Garantizar el cumplimiento del Reglamento General de Protección de Datos para las empresas minoristas internacionales con sede en los Estados Unidos

Introducción

Dado que mi gran organización minorista en línea de los Estados Unidos hace negocios a nivel internacional, debe cumplir con varias regulaciones que son efectivas en diferentes países. El nuevo Reglamento General de Protección de Datos (RGPD) es uno de ellos, y esta directriz llama mucho la atención sobre la privacidad y la seguridad y es efectiva en la Unión Europea. Además de los representantes de los Estados miembros de la UE, cualquier organización que recopile o se dirija a los datos de los ciudadanos de la UE debe cumplir con este documento.

Según Hoofnagle et al. , Esta guía fue diseñada para colocar los datos personales en un entorno altamente protector y regulatorio. Por lo tanto, el GDPR rige el rendimiento y la responsabilidad de cualquier empresa que procese los datos personales de ciudadanos europeos o proporcione a dichas personas bienes o servicios (Burgess, 2020). Este documento proporciona a los ciudadanos de la UE derechos específicos, ofrece definiciones exhaustivas, es implementado por las autoridades de protección de datos y debe cumplirse para evitar pérdidas financieras significativas.

Derechos de los ciudadanos de la UE con respecto a los datos personales bajo GDPR

Para empezar, uno debe explicar que el GDPR es importante para todos los ciudadanos de la UE. Esta regulación proporciona a estas personas ocho derechos específicos con respecto a sus datos (Reciprocidad, 2020). Cada ciudadano de la UE tiene derecho a ser informado sobre cómo una empresa recopila y utiliza sus datos personales y qué va a hacer esta organización con los datos (Hoofnagle et al., 2019). El derecho de acceso estipula que un ciudadano de la UE puede descubrir qué información específica recopilan las organizaciones. El derecho de rectificación permite a las personas completar o corregir los datos ya proporcionados (Burgess, 2020).

Además, los individuos pueden exigir la eliminación permanente de sus datos personales, restringir su procesamiento en circunstancias particulares u oponerse al procesamiento de sus datos. El derecho a la portabilidad de datos implica que las personas pueden recibir y reutilizar sus datos personales si así lo desean (Hoofnagle et al., 2019). Por último, los ciudadanos de la UE tienen derecho a evitar ser objeto de decisiones automatizadas si no quieren ser evaluados por algoritmos.

Comprender los datos personales y el procesamiento de datos en el contexto del GDPR

El GDPR se basa en terminología y definiciones específicas para aportar claridad y evitar vaguedades y malentendidos. Dos términos se han utilizado con frecuencia anteriormente, y requieren atención específica. Por un lado, los datos personales “significan cualquier información relacionada con una persona física identificada o identificable” (Reglamento general de protección de datos [GDPR], 2018, párr. 1). Esta descripción se refiere a cualquier individuo que puede ser identificado por un nombre, información de ubicación, número de identificación o diferentes tipos de identidad.

Por otro lado, el procesamiento de datos “significa cualquier operación o conjunto de operaciones que se realiza sobre datos personales o conjuntos de datos personales, ya sea por medios automatizados o no” (Reglamento general de protección de datos [GDPR], 2018, párr. 2). Ejemplos de procesamiento de datos se refieren a la recopilación, recuperación, restricciones, registro, estructuración, almacenamiento y otros procesos (Reglamento General de Protección de Datos [GDPR], 2018). Por lo tanto, todas las partes interesadas deben conocer estas definiciones para comprender qué procesos gobierna el GDPR.

Función y responsabilidades de las autoridades de protección de datos (DPA)

Además de eso, el GDPR crea autoridades de protección de datos (DPA) que desempeñan funciones cruciales en la implementación de esta guía. En primer lugar, las DPA se ocupan de la supervisión porque supervisan cómo y si el GDPR se implementa en las jurisdicciones apropiadas. En segundo lugar, la aplicación juega un papel importante porque las DPA pueden tomar algunas medidas contra las empresas que violan la regulación. Según Daigle y Khan, los DPA suelen ser agresivos contra las organizaciones que no cumplen, lo que puede resultar en multas masivas.

En tercer lugar, las personas pueden comunicarse con las DPA y presentar quejas con respecto a sus datos personales, y se espera que estas últimas analicen estas quejas, investiguen los casos y evalúen el desempeño de las organizaciones con respecto a las actividades de privacidad y seguridad (Daigle & Khan, 2020). Por último, las APD deben cooperar entre sí para garantizar que crean una red eficaz que proteja los datos personales en la UE. Esta discusión demuestra que los DPA desempeñan un papel importante en la implementación del GDPR.

Impacto del GDPR en las operaciones comerciales y de seguridad: recomendaciones para el cumplimiento

No hay duda de que el GDPR cambiará significativamente las operaciones comerciales y de seguridad en mi organización. La regulación hará que la entidad llame más la atención sobre los datos y su valor. Aunque este enfoque puede ser inicialmente difícil, el cumplimiento de GDPR resultará en varios beneficios. Si se cumplen todos los requisitos, será posible evitar multas masivas de 10 a 20 millones de euros (Burgess, 2020). Además, el cumplimiento de GDPR puede crear una imagen positiva, lo que hará que los clientes y socios estén más dispuestos a participar con mi empresa. Sin embargo, las modificaciones específicas se ven mejor en una lista de verificación recomendada para el cumplimiento de GDPR, que se analizará a continuación.

Los pasos requeridos son los siguientes:

1. Nombrar un Oficial de Protección de Datos (DPO). Este empleado es un nuevo concepto para las empresas estadounidenses, y un DPO es responsable de monitorear y garantizar que la organización siga los requisitos de GDPR (Hoofnagle et al., 2019).
2. Realizar auditoría de datos. Este paso es significativo porque permite a la empresa recibir un análisis exhaustivo de los datos que recopila, mantiene, procesa y comparte.
3. Establecer un sistema específico para el tratamiento de datos personales. Esta tarea es exhaustiva e implica algunas actividades más pequeñas. Por ejemplo, es necesario implementar procedimientos para obtener el consentimiento de las personas para procesar sus datos y proporcionar a estos interesados acceso a sus datos cuando lo soliciten. Es por eso que se requiere confiar en medidas técnicas y organizativas apropiadas.
4. Presentar evaluaciones de impacto de protección de datos (DPIA) en aquellos casos en los que el tratamiento de datos pueda implicar un alto riesgo para las personas. Este paso incluye la realización de un cuestionario estándar para identificar la naturaleza de los datos o puede hacer que un DPO participe en varios flujos de trabajo o supervise diferentes actividades para mitigar el riesgo (Hoofnagle et al., 2019).
5. Desarrolle un plan para manejar las infracciones. La organización debe entender que las violaciones de datos aún son posibles. Este hecho significa que la empresa debe desarrollar un procedimiento adecuado para informar este problema a las autoridades y a las personas afectadas dentro de las 72 horas (Hoofnagle et al., 2019).
6. Organizar sesiones de entrenamiento regulares. Es importante para la organización asegurarse de que todos sus empleados comprendan la importancia del cumplimiento de GDPR y sepan cómo proteger los datos adecuadamente.

Uno debe explicar que la lista anterior no es exhaustiva, y pueden ser necesarios muchos otros pasos para abordar la cuestión de la protección de datos. Sin embargo, estas recomendaciones son un conjunto mínimo de cambios que pueden promover el cumplimiento de GDPR.

Conclusión

En conclusión, el GDPR es una regulación efectiva, y mi organización debe seguir sus pautas para realizar negocios a nivel internacional. Estoy seguro de que desde una perspectiva financiera, es mejor cumplir con el reglamento. A pesar de que los pasos recomendados denotan que la organización tendrá que gastar grandes sumas de dinero, estos gastos están justificados. No es necesario calcular la cantidad exacta de costos para seguir el GDPR porque la multa más pequeña por incumplimiento es de 10. Por lo tanto, es probable que la falta de cumplimiento resulte en mayores pérdidas. Es por eso que la organización debe hacer todo lo posible para cumplir con las regulaciones de GDPR.