¿Qué es el GDPR?
El Reglamento General de Protección de Datos, o GDPR, unifica las leyes de privacidad de datos en toda la Unión Europea (UE). El Parlamento Europeo aprobó el GDPR el 14 de abril de 2016, y entró en vigor el 25 de mayo de 2018.
El GDPR reemplazó la anterior Directiva de Protección de Datos de la UE de 1995. El GDPR se centra en hacer que las empresas sean más transparentes y amplía los derechos de privacidad de los sujetos de datos. Siempre que se detecta una violación de datos, el GDPR requiere que la empresa notifique a las autoridades supervisoras y a todas las personas afectadas dentro de las 72 horas.
Es obligatorio para todos los ciudadanos de la UE y las empresas que procesan, almacenan o gestionan los datos de los ciudadanos de la UE cumplir con el GDPR. También es independiente de si son ciudadanos de la UE. El GDPR también impone sanciones por incumplimiento. Muchas organizaciones utilizan software de gestión de privacidad de datos para gestionar la privacidad de los sujetos de datos y mapear datos sensibles.
Principios del GDPR
Cualquiera que procese datos debe hacerlo de acuerdo con los principios de protección y responsabilidad descritos en el Artículo 5.1-2. A continuación se presentan los siete principios básicos del GDPR que guían sus normas y regulaciones.
- Legalidad, equidad y transparencia. Los sujetos de datos deben ser informados sobre exactamente cómo se utilizarán sus datos.
- Limitación de propósito. Los datos pueden ser recopilados y procesados para propósitos legítimos. Por ejemplo, procesar un contrato en el que el sujeto de datos está involucrado.
- Minimización de datos. Solo se pueden recopilar datos críticos.
- Precisión de los datos. Las organizaciones que recopilan datos deben garantizar su precisión y actualidad. Los datos deben ser eliminados o modificados según la solicitud del sujeto de datos.
- Limitación de almacenamiento. El GDPR aconseja no retener los datos recopilados más tiempo del necesario.
- Integridad y confidencialidad. Los datos personales deben ser protegidos con medidas adecuadas. Deben ser seguros y protegidos contra el robo o el uso no autorizado.
- Cumplimiento de datos. Los recolectores de datos son responsables de garantizar el cumplimiento del GDPR.
Varios derechos específicos de los sujetos de datos según los siete principios del GDPR se discuten a continuación.
- El derecho al olvido. Los sujetos de datos pueden solicitar que la información personal identificable (PII) sea eliminada del almacenamiento de una empresa. Sin embargo, si la empresa puede demostrar con éxito una base legal para mantener los datos, tiene el derecho de rechazar las solicitudes.
- El derecho de acceso. Los datos almacenados son accesibles para los sujetos de datos para su revisión.
- El derecho a objetar. Los sujetos de datos pueden negarse a usar o procesar datos personales. Si una empresa satisface las condiciones legales para procesar datos personales, puede ignorar la negativa. Sin embargo, debe notificar al sujeto y explicar su razonamiento.
- El derecho a la rectificación. Es posible corregir información personal incorrecta a solicitud de los sujetos de datos.
- El derecho a la portabilidad. Acceder y transferir la información personal de los sujetos de datos es posible a discreción del sujeto de datos.
Cómo cumplir con el GDPR
El GDPR informa a los recolectores de datos sobre los resultados esperados de una gestión de datos excelente y responsable. Sin embargo, no define ninguna medida técnica específica. A continuación se presentan algunas mejores prácticas que ayudan a las empresas a cumplir con el GDPR.
- Es importante pedir permiso antes de recopilar datos personales. Los sujetos de datos deben ser participantes dispuestos.
- Las organizaciones deben solo recopilar lo que necesitan. Son responsables de la recopilación y el uso.
- Las empresas no deben compartir datos con otros sin el consentimiento de los usuarios y la aprobación de las autoridades supervisoras.
- Es esencial cifrar todos los datos personales en reposo y en tránsito.
- Es mejor tener dos copias de seguridad seguras de los datos personales en dos ubicaciones fuera del sitio.
- Las empresas deben ser capaces de editar o eliminar fácilmente elementos específicos de datos personales utilizando las herramientas necesarias para verificar y documentar las acciones.
Alcance del GDPR
El cumplimiento del alcance del GDPR es relativamente amplio. Por lo tanto, ya sea que un negocio esté situado dentro de la UE o tenga una oficina fuera de la UE, es crucial entender cómo están bajo el ámbito del GDPR si están procesando los datos de ciudadanos de la UE.
A continuación se presentan dos formas en que un negocio entra en el dominio del GDPR:
- Ámbito Material: El Artículo 2 define el Ámbito Material del GDPR para el procesamiento de datos personales. Según el Ámbito Material, incluso si el centro de procesamiento (un procesador) no está en la UE, todavía están bajo el ámbito del GDPR.
- Ámbito Territorial: El Artículo 3 del GDPR explica el ámbito territorial del GDPR y cómo se clasifica ampliamente en dos segmentos: Artículo 3(1) y Artículo 3(2). El ámbito territorial se refiere a cuando las empresas dentro de la región de la UE procesan la información personal de los sujetos de datos.
Multas del GDPR por incumplimiento
Las sanciones por incumplimiento son severas. Se evalúan varios criterios para determinar las tarifas apropiadas, incluyendo la duración de la violación, el número de sujetos de datos afectados y la gravedad de la violación.
Ya sea que una violación de datos sea causada por negligencia o intención también influye en las sanciones. Mantener registros inadecuados de la recopilación y procesamiento de datos personales puede llevar a una multa de 10 millones de euros o el 2% de los ingresos anuales, con multas de hasta 20 millones de euros o hasta el 4% de los ingresos anuales por incumplimiento total.
GDPR vs. CCPA
El GDPR y la California Consumer Privacy Act (CCPA) son leyes de cumplimiento que protegen los datos de los usuarios del acceso y procesamiento no autorizados.
La CCPA a menudo se llama "GDPR lite" en las comunidades de cumplimiento. Mientras que el GDPR protege los datos y la privacidad de la UE, la CCPA es la ley de protección de datos y privacidad para los residentes de California.
El GDPR requiere que las empresas tengan bases legales para el procesamiento de datos, como el consentimiento. La CCPA no tiene tal requisito, pero se centra en crear transparencia y educar a los usuarios sobre sus derechos de datos.
Aprende más sobre el software de gestión de privacidad de datos y cuánto tiempo lleva implementarlo.
Sagar Joshi
Sagar Joshi is a former content marketing specialist at G2 in India. He is an engineer with a keen interest in data analytics and cybersecurity. He writes about topics related to them. You can find him reading books, learning a new language, or playing pool in his free time.
