EL RUIDO DEL GDPR: ¿está preparado para el día D?

En 2016, cuando se votó el GDPR, el Reglamento General de Protección de Datos de la UE, todo el mundo se lo tomó a la ligera, ya que lo más probable es que no tuviera claro su contenido. Aunque desde entonces se había anunciado el día D, los empresarios encontraron otras fuentes de estrés, ya que el GDPR seguía considerándose un asunto difuso. Ahora, casi se nos ha acabado el tiempo y este nuevo conjunto de normativas nos ha alcanzado. Lo que tenemos que hacer ASAP es conseguir nuestros hechos correctos y llegar a un plan de acción. Así que vamos a dar un pequeño paseo por el GDPR y a ver el qué, el quién y un poco sobre el cómo de este asunto.
 

Aclarar las cosas

Empecemos por lo esencial. Qué es exactamente esto del GDPR?

En 2016, la UE decidió introducir varios cambios notables en la ya existente ley de protección de datos. Dado que estamos hablando de un texto legislativo de 22 años de antigüedad, la necesidad de cambio es obvia, sobre todo porque nos jactamos constantemente de la impresionante velocidad a la que avanza la tecnología. El RGPD aborda las maniobras de los datos personales en el espacio de la UE, más concretamente, en los 28 países miembros.

Cuando se habla de datos personales en el contexto del RGPD, se hace referencia específica a cualquier dato que conduzca a una persona física identificada o identificable. En pocas palabras, el RGPD trata de las personas y de su derecho a la privacidad de los datos. En un mundo gobernado por la tecnología, el GDPR cambia los papeles, dando el poder sobre los botones de control a las personas, asegurándose de que saben cómo utilizarlos.

Aparte de los datos personales, que es un término clave en esta nueva normativa, también está el tratamiento, que es igual de importante. Tratamiento de datos personales es una noción amplia, pero se pretende que lo sea. Si haces cualquier cosa con datos personales, recopilarlos, almacenarlos, adaptarlos, transmitirlos, lo que sea, se considera tratamiento. Ahora, hágalo dentro del espacio de la UE y estará sujeto a este nuevo conjunto de normas.

Dada la carga de trabajo que implica, el RGPD vino acompañado de multas para asegurarse de que todas las empresas lo cumplen. Para que se haga una idea del tipo de multas que se han establecido, una multa por incumplimiento del RGPD puede alcanzar la asombrosa cantidad de 20 millones de euros o el 4 % de sus ingresos anuales, lo que sea mayor.

¿Quién es usted exactamente?

La nueva norma de protección de datos hace referencia a las empresas que venden bienes o servicios dentro del espacio de la UE. Sin embargo, hay varias interpretaciones que también deben tenerse en cuenta. Por ejemplo, su empresa podría estar sujeta al RGPD si utiliza datos personales de ciudadanos de la UE con fines de marketing. Es posible que usted se apresure a objetar mencionando que su empresa tiene su sede fuera del espacio de la UE. No se apresure a celebrarlo, porque el problema sigue ahí. Si procesa datos de ciudadanos de la UE por cualquier motivo, está sujeto al RGPD.

Situando el RGPD en el contexto actual, se dio vida a tres grupos.

• Interesado: persona identificable
• Responsable del tratamiento: persona física o jurídica, autoridad pública, organización o agencia que determina la finalidad de los datos recogidos.
• Encargado del tratamiento: persona física o jurídica, autoridad pública, organización o agencia que trata datos por cuenta del responsable del tratamiento.

Evidentemente, cada una de las categorías enumeradas tiene derechos/obligaciones diferentes. Los encargados del tratamiento y los recopiladores tienen más o menos las mismas obligaciones, y su interacción se rige por un contrato, en el que el encargado del tratamiento debe especificar claramente la naturaleza, duración y finalidad del tratamiento de datos.

Por otra parte, mediante el RGPD, los interesados han adquirido varios derechos entre los que cabe mencionar el derecho a que se les solicite el consentimiento, el derecho al olvido, el derecho a acceder a los datos o el derecho a recibir notificaciones de infracciones.

¿Y ahora qué?

Por desgracia, las cosas no se acaban con elegir bando y decidir dónde encaja mejor tu empresa. El mayor reto de todos no es leer y entender el GDPR, aunque estemos hablando de 88 páginas de texto judicial hardcore. El mayor reto de todos es cumplir la normativa antes del 25 de mayo de 2018. Aquí tienes varios puntos que quizá quieras estudiar a fondo:

• Consiéntelos: Tienes que empezar a replantearte la idea del consentimiento, porque a partir de ahora, el poder está en manos del cliente. En el RGPD, no puede realizarse ninguna acción relacionada con los datos si no se ha obtenido un consentimiento claro y directo, que puede demostrarse en cualquier momento.
• Curioso que pregunte: Dado que los interesados tienen ahora derecho a solicitar la portabilidad de los datos, las empresas tienen que ser capaces de atender este tipo de peticiones. Tendrá que desarrollar un sistema para portar datos de un entorno seguro a otro sin experimentar complicaciones.
• Esta vez todo depende de usted: El tratamiento de los datos personales se ha convertido en un asunto delicado, muy similar al tratamiento que daríamos a los datos sensibles. El consentimiento sobre los datos personales es en sí mismo una posesión preciada, por lo que debe establecerse una documentación más estricta, que incluya registros de datos minuciosamente elaborados.
• Alerta de violación S.O.S.: En caso de violación de datos reconocida como un riesgo para los interesados, que afecte potencialmente a sus libertades y derechos, las empresas están obligadas a notificarlo a los particulares, así como a las autoridades competentes. Por lo tanto, se requiere un plan a este respecto.

Dado que el mundo sigue necesitando información relacionada con el GDPR, sepa que en estos momentos se está elaborando y se publicará una lista de comprobación CÓMO hacerlo con todos los pasos del GDPR que deben tenerse en cuenta. Por lo tanto, manténgase atento y empiece a hacer los deberes sobre el GDPR.

Descargo de responsabilidad: Tenga en cuenta que este artículo no debe tratarse como asesoramiento jurídico en el cumplimiento del GDPR. El único propósito de este artículo es facilitar una mejor comprensión de la ley de privacidad de datos de la UE aprobada.

Si necesita asesoramiento jurídico al respecto, le instamos a que busque la ayuda de un abogado, que podrá aplicar el RGPD a las necesidades específicas de su empresa.