Aunque el término LOPD sigue siendo muy utilizado para hablar de protección de datos, es importante aclarar que la antigua Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, ya no está vigente. Desde 2018, el marco principal de protección de datos en España está formado por el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
Por tanto, cuando hablamos actualmente de cumplir con la LOPD, nos referimos habitualmente al cumplimiento de la normativa vigente en materia de protección de datos, principalmente el RGPD y la LOPDGDD.
¿Qué es la LOPD o Protección de datos? ¿Para qué sirve? ¿Y qué conlleva? Desde DCD, te contamos todo lo que necesitas saber:
Contenidos
- 1 ¿Qué es la LOPD?
- 2 ¿Para qué sirve la LOPD?
- 3 ¿A quién se aplica la LOPD?
- 4 Principales obligaciones de las empresas
- 5 ¿Es obligatorio obtener el consentimiento?
- 6 ¿Qué es una auditoría LOPD?
- 7 ¿Qué sanciones existen por incumplir la normativa?
- 8 ¿Cómo cumplir con la LOPD actualmente?
- 9 LOPD y RGPD: ¿son lo mismo?
¿Qué es la LOPD?
La LOPD es el acrónimo con el que tradicionalmente se identifica la legislación española sobre protección de datos personales. La antigua Ley Orgánica 15/1999 establecía las obligaciones para las organizaciones que trataban información personal y protegía los derechos de las personas respecto al uso de sus datos.
Actualmente, esta norma ha sido sustituida por el RGPD y la LOPDGDD. La LOPDGDD adapta la normativa española al reglamento europeo y desarrolla determinados aspectos de la protección de datos y de los derechos digitales.
Por ello, términos como “qué es la LOPD”, “LOPD qué es” o “ley orgánica de protección de datos de carácter personal” siguen siendo habituales en las búsquedas, aunque jurídicamente la referencia actual debe hacerse al RGPD y a la LOPDGDD.
¿Para qué sirve la LOPD?
La normativa de protección de datos tiene como finalidad garantizar que los datos personales se traten de forma lícita, transparente y segura, protegiendo los derechos y libertades de las personas.
Entre sus principales objetivos se encuentran:
- Garantizar el derecho a la protección de los datos personales.
- Informar a las personas sobre cómo se utilizan sus datos.
- Limitar la recogida y utilización de información a finalidades determinadas.
- Evitar tratamientos innecesarios o desproporcionados.
- Garantizar los derechos de los interesados.
- Proteger los datos frente a pérdidas, accesos no autorizados o brechas de seguridad.
- Exigir a las organizaciones que puedan demostrar su cumplimiento.
La protección de datos no significa que una empresa no pueda utilizar información personal. Significa que debe hacerlo con una base jurídica válida, para una finalidad concreta y aplicando las garantías y medidas de seguridad adecuadas.
¿A quién se aplica la LOPD?
La normativa de protección de datos afecta a las organizaciones que realizan tratamientos de datos personales dentro de su ámbito de aplicación, independientemente de su tamaño o sector. Entre ellas se encuentran:
- Empresas y sociedades.
- Personas autónomas y profesionales.
- Administraciones públicas.
- Asociaciones y fundaciones.
- Centros educativos y sanitarios.
- Entidades financieras y aseguradoras.
- Tiendas online y empresas tecnológicas.
- Organizaciones que gestionan datos de clientes, empleados o proveedores.
En definitiva, cualquier organización que recopile, almacene, consulte, utilice o comunique datos personales debe analizar sus obligaciones en materia de protección de datos.
Principales obligaciones de las empresas
Cumplir con la normativa no consiste únicamente en disponer de una política de privacidad. La organización debe analizar cómo gestiona los datos durante todo su ciclo de vida. Para ello, entre las principales obligaciones se encuentran:
- Identificar y documentar los tratamientos de datos.
- Determinar la base jurídica de cada tratamiento.
- Informar correctamente a las personas afectadas.
- Mantener, cuando corresponda, un Registro de Actividades de Tratamiento (RAT).
- Gestionar los contratos con encargados del tratamiento.
- Aplicar medidas técnicas y organizativas de seguridad.
- Establecer plazos de conservación y procedimientos de supresión.
- Facilitar el ejercicio de los derechos de los interesados.
- Gestionar las brechas de seguridad.
- Realizar evaluaciones de impacto cuando sean necesarias.
- Analizar las transferencias internacionales de datos.
- Designar un Delegado de Protección de Datos cuando sea obligatorio.
¿Es obligatorio obtener el consentimiento?
No siempre. El consentimiento es solo una de las bases jurídicas previstas por el RGPD. Un tratamiento también puede estar legitimado, dependiendo del caso, por la ejecución de un contrato, el cumplimiento de una obligación legal, un interés legítimo u otras bases contempladas en la normativa.
Cuando el tratamiento se basa en el consentimiento, este debe ser libre, informado e inequívoco, y la organización debe poder demostrar que lo obtuvo correctamente.
¿Qué es una auditoría LOPD?
Por su parte, una auditoría LOPD es una revisión sistemática del grado de cumplimiento de una organización en materia de protección de datos. Aunque el término LOPD continúa siendo habitual, actualmente resulta más preciso hablar de auditoría de protección de datos o auditoría de cumplimiento del RGPD y la LOPDGDD.
Este proceso analiza aspectos clave como los tratamientos de datos y el Registro de Actividades de Tratamiento, las bases jurídicas, las políticas de privacidad y el deber de información, la gestión de consentimientos, los contratos con proveedores y encargados del tratamiento, las medidas de seguridad, el ejercicio de derechos, los plazos de conservación, la gestión de brechas de seguridad, las transferencias internacionales y los tratamientos digitales, incluidas las cookies.
El objetivo de una auditoría LOPD es identificar posibles incumplimientos y riesgos, establecer las medidas correctoras necesarias y generar evidencias que permitan a la organización demostrar un adecuado nivel de cumplimiento de la normativa de protección de datos.
¿Qué sanciones existen por incumplir la normativa?
El incumplimiento del RGPD y de la LOPDGDD puede dar lugar a importantes sanciones económicas, además de daños reputacionales y otros riesgos legales y operativos.
El RGPD contempla multas administrativas que, dependiendo de la infracción, pueden alcanzar hasta 20 millones de euros o el 4 % del volumen de negocio anual global del ejercicio financiero anterior, aplicándose la cuantía que resulte superior en los supuestos previstos.
Sin embargo, la sanción concreta depende de factores como la gravedad y duración de la infracción, el número de afectados, la naturaleza de los datos y las medidas adoptadas por la organización.
¿Cómo cumplir con la LOPD actualmente?
La adaptación a la normativa de protección de datos debe entenderse como un proceso continuo, no como la simple elaboración de documentos. De forma general, una organización debería:
- Identificar qué datos personales trata y con qué finalidad.
- Determinar la base jurídica de cada tratamiento.
- Documentar las actividades de tratamiento.
- Informar correctamente a los interesados.
- Revisar proveedores y encargados del tratamiento.
- Implantar medidas de seguridad adecuadas al riesgo.
- Establecer procedimientos para atender los derechos de los interesados.
- Prepararse para gestionar posibles brechas de seguridad.
- Realizar evaluaciones de impacto cuando proceda.
- Revisar periódicamente el cumplimiento mediante auditorías.
LOPD y RGPD: ¿son lo mismo?
Como comentábamos, LOPD y RGPD no atienden a lo mismo. La LOPD 15/1999 era la antigua legislación española de protección de datos y actualmente está derogada. Por su parte, el RGPD es el reglamento europeo que establece el marco general para la protección de datos personales.
La LOPDGDD 3/2018 adapta y complementa el RGPD en España y regula, además, determinados derechos digitales. Por tanto, si una empresa busca actualmente adaptación LOPD, consultoría LOPD o auditoría LOPD, el análisis debe realizarse conforme al RGPD, la LOPDGDD y el resto de normativa aplicable.
Aunque LOPD continúa siendo el término más utilizado para buscar información sobre protección de datos, la legislación ha evolucionado. Actualmente, las empresas deben prestar atención principalmente al RGPD y a la LOPDGDD, analizando sus tratamientos, bases jurídicas, medidas de seguridad, proveedores, derechos de los interesados y posibles riesgos.
Cumplir con la normativa no consiste únicamente en evitar sanciones. Una adecuada gestión de la protección de datos permite reducir riesgos, mejorar la seguridad de la información y reforzar la confianza de clientes, empleados y otros grupos de interés.
¿Necesitas asesoramiento profesional? En DCD estaremos encantados de ayudarte. ¡Contacta con nosotros!
