¿De qué se trata el GDPR?

¿Qué es?

En las noticias, en internet, en el periódico o en la TV. Últimamente, es de lo único que habla todo el mundo. Incluso en tu buzón de correo, sin duda has recibido numerosos emails de empresas actualizando su política de privacidad en vista del próximo GDPR.

El GDPR o Reglamento General de Protección de Datos es una nueva ley europea para proteger los datos personales y defender la privacidad de todas las personas dentro de la Unión Europea. Este nuevo reglamento entró en vigor el 25 de mayo de 2018.

¿Por qué fue creado?

El GDPR fue diseñado para proteger mejor los datos personales en un mundo cada vez más digitalizado.

Su objetivo es simplificar y unificar todas las diferentes leyes de privacidad de cada país miembro europeo, minimizando en última instancia la recopilación de información de identificación personal (PII).

Es una gran victoria para el derecho individual a la privacidad. Sin embargo, también tendrá un gran impacto en casi todas las empresas que hacen negocios con residentes europeos.

¿Quién se verá afectado?

Toda empresa que maneje datos personales de un individuo dentro de la Unión Europea debe cumplir con estas nuevas regulaciones. Esto aplica tanto a ciudadanos como a personas de otras nacionalidades que actualmente residen dentro de la Unión Europea. Los datos personales incluyen cualquier información relacionada con un individuo (no una empresa) que puede ser directa o indirectamente identificado usando estos datos, como número de cliente, dirección IP, número de teléfono, dirección de email, nombre, ... Considerando estas definiciones amplias de datos personales, casi todas las empresas se verán afectadas.

También existe una categoría especial de datos personales, referida como datos sensibles, que conlleva condiciones adicionales para procesar. Lo que puede considerarse como datos sensibles incluye:

Origen racial o étnico

Opiniones políticas

Creencias religiosas o filosóficas

Membresías de sindicatos

Datos genéticos

Datos biométricos para propósitos de identificación

Datos relacionados con la salud

Datos concernientes a la vida sexual de una persona

Orientación sexual

¿Qué pasa si una empresa no cumple?

Este es un cambio importante respecto a muchas de las regulaciones de privacidad previas. El GDPR conlleva severas penalidades para empresas que no cumplan y en lugar de usar una cantidad fija, se basa en los ingresos. La multa puede ser hasta el 4% del volumen de negocios mundial anual o €20 millones, lo que sea mayor. Esto también significa que una subsidiaria de cualquier empresa puede afectar los resultados financieros de su empresa matriz.

Es importante notar que estos son escenarios del peor caso. Las cifras y multas serán impuestas de acuerdo a la gravedad y duración de la infracción. Los esfuerzos tomados para implementar medidas y controles GDPR, por la empresa en cuestión, pueden ser tomados en cuenta por las autoridades supervisoras y pueden jugar un papel en la decisión de la penalidad.

Tus derechos como individuo

Derecho a ser informado

Los individuos tienen el derecho a ser informados sobre la recopilación y el uso de sus datos. Esto incluye la razón por la cual ha sido procesado, quiénes son los procesadores, dónde ha sido guardado y por cuánto tiempo.

Derecho de acceso

Los individuos tienen el derecho de acceder a los datos que las empresas recopilan de ellos, sin costo. La empresa debe responder a esta solicitud dentro de 30 días. Se puede pedir un cargo razonable si la solicitud es infundada o excesiva.

Derecho a rectificación

Un individuo puede rectificar datos personales inexactos o completar los datos si están incompletos.

Derecho al borrado

Los individuos tienen el derecho a ser olvidados y que sus datos personales sean borrados. Los datos solo deben ser mantenidos por un controlador para los propósitos originalmente acordados y solo por la duración requerida para esos propósitos.

Derecho a restringir el procesamiento

Los individuos tienen el derecho de solicitar la restricción o supresión de sus datos personales.

Derecho a la portabilidad de datos

Los individuos tienen el derecho de obtener una copia de sus datos personales para poder moverlos a otro servicio.

Derecho a objetar

Los individuos tienen el derecho de objetar al procesamiento de sus datos personales. En este caso, el controlador debe detener el procesamiento de los datos del usuario, a menos que el controlador pueda demostrar motivos convincentes y legítimos para el procesamiento que anulen los derechos del sujeto de los datos.

Derechos relacionados con la toma de decisiones automatizada incluyendo perfilado

El Artículo 22 del GDPR establece reglas adicionales que aplican a toda toma de decisiones automatizada y perfilado basado en datos personales.

¿Qué medidas tomó Summa?

El primer paso fue identificar dónde almacenamos datos personales y por cuánto tiempo los almacenamos.

Con el resultado del primer paso, ahora hemos creado y continuaremos manteniendo un registro de todas las actividades relacionadas con el procesamiento de datos personales. Este registro contiene qué procesamos, por qué procesamos los datos, su base legal, quién tiene acceso, y por cuánto tiempo los retenemos.

Nosotros en Summa hemos actualizado nuestra política de privacidad y hemos notificado a todos los individuos ya en nuestras bases de datos para adquirir su consentimiento. Nuestros formularios de contacto y registro también fueron actualizados para requerir que el usuario lea y acepte nuestra política de privacidad antes de enviar sus datos.

Otro paso hacia que Summa se vuelva conforme al GDPR fue la creación de procedimientos internos para manejar solicitudes de información, modificación o borrado. Un procedimiento para notificar a la autoridad supervisora en caso de brechas de datos también ha sido establecido.

También hemos implementado acuerdos de procesamiento con cualquier empresa que pueda manejar nuestros datos personales. (p. ej. proveedores de hosting)

Además, hemos decidido hacer una evaluación de impacto de privacidad de datos (DPIA) cada vez que creamos nuevos procesos para manejar información personal. Aunque el GDPR es principalmente sobre políticas y procedimientos, también hemos tomado pasos adicionales para mejorar aún más nuestras medidas y controles de seguridad de datos.

Nosotros en Summa, no tomamos estos desarrollos a la ligera y continuaremos esforzándonos por el cumplimiento para mantener los datos de nuestros visitantes privados y seguros.