Conceptos básicos del GDPR: como empezó todo.

Han pasado más de dos años desde que entró en vigor el Reglamento General de Protección de Datos (GDPR). La privacidad personal sigue siendo un tema de inmensa importancia para las personas y las empresas de todo el mundo. Cubriremos algunos principios básicos de privacidad en esta y en una serie de publicaciones futuras. Comprender el GDPR es útil, ya que aparecen nuevas regulaciones como la Ley de Protección al Consumidor de California (CCPA). El propósito básico de GDPR y otros actos es el derecho personal a la privacidad.

Historia

El Reglamento General de Protección de Datos (GDPR) de la Unión Europea entró en vigor el 25 de mayo de 2018. Muchas empresas de todo el mundo todavía luchan con el cumplimiento: las malas interpretaciones, los costos, la capacitación necesaria y los mecanismos de denuncia siguen siendo muy confusos.
GDPR surgió por una razón principal, una diferencia cultural entre Europa y América del Norte: mientras que los europeos consideran su información de privacidad como algo que debería pertenecerles estrictamente, incluso como una definición parcial de sí mismos, las personas en América del Norte hace tiempo que se rindieron a esta idea.

De particular interés para GDPR es lo que sucede con los datos de privacidad después de que se recopilan: cómo se procesan, quién obtiene los resultados y qué hacen con esos resultados, la mayoría de las veces sin el consentimiento del interesado. Tener control sobre su propia información de privacidad es el objetivo de GDPR.
El GDPR fue diseñado para fortalecer y unificar las leyes de privacidad de datos en toda Europa, pero su jurisdicción es global, como cualquier entidad en cualquier parte del mundo que se ocupa de la privacidad de datos de la UE, ofrece bienes o servicios o monitorea la El comportamiento de los ciudadanos de la UE es responsable.

El GDPR reemplaza la Ley de Privacidad de Datos del Reino Unido de 1998 (también reemplazada por la Ley de Protección de Datos de 2018, que complementa, pero es mucho menos estricta que la GDPR); Privacy Shield (2017), recientemente declarado inválido; y el marco de puerto seguro de la UE y los Estados Unidos (2000).

Elementos del GDPR.

GDPR presenta estos cambios para estructuras más antiguas:

• Mayor alcance territorial: como se mencionó, si una entidad maneja datos de privacidad de la UE desde cualquier parte del mundo, está sujeta al cumplimiento de GDPR.
• Sanciones: Las sanciones máximas por incumplimiento son el 4% de los ingresos brutos anuales o 20M €, la que sea mayor. Desde la promulgación en 2018, las mayores multas de GDPR han sido:

Multa de empresa en euros y USD:

• Notificación de incumplimiento: las autoridades de supervisión de la UE deben ser notificadas dentro de las 72 horas siguientes a un incumplimiento o sospecha de incumplimiento.
• Derecho de Acceso: a través de un mecanismo denominado Solicitud de Acceso del Sujeto (SAR), si un sujeto de datos solicita conocimiento de toda la información que una entidad ha recopilado sobre él, se le debe comunicar el procesamiento y distribución de esa información. en un plazo máximo de 30 días.
• Derecho al olvido: Si un interesado solicita que todos sus registros de datos, procesamiento y distribución sean eliminados definitivamente, las entidades deben cumplir con su solicitud, con algunas excepciones. Si los datos son necesarios para procedimientos judiciales, si son en interés del bien público, si forman parte de las obligaciones contractuales o si los datos fueron publicados voluntariamente por el interesado en un foro público, las entidades pueden rechazar la solicitud. El interesado tiene entonces el derecho de apelar a las autoridades supervisoras, solicitando el escrutinio de la entidad para verificar el cumplimiento del GDPR.
• Privacidad desde el diseño: esta es una nueva introducción al desarrollo de casos de negocios en la que el riesgo para los datos en cuestión se determina mediante una evaluación de impacto de la privacidad de los datos (DPIA). Las actividades comerciales de alto riesgo deben informarse a las autoridades supervisoras para su aprobación; Diseñe mejor los casos de uso empresarial que eliminen este alto riesgo.
• Empleados de protección de datos (DPO): un nuevo concepto presentado por GDPR es también la idea de tener una autoridad única en todas las actividades de gestión de la privacidad. Una entidad debe cumplir una de las 3 condiciones para introducir un requisito de DPO, que abordaremos más adelante en este documento.
• Las consecuencias son claras y no podremos ignorarlas, tales como: más trabajo para controladores y procesadores de datos, devolución del 4% gastado en “incumplimiento” (o parte de él) y mejor rendición de cuentas y compensación atrayendo más recursos con aplicación en seguiridad.
  El GDPR aumenta el nivel de seguridad a implementar, permitiendo un mayor conocimiento sobre vulnerabilidades con diferentes planes de contingencia y compromiso con posibles riesgos, dificultando así los ataques actualmente aplicados.

Referencia: basado en el artículo de Alexandre Armellini, consultor de Cipher Red Team Services.