RGPD: 6 pasos clave y 3 herramientas para garantizar su cumplimiento

Prepararse para cumplir el GDPR como empresa responsable plantea muchas preguntas que giran en torno a la seguridad, la confidencialidad y la trazabilidad de los datos personales.

Quieres entender el Reglamento General de Protección de Datos, que entra en vigor el 25 de mayo de 2018, qué cambia para los profesionales y cumplir con tus nuevas obligaciones?

appvizer resume los pasos recomendados por la CNIL y los mejora con soluciones para cumplir con el GDPR (Reglamento General de Protección de Datos) :

Ver todos los software Reglamento General de Protección de Datos (RGPD)

Cumplimiento del GDPR: lo que dice la ley

Empresas afectadas en Europa y en el resto del mundo

El Reglamento General de Protección de Datos defiende los derechos de los ciudadanos europeos y, naturalmente, se aplica a cualquier empresa que procese datos en uno o más de los países miembros de la Unión Europea.

El RGPD también exige a las empresas que respeten los derechos de los ciudadanos no europeos cuyos datos se recojan y procesen en la Unión Europea.

En consecuencia, los encargados del tratamiento con sede fuera de la UE deben cumplir el RGPD

• si participan en el tratamiento de datos de ciudadanos europeos,
• si participan en el tratamiento de los datos de un ciudadano no comunitario, pero cuyos datos se recogen en la Unión Europea.

Todos los sitios web con sede fuera de la UE dirigidos a ciudadanos europeos deben cumplir el RGPD, en particular los sitios que ofrecen versiones en francés, alemán, italiano o español y muestran precios en euros. Por otro lado, los datos personales deben alojarse en países que ofrezcan el mismo nivel de garantías que la Unión Europea.

No existen restricciones territoriales al alojamiento de datos personales. Sin embargo, cualquier proveedor de alojamiento, europeo o no, debe cumplir unos requisitos muy específicos y ajustarse al marco definido por el RGPD. El acuerdo Privacy Shield con Estados Unidos, por ejemplo, garantiza el altísimo nivel de seguridad y confidencialidad que exige el reglamento europeo.

Los principales responsables del cumplimiento

El reglamento europeo considera que todas las partes implicadas en una o varias operaciones de tratamiento de datos comparten la responsabilidad de la protección de datos:

• El responsable del tratamiento : es la empresa que utiliza los datos personales. Está obligada a iniciar procesos y elaborar documentos que establezcan su código de conducta, su política interna de protección de datos y sus certificaciones;
• El responsable de la protección de datos: es un profesional con experiencia en los usos y medidas de seguridad relacionados con las tecnologías de la información y la comunicación. Es uno de los garantes de la protección de datos. Es capaz de orientar a la empresa sobre las mejores prácticas a adoptar para que la empresa cumpla con la normativa. El papel del responsable de la protección de datos se describe con más detalle a continuación;
• La CNIL es la autoridad de control en Francia: certifica el cumplimiento de las empresas y hace cumplir la normativa sobre el tratamiento de datos personales. Previa solicitud, puede pedir las pruebas documentales que las empresas deben conservar (detalladas más adelante). En caso de incumplimiento, la empresa se expone a sanciones;
• Subcontratistas: desde el momento en que un proveedor de servicios o un suministrador interviene en el proceso de tratamiento de datos a petición de la empresa responsable del tratamiento, el subcontratista se convierte en responsable. Por tanto, el subcontratista está obligado a cumplir un pliego de condiciones preciso para garantizar la seguridad, confidencialidad y supresión de los datos, es decir, a respetar el RGPD.

Un abogado explica el cumplimiento del RGPD por parte del subcontratista y las 8 obligaciones que debe cumplir en un artículo complementario.

Los criterios para que el tratamiento de datos sea lícito

El artículo 8 de la Directiva 2016/680 del Parlamento Europeo y del Consejo relativa al RGPD estipula dos puntos:

(1. Los Estados miembros dispondrán que el tratamiento sólo sea lícito en la medida en que sea necesario para el cumplimiento de una misión realizada por una autoridad competente para los fines establecidos en el artículo 1, apartado 1, y se base en el Derecho de la Unión o de un Estado miembro;

2. Una disposición del Derecho de un Estado miembro que regule un tratamiento que entre en el ámbito de aplicación de la presente Directiva especificará al menos los fines del tratamiento, los datos personales que vayan a tratarse y los objetivos del tratamiento.

Para completar estos elementos del texto oficial, el artículo 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, mencionado por la CNIL en su sitio web, especifica la licitud del tratamiento:

El tratamiento sólo es lícito si, y en la medida en que, se cumpla al menos una de las condiciones siguientes

a) el interesado ha consentido el tratamiento de sus datos personales para uno o varios fines específicos ;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la ejecución de medidas precontractuales adoptadas a petición del interesado; o

c) el tratamiento sea necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento

d) el tratamiento es necesario para proteger los intereses vitales del interesado o de otra persona física

e) el tratamiento es necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, salvo que prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.


La letra f) del párrafo primero no se aplicará al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones.

Para ilustrar el punto "d)": los sistemas de información de los hospitales necesitan recopilar información sanitaria sobre un paciente para poder tratarlo. Por tanto, este tratamiento de datos es lícito.

6 pasos para que su empresa cumpla la normativa

Paso 1: Nombrar a un responsable de la protección de datos (RPD)

Como responsable del tratamiento de datos, debe nombrar a un delegado de protección de datos ( RPD).

La función del RPD es apoyar a su organización gestionando la gobernanza de los datos personales de los que es responsable.

El responsable de la protección de datos es un punto de referencia imparcial, un director de orquesta que hace todo lo posible por informarle, asesorarle y supervisar internamente el cumplimiento de las normas.

Supervisan y trabajan con total independencia. Esta función puede ejercerse internamente, como en las instituciones públicas, o externalizarse:

• con un proveedor de servicios especializado, como un abogado o un RPD independiente,
• El actual CIL (Corresponsal de Informática y Libertades) puede convertirse en RPD y ver ampliado el ámbito de sus responsabilidades.

Las funciones del RPD :

• proporcionar información y asesoramiento a todos los profesionales interesados: la empresa responsable del tratamiento, sus empleados internos y también las partes externas, como los subcontratistas;
• evaluar y verificar el cumplimiento de las obligaciones del RGPD ;
• recomendaciones para llevar a cabo su estudio de impacto
• seguimiento de la aplicación de este estudio;
• trabajar con la autoridad de control: el RPD es el contacto específico.

Obligaciones:

• estar al corriente de todas las obligaciones y novedades legales,
• estudiar y observar qué datos se tratan y cómo,
• proporcionar un informe de situación,
• sensibilizar a los directivos sobre todas las implicaciones del reglamento europeo,
• poner en marcha acciones para implicar a los directivos,
• gestionar la aplicación de la conformidad y supervisarla a lo largo del tiempo.

Competencias :

• dominar los derechos y libertades informáticos
• comprender el funcionamiento de las tecnologías de la información y la comunicación
• capacidad de negociación,
• facilidad de comunicación,
• experiencia en gestión de proyectos.

Se recomienda certificar sus conocimientos en materia de responsabilidad: se trata del principio de responsabilidad que exige que las empresas puedan demostrar su cumplimiento del RGPD a través de diversos documentos y medios.

Paso 2: Llevar un registro de las operaciones de tratamiento y evaluar el impacto del RGPD

Se trata de una obligación y de una prueba legal: su registro de tratamiento de datos puede consultarse a simple solicitud de la CNIL.

Este registro demuestra su utilidad porque permite a una empresa

• cartografiar el tratamiento de datos personales,
• tener una visión clara de la seguridad de los datos,
• elaborar una revisión completa y detallada de los procedimientos,
• determinar las medidas que deben adoptarse para garantizar el respeto de la vida privada.

El registro de tratamiento de datos es una brújula: permite a las empresas estimar el impacto del RGPD en su organización e identificar las medidas que deben tomarse.

La autoridad de control debe tener una visión transparente de su registro.

Por lo tanto, su registro debe responder a las siguientes preguntas

• ¿Quién? El registro identifica a los responsables del tratamiento de datos en cada fase, como el responsable del tratamiento, los empleados internos o los proveedores de servicios externos, como los subcontratistas;


• ¿Quiénes? Debe especificar la naturaleza de los datos personales utilizados y categorizarlos (estado civil, historial profesional, etc.): esto ayudará a identificar los datos sensibles, como la información sanitaria, y por tanto los riesgos que implican;


• ¿Con qué finalidad? Indique las finalidades, describa los objetivos, para qué se utiliza la información: encuestas, contratación, vigilancia, elaboración de perfiles de clientes, etc. ;


• ¿Cómo se utiliza? Clasifique el tratamiento de sus datos por finalidad, por ejemplo, y detalle las medidas adoptadas para garantizar la seguridad de los datos;


• ¿Dónde? El lector de su registro debe poder identificar el origen y el destino de los datos y las posibles transferencias. El país y la dirección del anfitrión deben ser identificables. Debe indicarse la trazabilidad, el historial y los flujos de datos fuera de la Unión Europea.


• ¿Durante cuánto tiempo? Determinar el periodo de conservación de cada dato.

En un artículo complementario, un experto del RGPD explica cómo llevar un registro de tratamiento, con un ejemplo.

Paso 3: Determinar las acciones prioritarias que hay que emprender

Su registro de operaciones de tratamiento refleja su situación con respecto a los principios fundamentales del RGPD:

• consentimiento
• respeto de la intimidad
• el derecho al olvido (desindexación de páginas web que mencionen tus datos)
• el derecho a la portabilidad (recuperar la información y transferirla a otra organización).

Los riesgos son reales cuando están en juego los derechos y libertades de las personas.

Puntos a vigilar :

• la cantidad y la calidad de los datos recogidos y tratados son razonables, necesarias y seguras en relación con la finalidad del tratamiento,
• se identifica la base jurídica del tratamiento (obligación legal, consentimiento, contrato, etc.)
• la información y los avisos legales cumplen los requisitos de la RGPD,
• ha informado a sus subcontratistas y éstos demuestran su capacidad para garantizar un alto nivel de confidencialidad y seguridad,
• proporciona a las personas los medios para ejercer sus derechos de rectificación, acceso, supresión, consentimiento y portabilidad.

En función de sus carencias, debe hacer todo lo posible por cumplir la normativa, pero también debe poder demostrar que va por buen camino.

Paso 4: Realizar un análisis de impacto para gestionar los riesgos

Ha identificado un riesgo: está legalmente obligado a realizar una evaluación de impacto sobre la protección de datos para cada operación de tratamiento afectada.

Esta evaluación de impacto, también conocida como DPIA (Data Protection Impact Assessment ), consiste en realizar un estudio completo para :

• determinar la causa de un riesgo y estimar el potencial de incumplimiento
• mejorar el tratamiento de datos para que respete los derechos de las personas físicas
• cumplir las condiciones técnicas y organizativas necesarias
• demostrar que se ha eliminado un riesgo.

El análisis del impacto de una operación de tratamiento que presenta un riesgo permite encontrar la mejor solución para evitar cualquier fuga de datos, ya sean sensibles o no.

La EIPD se utiliza para evaluar el impacto de una operación de tratamiento sobre la privacidad. Este análisis debe describir el tratamiento y sus fines, evaluar si el tratamiento está justificado a la vista de su finalidad, identificar los riesgos y detallar las medidas que deben tomarse para remediarlos.

Una evaluación de impacto es una excelente manera de verificar la conformidad de una operación de tratamiento, y ayuda a advertir de un riesgo antes de que los datos estén expuestos: por eso se recomienda encarecidamente que se lleve a cabo una evaluación de impacto antes de poner en marcha la operación de tratamiento.

El tratamiento de datos sensibles es un ejemplo de tratamiento que requiere un análisis: opiniones políticas o religiosas, cualquier información relativa a la salud, orígenes raciales, información sobre menores, etc.

Otras fuentes de riesgo :

• procedimientos deficientes de copia de seguridad o alojamiento de datos,
• hardware obsoleto o defectuoso, vulnerabilidad del software,
• ciberataques, programas maliciosos,
• falta de encriptación de los datos.

Todas las partes implicadas en la operación de tratamiento deben participar en el análisis de impacto: el responsable del tratamiento, el responsable de la seguridad de los sistemas de información, el responsable de la protección de datos y los subcontratistas.

Importante: las personas que son objeto del tratamiento pueden ser de gran ayuda dando su opinión sobre su experiencia del tratamiento.

Paso 5: Implantar los procedimientos internos adecuados

Para garantizar la mejor protección de datos posible y mantenerla a largo plazo, debe movilizar todos sus recursos, sensibilizar a su personal, incorporar buenas prácticas y, por último, aplicarlas.

3 procesos garantizan el cumplimiento y determinan si debe plantearse una revisión total o parcial de su organización interna:

• sus capacidades tecnológicas
• la formación de su personal
• los medios de que disponen las personas para ejercer sus derechos.

Examinar sus tecnologías:

• considerar los incidentes y estimar su capacidad de reacción ante riesgos como un cambio de host, una violación de la seguridad, una solicitud de rectificación, etc. ;
• adoptar un enfoque de privacidad desde el diseño. Se trata de integrar y garantizar un alto nivel de seguridad y respeto de la vida privada desde la fase de diseño de una tecnología destinada al tratamiento de datos;
• vigilar constantemente la evolución tecnológica y jurídica.

Forme a sus equipos:

• El cumplimiento empieza por la concienciación. Hay que informar y sensibilizar a todos los empleados mediante un programa de formación;
• Es necesaria una organización fluida que fomente la comunicación para garantizar que la información importante se transmite en tiempo real;
• una carta de buenas prácticas en la que se especifiquen sanciones, comportamientos adecuados y consejos útiles contribuirá a orientar a los empleados y a hacerles más responsables.

Dar a los titulares de los datos los medios para ejercer sus derechos:

• Todo el mundo debe poder acceder a sus datos y rectificarlos, oponerse a su uso, beneficiarse del derecho de portabilidad (...); hay que poder atender todas estas solicitudes;
• cada persona puede ejercer sus derechos por mensajería de Internet, en particular identificando claramente los procedimientos a seguir y la persona de contacto;
• en caso de violación de los datos, se debe notificar al titular lo antes posible, y a la autoridad de control (la CNIL) en un plazo de 72 horas.

Paso 6: demostrar el cumplimiento mediante documentación

El responsable del tratamiento debe demostrar el cumplimiento del RGPD aportando pruebas documentales de todos los procedimientos implantados.

Se trata del principio de responsabilidad. El objetivo es responsabilizar a las empresas y animarlas a comprometerse a cumplir el marco jurídico impuesto por el Reglamento General de Protección de Datos.

La gestión electrónica de documentos(GED) desempeña un papel importante en el RGPD: el cuadro siguiente recoge la larga lista de documentos que deben elaborarse y conservarse.

RGPD y marketing: un experto explica por qué el consentimiento es una oportunidad para construir una relación más cualitativa con el cliente y sacar el máximo partido de los datos.

Soluciones y tecnologías para el cumplimiento

Su auditoría RGPD

Para que tu transición digital sea un éxito, aquí tienes 4 tipos de auditoría "amistosa" del RGPD que algunos proveedores de servicios, como un DPO externalizado, ya ofrecen en el mercado:

• Auditoría CNIL: los expertos trazan un mapa de sus operaciones de tratamiento, las comparan con los requisitos de la CNIL y elaboran un plan de acción de conformidad;


• Auditoría de conformidad: esta auditoría reúne los requisitos de la CNIL y también recomienda acciones y plazos para la seguridad de los sistemas informáticos, tras la realización de pruebas;


• Auditoría de subcontratistas: un profesional examina la reputación de un subcontratista con sus clientes, garantiza el cumplimiento, evalúa los riesgos asociados a la transferencia de datos y proporciona un informe respaldado por recomendaciones;


• Auditoría de su sitio web: esta auditoría identificará los aspectos vulnerables, como la actualización de las condiciones generales de venta y los formularios, y la comprobación de la conformidad de las herramientas de marketing.

Cualquier RPD que se precie se anticipará a sus peticiones de documentación.

Consejo: como debe aportar pruebas de su cumplimiento y de los recursos comprometidos, no olvide pedir cláusulas de compromiso sobre los recursos aplicados, así como documentación (que deberá poder facilitar a la autoridad de control después de cada auditoría).

Bueno saber: según un especialista, el éxito de una auditoría RGPD depende del código de conducta adoptado por la empresa.

Buenas prácticas: técnicas de seguridad

Ante la amenaza de fuga o pérdida de datos, el responsable de seguridad informática o el RPD pueden ayudar a la empresa responsable del tratamiento de datos.

Según el Reglamento Europeo de Protección de Datos, los datos sensibles deben tratarse mediante encriptación, seudonimización o anonimización.

Hemos apuntado algunas soluciones técnicas para ayudarle a reflexionar sobre su plan de acción para alcanzar un nivel de seguridad que cumpla los requisitos del RGPD:

• Puede establecer un procedimiento de detección automática de datos personales en su sistema de información y cifrar inmediatamente los datos mediante encriptación, anonimización o seudonimización;


• El reglamento exige que los datos sean rastreables: es esencial mantener un registro permanente de las aplicaciones conectadas a las identidades para controlar mejor el acceso o proteger las direcciones de correo electrónico, por ejemplo;


• El proceso informático PAM (Pluggable Authentication Modules) permite asegurar la gestión de los accesos separándola del proceso informático que requiere la autenticación;


• Para prevenir y limitar la fuga de datos sensibles, se recomiendan las técnicas DLP (Data Loss Prevention): ofrecen la posibilidad de detectar, controlar y proteger cada dato analizándolo;


• Aplicar el principio de SIEM (security information and event management) para gestionar con total seguridad los eventos relacionados con la información (recopilación, normalización, correlación, etc.).

El fin de las etiquetas y certificaciones de la CNIL

El 23 de febrero de 2018, la CNIL anunció el fin de las etiquetas CNIL y la introducción gradual de certificaciones y puntos de referencia:

La CNIL está introduciendo una nueva herramienta de cumplimiento, la certificación, y está reduciendo gradualmente sus actividades de etiquetado. (...)

Las certificaciones serán expedidas por organismos de certificación autorizados por la CNIL o acreditados por el organismo nacional de acreditación (COFRAC). (...)

La certificación de los responsables de la protección de datos está en fase de desarrollo: los organismos de certificación autorizados por la CNIL expedirán certificaciones de responsables de la protección de datos, basándose en un conjunto de directrices elaboradas por la CNIL.

Por lo tanto, los profesionales y las empresas familiarizados con las siguientes normas -o que ya se han embarcado en un proceso que profesionaliza su enfoque de la protección de datos personales- presentan ventajas innegables para los responsables del tratamiento de datos que necesitan ayuda para cumplir el RGPD:

• Abogados expertos en seguridad de la información y derecho de la privacidad ;


• La certificación AFAQ Protection des données personnelles de AFNOR , que acredita las medidas técnicas y organizativas adoptadas para cumplir el RGPD;


• Los titulares de la etiqueta CNIL IT Governance and Freedoms demuestran un excelente enfoque de la gestión de los datos personales;


• la certificación ISO/IEC 27001 de AFNOR demuestra sus competencias para identificar datos sensibles y su capacidad para proponer soluciones de seguridad.

Los especialistas en protección de datos, los profesionales o las empresas con certificaciones o etiquetas exigentes en materia de seguridad digital y confianza también son prueba de un enfoque "amistoso" de la GRPD ya en marcha:

• Los proveedores de servicios de confianza certificados por la AINSSI e inscritos en la lista de proveedores de servicios reconocidos por la Agence nationale de la sécurité des systèmes d'information francesa;


• los proveedores de servicios de confianza que hayan obtenido un certificado de conformidad eIDAS;


• La etiqueta France Cybersecurity representa una garantía en términos de confianza digital, con especial énfasis en la calidad de las funcionalidades para los usuarios;


• Empresas que han obtenido la etiqueta de seguridad expedida por el organismo de evaluación de la conformidad LSTI, que certifica el cumplimiento de las normas de seguridad francesas, europeas e internacionales;


• Organizaciones certificadas por Cloud Confidence, la referencia en materia de transparencia de la protección de datos;


• Proveedores de alojamiento que han obtenido la certificación ISO 27001:2013 (una referencia internacional), que garantiza la integridad, confidencialidad y trazabilidad de los datos;


• Las empresas con certificación TRUSTe garantizan la confidencialidad de los datos en Internet.

Atención: todas las certificaciones enumeradas están sujetas a cambios, y algunas cambiarán seguramente de nombre para ser reconocidas oficialmente por la CNIL y cumplir plenamente el RGPD.

Programas informáticos para cumplir el RGPD

Compliance Booster: una plataforma completa suministrada con o sin RPD

El software en línea Compliance Booster (SaaS) cumple todos los requisitos del reglamento europeo.

Reúne en una misma plataforma todas las herramientas y recursos que necesita para cumplir con el RGPD:

• documentación informatizada para demostrar tus procesos comprometidos
• un registro de tratamientos y datos,
• un departamento jurídico integrado,
• los servicios de un Delegado de Protección de Datos (DPO),
• envío de la prueba del consentimiento en un plazo de 72 horas a la autoridad de control competente de cada país europeo (plazo impuesto especialmente en Francia),
• los datos se alojan en Francia,
• cobertura de riesgos financieros de hasta 90 millones de euros en caso de error por parte de Compliance Booster.

Descubra la plataforma de cumplimiento del RGPD en vídeo:

Compliance Booster también ofrece la posibilidad de realizar su propia auditoría RGPD y análisis de impacto: evaluación de riesgos, inventario de tratamientos y datos, incluidos los sensibles, para anticipar mejor las soluciones a implantar y evitar pérdidas o fugas de datos.

La solución Compliance Booster cubre todo el espectro del cumplimiento de la GRPD y le permite externalizar su responsable de protección de datos recurriendo a los servicios de abogados especializados.

¿Ha encontrado ya a su RPD? La plataforma está perfectamente adaptada a los usuarios con competencias en protección de datos.

Además, Compliance Booster ha sido diseñada previamente por responsables de protección de datos de empresas: sus fundadores cuentan con 30 años de experiencia en protección de datos, seguridad de la información y cumplimiento de la legislación sobre privacidad.

Axeptio: Opt-in para un marketing conforme al RGPD

• los datos de los usuarios se almacenan de forma anónima, segura y certificada,
• se conserva la prueba del consentimiento con trazabilidad en el tiempo,
• la solución proporciona documentación completa sobre las medidas y procedimientos de protección,
• los datos se alojan en Francia.

En particular, la solución ofrece un sistema de cifrado de datos y consentimientos que protege los datos de los usuarios:

Sólo el responsable del tratamiento tiene la clave para identificar al usuario que ha dado su consentimiento.

Ventajas para todos los implicados en el marketing:

• una solución opt-in conforme con la GRPD para recopilar información de clientes potenciales,
• la solución se comunica con su CRM, ERP y software de automatización de marketing,
• Axeptio está disponible como plugin compatible con CMS y plataformas de comercio electrónico como PrestaShop, WordPress, Drupal, Magento y shopify.

Captain DPO: una plataforma colaborativa para los DPO

Captain DPO privilegia el trabajo colaborativo: el Delegado de Protección de Datos (DPO) puede movilizar a todos los actores implicados en la protección de datos.

Captain DPO es una herramienta colaborativa que permite al Delegado de Protección de Datos aplicar una gestión fluida de los proyectos.

El capitán RPD ofrece una serie de funciones de colaboración de incalculable valor para el responsable del cumplimiento.

Todos los implicados en el proceso, incluidos el responsable de la seguridad de los sistemas de información, los subcontratistas y el responsable del tratamiento, trabajan juntos.

El RPD puede reunir pruebas y dar instrucciones dentro de la solución.

Descubra al Capitán RPD en vídeo:

Herramientas integradas en el software :

• Auditoría RGPD y análisis de impacto,
• cartografía de las aplicaciones conectadas a los datos
• registro de tratamientos y datos
• gestión de documentos,
• gestión completa de los derechos de los usuarios,
• notificaciones y alertas en tiempo real,
• documentación obligatoria incluida,
• seguro que cubre la pérdida de datos,
• alojamiento de datos en Francia.

Ver todos los software Reglamento General de Protección de Datos (RGPD)

Sanciones en caso de incumplimiento del GDPR

Las disposiciones legales sobre multas tienen consecuencias de gran alcance para cualquier organización que no cumpla con el GDPR.

De hecho, cualquier recopilación de datos -así como cualquier uso, tratamiento, etc. - que no cumpla las normas del Reglamento General de Protección de Datos dará lugar a una sanción.

Cualquier entidad que no cumpla la Directiva puede ser multada con hasta el 4% de las ventas mundiales anuales, o 20 millones de euros.

En caso de infracción del reglamento europeo relativo a sus datos, todos los ciudadanos pueden hacer valer sus derechos y reclamar una indemnización por los daños sufridos. Si se demuestra el incumplimiento del RGPD, los daños pueden tener consecuencias de gran alcance: además de una "cuantiosa" multa, la reputación de la entidad en cuestión se verá empañada.

En un contexto en el que la empresa responsable del tratamiento de datos debe ser capaz de aportar todas las pruebas, como el registro de tratamiento, el análisis de impacto, la prueba del consentimiento, etc., una solución de cumplimiento del RGPD proporciona una ayuda inestimable tanto a la empresa como al responsable de la protección de datos.