Evita sanciones cumple con la RGPD

¿CUÁNDO ENTRA EN VIGOR EL GDPR?
El GDPR fue aprobado y adoptado por el Parlamento de la UE en abril de 2016. El reglamento entrará en vigor después de un período de transición de dos años y, a diferencia de una Directiva, no requiere que el gobierno apruebe ninguna legislación que lo permita, lo que significa que entró en vigor en mayo de 2018.

¿A QUIÉN AFECTA EL RGPD?
El RGPD no sólo se aplica a las organizaciones situadas dentro de la UE, sino que también se aplicará a las organizaciones situadas fuera de la UE si ofrecen bienes o servicios a usuarios de la UE o controlan su comportamiento. Se aplica a todas las empresas que procesan y mantienen los datos personales de los sujetos que residen en la Unión Europea, independientemente de la ubicación de la empresa.

¿CUÁLES SON LAS SANCIONES POR INCUMPLIMIENTO?
Las organizaciones pueden ser multadas hasta un 4% de la facturación mundial anual o hasta los 20 millones de euros. Esta es la multa máxima que se puede imponer por las infracciones más graves, por ejemplo, por no contar con el consentimiento suficiente del cliente para procesar los. Existe un enfoque escalonado de las multas, por ejemplo, una empresa puede ser multada en un 2% por no tener sus registros en orden (artículo 28), no notificar a la autoridad supervisora y al interesado sobre una vulneración de seguridad o no realizar una evaluación del impacto de la vulneración. Es importante señalar que estas reglas se aplican tanto a los controladores como a los procesadores, lo que significa que las «nubes» no estarán exentas de la aplicación del RGPD.

¿QUÉ SON LOS DATOS PERSONALES?
Cualquier información relacionada con una persona física o «Sujeto de datos» que pueda ser utilizada para identificar directa o indirectamente a la persona. Puede ser cualquier cosa, desde un nombre, una foto, una dirección de correo electrónico, datos bancarios, publicaciones en sitios web de redes sociales, información médica o la dirección IP de una ordenador.

¿CUÁL ES LA DIFERENCIA ENTRE UN PROCESADOR DE DATOS Y UN CONTROLADOR DE DATOS?
Un responsable del tratamiento es la entidad que determina los fines, las condiciones y los medios del tratamiento de datos personales, mientras que el encargado del tratamiento es una entidad que procesa datos personales por cuenta del responsable del tratamiento.

¿NECESITAN LOS RESPONSABLES DEL TRATAMIENTO EL CONSENTIMIENTO «EXPLÍCITO» O «INEQUÍVOCO» DEL INTERESADO, Y CUÁL ES LA DIFERENCIA?
Se han reforzado las condiciones para el consentimiento, ya que las empresas ya no podrán utilizar términos y condiciones ilegibles y llenos de jerga legal, ya que la solicitud de consentimiento debe darse de forma inteligible y fácilmente accesible, con el fin de que el tratamiento de los datos que se adjunte a dicho consentimiento, lo que significa que debe ser inequívoco. El consentimiento debe ser claro y distinguible de otros asuntos y debe proporcionarse de forma inteligible y fácilmente accesible, utilizando un lenguaje claro y sencillo. El consentimiento explícito sólo se requiere para el tratamiento de datos personales sensibles; en este contexto, bastará con una mera inclusión. Sin embargo, para los datos no sensibles, bastará con un consentimiento «inequívoco».

¿QUÉ OCURRE CON LOS MENORES DE 16 AÑOS?
Se requerirá el consentimiento de los padres para el tratamiento de los datos personales de los menores de 16 años para los servicios en línea; los Estados miembros podrán legislar para establecer una edad de consentimiento inferior, pero no inferior a los 13 años.

¿CUÁL ES LA DIFERENCIA ENTRE UN REGLAMENTO Y UNA DIRECTIVA?
Un reglamento es un acto legislativo vinculante. Debe aplicarse en su totalidad en toda la UE, mientras que una directiva es un acto legislativo que establece un objetivo que todos los países de la UE deben alcanzar. Sin embargo, corresponde a cada país decidir cómo hacerlo. Es importante señalar que la ley RGPD es un reglamento, en contraste con la legislación anterior, que es una directiva.

¿NECESITA MI EMPRESA NOMBRAR UN RESPONSABLE DE LA PROTECCIÓN DE DATOS (RPD)?
Los RPD deberán ser nombrados en el caso de: (a) autoridades públicas, (b) organizaciones que realizan un seguimiento sistemático a gran escala, o (c) organizaciones que realizan un tratamiento a gran escala de datos personales sensibles (Art. 37). Si tu organización no pertenece a ninguna de estas categorías, no es necesario que designes a un RPD.

¿CÓMO AFECTA EL RGPD A LA POLÍTICA EN TORNO A LAS BRECHAS DE DATOS?
Los reglamentos propuestos en relación con las violaciones de datos se relacionan principalmente con las políticas de notificación de las empresas que han sido violadas. Las violaciones de datos que puedan suponer un riesgo para las personas deberán notificarse a la Autoridad de Protección de Datos en un plazo de 72 horas y a las personas afectadas sin demoras indebidas.