¿Eres propietario de una empresa, de un sitio web o un experto en el tratamiento de datos personales? Es crucial entender las implicaciones del Reglamento General de Protección de Datos (RGPD) en tus actividades. Su aplicación en el territorio europeo se remonta al 25 de mayo de 2018.
¿Qué es el RGPD?
El RGPD regula el tratamiento de datos personales dentro de la Unión Europea (UE) y se basa en la Ley de Protección de Datos de Francia de enero de 1978. Proporciona un mejor control a los ciudadanos sobre el uso de sus datos personales.
El RGPD fue establecido para:
- Unificar las normas en Europa.
- Proporcionar un marco legal común a los profesionales para desarrollar sus actividades digitales y establecer una relación de confianza con los usuarios.
¿Cuáles son los objetivos del RGPD?
Descubre los tres objetivos principales del Reglamento General de Protección de Datos:
- Incrementar los derechos de las personas. El RGPD crea el derecho a la portabilidad de los datos personales e incluye disposiciones específicas para los menores.
- Responsabilizar a los diferentes actores involucrados en el tratamiento de datos. Tanto los responsables del tratamiento como los encargados del tratamiento están implicados.
- Fortalecer la regulación a través de una mayor cooperación entre autoridades de protección de datos (capaces de adoptar decisiones conjuntas) y sanciones más estrictas para tratamientos transnacionales.
¿Qué actores están obligados a cumplir con el RGPD?
Cualquier organización, sin importar su tamaño, ubicación o actividad, puede estar sujeta al RGPD. El reglamento se aplica a todas las organizaciones, tanto públicas como privadas, que traten datos personales, ya sea en tu propio nombre o en nombre de otros, si:
- Están establecidas en uno de los Estados miembros de la Unión Europea.
- Su actividad se dirige directamente a residentes europeos.
Por ejemplo:
- Una empresa establecida en Italia que exporta sus productos a Túnez debe cumplir con el RGPD porque está establecida en la Unión Europea.
- Una empresa con sede en Japón que tiene una tienda online en francés y realiza entregas de productos en Francia también debe cumplir con el RGPD.
El Reglamento General de Protección de Datos también se aplica a los encargados del tratamiento, como proveedores de alojamiento, integradores de software, agencias de comunicación, etc. Estos terceros tratan datos personales en nombre de otra entidad (empresa, autoridad local, asociación, etc.).
Ten en cuenta: ¿Quién debe designar a un DPO?
Las empresas y los encargados del tratamiento están obligados a designar un Delegado de Protección de Datos (DPO) si:
- Su actividad está relacionada con el sector público.
- Su actividad principal requiere un seguimiento regular, sistemático y a gran escala de personas.
- Su actividad principal se basa en el tratamiento de datos sensibles o relacionados con condenas penales (infracciones o delitos).
El DPO tiene la responsabilidad de asesorar a la empresa en la implementación de una Evaluación de Impacto en la Protección de Datos (EIPD) cuando el tratamiento representa un riesgo para los derechos y libertades de las personas.
¿Quién es responsable de la aplicación del RGPD?
En Francia, la Comisión Nacional de Informática y Libertades (CNIL) es la encargada de velar por la protección de los datos personales. Creada en 1978, esta autoridad administrativa independiente actúa en nombre del Estado, sin estar subordinada al Gobierno o a un ministerio.
La CNIL está compuesta por un colegio de 18 miembros, elegidos o designados, y se organiza en torno a cinco direcciones:
- Dirección de Asesoramiento Jurídico (DAC).
- Dirección de Protección de Derechos y Sanciones (DPDS).
- Dirección de Tecnologías e Innovación (DTI).
- Dirección de Relaciones con el Público (DRP).
- Dirección Administrativa y Financiera (DAF).
Entre los 18 miembros de la CNIL se encuentran:
- Cuatro parlamentarios (dos diputados y dos senadores).
- Dos miembros del Consejo Económico, Social y Ambiental (CESE).
- Seis representantes de altas jurisdicciones (Consejo de Estado, Corte de Casación, Corte de Cuentas).
- Cinco personalidades cualificadas (designadas por Asamblea Nacional, Senado y Consejo de Ministros).
- El presidente de la Comisión de Acceso a los Documentos Administrativos (CADA).
Ten en cuenta: ¿Cuáles son las cuatro misiones de la CNIL?
- Informar, proteger los derechos. Responde solicitudes de individuos y empresas; si hay dificultades para ejercer derechos, se puede presentar una queja.
- Acompañar la conformidad, asesorar. Proporciona herramientas para cumplir el reglamento.
- Anticipar e innovar. Contribuye a debates éticos y apoya soluciones tecnológicas (LINC).
- Controlar y sancionar. Realiza controles (345 en 2022) y puede requerir medidas o sancionar.
¿Cuáles son los cinco grandes principios de la protección de datos personales?
- Finalidad: registrar y usar datos solo con un propósito específico, legal y legítimo.
- Proporcionalidad y pertinencia: recopilar solo lo pertinente y necesario.
- Límite de conservación: definir un periodo de conservación; no conservar indefinidamente.
- Seguridad y confidencialidad: proteger la información y limitar el acceso a personas autorizadas.
- Derechos de las personas: informar cómo ejercerlos y responder en un máximo de un mes.
Ten en cuenta: ¿Cuáles son los derechos de las personas sobre sus datos personales?
- Derecho de acceso.
- Derecho de rectificación y oposición.
- Derecho a la portabilidad.
- Derecho al olvido.
- Derecho a la notificación.
- Derecho a la reparación del daño material o moral.
- Acción colectiva.
Protección de datos personales: 6 buenas prácticas
Descubre nuestros consejos para garantizar el cumplimiento del RGPD en tu empresa.
1) Recopilar solo los datos necesarios para alcanzar el objetivo
Recopila datos con un propósito específico y legítimo. No puedes reutilizarlos luego con otro fin (por ejemplo, un archivo de candidatos no puede servir para enviar ofertas promocionales). Apóyate en el principio de minimización.
2) Ser transparente
Las personas deben poder mantener el control sobre sus datos. Debes informar de forma:
- Coherente con el contexto y el canal de recopilación.
- Accesible y comprensible.
Está prohibido recopilar datos sin su conocimiento.
3) Facilitar el ejercicio de los derechos
Organiza procedimientos simples (por ejemplo, un email dedicado). Si una persona ejerce un derecho, responde lo antes posible y dentro del plazo.
4) Establecer plazos precisos para la conservación de los datos
Conserva los datos solo el tiempo necesario para el objetivo. Después, destrúyelos, anonímizalos o archívalos conforme a las obligaciones aplicables.
5) Garantizar la seguridad de los datos personales
Implementa medidas físicas y técnicas: seguridad informática, protección de instalaciones, gestión estricta de accesos y autorizaciones, etc. Adapta las medidas al nivel de riesgo.
6) Adoptar un enfoque continuo para el cumplimiento normativo
Verifica periódicamente si:
- Los tratamientos han cambiado.
- Los procedimientos y medidas de seguridad se respetan.
- Es necesaria una adaptación.
Email marketing: ¿cómo obtener el consentimiento de los destinatarios?
En una campaña de email marketing, el consentimiento se obtiene mediante opt-in. Si el destinatario no ha dicho “sí”, se considera “no”. Ejemplo de mención:
- “[] Acepto que se utilice mi dirección de correo electrónico para recibir ofertas de la empresa X por correo electrónico”.
Para reforzar la calidad, puedes optar por el doble opt-in:
- El destinatario expresa su consentimiento.
- Confirma el deseo de recibir mensajes haciendo clic en un enlace enviado por email.
Con Datawork, se pueden recopilar perfiles opt-in mediante diferentes enfoques:
- Clic-lead: visibilidad, tráfico y adquisición con CPL controlado (sin intercambio de direcciones).
- Co-registro premium: leads de alto valor, con preguntas de calificación configurables.
- Co-registro: perfiles afines con costes controlados.
- Copatrocinio: recopilación masiva y económica, con coste por perfil muy bajo.
¿Cuáles son las ventajas del doble opt-in?
Optar por el doble opt-in brinda numerosos beneficios:
- Confirmación de que la dirección de correo electrónico es válida.
- Mejora la calidad de la lista de distribución.
- Cumple con las regulaciones de protección de datos.
- Reduce el número de quejas.
- Mejora la imagen de marca.
¿Qué sanciones existen en caso de incumplimiento?
Eliminación de datos, advertencias, requerimientos, suspensión de flujos de datos... Si no se cumple con el RGPD, pueden aplicarse sanciones administrativas graves. Según la infracción, las multas pueden llegar a 10 o 20 millones de euros o, para empresas, hasta el 2 % o 4 % de su facturación mundial anual.
¿Quieres implementar operaciones personalizadas de adquisición de clientes de manera segura? Cuenta con el apoyo de Dataventure. Nuestros expertos te ofrecerán soluciones compatibles con el RGPD para tus desafíos de tráfico y adquisición de clientes.
