Cumplimiento del RGPD

Consentimiento

El RGPD aumenta el estándar para las divulgaciones al obtener consentimiento, ya que debe ser dado libremente, específico, informado e inequívoco y las personas responsables del tratamiento de datos (llamados «controladores de datos») deben usar un lenguaje legal simple y sencillo que se distinga claramente de otros asuntos. Los controladores de datos también deben proporcionar pruebas de que sus procesos cumplen con las normas y se respetan en todos los casos.

Básicamente, la clientela no puede estar forzada a dar su consentimiento ni desconocer que está aceptando el procesamiento de sus datos personales. También debe saber exactamente a qué está dando su consentimiento y se le debe informar con antelación que tiene derecho a retirarlo. Para obtener el consentimiento, se requiere una aceptación explícita del acuerdo, ya que el consentimiento no puede inferirse del silencio, de casillas marcadas previamente o de la falta de acción. Esto quiere decir que informar al usuario durante el registro se está volviendo fundamental.

Nuevos derechos para los individuos

La norma también incorpora dos derechos nuevos para las partes interesadas: el «derecho al olvido», que exige que las personas responsables del tratamiento de datos alerten a las y los destinatarios subsiguientes sobre las solicitudes de eliminación de información y el «derecho a la portabilidad de datos», que permite que las partes interesadas soliciten una copia de sus datos en un formato común. Estos dos derechos facilitan la tarea de solicitar que se elimine cualquier información almacenada o se proporcionen los datos recopilados.

Solicitudes de acceso

Las partes interesadas siempre han tenido el derecho de solicitar acceso a sus datos, solo que ahora el RGPD refuerza ese derecho. En la mayoría de los casos, no podrás cobrar el procesamiento de una solicitud de acceso, a menos que puedas demostrar que el gasto será excesivo. El plazo para procesar una solicitud de acceso también se acotará a un mes, aunque se puede extender a dos meses en ciertas circunstancias. En algunos casos, las organizaciones podrían rechazar una solicitud de acceso. Por ejemplo, cuando se determina claramente que la solicitud no tiene fundamentos o es excesiva. Sin embargo, las organizaciones deberán contar con políticas y procedimientos de rechazo claros, y tendrán que demostrar que la solicitud se ajusta a dichos criterios.

Diseño centrado en la privacidad y DPIA

Hay varios principios nuevos para las entidades que manejan datos personales, incluidos el requisito de incorporar la privacidad de los datos «en el diseño» cuando se desarrollan sistemas nuevos y la obligación de realizar una Evaluación del impacto de la privacidad de los datos (DPIA) cuando se lleva a cabo el procesamiento con «tecnologías nuevas» o de forma riesgosa. La DPIA es el proceso de evaluar sistemáticamente el impacto potencial que un proyecto o una iniciativa podrían tener en la privacidad de los individuos para que los problemas de privacidad de los datos se puedan identificar antes de que surjan, lo que le da tiempo a la organización para diseñar un método para mitigarlos antes de dar inicio al proyecto.

Especialista en privacidad de los datos

Con respecto a la seguridad, el RGPD exige que muchas empresas cuenten con especialistas en privacidad de los datos (DPO) para supervisar el cumplimiento normativo. Entre las organizaciones que deben tener un DPO se incluyen las autoridades públicas, las organizaciones cuyas actividades suponen la monitorización frecuente y sistemática de las partes interesadas a gran escala o las organizaciones que procesan datos personales confidenciales en forma masiva.

Contratos y documentación sobre privacidad

Dado que el eje del RGPD son la transparencia y la justicia, los equipos de control y procesamiento deben revisar los avisos de privacidad, las declaraciones de privacidad y todas las políticas de datos internas para asegurarse de que cumplan con los requisitos expuestos en el RGPD. Si un controlador contrata a proveedores externos para que procesen los datos personales que están bajo su control, deberá asegurarse de que los contratos con ese equipo de procesamiento estén actualizados e incluyan las nuevas disposiciones obligatorias para los equipos de procesamiento que se definen en el artículo 28 del reglamento. Del mismo modo, los equipos de procesamiento deberán evaluar los cambios que tengan que hacer en los contratos que hayan firmado con la clientela para poder cumplir con el RGPD.

Integralidad

Una disposición específica del RGPD facilita las tareas de las y los especialistas en protección de datos: la nueva disposición de «integralidad», según la cual las organizaciones que tengan oficinas en varios países de la Unión Europea tendrán una «autoridad supervisora principal» que actuará como punto de ejecución central, de modo que no tengan que lidiar con instrucciones incoherentes de diferentes autoridades.

Informes de filtraciones

El RGPD exige que los equipos de control notifiquen a la autoridad supervisora de su país sobre las filtraciones de datos personales en un plazo de 72 horas después de enterarse de ellas, a menos que los datos estén anonimizados o cifrados. En la práctica, esto significa que se debe informar la mayoría de las filtraciones de datos al Comisionado de Protección de Datos.  Las filtraciones que puedan causar daño a los individuos, como el robo de identidad o la violación de la confidencialidad, también se deben informar a los equipos pertinentes.

Alcance

El RGPD se aplica a las empresas ajenas a la Unión Europea que venden sus productos a personas de estos países o monitorizan su comportamiento. Dicho de otra manera: incluso si tu empresa no tiene sede en un país de la UE, pero recopilas o procesas datos de sus ciudadanos, probablemente también debas respetar el RGPD.

Responsabilidad

Este concepto requiere que los equipos de control y procesamiento puedan demostrar que cumplen con el RGPD ante la autoridad supervisora local. Los procesos se deben registrar, implementar y revisar con frecuencia. El personal debe recibir capacitación y se deben tomar las medidas técnicas y organizativas adecuadas para garantizar y demostrar el cumplimiento.

Sanciones severas

La importancia de las últimas disposiciones del RGPD se ve reflejada en las nuevas sanciones que impone en caso de infracción. Según el tipo de infracción, los equipos de control y procesamiento que hagan un mal manejo de los datos personales o que, de algún otro modo, infrinjan los derechos de las partes interesadas podrían contraer multas de hasta 20 millones de euros o el 4% de su facturación anual internacional (lo que sea superior).