El próximo 30 de marzo entra en vigencia el nuevo Reglamento de la Ley de Protección de Datos Personales, norma que introduce importantes derechos y obligaciones, pero también deja algunos puntos pendientes de desarrollo:

• La obligación de notificar incidentes de seguridad, a más tardar dentro de las 48 horas posteriores a haber tenido conocimiento o constancia de los mismos, cuando se vea comprometido un gran volumen de datos personales, ya sea por la cantidad o el tipo de datos, o cuando se afecte a un gran número de personas, entre otros. ¿Tenemos claridad sobre qué criterios se emplearán para definir qué se considera un “gran volumen” o un “gran número” de afectados?

• El artículo 87.1 del Reglamento establece que los titulares de los datos personales tienen el derecho a no ser objeto de decisiones, automatizadas o no, que le produzcan efectos jurídicos, discriminación o le afecten de manera significativa, incluyendo aquellas que se basen exclusivamente en tratamientos automatizados destinados a evaluar, analizar o predecir, sin intervención humana, determinados aspectos personales del titular, como su rendimiento profesional, situación económica, estado de salud, orientación o identidad sexual, fiabilidad o comportamiento, entre otros. ¿Qué se entiende, en el Reglamento, por “efectos jurídicos”? ¿Qué constituye una “afectación significativa”? ¿Qué ocurre si el titular cuestiona estas decisiones? ¿Cómo impacta esto en el avance de la automatización y el uso de herramientas de inteligencia artificial por parte de las empresas?

Por supuesto, el Reglamento que está a punto de entrar en vigencia contempla otras disposiciones relevantes, como la obligación de contar con una política de seguridad aprobada formalmente con fecha cierta (un tema adicional por regularizar), la obligación de designar a un Oficial de Protección de Datos, el derecho a la portabilidad de los datos personales, entre otras.

A tan poco tiempo de su entrada en vigor, ¿tenemos claro el alcance de todas las obligaciones y están debidamente comunicadas dentro de nuestras organizaciones? ¿Estamos preparados?