GDPR o RPGD todo lo que necesita saber

¿Qué está sucediendo? El Reglamento General de Protección de Datos (RGPD, o GDPR) ha cumplido un año, el pasado 25 de mayo.

Es probable que sepa algo acerca del RGPD (o GDPR, por sus siglas en inglés) pero que no conozca los detalles a fondo. Lo más importante que debe recordar es que las multas por incumplimiento pueden llegar hasta los 20 millones de euros o a un cuatro por ciento de su facturación/ganancias globales.

Y bien, ¿ha habido multas desde que este reglamento entró en vigencia en mayo 2018? La forma en que las multas se reportan ha cambiado, por lo tanto, es posible que no haya escuchado demasiado en las noticias. Pero la realidad es que sí ha habido muchas multas.

Es muy interesante que no solo fueron multadas organizaciones, sino también personas. Puede consultar la página web de la Oficina del Comisionado de Información (o ICO, por sus siglas en inglés) para conocer todas las acciones que se tomaron. Por ejemplo, Facebook Irlanda fue penalizada con una multa de 500.000 libras esterlinas por hacer marketing dirigido a ciudadanos de la Unión Europea sin el consentimiento adecuado, y el aeropuerto Heathrow fue multado por 120.000 libras esterlinas por perder una memoria USB que contenía datos personales no encriptados.

Algo tan simple como enviar un correo electrónico con información de otras personas puede derivar en que usted, inintencionalmente, exponga a su empleado a una filtración de datos que tenga como resultado una multa, de acuerdo a las reglas de RGPD. Esto significa que las empresas deben evaluar continuamente cómo les afecta la regulación y deben implementar los procedimientos tecnológicos (soluciones de software) y organizativos necesarios para cumplirla.

Su organización debe cumplir con RGPD y para ello no está de más familiarizarse con los conceptos básicos de la normativa.

¿Qué es RGPD (o GDPR)?

El Reglamento General de Protección de Datos (RGPD, o GDPR por sus siglas en inglés) es el nuevo marco legal en la Unión Europea que reemplaza a la Directiva de Protección de Datos. La diferencia más importante entre ambas es la diferencia entre una “regulación” y una “directiva”.

Mientras que las directivas son recomendaciones a tener en cuenta y no son legalmente vinculantes, las regulaciones sí son leyes y responsabilizan legalmente a las compañías. Esto significa que el RGPD es una ley y como tal, debe ser cumplida por todos los estados europeos miembros, mientras que la anterior Directiva de Protección de Datos no lo era.

Una regulación también puede ser entendida como un grupo de normas que deben ser cumplidas, mientras que una directiva es un conjunto de reglas, que deja lugar a la interpretación.

¿Cuál es el objetivo de RGPD?

El Reglamento General de Protección de Datos busca proteger los datos personales y la forma en la que las organizaciones los procesan, almacenan y, finalmente, destruyen, cuando esos datos ya no son requeridos. La ley provee control individual acerca de cómo las compañías pueden usar la información que está directa y personalmente relacionada con los individuos, y otorga ocho derechos específicos.

Además, establece normas muy estrictas, que rigen lo que sucede si se viola el acceso a datos personales y las consecuencias (penalidades) que las organizaciones pueden sufrir en tal caso.

Mientras que la Directiva de Protección de Datos de la Unión Europea no definía lo que es una filtración de datos, el RGPD incluye una definición muy amplia:

Una filtración de datos es “una filtración en la Seguridad que lleva a la destrucción, pérdida, alteración, divulgación no autorizada, o acceso -accidental o ilegal-, a datos personales transmitidos, almacenados, o procesados de alguna forma”. Entiende como “datos personales” a “cualquier información relacionada a una persona identificable o no identificable” – no se trata solo de datos que puedan ser usados para fraude o robo de identidad.

Esas definiciones son importantes porque significa que muchos eventos o actividades diferentes pueden calificar como violaciones según el RGPD.

¿A quién aplica RGPD?

EL RGPD aplica a:

Organizaciones con presencia física en al menos algún país miembro de la Unión Europea.
Organizaciones que procesan o almacenan datos sobre individuos que residen en la Unión Europea.
Organizaciones que utilizan servicios de terceros que procesan o almacenan información sobre individuos que residen en la Unión Europea.

Por lo tanto, si usted reside en la Unión Europea o trabaja con una organización que posee empleados o clientes en la Unión Europea, es alcanzado por el RGPD.

¿Cuáles son los 8 derechos que establece el RGPD?

Derecho a estar informado: Proporciona transparencia sobre cómo son utilizados sus datos personales.
Derecho al acceso: Provee acceso a sus datos, a cómo son utilizados, y a cualquier información suplementaria que pueda ser utilizada juntos con sus datos.
Derecho a la rectificación: Otorga el derecho a que sus datos personales sean rectificados en caso de ser incorrectos o incompletos.
Derecho a ser borrado (o derecho a ser olvidado): Es el derecho a que sus datos personales sean removidos de cualquier lugar si no existe una razón convincente para que estén almacenados.
Derecho a restringir el procesamiento: Permite que sus datos sean almacenados, pero no procesados. Por ejemplo, puede recurrir a este derecho si siente que datos erróneos acerca de usted son almacenados a la espera de ser rectificados.
Derecho a la portabilidad de datos: Puede solicitar copias de la información almacenada sobre usted, para utilizar en cualquier otro lugar. Tal es el caso de si aplicara para productos financieros entre distintas entidades.
Derecho a objetar: Otorga el derecho a objetar acerca del procesamiento de sus datos. Un ejemplo podría ser la objeción de que sus datos sean utilizados por organizaciones de marketing directo.
Derecho sobre la toma de decisiones y creación de perfiles automáticos: Permite objetar sobre la toma de decisiones automáticas que se hagan sobre sus datos personales. “Automáticas” se refiere a sin intervención humana. Por ejemplo, la definición de determinados hábitos de compra online, en función a comportamientos previos.