En general, bajo el RGPD debe informar de cualquier fallo de seguridad a la Autoridad para la Protección de Datos en un plazo de 72 horas desde que se conozca. También, debe informar a aquellas personas cuyos datos personales su empresa u organización haya procesado cuando sea probable que el fallo de seguridad haya afectado negativamente a esas personas, por ejemplo: en caso de fuga de datos financieros o si personas no autorizadas han conseguido acceso a sus historiales médicos.

Como empresa u organización, depende de usted el valorar esto, atendiendo específicamente a la naturaleza de su modelo de negocio y a los riesgos a la privacidad asociados a este. Un buen punto de partida es la página web de la Autoridad para la Protección de Datos (APD) de su país, que contendrá guías y consejos útiles.

El plan de acción para proteger los datos que su organización posee dependerá de muy diversos factores como, por ejemplo: el tipo de datos que almacena, la sensibilidad de los datos, cuánta información posee, la complejidad de su infraestructura digital y si su organización dispone de formación sobre seguridad digital o decide contratar este servicio. Como mínimo debería seguir los siguientes pasos:

• Elaborar una lista de los datos personales que almacena y esquematizar dónde guarda esta información.

• Realiza una evaluación de riesgos, y localizar las fuentes más probables de accesos no autorizados o información filtrada.

• Implemente un plan de acción para proteger los datos que construido a partir de su evaluación de riesgos y que incluya: minimización de datos (recabar, procesar y almacenar únicamente los datos absolutamente necesarios), control de acceso (limitar quién tiene acceso a datos personales), almacenamiento seguro (¿Dónde guarda la información personal y/o sensible? ¿Se almacena separadamente de información no personal o no sensible? ¿Se almacena encriptada?), higiene digital de la plantilla y políticas de retención, archivo y eliminación de datos.

• Ponga a prueba la seguridad de los sistemas que almacenen los datos (servidores, gestores de email, archivos, etc.).

• Ponga por escrito todas las acciones tomadas para proteger los datos personales que posee.

• Elabore y ponga a prueba un plan de acción ante un fallo de seguridad que defina deberes y responsabilidades de la plantilla, que dirija la comunicación don la APD, entre otros.

• Cree un plan para revisar periódicamente estos pasos.

Usted corre el riesgo de que la Agencia para la Protección de Datos le sancione con una multa. Además, podría ser llevado a juicio directamente por una persona si usted ha violado sus derechos. Sin embargo, quizá el mayor riesgo sea la pérdida de confianza de los clientes. Las encuestas muestran que la mayor parte de la gente quiere estar segura de que sus datos no son mal empleados y se preocupa cada vez más por proteger su privacidad.

El RGPD se concentra en la evaluación de riesgos que toda compañía u organización ha de llevar a cabo sobre sí misma; no se trata de una solución única para todas las situaciones. Un punto de partida debiera ser entender la importancia de los derechos de las personas a controlar información acerca de ellas y la responsabilidad de usted de asegurarse de que, cuando la gente use sus servicios, estos derechos sean respetados. Pueden encontrarse ejemplos de buenas y malas prácticas en las guías publicadas por el Grupo de Trabajo del Artículo 29. Encontrará, también, guías de utilidad en la página web de la Autoridad para la Protección de Datos de su país.

Si no cumple con el RGPD, la Autoridad para la Protección de Datos puede sancionarle con una multa. Esto podría ser resultado de una reclamación presentada por una persona o de una inspección abierta por la APD.

La Autoridad para la Protección de Datos ha de garantizar que la imposición de la multa se hace de forma efectiva, proporcionada y disuasoria en cada caso individual. La APD tendrá en cuenta, entre otros, la naturaleza y gravedad de la violación, el grado de negligencia, si usted tomó o no medidas para mitigar el daño y el presupuesto de su empresa u organización.

Las multas pueden llegar a alcanzar un máximo del 4% de los ingresos anuales de la empresa u organización o 20 millones de euros, la mayor de las dos cifras.

Como mínimo, debiera ser capaz de responder afirmativamente a las siguientes preguntas:

• ¿Hemos identificado y esquematizado qué datos procesamos y para qué fines?

• ¿Podemos justificar el procesamiento que realizamos de cada categoría de datos (es decir, demostrar la base legal que soporta nuestro derecho a hacerlo.)?

• ¿Proporcionamos información a nuestros usuarios/clientes sobre cómo procesamos sus datos personales?

• ¿Nos hemos asegurado de que los datos están almacenados de forma segura y de que no se puede acceder a ellos sin autorización?

• ¿Hemos establecido mecanismos para la eliminación de datos que ya no necesitamos?

• ¿Sabemos qué hacer cuando una persona decide ejercer alguno de sus derechos amparados por el RGPD tales como el de obtener una copia de sus datos personales?

• ¿Hemos esquematizado el nivel y el origen de cualquier riesgo relacionado con nuestro modo de procesar los datos? ¿Hemos tomado medidas para mitigar ese riesgo?

• ¿Disponemos de un protocolo de respuesta llegado el caso de que una persona no autorizada consiga acceso a los datos personales que almacenamos?

• ¿Nos hemos asegurado de que todas las personas de la empresa u organización conoce los procedimientos correctos para procesar y proteger datos personales?

• ¿Disponemos de un plan para re-evaluar nuestras prácticas de procesamiento de datos personales?

No. A diferencia de la Directiva de Protección de Datos de la UE de 1995, el RGPD no establece que deba registrar/declarar las bases de datos de su organización en la Autoridad para la Protección de Datos. Sin embargo, si encarga a alguien en su empresa la misión de la protección de datos, debiera hacer saber sus detalles de contacto a la APD.

Bajo el RGPD, usted debe nombrar un oficial de protección de datos si usted procesa datos personales y:

• usted es un organismo público (p.ej.: ministerio, escuela, hospital público);

• su actividad incluye el seguimiento sistemático y regular de datos personales a gran escala (p.ej.: grandes compañías tecnológicas, agencias de puntuación de crédito o empresas de videovigilancia) o

• procesa datos sensible a gran escala (p.ej.: hospitales).

Teniendo en cuenta la amplia gama de factores que entran en juego cuando una empresa u organización procesan datos personales, los medios que emplea el RGPD no están hechos a la medida de todas las situaciones.

En general, el RGPD ofrece a los individuos (o “interesados”) ciertos derechos y usted como empresa u organización debe asegurarse de que los respeta. En esencia, su organización deberá conocer al detalle qué información procesa y cómo lo hace además de evaluar qué riesgos ello supone a los sujetos de información. En general, cuanto mayor sea el riesgo, más deberá hacer para proteger los datos personales. Es decir, si usted almacena información personal sensible (relativa a la salud, la sexualidad, etc.) o detalles de compras y pagos, debe asumir una mayor responsabilidad al protegerla que si se tratara de la talla de calzado de una persona.

Para asegurarse de que su compañía u organización cumple el RGPD, debería empezar evaluando sus prácticas actuales de gestión de datos personales (mapeando todos sus flujos de datos) para, después, estudiar las adaptaciones necesarias para satisfacer los requisitos del RGPD. Documente las razones de estas adaptaciones, del ejercicio completo y de las acciones que se realicen y asegúrese de realizar un seguimiento y revisión periódica de sus prácticas.