Cumplimiento del GDPR: ¿Qué puede perder su empresa si sufre una violación de datos? | El coste del incumplimiento. No hace falta recordar a las empresas que en mayo del año pasado entró en vigor el Reglamento General de Protección de Datos (RGPD). Nueve meses después, nos encontramos con que algunas empresas han cesado su actividad y otras han tenido que restringir sus operaciones mientras hacen frente a las implicaciones prácticas de la nueva legislación. El cumplimiento del RGPD se aplica a CUALQUIER empresa situada en la Unión Europea (UE) y, en la mayoría de los casos, también se aplica a las empresas situadas en otras partes del mundo, que recogen, procesan o almacenan datos personales relativos a individuos (sujetos de datos) que residen en la UE. Las personas tienen ahora derechos específicos en relación con sus datos personales, dónde se almacenan y cómo se utilizan. Esto supone un reto y una responsabilidad para las empresas a la hora de aplicar procesos y tecnologías que garanticen el respeto y la defensa de los derechos de las personas.
Ciberataques inesperados
Los ciberataques, el ransomware, los fallos del sistema y los accesos no autorizados tienen enormes consecuencias para la seguridad de los datos de las empresas que no están preparadas. Incluso aquellas que creían estar adecuadamente protegidas han sufrido pérdidas de datos y cuentas de usuario comprometidas. En un ejemplo, una empresa de juegos en línea retiró un juego antes de la entrada en vigor del RGPD. Al parecer, la eliminación de los datos de los jugadores en la anticuada plataforma de 2009 del juego era extremadamente difícil. Según el RGPD, las personas tienen derecho a ser olvidadas. Pero la empresa no podía habilitar esta capacidad sin reescribir completamente el juego y trasladarlo a una nueva plataforma, lo que, por desgracia, no era una opción asequible. Algunas empresas tecnológicas han optado por una solución alternativa y se han limitado a bloquear la compra de sus productos y servicios a los residentes de la UE. Mientras tanto, muchas editoriales internacionales se esfuerzan por encontrar soluciones cotidianas a las exigencias del RGPD. Así que, 9 meses después... ¿cómo están afrontando las empresas el cumplimiento del GDPR? Mientras que algunas empresas se permiten el lujo de bloquear a los residentes de la UE para que no compren sus productos y servicios, otras deben cumplir con el GDPR para poder seguir operando en sus mercados principales. En consecuencia, han tenido que implementar capacidades adicionales. Para lograr el cumplimiento del RGPD, las empresas deben ser capaces de presentar todos los datos que han recogido y almacenado sobre un cliente de la UE. Deben ser capaces de proporcionar esos datos cuando respondan a una solicitud de acceso del sujeto (SAR). También deben poder modificar los datos si son incorrectos y eliminarlos si se les solicita. Además, deben poder transferir los datos a un tercero en un formato legible por máquina. Para poder realizar estas y otras tareas, muchas empresas han tenido que actualizar y mejorar sus sistemas informáticos. También han tenido que perfeccionar sus habilidades de gestión de datos y crear nuevos procedimientos para obtener el consentimiento adecuado de los clientes, con el fin de responder a los RAS. Las empresas que caen en la trampa de las violaciones de la seguridad, o simplemente no cumplen por negligencia, corren el riesgo de enfrentarse a la desalentadora perspectiva de multas punitivas y daños a la reputación. Algunas de las pérdidas potenciales a las que podrían enfrentarse las empresas son:
Daño a la reputación
Las empresas que no cumplen con el RGPD y hacen un uso indebido de los datos personales de los ciudadanos suelen aparecer en las noticias locales o nacionales. En el caso de Facebook y Cambridge Analytica, las noticias sobre el uso indebido de datos recorrieron todo el mundo casi al instante, lo que provocó la eventual desaparición de Cambridge Analytica y mucho huevo en la cara de Facebook. Una investigación de la OIC también puede dar lugar a reclamaciones por negligencia.
Violación de datos - costes de primera parte
En caso de que se produzca una violación grave de los datos, la empresa debe, en un plazo de 72 horas tras tener conocimiento de la misma, notificarlo a la Oficina del Comisario de Información (ICO) o, en el caso de las empresas no británicas, a la autoridad de protección de datos de la UE que corresponda. Deben proporcionar todos los detalles de cómo se produjo la violación de los datos y qué se está haciendo para gestionar la violación.
Violación de datos - litigios con terceros
Las violaciones de datos pueden causar un impacto negativo en los individuos y a menudo conducen a litigios de terceros con el fin de buscar daños y perjuicios.
Directores de empresas / Propietarios de empresas
Tanto los directores de empresas como los propietarios de pequeñas empresas pueden encontrarse en el punto de mira si no demuestran que han actuado con diligencia para garantizar que su empresa cumple con el GDPR y que se han aplicado las medidas adecuadas para mantener el cumplimiento. El RGPD exige nuevas prácticas operativas por parte de las empresas e impone graves sanciones a aquellas que no cumplan con los estándares requeridos. Una vez consideradas las implicaciones y consecuencias, la mayoría de las empresas se han asesorado con profesionales de la privacidad de datos debidamente cualificados y han invertido tiempo, dinero y recursos en mejorar sus sistemas y procesos de seguridad de datos para cumplir con la normativa. ¿Ha logrado su empresa cumplir con el GDPR? Es capaz de demostrar a sus clientes que su privacidad y sus datos personales se tratan con el cuidado y el respeto que merecen?Derechos de los residentes en la UE | Pregunte a un experto |
