GDPR: La Guía más Exhaustiva para Cumplir con la Normativa

La Regulación General de la Protección de Datos de la UE (GDPR) es una regulación emitida por la Comisión Europea, el Parlamento Europeo y el Consejo de Ministros de la Unión Europea con el fin de reforzar y unificar la protección de datos de los individuos de la UE. Es el cambio más importante en la regulación de privacidad de datos en los últimos 20 años, según el portal de GDPR. La preparación y el debate tardaron cuatro años hasta que finalmente fue aprobada por el Parlamento de la UE el 14 de Abril de 2016.

La Regulación de la Protección General de Datos hace una gran declaración sobre los datos privados de los individuos y su derecho a solicitar a los controladores y procesadores de datos que eliminen, corrijan y reenvíen sus datos. En consecuencia, la GDPR presenta importantes cambios en comparación con la Directiva de Protección de Datos 95/46/CE, que implican cambios operativos en las organizaciones. Éstas impondrán multas más estrictas en caso de no proteger adecuadamente a los ciudadanos de la UE.

Jurisdicción extendida

La GDPR define claramente la aplicabilidad territorial, afirmando que se aplica a todas las organizaciones que colectan y procesan datos personales de individuos residentes en la UE, independientemente de la ubicación de la empresa. Por lo tanto no importa si el procesamiento se lleva a cabo en la UE o no. Por ejemplo, una empresa con sede en Estados Unidos, que ofrece bienes o servicios a ciudadanos de la UE, está bajo la jurisdicción de la GDPR.

Consentimiento

No más avisos evasivos de consentimiento. Todas las organizaciones estarán obligadas a obtener el consentimiento de las personas para almacenar y utilizar sus datos y deben explicar cómo se utilizan. En cualquier momento después de que la regulación entre en vigor, los recolectores de datos deben ser capaces de probar que se ha obtenido el consentimiento. Para los individuos será más fácil retirar su aprobación.

Notificación obligatoria de violación

"Las compañías están obligadas a notificar la autoridad supervisora dentro de las 72 horas siguientes al descubrimiento de la brecha de datos, a menos que la brecha sea poco probable que “suponga un riesgo para los derechos y la libertad de las personas.” La notificación debe incluir información específica sobre la naturaleza de la brecha, el número y el tipo de registros violados, el nombre del Oficial de Protección de Datos, las medidas adoptadas para mitigar los riesgos y otros detalles.

Oficiales de Protección de Datos

Tanto los controladores como los procesadores de datos deben nombrar a un Oficial de Protección de Datos. Quien puede asumir el papel de DPO y cuál es su responsabilidad se detallan en los artículos 37 a 39 de la GDPR. En resumen, el DPO puede ser miembro del personal de la organización o puede ser contratado para estos servicios.

NO todas las empresas están obligadas a disponer de un DPO, sino únicamente a aquellos «controladores y procesadores cuyas actividades básicas consisten en operaciones de procesamiento que requieren un control periódico y sistemático de los sujetos de datos a gran escala o de categorías especiales de datos o datos relativos a condenas penales y delitos," según EUGDPR.org. Las principales responsabilidades del DPO son de asegurar la aplicación de la GDPR, mantener un registro de las operaciones de procesamiento de datos privados, asesorar e informar a los controladores y procesadores sobre sus obligaciones derivadas de la GDPR.

Para poder aplicar las reglas más estrictas y a la vez, mejoradas, las organizaciones deben realizar una auditoría de sus soluciones actuales de seguridad de datos y la implementación de los procesos y construir encima de ellos. La auditoría debe revelar qué datos se recogen de las personas, si existen procedimientos de consentimiento adecuados, dónde se almacenan los datos privados, quién tiene acceso a ellos, cómo se garantiza la integridad de los datos privados, etc. A base de la información descubierta, un sólido plan para actualizar a la nueva regulación se puede delinear y compartir con todas las partes involucradas.

Vamos a ver cómo se vería el plan de juego con el fin de maximizar sus posibilidades de llegar a la meta sin gastar demasiados recursos.

Ejecución correcta

La estrategia no vale nada sin una ejecución correcta. Saber qué soluciones de seguridad y gestión de datos deben seleccionarse e implementarse para garantizar el cumplimiento y la seguridad no es tan fácil como parece. Hay numerosos factores que pesan y el factor humano es el más complejo. Un ejemplo simple sería el oficial de Protección de Datos que debe ser designado. Las empresas tienen una decisión difícil de tomar, teniendo en cuenta el nivel de responsabilidad asignado a un DPO. El oficial tiene que asegurarse de que la empresa cumple con la GDPR, por lo que su papel es crucial y difícil, teniendo que tratar con los empleados de un lado y los gerentes de los departamentos en el otro lado.

También difícil de ejecutar es el artículo que se refiere a las transferencias fronterizas que se extienden más allá de las fronteras físicas donde están la sede o las sucursales de una empresa. Una empresa que opera en Alemania puede tener clientes en Francia, EE.UU. o cualquier otro país. Esto viene con una gran responsabilidad en lo que concierne a la seguridad de los datos de los individuos. La GDPR se aplicará al procesamiento de datos personales de individuos que residan en la UE, incluso si el controlador o procesador no se encuentra en la UE. Por lo tanto, si su negocio no está en la Unión Europea, todavía puede estar sujeto a esta regulación.

La Regulación General de Protección de Datos puede causar graves dolores de cabeza hasta que se logre el cumplimiento total, pero después de ese proceso, las organizaciones podrán ver cómo los beneficios superan los esfuerzos. Será más fácil para las empresas entrar en nuevos mercados en Europa porque la regulación de protección de datos será la misma que en su país de origen. La Comisión Europea ejemplifica en un comunicado de prensa cómo las empresas pueden reducir costes gracias a la reforma.

La GDPR está causando mucho ruido entre las empresas, especialmente las europeas. Muchas aún no están seguras en qué posición están, si son un controlador o procesador. Muchas empresas están retrasando el inicio para lograr el cumplimiento de la ley siendo desbordadas por los cambios necesarios y otras simplemente no son conscientes de las implicaciones.

Independientemente de la posición en la que se encuentre, en mayo de 2018 todo tiene que estar en su lugar y a partir de ese momento tiene que ser capaz de demostrar en cualquier momento que es conforme y que lleve a cabo con seguridad su actividad sin poner en peligro la privacidad de sus empleados, clientes, socios y otras partes interesadas.