El consentimiento debe ser libre, informado, específico e inequívoco. Se refuerza la exigencia de consentimiento mediante una manifestación inequívoca o una acción positiva, no pudiendo deducirse del silencio o de la inacción. Esto establece la obligación de disponer de sistemas de registro del consentimiento para que sea posible su verificación en caso de producirse una auditoría. 

El consentimiento será explícito para el tratamiento de datos sensibles.

Datos especialmente protegidos o sensibles:

• Ideología
• Religión y creencias
• Afiliación sindical
• Relativos a: creencias, origen racial, salud y/o la vida sexual.
• Relativos a la comisión de infracciones penales o administrativos

Con el nuevo reglamento se añade:

• Datos genéticos (análisis ADN)
• Datos biométricos (huella dactilar o iris ocular)

Se debe explicar la base legal para el tratamiento de datos, el tiempo en que se retendrán esos datos, así como informar a los interesados de que pueden dirigir sus reclamaciones a las autoridades de protección de datos. Toda esta información se debe incluir en las páginas webs o en los canales de comunicación de los que se disponga.

• Derecho a la portabilidad, al olvido i de transparencia.

Las empresas tienen que adoptar medidas que aseguren razonablemente que están en condiciones de cumplir los principios, los derechos y las garantías del nuevo reglamento. Se entiende que actuar tan sólo cuando ya se ha producido una infracción es insuficiente como estrategia, por eso se prevén un conjunto de medidas:

• Protección de datos desde el punto de vista del análisis de riesgo en los tratamientos de datos
• Protección de datos por defecto (desde un inicio)
• Medidas de seguridad
• Mantenimiento de un registro de tratamientos
• Realización de evaluaciones de impacto sobre protección de datos (DPIA)
• Nombramiento de un delegado de protección de datos (DPO)
• Promoción de códigos de conducta y de esquemas de certificación

Se está obligado a realizar evaluaciones de impacto en protección de datos sólo cuando el uso de tecnologías avanzadas, el volumen o el tipo de datos tratados (especialmente protegidos) puedan comportar un riesgo en los derechos y libertades de las personas afectadas.

El Reglamento considera que se tiene que llevar a cabo una DPIA para evaluar el origen, la naturaleza, las particularidades y el riesgo en el que se encuentran expuestos los datos personales. El responsable del tratamiento buscará asesoramiento en el Delegado de Protección de Datos para la realización de la DPIA.

La Agencia Española de Protección de Datos es la encargada de publicar las listas con los tipos de operaciones de tratamiento que requieren de evaluaciones de impacto.

De entre las funciones del DPD, encontramos el control de la correcta implantación de las medidas destinadas a reducir los riesgos y el asesoramiento al responsable del tratamiento de datos de carácter personal.

El RGPD permite que la figura del DPO sea interna o externa de la empresa, pudiéndose contratar el servicio a personas físicas o jurídicas ajenas a la organización.

Esta figura resulta obligatoria en:

• Organizaciones e instituciones públicas.
• Responsables o encargados que tengan entre sus actividades principales las operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala.
• Responsables o encargados que tengan entre sus actividades principales el tratamiento a gran escala de datos sensibles.

Obligación en las empresas de informar si se produce alguna filtración de datos personales en el plazo de 72 horas a la autoridad nacional (Agencia Española de Protección de Datos) y también a los propios afectados.

La utilización del cifrado en la información personal elimina la obligación de notificar a los afectados que ha tenido lugar una brecha en la seguridad, en la que se han visto expuestos sus datos personales.

El Reglamento fortalece el régimen sancionador: las multas pueden llegar hasta el 4% de la facturación global de la empresa o los 20 millones de euros, aplicándose como multa, la mayor cantidad de las dos.

El “One-Stop-Shop” o ventanilla única pretende reducir los obstáculos burocráticos haciendo que todos los trámites que afecten a la Protección de Datos se puedan dirigir a una ventanilla única que resuelva los casos a nivel europeo.

La gestión la realizará la autoridad nacional (desarrollando un papel de intermediaria), teniendo que informar al interesado del resultado final de la reclamación o denuncia.

El responsable debe extremar las precauciones y regularizar los contratos de acuerdo con las exigencias y la documentación precisa.

Derecho de indemnización y de responsabilidad y ampliación a los daños y perjuicios que se hayan podido ocasionar por los encargados del tratamiento, estableciendo una responsabilidad solidaria entre responsable y encargado del tratamiento.

• Seudonimización y cifrado de datos personales.
• Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
• Capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.
• Proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
• Evaluación de los riesgos que presentan los tratamientos de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
• Contratar con encargados del tratamiento que se hayan adherido a certificaciones, mecanismos o códigos de conducta conformes a la protección de datos.
• Notificar a la autoridad de control, en caso que suceda, la violación de la seguridad de los datos personales.