MANEJO DEL GDPR

Todo depende de si su empresa almacena o usa los datos personales sobre ciudadanos europeos. Eso es así, independientemente de si esos ciudadanos son clientes, prospectos o empleados. Si tiene empleados europeos, probablemente almacena sus nombres, direcciones e información bancaria. Datos como esos se consideran datos personales a los ojos de la Comisión Europea, y usted debe implementar partes del reglamento. Por ejemplo, los empleados deben dar su consentimiento para el uso de sus datos y tienen derechos, como el derecho a la rectificación. Usted debe poder documentar todo esto a las autoridades.

Depende del tipo de datos que su empresa esté procesando. ¿Se pueden usar los datos para identificar individuos? Si la respuesta es sí (y para la mayoría de las empresas B2B, la respuesta será sí), usted está procesando datos personales a los ojos de la Comisión Europea, y debe cumplir bajo los mismos términos de las empresas B2C.

La respuesta sencilla es: Sí, si les afecta. Si usted procesa datos personales de ciudadanos de la Unión Europea, debe cumplir sin importar dónde esté ubicado, ya sea miembro de la UE o no.

No, no necesariamente. Aunque un borrador anterior del GDPR especificaba que el número exacto de 250 empleados era el detonador para que se necesitara o no un funcionario de protección de datos (DPO), el reglamento final lamentablemente no incluye lineamientos suficientemente claros al respecto. Los funcionarios de protección de datos son obligatorios para todas las autoridades públicas, para las organizaciones que llevan a cabo procesamiento a gran escala de categorías especiales de datos personales (como los datos sobre la salud), y siempre que las actividades centrales de una empresa involucren "el monitoreo regular y sistemático de sujetos de datos a gran escala". La mayoría de los grandes comercios minoristas caben dentro de esta definición. Si no está seguro de si esto se aplica a su negocio, sugerimos que busque asesoría legal.

Sí. El GDPR establece lo que se conoce como “Limitación de almacenamiento de datos”, lo que significa que los datos personales no se pueden almacenar por más tiempo del necesario para los fines del procesamiento. Los datos personales se pueden almacenar por periodos más largos siempre y cuando los datos vayan a ser procesados únicamente para fines de archivo de interés público, para fines de investigación científica o histórica, o fines estadísticos.

Sí. Ahora es un derecho de los consumidores conocido como “Derecho a la portabilidad de datos”. El GDPR establece explícitamente: “El sujeto de los datos tendrá derecho a recibir los datos personales relacionados con él o ella, que haya proporcionado a un controlador, en un formato estructurado, de uso común y que pueda ser leído por una máquina, y tiene derecho a transmitir esos datos a otro controlador sin que se lo impida el controlador al cual se le han proporcionado los datos personales”.

El GDPR ciertamente tiene un gran impacto en la manera en que realiza sus actividades de mercadeo, sin mencionar a quiénes puede dirigirla, y eso es así tanto para negocios B2C como B2B. Los requisitos de consentimiento exigen que obtenga un consentimiento claro de cada persona seleccionada donde deje claro que está de acuerdo con que usted use sus datos y comercialice con ellos. Antes, usted podía recopilar contactos y ponerlos en su base de datos, y después usarlos para campañas de mercadeo en plataformas y con fines diferentes al lugar y el motivo por el cual se recopilaron originalmente. Con el GDPR, el consentimiento tiene que ser específico a esa operación particular de procesamiento, lo que significa que usted no puede solicitar un consentimiento abierto o general para cubrir un procesamiento futuro. Si desea realizar esfuerzos de mercadeo dirigidos a alguien de una manera nueva, tendrá que obtener un nuevo consentimiento para este fin específico. Además, debe gestionar adecuadamente todos estos consentimientos para poder documentarlos a las autoridades cuando se lo soliciten.

Sí, pero los receptores tienen que cumplir con ciertas normas de protección de datos. El GDPR permite que los datos personales se transfieran a organizaciones y países que no pertenezcan a la UE, los cuales, de acuerdo con la Comisión Europea, proporcionen un nivel “adecuado” de protección o bajo determinadas circunstancias, como el uso de cláusulas contractuales estándar o reglas corporativas vinculantes (Binding Corporate Rules, BCR).

El GDPR también se creó para hacer más sencillo que las organizaciones gestionen los datos personales en un contexto multinacional y para minimizar el riesgo de que las empresas se involucren en filtraciones de datos gravemente perjudiciales. El GDPR ha reemplazado en la mayoría de los aspectos a diferentes leyes nacionales, con el objetivo de armonizar las normas de protección de datos en toda Europa. Adicionalmente, con la introducción de una “Autoridad supervisora” en cada estado miembro, las organizaciones tienen un lugar al cual acudir con todas las cuestiones relacionadas con los datos personales.

El incumplimiento puede potencialmente ocasionar multas enormes. Las sanciones por infracciones relacionadas con el control y la mitigación son de hasta 10 millones de euros o el 2 % del volumen de negocios total mundial, mientras que las infracciones relacionadas con los derechos y las obligaciones son de hasta 20 millones de euros o el 4 % del volumen de negocios.