El 28 de enero se celebra el Día de la Protección de Datos, una fecha que destaca la importancia de salvaguardar la privacidad y seguridad de la información personal en un mundo cada vez más interconectado. En este contexto, el Reglamento General de Protección de Datos (RGPD) de la Unión Europea (UE) desempeña un papel muy importante.
El reglamento, adoptado en 2016 y en vigor desde el 25 de mayo de 2018, representa un avance esencial en la protección de datos al modernizar y actualizar los principios de privacidad que se habían establecido en la Directiva de protección de datos de 1995.
El RGPD es la normativa más rigurosa en cuanto a la privacidad y seguridad de datos que establece los derechos fundamentales de las personas en la era digital y las obligaciones de quienes gestionan los datos. Además, define cómo garantizar el cumplimiento y establece sanciones para las infracciones.
Derechos de las Personas
El RGPD otorga a las personas una serie de derechos que les brindan un mayor control sobre sus datos personales. Estos derechos incluyen:
- Consentimiento claro: Las personas deben otorgar un consentimiento claro antes de que se traten sus datos personales.
- Acceso a datos personales: Las personas tienen el derecho de acceder a sus propios datos personales, lo que garantiza la transparencia en el tratamiento de datos.
- Derechos de rectificación, supresión y olvido: Las personas pueden corregir erratas que haya en sus datos, solicitar su eliminación y tener el derecho al olvido, lo que implica que los datos dejan de procesarse.
- Derecho a oponerse: Las personas pueden oponerse al uso de sus datos personales para elaboración de perfiles y fines de marketing.
- Portabilidad de datos: Las personas tienen el derecho de transferir sus datos personales de un proveedor de servicios a otro.
Las personas pueden presentar una queja ante una autoridad de control y tienen derecho a una revisión judicial efectiva y compensación. Además, el RGPD establece sanciones severas, incluyendo multas de hasta 20 millones de euros o el 4% del volumen de negocios anual total, para quienes infringen las normas de protección de datos.
Las empresas y sus obligaciones
El RGPD establece obligaciones para las empresas y organizaciones que manejan datos personales. Esto incluye la aplicación de medidas de seguridad adecuadas según el riesgo asociado con el tratamiento de datos. Además, deben notificar las violaciones de seguridad de datos personales en caso de incidentes.
El RGPD también impone la obligación a los responsables de proporcionar información transparente y accesible sobre el tratamiento de datos. Todas las autoridades públicas y las empresas que realizan operaciones de tratamiento de datos y deben nombrar un delegado de protección de datos.
El Comité Europeo de Protección de Datos supervisa la aplicación del RGPD y está compuesto por representantes de las veintisiete autoridades de control independientes.
Aumento de las sanciones relacionadas con la infracción del RGPD en 2023
2023 se caracterizó por un aumento significativo en la aplicación de sanciones relacionadas con la violación del RGPD.
Una de las sanciones más destacadas del año recayó en el Banco Bilbao Vizcaya Argentaria (BBVA), que fue multado con una cifra inicial de 1,6 millones de euros por la Agencia Española de Protección de Datos (AEPD). Esta sanción se derivó de un incidente en el que una persona que estaba recibiendo tratamiento médico en una clínica sufrió el robo de su bolso, incluyendo su tarjeta bancaria. A pesar de haber notificado la sustracción, el banco no tomó medidas adecuadas, lo que permitió al criminal suplantar a la persona y acceder a su monedero y tarjeta bancaria. Finalmente, tras el proceso sancionador, el BBVA acogió la opción de pronto pago y pagó una multa reducida de 800.000 euros.
Otra compañía que enfrentó múltiples sanciones durante el año fue Vodafone España. La falta de atención y formación adecuada en sus plantillas llevó a varios problemas de clientes que sufrieron técnicas como el «SIM swapping», en la que ciberdelincuentes duplican las tarjetas SIM de los usuarios. Aunque las multas oscilaron entre 136.000 y 40.000 euros, sumaron un total significativo.
Un caso similar afectó a Digi, una empresa rumana que aspira a convertirse en la cuarta operadora del mercado español. Al igual que Vodafone, Digi enfrentó una serie de multas por un total de 700.000 euros debido a problemas relacionados con el «SIM swapping».
Un caso interesante y destacado en 2023 afectó a la GSMA, la patronal global de las telecomunicaciones. La GSMA recibió una multa de 200.000 euros de la AEPD después de que se descubriera que pedía información personal sensible a los ponentes y periodistas que se registraran para el Mobile World Congress en Barcelona.
