El Reglamento General de Protección de Datos (RGPD) o Reglamento (UE) 2016/679, es una ley comunitaria relativa a la protección de las personas físicas (independientemente de si son ciudadanos de la Unión) en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos en la Unión Europea y el Espacio Económico Europeo (EEE). El RGPD es un componente importante de la legislación europea sobre privacidad y de la legislación sobre derechos civiles, en particular el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea. También delimita la transferencia de datos personales fuera de la UE y de las zonas del EEE.

Publicado en el DOUE el 4 de mayo de 2016, entró en vigor 20 días después y fue de aplicación el 25 de mayo de 2018, dos años durante los cuales las empresas, las organizaciones, los organismos y las instituciones se fueron adaptando para su cumplimiento.

Como el RGPD es un Reglamento, no una Directiva, es directamente vinculante y aplicable, no ofrece flexibilidad para que los Estados miembros ajusten determinados aspectos de la Ley. El objetivo principal del RGPD es mejorar el control y los derechos de las personas sobre sus datos personales y simplificar el entorno normativo para los negocios internacionales. El Reglamento, que sustituye a la Directiva 95/46/CE sobre protección de datos, contiene disposiciones y requisitos relacionados con el tratamiento de los datos personales de las personas, denominadas formalmente "interesados", que se encuentran en el EEE, y se aplica a cualquier empresa -independientemente de su ubicación y de la ciudadanía o residencia de los interesados- que procese información personal de personas dentro del EEE.. Las multas por el no cumplimiento del RGPD pueden llegar a los 20 millones de euros o más dependiendo del grado de gravedad que las autoridades europeas consideren.

En España, el RGPD dejó obsoleta la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD) de 1999, siendo sustituida el 6 de diciembre de 2018 por la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales, acorde con el RGPD.

El Reglamento se convirtió en un modelo para muchas otras leyes en todo el mundo, como en Turquía, Mauricio, Chile, Japón, Brasil, Corea del Sur, Sudáfrica, Argentina y Kenia, con polémicas sobre los impactos que su rigurosidad pudiese causar en países en desarrollo.Morcillo Pazos, Adrián (2021). El reglamento europeo de protección de datos y el efecto Bruselas : ¿un modelo para países en desarrollo?. https://ddd.uab.cat/record/256207 A partir del 6 de octubre de 2022, el Reino Unido mantiene la ley en idéntica forma a pesar de dejar de ser Estado miembro de la UE.

Historia Antes de una normativa específica, la única protección era la jurisprudencia de la Corte Suprema de Casación; para respetar los Acuerdos de Schengen y para dar cumplimiento a la Directiva 95/46/CE de la Unión Europea de 24 de octubre de 1995, relacionada con la protección de las personas físicas en lo que respecta al tratamiento de datos personales, se promulgó la Ley n. 675 de 31 de diciembre de 1996, que entró en vigor en mayo de 1997.

Con el paso del tiempo, esta norma se ha ido complementando con otras leyes, relativas a aspectos individuales y específicos del tratamiento de datos. La complejidad normativa que surgió a raíz de la aprobación de varias disposiciones llevó a la promulgación del d.lgs . 196 de 30 de junio de 2003, que reorganizó completamente la materia. En 2011 y 2012, otras disposiciones modificaron el Código de 2003, en particular suprimiendo algunos trámites burocráticos (como el DPS)

El 25 de enero de 2012, la Comisión Europea aprobó la propuesta de un Reglamento sobre protección de datos personales en sustitución de la Directiva 95/46/CE. El 4 de mayo de 2016 se promulgó el Reglamento de la Unión Europea n. 2016/679 (directamente aplicable sin necesidad de una ley de transposición), cuya entrada en vigor definitiva tuvo lugar el 25 de mayo de 2018.

Resumen El nuevo régimen de protección de datos de la UE amplía el alcance de la ley de protección de datos de la UE a todas las compañías extranjeras que tratan datos de residentes de la UE. Para cumplir con estas regulaciones, sin embargo, esto implica el coste de un estricto régimen de cumplimiento de protección de datos con penalizaciones severas de hasta el 4% de la facturación mundial.

El RGPD también ofrece un nuevo conjunto de "derechos digitales" para los ciudadanos de la UE en una época en la que el valor económico de los datos personales está aumentando en la economía digital.

Contenido El RGPD de 2016 consta de once capítulos, relativos a disposiciones generales, principios, derechos del interesado, obligaciones de los responsables o encargados del tratamiento, transferencias de datos personales países externos a la UE, autoridades de control, cooperación entre Estados miembros, vías de recurso, responsabilidad o sanciones por vulneración de derechos y disposiciones finales varias."Inofficial consolidated version GDPR" . Rapporteur Jan Philipp Albrecht. Retrieved 9 December 2013.Proposal for the EU General Data Protection Regulation. Comisión Europea. 25 de enero de 2012. Consultado el 3 de enero de 2013.

Alcance

El Reglamento se aplica si el responsable del tratamiento (una organización que recoge datos de residentes en la UE), o el encargado del tratamiento (una organización que trata datos en nombre de un responsable del tratamiento, como los proveedores de servicios en la nube), o el interesado (persona) tienen su sede en la UE. En determinadas circunstancias,Artículo 3: Ámbito territorial 3.1El presente Reglamento se aplica al tratamiento de datos personales en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no. 3.2El presente Reglamento se aplica al tratamiento de datos personales de interesados que residan en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con: la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago, o el control de su comportamiento, en la medida en que este tenga lugar en la Unión. 3.3El presente Reglamento se aplica al tratamiento de datos personales por parte de un responsable que no esté establecido en la Unión sino en un lugar en que el Derecho de los Estados miembros sea de aplicación en virtud del Derecho internacional público. el Reglamento también se aplica a las organizaciones con sede fuera de la UE si recogen o tratan datos personales de personas situadas dentro de la UE. El Reglamento no se aplica al tratamiento de datos por una persona para una "actividad puramente personal o doméstica y, por tanto, sin conexión con una actividad profesional o comercial". (Considerando 18El presente Reglamento no se aplica al tratamiento de datos de carácter personal por una persona física en el curso de una actividad exclusivamente personal o doméstica y, por tanto, sin conexión alguna con una actividad profesional o comercial. Entre las actividades personales o domésticas cabe incluir la correspondencia y la llevanza de un repertorio de direcciones, o la actividad en las redes sociales y la actividad en línea realizada en el contexto de las citadas actividades. No obstante, el presente Reglamento se aplica a los responsables o encargados del tratamiento que proporcionen los medios para tratar datos personales relacionados con tales actividades personales o domésticas.). Según la Comisión Europea, "los datos personales son cualquier información relacionada con un individuo, ya sea que se refiera a su vida privada, profesional o pública. Puede ser cualquier cosa desde un nombre, domicilio, foto, dirección de correo electrónico, detalles bancarios, publicaciones en sitios web de redes sociales, información médica o la dirección IP de un ordenador".European Commission’s press release announcing the proposed comprehensive reform of data protection rules. 25 de enero de 2012. Consultado el 3 de enero de 2013.

El Reglamento no pretende aplicarse al tratamiento de datos personales para actividades de seguridad nacional o aplicación de la ley de la UE; sin embargo, grupos del sector preocupados por enfrentarse a un posible conflicto de leyes han cuestionado si el artículo 48Los responsables que forman parte de un grupo empresarial o de entidades afiliadas a un organismo central pueden tener un interés legítimo en transmitir datos personales dentro del grupo empresarial para fines administrativos internos, incluido el tratamiento de datos personales de clientes o empleados. Los principios generales aplicables a la transmisión de datos personales, dentro de un grupo empresarial, a una empresa situada en un país tercero no se ven afectados. del RGPD podría invocarse para tratar de impedir que un responsable del tratamiento de datos sujeto a las leyes de un tercer país cumpla una orden legal de las autoridades policiales, judiciales o de seguridad nacional de ese país de revelar a dichas autoridades los datos personales de una persona de la UE, independientemente de si los datos residen dentro o fuera de la UE

El artículo 48 establece que cualquier sentencia de un juzgado o tribunal y cualquier decisión de una autoridad administrativa de un tercer país que obligue a un responsable o encargado del tratamiento a transferir o revelar datos personales no podrá ser reconocida ni ejecutada en modo alguno a menos que se base en un tratado internacional, como un tratado de asistencia jurídica mutua en vigor entre el tercer país solicitante (no perteneciente a la UE) y la UE o un Estado miembro. El paquete de reforma de la protección de datos también incluye una Directiva de protección de datos independiente para el sector policial y de justicia penal que establece normas sobre los intercambios de datos personales a nivel estatal, europeo e internacional.

Conjunto único de reglas y ventanilla única

Se aplica un único conjunto de normas a todos los Estados miembros de la UE. Cada miembro establecerá una Autoridad de Supervisión (SA) independiente para escuchar e investigar denuncias, sancionar infracciones administrativas, etc. Las SA de cada Estado miembro cooperarán con otras SA, proporcionando asistencia mutua y organizando operaciones conjuntas. Cuando una empresa tenga múltiples establecimientos en la UE, tendrá una sola SA como "autoridad principal", según la ubicación de su "establecimiento principal" (es decir, el lugar donde se llevan a cabo las principales actividades de tratamiento). La autoridad principal actuará como "ventanilla única" para supervisar todas las actividades de tratamiento de esa empresa en toda la UE.El Reglamento de Protección de Datos General de la UE propuesto. Una guía para abogados internos, Hunton & Williams LLP, June 2015, p. 14"Propuesta GDPR " (Artículos 46–55 de la RGPD). La Junta Europea de Protección de Datos (EDPB) coordinará las SA. El EDPB sustituye al Artículo 29 Grupo de Trabajo.

Hay excepciones para los datos tratados en un contexto laboral o de seguridad nacional, que aún podrían estar sujetos a la normativa de cada país (artículos 2.2.a y 88 del RGPD).

Responsabilidad

Los requisitos de notificación permanecen y se expanden. Deben incluir el tiempo de retención para los datos personales y la información de contacto para el controlador de datos y se debe proporcionar un delegado de protección de datos.