El Reglamento General de Protección de Datos (GDPR), aprobado en abril de 2016, después de cuatro años de deliberaciones, ya está en vigor. La regulación ha sido noticia en todo el mundo con sus estrictos estándares de protección de datos, multas sustanciales y, sobre todo, por su amplio alcance. El GDPR afecta a cualquier organización que posea datos personales de cualquier ciudadano de la UE, sin importar el tamaño o ubicación. Una empresa con sede en Asia es tan responsable como una multinacional con oficinas en toda Europa, siempre que recopile y procese los datos de los ciudadanos de la UE.
La regulación establece las obligaciones de protección de datos de las organizaciones afectadas, desde la adopción de métodos de seguridad de vanguardia hasta el acceso de las personas a sus datos y el control de estos. Reconociendo los grandes cambios requeridos para el cumplimiento, las autoridades de la UE otorgaron a los estados miembros y a las organizaciones dos años para prepararse. La etapa de transición ha terminado: ahora se hará cumplir el GDPR.
La aplicación significa que las organizaciones ya deberían procesar los datos personales de acuerdo con el GDPR, incluidas las disposiciones sobre los derechos de los interesados. Las Autoridades de Protección de Datos (DPA) de los estados miembros de la UE podrán penalizar a las organizaciones que no cumplan. Dependiendo del Estado, es posible que los reguladores actúen de inmediato para abordar cualquier incumplimiento. Algunos organismos reguladores, sin embargo, planean ser más indulgentes con las empresas y organizaciones que ya han comenzado, pero aún no han completado sus esfuerzos de cumplimiento.
¿Cuál es el peor escenario? Una organización es responsable de los daños causados por el incumplimiento y está sujeta a las correspondientes multas administrativas. La sanción más alta es de 20 millones de euros o hasta el 4% de la facturación anual, la cifra que sea mayor.
¿Y el mejor escenario? Si una organización cumple con el GDPR, o utiliza el reglamento como punto de partida y va más allá de los estándares mínimos, las ventajas son significativas. Una información valiosa y segura, operaciones más eficientes con la gestión y archivo adecuado de los datos, y una mayor confianza de los clientes y usuarios, son solo algunos de los beneficios.
Mientras el GDPR se aplica a los datos personales de los ciudadanos de la UE, este reglamento ha provocado un cambio en las regulaciones de privacidad en todo el mundo. Así, ha permitido a varios países realizar sus propias mejoras legislativas: Reino Unido y Australia son solo dos de los países que ya han actualizado sus leyes de protección de datos. Esto indica que el cumplimiento del GDPR es una buena oportunidad, no solo para las compañías multinacionales, sino también para las más pequeñas, para mantenerse al día con los avances mundiales en materia de privacidad de datos y seguridad de última generación.
¿Qué deberían estar haciendo las organizaciones?
Todo el trabajo de base para el cumplimiento ya debería haber finalizado, y las casillas de la lista de verificación de cumplimiento deberían haber sido marcadas. Las organizaciones ya deberían poder proporcionar productos o servicios que aborden los derechos de sus clientes como se describe en el GDPR. Aquellos que usan aplicaciones o proveedores de terceros deben estar atentos a las actualizaciones relacionadas con cuestiones como el «derecho al olvido» y estándares más estrictos de consentimiento del usuario y asegurarse de que funcionen correctamente. También se espera que varias leyes y cambios de software entren en vigor en los próximos meses, y las organizaciones han de estar preparadas para cualquier cambio necesario.
Para aquellos que aún no cumplan totalmente, algunas Autoridades de Protección de Datos de los estados miembros han tranquilizado a las compañías que «actúan de buena fe» o que están en el camino del cumplimiento, asegurando que inicialmente serán tratadas con consideración. Es crucial documentar los pasos que se están dando, así como priorizar el tratamiento de posibles riesgos de seguridad.
Listo o no, el camino hacia el cumplimiento del GDPR no termina el día de la aplicación: las evaluaciones y las auditorías deben avanzar regularmente.
Construyendo mejores medidas de privacidad
El GDPR se implementó para establecer un nuevo estándar de privacidad y protección de datos. Un elemento clave para esto es la construcción de medidas de privacidad desde las primeras etapas de desarrollo, sin que sea necesario parchear o resolver los problemas después de que ocurran. A medida que las organizaciones creen nuevos productos y aplicaciones después del día de implementación, debe tenerse en cuenta la privacidad por diseño.
A través de sus nuevas normas y estándares, el GDPR alienta a las organizaciones a reconsiderar las políticas de gestión de datos existentes e invertir en seguridad de última generación para la protección de datos. Los esfuerzos de cumplimiento deben ser constantes después de la fecha de implementación de GDPR; mantenerse al día con los desarrollos de ciberseguridad o muy importante.
Trend Micro ha creado esta infografía para demostrar la ruta que toman los datos personales bien protegidos, dejando los datos personales en manos de una organización para un procesamiento seguro. Esto sirve de muestra para saber si algo sale mal y qué sucede si todo sale bien.
