Guía sobre el Reglamento General de Protección de Datos
La privacidad y la protección de datos han vuelto a ser el centro de atención durante el último año, en un contexto tecnológico cada vez más complejo. En la UE se ha debatido sobre la necesidad de un «RGPD 2.0», ya que la nube y la inteligencia artificial plantean sus propios retos en materia de privacidad, desde los modelos de responsabilidad compartida hasta el tratamiento de datos biométricos y el uso del reconocimiento facial.
Entonces, ¿qué es el RGPD o Reglamento General de Protección de Datos, qué abarca y puede ofrecer respuestas a los retos actuales, doce años después de su redacción inicial? Analicemos el objetivo y los requisitos de esta normativa y cómo puede garantizar su cumplimiento a través de su estrategia de protección de datos.
¿Qué es el RGPD?
El Reglamento General de Protección de Datos (RGPD) es una ley de protección de datos que regula la forma en que las organizaciones recopilan, almacenan, tratan y comparten los datos personales de los ciudadanos de la UE. El RGPD entró en vigor el 25 de mayo de 2018. Se basa en el artículo 8 de la Carta de los Derechos Fundamentales de la UE sobre la protección de datos personales y se fundamenta en el «consentimiento libre y expreso» como base jurídica para el tratamiento de datos personales.
Este reglamento tiene por objeto armonizar las normas de protección de datos en toda la Unión Europea y salvaguardar los derechos de privacidad de los ciudadanos de la UE, independientemente de la ubicación geográfica de la organización que trate los datos personales.
Los principios fundamentales del RGPD
El Reglamento General de Protección de Datos se articula en torno a siete principios clave que rigen el tratamiento lícito de los datos personales. Estos principios no son meras directrices, sino que son jurídicamente vinculantes y fundamentales para el cumplimiento del RGPD. Exigen a las organizaciones tener en cuenta la privacidad en cada fase del tratamiento de datos, desde la recogida inicial de los datos hasta su eliminación o destrucción definitiva.
- Licitud, lealtad y transparencia. El tratamiento de datos personales debe tener una base jurídica, no debe ser engañoso ni perjudicial para los interesados, y debe ser claro y transparente con las personas en cuanto a cómo se utilizan y tratan sus datos.
- Limitación de la finalidad . Los datos deben recogerse por motivos específicos, claros, explícitos y lícitos, y su uso no puede ser incompatible con la finalidad original.
- Minimización de datos . Los datos recogidos y tratados deben limitarse a lo estrictamente necesario para la finalidad prevista.
- Exactitud . Los datos personales deben ser exactos y, cuando sea necesario, mantenerse actualizados. Los datos inexactos deben corregirse o eliminarse sin retraso.
- Limitación del almacenamiento . Los datos personales solo deben conservarse en un formato que permita identificar a los interesados durante el tiempo necesario para cumplir la finalidad prevista.
- Integridad y confidencialidad (seguridad). El tratamiento de datos personales debe incorporar medidas de seguridad adecuadas para protegerlos contra el tratamiento no autorizado o ilícito y contra cualquier daño.
- Responsabilidad . Las organizaciones deben ser capaces de aplicar las políticas y procedimientos necesarios para cumplir con el RGPD y demostrar que lo han hecho de manera efectiva cuando se les solicite.
Definiciones y terminología del RGPD
A continuación se incluye un breve glosario con los términos clave y las definiciones del RGPD: Los datos personales se refieren a cualquier información relacionada con una persona física, es decir, el interesado , que pueda identificarse directa o indirectamente, por ejemplo, mediante su nombre, un número de identificación, su ubicación u otros identificadores relacionados con su identidad física, fisiológica, genética, mental, económica, cultural o social.
El consentimiento es cualquier manifestación «libre, específica, informada e inequívoca» por parte del interesado de que acepta que sus datos personales sean tratados para la finalidad indicada.
El responsable del tratamiento es la persona física u organización responsable del cumplimiento de los principios del RGPD y que determina los fines y los medios del tratamiento de los datos personales. Es la parte con la que deben ponerse en contacto los interesados que deseen ejercer sus derechos. No obstante, el tratamiento efectivo de los datos puede delegarse en otra persona física u organización, es decir, el encargado del tratamiento .
El encargado del tratamiento es una persona física u organización que trata datos personales por cuenta del responsable del tratamiento . Esta parte está sujeta a las instrucciones del responsable del tratamiento .
El interesado es una persona física que da su consentimiento para que sus datos personales sean tratados por el responsable del tratamiento de o por el encargado del tratamiento de .
El tratamiento es cualquier operación realizada sobre datos personales, como la recogida, el registro, la estructuración, el almacenamiento, la modificación, la comunicación, la difusión, la supresión y la destrucción, entre otras opciones contempladas en el RGPD.
Derecho de acceso es el derecho de un interesado a obtener información del responsable del tratamiento sobre sus datos personales, cómo se tratan, la finalidad del tratamiento, etc., de forma gratuita en el plazo de 1 mes desde la recepción de dicha solicitud.
Requisitos y retos del cumplimiento del RGPD
El RGPD ha sentado las bases para unas normas sólidas de protección de datos. Sin embargo, la naturaleza dinámica de la tecnología introduce complejidades y prueba cada vez más los principios básicos en los que se sustenta la normativa de privacidad de la UE.
¿Quién debe cumplir con el RGPD?
Dentro de la UE. Cualquier organización que trate datos personales de personas físicas en la UE está sujeta al RGPD. Esto incluye a empresas públicas y privadas, gobiernos, organizaciones benéficas y otras organizaciones sin ánimo de lucro.
Fuera de la UE. El RGPD se extiende más allá de las fronteras de la UE a cualquier organización que ofrezca bienes o servicios a ciudadanos de la UE o que observe su comportamiento dentro de la UE. Esto significa que una empresa con sede en cualquier parte del mundo debe cumplir con el RGPD si trata datos de residentes de la UE.
Las empresas tecnológicas y de Internet a nivel mundial , incluidas las plataformas de redes sociales, que tengan usuarios en la UE están obligadas a cumplir con el RGPD.
Proveedores de tecnología y responsabilidad compartida
Con la proliferación de SaaS, IaaS, PaaS y otras plataformas que proporcionan recursos y servicios de TI a través de Internet, el rol de los proveedores de tecnología y los subcontratistas que gestionan datos personales cobra importancia en el cumplimiento del RGPD. Si una organización utiliza servicios o plataformas de terceros para tratar o almacenar datos personales, los proveedores también deben cumplir con el RGPD.
Cabe señalar que la mayoría de estos servicios se basan en un modelo de responsabilidad compartida según el cual:
- Las organizaciones son responsables de sus datos en su calidad de titulares de los mismos y, dependiendo del tipo de servicio, pueden ser responsables de las aplicaciones y/o los sistemas operativos
- Los proveedores son responsables de los servidores, el almacenamiento, las redes, las ubicaciones físicas, etc.
En virtud del RGPD, las organizaciones son responsables de obtener el consentimiento y de garantizar que los datos se utilicen para los fines previstos. Asimismo, deben garantizar que los proveedores a los que confían el tratamiento de datos personales lo hagan de conformidad con el reglamento.
Algunos de los retos que plantea la computación en la nube para los datos privados están relacionados con:
- posibles fugas de información sensible
- el control de los flujos de datos entre jurisdicciones
- garantizar que los proveedores externos apliquen los mismos compromisos de privacidad asumidos con los interesados
- la aplicación efectiva de políticas de conservación
- la gestión de las violaciones de datos personales
- la gestión de riesgos en general
el RGPD y la IA
La Ley de Inteligencia Artificial de la UE, la primera ley del mundo que regula la IA, entrará en vigor en 2025 para abordar algunos de los nuevos retos para los derechos de privacidad de los ciudadanos de la UE. Sin embargo, es importante comprender ya desde ahora algunos de los retos a los que se enfrentan las organizaciones que recurren a la IA para tratar datos personales:
- Minimización de datos y limitación de la finalidad. La IA plantea un reto a los responsables del tratamiento a la hora de limitar la recogida de datos a lo estrictamente necesario y a una finalidad específica.
- Transferencias transfronterizas de datos. La IA y las tecnologías basadas en datos suelen operar más allá de las fronteras. Esto puede requerir la implantación de controles más estrictos para garantizar el cumplimiento del RGPD.
- Toma de decisiones automatizada y elaboración de perfiles. La IA conlleva el riesgo de que se tomen decisiones sin intervención humana basadas en el tratamiento de datos personales, lo que incluye la elaboración de perfiles. Este uso de los datos personales está muy restringido en virtud del RGPD.
Requisitos clave para el cumplimiento del RGPD
Para las organizaciones que deben cumplir con el RGPD, estos son los requisitos generales que deben tener en cuenta:
- Medidas de protección de datos . Las organizaciones deben implementar soluciones y medidas sólidas de protección de datos, incluyendo el cifrado de datos, el almacenamiento seguro de los mismos y auditorías de seguridad periódicas. Esto también implica tener en cuenta las implicaciones del RGPD a la hora de adoptar nuevas tecnologías como la inteligencia artificial, la computación en la nube y el análisis de big data.
- Gestión del consentimiento . Las organizaciones deben contar con una política clara para obtener un consentimiento claro, informado y otorgado libremente antes de tratar datos personales. Esto también implica disponer de mecanismos claros para la gestión del ciclo de vida de los datos personales.
- Registros de tratamiento de datos . Es obligatorio mantener registros detallados de las actividades de tratamiento de datos, en los que se indique qué datos se recogen, con qué finalidad y cómo se tratan y protegen.
- Delegado de protección de datos . Es posible que algunos tipos de organizaciones deban nombrar a un delegado de protección de datos para supervisar el cumplimiento del RGPD, especialmente si trabajan con datos sensibles tratados a gran escala.
Cómo cumplir los requisitos del RGPD
Cumplir los requisitos del RGPD no es un esfuerzo puntual, sino un proceso continuo de evaluación y supervisión. Las organizaciones deben implementar un conjunto exhaustivo de medidas que abarque el tratamiento de datos personales, la protección de datos y la recuperación de datos, y la seguridad:
- Comprender y mapear los datos . Realizar una auditoría exhaustiva para comprender qué datos personales se recogen, por qué se recogen, cómo se tratan, dónde se almacenan y cómo se comparten. Crear un mapa de flujo de datos para seguir el recorrido de los datos personales a lo largo de la organización. Esto ayuda a identificar las áreas de riesgo.
- Garantizar una base legal para el tratamiento . Determinar la base legal para el tratamiento de datos personales, como el consentimiento, el contrato, la obligación legal, los intereses vitales, la función pública o los intereses legítimos. Si se recurre al consentimiento, hay que asegurarse de que sea «libre, específico, informado e inequívoco». Los mecanismos de consentimiento deben ser fáciles de entender e incluir la opción de retirar el consentimiento sin dificultad.
- Aplicar políticas de protección de datos . Desarrollar o actualizar las políticas y procedimientos internos de protección de datos para garantizar el cumplimiento del RGPD. Integrar la protección de datos desde el inicio y por diseño en todos los procesos empresariales, sistemas y servicios que impliquen datos personales.
- Minimizar el tratamiento de datos. Asegúrese de que solo se traten los datos necesarios para cada finalidad específica y de que el acceso a los datos personales se limite a quienes los necesiten.
- Conservación de datos. El RGPD exige a las organizaciones que evalúen y gestionen de forma crítica el tiempo durante el que conservan los datos personales, garantizando que no se mantengan más tiempo del necesario. Esto requiere un enfoque proactivo de la gestión de datos, con políticas claras, revisiones periódicas y procesos eficaces para la eliminación o la anonimización de los datos, todo ello equilibrando el cumplimiento del RGPD con otros requisitos legales de conservación.
- Facilitar el ejercicio de los derechos de los interesados . Establecer procedimientos para atender los derechos de los interesados, incluidas las solicitudes de acceso a los datos, rectificación, supresión, portabilidad de los datos y oposición al tratamiento.
- Planificar la respuesta ante violaciones de datos y las medidas de notificación . Crear y aplicar un plan sólido de respuesta ante incidentes que incluya un plan de respuesta ante violaciones de datos. Esté preparado para notificar a la autoridad de control competente en un plazo de 72 horas desde que tenga conocimiento de una violación de datos y, en determinados casos, notifique a las personas afectadas.
- Compruebe la gestión de los proveedores y el cumplimiento de los encargados del tratamiento . Asegúrese de que cualquier proveedor externo o encargado del tratamiento que gestione los datos personales de su organización también cumpla con el RGPD.
- Realice evaluaciones continuas . Realice auditorías periódicas de las actividades relacionadas con el tratamiento de datos y revise las políticas para garantizar el cumplimiento continuo del RGPD.
- Preste atención a las transferencias internacionales . Si se transfieren datos fuera del EEE, asegúrese de que se apliquen medidas de protección adecuadas, incluidas las cláusulas contractuales tipo (SCC), o que se cumpla una decisión de adecuación de la Comisión Europea.
- Conserve registros y documentación . Mantenga registros exhaustivos de las actividades de tratamiento de datos, incluyendo la finalidad del tratamiento, las categorías de datos y los destinatarios de los mismos.
RGPD y protección de datos
En lo que respecta a las copias de seguridad y la recuperación ante desastres, las organizaciones deben implementar procesos de copia de seguridad seguros para proteger los datos personales y garantizar Cumplimiento del RGPD. Esto incluye la instalación de protección de datos y soluciones de recuperación ante desastres que incluyan las siguientes funciones:
- Cifrado de los datos de copia de seguridad en el repositorio de almacenamiento (en reposo) y durante su transferencia (en tránsito). Elija soluciones que le permitan implementar estándares de cifrado sólidos para que los datos de copia de seguridad resulten ilegibles para terceros no autorizados, incluso en caso de una brecha de seguridad.
- Controles de acceso y autenticación . Configure el control de accesos basado en roles (RBAC) para limitar el acceso a los datos personales y la autenticación multifactorial (MFA) para reforzar la seguridad antes de conceder el acceso.
- Minimización de datos y limitación del almacenamiento . Uno de los principios fundamentales del Reglamento General de Protección de Datos es la limitación del almacenamiento, lo que repercute directamente en las políticas de retención de copias de seguridad. Asegúrese de que las soluciones de copia de seguridad ofrezcan suficiente flexibilidad para crear diferentes programaciones y políticas de retención para los distintos niveles de datos.
- Ubicación de los datos de copia de seguridad en el almacenamiento en la nube. Sepa dónde se almacenan los datos de copia de seguridad y elija las regiones en función del tipo de datos personales tratados.
- Comprobaciones periódicas de la integridad de los datos de copia de seguridad . Realice copias de seguridad periódicas para garantizar la integridad de los datos personales e implemente medidas para probar las recuperaciones.
- Gestión y cumplimiento normativo de proveedores y terceros . Asegúrese de que el almacenamiento de terceros y otras plataformas integradas con su solución de backups ofrezcan el intervalo adecuado de funciones para garantizar que usted controle cómo y dónde se almacenan los datos.
Protección de datos con NAKIVO
NAKIVO Backup & Replication es una solución de protección de datos que ofrece la combinación adecuada de funciones de backups, recuperación ante desastres y seguridad para su implementación por parte de organizaciones que tratan datos personales. Puede proteger aplicaciones y sistemas en entornos virtuales, físicos, en la nube y SaaS, y mantener el cumplimiento de los requisitos del RGPD mediante funciones como el cifrado en reposo y en tránsito, la programación y automatización de copias de seguridad, ajustes de retención flexibles, la verificación de copias de seguridad, etc.
