El consentimiento necesario en la ley de proteccion de datos. Abogado startups barcelona. Gestoría startups barcelona. Asesoria startups barcelona. Consultoria startups barcelona.

El pasado día 2 de marzo de 2017 la Information Comissioner’ Office de Reino Unido, organismo equivalente a la Agencia de Protección de Datos Española, publicó una guía de novedades relativas al nuevo Reglamento General de Protección de datos, en especial, las modificaciones relativas al consentimiento que prestan los usuarios.

Esta breve guía que puedes descargar aquí, explica en términos muy claros y concisos, las novedades más importantes sobre el tema.

En resumen, los puntos más importantes y que merecen especial atención son los siguientes:

• Cambios clave a implementar en la prestación del consentimiento.
• ¿Debo  recabar todos mis consentimientos de nuevo?
• Pros y contras del consentimiento como base jurídica del tratamiento.
• Casos en los que “no es apropiado” solicitar el consentimiento.
• Documentación del consentimiento.
• Caducidad del consentimiento.

 

Se crea un estándar más exigente para el consentimiento en protección de datos

Uno de los pilares del “privacy by design” es atribuir al usuario por defecto, el control sobre sus propios datos. En definitiva la «privacidad desde el diseño» pretende generalizar un nuevo paradigma devolviendo al usuario el control sobre su privacidad, restaurando su confianza en las empresas privadas e instituciones públicas que tratan sus datos. Al menos en aquellas que implementen el estándar.

El reglamento ha dejado atrás conceptos como el consentimiento presunto, el consentimiento «ómnibus» para distintos tratamientos de datos, las infinitas páginas de términos y condiciones y los farragoroso procedimiento para revocar el consentimiento ya prestado.

A partir de ahora el consentimiento deberá ser:

• Separado: el consentimiento debe otorgarse de forma separada del resto de términos y condiciones
• Inequívoco y afirmativo: Exigirá una conducta activa. Se prohiben las casillas de «No acepto» sin marcar y las casillas premarcadas autorizando el tratamiento.
• Granular: con el nuevo Reglamento Europeo de protección de datos, será necesario que el interesado o titular de datos, entienda de verdad las consecuencias de su consentimiento.
• Nominativo: será necesario identificar a la organización responsable e igualmente a los terceros cesionarios de los datos.
• Demostrable y documentado: Es preciso poder acreditar a posteriori quién consintió, cuándo y cómo lo hizo y de qué se le informó.
• Revocable: Será igual de fácil prestar el consentimiento que revocarlo.

El premio para las organizaciones que dispongan sus procedimientos de forma responsable, transparente y adecuada al nuevo estándar será doble: la fidelización del usuario preocupado por la privacidad de sus datos personales y evitar posibles sanciones millonarias.

¿Tendré que volver a recabar todos mis consentimientos de nuevo?

De acuerdo con la Guía de la Information Comissioner’ Office, las organizaciones NO necesitarán recabar nuevamente el consentimiento de cada uno de los titulares de los datos tratados siempre que:

• El consentimiento se hubiera obtenido en su momento de acuerdo con los actuales términos del nuevo reglamento y
• Todo ello esté debidamente documentado.

La guía de la Agencia Española de Protección de Datos sugiere expresamente, en cambio, reconducir la base de legitimación del tratamiento por la vía del interés legítimo, allí donde sea posible.

Ventajas y desventajas del consentimiento como base jurídica de tratamiento

Pese a todo, el consentimiento no es la única base jurídica que puede legitimar el tratamiento de datos personales. Y aunque se exige que sea inequívoco, no tiene que ser expreso o explícito en todos los casos.

Concretamente, el consentimiento debe ser explícito en las siguientes situaciones:

• Para el tratamiento de categorías especiales de datos (los datos más sensibles, como ideología, orientación sexual, pertenencia a una etnia, datos de salud, datos biométricos…)
• Elaboración de perfiles o la adopción de decisiones automatizadas
• Transferencias internacionales de datos
• El tratamiento de datos personales cuyo uso hubiera sido previamente restringido.
• Usos relacionados con el marketing directo

Tres casos en los que el consentimiento no es apropiado

Cuando resulta difícil cumplir con todos los requisitos establecidos para la obtención del consentimiento y poder iniciar el tratamiento de los datos, lo normal es que exista otra base jurídica más apropiada.

Por ello, de manera acertada, la Information Comissioner’ Office indica los siguientes casos:

• Cuando el tratamiento de datos se vaya a producir de todas formas, aunque el titular decida no prestar su consentimiento. En este caso la solicitud de consentimiento podría entenderse como engañosa para el titular, a quien se le ofrece una “ilusión de control”.
• Cuando se solicita el consentimiento como condición previa al servicio que se presta. En este caso, se dice que si el tratamiento no puede basarse en un interés legítimo, aunque se preste el consentimiento, éste seguramente será inválido, al no haberse prestado con plena libertad.
• Cuando quien lo solicita, se encuentra en posición de predominio sobre el titular de los datos. (administraciones públicas respecto de los administrados, y los empleadores respecto de sus empleados).

La guía de la Information Comissioner’ Office reitera un concepto básico: el consentimiento implica control, libertad por parte del titular. Si el titular no tiene realmente libertad para elegir, o bien si la prestación del servicio exige -sin más posibilidades- el consentimiento para un tratamiento no relacionado con ese servicio, este consentimiento no es libre, ni válido.

Documentación del consentimiento

El nuevo reglamento ha instaurado el concepto de “responsabilidad proactiva”, es decir, se exige un estudio pormenorizado de la problemática concreta, los riesgos, las medidas disponibles para mitigar esos riesgos, y demostrar que has escogido e implementado las medidas que consideras más adecuadas (justificando el por qué).

Además, no es suficiente con recabar el consentimiento inequívoco y , cuando proceda, expreso. El reglamento exige ahora documentar cuando menos, los siguientes extremos:

• ¿Quién consintió? Identificar al titular de datos por su nombre o por otro identificador.
• ¿Cuándo consintió? Copia del documento firmado y fechado.
• ¿Qué información recibió el particular? Copia firmada de la política de privacidad, y demás avisos legales vigentes en aquel momento. Grabación del consentimiento verbal así como de la información suministrada al titular de datos.
• ¿Cómo se consintió? 
• ¿Se ha revocado o no el consentimiento?¿Cuándo?

 

¿Cuánto dura la validez del consentimiento?

La duración, la vida del consentimiento depende de su objeto (del tratamiento autorizado) así como del contexto, de las circunstancias en las que se ha prestado (el quién, cómo, cuándo y ante qué información que decíamos antes).

Un ejemplo muy interesante es el consentimiento prestado por los padres o tutores para el uso de redes sociales, en nombre del menor de edad. En ese caso, el consentimiento caduca cuando el menor adquiere la mayoría de edad.

El consentimiento necesario en la ley de proteccion de datos. Abogado startups barcelona. Gestoría startups barcelona. Asesoria startups barcelona. Consultoria startups barcelona.