Cumplimiento obligatorio para todas las empresas

El 25 de mayo de 2018 comenzó a aplicarse el Reglamento General de Protección de Datos (RGPD) o Reglamento Europeo de Protección de Datos (GDPR), que obliga a las empresas a la adopción integral de prácticas, políticas y tecnologías de seguridad actualizadas para conseguir las medidas de seguridad adecuadas.

Se aplica a cualquier empresa que haga negocios dentro de la Unión Europea.

El nuevo reglamento exige a las empresas una responsabilidad proactiva:
Protección desde el diseño y por defecto en todos los procesos de la empresa, utilizar nuevos procedimientos de autorización, procesos de notificación, realización de informes y mecanismos de comunicación, así como a actualizar la seguridad del sistema informático a la última tecnología que proporcione “conocimiento de la situación de los riesgos” y “facilite acciones preventivas, correctivas y de mitigación”.

 Nuevos principios

PRINCIPIO DE RESPONSABILIDAD (ACCOUNTABILITY)

Hay que implementar mecanismos que permitan acreditar que se han adoptando todas las medidas necesarias para tratar los datos personales como exige la norma. Es una responsabilidad proactiva. Las organizaciones deben ser capaces de demostrar que cumplen dichas exigencias, lo cual obligará a desarrollar políticas, protocolos, informes, procedimientos, controles, etc.

PRINCIPIOS DE PROTECCIÓN DE DATOS POR DEFECTO Y DESDE EL DISEÑO

Se deberán adoptar medidas que garanticen el cumplimiento de la norma desde el mismo momento en que se diseñe una empresa, producto, servicio o actividad que implique tratamiento de datos, como regla y desde el origen.

PRINCIPIO DE TRANSPARENCIA

Los avisos legales y políticas de privacidad deberán ser más simples e inteligibles, facilitando su comprensión, además de más completos.
Incluso se prevé que, con el fin de informar sobre el tratamiento de los datos, puedan utilizarse iconos normalizados.

 Nuevas obligaciones para las empresas

En ocasiones, será obligatorio designar un Delegado de Protección de Datos (DPO), interno o externo, que asista a las organizaciones en el proceso de cumplimiento normativo.
No obstante, la complejidad de la nueva norma hará muy recomendable esta figura en la inmensa mayoría de organizaciones.

En ciertos casos, se deberán realizar Evaluaciones de Impacto, que determinen los riesgos específicos que supone tratar ciertos datos de carácter personal y prevean medidas para mitigar o eliminar dichos riesgos.
   
Las brechas de seguridad deberán ser comunicadas a las autoridades de control y, en casos graves, a los afectados, tan pronto sean conocidas, estableciéndose el plazo máximo de 72 horas.
   
La selección de un encargado del tratamiento se endurece, puesto que habrá que elegir uno que aporte suficientes garantías de cumplimiento normativo.
    
Garantías adicionales para las transferencias internacionales de datos: Establecimiento de garantías más estrictas y mecanismos de seguimiento en relación con las transferencias internacionales de datos fuera de la Unión Europea.
    
Sellos y Certificaciones: Se prevé que se creen sellos y certificaciones de cumplimiento que permiten acreditar la Accountability por parte de las organizaciones.

Delegado / Responsable de Protección de Datos

Constituye uno de los elementos claves del RGPD y un garante del cumplimiento de la normativa de protección de datos en las organizaciones.
Somos el Delegado / Responsable de Protección de Datos para nuestros clientes, informamos, asesoramos y supervisamos. Somos el punto de contacto de su empresa en lo relativo a la protección de datos.

Sanciones

La aplicación del nuevo Reglamento General de Protección de Datos (RGPD) va a comportar
un exponencial incremento en la cuantía de las sanciones impuestas por incumplimiento de la normativa:

    Hasta 10.000.000€ o el 2% del volumen de negocio anual global del ejercicio anterior.
    Hasta 20.000.000€ o el 4% del volumen de negocio anual global del ejercicio anterior.

Fases de implantación del RGPD

• Reunión con dirección y responsables de los departamentos.
• Examaminar el flujo de información.
• Registrar tratamientos de datos.
• Redactar contratos necesarios con los encargados, trabajadores y responsables de tratamiento.
• Redactar cláusulas legales.
• Registrar si es necesario transferencias de datos a terceros paises.
• Establecer mecanismos y procedimientos de notificación de brechas de seguridad.
• Evaluación de Riesgos (Ciberseguridad).
• Documento de seguridad. (Relacción de riesgos identificados y recomendaciones para eliminarlos).
• Porcedimientos, informes y cartelería.
• Concienciación a empleados.