En Mayo de 2018, el Reglamento General de Protección de Datos de la Unión Europea (GDPR) entra en vigor para mejorar la protección de datos personales.
GDPR impacta directamente en el almacenamiento, procesamiento, acceso, transferencia y divulgación de los registros de datos de un individuo y afecta a cualquier organización a nivel mundial que procese datos personales de personas.
El objetivo principal del GDPR es dar control a los ciudadanos y residentes sobre sus datos personales y simplificar / unificar la regulación dentro de la UE.
El Reglamento fue adoptado el 27 de abril de 2016. Se convierte en ejecutivo a partir del 25 de mayo de 2018 tras una transición de dos años y, a diferencia de una directiva, no obliga a los gobiernos nacionales a aprobar ninguna legislación habilitante, por lo que es directamente vinculante y aplicable.
Las multas por el no cumplimiento del RGPD pueden llegar a los 20 millones de euros.
¿Qué son los datos personales?
Los datos personales son cualquier información relacionada con una persona identificada o identificable, también denominada ” el interesado”. Ejemplos de datos personales:
-nombre y apellidos
-dirección
-número de documento de identidad/pasaporte
-ingresos
-perfil cultural
-dirección de protocolo internet (IP)
-datos en poder de hospitales o médicos (que identifican únicamente a una persona con fines sanitarios).
Proporcionar información transparente
Los interesados deben recibir información clara sobre quién trata sus datos personales y por qué. Deben saber al menos lo siguiente:
-la identidad del responsable
-por qué se tratan sus datos personales
-la base jurídica del tratamiento
-quién recibirá los datos (si procede).
Cuando se recogen datos personales de menores que se basan en el consentimiento, por ejemplo para utilizar una red social o para una cuenta de descarga de contenidos, es preciso obtener primero la autorización parental, por ejemplo enviando una notificación al padre, madre o tutor.
Derecho de acceso y derecho a la portabilidad de los datos
Los ciudadanos deben tener derecho a acceder a sus datos personales gratuitamente. Cuando se recibe una petición de este tipo es necesario:
-indicar si se están tratando los datos personales
-informar sobre el tratamiento (finalidad, categorías de datos personales, destinatarios de los datos, etc.)
-entregar una copia de los datos personales objeto de tratamiento (en un formato accesible).
Cuando el tratamiento se base en el consentimiento o en un contrato, el interesado también puede pedir que se le devuelvan sus datos personales o se transmitan a otra empresa. Es lo que se conoce como derecho a la portabilidad de los datos. Los datos deben facilitarse en un formato utilizado habitualmente y de lectura automática.
Si una persona considera que sus datos personales son incorrectos, incompletos o inexactos, tiene derecho a rectificarlos o completarlos sin demoras indebidas.
-Las tres claves de GDPR
Consentimiento
Para el tratamiento de cierto tipo de datos será necesario obtener el consentimiento del afectado, que deberá ser específico, informado, inequívoco y, en algunos casos, explícito.
El consentimiento no será necesario cuando el tratamiento de los datos por parte de la empresa obedezca a un interés legítimo. Por ejemplo, actividades de marketing directo, para la mejora de actividad, o la prevención de fraude.
Transferencia de datos y derecho al olvido
GDPR, como novedad, establece el derecho a la portabilidad y el derecho al olvido. De esta forma, un consumidor puede pedir a una empresa que le entregue todos los datos personales de los que esta compañía dispone sobre él/ella.
Estos datos deben transmitirse en un formato estructurado, de uso común y legible por máquina, directamente a las otras empresas (a petición del consumidor) cuando sea técnicamente factible. En cuanto al derecho al olvido, es el derecho del titular de un dato personal a borrarlo, eliminarlo o bloquearlo.
Seguridad y trazabilidad
Para determinados procesos de datos, deben crearse mecanismos de certificación definidos por ley, dirigidos a disminuir el riesgo legal e incrementar la confianza de los clientes.
Al reforzar la legislación sobre protección de datos e introducir medidas de aplicación más estrictas, la UE espera mejorar la confianza en la economía digital emergente.
Las ventajas del GDPR
La UE ha ampliado sustancialmente la definición de datos personales en el marco del GDPR. Para reflejar los tipos de organizaciones de datos que ahora recopilan sobre personas, los identificadores online, como las direcciones IP, ahora son considerados como datos personales. Otros datos, como la información económica, cultural o de salud mental, también se consideran información de identificación personal.
La transición hacia el pleno cumplimiento de la legislación no será ni fácil ni barata, pero si las empresas optan por considerar este período de cambio como una inversión en su gestión de datos podrían beneficiarse de este proceso.
La base para cumplir con los requisitos del GDPR es que la organización . En primer lugar, debe asegurarse de que los datos personales que almacena y los procesos sean correctos y actualizados.
En segundo lugar, todos los datos asociados deben ser identificados y la empresa debe saber dónde se almacenan los datos, para qué se utilizan y quién tiene acceso a ellos.
Gestión de información personal ayuda a las organizaciones a devolver este control, y hay una serie de herramientas y soluciones para ayudar con esto.