El nuevo Reglamento General de Protección de Datos de la Unión Europea (GDPR por sus siglas en inglés) entró en vigor hace medio año y está destinado a cambiar las cosas en el ámbito de la protección de la información sensible en las empresas y las instituciones. Para facilitar la adaptación a esta ley europea, que será de obligado cumplimiento a partir de mayo de 2018, Acens da una serie de recomendaciones. Al fin y al cabo, conviene que entidades y organismos públicos se la tomen en serio, toda vez que hay previstas sanciones de hasta 20 millones de euros por incumplimiento.
1. Acredita el cumplimiento mediante un Sistema de Gestión de Seguridad de la información. Para garantizar el cumplimiento continuo de los requisitos del nuevo reglamento, es altamente recomendable adoptar un sistema de gestión siguiendo el esquema de los estándares internacionales, como ISO 27001. No basta un compromiso, sino que será necesario un seguimiento mediante un sistema con sus prácticas y controles durante todo el proceso del tratamiento de datos. “La empresa tiene que acreditar el cumplimiento y que se están haciendo las cosas como marca el reglamento”, comenta Fernando Serrano López, responsable de seguridad de acens.
2. Considera la privacidad de forma previa a cualquier tratamiento de datos. Considerar la privacidad como un elemento esencial de forma previa a cualquier tratamiento de datos será algo que las organizaciones deberán incorporar como cultura de empresas realizando análisis previos incluso de impacto. “Uno de los conceptos más resaltables de esta norma es el de privacidad, desde el diseño y por defecto”, comenta Gustavo Sáenz Felipe, al cargo de la seguridad corporativa, la calidad y los procesos en Acens.
3. Consulta a la autoridad de control si el impacto es alto. En el caso que la evaluación del impacto entrañe un alto riesgo se deberá consultar a la autoridad de control, la Agencia de Protección de Datos en el caso español.
4. Incorpora nuevos perfiles como el DPO. Será necesario contar con nuevos perfiles profesionales y surge una nueva figura con más autonomía e independencia que el responsable de seguridad: el Delegado de Protección de Datos o DPO, que velará por el cumplimiento de la ley en las organizaciones.
5. Conoce la obligación de notificar incidencias. La notificación de incidentes de seguridad a la autoridad competente ya existía para ciertos proveedores de servicio, pero ahora se amplía, siendo de ámbito global para todas las compañías. “Una de las novedades más importantes que introduce esta regulación es la obligatoriedad de notificar las violaciones de seguridad cuando son relativas a la privacidad de datos. Hay un plazo de 72 horas e incluso dependiendo del tipo de incidente y de su gravedad será necesario comunicarlo a los usuarios afectados”, advierte Gustavo Sáenz Felipe.
6. Incorpora medidas de seguridad como la seudonimización y el cifrado. En relación a las medidas de seguridad, el reglamento menciona algunos mecanismos y medidas de control como la seudonimización y el cifrado, para garantizar la confidencialidad, disponibilidad y acceso a los datos, así como la capacidad del sistema capacidad de soportar datos y recuperarse ante incidentes. “No se detallan medidas específicas de seguridad, pero sí que menciona los objetivos y controles de seguridad que se deben cumplir como la seudonimización de los datos y el cifrado, garantizar la confidencialidad, disponibilidad e integridad de los datos o la resilencia del sistema”, señala Gustavo Sáenz Felipe.
7. Confirma la garantía de tus proveedores de tecnología. Las autoridades competentes comprobarán en sus auditorías si se han tenido en cuenta la privacidad y protección de datos en la selección de proveedores. “Las empresas deberán contar con software de cifrado, pero más allá de ese software o esas herramientas, necesitará una serie de utilidades y de herramientas que le permita desarrollar ese marco de gestión. Por supuesto, todo esto va a estar almacenado y alojado en alguna ubicación y ahí es fundamental el uso de tecnologías como cloud, y confiar en una compañía que hace la función de encargado de tratamiento según se contempla en el propio reglamento y que obviamente cumpla todas las garantías y nos ayude a ese cumplimiento, que la infraestructura sea sólida, que tenga alta disponibilidad”, apunta Gustavo Sáenz Felipe.
8. Las sanciones alcanzarán los 20 los millones de euros o el 4% del volumen anual de negocio. Las cuantías de las multas por incumplimiento de estas obligaciones se incrementan y pueden alcanzar los 20 millones de euros o el 4% del volumen de negocio, optando la autoridad sancionadora por la de mayor cuantía.
9. Las empresas internacionales tendrán un responsable visible en Europa. La ley es de aplicación no sólo para empresas europeas, sino para toda aquella que gestione datos de usuarios residentes en Europa, por lo que toda empresa internacional deberá contar con un responsable visible en Europa.
10. La normativa será de obligado cumplimiento a partir del 25 de mayo 2018. El Reglamento General de Protección de Datos entró en vigor el 25 de mayo del 2016, pero, como indica Fernando Serrano, “no hay obligación de cumplimiento hasta el 25 de mayo de 2018. Hay un margen para que las empresas se adapten”.
