¿Qué es el GDPR?
A diferencia de EE. UU., la Unión Europea cuenta con una legislación uniforme sobre privacidad de datos. El Reglamento General de Protección de Datos (RGPD) entró en vigor el 25 de mayo de 2018 y tiene un amplio alcance intersectorial que afecta a muchas empresas extranjeras, incluidas las estadounidenses.
Este reglamento se refiere tanto a la privacidad como a la seguridad de los datos. La privacidad de los datos es el derecho a controlar cómo se recopila y utiliza la información, centrándose en el uso y la gobernanza de los datos. La seguridad de los datos, por otro lado, se centra en proteger los datos, por ejemplo, de ataques y la explotación de datos robados.
El RGPD se aplica a:
- Empresas establecidas en la UE que procesan datos personales; y
- Empresas fuera de la UE: si sus actividades de procesamiento de datos están relacionadas con la oferta de bienes o servicios a personas en la UE o con el seguimiento del comportamiento de dichas personas.
La mera accesibilidad de un sitio web por parte de un miembro de la UE no basta por sí sola para demostrar la intención de ofrecer bienes o servicios. El RGPD exige la intención de ofrecer bienes en la UE, no solo la disponibilidad de, por ejemplo, un sitio web. Tener un sitio web accesible no es suficiente; la intención de comercializar es fundamental. Por lo tanto, el RGPD se aplica si: una empresa está ubicada dentro del territorio; una empresa comercializa servicios en la UE; e independientemente de la ciudadanía del usuario, es irrelevante.
¿Qué son los datos personales?
Los datos personales son cualquier información relativa a una persona física identificada o identificable (denominada «interesado»). Estos datos incluyen: nombre; número de identificación; datos de ubicación; identificador en línea; y uno o más factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de dicha persona. El RGPD regula diversas etapas del ciclo de vida de los datos personales, entre ellas: la recopilación, el tratamiento, el almacenamiento, la transmisión y la eliminación.
¿Quién debe cumplir la ley?
Existen varios tipos de partes que recopilan y utilizan Datos Personales, incluyendo "responsables" y "encargados del tratamiento". Los responsables suelen ser las personas u organizaciones que recopilan los datos. El responsable del tratamiento determina los fines y los medios por los cuales se procesan los datos personales. Por lo tanto, si su empresa/organización decide por qué y cómo se deben procesar los datos personales, es el responsable del tratamiento. Los empleados que procesan datos personales dentro de la organización lo hacen para cumplir con sus tareas como responsables del tratamiento. Los encargados del tratamiento suelen procesar los datos personales únicamente en nombre del responsable. El encargado del tratamiento suele ser un tercero externo a la empresa. La relación entre responsables y encargados del tratamiento se rige por el acuerdo de tratamiento de datos.
¿Cómo pueden las organizaciones recopilar datos?
Para recopilar o procesar datos personales, es necesario contar con una base legal. El RGPD exige que cualquier organización que procese datos personales cuente con una base legal válida para dicha actividad. El RGPD proporciona varias bases legales para el procesamiento, entre ellas:
- Consentir;
- Ejecución de un contrato;
- Interés legítimo;
- Interés vital;
- Requisito legal; o
- Interés público.
El consentimiento se produce cuando el interesado autoriza a la organización a procesar sus datos personales para una o más actividades de tratamiento. El consentimiento debe ser libre, claro y fácil de revocar. Por lo tanto, las organizaciones deben ser cuidadosas al utilizar el consentimiento como base legal. Un ejemplo de consentimiento es la casilla de edad que un usuario puede marcar al acceder a contenido con restricción de edad.
La ejecución de un contrato se produce cuando el tratamiento de datos es necesario para celebrar o ejecutar un contrato con el interesado. Un ejemplo de ello es cuando un usuario proporciona su dirección postal para una compra en línea.
El interés legítimo se produce durante el tratamiento que un interesado normalmente esperaría de una organización para la que cede sus datos personales, como actividades de marketing y prevención del fraude. Si se utiliza el interés legítimo como base legal para el tratamiento, la organización debe realizar una prueba de equilibrio: ¿es necesaria esta actividad de tratamiento para su funcionamiento? ¿Supera la actividad de tratamiento cualquier riesgo para los derechos y libertades del interesado? Si la respuesta a cualquiera de estas preguntas es "no", la organización no puede utilizar el interés legítimo como base legal para el tratamiento.
El Interés Vital es una actividad de procesamiento poco común que podría ser necesaria para salvar la vida de alguien. Se observa con mayor frecuencia en situaciones de atención médica de emergencia.
Un requisito legal surge con una actividad de procesamiento que es necesaria para una obligación legal, como la seguridad de la información, el empleo o la legislación sobre transacciones de consumo.
El interés público es una actividad de procesamiento que realizaría una entidad gubernamental o una organización que actúa en nombre de una entidad gubernamental.
Si desea continuar con la siguiente parte de este blog haga clic aquí.
