Oye,
Leer: ¿Está su negocio listo para el nuevo GDPR?
El 25 de mayo de 2018, entrará en vigor el nuevo Reglamento General de Protección de Datos (GDPR). Sin embargo, según una investigación reciente de Experian, casi la mitad (48%) de las empresas del Reino Unido aún no están preparadas para los cambios.
Las nuevas reglas se están introduciendo en respuesta a los avances tecnológicos, la recopilación de datos y la creciente amenaza de ataques cibernéticos y violaciones de datos. El RGPD incluye algunas mejoras significativas en las regulaciones anteriores, brindando a los consumidores un mayor control sobre sus datos, al tiempo que aumenta la responsabilidad de las empresas para mantener esta información segura.
Los cambios clave incluyen un cambio de la autorización del consentimiento de “exclusión voluntaria” al requisito de que el consentimiento sea explícitamente “inclusión voluntaria”, así como mayores poderes para que los clientes accedan a sus datos. También existe una mayor obligación para las empresas de documentar lo que están haciendo para proteger los datos de los clientes, al tiempo que incorporan ‘privacidad por diseño’ en todo lo que hacen.
La multa potencial por incumplimiento también aumentará, con multas de hasta 20 millones de euros o el 4% de la facturación anual, lo que sea mayor. Entonces, si aún no está al tanto de sus responsabilidades, es hora de prepararse. Aquí hay un resumen de sus responsabilidades, destacando los cambios clave bajo el GDPR de la UE:
¿Qué datos están cubiertos?
La información de identificación personal (PII) es cualquier cosa que se pueda utilizar para identificar a una persona, incluido su nombre, dirección de correo electrónico, número de teléfono, fecha de nacimiento o cualquier otra información más específica, como una dirección IP, datos de GPS o información de salud.
Registrarse con el ICO
Si planea recopilar, almacenar y / o usar información personal, debe informar a la Oficina del Comisionado de Información (ICO). Puede obtener más información sobre cómo registrarse en el ICO aquí . Hay algunas excepciones, pero la mayoría de las empresas necesitan registrarse.
Los principios clave que debe cumplir son:
- Procesar datos de manera justa y equitativa Debe tener una buena razón para almacenar y utilizar datos personales. Los datos pueden ser necesarios para proporcionar su producto o servicio, por lo tanto, incorporados en su contrato con el cliente, o el cliente debe haber dado su permiso para que lo almacene y use. Y bajo las nuevas reglas, debe ser un ‘opt in’ en lugar de un ‘opt out’, ¡sin esconder un pequeño cuadro de exclusión donde nadie puede leerlo!
- Utilice los datos solo para fines legales específicos. Esto significa ser razonable y transparente sobre cómo está utilizando los datos, no hacer nada ilegal o que a sus clientes no les gustará, y establecer una política de privacidad que sea fácilmente accesible.
- Los datos deben ser adecuados y no excesivos. Solo debe tener tanta información sobre las personas como necesite. Cualquier cosa que no necesites debe ser destruida.
- Los datos personales deben ser precisos y actualizados. Si tiene muchos datos, puede ser complicado asegurarse de que sean completamente precisos. Pero debe tomar medidas razonables para asegurarse de que sea lo más preciso y actualizado posible, estableciendo procesos para actualizar o destruir registros antiguos o inexactos.
- No debe conservarse más tiempo del necesario. No hay un período mínimo o máximo de tiempo que pueda conservar los datos personales, pero debe considerar cuánto tiempo los necesita y destruirlos una vez que haya cumplido su propósito. Esto también ayuda con el punto cuatro, ya que reduce la posibilidad de que tenga datos desactualizados e inexactos.
- Seguridad Debe tener suficiente seguridad para evitar que los datos se vean comprometidos deliberada o accidentalmente, incluida la seguridad técnica y los procesos y procedimientos sólidos, incluida la capacitación de su personal de manera suficiente. También debe estar listo para responder a una violación si sucede lo peor.
- Debe procesarse de acuerdo con los derechos de datos de las personas.
Ahora hay ocho derechos a tener en cuenta, mejorando los seis enumerados en la Ley de Protección de Datos (DPA). Estos cubren el derecho de un individuo a tener acceso a sus datos, borrarlos, restringir el uso y trasladarlos de un proveedor de TI a otro. Las empresas también tienen menos tiempo para cumplir con las solicitudes de los clientes que en virtud de la DPA, solo un mes, en lugar de 40 días.
- Rendición de cuentas Este aspecto de la ley se ha fortalecido significativamente en el GDPR, declarando que las empresas deben implementar medidas para demostrar que están cumpliendo con las reglas. Esto incluye herramientas como políticas internas de protección de datos, capacitación del personal, auditorías internas y revisiones de políticas internas de recursos humanos. La idea es llevar a cabo la ‘privacidad por diseño’, mediante la cual la protección de datos está integrada en los procesos y comportamientos de la organización. Si realiza un seguimiento a gran escala de personas o si está involucrado en el procesamiento de datos especializados, también deberá designar un Oficial de Protección de Datos.
Es probable que incorporar los cambios sea más sencillo para las nuevas empresas y las pequeñas empresas que para las organizaciones más grandes. Pero aun así, es aconsejable revisar todos los datos que tiene, dónde y cómo se almacenan, mientras revisa todos sus procesos, políticas de privacidad y seguridad en busca de vacíos. Si necesita más detalles sobre los requisitos y sus responsabilidades, debe consultar al ICO .
Y no olvide, si sucede lo peor, el seguro cibernético puede protegerlo por una violación de las leyes de protección de datos (cuando sea asegurable por ley) y su responsabilidad por el manejo de datos. También puede proporcionar cobertura para extorsión, costos de rectificación del sistema, más gastos de relaciones públicas y pérdidas financieras debido al tiempo de inactividad del sistema.