¿Qué es el GDPR?

Tras cuatro años de debate, la Unión Europea aprobó el Reglamento General de Protección de Datos (General Data Protection Regulation GDPR) en Abril de 2016. El GDPR está ya en vigor si bien no será de aplicación hasta el 25 de Mayo de 2018, fecha en la que se espera su pleno cumplimiento por parte de las empresas. El GDPR está diseñado para otorgar mayor control a las personas sobre sus datos personales y establecer unas reglas comunes en toda Europa de protección de los mismos. Las empresas fuera de la UE estarán sujetas a estas normativa cuando lleven a cabo actividades de tratamiento de datos personales de individuos que residan en la UE en relación con la oferta de bienes o servicios a los mismos o con el control de su comportamiento (en la medida en que este tenga lugar en la UE).

Se obliga a los clientes a ser responsables de garantizar el cumplimiento de las leyes y normativas aplicables, incluyendo el Reglamento General de Protección de Datos de la Unión Europea. Lo clientes son los únicos responsables de obtener asesoramiento legal competentemente a fin de identificar e interpretar cualquier ley normativa que pudiera afectar a su negocio, así como cualquier medida que deberían tomar para cumplir con dichas leyes y normativas.

Se producirá un incremento sustancial de las sanciones para aquellas organizaciones que no cumplan con este nuevo reglamento. Dichas sanciones pueden alcanzar los diez millones de euros, o un dos por ciento de la facturación global anual del ejercito financiero, en caso de infracciones en materia de, entre otros aspectos, medidas técnicas y organizativas para la protección de datos, mantenimiento de registros, notificación de violaciones de seguridad de los datos personales y obligaciones de evaluación de impacto relativa a la protección de los mismos.

Estas sanciones podrían duplicarse a veinte millones de euros o un cuatro por ciento de la facturación por infracciones relacionadas con la licitud del tratamiento, la falta del adecuado consentimiento, los derechos de los interesados y la transferencia de datos personales a un tercer país (fuera de la UE).

Las empresas deberán "implementar las medidas organizativas técnicas adecuadas teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento de datos personales, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas". Las garantías de la protección de datos deben integrarse en los productos y servicios desde las primeras etapas del desarrollo.

Dichas medidas, pueden incluir, entre otras:

• Seudonimización y cifrado de datos personales
• Capacidad de garantizar la confidencialidad, la integridad, la disponibilidad y la resiliencia de los sistemas de forma continua
• Capacidad de restaurar la disponibilidad y el acceso a los datos de forma puntual tras un incidente técnico o físico
• Introducción de un proceso para realizar pruebas y evaluar la efectividad de estos sistemas periódicamente  

El 26 de Enero de 2017, la Agencia Española de Protección de Datos publico la "Guía del Reglamento General de Protección de Datos para Responsables de Tratamiento", que incluye una lista de verificación  que pretende ayudar a las organizaciones y usuarios a llevar a cabo una valoración de su situación frente a las principales obligaciones del GDPR. Desde mi punto de vista recomiendo leer esta guía para estar al tanto de como funciona esta ley, y ojala se pudiera implementar en otros países.