La base del RGPD
Como Estado miembro de la UE, esta jurisdicción aplica directamente el Reglamento General de Protección de Datos (RGPD): todo uso de datos personales requiere una de seis bases legales, las personas tienen derecho a acceder, rectificar, suprimir y portar sus datos, las violaciones de seguridad deben notificarse en un plazo de 72 horas, y las multas alcanzan los EUR 20 millones o el 4 % de la facturación mundial. Sumado a esto, la transposición nacional de la Directiva ePrivacy exige el consentimiento previo para las cookies y el rastreo similar, con el marketing electrónico sobre una base de opt-in, atenuada únicamente por la excepción de cliente existente.
Para los anunciantes, eso significa que aquí se aplica en su totalidad el manual estándar de la UE: consentimiento antes del seguimiento y la segmentación conductual, una plataforma de consentimiento conforme a la normativa, mecánica de transferencias documentada para cualquier infraestructura fuera de la UE, y un ojo puesto en las negociaciones del Digital Omnibus, que podrían modificar las normas de cookies una vez que se adopte un texto final. Los detalles nacionales a continuación son lo que este Estado miembro añade o enfatiza.
La capa nacional
La norma nacional de transposición es la Ley de Protección Jurídica de Datos Personales, y la supervisión cotidiana corresponde a la VDAI. La VDAI impuso una de las primeras multas del RGPD en el mundo (contra la empresa de pagos MisterTango en 2019) y, más tarde, una sanción de 2,4 millones de euros contra Vinted por el manejo de los derechos de los interesados.
Instrumentos clave
RGPD + Ley de Protección Jurídica de los Datos Personales
La VDAI impuso una de las primeras multas del RGPD en el mundo (contra la empresa de pagos MisterTango en 2019) y, más tarde, una sanción de 2,4 millones de euros contra Vinted por el manejo de los derechos de los interesados.
Marketing y publicidad
Se requiere una base legal del RGPD; consentimiento conforme a la normativa ePrivacy para cookies y rastreo. Trate la nota sobre consentimiento anterior como la regla de planificación; la línea de sanciones a continuación es lo que cuesta calcularla mal.
Transferencias internacionales
El Capítulo V del RGPD se aplica en su totalidad, de modo que los datos personales solo salen del EEE bajo una decisión de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes o una excepción limitada, con una evaluación de impacto de la transferencia esperada cuando el destino esté expuesto a leyes de vigilancia. La mecánica es idéntica en todo el bloque, de modo que una estructura de transferencias creada para un Estado miembro sirve para todos ellos.
Aplicación y sanciones
Se aplica el límite máximo del RGPD, con multas de hasta EUR 20 millones o el 4 % de la facturación anual mundial, lo que sea mayor, impuestas por la autoridad nacional de supervisión, y el EDPB puede forzar una postura más estricta mediante el mecanismo de resolución de conflictos. Los Estados miembros comparten el límite máximo, pero difieren en su disposición a hacer cumplir la norma.