellos tratamientos que puedan ser de alto riesgo así como un deber de consulta previa a las agencias, de cara a implementar las medidas adecuadas en cada caso. Se impone, por tanto, la privacidad a medida –privacy by design–, es decir, tener en cuenta el impacto en la privacidad de los usuarios desde el primer momento en que se desarrolla el servicio, de cara a ofrecer siempre garantías de protección de los derechos de los usuarios. Por no hablar de que se amplía el rango sancionador, pudiendo llegar hasta el 4% del volumen de negocio anual de la compañía.
En este periodo transitorio hasta 2018 toca ir adecuando procedimientos y medidas de seguridad, no solo para cumplir con la normativa y no ser sancionado sino para que la privacidad sea un valor diferencial en el servicio a unos usuarios que cada vez demandan mayor seriedad en este ámbito.