Tal y como explicó José Luis Piñar, catedrático de Derecho Administrativo en CEU Universidad San Pablo y ex-director de la Agencia Española de Protección de Datos, el nuevo RGPD se aplica directamente en todos los estados miembros de la Unión Europea. Esto requiere una trasposición, que en España llegará en forma de Ley Orgánica, “la cual se está debatiendo ahora mismo en el Congreso de los Diputados y que se prevé que se aprobará a final de año”.
Según Piñar, para el sector turístico “es vital manejar datos de carácter personal y siempre se ha preocupado del buen uso de estos datos. La protección de datos no impide utilizarlos, pero marca cómo hacerlo para conseguir la finalidad que queremos”. “El nuevo reglamento nos lleva de un modelo de gestión de protección de datos a un modelo responsable de la información y esto se traduce en muchos elementos novedosos”, comentó Piñar, destacando el Principio de Responsabilidad Proactiva.
Con el nuevo reglamento, que entrará en vigor el 25 de mayo, desaparece el consentimiento tácito en favor del consentimiento explícito
Con el nuevo RGPD aparece la nueva figura jurídica de delegado de protección de datos. Las compañías del sector turístico no están obligadas a hacerlo, a diferencia de las entidades financieras y colegios profesionales por ejemplo, por lo que cada hotel debe decidir si incorpora un delegado o no. Según José Luis Piñar, esta figura debe tener tres características: experiencia en protección de datos, conocimientos en derecho y que sea capaz de actuar con absoluta independencia dentro de la organización.
Además, participaron en una mesa redonda moderada por el abogado y presidente de la Fundación Xavier, Eugeni Gay, la abogada y decana del Colegio de Abogacía de Barcelona, Mª Eugenia Gay; el abogado especializado en nuevas tecnologías, Marc Rius; y el director de la Agència Catalana de Turisme de la Generalitat, Patrick Torrent. En este marco, los ponentes reconocieron que el Sector Hotelero siempre ha estado preocupado por la protección de datos. Según Mª Eugenia Gay, “el artículo 8.1 de la carta de los derechos fundamentales de la Unión Europea señala que cada persona tiene derecho a la protección de los datos de carácter personal que le conciernan sobre su actividad, domicilio, libertad de pensamiento, libertad de expresión e información”. Gay subrayó la importancia de que las empresas turísticas “forman parte del círculo de confianza de vuestros consumidores”.
El RGPD contempla el derecho a la limitación del tratamiento de los datos y las empresas deberán cumplirlo puesto que el impacto económico de las sanciones cobra mucha más importancia. “Con el nuevo reglamento europeo, las multas pueden llegar hasta 20 millones de euros o hasta el 4% del volumen total anual global de la compañía, por infracciones graves como vulneración de los principios básicos, tratamiento ilícito, consentimiento inválido, finalidad distinta a la anunciado, tratamiento inadecuado de datos sensibles y omisión del deber de información, entre otras”, comentó Marc Rius.
Consentimiento explícito e interés legítimo, pilares del RGDP
En cuanto al consentimiento, desaparece el consentimiento tácito o por omisión. “Con la nueva normativa debe ser explícito y las casillas premarcadas no son válidas”, explicó Piñar, que apuntó que el interés legítimo de las empresas podría amparar el consentimiento “que es un título habilitante que apenas se ha aplicado en España y que ahora cobra relevancia”.
“El envío de publicidad al cliente si se ha alojado en el hotel podría considerarse en interés legítimo del hotel y podría no requerir el consentimiento explícito del cliente si se puede justificar que, efectivamente, es información relevante para el titular de los datos, algo que no se puede hacer con clientes potenciales”, comentó. “El dato es siempre del titular o cliente, no pertenece a las empresas. Siempre tratamos datos ajenos. Si no informamos al dueño del dato y él no sabe qué estamos haciendo con sus datos podemos sufrir consecuencias gravísimas”, advirtió.
