8 puntos clave para comprender el GDPR a fondo

Pese a que apenas queda una quincena para la entrada en vigor del Reglamento de Protección de Datos (RGPD), que sustituirá a la actual Ley Orgánica de Protección de Datos (LOPD), diferentes estudios confirman que más de la mitad de las empresas no se encuentran preparadas para tu aplicación. Por otra parte, solo una cuarta parte de las compañías habría dispuesto las herramientas necesarias para cumplir con la normativa europea, que busca garantizar a los ciudadanos protección ante los abusos comerciales y el tratamiento de sus datos personales.

Ya seas un negocio grande, una pyme o un autónomo, a continuación te proporcionamos todo lo que debes saber para comprender el GDPR e iniciar los cambios pertinentes antes de que sea demasiado tarde. Conoce las claves esenciales del Reglamento de Protección de Datos proporcionadas por InnoTec System, el área especializada en ciberseguridad del Grupo Entelgy.

8 claves para entender cómo funciona el nuevo Reglamento General de Protección de Datos

• Qué es el deber de información y el encargo de tratamiento: son dos de las modificaciones más importantes. Los responsables podrán certificarse dentro de los esquemas previstos por el RGPD para demostrar que son capaces de ofrecer las garantías que exige el reglamento.
  • Las cláusulas: Como novedad, también se debe informar acerca de la base jurídica de tratamiento, los datos del delegado de protección de datos si este existe, la intención de realizar transferencias internacionales y la elaboración de perfiles. Se mantienen con respecto a la normativa anterior la identificación del responsable y los derechos de los titulares.
  • Encargo de tratamiento: Se amplía el contenido de los contratos, que ahora deben incluir la atención de las solicitudes de los derechos de los titulares, la firma de los compromisos de confidencialidad por el personal del encargado y un deber de colaboración del encargado de tratamiento con el responsable, de manera más extensa que en la LOPD.
• Responsabilidad proactiva, privacidad desde el diseño y por defecto: El responsable y encargado de tratamiento de los datos está obligado a prevenir los daños y a demostrar que la empresa cumple con lo establecido en el reglamento. Es preciso medir la privacidad desde dos puntos de vista:
  • Privacidad desde el diseño: todo sistema de tratamiento de datos debe adaptarse al GDPR desde las primeras etapas de un proyecto y que abarque el desarrollo completo del mismo.
  • Privacidad por defecto: los sistemas de tratamiento de datos deben configurarse de la forma más restrictiva posible para respetar la intimidadde las personas. Además, son los usuarios los que deben decidir aquellos aspectos de su información que quieren hacer públicos.
• Inscripción en los ficheros y registro de actividades: Se sustituye la obligación de inscribir los ficheros en la Agencia Española de Protección de Datos por la de disponer de un registro de actividades. Cada compañía debe describir con detalle qué datos recoge, con qué fin los trata, a quién los comunica, si los transfiere a terceros países, cómo preserva su seguridad y cuándo podrá suprimirlos.

• Nuevos derechos de los titulares: Los derechos ARCO (acceso, rectificación, cancelación y oposición) se mantienen, mientras que se añaden otros que detallamos a continuación: limitación de tratamiento, portabilidad y el derecho de al olvido. Los plazos también cambian, ya que si con la LOPD el plazo de atención del derecho de acceso era de un mes y para el resto de 10 días, la nueva normativa unifica el plazo de atención a 1 mes para todos los derechos.
• Actual base legal de los tratamientos: Mientras que la LOPD recogía el consentimiento como base legal principal y el resto de casos eran excepciones, ahora son bases legales claramente diferenciadas el consentimiento, la relación contractual, los intereses vitales del interesado o terceras personas, la obligación legal para el responsable, el interés público o el ejercicio de poderes públicos.
• Análisis de riesgos y medidas de seguridad: El RGPD basa la aplicación de las medidas de seguridad en el riesgo a la hora de tratar la información. Para analizarlo debe tenerse en cuenta la naturaleza de los datos, el número de afectados y la cantidad y variedad de tratamientos de la información que realice la empresa.
• Nueva figura del Delegado de Protección de Datos (DPD): Ahora nace una figura especializada en derecho de protección de datos que se crea junto a las ya existentes de responsable y encargado del tratamiento de los datos. Sus funciones se orientan a garantizar el cumplimiento del reglamento y asesorar al responsable del tratamiento de datos.
• Nuevas sanciones por incumplimiento: La cuantía de las multas sube de forma sustanciosa para evitar lo que se conoce como las “infracciones rentables”. Por ello, el artículo 83 del RPGD habla de que es posible cifrar las administrativas con cantidades entre 10 y 20 millones de euros. Si hace referencia a una empresa, la multa podría ascender al 2 o 4% del volumen de negocio total, en base al anual global del ejercicio financiero anterior.(TB).