La semana pasada la Comisión Europea presenta una propuesta de Ley que busca modernizar la Directiva de Protección de Datos de 1995 con el fin de garantizar el derecho a la privacidad en el futuro.

Todos los días empresas, autoridades públicas y usuarios transfieren datos entre los estados miembros de la Unión Europea, sin que exista una legislación común, lo que no sólo genera preocupación entre los usuarios, que sienten que no controlan sus datos, sino entre las empresas, que deben estar atentas a los cambios en la legislación de los 27 países miembros.

Una única ley acabará con la fragmentación actual y los costosos trámites administrativos entre fronteras, lo que permitirá ahorros de cerca de 2.300 millones de euros anuales.

La nueva propuesta quiere dar cumplimiento a los dos sectores, por un lado que los usuarios tengan un mayor control sobre sus datos, y por otro que las empresas puedan enfrentarse a un mercado único con una legislación única. Pero serán las empresas y organizaciones quienes más sentirán el peso de la ley, y no sólo porque hay multas para quienes no la cumplan, sino porque tendrán que tener un férreo control sobre los datos de los usuarios y al mismo tiempo ser lo suficientemente flexibles como para hacer cambios cuando la persona lo exija.

Lo primero que debe tenerse en  cuenta es que un dato personal puede ser muchas cosas, no sólo un nombre, una foto, una dirección de correo, detalles del banco o información médica, sino lo que hacemos, dónde estamos o lo que nos gusta.

Uno de los cambios que propone la ley es el “Derecho al Olvido”, es decir que el usuario tendrá la oportunidad de pedir que se eliminen todos sus datos de las cientos de bases de datos que hay en internet, incluso cuando el dato esté procesado por una empresa que no estén en Europa. Con ello se buscar fortalecer los derechos individuales.

Las mayores implicaciones de la ley, no obstante, caen del lado de las empresas, a las que se les exigirá, entre otras cosas, que informen de una brecha de seguridad en las primeras 24 horas después de que se produzca. Claro que primero la empresa debe enterarse de que sus redes y servidores se han visto atacados y la información que almacenan está en malas manos.

Esta será una de las mayores presiones a las que se verán sometidas las empresas cuando la ley entre en vigor, previsiblemente dos años después de su aprobación. Se pone de manifiesto que la mayoría de las empresas no cuentan con la seguridad adecuada y son muy pocas las que cuentan con un plan de prevención de pérdida de datos.