La notícia que Cambridge Analytica va utilitzar dades provinents de Facebook obtingudes de manera irregular per a la realització de les seves activitats comercials, reflecteix com la utilització de les dades ha d’ésser de nou repensada, ja que la posterior manipulació i utilització d’aquesta informació té avui en dia uns efectes que van des de les campanyes de publicitat “a mida” de l’usuari fins a la manipulació i propagació de fake news, per dir alguns dels més habituals.

La resposta de la UE als riscos provinents de la potencial utilització indeguda de les dades va ésser el ja comentat anteriorment reglament (UE) 2016/679, de 27 d’abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d’aquesta informació (en endavant RGPD) al territori de la Unió Europea. L’RGPD és d’obligat compliment a partir del pròxim 25 de maig, i serà d’aplicació directa, ja que la regulació espanyola que ha d’adaptar la normativa interna a la comunitària es troba encara en fase de tramitació. L’RGPD afecta totes les persones físiques, societats, organismes, entitats sense personalitat jurídica i autoritats públiques que tractin dades de caràcter personal. L’RGPD s’aplicarà sobre les dades personals, és a dir, a tota la informació relativa a una persona física per la qual pugui determinar-se la seva identitat, i en particular s’aplica al tractament automatitzat de les esmentades dades. Queden doncs excloses de l’àmbit de l’RGPD les dades relatives a les empreses. Els titulars de les dades personals, amb el nou marc normatiu, tenen nous drets que es sumen als que ja existeixen, és a dir els drets ARCO (accés, rectificació, cancel·lació i oposició), com és el propi dret dels interessats a no ser objecte d’un tractament automatitzat.

Les empreses que tractin dades personals tenen així ara noves responsabilitats: han de fer una anàlisi del nivell de riscos que implica la seva activitat per saber quines mesures de protecció de dades cal implantar en funció del tractament que realitzen, en funció de la naturalesa i les finalitats del tractament que pretenen realitzar, i han d’identificar un delegat de protecció de dades.