El RGPD (Reglamento General de Protección de Datos) no sólo se aplica a las organizaciones situadas dentro de la UE, sino que también se aplicará a las organizaciones situadas fuera de la UE si ofrecen bienes o servicios a los sujetos de la UE o supervisan su comportamiento. Se aplica a todas las empresas que tratan y conservan los datos personales de los interesados residentes en la Unión Europea, independientemente de su ubicación.
Las organizaciones pueden ser multadas hasta con un 4% del volumen de su negocio global anual por incumplir RGPD o 20 millones de euros. Esta es la multa máxima que se puede imponer para las infracciones más graves, por ejemplo, no tener suficiente consentimiento del cliente para procesar datos o violar los conceptos básicos de privacidad por diseño. Es importante señalar que estas reglas se aplican tanto a los controladores como a los procesadores – lo que significa que las «nubes» no estarán exentas de la aplicación de RGPD.
Un controlador es la entidad que determina los propósitos, condiciones y medios del tratamiento de datos personales, mientras que el procesador es una entidad que procesa datos personales en nombre del controlador.
Los datos personales son cualquier información relacionada con una persona natural o interesado, que pueda ser usada para identificar directa o indirectamente a la persona. Puede ser cualquier cosa, desde un nombre, una foto, una dirección de correo electrónico, datos bancarios, publicaciones en sitios de redes sociales, información médica o una dirección IP de un ordenador.
Las condiciones para el consentimiento se han reforzado. Las empresas no podrán utilizar términos y condiciones ilegibles y largas, ya que la solicitud de consentimiento debe darse en forma inteligible y fácilmente accesible, con el propósito de procesar datos junto al consentimiento – lo que significa que debe ser inequívoca. El consentimiento debe ser claro y distinguible de otros asuntos y proporcionado de forma inteligible y fácilmente accesible, utilizando un lenguaje claro y sencillo. Debe ser tan fácil retirar el consentimiento como darlo. El consentimiento explícito sólo se requiere para el procesamiento de datos personales sensibles – en este sentido, nada tan resumido como «adhesión» será suficiente. Sin embargo, para los datos no sensibles, el consentimiento «preciso» será suficiente.
(Fuente: EUGPDR.ORG)
21/11/2017
