Contenidos Patrocinados
En 2016 entró en vigor el Reglamento General de Protección de Datos (GDPR por sus siglas en inglés), que comenzará a aplicarse este 25 de mayo. Afecta a las empresas localizadas en la UE y a cualquier otra que cuente con datos sobre consumidores del espacio comunitario, aun cuando no disponga de oficinas o servidores en la zona. También es aplicable a organizaciones que, a la fecha, trataban datos de personas en la región y se sometían a la regulación de terceros países.
Con el GDPR, el permiso del consumidor debe obtenerse válidamente y los datos y su almacenamiento han de ser transparentes. También introduce nuevos elementos, como el derecho al olvido y el derecho a la portabilidad, que mejoran la capacidad de decisión y control del ciudadano sobre los datos personales que confían a terceros.
La información deberá ofrecerse al consumidor de forma concisa, sencilla, transparente, inteligible y de fácil acceso.
Sin duda. El de Marketing es uno de los departamentos más afectados y cuya intervención será más relevante en el cumplimiento del nuevo reglamento. Primero, porque obtiene los datos de los clientes a través de sus diferentes interacciones y tendrá que redefinir sus materiales promocionales. Segundo, la nueva definición de datos personales ahora incluye las direcciones IP o las cookies que contienen datos personales para realizar el seguimiento del comportamiento del usuario en Internet. Y dicha información es una base fundamental de la actividad de Marketing.
Por otro lado, el área de Marketing es la responsable de velar por la reputación de la empresa. Según la firma IDC, el 80% de las personas que vean vulnerada su información personal por parte de una organización no volverán a confiar nunca en esta, por lo que Marketing tendrá que asegurarse de que no se producen errores para mantener la confianza de los clientes. Todos sabemos lo que cuesta recuperarla.
A pesar del papel clave que juega esta área en el proceso, nos sorprende que el 41 % de los profesionales de Marketing admita no entender las leyes ni las mejores prácticas relacionadas con la regulación de datos personales, según un estudio de Chartered Institute of Marketing (CIM).
La información que directa o indirectamente se refiere a una persona física.
GDPR ofrece protección en los siguientes tipos de información:
Esta armonización normativa es un importante avance hacia un mercado único digital y el cambio de un modelo excesivamente formalista a otro de gestión, en donde el principio de accountability o responsabilidad proactiva es fundamental. En otras palabras, se introduce la responsabilidad de la empresa para cualquier tratamiento de datos que realice directamente o mediante un tercero.
El GDPR refuerza el derecho al olvido, que puede ejercitarse cuando haya síntomas de que la finalidad para la que se recogieron los datos personales se ha vuelto obsoleta o si atenta injustamente contra la imagen personal. En estos casos, el afectado puede solicitar el borrado de sus datos personales.
El consentimiento es uno de los fundamentos del GDPR. Debe ser libre, informado, específico e inequívoco. En otras palabras, exige una declaración o acción afirmativa clara del interesado. También ha de ser verificable: quienes recopilen datos personales deben estar en capacidad de demostrar que el usuario les otorgó su consentimiento, lo que hace importante revisar los sistemas de registro del consentimiento para su verificación ante una auditoría.
El consentimiento ha de ser explícito en estos casos:
Es la persona jurídica o física que decide la finalidad y los usos de la información. Con la nueva regulación, pasa de una posición pasiva a una activa: debe ser capaz de demostrar el cumplimiento del GDPR, verificable por auditores externos.
Entre sus obligaciones figuran:
Presta un servicio al responsable. Los tipos de encargado del tratamiento varían según el servicio que se preste (la finalidad en sí misma puede ser tratar datos personales o el tratamiento de datos personales es consecuencia de la actividad realizada). Debe cumplir con las instrucciones del responsable sobre el correcto tratamiento de la información a la que tenga acceso al prestar el servicio.
Conocido popularmente como DPO (Data Protection Officer), es un componente clave del GDPR. Su figura es obligada en los siguientes casos:
Cada faceta de la interacción del cliente requiere que se cumpla con el Reglamento. Aun cuando una empresa no tenga servidores o presencia comercial en la UE, el GDPR le afecta si:
Hasta ahora, la sanción máxima que se podía exigir en España por incumplimiento de la LOPD era de 600 000 euros. A partir de ahora, el máximo será de 20 millones de euros o el 4 % del total de facturación. Siempre se optará por el monto más alto.
