GDPR - ARTI Software Tecnologías de Información SL

Cargando...

¿Qué es el GDPR?

El GDPR, siglas en inglés de Reglamento General de Protección de Datos, es un reglamento aprobado por la Unión Europea y que regula el tratamiento de los datos personales de las personas físicas. Es un reglamento europeo (UE 2016/679), de obligado cumplimiento, si bien, deja un pequeño margen para el desarrollo de la ley correspondiente en cada uno de los países miembros. En el caso particular de España, está la ley en el Congreso para su aprobación.

El GDPR, fue aprobado en abril de 2016, momento en el que entró en vigor, si bien, es a partir del 25 de mayo de 2018 cuando es de obligado cumplimiento. El GDPR se ha diseñado para otorgar un mayor control a las personas sobre sus datos personales, estableciendo unas reglas comunes en toda la Unión Europea para el tratamiento de los mismos.

Pero, ¿qué sucede con las empresas fuera de la Unión Europea, que traten datos de carácter personal? Básicamente, toda empresa establecida fuera de la Unión Europea y que dirija sus servicios o productos a ciudadanos cuya residencia esté fijada dentro de la Unión Europea, tendrán que cumplir con dicho reglamento.

¿Qué es un dato personal?

Los datos personales son toda información relacionada con una persona física identificada. Es decir, cualquier dato que identifique a una persona física (al interesado).

Esta definición incluye, además de los datos identificativos, como nombre y apellidos, del interesado, aquellos identificadores online, que puedan vincularse en un momento dado con dicho interesado. Así, la dirección IP será tratada ahora como dato de carácter personal.

Datos personales

Nombre, apellidos, teléfono, dirección IP, marcas físicas, tatuajes, datos genéticos, etc.

¿Cuáles son los puntos claves para cumplir el GDPR?

Datos personales

Los interesados tienen derecho a:

Acceder a sus datos personales
Corregir los errores o modificaciones de sus datos personales
Eliminar sus datos personales
Oponerse al tratamiento de sus datos personales
Exportar sus datos personales

Controles y notificaciones

Las organizaciones tienen la obligación de:

Proteger los datos personales usando las medidas de seguridad adecuadas
Notificar a las autoridades de las brechas de seguridad en los datos personales
Obtener el apropiado consentimiento para tratar los datos personales
Mantener un registro detallado de actividad del procesamiento de los datos.

Políticas transparentes

Las organizaciones tiene la obligación de:

Proporcionar información clara de la recogida de los datos
Describir el propósito del tratamiento y los casos de uso de los datos personales
Definir las políticas de retención y de borrado de datos

Formación

Las organizaciones necesitan:

Formar a sus empleados en materia de protección de datos de carácter personal
Auditar y actualizar sus políticas de datos
Contratar a un Delegado de Protección de Datos (si lo requiere)
Crear y gestionar los contratos de cumplimiento con los proveedores

¿Qué significa esto para mis datos?

Control estricto de dónde se almacenan los datos personales y qué uso se hace de ellos

Protección de la privacidad del interesado gracias al GDPR

Mejores herramientas de gestión de datos para mejorar la transparencia, el acceso a los datos y el reporte

Políticas de datos mejoradas para proporcionar control a los datos de los interesados y ayudar a un procesamiento más seguro

¿Cómo afecta a mi empresa?

El GDPR es un proceso continuo en el tiempo. Lleva asociado un análisis de riesgos y su supervisión.

SI es

un programa de gestión de la privacidad

NO es

un proyecto de adecuación

5 pasos claves para cumplir con el GDPR

Detección

Identificar qué datos personales tiene y dónde residen.

Control

Administrar el uso y el acceso a los datos personales.

Protección

Establecer controles de seguridad para impedir, detectar y responder a las vulnerabilidades y los incidentes de seguridad de los datos.

Notificación

Tramitar las solicitudes de acceso a los datos por parte de los interesados y conservar la documentación necesaria.

Revisión

Analizar los datos y sistemas para asegurar el cumplimiento y reducir riesgos.

¿Qué hacer en caso de detectar una brecha de seguridad?

Actuar

Salvaguardar nuestros sistemas del ataque para que no se siga produciendo.

Comunicar

Notificar a la autoridad de control, en nuestro caso la Agencia Española de Protección de Datos (AEPD), de la brecha de seguridad y, en su caso, a los interesados, en un plazo inferior a 72 horas, desde el momento en el que se detectó el incidente. Artículo 33.1.

¿Qué mecanismos de defensa tienen los interesados?

Reclamación AEPD

Si un interesado considera que el tratamiento de sus datos personales infringe el GDPR, tiene el derecho a presentar una reclamación ante la autoridad de control (la Agencia Española de Protección de Datos – AEPD-, en nuestro caso). Artículo 77.1.

Denuncia tribunales

El interesado podrá ejercitar acciones contra el responsable o el encargado del tratamiento ante los tribunales del Estado miembro en el que el encargado o el responsable tenga su sede. Artículo 79.2.

¿Si no cumple mi organización con el GDPR?

La autoridad de control podrá sancionar al responsable o al encargado del tratamiento por el no cumplimiento del GDPR. Estas sanciones van desde una advertencia hasta una multa. Artículo 58.2.

Advertencia

Cuando las operaciones de tratamiento previstas puedan infringir el GDPR.

Amonestación

Cuando las operaciones de tratamiento hayan infringido el GDPR.

Suspensión del tratamiento de datos

Imponer una limitación temporal o definitiva del tratamiento de datos.

Multa

Dependiendo de diversos factores, la autoridad de control podrá imponer una multa de hasta 20.000.000 € o el 4% del volumen de negocio del año anterior (se tomará el valor mayor de ambas cifras). Artículo 83.

¿Qué debe hacer mi empresa para cumplir el GDPR?

En el nuevo Reglamento se tiene en cuenta la actividad de la empresa, el volumen de datos que trata y la sensibilidad de los mismos, para exigir mayores o menores medidas de seguridad. De forma resumida, estos son los grandes puntos en los que tendremos que trabajar para cumplir con el nuevo GRPD, insistiendo en que hay que estudiar cada caso en particular, para desarrollar más o menos cada uno de los puntos.

Análisis de datos

Identificar los tratamientos que se hace de los datos personales.
Comunicar a los interesados de los tratamientos que se realizan sobre sus datos e informarles y permitirles ejercer sus derechos:
1. Información
2. Acceso
3. Rectificación
4. Supresión (olvido)
5. Limitación del tratamiento
6. Portabilidad
7. Oposición
8. Relativos al tratamiento automatizado y perfilado
Definir las nuevas políticas de privacidad

Programa continuo de la gestión de la privacidad

Antes de empezar a hacer un tratamiento, según los datos personales que se vayan a tratar, así como del propio tratamiento que se vaya a realizar, se decidirá si es necesario llevar una evaluación del impacto del tratamiento.

Una vez realizada dicha evaluación del impacto, si el riego del tratamiento es alto, será necesario realizar un gestión de riesgos. Esta gestión de riesgos, se hará en dos planos:

Análisis de cumplimiento normativo (principios, derechos y libertades)
Análisis de riesgos de seguridad (seguridad de los datos)

Nombramiento y comunicación de responsables

Nombramiento del responsable del tratamiento, quien elegirá un encargado del tratamiento que cumpla con las exigencias recogidas en el GDPR.

Definición de los contratos entre los responsables del tratamiento y los encargados del tratamiento.

Si fuera necesario, contratar un delegado de protección de datos (DPD).

¿Cómo te ayuda ARTI Software a cumplir con el GDPR?

Si quieres ampliar información de nuestros servicios o tener un presupuesto, ponte en contacto con nosotros en el siguiente enlace.

¿Quiere más información?

Déjanos tu correo electrónico y te resolveremos tus dudas, a la mayor brevedad posible.