Que el RGPD se simplifique no cambia lo que tienes que hacer

Esta semana los países de la Unión Europea han fijado por fin una postura común sobre el paquete de simplificación que lleva meses negociándose, el llamado Digital Ómnibus. Toca al RGPD, a las cookies y a cómo se notifican los incidentes de ciberseguridad. Todavía falta que el Parlamento Europeo diga la suya, pero la dirección ya está clara: menos papeleo, menos trámites repetidos, normas más fáciles de aplicar para quien no tiene un departamento legal detrás.

Llevo años escuchando a clientes pedir exactamente esto. "¿No se puede simplificar?", me preguntan después de la tercera reunión explicando qué es una base de licitud. Así que cuando leo la noticia, una parte de mí se alegra. La otra parte, la que lleva más tiempo en esto, sabe que "simplificar" en una ley casi nunca significa "hacer menos trabajo real". Significa, casi siempre, escribir con menos palabras algo que sigue siendo igual de importante.

Lo que me preocupa no es que la norma vaya a cambiar. Me preocupa cómo la van a leer algunos de mis clientes. Ya he tenido conversaciones esta semana con empresarios que, al ver el titular, dan por hecho que dentro de poco "va a ser todo más fácil" y que pueden relajar lo que ya tenían en marcha: los contratos con proveedores, los plazos de respuesta a sus clientes, la formación del personal. Y no es eso. El texto puede acortarse. Lo que un negocio tiene que hacer con los datos de las personas que confían en él no se acorta con él.

Hay un detalle del acuerdo que me parece revelador, aunque suene técnico. Los países quieren endurecer, no relajar, las reglas para los datos que se han hecho anónimos a medias (lo que la ley llama seudonimizados) cuando se entregan a alguien que sí puede volver a identificar a la persona detrás. Es justo el error que más veces he visto repetirse en auditorías: una empresa cree que, por quitarle el nombre a una lista antes de pasársela a otro, ya ha "anonimizado" los datos, y legalmente sigue teniendo la misma responsabilidad de siempre. Qué paradoja que, en medio de un paquete para simplificar, el único punto que se endurece sea justo el que peor entendido está entre mis clientes.

Si diriges un negocio, mi consejo esta semana no tiene que ver con la negociación en Bruselas, que todavía durará meses antes de convertirse en ley. Tiene que ver con no usar la palabra "simplificación" como excusa para bajar la guardia antes de tiempo. Lo que protege a tus clientes y a tus empleados no es el número de artículos que tenga el reglamento. Es que alguien en tu empresa sepa, hoy, qué hace con sus datos y por qué. Eso no lo va a cambiar ningún Ómnibus, llegue cuando llegue.

Rubén Cerviño Pérez, fundador de Guardián de Datos