AltoDirectivo

Para conmemorar el Día Internacional de la Protección de Datos Personales que se celebra cada 28 de enero, desde Acens quieren mostrar las claves más importantes a la hora de adaptarse al Reglamento General de Protección de Datos.

Tal y como refleja un texto reciente de la Unión Europea, la perspectiva de un mercado único digital regulado supondrá un ahorro de 2,3 millones de euros a las compañías europeas. Sin embargo, la armonización del marco normativo de protección de datos personales supone la implementación de todo un proceso de gestión y una serie de cambios sobre los que aún hoy existen muchas incógnitas para las empresas.

El periodo que resta de apenas año y medio hasta la aplicación del Reglamento tiene como objetivo permitir que las organizaciones que tratan datos vayan preparándose y adaptándose para el momento en que el Reglamento sea aplicable.

Teniendo en cuenta que el nuevo Reglamento prevé sanciones de hasta 20 millones de euros por incumplimiento de la normativa, los expertos de Acens han querido dar una serie de claves y recomendaciones a tener en cuenta para esa adaptación:

1. Acredita el cumplimiento mediante un Sistema de Gestión de Seguridad: Para garantizar el cumplimiento continuo de los requisitos del nuevo reglamento es altamente recomendable adoptar un sistema de gestión siguiendo el esquema de los estándares internacionales como ISO 27001.  

2. Considera la privacidad de forma previa a cualquier tratamiento de datos: Considerar la privacidad como un elemento esencial de forma previa a cualquier tratamiento de datos será algo que las organizaciones deberán incorporar como cultura de empresas realizando análisis previos incluso de impacto. "Uno de los conceptos más resaltables de esta norma es el de privacidad, desde el diseño y por defecto", comenta Gustavo San Felipe, al cargo de la Seguridad Corporativa, Calidad y Procesos en acens.

3. Consulta a la autoridad de control si el impacto es alto: En el caso que la evaluación del impacto entrañe un alto riesgo se deberá consultar a la autoridad de control, la Agencia de Protección de Datos en el caso español.

4. Incorpora nuevos perfiles como el DPO: Será necesario contar con nuevos perfiles profesionales y surge una nueva figura con más autonomía e independencia que el responsable de seguridad: el Delegado de Protección de Datos o DPO, que velará por el cumplimiento de la ley en las organizaciones.

5. Conoce la obligación de notificar incidencias: La notificación de incidentes de seguridad a la autoridad competente ya existía para ciertos proveedores de servicio, pero ahora se amplía siendo de ámbito global para todas las compañías.

6. Incorpora medidas de seguridad como la seudonimización y el cifrado: En relación a las medidas de seguridad, el reglamento menciona algunos mecanismos y medidas de control como la seudonimización y el cifrado, para garantizar la confidencialidad, disponibilidad y acceso a los datos, así como la capacidad del sistema capacidad de soportar datos y recuperarse ante incidentes. 

7. Confirma la garantía de tus proveedores de tecnología: Las autoridades competentes comprobarán en sus auditorías si se han tenido en cuenta la privacidad y protección de datos en la selección de proveedores.

"Las empresas deberán contar con software de cifrado, pero más allá de ese software o esas herramientas necesitará una serie de utilidades y de herramientas que le permita desarrollar ese marco de gestión. Por supuesto todo esto va a estar almacenado y alojado en alguna ubicación y ahí es fundamental el uso de tecnologías como Cloud y confiar en una compañía que hace la función de encargado de tratamiento según se contempla en el propio reglamento y que obviamente cumpla todas las garantías y nos ayude a ese cumplimiento, que la infraestructura sea sólida, que tenga alta disponibilidad", apunta San Felipe.

8. Las sanciones alcanzarán los 20 los millones de euros o el 4% del volumen anual de negocio: Las cuantías de las multas por incumplimiento de estas obligaciones se incrementan y pueden alcanzar los 20 millones de euros o el 4% del volumen de negocio anual, optando la autoridad sancionadora por la de mayor cuantía.

9. Las empresas internacionales tendrán responsable visible en Europa: La ley es de aplicación no sólo para empresas europeas sino para toda aquella que gestione datos de usuarios residentes en Europa por lo que toda empresa internacional deberá contar con un responsable visible en Europa.

10. La normativa será de obligado cumplimiento a partir del 25 de mayo 2018: El Reglamento General de Protección de Datos entró en vigor el 25 de mayo del 2016, pero como indica Fernando Serrano "no hay obligación de cumplimiento hasta el 25 de mayo de 2018. Hay un margen para que las empresas se adapten".

*Si te ha resultado interesante este artículo, te animamos a seguirnos en TWITTER y a suscribirte a nuestra NEWSLETTER DIARIA.

Alto Directivo