La nueva ley de protección de datos ya está en vigor, pero nadie la entiende

Tras años de negociaciones y muchos meses de pruebas, este viernes ha comenzado a aplicarse el nuevo reglamento de protección de datos personales (RGPD). Es una regulación compleja pero necesaria que afectará a todas las empresas y ciudadanos que operen en Europa, que persigue sobre todo poner coto a las prácticas de los gigantes de internet.

Las conversaciones entre los agentes continentales se prolongaron durante cuatro años, y tras la aprobación en 2015 se concedió un periodo de dos años a todas las empresas para que la adaptación a las nuevas normas fuera progresiva. 24 meses que, sin embargo, muchos van a querer recuperar ahora, dado que prácticamente nadie está preparado para cumplir con la regulación.

Según un estudio elaborado por el Instituto Ponemon, una firma de análisis de seguridad y gestión de datos, apenas un 40% de las compañías tecnológicas estadounidenses están listas para cumplir con la ley europea. Es un porcentaje muy bajo teniendo en cuenta que han tenido dos años para hacer los preparativos.

Quizás uno de los mayores problemas que tiene la RGPD es que los que tienen que cumplirla no tienen ni idea de cómo hacerlo. Alison Cool, profesor de Antropología y Ciencias de la Información de la Universidad de Colorado, escribía en un artículo en The New York Times que "nadie entiende la RGPD" y afirmaba que "es demasiado compleja", alegando que "cumplirla al 100% es prácticamente imposible".

"Cumplir la RGPD es muy complejo"

En la misma línea están casi todos los expertos, que no son capaces de ponerse de acuerdo en qué dicta la ley exactamente que debe hacerse. Otro de los grandes problemas es que, antes de ser obligatoria, la RGPD puede haberse quedado obsoleta. En los años en los que se han discutido sus diferentes puntos la tecnología ha avanzado mucho, sobre todo en lo que a Big Data y almacenamiento en la nube se refiere.

Los reguladores de cada país tendrán, por lo tanto, un papel decisivo. ¿Qué harán cuando en los primeros dos meses tengan encima de su mesa miles de potenciales demandas por incumplimiento? Seguramente al principio traten con tibieza las infracciones, pero a poco tendrán que aplicar con dureza las normas y las empresas van a protestar.

Es muy probable, por tanto, que una buena parte de los casos acaben en los tribunales, algo que en el caso de España seguro que no le hace ningún bien a unos tribunales que ya están sobrepasados de trabajo. Eso, además, prolongará en el tiempo la aplicación de una ley que es necesaria.

"Cumplir con todo lo que exige el RGPD es muy complejo y varía en función del tipo de datos y los tratamientos que realicemos", explica Maite Sanz de Galdeano, abogada especializada en derecho digital y nuevas tecnologías de Welaw. "A día de hoy ni la Agencia de Protección de Datos ha sido capaz de elaborar una nueva guía de cookies adaptada a lo que exige la norma", cuenta.

En su opinión "todavía hay temas que suscitan gran debate acerca de cómo ha de hacerse cumplir la norma", aunque apunta a que "la nueva LOPD, todavía en tramitación parlamentaria, resuelva estas lagunas".

En la misma línea está María Campos, directora regional de McAfee en España y Portugal, que alega que "cada empresa deberá decidir por sí misma qué debe hacer para cumplir con la norma", algo para lo que primero será necesario "que las organizaciones tenga claro que tipo de información almacenan, gestionan y procesan".

Campos sí es más optimista, y señala que "la mayoría de grandes empresas ya cuentan con un programa que les permita optimizar sus procedimientos para garantizar los datos. Según nuestros informes, son las primeras interesadas: casi el 75% de las que apliquen adecuadamente la ley atraerán nuevos clientes".

El caso Apple

Apple es la mayor cotizada del mundo y su influencia en el mundo de la tecnología es global. Desde el principio se ha intentado meter en el mismo saco a la compañía de Cupertino, pero es cierto que tiene unas notables diferencias respecto a Facebook, Twitter o incluso Amazon: el modelo de negocio.

El dinero que llega a las arcas de la sede californiana de Apple se debe a la venta de productos de hardware y software, y en ningún caso comercian con datos. De hecho, ni siquiera almacenan los datos personales de sus usuarios que no sean estrictamente necesarios para que operen.

Captura de la pestaña de privacidad de Apple.

Aún así, la RGPD es una ley que va a tener tanto peso en el Viejo Continente que incluso Apple ha modificado la forma en la que van a tratar los datos personales de los que utilizan sus productos.

Desde el pasado miércoles han habilitado una nueva pestaña dentro de la web de la compañía en España desde la que conocer cómo usan los datos, como los almacenan y qué sacan de ellos. El usuario puede incluso solicitar su historial de navegación o de interacción con otros usuarios y la compañía se los enviará en un documento compatible con cualquier tipo de dispositivo.

Los que tengan un iPhone, iPad o cualquiera de los dispositivos con una manzana en el reverso sólo que registrarse con su Apple ID y acceder a opciones como la desactivación de la cuenta o la eliminación completa del usuario y todos los datos. Con esta última opción se podrá seguir utilizando un iPhone, pero no se podría acceder a la App Store o a cualquiera de los servicios de Apple.

Cascada de emails

Estos días estamos todos recibiendo una cascada de emails de los diferentes servicios y aplicaciones que utilizamos, que nos piden autorización para seguir almacenando y gestionando nuestros datos personales. Es difícil entenderlos y, sobre todo, distinguir unos de otros.

"Hay que diferenciar los emails puramente informativo, los que únicamente dicen que han cambiado su política de privacidad para adecuarse a las nuevas normas, que los que nos solicitan un permiso o un consentimiento", explica Maite Sanz de Galdeano.

Existe seis casos en los que se puede llevar a cabo el tratamiento de datos y, como resume esta experta, "una de ellas es el consentimiento del interesa". Las otras son para la ejecución de un contrato, para proteger intereses vitales, por una obligación legal, por el interés público o por los intereses legítimos de una empresa. "Las compañías se pueden acoger a cualquiera de las bases legales, y en algunas de ellas no es necesario pedirnos el consentimiento, como es el caso de la ejecución de un contrato", dice.

Sanz de Galdeano señala también que hay que tener cuidado con estos envíos, ya que "aprovechando la circunstancia y bajo la apariencia de ser cumplidores, las empresas mandan publicidad de marca de manera ilícita".