RGPD y derechos de los interesados

El Reglamento General de Protección de Datos (GDPR) es una ley de privacidad de la Unión Europea que entró en vigor el 25 de mayo de 2018. Regula cómo las organizaciones recopilan, almacenan, procesan y comparten los datos personales de los residentes de la UE, independientemente de dónde esté ubicada la propia organización. Una empresa estadounidense que recopile datos de visitantes de sitios web de la UE debe cumplir el GDPR. Las infracciones pueden conllevar sanciones de hasta 20 millones de € o el 4 % del volumen de negocios anual mundial, lo que sea mayor, por lo que el GDPR es una de las normativas de privacidad más relevantes del mundo.

El GDPR introduce una terminología específica. Los datos personales son cualquier información relacionada con una persona física identificada o identificable (el interesado). El responsable del tratamiento determina los fines y los medios del tratamiento, normalmente la organización que recopila los datos. El encargado del tratamiento procesa los datos en nombre del responsable (proveedores de servicios en la nube y proveedores de analítica). El tratamiento incluye cualquier operación realizada sobre datos personales: recopilación, almacenamiento, modificación, transferencia o eliminación. Comprender estas funciones es fundamental porque el GDPR asigna obligaciones diferentes a responsables y encargados.

Las organizaciones deben identificar una base jurídica antes de tratar datos personales. El GDPR define seis bases: Consentimiento (libre, específico, informado e inequívoco); Contrato (necesario para cumplir un contrato con el interesado); Obligación legal (exigida por la ley); Intereses vitales (proteger la vida de una persona); Misión de interés público (interés público o ejercicio de poderes públicos); e Intereses legítimos (equilibrados con los derechos del interesado). El consentimiento debe cumplir requisitos estrictos: las casillas premarcadas no son válidas.

El artículo 5 del GDPR establece siete principios. Licitud, lealtad y transparencia: los datos deben tratarse de forma legal y abierta. Limitación de la finalidad: los datos recopilados para una finalidad no pueden reutilizarse sin una nueva base jurídica. Minimización de datos: solo se debe recopilar lo estrictamente necesario. Exactitud: los datos deben mantenerse actualizados. Limitación del plazo de conservación: no se deben conservar los datos más tiempo del necesario. Integridad y confidencialidad: deben aplicarse controles de seguridad adecuados. Responsabilidad proactiva: las organizaciones deben poder demostrar el cumplimiento.

El GDPR concede a las personas (los interesados) varios derechos exigibles. El derecho de acceso (artículo 15) permite solicitar una copia de todos los datos personales que una organización conserva sobre ellas, junto con información sobre las finalidades del tratamiento, los periodos de conservación y los destinatarios terceros. Las organizaciones deben responder en un plazo de un mes (ampliable a tres meses en el caso de solicitudes complejas). Este derecho se ejerce mediante un proceso de Solicitud de acceso del interesado (SAR), que la mayoría de las organizaciones que cumplen el GDPR documentan en su política de privacidad.

El derecho de supresión (el «derecho al olvido», artículo 17) permite solicitar la eliminación de los datos cuando ya no sean necesarios, se retire el consentimiento o los datos se hayan tratado de forma ilícita. El derecho de rectificación (artículo 16) permite corregir datos inexactos o incompletos. Ninguno de los dos derechos es absoluto: no es necesario suprimir los datos que se requieran para cumplir una obligación legal o defender reclamaciones jurídicas. Estos derechos plantean importantes desafíos de arquitectura de datos, especialmente en sistemas con bases de datos replicadas o archivadas.

El derecho a la portabilidad de los datos (artículo 20) permite recibir los datos personales en un formato estructurado y legible por máquina (JSON, CSV) y transmitirlos a otro responsable, lo que facilita cambiar de proveedor de servicios. El derecho de oposición (artículo 21) permite detener determinados tratamientos, especialmente el marketing directo (que debe cesar inmediatamente tras la oposición) o el tratamiento basado en intereses legítimos (en cuyo caso la organización debe demostrar motivos imperiosos para continuar).

El artículo 33 del GDPR exige que las organizaciones notifiquen a su autoridad de control (la autoridad nacional de protección de datos, como la ICO del Reino Unido o la BSI de Alemania) en un plazo de 72 horas desde que tengan conocimiento de una filtración de datos personales que suponga un riesgo para los derechos de las personas. Si es probable que la filtración ocasione un riesgo elevado para las personas, también se debe notificar directamente a los interesados afectados sin dilación indebida (artículo 34). Este plazo de 72 horas es considerablemente más corto que los plazos de notificación de filtraciones establecidos por muchas leyes estatales de EE. UU.

El GDPR exige que determinadas organizaciones designen un Delegado de Protección de Datos (DPO): autoridades públicas, organizaciones que traten datos sensibles a gran escala (sanitarios, biométricos o penales) o aquellas que realicen una supervisión sistemática a gran escala (publicidad basada en el comportamiento). El DPO debe tener conocimientos especializados en legislación de protección de datos, debe ser independiente (no puede ser sancionado por desempeñar sus funciones como DPO) y actúa como principal punto de contacto con la autoridad de control. Las organizaciones que no están obligadas a designar un DPO a menudo lo hacen voluntariamente para demostrar su responsabilidad proactiva.

El GDPR restringe la transferencia de datos personales a países fuera de la UE/EEE, a menos que existan garantías adecuadas. Las decisiones de adecuación reconocen a los países con niveles de protección equivalentes (Japón, Canadá, el Reino Unido tras el Brexit y EE. UU. en el marco EU-US Data Privacy Framework). En ausencia de una decisión de adecuación, las organizaciones utilizan Cláusulas Contractuales Tipo (SCC) —contratos modelo preaprobados— o Normas Corporativas Vinculantes (BCR) para transferencias intragrupo dentro de multinacionales. Las transferencias internacionales de datos no autorizadas son una fuente habitual de medidas coercitivas relacionadas con el GDPR.

El GDPR establece dos niveles de multas administrativas. El nivel 1 (inferior) alcanza hasta 10 millones de € o el 2 % del volumen de negocios anual mundial por infracciones como no mantener registros, incumplir la notificación de filtraciones o contar con acuerdos insuficientes con los encargados del tratamiento. El nivel 2 (superior) alcanza hasta 20 millones de € o el 4 % del volumen de negocios anual mundial por infracciones fundamentales: tratamiento ilícito, ausencia de una base jurídica o vulneración de los derechos de los interesados. Entre las medidas coercitivas destacadas se incluyen las multas impuestas a Google (50 millones de €), Meta (1.200 millones de €) y Amazon (746 millones de €).

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que el GDPR regula los datos personales de los residentes de la UE y se aplica a escala mundial, con multas de hasta el 4 % de los ingresos mundiales; los seis derechos de los interesados incluyen el acceso, la supresión, la rectificación, la portabilidad, la oposición y la limitación del tratamiento; y la notificación de filtraciones en un plazo de 72 horas a las autoridades de control es obligatoria cuando las filtraciones ponen en riesgo los derechos de las personas. A continuación, exploraremos HIPAA, PCI-DSS y los requisitos de cumplimiento específicos de cada sector.