Hemos cumplido el primer aniversario de la entrada en vigor del Reglamento General de Protección de Datos (RGPD) y a pesar de que podemos encontrar multitud de opiniones determinando que el balance de su aplicación es, en general, positivo, no podemos dejar de comentar los problemas o deficiencias que a día de hoy siguen existiendo.
Si echamos la vista atrás y nos situamos en mayo de 2018, recordaremos claramente el caos.
Desde el punto de vista del consumidor, literalmente, cientos de mails en los que, con mayor o menor acierto, nos suplicaban un clic. Era un flujo constante: "Necesitamos tu consentimiento", "No queremos que te vayas", "Somos muy conscientes de la importancia de tus datos"... La realidad era que en muchas ocasiones no se debía recoger un nuevo consentimiento pero, claro, antes de informarse correctamente, mejor enviar un sinsentido de correo electrónico porque fulanito y menganito ya lo ha mandado y será mejor enviar lo mismo que no enviar nada (porque hay que cumplir, pero sobre todo, que parezca que se cumple).
Desde el punto de vista profesional, muy parecido. El barco se hunde. "Necesito adecuarme hoy".
"Mañana es 25".
"¿Que requiere un estudio de la empresa y de lo que hacemos con los datos?".
"No, no... lo que queremos es poder seguir enviando correos a nuestra base de datos".
"Y el ‘mail ese', ¿me lo puedes hacer antes de mañana?".
"¿Y los textos de la web?".
Pero el día pasa. El barco no se ha hundido y, a decir verdad, tampoco ya nos corre tanta prisa. De hecho, a algunos se les ha olvidado. Porque una cosa es adecuar una empresa en dos días (lo cual es materialmente imposible) y otra, tener claro que hay que hacerlo y que hay que invertir (tiempo, esfuerzo y dinero).
En cualquier caso, sí que hay algo que ha cambiado y es que hay una mayor concienciación de la sociedad sobre la importancia de cumplir con la normativa de protección de datos. Los ciudadanos son más conscientes del valor de sus datos y sus alarmas saltan frente a un tratamiento inadecuado de los mismos (porque tanto correo y tanta información, oportuna o no, tenía que servir para algo).
Y para muestra un botón: las reclamaciones recibidas por la Agencia Española de Protección de Datos (AEPD) han aumentado aproximadamente en un 33% y los plazos de resolución de las mismas son más breves, gracias a la intervención de los Delegados de Protección de Datos.
Por otro lado, las empresas parecen estar más dispuestas a afrontar un coste mayor por la contratación de profesionales que les acompañen en su proceso de adecuación y, además, están haciendo uso de las diferentes herramientas facilitadas por la AEPD. Desde mayo de 2018, las empresas han notificado 34.193 DPO, han formulado más de 4.500 consultas a través de la Sede Electrónica y la herramienta FACILITA ha sido utilizada en más de 170.000 ocasiones.
Además, la AEPD ha recibido 966 notificaciones de brechas de seguridad. A este respecto, y según lo comentado el pasado 4 de junio en la jornada sobre el primer aniversario del RGPD que tuvo lugar en el Ilustre Colegio de Abogados de Madrid (ICAM) por David Javier Santos, jefe del gabinete jurídico de la AEPD, del total de las notificaciones de brechas de seguridad recibidas, sólo un mínimo porcentaje están dando lugar a procedimientos inspectores por parte de la AEPD. Según manifestó, su intención última es fomentar el respeto a lo establecido por el artículo 33 del RGPD (que establece la obligación del responsable de notificar las brechas de seguridad que, en su caso, se produzcan) y no crear un miedo absoluto por las consecuencias que podrían estar aparejadas a dicha notificación.
En cualquier caso, está claro que cualquier responsable que se encuentre en una situación delicada por haber sufrido una brecha de seguridad, siempre tendrá ese miedo.
"Si notifico y me investigan, pueden salir a la luz otras cositas..."
"Si no notifico y luego sale a la luz, he incumplido y voluntariamente, lo he ocultado...".
BENEVOLENCIA
¿Y en cifras? ¿Qué sanciones se han impuesto? Pues en cierto modo, tenemos que estar agradecidos, porque a pesar de que han existido y existen procedimientos sancionadores abiertos, parece que están tendiendo a ser benevolentes. Las dudas generadas en la interpretación de muchos de los preceptos, y su coexistencia con otras normas afectadas, están contribuyendo a que las diferentes autoridades y grupos de estudio especializados ocupen gran parte de su tiempo en emitir dictámenes, crear guías y determinar criterios que ayuden a esclarecer los puntos negros de la norma.
 
De momento, las sanciones impuestas en Europa no han sido exageradas salvo en casos puntuales como los de Francia (50 millones para Google), Portugal (sanción de 400.000 euros para el Hospital do Barreiro), Polonia, (sanción de 219.000 euros para la empresa de marketing digital Bisnode) Alemania (sanciones de 80.000 euros en el ámbito sanitario y de 20.000 euros para la red social Knuddels).
En España, destacar los 150.000 euros propuestos por la AEPD como sanción a uno de los miembros de La Manada como supuesto responsable de la difusión de uno de los vídeos del caso en internet. Según parece, su abogado lo va a pelear, pero ya le han ofrecido un descuento del 20% por no protestar y pagar prontito. Veremos en qué queda el tema...
Esto no ha hecho más que empezar. Y más pronto que tarde, veremos cómo el número de procedimientos inspectores/sancionadores se incrementan.
Curioso me parece también que siguen existiendo aquellos que oyen campanas y no saben dónde. Hace menos de dos meses, yo misma recibí un correo informándome de la próxima entrada en vigor del RGPD el 25 de mayo de 2018 (sí, sí, incluían la fecha como si estuviera a puntito de llegar). En este caso, está claro que o fue un error informático -por cierto, muy socorrido como respuesta para todo- o que la avalancha de 2018 les pilló fuera de juego, y luego, asesorados o no, se decidieron a hacer el envío de marras. ¡Qué grandes!
Hemos avanzado, sí, pero queda mucho camino pendiente.
Alejandra Camacho es abogada