La nueva Ley de Protección de Datos de Islandia y la aplicación del GDPR

La Ley islandesa de protección de datos y tratamiento de datos personales nº 90 de 27 de junio de 2018 es una ley de protección de datos aprobada recientemente en Islandia. Si bien el país de Islandia no es un estado miembro de la UE, es miembro del Espacio Económico Europeo o EEE para abreviar, y como tal como sujeto a las disposiciones del Reglamento General de Protección de Datos o GDPR. Hasta este punto, la Ley de Protección de Datos y Tratamiento de Datos Personales nº 90, de 27 de junio de 2018, implementa la ley GPDR de la UE en la legislación islandesa, de acuerdo con las disposiciones del GDPR que permiten a los países aprobar sus propias leyes de privacidad de datos para complementar las proyecciones ofrecidas por el GDPR. Por consiguiente, la recogida y el tratamiento de datos personales en Islandia están regulados por ambas leyes.

Cómo se definen los responsables y encargados del tratamiento en la Ley islandesa de protección y tratamiento de datos personales nº 90 de 27 de junio de 2018?

En virtud de la Ley islandesa de protección de datos y tratamiento de datos personales nº 90, de 27 de junio de 2018, un responsable del tratamiento se define como la “persona física o jurídica, autoridad pública u otro organismo que determina, solo o conjuntamente con otros, los fines y medios del tratamiento de datos personales.” Alternativamente, un procesador de datos se define como una “persona física o jurídica, autoridad pública, agencia u otro organismo que procesa datos personales en nombre del controlador.” Además, la ley define los datos personales como “información sobre una persona física identificada o identificable (interesado); una persona física identificable es aquella cuya identidad puede determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos específicos de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona física”.

¿Cuáles son las obligaciones de los responsables y encargados del tratamiento en virtud de la ley?

Dado que la Ley islandesa de Protección de Datos y Tratamiento de Datos Personales nº 90, de 27 de junio de 2018, incorpora el RGPD de la UE a la legislación islandesa, los requisitos de los responsables y encargados del tratamiento en virtud de la primera son muy similares a los de la segunda. Sin embargo, hay algunas variaciones entre las dos leyes en lo que respecta a las obligaciones y deberes de los controladores y procesadores de datos que operan dentro de Islandia. Por ejemplo, mientras que la ley GPDR de la UE ordena que los controladores y procesadores de datos proporcionen a los interesados notificaciones de violación de datos en caso de que se produzca una violación de datos, la Ley de Protección de Datos y Tratamiento de Datos Personales n.º 90 de 27 de junio de 2018 de Islandia esboza ciertas excepciones a su regla. Estas excepciones incluyen casos en los que dichas notificaciones no servirían a los intereses de seguridad nacional de Islandia, o casos en los que dichas notificaciones disuadirían la investigación o el enjuiciamiento de delitos penales.

Por el contrario, la Ley islandesa de protección de datos y tratamiento de datos personales n.º 90, de 27 de junio de 2018, también impone ciertos requisitos a las evaluaciones de impacto del tratamiento de datos. Según la ley, la autoridad islandesa de protección de datos o el Persónuvernd para abreviar tiene la autoridad para “hacer pública una lista del tipo de operaciones de procesamiento que están sujetas al requisito de una DPIA.” Además, la ley también impone ciertos requisitos a los responsables y encargados del tratamiento en lo que respecta a los datos personales sensibles. Por ejemplo, “el tratamiento de datos personales relativos a condenas e infracciones penales no debe ser llevado a cabo por las autoridades oficiales, a menos que dicho tratamiento sea necesario para la ejecución de sus actividades legales.”

Cuáles son los derechos de los ciudadanos islandeses en virtud de la Ley de protección de datos y tratamiento de datos personales nº 90, de 27 de junio de 2018?

Los derechos de los ciudadanos islandeses son en gran medida los mismos que los previstos para los ciudadanos de los Estados miembros de la UE en el Reglamento general de protección de datos. Por ejemplo, en lo que respecta al derecho del interesado a oponerse al tratamiento de sus datos personales, “El Registro Nacional de Islandia (“Registros de Islandia”) mantiene un registro de las personas que se oponen a que sus nombres se utilicen con fines comerciales. El Ministro, en colaboración con Persónuvernd, dicta otras normas sobre los Registros de Islandia y la información que puede registrarse en ellos”. Además, en cuanto al derecho de los interesados a acceder a sus datos personales recogidos o tratados, este derecho puede restringirse en determinadas circunstancias. Estas circunstancias incluyen los casos en los que el derecho del interesado a acceder a sus datos personales entre en conflicto con la seguridad pública o la defensa nacional de Islandia.

En cuanto a las sanciones relativas al incumplimiento de la ley, el Persónuvernd también tiene autoridad para hacer cumplir las disposiciones de la Ley islandesa de protección de datos y tratamiento de datos personales n.º 90, de 27 de junio de 2018. Dicha autoridad permite al organismo regulador imponer una multa diaria de hasta 200.000 coronas islandesas (1.540 dólares) a los responsables y encargados del tratamiento que infrinjan las disposiciones de la ley. Es más, dichos responsables también están sujetos a otras multas administrativas, que pueden oscilar entre 100.000 ISK (770 $) y 1,2 millones ISK (9.243 $), o “hasta el 2% del volumen de negocios total anual a nivel mundial del ejercicio financiero precedente, el que sea mayor”, dependiendo del alcance y la gravedad de la infracción en cuestión.

El país de Islandia tiene una larga historia de proporcionar protección de datos personales a sus respectivos ciudadanos, y la aprobación de la Ley de Islandia sobre Protección de Datos y Tratamiento de Datos Personales n.º 90, de 27 de junio de 2018, solo respalda aún más este hecho. De conformidad con la ley GDPR de la UE, los ciudadanos islandeses gozan de un nivel de protección de datos que ofrecen pocos países del mundo. En particular, la capacidad del Persónuvernd de imponer multas diarias a los responsables y encargados del tratamiento que incumplan la ley representa una sanción muy elevada, las disposiciones de la ley garantizan que los ciudadanos islandeses puedan tener la tranquilidad de que sus datos personales están protegidos en todo momento.