GDPR

RGPD, GDPR Y EL APOCALIPSIS DATA

Como podéis ver por la cuenta atrás que tengo en el margen superior izquierdo de mi blog, queda nada y menos para el final.

Ya casi llega el día 25 de mayo, y aquí me tenéis, escribiendo artículos humorísticos en lugar de salvar a mis responsables de fichero de una muerte segura…

Pero es que hoy me he despertado y he pensado: total, para dos telediarios que nos quedan, ¿para qué vamos a andar haciendo adaptaciones al RGPD?

Sabéis de sobra que a las 00:00:01 del día 25 de mayo se acaba todo.

Ya huele a apocalipsis data. La energía básica RGPDera fluye a nuestro alrededor con tintes de muerte y destrucción. Se percibe el chisporroteo en los átomos del aire, como cuando viene una tormenta.

Y tú sigues sin estar adaptado… Porque claro, desde el año 2000 hasta hoy no has tenido tiempo. Qué me vas a contar.

(Si me llamas el día 24 mayo de mayo a las 23:59 para que te adapte el RGPD, te lo hago gratis y además te regalo un pato, como el de la foto de arriba).

La prueba evidente de que ya no tiene sentido que os adaptéis a nada, es que el propio Registro de la Agencia Española de Protección de Datos, cerró sus puertas hace 3 días. No os engaño. Esta es la noticia oficial en su web oficial con su correspondiente tono oficial:

https://www.agpd.es/portalwebAGPD/canalresponsable/inscripcion_ficheros/index-ides-idphp.php

Breve pero intensa.

Amiguitos, esto se termina.

¡Si hasta la Agencia ha cerrado su registro! ¿Es que no lo entendéis? ¡Es el fin! ¡Ya ni siquiera puedes inscribir tus ficheros, tras un ligero retraso de 18 años! ¡Por los clavos del RGPD!

¿Qué vais a hacer ahora?

Os lo advertí. Os lo dije, pero no quisisteis escucharme.

Nubes negras y tormentas apocalípticas asoman amenazantes en el horizonte.

Esta vez no se salva ni Noé…

Los funcionarios del hoy silencioso y desierto Registro de la Agencia Española de Protección de Datos, vagan por un Madrid oscuro y desdatado, como almas sin cifrar en pena, como zombis proactivos de instestino hiperactivo, buscando trabajo. Dicen las malas lenguas que algunos han encontrado empleo como Delegados de Protección de Datos de grandes empresas o como consultores de Certificadoras de Delegados y LOPD…

Ya vivimos, ya reímos, ya lloramos, ya pecamos, ya temimos, ya luchamos, ya gozamos… pero nos llegó la hora. Ahora toca dormir para siempre.

No creo que se esté tan mal al otro lado, en un mundo sin datos que proteger, sin autoridades de control, sin delegados de protección de datos, sin análisis de riesgos, sin evaluaciones de impacto, sin registro de actividades…

Sólo la paz de la nada, la insoportable levedad del no ser.

“Vi que el Cordero rompió el sexto sello, y se produjo un gran terremoto. El sol se oscureció como si se hubiera vestido de luto, la luna entera se tornó roja como la sangre, y las estrellas del firmamento cayeron sobre la tierra, como caen los higos verdes de la higuera sacudida por el vendaval.”

Apocalipsis 6:12-13

Señores, prepárenseme: se nos va a caer el pelo.

La gran mentira del RGPD

Pensaréis que soy muy pesada y muy cansina, pero es que no paro de escuchar tonterías y más tonterías sobre el Reglamento General de Protección de Datos europeo (RGPD o GDPR).

No son pocos los clientes que me cuentan que están siendo sometidos a auténticos acosos por parte de comerciales que casi amenazan con los riesgos de no adaptarse al RGPD.

De hecho, los padres, ya no asustan a sus hijos pequeños con aquello de “que viene el coco”. Ahora les dicen “nene, duérmete ya, que si no vendrá el inspector de la Agencia Española de Protección de Datos con su RGPD bajo el brazo y te multará”.

Malos tiempos para la protección de datos (aunque muchos crean que son excelentes y pretendan hacer su agosto). Corren días de bulos, desinformación, tomaduras de pelos y despropósitos, que me hacen plantearme seriamente dedicarme a otra cosa.

No hace mucho, un cliente me mostraba pasmado un presupuesto que le habían hecho llegar para cubrir el servicio de Delegado de Protección de Datos: mil quinientos euros al mes. Puede parecer poco según qué organización, pero te aseguro, lector, que en esta entidad no tenía lógica ni justificación.

Es abusar por abusar.

Y es que a medida que avanzo en el estudio y la aplicación del RGPD, me convenzo más de que es una gran tomadura de pelo, y una indiscutible estafa.

La gran mentira del RGPD. Sí, señor.

Se está haciendo una magnífica campaña de difusión de la norma (cuando hasta ahora casi no se hablaba de ella, empezando por la propia Agencia Española de Protección de Datos), propiciada –entiendo- por certificadoras y consultoras de LOPD, porque ahora interesa vender sellitos y delegados de protección de datos.

Todo es nuevo. Todo es terriblemente sancionable. Todo es un universo inexplorado donde, si no entras, mueres.

Adaptarse o morir.

Pues no, señores: El RGPD es una gran mentira.

¿Quiere decir eso que no tenemos que adaptarnos al RGPD? Por supuesto que no quiere decir eso. Sí que hay que adaptarse. Es más: tenías que estar adaptado desde hace varias décadas.

Es como conducir a la velocidad reglamentaria. No puedes superar los 120 km/h en autovía y lo sabes.

Partiendo de que ya debías estar adaptado antes a la LOPD (sí, esa a la que te has pasado toda la vida sin hacerle el menor caso), adaptarse al RGPD es bastante simple.

Me atrevo a decir que en un 95% el RGPD es lo mismo de antes pero poniéndole otro nombre a las mismas cosas que ya había, para que un montón de ingenuos como tú, crean que todo ha cambiado, y para que los consultores puedan llamarte y decirte “uuuuhhh, que el día 25 de mayo viene el RGPD…”.

Algunos ejemplos demostrables de que el RGPD es un timo:

1º. La responsabilidad proactiva: esto es igual que los actimel, como diría mi amigo Antonio el SEO. ¿Qué pasa? ¿Que con la LOPD los responsables de tratamiento tenían que ser PROPASIVOS? Siempre han debido ser activos en la aplicación de la norma y estar en condiciones de demostrar que la cumplen. ¿Dónde está la novedad?

2º. La obligación de contratar a encargados de tratamiento que estén adaptados al RGPD (artículo 28.1 RGPD ). ¿Alguien se ha leído el artículo 20.2 de nuestro RD 1720/2007, de 21 de diciembre, por curiosidad? Pues dice exactamente lo mismo. Y desde hace once añitos, ojo. Pues bien, ahora esto lo pintan como el fin del mundo.

3º. El Delegado de Protección de Datos. No es tan distinto de lo que debía haber sido un Responsable de Seguridad, definido desde hace once años en el artículo 95 del citado Reglamento Español. Una persona encargada de coordinar y controlar las medidas de seguridad. Igual que el “nuevo” DPD. El RGPD lo que ha hecho es especificar en qué casos se nombra ahora, detallar más sus funciones, ponerlas acorde con la nueva norma, y definir su calidad y su naturaleza. Y hacerlo certificable o susceptible de ser certificado, ojo.

4º. El análisis de riesgos con su cuestionario de cumplimiento normativo: las auditorías de toda la vida, vamos. Antes se hacían cada dos años y sólo en ciertos casos. Y ahora son extensibles a todos los responsables de tratamiento. Pero mantienen la misma estructura del sistema de auditorías que la propia AEPD proponía en su Guía de seguridad de 2010 (http://www.agpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/Guias/GUIA_SEGURIDAD_2010.pdf ). Riesgos-Deficiencias-Controles.

5º. El Registro de Actividades de Tratamiento: es lo mismo que hacíamos cuando notificábamos los ficheros a la AEPD. Le cambian el nombre y lo exigen a nivel interno y no mediante inscripción en el Registro. Hace mil años que debías tener hecho tu registro…

Y puedo seguir, pero es hasta aburrido.

Cuidado, en definitiva, con lo que te cuentan y con lo que te crees. Internet es muy mentiroso. Los comerciales de LOPD, también.

Se nota que hoy estoy un poco mosqueada, ¿verdad?, jeje.

¿Te suenan de algo las siglas GDPR o RGPD?

Si eres autónomo, tienes una empresa, o formas parte de otro tipo de entidad, lo más probable es que sí, porque en los últimos meses se ha convertido en un tema de actualidad y de preocupación en casi todos los sectores profesionales y empresariales.

El GDPR no es una novedad, ciertamente. Es otra normativa de protección de datos europea que hereda muchos de los principios que ya se aplicaban desde hace años y que introduce algunas novedades (y algunas ni siquiera son muy novedosas, todo hay que decirlo).

GDPR se corresponde a las siglas en inglés de General Data Protection Regulation, y no es otra cosa que el famoso Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).

Sus siglas en español son RGPD.

Así que habrás oído u oirás hablar de él de las dos formas: GDPR y RGPD.

El GDPR está en vigor desde el pasado 25 de mayo de 2016, y será plenamente aplicable desde el 25 de mayo de 2018.

Sois muchos los que me preguntáis si ya os podéis adaptar al GDPR o si tenéis que esperar al 25 de mayo próximo.

Sí que podéis. En términos generales, el Reglamento te dice cómo y en los últimos meses la Agencia Española de Protección de Datos ha emitido instrucciones en su web sobre cómo llevarlo a la práctica.

Eso no quiere decir ni mucho menos que ya esté todo perfectamente definido y perfilado, pero en general la adaptación se puede hacer. Y no sólo se puede, sino que se debe, de manera que el 25 de mayo próximo ya deberías haberla llevado a cabo.

Algunos detalles siguen en el aire, ya que estamos a la espera de la aprobación de la nueva LOPD española, que ha de ajustarse al marco del Reglamento Europeo.

Pero insisto, en lo esencial, te puedes adaptar ya a la normativa.

Si ya estabas adaptado previamente a la LOPD, te resultará más fácil y estarás ya familiarizado con la mayoría de los conceptos.

Si no, tampoco es el fin del mundo. La adaptación no se ha complicado en exceso.

Eso sí, una vez más te recomiendo que te andes con mucho ojo con ese juego despreciable de la desinformación en el que participan un montón de falsos asesores. Te desinformarán vilmente con tal de venderte servicios que probablemente no necesites.

Y mucha atención al juego de las certificadoras.

El GDPR –no me cabe la menor duda- es básicamente un invento de las certificadoras europeas, para seguir viviendo del cuento del que siempre han vivido.

Es cierto que el GDPR recoge en sus artículos la posibilidad de certificarse tanto en cumplimiento del Reglamento, como en Delegado de Protección de Datos. Pero las certificaciones no son en ningún caso obligatorias.

Siempre he dicho y seguiré diciendo que las certificaciones son una tomadura de pelo y una estafa. Pagas (y no poco) por conseguir un sello. Y encima, sigues pagando por renovarlo periódicamente.

Así también me certifico yo. En Máster del Universo Experto en Protección de Patos, por ejemplo.

O de datos.

O de gatos.

O de lo que se tercie.