6 años del Reglamento General de Protección de Datos: el balance

Desde el 25 de mayo de 2018 está en vigor en la Unión Europea el Reglamento General de Protección de Datos (RGPD). El principal objetivo del Reglamento era reforzar la protección de los datos personales de los ciudadanos de la UE, adaptar la legislación a la realidad digital de rápida evolución y armonizar las normas de protección de datos en toda la Unión. Seis años después, ya es posible evaluar qué efectos ha tenido el Reglamento, qué retos han surgido y cuáles son las perspectivas de futuro.

Éxitos del RGPD

Refuerzo de los derechos de los ciudadanos de la UE en materia de tratamiento de datos

El RGPD ha aumentado significativamente la concienciación de los ciudadanos de la UE sobre sus derechos en materia de protección de datos. Derechos importantes como el derecho de acceso, el derecho a la portabilidad de los datos y el derecho a la supresión de los datos personales (también conocido como "derecho al olvido") están ahora firmemente establecidos y se ejercen cada vez más. Como resultado, los ciudadanos de la UE tienen más control sobre sus datos personales y pueden entender mejor cómo se procesan y utilizan.

Mayor transparencia

El RGPD ha obligado a las empresas que operan en la UE a ser más transparentes en el tratamiento de datos personales. Los responsables del tratamiento deben garantizar que los usuarios estén informados detalladamente sobre la finalidad de la recogida de datos, la duración de su almacenamiento y sus derechos como interesados. Esto permite a los usuarios conocer mejor el tratamiento de sus datos personales y tomar decisiones con mayor conocimiento de causa.

Multas elevadas en caso de infracción

Una característica importante del RGPD son las elevadas multas por infracción. Las empresas que infrinjan la normativa pueden ser sancionadas con la mayor de las siguientes cantidades: multas de hasta 20 millones de euros o del 4% de la facturación global anual. Estas estrictas sanciones han contribuido a que las empresas se tomen en serio la protección de datos e intensifiquen sus esfuerzos de cumplimiento. Casos destacados, como las elevadas multas impuestas a Google y Facebook, demuestran que las autoridades de control están dispuestas a adoptar acciones contundentes en caso de infracción del RGPD.

Marco armonizado de protección de datos en la UE

Antes del RGPD, había un gran número de leyes de protección de datos diferentes en la UE, lo que dificultaba el tráfico transfronterizo de datos y la cooperación. El RGPD ha creado un marco jurídico armonizado que lo facilita considerablemente. Las empresas ya no tienen que adaptarse a una multitud de normativas nacionales, sino que pueden basarse en una norma común.

Desafíos del RGPD

Complejidad y costes de aplicación

Muchas pequeñas y medianas empresas están luchando con la complejidad del RGPD y los costes asociados. Los requisitos de documentación y acreditación del cumplimiento son a menudo difíciles de cumplir, especialmente para las empresas que no disponen de los recursos necesarios. Esto ha llevado a muchas empresas a sentirse sobrecargadas y supone un obstáculo para la plena aplicación de la normativa.

Cumplimiento y supervisión

Aunque el RGPD prevé sanciones estrictas, su aplicación no siempre es eficaz. Muchas autoridades nacionales de protección de datos no cuentan con personal o fondos suficientes para perseguir de forma exhaustiva y consecuente todas las infracciones. Esto, a su vez, puede dar lugar a desigualdades en la aplicación de las sanciones en los distintos Estados miembros.

Extensas cláusulas de información

Un problema citado con frecuencia son las extensas cláusulas informativas que las empresas tienen que incluir en "cada oportunidad", pero que nadie lee salvo los abogados especializados en protección de datos. Por desgracia, la supuesta función informativa resulta a veces un tanto ilusoria. Según algunos representantes de empresas, las cláusulas de este tipo no contribuyen en nada a sensibilizar a los afectados. Esto sólo cambia si se produce un litigio o una reclamación del afectado. Entonces sí que se utilizan estos contenidos para exigir responsabilidades al responsable de la protección de datos. Por ello, algunas empresas exigen que el deber del responsable del tratamiento de datos no sea publicar un "muro de texto" a cada oportunidad, sino ofrecer a los interesados un medio sencillo y permanente de acceder a esta información cuando realmente la necesiten o la soliciten.

Mayores multas

Un total de 2.086 infracciones y multas por un total de casi 4.500 millones de euros: este es el récord de seis años de infracciones del RGPD en la UE, según un análisis del bufete de abogados CMS, basado en datos recogidos de la base de datos GDPR Enforcement Tracker.

Se han detectado un total de 885 infracciones en empresas españolas, que fueron sancionadas con multas por un total de 81 millones de euros. La mayor infracción: la multa de 10 millones de euros impuesta a Google en 2022 por ceder datos a terceros sin legitimación y obstaculizar el derecho de supresión. 

El líder de la UE en infracciones del RGPD es, con diferencia, Meta. Esta empresa es responsable de seis de las diez multas más elevadas: cuatro para Meta, una para Facebook y otra para WhatsApp. En 2023, la infracción más grave le costó a Meta 1.200 millones de euros por una base jurídica inadecuada para el tratamiento de datos.

Sin embargo, otras grandes empresas también han sido ya sancionadas: en 2021, Amazon tuvo que pagar 746 millones de euros a la autoridad de protección de datos de Luxemburgo. Ese mismo año, Google fue sancionada dos veces por incumplimiento de los principios generales del tratamiento de datos, con multas por un total de 150 millones 

Con 635 casos desde 2018 y multas por un total de 1.600 millones de euros, la causa más común de multas es utilizar una base jurídica inadecuada para el tratamiento de datos, seguida de cerca por el incumplimiento de los principios generales del tratamiento de datos, con 578 casos y costes totales de 2.000 millones de euros.

Mirando al futuro

Adaptación a las nuevas tecnologías

El rápido desarrollo de las nuevas tecnologías plantea nuevos retos al RGPD. La inteligencia artificial, la ciberseguridad, los macrodatos y el Internet de las cosas plantean cuestiones a las que el RGPD no siempre da una respuesta clara. Para seguir el ritmo del progreso tecnológico, las nuevas directrices de las autoridades de supervisión de protección de datos y los nuevos reglamentos de la UE tendrán que abordar estas cuestiones más de cerca en el futuro.

Cooperación internacional

La cooperación internacional en materia de protección de datos es esencial para que los flujos transfronterizos de datos sean eficaces y, sobre todo, seguros. Por esta razón, la UE busca cada vez más acuerdos con terceros países para promover una norma de protección de datos comparable y facilitar la transferencia transfronteriza de datos, proporcionando al mismo tiempo una mejor protección. Estos acuerdos deben garantizar que los datos personales también estén adecuadamente protegidos fuera de la UE. En julio de 2023, la Comisión Europea adoptó una decisión de adecuación muy esperada para el marco de protección de datos UE-EE.UU. (Marco de Privacidad de Datos UE-EE.UU.). En ella se estipula que Estados Unidos garantizará un nivel adecuado de protección -comparable al de la Unión Europea- para los datos personales transferidos desde la UE a empresas estadounidenses dentro del marco recién definido.

Mayor apoyo a las pequeñas y medianas empresas

Para facilitar a las pequeñas y medianas empresas el cumplimiento del RGPD, sería útil contar con medidas adicionales de apoyo y sensibilización por parte de las autoridades supervisoras de protección de datos y las asociaciones comerciales sectoriales. Además de formación especial, esto también podría incluir el desarrollo de herramientas de cumplimiento rentables y adaptadas a las necesidades de las empresas más pequeñas.

Conclusión

Seis años después de su entrada en vigor, el RGPD ha cambiado definitivamente el panorama de la protección de datos en Europa y fuera de ella. Ha reforzado los derechos de los consumidores, ha contribuido a una mayor transparencia y ha garantizado que las empresas se tomen en serio la protección de datos mediante elevadas sanciones. A pesar de estos éxitos, siguen existiendo desafíos, sobre todo en lo que respecta a la complejidad normativa, la aplicación y la adaptación a las nuevas tecnologías y al mundo digital en constante evolución. Mediante la cooperación internacional y el apoyo específico a las pequeñas y medianas empresas, el RGPD puede seguir siendo una herramienta eficaz para proteger el derecho a los datos en un mundo cada vez más digitalizado.