La gestión de riesgos empresariales tiene como objetivo principal garantizar que las organizaciones cumplan con las obligaciones legales y reglamentarias necesarias para llevar a cabo su actividad. Las empresas que operan en la UE deben alinear sus procesos con el Reglamento General de Protección de Datos (RGPD), que se implementó para sustituir la anticuada Directiva de Protección de Datos de 1995.
Estamos aquí para ayudarle con una guía rápida para garantizar que su programa de gestión de riesgos cumpla con el RGPD.
¿Qué es el RGPD?
El Reglamento General de Protección de Datos es la norma europea de protección de datos. El RGPD fue la conclusión de cuatro años en un intento de actualizar las leyes de seguridad de datos obsoletas en el siglo XXI. El RGPD establece que el “objetivo del RGPD es proteger a todos los ciudadanos de la UE de las violaciones de la privacidad y los datos en un mundo cada vez más impulsado por los datos que es muy diferente de la época en que se estableció la directiva de 1995.” La cantidad de datos que se recopilan ha aumentado enormemente en los últimos veinte años y era necesario un cambio para satisfacer la demanda actual de normativas actualizadas de protección de datos.
El RGPD otorga a los individuos o “interesados” nuevos derechos importantes sobre cómo las empresas recopilan y utilizan sus datos personales. Los responsables de la gestión de riesgos deben ser conscientes de que si la empresa recopila datos en la UE de alguna manera, forma o modo, debe adherirse a las nuevas normas de seguridad. Esto incluiría a las empresas estadounidenses que recopilan datos personales de los consumidores, y la recopilación de datos no requiere que se produzca una transacción financiera antes de que entre en vigor la normativa. En un mundo de globalización económica, el RGPD afectará a empresas de todo el mundo, desde China hasta Australia. Los profesionales de riesgos a escala mundial deberán garantizar que se establezcan controles internos para cumplir con el RGPD en todos los procesos que impliquen la recopilación de datos.
¿Por qué es importante el RGPD?
El cumplimiento de los requisitos legales y reglamentarios es crucial para que cualquier empresa reduzca el riesgo de acciones adversas por parte de entidades gubernamentales (por ejemplo, multas, sanciones, etc.). Como se ha indicado anteriormente, cualquier empresa de la UE o empresa que opere en la UE tiene que cumplir con el RGPD. En la economía globalizada actual, esta normativa de la UE es relevante para un gran número de empresas que deben garantizar que sus procesos de protección de datos estén alineados con los requisitos.
El RGPD entró en vigor en mayo de 2018 y establece directrices clave para las empresas que manejan datos personales de ciudadanos de la UE.
Algunas áreas clave de cumplimiento son:
- El requisito del consentimiento paterno antes de procesar datos personales de menores (menores de dieciséis años).
- Un Delegado de Protección de Datos (DPO) designado obligatoriamente para las empresas y autoridades públicas que llevan a cabo determinadas actividades de tratamiento y las autoridades públicas.
- Un plazo de 72 horas para que los responsables del tratamiento de datos informen de las violaciones cibernéticas a las autoridades competentes.
Las empresas que operan en la UE deben ser conscientes del impacto normativo del RGPD en sus procesos de privacidad de datos. Los procesos de protección de datos deben ser auditados para garantizar que están al día con todo lo que el RGPD exige para sus 27 estados miembros, más el Reino Unido, que ha adoptado su propia versión conocida como el RGPD del Reino Unido. Los profesionales de la gestión de riesgos deben ser conscientes de cómo esta normativa afecta a la consecución de los objetivos empresariales.
Los responsables del tratamiento de datos, que determinan la finalidad y la forma en que se tratan los datos personales, tienen requisitos específicos que deben cumplirse para evitar elevadas sanciones por incumplimiento. Estas sanciones se evalúan en función de criterios específicos utilizados para determinar el importe final con el que se penalizará a una empresa, como la naturaleza de la infracción, la cooperación y el tipo de datos. Las sanciones se dividen en niveles inferiores y superiores, y las multas pueden oscilar entre el 2 y el 4% de los ingresos globales del año anterior o hasta 20 millones de euros, lo que sea superior. Estas sanciones no solo suponen un riesgo importante para las empresas, sino que pueden causar un grave impacto adverso en las organizaciones si se toman a la ligera.
Otro requisito del RGPD que afecta significativamente al programa de gestión de riesgos de una empresa es el plazo de 72 horas para que el responsable del tratamiento de datos notifique las violaciones de datos. Si se produce una violación cibernética por parte de entidades externas, una empresa tiene un plazo muy corto para implementar un plan de comunicación de crisis para hacer frente al impacto en la reputación de una violación cibernética. Los profesionales de la gestión de riesgos deben trabajar para garantizar que existan estrategias de comunicación eficaces y transparentes en caso de una violación cibernética, que son cada vez más frecuentes. Cuestiones como estas van más allá del ámbito del RGPD como una simple cuestión de cumplimiento de la normativa de TI, sino que afectan a toda la organización, exigiendo la atención de los profesionales de la gestión de riesgos empresariales.
Pasos de la gestión de riesgos para prepararse para el RGPD
- Conozca las normas
Empiece por leer la Guía de bolsillo del RGPD de la UE, que condensa las 261 páginas de jerga jurídica en una guía fácil de entender que le ayudará a encaminarse hacia el cumplimiento. Esta guía puede ser un salvavidas para cubrir todas las bases del cumplimiento en un corto período de tiempo.
- Analice su entorno interno
Realice una investigación y documente los resultados de la evaluación de los procesos internos relacionados con la protección de datos. Todos y cada uno de los datos deben ser auditados a fondo, evitando las lagunas en la cobertura del cumplimiento que pueden resultar en la pérdida de oportunidades para proteger los datos de los consumidores. A medida que los procesos empresariales evolucionan, los entornos de datos internos deben ser analizados de forma regular para garantizar el cumplimiento constante. Las elevadas sanciones deberían ser un buen motivador para actualizar la tolerancia al riesgo del liderazgo en lo que respecta a la seguridad de los datos.
- Identifique los datos regulados
Los datos recopilados deben ser auditados para identificar las áreas en las que los procesos internos requieren revisiones o creación. Los datos sin cumplimiento requerido pueden utilizar los procesos existentes, ya que el riesgo de sanción no existe. Sin embargo, los datos que deben seguir las normativas deberán apartarse para su posterior evaluación.
- Evalúe y priorice los datos y procesos críticos
Los datos críticos alojados que son necesarios para el funcionamiento de la empresa deben evaluarse en primer lugar. Debe completarse una evaluación de riesgos de todos los datos privados, revisando las políticas y los procedimientos para garantizar el cumplimiento de los requisitos del RGPD. Los recursos de datos críticos deben tener prioridad, y luego se pueden abordar las copias de seguridad y otros repositorios de datos más adelante. Las medidas de seguridad deberán actualizarse para todos los procesos de datos críticos; esto dará como resultado un entorno de gestión de riesgos de TI más sólido dentro de la organización.
- Supervise el rendimiento de la protección de datos
Las medidas de seguridad de datos actualizadas para cumplir con el RGPD deben supervisarse de forma continua. Esta práctica es crucial para garantizar que haya poca o ninguna exposición a los riesgos de cumplimiento que podrían resultar en severas sanciones financieras. Un beneficio adicional de la supervisión continua del rendimiento de la protección de datos es una mayor garantía de riesgo dentro y fuera de la organización. Los consumidores están más dispuestos a hacer negocios con una empresa que se enorgullece de garantizar que los derechos de datos de los clientes estén protegidos durante el curso de los negocios.
Conclusión
Los profesionales de la gestión de riesgos deben establecer procesos claros sobre cómo protege los datos de los consumidores. Independientemente de la organización, el liderazgo querrá asegurarse de que los datos de los consumidores estén protegidos en consonancia con el RGPD para evitar las severas sanciones por incumplimiento. Esta no es una tarea que se relacione simplemente con la TI, los impactos adversos del incumplimiento abarcan mucho más, impactando en todos los niveles de la organización. Sin embargo, con los pasos descritos anteriormente, cualquier empresa puede asegurarse de que no tiene preocupaciones sobre la protección de datos.
