La oficina de la Comisión y el Parlamento Europeo en Madrid fue la sede de un evento para conmemorar el primer aniversario de la entrada en vigor del Reglamento Europeo de Protección de Datos (RGPD)  donde participó e l Foro Internacional De Abogados De Empresa (FIDADE). Una norma europea operativa en todos los países aunque Grecia, Portugal y Eslovenia aún no aprobaron leyes nacionales nuevas de privacidad.

En este encuentro, Francisco Fonseca, director de esta oficina en la capital de España y Mar España, directora de la AEPD, hicieron una primera valoración de lo que ha supuesto la entrada en vigor del RGPD, una norma que ha cambiado la forma de ver la privacidad y donde los ciudadanos tienen más control de sus datos personales.

Fonseca recordó que la llegada del RGPD “ ha hecho que Europa cuente con un modelo de privacidad propio, más garantista, respecto del modelo americano. Es clave para el desarrollo de nuestro Mercado Interior” A su juicio el Reglamento funciona bien y deja claro que la privacidad “ es uno de los pilares de nuestras libertades democráticas”.

En su intervención también mostró su satisfacción porque el Tribunal Constitucional en su sentencia de 22 de mayo estableciese que el articulo 58.1 bis de la LOREG que permitia el perfilado de datos personales de ciudadanos haya sido declarado nulo y anticonstitucional tras el recurso interpuesto por el Defensor del Pueblo, a instancia de un grupo de juristas expertos en privacidad españoles.

También apunto que según datos d la UE, 2 de cada 3 europeos habían oído hablar del RGPD y 6 de cada 10 conocían la existencia de los reguladores o autoridades de control en nuestro país. Al mismo tiempo, en este periodo de tiempo se han realizado 400 casos trasfronterizos que han implicados a varias entidades reguladoras sobre supuestas violaciones de la privacidad.

Curiosamente el impacto, por su concepto de extraterritorialidad, está afectando también a empresas que sin tener base física en Europa sí cuentan con intereses o lanzan productos y servicios en la propia UE. También recordó que en América Latina muchos países están utilizando el modelo de RGPD para crear su propio reglamento de protección  de datos. “Tenemos ya unas reglas del juego clara en materia de privacidad y debe ser un elemento clave para nuestro desarrollo económico”, indicó Fonseca

España, un país con más reclamaciones

Por su parte, Mar España, directora de la AEPD,  se mostró satisfecha de la implantación del RGPD en nuestro país. “ Las empresas han hecho un esfuerzo de adaptación a la nueva normativa y deben de seguir en esa línea porque la nueva normativa obliga a una actitud proactiva en materia de privacidad”. El regulador español ha creado la herramienta Facilita para pymes y autónomos y recomendado que las empresas tengan su Delegado de Protección de Datos(DPO).

También recordó la importancia de la protección de datos y privacidad para cualquier sociedad democrática y se congratulo que el Tribunal Constitucional declarase anticonstitucional y nulo el articulo 58.1 bis de la LOREG  “ Nosotros no tuvimos nada que ver con ella y la AEPD puso en marcha una Circular desde sus servicios jurídicos para aclarar realmente lo que se permitía hacer a los partidos políticos en materia de perfilado, para evita cualquier conflicto”.

A este sentido recordó que habían llegado unas 40 reclamaciones a la AEPD por este tema pero ninguna de calado grave. También comentó que desde el Considerando 131 del RGPD la Agencia había regulado un procedimiento extrajudicial detal forma que fueran los DPOS los que en primera instancia asumieran los asuntos o reclamaciones con un mes de plazo “eso ha hecho que de los 4000 asuntos que nos han llegado más del 65% han sido gestionados con éxitos por estos profesionales”.

Una cuestión que la directora de la AEPD explicó con preocupación es como se habían incrementado las reclamaciones a nivel global en este año en un 33%  “Parece además que es una tendencia que se mantiene en el tiempo. Eso ha hecho que gestionemos 14.000 reclamaciones en lugar de las 10.000. con los mismos medios que tenemos y eso hay que considerarlo como un éxito”, apuntó,

Sobre la sentencia del derecho al olvido, que ahora cumple cinco años, que permite el borrado de datos de los particulares si no tienen ningún interés, asunto que generado desde una sentencia ganada por el abogado español Joaquin Muñoz con el apoyo de la AEPD, la directora recordó que en toda Europa “ se han gestionado 800.000 peticiones para ejercer dicho derecho al olvido, ya un derecho consolidado en la actualidad”.

España apuntó también que se había enviado el borrador de nuevo Estatuto de la AEPD al Ministerio de Justicia “ Es necesario adaptar la entidad a los nuevos tiempos y creemos que será de gran ayuda para el futuro reordenarla entidad”. Respecto a los nuevos derechos digitales que se encuentran en el título X de la LOPD nueva, recordó que los artículos 89 a 94 serán gestionados por la AEPD,

La llegada del RGPD ha generado que en este año se hayan generado 750.000 consultas sobre este tema y cuestiones derivadas al mismo. La propia AEPD que ha encargado a la Asociación Española de Compliance (ASCOM) la creación de su Código Etico  está también revisando otros similares que le llegan de diferentes empresas y entidades,

Explicó que del total de reclamaciones que llegan al regulador español, hay un 50% que no se admite. “Nunca hemos trabajado temas relacionados con denuncias falsas en materia de protección de datos, pero sabemos que a veces esta denuncia es una práctica irregular para frenar a un competidor”. Y recordó que ese tipo de temas también deberían verlo los servicios de inspección de la AEPD.

Por @LuisjaSanchez, Periodista Jurídico.

La entrada La entrada en vigor del RGPD ha situado a la privacidad en el centro de la actualidad en la UE se publicó primero en LexGoApp Blog.

La Aaociación d la Economía Digital (Adigital)  recoge en su blog testimonios de varios expertos sobre la implantación del RGPD que cumple ahora su primer año. Una norma que tuvo un debate intenso con más de 4000 enmiendas y dos años de trabajo para adoptar un nuevo enfoque sobre la privacidad donde el ciudadano tiene más herramientas para proteger sus datos desde el conocimiento explícito.

Según los datos aportados por esta patronal, se ha unificado  la regulación en todos los países de la UE (solo Grecia, Portugal y Eslovenia no han hecho los deberes).  Ese mayor conocimiento de la privacidad ha hecho que en toda la UE se incrementasen las reclamaciones a la cifra nada desdeñable 150.000 en este primer año, relacionadas principalmente con telemarketing, email marketing y videovigilancia.

Esta entidad recoge las opiniones de cinco expertos que analizan el RGPD con la perspectiva de este primer año de puesta en marcha. En todos los países se tuvo que adaptar la LOPD nacional para complementar en algunos aspectos la actividad del Reglamento

Desde Adigital recogen opiniones de diferentes expertos. Para Mar España, directora de la AEPD, la nueva legislación de protección de datos ha supuesto un enorme reto de adaptación para todos. Si bien es difícil decir con exactitud en qué punto se encuentran las empresas españolas, en este primer año se han notificado ante la Agencia casi 35.000 delegados de protección de datos (DPD) que están ayudando a empresas y organizaciones a cumplir con la normativa y a ser más conscientes de la importancia de la protección de datos.

Por otro lado, FACILITA_RGPD (la herramienta gratuita para ayudar al cumplimiento de pymes y autónomos que realizan tratamientos de escaso riesgo y que ha sido recientemente actualizada) ha sido utilizada en más de 170.000 ocasiones.

Desde la AEPD se puso en marcha un punto de comunicación entre los Delegados de Protección de Datos (DPD) y los reguladores. El canal INFORMA_RGPD también aporta datos. Este servicio, que resuelve dudas sobre la aplicación del Reglamento a los responsables y encargados de tratamiento, ha atendido más de 4.600 consultas.

Las más frecuentes, sobre la obligatoriedad de nombrar un DPD, una cuestión que la nueva LOPDGDD define en dieciséis actividades económicas, la implantación de la videovigilancia o la utilización de la huella y datos biométricos como medidas de control laboral.

La entrada en vigor del RGPD ha puesto un cambio de 180 grandes de la forma de entender la privacidad. Ya no basta con inscribir los ficheros de clientes y profesionales, sino que el enfoque es más proactivo.

Para España   apostar por servicios seguros y que cumplen con los derechos fundamentales de las personas solo puede redundar en una mejora de la competitividad de las organizaciones que apuesten por ello.

Después de ese primer año, ahora hay que trabajar en un proceso de consolidación en el que la protección de datos se aborde de manera estándar, como un aspecto más a la hora de lanzar nuevos productos y servicios.

Natalia Martos, CEO y fundadora de Legal Army, y copresidenta del capítulo español de la International Association of Privacy Professionals (IAPP) es otra de las expertas que ha consultado Adigital

Para esta jurista, experta en privacidad, su opinión es que un año después de la plena efectividad del RGPD sigue habiendo una mayoría de empresas que no se ha adecuado a norma o que incluso no es consciente de su existencia y de la importancia de su aplicación.

Desde su despacho Legal Army, el trabajo de Martos y su equipo ha sido el de adecuar todo tipo de compañías de tamaño medio y grande y el rasgo común entre ellas es que son empresas cuyo activo principal es el dato y, por tanto, son plenamente conscientes de que una buena adecuación a la norma no solo implica un compromiso con el derecho fundamental a la protección de datos sino también un mejor posicionamiento frente a sus competidores.

A juicio de esta jurista, los procesos de adaptación han sido intensos ya que el RGPD no supone un mero cambio de las políticas de privacidad sino un cambio radical de la filosofía de las empresas, de su organización interna y externa.

AL mismo tiempo cree que las empresas que han entendido el cambio de paradigma que ha supuesto el RGPD, empoderando a los titulares de los datos, han conseguido una evidente ventaja competitiva que se resume en transparencia.

Respecto al futuro, en este sentido, pensando en el futuro, la protección de datos debe evolucionar a un mejor diseño de los servicios y productos que usan datos, implementando Legal Design y Privacy by Design para ofrecer una mejor experiencia y entendimiento de los textos legales al titular del dato.

Iñaki Uriarte, director legal y secretario general de Adigital

Para este jurista, en el caso del RGPD, no deja de llamar la atención que, pese a que hubo un periodo de adaptación al Reglamento de dos años, un número importante de empresas lo dejó para el último momento, con excesos como la avalancha de comunicaciones que los usuarios recibieron en cuestión de dos meses solicitando el consentimiento.

En opinión de Uriarte, una de las principales preocupaciones y confusiones en torno al RGPD ha tenido que ver con las causas que legitiman los tratamientos de datos de entre las opciones que ofrece el Reglamento -el consentimiento, el interés legítimo o la ejecución de una relación contractual, entre otras causas-.

También s destaca que se han planteado numerosos retos a la hora de implementar medidas como, por ejemplo, la privacidad por defecto y por diseño, la responsabilidad proactiva, la realización de evaluaciones de impacto y análisis de riegos o la determinación de las medidas de seguridad aplicables -que en la antigua LOPD estaban ya predeterminadas en la normativa y ahora es necesario implementar en función de los riesgos que puedan afectar a los datos y a los derechos y libertades de los usuarios-.

Desde su punto de vista el hito más relevante después del RGPD es la aprobación del nuevo Reglamento de ePrivacy. Las empresas tendrán que estar muy pendientes de cómo se regula el tratamiento de los metadatos creados como consecuencia de las comunicaciones electrónicas, las cookies o la utilización de sensores en las comunicaciones entre dispositivos y con los usuarios.

Graciela Domínguez, responsable del departamento de Evaluaciones de Confianza Online

Otro de los expertos consultados por Adigital es esta experta en privacidad. Domínguez subraya que aunque España ya contaba con una sólida normativa de protección de datos, el RGPD, creado para unificar las leyes de esta materia en la Unión Europea, ha logrado establecer bases comunes, concienciar a las empresas sobre la importancia de su correcto tratamiento y eliminar trámites como la inscripción de los ficheros en la Agencia Española de Protección de Datos.

También Confianza Online se ha adaptado: para apoyar a las empresas en la adaptación de sus páginas web, se han ampliado y modificado diferentes puntos de la evaluación legal relativos al consentimiento expreso, la política de privacidad, cookies y comunicaciones o transferencias de datos, entre otros. En este proceso, destacamos el gran esfuerzo que han realizado las empresas, sobre todo las pequeñas y medianas, para cumplir con la normativa.

Aun así, todavía quedan muchas webs que no han completado los cambios por las barreras a las que se han enfrentado, basadas en la falta de recursos, y la incertidumbre que se generó en la fecha límite de la aplicación. Y esto en un contexto en el que la protección de datos va a cumplir un papel crucial para las empresas, que deberán asumir progresivamente nuevos retos y cambios como los que planteará el Reglamento ePrivacy.

Juan Francisco Cuenca, gerente de la tienda online adrada.es

Por su parte, para este empresario del mundo digital, la  necesidad de la Protección de Datos es más simple de comprender y reivindicar a título individual que en el orden empresarial, donde el proceso de adaptación ha sido lento y difícil. Para las pequeñas empresas supone una tarea añadida que exige método, rigor y recursos, ya que no disponen de presupuestos millonarios como pueden tener las grandes corporaciones.

Desde la perspectiva del proceso de adaptación de nuestra tienda online, después de mucho reflexionar, no logro destacar un solo punto en el que nos haya beneficiado o resultado útil como empresa. La adoptamos y nos adaptamos por imperativo legal, es probable que moral, pero en ningún caso como un instrumento ventajoso.

Algunas regulaciones parecen más pensadas para sectores que manejan datos muy sensibles de clientes o pacientes y para grandes corporaciones que tienen acceso a muchos datos valiosos que para pequeñas empresas como la nuestra.

Por último revela que sobre esta base, nuestras actuaciones están y estarán dictadas por la legislación. Cumpliremos como siempre hemos cumplido y protegeremos a nuestros clientes, sus datos incluidos, como ya lo hacíamos antes de la RGPD y mucho antes de que existiera Internet

Por @LuisjaSanchez, Periodista Jurídico.

La entrada La implantación del RGPD en nuestro país ha cambiado por completo el concepto de privacidad se publicó primero en LexGoApp Blog.

Jurista e investigadora, Elena Gil González pertenece a las nuevas generaciones que se han creado en un entorno tecnológico, con lo cual su entrada en el mundo del big data y la protección de datos ha sido más natural. En la víspera de la Computers, Privacy and Data Protection Conference (CPDP) que tiene lugar en Bruselas, uno de los eventos más destacados en materia de privacidad a nivel europeo, donde participa como ponente, hemos conversado para conocer cómo percibe el desarrollo de las nuevas normativas de protección de datos.

Su perfil:

“Realice la doble titulación de Licenciada en Derecho y Administración de Empresas en la Universidad Carlos III de Madrid con unas primeras prácticas de verano en Cuatrecasas. Las hice en el área de propiedad industrial, intelectual y protección de datos.  Ya en ese momento me interesaban áreas del derecho que tendieran a la innovación aunque en la carrera no se identificaban.

Con posterioridad a licenciarme, trabajé un año en Uría Menéndez y con el tiempo me planteé realizar mi tesis doctoral.  Mientras decidía el tema acudí al el equipo de Cuatrecasas en busca de consejo. Ahí fue cuando me dieron la idea del big data. Así salió mi interés por big dada, privacidad, nuevas tecnologías. Estaba haciendo un Master en la Cámara de Comercio de Madrid sobre Big Data para realizar mi tesina, ya en estos temas. Este tema me enganchó.

Esa tesina se convirtió en el libro que fue premiado por la AEPD en el 2016 llamado «Big data, privacidad y protección de datos» al realizar un máster en la Sociedad de Estudios Internacionales . Ahora hace tres años de su publicación. Después compaginé mi primer año de doctorado con el Curso en big data de la Cámara de Comercio de Madrid. En ese curso fui número uno de la promoción, pero la tesina fue diferente (en concreto, sobre el uso de big data para mejorar la calidad de vida de personas de tercera edad). Justo después, coincidiendo con la publicación del libro, entré en Écija. A partir de ahí he  estado metida en temas de privacidad y ahora para terminar el doctorado salí del despacho y me he venido a Amsterdan a realizar una estancia a nivel de investigación.

Una persona clave en mi carrera profesional es José Luis Piñar, exdirector de la AEPD y responsable de la cátedra  Google CEU de Innovación y Privacidad. Es el director de mi tesis que estoy realizando en la Universidad CEU San Pablo, Si él hubiera estado en otra Universidad hubiera ido donde estuviera. Algunos discípulos suyos son Ofelia Tejerina, Miguel Recio o Maria Alvarez Caro, ahora en Google.

Después de haber participado en el I Congreso de DPOS en Madrid me he venido a Bruselas para participar como ponente en la actualidad edición que comienza ahora en de la  CPDP 2019, Conferencia internacional de Computers, Privacy and Data Protection Conference.  Su celebración tiene que ver con el Dia Internacional de la Protección de Datos. Mi mesa de debate trata de analizar  una nueva normativa de protección de datos  poco conocida que se centra en las instituciones europeas”.

Ahora que hemos celebrado el Dia Internacional de Protección de Datos,  ¿cree que empresas y ciudadanos tienen más importancia de lo que es la privacidad?

Creo que la implantación del Reglamento Europeo de Protección de Datos (RGPD) y sobre todo sus elevadas multas han podido crear  una cierta conciencia de que es necesario cumplir con la nueva normativa.

Cada vez somos más conscientes de que en este cambio cultural, los datos personales son más valiosos y tienen muchos beneficios, pero también tiene sus riesgos.  Sin embargo, creo que estamos aún en un punto de tomar conciencia aún más de lo que la privacidad significa.

El ciudadano de a pie aún no tiene mucha conciencia de porqué tiene que proteger sus datos. En las encuestas, los ciudadanos manifiestan que perciben ciertos riesgos en su privacidad pero luego no al actuar no hacen nada.

En España se ha destapado las alertas por la LOPD y su inclusión de una Disposición Final Tercer que pudiera permitir el spam político, una manera de prevenir que usen tus datos…

Tengo la sensación que este tema ha sido una gran ola que ha suscitado la atención de los profesionales de la privacidad, pero no sé hasta que punto un ciudadano medio es consciente que esto existe bajo la nueva normativa o lo que implica. Me surge la idea si realmente está concienciado. Vamos a un periodo electoral donde los partidos políticos deberían explicar qué van a hacer en materia de privacidad.

¿Va a ser posible un desarrollo del RGPD en Europa de forma uniforme en los 28 países miembros a corto o medio plazo?

Es complicado de decir ahora mismo. El objetivo de sustituir la Directiva por un Reglamento en materia de privacidad es precisamente que esta norma permite más homogeneización. Pero también el RGPD deja ciertas áreas abiertas a la discrecionalidad de los estados miembros, como la edad a la que se permite a un menor un consentimiento válido, cuestión que se decide en las normas de diferentes estados.

Hay que señalar que las normativas que cada Estado ha traspuesto de Reglamento están aún echando a andar. Es  pronto para saber el grado de divergencia que habrá. Una uniformidad total no se va a lograr. No en todos los Estados se permite el uso de datos personales con fines electorales como se permite bajo la LOPD española. Esperemos que esas diferencias entre países sean pequeñas. Eso es lo que está por ver.

De todos estos cambios normativos, ¿Qué es lo más complicado para entender para ciudadanos y empresas a nivel de privacidad?

Entender el RGPD necesita de un cambio cultural. La privacidad hasta hace poco era secundaria porque el uso de los datos no era muy relevante. Con el paso de los años y la economía digital, ese uso genera mas beneficios y se incentiva más.  Ahora somos conscientes que las normas que teníamos debían actualizarse.

Creo que lo más va a costar es generar ese cambio de cultura donde una empresa sienta que tiene que invertir esfuerzos en proteger los datos de los ciudadanos y que no todo se puede hacer. Son modelos de negocios lucrativos pero deben hacerse con diligencia.

Da la sensación que para entender ese cambio cultural que usted alude, es necesario contar con la figura del Delegado de Protección de Datos, DPO..

El DPO es una figura que está dentro de la organización pero en realizad su función es proteger a los usuarios y las buenas relaciones que éstos tengan con cada organización. No es una persona para proteger  los intereses de los de fuera y generar un nexo de unión con la autoridad de control.

Es evidente que no es fácil ser DPO en una organización. Tal y como hemos visto en este I Congreso de DPOS celebrado en Madrid, vivimos un momento especial para los profesionales que tengan conocimientos adecuados para ser DPO. El desafío es muy importante. La figura ya existía en países como Alemania y en las propias instituciones europeas. Pero en España no tenemos esa tradición. Es una figura muy nueva.

¿Estamos ante una nueva profesión?  ¿Deben ser los DPOS abogados exclusivamente?

Creo que es evidente que es una nueva profesión , al mismo tiempo se están creando nuevo modelos de negocios y nuevos retos y normas. Es un momento de cambio.  El RGPD no exige que el DPO sea abogado, si que tenga conocimientos jurídicos y de protección de datos. Es una figura abierta para no constreñir quién pueda ser DPO.

De todas formas, las empresas deben supervisar bien quién nombran DPO en sus estructuras. No basta con tener un curso de protección de datos. La labor de estos profesionales es muy compleja. Hay que prepararse muy bien para ser DPO. Un DPO necesita saber otras normas fuera de las de privacidad que puedan afectar a su empresa, normativa de seguridad, de su sector.

Debe tener capacidad de relacionarse y de negociación. Es nexo entre fuentes de intereses diversos, la AEPD; su empresa, organizaciones del sector y los ciudadanos. Es un puesto donde las soft skills son muy importantes  y cuya formación es continuada más aún en este entorno tecnológico que nos ha tocado vivir en la actualidad.

En este escenario de privacidad en un entorno global, junto con las grandes estructuras y boutiques han surgido iniciativas donde trabajan conjuntamente expertos en privacidad. Es el caso de Secuoya, de la que usted forma parte…

El nexo común que nos une como profesionales es la privacidad, su análisis y estudio. Todos estamos vinculados a la misma de alguna forma. Es un grupo de profesionales que funciona como think tank. Con el tiempo nos  hemos hecho amigos y analizamos con rigor todo lo que rodea al mundo de la privacidad y las nuevas tecnologías

Hemos creado un núcleo de confianza donde debatimos ideas y nos pronunciamos de los temas más relevantes del mundo de la protección de datos. Estamos en un momento de cambio con la nueva normativa europea y es lógico que todos tengamos algunas dudas sobre algunos de estos conceptos. Es muy beneficioso compartir todo esto, sin duda.

Una situación que pone a prueba tanto el trabajo de los DPO como la viabilidad de la propia empresa son las brechas de seguridad ¿Qué debemos hacer si nos enfrentamos a un problema de este tipo?

Es una situación clave para las empresas. Lo principal es detectarla y actuar con rapidez. Lo primero que hay que hacer es intentar su alcance y saber si ha afectado a datos personales o no. Si ha afectado, mientras contenemos su impacto habrá que ver si hay que notificar a la AEPD y a los interesados. El propio RGPD exige deberes de notificación en determinadas situaciones, al igual que alguna norma sectorial.

Es fundamental contar con un protocolo definido en el que la empresa sepa lo que tiene que hacer ante estas situaciones, Y disponer un plan de seguimiento para que en la medida de lo posible esta situación no se vuelva a repetir. Junto con dicho protocolo son necesarias medidas de seguridad adaptadas al riesgo y un plan de actuación para frenar dichas brechas de seguridad.

¿Qué le diría a los  despachos que nos leas y que no tenga organizada su política de privacidad aún?

El tiempo ira convenciendo a cada uno. No creo que haya que hacer una labor fuerte en ese convencimiento. Se va a ver pronto que es necesario adaptarse. La abogacía es un sector que tiende a tardar un poco en asumir los avances tecnológicos, pero es indudable que llega un momento en el que hay que adaptarse.

Estamos ante un camino de ida, aunque no sabemos muy bien donde nos llevará. A nivel de privacidad, el abogado tendrá que hacer un mayor esfuerzo en proteger sus datos y los de sus clientes como de considerar incorporarlo como servicio, porque ahora esta muy demandada esta actividad.

Por @LuisjaSanchez, Periodista Jurídico

La entrada “Hay que formarse muy bien para desempeñar con garantías las funciones de un Delegado de Protección de Datos”// Entrevista a Elena Gil Gonzalez, jurista e investigadora en privacidad se publicó primero en LexGoApp Blog.

“Siempre he estado vinculada a la tecnología. Me licencié en Derecho y especialicé en Tecnologías de la Información y Telecomunicaciones en ICADE. Eso ha marcado que mi carrera se centrase desde el principio en Derecho Digital y Protección de Datos, primero en el Ministerio de la Presidencia y más tarde en el Grupo Prisa, donde estuve trabajando durante doce años en diferentes cargos de responsabilidad de distintas unidades de negocio.

Desde muy pequeña utilizaba ordenador en casa y aprendí las primeras líneas de código basic  y a programar y por eso me forme en tecnología  y realicé el Master citado. Llego a Madrid en el 2001 y ya trabajo en Derecho Tecnológico que empezaba a arrancar. Siempre fui cliente de servicios jurídicos y del lado de la asesoría jurídica de empresa. Estuve dos años como Directora de Privacidad de la red social Tuenti. Siendo cliente advertí que habría que cubrir una necesidad:  hacia falta abogados familiarizados con la tecnología y negocio digital para ayudar a las empresas en aquellas cuestiones de interés a un precio razonable.

En catorce años como cliente no encontré este modelo de abogacía muy adaptado al cliente. En ese momento marcho a la Singularity University en Sillicon valley donde me explicaron como utilizar las tecnologías exponenciales, como la inteligencia artificial y blockchain para multiplicar tu negocio. Curiosamente esas tecnologías no habían llegado al sector de los servicios jurídicos y sí a actividades como la banca o la economía colaborativa. Debe haber un cambio importante en el sector legal si se introduce tecnología.  Es el momento de pasar por un despacho de abogado para conocerles mejor internamente.

Mi idea era afrontar una transformación del sector legal 180 grados introduciendo la tecnología. Así mi experiencia en Andersen Tax & Legal y luego en Pérez Llorca fue muy importante y capital para conocer el negocio de la abogacía en su interior, hasta que el pasado mes de mayo decido poner en marcha Legal Army. En mi cabeza tengo la idea de adaptar Axion Law al mercado legal español. Este es un despacho norteamericano que ha superado a diferentes firmas profesionales. He intentado reducir el número de personas que trabajen en la firma e introducir más tecnología.

Así he seguido más el modelo de Atrium, una startup de Silicon Valley que arrancó el pasado año con 10 millones de dólares de financiación. En siete meses han levantado una primera ronda semilla de 65 millones de dólares. Esta empresa solo tiene quince empleados y está enfocada en dar servicios legales que necesitan  las startups del propio Silicon Valley y a hacerlas crecer. Legal Army está ya en crecimiento, pese a su juventud como iniciativa, con nuevas oficinas y un equipo formado por siete abogados seniors”.

¿Cómo ha evolucionado Legal Army en estos siete meses de existencia?

Nuestra evolución es la de un despacho especializado en tecnología y líderes en privacidad. Sin embargo, cada vez que vienen clientes y ven cómo trabajamos y facturamos, muy diferente respecto a la competencia, nos piden más servicios.

Eso hace que se haya ampliado la parte corporativa y ayudemos a muchos negocios tecnológicos en las necesidades legales que requieran. Nuestro activo son las personas a nivel de prestación de servicios pero estamos en el momento de convertir la firma en una empresa de producto jurídico.

¿Qué tipos de servicios pueden ofrecer al universo de startups existentes?

Conocemos bien este sector, porque también somos startup. Estamos pasando por el mismo proceso de financiación, crecimiento y desarrollo que muchas de ellas.  Estamos muy pendientes de lo que nos pide el mercado. Cuando hablamos con las startups entendemos lo que necesitan, su lenguaje y modelo de negocio.

Nuestro trabajo se basa en acompañarles en su trayectoria profesional, eso sí, procuramos trabajar con startups con cierta tracción que ya pasaron una inversión de serie A y a partir de ahí es cuando realizamos el contacto y les ayudamos a que sigan creciendo.

Y cuando sale el tema de privacidad y protección de datos..¿como reaccionan?

La verdad es que gracias a la llegada del Reglamento Europeo de Protección de Datos (RGPD) que entró en vigor para toda Europa el pasado 25 de mayo, muchas de ellas entienden lo que les planteamos.  Abordamos una profunda transformación de todos los negocios. Ahora el dato es un activo importante, como lo fue el petróleo hace un siglo.

Ahora tener una buena base de datos es uno de los activos mejores de cualquier empresa. De hecho con un buen asesoramiento jurídico estoy convencida que muchas de estas empresas podrán diseñar productos y servicios basados en el dato. Eso significa que podrán monetizar ese activo mucho mejor que cualquier otra empresa que no esté adecuada a la normativa europea. Cualquier actividad que se ponga en marcha necesita del asesoramiento legal previo, siguiendo el principio de privacy by design del propio RGPD

¿Se puede establecer alguna relación entre la protección de datos y el cumplimiento normativo exigible desde el corporate compliance, o son dos cosas muy distintas?

En Europa se entiende que el derecho a la protección de datos es un derecho fundamental, eso le hace que tenga una importancia propia separado en este caso del compliance.  Muchos negocios se basan en la monetización de datos, como antes le comenté.

Sobre el compliance, tras la última reforma del Código Penal del 2015, quedó definida la responsabilidad penal de las personas jurídicas. Se trata por tanto de cumplir una serie requisitos para demostrar que cumplen con la legalidad y que si surge algún problema o conflicto puedan eximirse porque tomaron todas las medidas necesarias desde su programa de cumplimiento.

En el mercado observamos despachos que unen el compliance penal con la protección de datos. Pero creo que son dos cosas diferentes. Eso hace que tanto el compliance officer como el Delegado de Protección de Datos (DPO) sean profesionales diferentes y por tanto se ofrezcan como servicios diferentes. Sin embargo, no podemos olvidar que hay parte del corporate compliance que introduce datos, sin embargo no a la inversa.

¿Qué perfil debe tener ese Delegado de Protección de Datos?

Tiene que ser un profesional que conozca bien su empresa y tener una amplia formación tanto en datos, como en tecnología. Se trata de ayudar tanto al cumplimiento del propio RGPD como ayudar a la compañía a diseñar productos y servicios que coloquen a esa compañía en posición de liderazgo en el mercado, siempre cumplimiento con los principios del RGPD. Se trata que ayude a detectar los riesgos en los que puede estar inmerso la empresa

Es muy importante llevar un control diario de lo que sucede en la empresa. El perfil del DPO es el de un profesional que siempre está alerta y trabajando para mejorar la situación de su compañía. Debe asegurar que todas las actividades son conforme al RGPD y responder al principio de accountability o responsabilidad proactiva para demostrar, y en sus informes quedará constancia,  que la empresa cumple con la nueva normativa de privacidad.

De esos riesgos, la existencia de una brecha de seguridad parece uno de los peores momentos por los que pasa una empresa ¿Qué podemos hacer para mitigarla?

Estamos hablando de un riesgo muy a tener en cuenta. Mal gestionada nos jugamos nuestra reputación como empresa. Siempre es bueno contar con un protocolo lo mas especifico y claro posible y dar una formación en el seno de la empresa para que sus profesionales lo entiendan de forma clara y sepan qué hay que hacer en cada momento.

Este protocolo es flexible e individualizado a cada compañía, en función de la situación de la firma y sus recursos. Siempre estará alineado con las directrices del RGPD y deberá ser conocido por todos los directivos que estén relacionados con los datos. Al mismo tiempo, no basta la adecuación al RGPD sino se implementan unas determinadas medidas de ciberseguridad que son necesarias para frenar cualquier ataque externo.  Disponemos de un equipo técnico que ayuda a implementar dichas medidas.

La aprobación reciente de la nueva LOPD ha incluido más categorías en las que las empresas deben contar con un DPO. ¿Qué consejo les ofrece a las startups en este sentido?

Es cierto la nueva  LOPD obliga a dieciséis modelos de empresas diferentes a contar con su Delegado de Protección de Datos. Eso hace que la mayor parte de las firmas estén en esta situación. A nivel de startups, lo más lógico es externalizar este servicio con profesionales que realmente conozcan bien la problemática de la privacidad.  A este respecto es fundamental la comunicación entre la startup y  su equipo jurídico para que todo lo que se haga se adecúe desde el principio a estos nuevos parámetros de privacidad.

Por @LuisjaSanchez, Periodista Jurídico

La entrada “Las empresas adaptadas al RGPD podrán monetizar aquellos productos y servicios que creen basados en datos”// Entrevista a Natalia Martos, socia directora Legal Army se publicó primero en LexGoApp Blog.

Le hemos pedido a Paz Martín, abogada, experta en privacidad y derecho tecnológico, socia directora de Legalthings, que nos aclare el porqué de la importancia de esta norma y cómo deben adaptarse las empresas a este texto normativo. Nadie mejor que esta jurista para entender las repercusiones de esta norma.

¿Por qué es tan importante este Reglamento Europeo de Protección de Datos?

El RGPD supone un cambio de paradigma en la protección de la privacidad, unas exigencias adaptadas a los tiempos y a las tecnologías actuales en las que el uso de los datos supone un importante reto pero también una importantísima fuente de ingresos para las empresas. Los ciudadanos estamos más expuestos que nunca a las intromisiones en la privacidad y por ello necesitamos más herramientas legislativas para protegernos.

¿Qué es lo más complejo a la hora de adaptarse a su nueva normativa?

En mi opinión el cambio supone sobre todo, un cambio de mentalidad, lo cual a menudo es lo más difícil de cambiar. Se huye de los cumplimientos formales para acuñar un nuevo principio muy utilizado en el mundo anglosajón: el de “accountability” o como lo estamos traduciendo: “responsabilidad proactiva”.

Esto va a ser especialmente difícil de asumir en aquellas organizaciones en las que se cumple por “salir del paso” y no se hace una reflexión real del alcance que tiene cada tratamiento de datos.

Por poner un ejemplo, desaparece una de las obligaciones que hasta ahora muchas empresas creían que era el centro del cumplimiento de la protección de datos: la obligación de inscribir ficheros ante la Agencia Española de Protección de Datos.

Una obligación formal que al desaparecer pone de manifiesto que lo importante es lo que se hace con los datos y cómo se hace. Esto está resultando “chocante” para muchos, especialmente pequeñas empresas.

Da la sensación que las empresas tendrán más trabajo con ese consentimiento expreso que ahora les demandan…

Desde luego este es uno de los puntos que más dolores de cabeza está generando en las empresas porque, si los datos que tienen en sus bases de datos no cumplen con las exigencias del nuevo Reglamento, no servirán. Esto es especialmente relevante en esos casos en los que se ha abusado del “consentimiento por defecto” (si no nos dice nada…) o en el que con un solo acepto, nos intentan meter un montón de finalidades de tratamiento distintas sin que tengan que ver ni esté justificado (por ejemplo cesiones a terceros).

Al ser una de las obligaciones más “visibles” esperemos que las empresas y organizaciones se lo tomen en serio.

¿Cree que las empresas están haciendo caso a las autoridades  y van a estar preparadas para esta nueva forma de ver la privacidad?

Honestamente, creo que no. Si bien es cierto que empresas grandes y medianas ya han iniciado procedimientos de adaptación y reflexiones internas, en el tejido empresarial general de nuestro país compuesto en su mayoría por pymes todavía queda mucho por hacer.

Hay que tener en cuenta, además, que hay pequeñas empresas y profesionales que todavía piensan que a ellos no les afecta la legislación de protección de datos por lo que el trabajo será doble: el de concienciación y el de adaptación al Reglamento.

La Agencia Española de Protección de Datos está siendo muy fértil en la publicación de guías de ayuda y de información pero me temo que van a necesitar un tiempo de “digestión”.

“Sobre la adaptación de las pymes al RGDP aún queda mucho por hacer. Muchas de las pymes creen que no les compete el tema. Eso supone que habrá que hacer un esfuerzo por concienciarlas”.

Paz Martín, socia directora Legal Things Abogados.

Multinacionales como Facebook, Google o Amazon se verán afectadas por el principio de la extraterritorialidad  ¿Cree que se adaptarán al marco europeo nuevo legislativo?

Si quieren trabajar en el marco de la Unión Europea no les quedará otro remedio. Desde la famosa Sentencia del TJUE sobre el derecho al olvido (STJUE C-131/2012, de 13 de mayo de 2014), la cuestión quedó clara y si se hace tratamiento de datos de ciudadanos de la Unión Europea, tendrán que cumplir con la nueva legislación.

Y no sólo eso, estos gigantes de los datos están mucho más expuestos a las brechas de seguridad cuya comunicación (a la Agencia Española de Protección de Datos en el caso de España) será ahora obligatoria.  De hecho, en los últimos meses se han empezado a publicar los cambios en sus políticas.

Da la sensación que esta norma puede generar un servicio añadido de asesoramiento de abogados como usted expertos en privacidad.. ¿Hay nicho de mercado?

Tanto como nicho de mercado, no estoy segura pero desde luego hay una gran necesidad porque hay desconocimiento. Desde luego es una oportunidad de negocio para los profesionales de esta materia pero nos toca no sólo asesorar sino realizar una labor previa de información, sensibilización y concienciación a las empresas.

Este es un tema importante y desde luego cualquier empresa u organización debería buscar asesoramiento para estar seguro de hacer las cosas bien.

No le parece una paradoja que siendo el Reglamento tan complejo la figura del Delegado de Protección de Datos no sea obligatoria?

La verdad es que el Reglamento ha tenido en cuenta que las exigencias a una pequeña empresa no pueden ser las mismas que las de una gran empresa con estructuras complejas y un gran volumen.

De hecho, el Delegado de Protección de Datos será obligatorio en aquellos casos en los que por volumen o tipo de datos, sea necesario un “plus” de supervisión. No tiene mucho sentido que una pequeña empresa tenga que soportar dicha obligación si su actividad no implica un tratamiento de datos de riesgo.

No obstante habrá organizaciones que si bien no estén obligadas, puede ser recomendable designar esta figura dentro de una política de “buenas prácticas corporativas”. Si atendemos al principio antes citado de “accountability”, el hecho de preocuparse por la privacidad, designar un DPO, dotarle de medios etc, puede ser un indicativo de cumplimiento de dicho principio.

Entiendo que también un abogado experto en la materia puede ser un DPO, ¿Qué rasgos debe tener ese profesional para ejercer su cometido?

Por encima de todo, preparación y conocimiento de la materia. Los profesionales de la privacidad no dejamos de estudiar y de formarnos. Con el nuevo Reglamento todos somos nuevos y nos vemos obligados a seguir muy de cerca las interpretaciones del mismo, los informes, guías y recomendaciones de las autoridades de protección de datos y a conocer el verdadero alcance del cambio legislativo en cada empresa.

El DPO va a tener que canalizar todo lo que tenga que ver con la protección de datos de la organización y tendrá un papel importante en la notificación de las brechas de seguridad, en los procedimientos de evaluación de impacto y en definitiva en el buen cumplimiento de la norma.

Lo bueno de este Reglamento y de las próximas certificaciones es la profesionalización del sector, lo cual es, como en todos los sectores, de agradecer.

Cómo saber si ese abogado que atiende mi privacidad es realmente competente y está preparado. ¿En qué debo fijarme?

En su formación y en su experiencia. Parece un tópico pero los dos factores son determinantes. Están proliferando los cursos de DPO y de nuevo RGPD: unos son magníficos. Otros, un negocio más.

Con las próximas certificaciones que no serán obligatorias pero que servirán de referencia, tendremos un elemento más de diferenciación. En cualquier caso, la Agencia Española de Protección de Datos ha insistido mucho en que la certificación no es obligatoria por lo que un buen profesional, con formación y experiencia demostrables es perfectamente apto para prestar el asesoramiento adecuado. No obstante caminamos hacia una mayor profesionalización que redundará en un mejor cumplimiento.

¿Es cierto que con el RGPD tienen los ciudadanos mejor protegidos sus derechos?

En mi opinión sí. Los ciudadanos nos vemos abrumados con el uso de nuestros datos y la falta de transparencia con la que se utilizan a veces. La mayoría de la población no es “nativa” digital pero se ha incorporado al uso de las nuevas tecnologías, uso de redes sociales y comercio online sin conocer muy bien sus riesgos, especialmente en lo que afecta a la privacidad.

El RGPD insiste mucho en el principio de transparencia, en informar claramente de lo que se va a hacer con los datos. Las autoridades son conscientes de que nadie se lee los avisos legales ni las políticas de privacidad y a menudo una inocente compra online se convierte en un cheque en blanco con nuestros datos única y exclusivamente porque hemos dado a la casilla “acepto la política de privacidad”.

El Reglamento obliga a informar claramente, en un lenguaje sencillo, de más cosas de las que hasta ahora se exigían para una mayor garantía de sus derechos. El ciudadano siempre puede revocar su consentimiento. Ser, en definitiva, soberano de sus datos.

No obstante queda una enorme labor de sensibilización especialmente para las nuevas generaciones sobre el uso de los datos. Las redes sociales se convierten en un lugar que conviene conocer, saber qué tipo de información se comparte y sus consecuencias.

“El Reglamento obliga a informar claramente, en un lenguaje sencillo, de más cosas de las que hasta ahora se exigían para una mayor garantía de sus derechos. La idea es que esta nueva norma nos proteja más a todos”.

Entrevista hecha a Paz Martín, socia directora de Legal Things Abogados, por el periodista jurídico y emprendedor digital LuisJa Sánchez.

Envíanos tú también un artículo a profesionales@lexgoapp.com y nosotros lo publicaremos en nuestro blog. ¡Anímate!

La entrada Paz Martín, socia directora Legal Things Abogados: “ El consentimiento expreso que fija el RGPD está generando muchos quebraderos de cabeza a las empresas “ se publicó primero en LexGoApp Blog.

La llegada de Internet ha abierto el campo para el llamado abogado tecnológico en los últimos años. Un profesional que puede ofrecer asesoramiento jurídico en algo tan transversal como es la tecnología y que siempre ha tenido derivadas laborales, fiscales o mercantiles.

En este escenario asociaciones de expertos como ENATIC,  a nivel tecnológico general y más especialidades en privacidad como APEP o derecho del entretenimiento como  DENAE han ayudado a que el abogado creciera en ese entorno y a través del Networking pudiera liderar proyectos con otros juristas o expertos en tecnología.

La aprobación del Reglamento Europeo de Protección de Datos que entrará en vigor en nuestro país en mayo del 2018 supone crear dentro de la especialización tecnológica de la que estamos comentado, una subespecialización en privacidad y protección de datos.  Nadie duda que la nueva norma europea supone un cambio radical en la concepción de la privacidad y eso solo los abogados expertos lo podrán explicar a sus clientes.

A menos de un año para la implantación de dicha norma europea en toda Europa a nivel general, y en nuestro país de forma concreto, no hay semana donde no tenga un lugar un evento de cara a explicar los cambios más importantes del citado Reglamento. La recién concluida V Conferencia Internacional de la Cátedra Google CEU celebrada este jueves en Madrid ha puesto de manifiesto esa preocupación por la norma europea.

Las empresas están en este momento en proceso de cambio de su modelo de privacidad, reactivo basado en la inscripción de ficheros, a otro más proactivo donde su responsable de privacidad deberá gestionar el registro de actividades de privacidad.

Pese a que el Reglamento Europeo no obliga a tener el DPO  (Responsable de Privacidad) parece evidente que esta figura será necesaria para entender tanto la nueva Ley Orgánica de Protección de Datos (LOPD) que ahora se gestiona como el citado Reglamento y sus cambios más importantes.

El abogado tiene un hueco de mercado si se especializa en privacidad y protección de datos. Una materia que en nuestro país es un derecho fundamental recogido en la Constitución y que ahora va a estar en primer plano. Ahora, la actividad de las empresas tendrá que contar desde el diseño de ese producto o bien el respeto a la normativa de privacidad antes de la puesta en marcha de esa actividad. Otra novedad importante que necesita estudiarse y conocerla bien.

Este Reglamento Europeo entrará en vigor en nuestro país el próximo 25 de mayo del 2018. Como Reglamento supone la aplicación directa de su articulado, en muchos casos muy innovador al recoger ahora que el consentimiento en el uso de los datos tendrá que ser explícito y dar salida a otros derechos como el derecho al olvido y a la portabilidad, éste basado en el cambio de proveedor en cualquier materia.

En un mercado global como el que vivimos donde aparecen nuevas novedades tecnológicas como big data, Internet of things, drones, que las empresas pueden utilizar para ser más competitivos, lo primero de todo que deben hacer es tener muy en cuenta que esos desarrollos deben estar conformes a la normativa europea del Reglamento desde su concepción. Una tarea que solo se puede lograr si la empresa cuenta con un asesor jurídico que conozca bien la materia.

La privacidad y la protección de datos ha llegado para quedarse. Una materia dentro del concepto de abogacía digital que requiere de expertos formados de manera convicente en esta materia. Contar con un profesional expertos en estos temas le ayudará al empresario a estar tranquilo, trabajar duro sin tener que preocuparse de su negocio.

Recuerda que en una aplicación como LexGoAPP puedes encontrar algunos abogados expertos en privacidad y protección de datos que harán tu negocio más seguro. Abogado tic, ha llegado el momento que te especialices en esta materia.

Cordiales saludos,

Luisja Sánchez

Periodista y Emprendedor Jurídico

La entrada Abogado, especialízate en privacidad se publicó primero en LexGoApp Blog.