La base del RGPD
Como Estado miembro de la UE, esta jurisdicción aplica directamente el Reglamento General de Protección de Datos (RGPD): todo uso de datos personales requiere una de seis bases legales, las personas tienen derecho a acceder, rectificar, suprimir y portar sus datos, las violaciones de seguridad deben notificarse en un plazo de 72 horas, y las multas alcanzan los EUR 20 millones o el 4 % de la facturación mundial. Sumado a esto, la transposición nacional de la Directiva ePrivacy exige el consentimiento previo para las cookies y el rastreo similar, con el marketing electrónico sobre una base de opt-in, atenuada únicamente por la excepción de cliente existente.
Para los anunciantes, eso significa que aquí se aplica en su totalidad el manual estándar de la UE: consentimiento antes del seguimiento y la segmentación conductual, una plataforma de consentimiento conforme a la normativa, mecánica de transferencias documentada para cualquier infraestructura fuera de la UE, y un ojo puesto en las negociaciones del Digital Omnibus, que podrían modificar las normas de cookies una vez que se adopte un texto final. Los detalles nacionales a continuación son lo que este Estado miembro añade o enfatiza.
La capa nacional
La ley nacional de implementación es la Ley de Protección de Datos (1050/2018), y la supervisión del día a día corresponde a la Oficina del Data Protection Ombudsman. La junta de sanciones del Ombudsman ha multado a responsables del tratamiento de los sectores postal, de psicoterapia y de taxis; la brecha de datos de Vastaamo, en el sector de la psicoterapia, también derivó en condenas penales, un recordatorio de que la aplicación de la ley en los países nórdicos puede alcanzar a personas físicas.
Instrumentos clave
RGPD + Ley de Protección de Datos (1050/2018)
La junta de sanciones del Ombudsman ha multado a responsables del tratamiento de los sectores postal, de psicoterapia y de taxis; la brecha de datos de Vastaamo, en el sector de la psicoterapia, también derivó en condenas penales, un recordatorio de que la aplicación de la ley en los países nórdicos puede alcanzar a personas físicas.
Marketing y publicidad
Se requiere una base jurídica conforme al RGPD; consentimiento conforme a la ePrivacy para cookies y rastreo. La mayoría de las decisiones de canal aquí se derivan de esa regla de consentimiento.
Transferencias internacionales
El Capítulo V del RGPD se aplica en su totalidad, de modo que los datos personales solo salen del EEE bajo una decisión de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes o una excepción limitada, con una evaluación de impacto de la transferencia esperada cuando el destino esté expuesto a leyes de vigilancia. La mecánica es idéntica en todo el bloque, de modo que una estructura de transferencias creada para un Estado miembro sirve para todos ellos.
Aplicación y sanciones
Se aplica el límite máximo del RGPD, con multas de hasta EUR 20 millones o el 4 % de la facturación anual mundial, lo que sea mayor, impuestas por la autoridad nacional de supervisión, y el EDPB puede forzar una postura más estricta mediante el mecanismo de resolución de conflictos. Los Estados miembros comparten el límite máximo, pero difieren en su disposición a hacer cumplir la norma.