GDPR de la UE

Las multas pueden ascender al 4% de la facturación global anual por incumplir el GDPR o 20 millones de euros. Esta es la multa máxima que se puede imponer por las infracciones más graves, por ejemplo, no tener un consentimiento suficiente del cliente para procesar datos o violar los conceptos fundamentales de "Privacidad por Diseño".

Los datos personales son cualquier información que pueda utilizarse para identificar directa o indirectamente a la persona, como un nombre, una foto, una dirección de correo electrónico, detalles bancarios, publicaciones en sitios web de redes sociales, información médica o una dirección IP de computadora.

El consentimiento debe darse de forma inteligible y fácilmente accesible, con el propósito del procesamiento de datos adjunto a ese consentimiento. Debe ser inequívoco, fácilmente identificable y utilizar un lenguaje clear y fácil de entender. También debe ser tan fácil retirar el consentimiento como darlo. Al procesar datos personales sensibles, nada menos que "optar por" será suficiente.

Si el sujeto de los datos tiene menos de 16 años, se requerirá el consentimiento de los padres para procesar los datos personales del niño. Los Estados miembros pueden reducir la edad de consentimiento de los padres, pero no por debajo de los 13 años.

Los DPO deben ser designados en el caso de (a) autoridades públicas, (b) organizaciones que participan en el monitoreo sistemático a gran escala o big data, o (c) organizaciones que participan en el procesamiento masivo de datos personales sensibles (Art. 37). Si su organización no entra en ninguna de estas categorías, entonces no necesita designar un DPO.

Notificación de violaciones

Según el GDPR, la notificación de violaciones se volverá obligatoria en todos los Estados miembros donde una violación de datos probablemente "resulte en un riesgo para los derechos y libertades de las personas". La notificación debe realizarse dentro de las 72 horas posteriores a la toma de conciencia de la violación. Los procesadores de datos también deberán notificar a los controladores "sin demora indebida" después de tomar conciencia de una violación de datos.

Derecho de acceso

Los sujetos de datos tienen derecho a obtener confirmación del controlador de datos sobre si los datos personales que les conciernen fueron procesados, dónde y con qué propósito. El controlador de datos proporcionará una copia de los datos personales, de forma gratuita, en un formato electrónico.

Derecho al olvido

Conocido como borrado de datos, el derecho al olvido permite al sujeto de datos que el controlador de datos borre sus datos personales, cese la difusión adicional de los datos y posiblemente haga que terceros detengan el procesamiento de los datos. Los datos ya no deben ser relevantes para los propósitos originales del procesamiento o si un sujeto de datos retira su consentimiento. También se debe tener en cuenta que este derecho requiere que los controladores comparen los derechos del sujeto con "el interés público en la disponibilidad de los datos" al considerar tales solicitudes.

Portabilidad de datos

El sujeto de datos puede recibir los datos personales que le conciernen, que haya proporcionado previamente en un formato "comúnmente utilizado y legible por máquina" y tiene derecho a transmitir esos datos a otro controlador.

Privacidad por diseño

La privacidad de los datos debe estar en el núcleo de los sistemas tecnológicos que los controladores y procesadores utilizan para gestionar la información de los sujetos de datos, no solo como un complemento.

La información que debe estar disponible para un sujeto de datos cuando se recopilan datos ha sido definida con precisión e incluye:

• La identidad y los datos de contacto del controlador y del DPO
• Los propósitos del procesamiento, para los cuales están destinados los datos personales
• La base legal del procesamiento
• Cuando corresponda, los intereses legítimos perseguidos por el controlador o por un tercero
• Cuando corresponda, los destinatarios o categorías de destinatarios de los datos personales
• El período durante el cual se almacenarán los datos personales, o si esto no es posible, los criterios utilizados para determinar este período
• La existencia del derecho de acceso, rectificación o supresión de los datos personales
• El derecho a la portabilidad de datos
• El derecho a retirar el consentimiento en cualquier momento
• El derecho a presentar una queja ante una autoridad de supervisión

Es importante destacar que, cuando los datos no se han obtenido directamente del sujeto de datos (quizás utilizando una lista de terceros), la lista varía e incluye de qué fuente provienen los datos personales:

• La existencia de cualquier perfilado e información significativa sobre la lógica involucrada, así como la importancia y las consecuencias previstas de dicho procesamiento para el sujeto de datos.
• El GDPR representa un problema significativo para los especialistas en marketing que obtienen datos de listas de terceros.

1. Establezca un plan proactivo para cumplir con el GDPR.
2. Revise los avisos y políticas de privacidad, y asegúrese de que cumplan con los niveles de cumplimiento del GDPR.
3. Prepare un plan en caso de una violación de seguridad.
4. Audite sus consentimientos.
5. Haga que los consentimientos de marketing sean de tipo opt-in.
6. Revise la parte de interés legítimo de la directiva con su asesor legal para asegurarse de que cubra a su organización para el uso de los datos del comprador para procesar y gestionar ese pedido.
7. Haga que el lenguaje de su consentimiento sea fácil de encontrar y leer sobre el uso de datos personales.
8. Cree un plan de acción para las solicitudes de los sujetos de datos a su organización para el uso de sus datos.
9. Sea responsable de su cumplimiento.
10. Capacite a sus empleados.
11. Tenga procesos clear establecidos, por escrito y auditados.
12. Designe un DPO donde sea necesario.
13. Asegúrese de que sus socios de control/procesamiento cumplan con las normativas.

El GDPR se aplica a organizaciones, controladores y procesadores ubicados dentro y fuera de la UE, que ofrecen bienes o servicios a sujetos de datos de la UE. El GDPR también se aplica a organizaciones, como organizaciones de marketing o aquellas que suministran o utilizan datos que monitorean el comportamiento de los sujetos de la UE.

Un controlador determina los propósitos, condiciones y medios para el procesamiento de datos personales, mientras que el procesador procesa los datos personales en nombre del controlador.