¿Cumple mi sitio web con la RGPD? Nos encargamos por 2,50€ /mes

El Reglamento general de protección de datos (RGPD) es un reglamento dentro del marco de la UE que controla la forma en la que empresas y otras organizaciones tratan datos personales. Es la iniciativa más importante sobre protección de datos en 20 años y tiene implicaciones importantes para cualquier organización en el mundo que sirva a individuos de la Unión Europea.

Para ofrecer a las personas el control sobre cómo se utilizan sus datos y para proteger “los derechos y las libertades fundamentales de las personas físicas”, la legislación establece estrictos requisitos sobre el procedimiento de manejo de datos, transparencia, documentación y consentimiento del usuario.

Toda organización debe mantener un registro y supervisar las actividades del procesamiento de datos personales.

Como responsable del tratamiento de datos, toda organización debe mantener un registro y monitorear las actividades del tratamiento de datos personales. Esto incluye no solo los datos personales tratados dentro de la organización, pero también por terceros – llamados encargados del tratamiento datos.

Los encargados de tratamiento pueden ser desde proveedores de Software-como-Servicio, hasta servicios integrados de terceros, rastreando y perfilando visitantes en la web de la organización.

Tanto los responsables como los encargados del tratamiento de datos, deben ser capaces de informar qué tipo de datos se están tratando, con qué propósito y a qué países y terceros se emiten los datos.

Si los datos se mandan a otras organizaciones o jurisdicciones que se encuentren fuera del alcance del RGPD (EU) o que no se consideren “adecuadas” por el RGPD, el usuario debe ser informado sobre esta situación y sobre los riesgos que esto puede implicar.

Todos los consentimientos deben registrarse como prueba de que se ha obtenido la autorización.

No está permitido el tratamiento de datos personales sensibles sin el consentimiento explícito del individuo. Para datos no sensibles, un consentimiento implícito es suficiente. En cualquier caso, el consentimiento debe ser otorgado libremente con base a información clara y específica tanto de los tipos de datos que se manejarán como de su propósito, y siempre antes de que se lleve a cabo cualquier tratamiento (también conocido como consentimiento previo). Todos los consentimientos deben registrarse como prueba de que se ha obtenido un consentimiento.

Los individuos ahora cuentan con “el derecho de portabilidad de datos “, “el derecho de acceso a datos ” y “el derecho al olvido ” y pueden retirar su consentimiento cuando así lo deseen. En tal caso, el responsable de datos debe eliminar los datos personales del individuo si ya no es necesario para el propósito por el cual fue recogido.

En el caso de una violación de la seguridad de los datos, la empresa debe de notificar a las autoridades de la protección de datos y a las personas afectadas dentro de un plazo de 72 horas.

Además, el RGPD impone una obligación a las autoridades públicas, a organizaciones con más de 250 empleados y a empresas que tratan datos personales sensibles a gran escala, a contratar o capacitar a un delegado de protección de datos (DPD). El DPD debe tomar medidas para asegurar el cumplimiento del RGPD dentro de toda la organización.

En cuanto a Brexit, el gobierno del Reino Unido tiene previsto aplicar una legislación equivalente que también seguirá en gran medida el RGPD.

1. Se prohíbe la opción de «Seguir navegando». Es decir, hasta ahora la mayoría de las páginas web mostraban un mensaje al pie de página en el cual se informaba al usuario que si seguía navegando se daba por hecho que aceptaba todas las cookies de la web. Esta posibilidad, según la AEPD, no es un método válido de consentimiento.
2. También se rechaza que hacer «scroll» en una web sea válido para que se consienta el uso de cookies.
3. Banner de cookies. Un mensaje de cookies sin ofrecer alternativas a elegir al visitante, también queda obsoleto. Este muro de cookies debe permitir administrar las cookies que se están utilizando en el sitio, incluyendo en sus determinadas páginas toda la información correspondiente a la privacidad del usuario y consentimiento de cookies.
4. Las cookies no deben permanecer «premarcadas» salvo las de uso necesario para el funcionamiento del sitio. Podemos distinguir 4 tipos de cookies de manera general:
   • Cookies propias o necesarias: Pueden y deben estar establecidas para el correcto funcionamiento de la web.
   • Cookies de personalización: son aquéllas que permiten al usuario acceder al servicio con algunas características de carácter general predefinidas en función de una serie de criterios en el terminal del usuario como por ejemplo sería el idioma, el tipo de navegador a través del cual accede al servicio, la configuración regional desde donde accede al servicio, etc.
   • Cookies de análisis o de terceros: Cookies de seguimiento de datos del usuario. Como por ejemplo: las que utiliza Google Analytics para recopilar información sobre las visitas a determinadas páginas, etc.
   • Cookies de publicidad: son las que almacenan información del comportamiento de los usuarios obtenida a través de la observación continuada de sus hábitos de navegación, lo que permite desarrollar un perfil específico para mostrar publicidad en función del mismo.

Estás dos últimas deben ser aprobadas por el usuario y éste puede revocar o aceptar el consentimiento cuando cree oportuno.

Si su sitio web ofrece servicios a individuos de la UE– o servicios de terceros como Google y Facebook – y están procesando cualquier tipo de datos personales, necesita obtener un consentimiento previo del visitante.

Para obtener un consentimiento válido, usted necesita describir en un lenguaje sencillo cuál es el propósito y en qué medida se realizará el tratamiento de datos previo a realizar cualquier tratamiento de datos personales.

Esta información debe estar disponible para el visitante en todo momento, p.ej. como parte de la política de privacidad. Usted también debe habilitar una manera sencilla para que el visitante pueda cambiar o retirar su consentimiento.

Todo consentimiento se debe registrar como prueba y todo el rastreo de datos personales se debe documentar, incluyendo a qué países se están transmitiendo los datos.

Consulte la página de la Comisión Europea sobre la Reforma de las normas de protección de datos de la UE (RGPD).

Consulte también su infografía Protección de datos: Mejores normas para las pequeñas empresas.

Un banner de consentimiento de cookies muestra a los usuarios información detallada sobre la configuración de cookies de la página web y permite que los usuarios activen o desactiven dichas cookies, dando o no, por tanto, consentimiento a aquellas cookies que permitirán que procesen sus datos personales.

El banner muestra las cookies agrupadas en diferentes apartados (las cuales podemos activar o desactivar), también muestra las opciones de “ACEPTAR COOKIES”, “RECHAZAR COOKIES” y “MOSTRAR COOKIES”.

La AEPD deja claro que impondrá sanciones económicas a los sitios que incumplan esta nueva normativa. Esta sanción dependerá del nivel de infracción que cometa.

• Infracciones muy graves: entre 150.001 y 600.000 euros
• Infracciones graves: entre 30.001 y 150.000 euros
• Infracciones leves: hasta 30.000 euros.

Las distintas sanciones y su gravedad se describen en el artículo 38 de la LSSI-CE (Ley de Servicios de la Sociedad de la Información y el Comercio Electrónico).