RGPD

I. Introducción

El 20 de junio de 2018, Francia adoptó la Ley n.º 2018-493 sobre protección de datos personales, con el fin de transponer el Reglamento General de Protección de Datos (RGPD). Esta ley revisa y consolida la Ley de Protección de Datos de 1978.

La Comisión Nacional de Informática y Libertades (CNIL), como autoridad nacional de control, es responsable de la supervisión, orientación y aplicación del RGPD y su normativa de transposición en Francia.

De este modo, Francia ha establecido un sistema de protección de datos personales conforme a los requisitos de la Unión Europea.

II. Ámbito de aplicación

El RGPD se aplica en Francia a:

cualquier responsable del tratamiento o subcontratista establecido en territorio francés;

cualquier organización ubicada fuera de Francia que ofrezca bienes o servicios a personas físicas ubicadas en Francia, o que supervise su comportamiento en territorio francés.

Independientemente del lugar donde se realice el tratamiento, siempre que se trate de datos personales de personas físicas ubicadas en Francia, la ley es aplicable.
Abarca tanto el tratamiento automatizado como el no automatizado que forma parte de un sistema de archivos.

Las actividades de carácter exclusivamente personal o doméstico no entran dentro de su ámbito de aplicación.

III. Principios del tratamiento de datos

Licitud, equidad y transparencia: Todo tratamiento debe tener una base jurídica clara y realizarse de forma transparente.

Limitación de la finalidad: Los datos solo podrán utilizarse para fines específicos y legítimos.

Minimización de datos: Solo se recopilarán los datos estrictamente necesarios.

Exactitud: Los datos deben ser exactos y actualizarse periódicamente.

Limitación del plazo de conservación: Los datos solo se conservarán durante el tiempo estrictamente necesario y, posteriormente, se eliminarán o anonimizarán.

Seguridad y confidencialidad: Deben implementarse medidas técnicas y organizativas adecuadas para prevenir cualquier violación, alteración o pérdida de datos.

IV. Derechos de los interesados

De conformidad con el RGPD y la legislación francesa, las personas físicas tienen los siguientes derechos:

Derecho a la información y al acceso;

Derecho de rectificación;

Derecho de supresión (derecho al olvido);

Derecho a la limitación del tratamiento;

Derecho a la portabilidad de los datos;

Derecho de oposición.

Para menores de 15 años, el tratamiento de sus datos requiere el consentimiento de un progenitor o tutor legal, y la información debe proporcionarse en un lenguaje claro y comprensible.

V. Obligaciones de los subcontratistas

Los subcontratistas deben:

cumplir estrictamente las instrucciones escritas del responsable del tratamiento;

implementar medidas de seguridad adecuadas;

asistir al responsable del tratamiento en el ejercicio de sus obligaciones, en particular para responder a las solicitudes de los interesados;

notificar al responsable del tratamiento sin demora cualquier violación de la seguridad de los datos, quien deberá informar a la CNIL en un plazo de 72 horas.

Los responsables del tratamiento deben mantener un registro de las actividades de tratamiento y realizar una evaluación de impacto relativa a la protección de datos (EIPD) en caso de riesgos elevados.

Algunas organizaciones también deben designar un delegado de protección de datos (DPD) y un registrador ante la CNIL.

VI. Transferencias internacionales de datos

Cuando se prevé una transferencia a un país no perteneciente a la UE, el responsable del tratamiento debe garantizar un nivel adecuado de protección. Esto puede lograrse mediante:

una decisión de adecuación de la Comisión Europea;

o la firma de las Cláusulas Contractuales Tipo (CCT).

Desde la invalidez del «Escudo de Privacidad» el 16 de julio de 2020, las empresas francesas deben utilizar las nuevas cláusulas contractuales tipo adoptadas el 4 de junio de 2021 o cualquier otro mecanismo legal.

VII. Seguimiento e implementación

La CNIL (Comisión Nacional de Informática y Libertades) tiene amplias facultades, entre las que se incluyen:

emitir advertencias o notificaciones formales;

restringir o prohibir determinados tratamientos;

Imponer multas de hasta 20 millones de euros o el 4 % de la facturación global, la cantidad que sea mayor.

La legislación francesa también permite a las personas físicas establecer directrices sobre el uso de sus datos tras su fallecimiento. En caso contrario, el tratamiento debe ajustarse a la normativa vigente.

El marco del RGPD francés tiene como objetivo garantizar los derechos de las personas físicas, reforzar el cumplimiento normativo de las empresas y fomentar la confianza en el entorno digital.