GDPR

La protección de la información personal y la integridad del consumidor se han convertido en una prioridad para la Unión Europea. En virtud del nuevo Reglamento General de Protección de Datos de la UE (GDPR), el consumidor y el ciudadano tiene derecho a saber cómo se utilizan los datos personales, así como el derecho a que sus datos se borren por completo si lo pide.

Todas las organizaciones que trabajan en la Unión Europea deben cumplir la nueva GDPR antes de la primavera de 2018, si no se enfrentarán a multas de hasta 20 millones de euros o el 4% de su volumen de negocios general anual. Es interesante leer ISO 27001: ¿Qué beneficios nos aporta implantar esta norma?.

El informe mostrará cómo cumplir con la normativa y cómo proteger la Información Personal Identificable de sus clientes. Este informe contiene:

• Retos: interno y de cara a las autoridades.
• Nuevos requisitos para el cumplimiento.
• Cómo puede ayudarle a cumplir con el GDPR, de 2018 en adelante.

Cada vez se facilita una mayor cantidad de datos e información personal a todo tipo de organizaciones. Por esto, para evitar todo tipo de abusos por parte de éstas y de terceros, existe la ley de protección de datos de obligado cumplimiento por parte de las organizaciones que obliguen a éstas a almacenar y utilizar de forma adecuada todos los datos de los usuarios. Las normas se están actualizando de forma constante para proteger de la mejor forma estos datos, dando lugar a las normativas como la nueva directiva GDPR que entrará en vigor a partir del año que viene.

A partir de mayo de 2018 entrará en vigor el nuevo reglamento de protección de datos de la Unión Europea, como la Directiva GDPR. La Directiva será obligatorio para todas las organizaciones de la Unión Europea que manejan cualquier tipo de información personal y su incumplimiento puede suponer multas de 20 millones de euros.

La GDPR, obligaciones de las empresas a la hora de almacenar y procesar datos personales
Click To Tweet

La nueva normativa se puede resumir en 3 niveles:

El primer nivel requiere que los datos e información de las organizaciones sean coherentes y estén bien estructurados. Esto facilitará las auditorías de la normativa GDPR. También se establecen claros procesos, procedimientos y políticas de cómo proteger los datos y actuar en caso de violación de datos.

En el segundo nivel se especifican las medidas técnicas necesarias para el cumplimiento de la normativa. De esta forma, los controladores son los responsables de demostrar el cumplimiento del reglamento y asegurarse de que los trabajadores se encuentran informados con sus obligaciones. Es necesario explicar cómo se debe actuar en caso de violación y políticas a cumplir, pudiendo imponerse multas cuando no se notifique a tiempo una violación. Además se especifican los derechos del sujeto, la comunicación de la información de privacidad y los principios de la seguridad de los datos y el cifrado que debe tener estos.

En el tercer nivel se aplican las medidas a nivel de datos, obligando a tener bien declarado el origen de los datos, qué datos personales se guardan y con quién se comparten. Se tiene que definir cómo se procesan todos estos datos.

Este nuevo reglamento entra en vigor a partir de mayo de 2018. Sin duda, una nueva normativa necesaria para proteger nuestros datos en un mundo cada vez mucho más conectado y en el que cada vez confiamos más información personal a las organizaciones. Con esto, debemos admitir que el reglamento es muy complejo y cuenta con multas por incumplimiento muy altas, por lo que lo mejor es contratar un auditor que certifique que se está cumpliendo este reglamento antes de que sea muy tarde.

Software ISO 27001

El Software ISOTools Excellence para la norma ISO 27001, se encuentra capacitado para responder a numerosos controles para el tratamiento de la información gracias a las aplicaciones que contiene y que son totalmente configurables según los requerimientos de cada organización. Además, este software permite la automatización del Sistema de Gestión de Seguridad de la Información.

The post GDPR: El nuevo Reglamento General de Protección de Datos de la UE appeared first on ISO 27001.

GDPR

El Reglamento de Protección de Datos (GDPR) sustituye a la actual Directiva que lo aplica. Se pondrá en marcha a partir del 25 de mayo de 2018, pero sí lo requieren las organizaciones pueden empezar a utilizarlo ahora. Deberá tener en cuenta algunas obligaciones y los requisitos necesarios para ponerlos en práctica.

¿Qué son los datos personales?

Los datos personales es cualquier información relativa a una persona física identificada o identificable. Una persona identificable es aquella que puede ser identificada, directa o indirectamente, en particular con referencia a un número de identificación, a los diferentes factores de identificación física o identificación social.

¿Cuál es el Reglamento de Protección de Datos General de la Unión Europea?

Desde el año 1995, la legislación europea no ha actualizado la antigua directiva. Dicha directiva se adaptó a los países miembros, lo que resulta en una diferenciación de las normas entre los distintos países de la Unión Europea.

La nueva regulación fue aprobada el pasado 14 de abril de 2016, por el Parlamento Europeo y el Consejo de Europa. Se puede aplicar directamente en cada país, lo que facilita la coherencia de las normas entre las naciones sobre los derechos de privacidad de los ciudadanos.

Algunos de los puntos más relevantes son los siguientes:

• Tiene en cuenta la naturaleza y finalidad de uso de datos, tanto los que determinan la finalidad como los medios del tratamiento de datos personales. Puede ser manejado para ser compatible con el GDPR de la UE, tendrá que poner en práctica todas las medidas organizativas y técnicas para conseguir el nivel adecuado de seguridad de los datos en términos de confidencialidad, integridad, disponibilidad y capacidad de recuperación de los sistemas que soportan, así como la validación periódica de la eficacia de estas medidas.
• Más allá de las organizaciones de la UE, la GDPR abarca organizaciones de fuera de la Unión Europea (UE) que ofrecen bienes o servicios a los interesados de la UE de forma gratuita, o que se encargan de vigilar el comportamiento de los interesados en la UE.
• Por el nuevo reglamento, las empresas tienen que reducir al mínimo la recogida y retención de datos y obtener el consentimiento de los consumidores en el tratamiento de los datos. En otras palabras, disminuir al mínimo la recopilación de datos de consumo, reducir al mínimo con el que se comparten datos y reducir al mínimo el tiempo que se mantiene. El objetivo es que las empresas sólo recojan o almacenen la información que necesitan para el fin previsto, en particular con respecto a los datos personales.
• El GDPR ha reforzado la directiva anterior. Favorece el derecho de que el propietario de los datos personales solicite que sean eliminados, incluyendo los datos que se encuentran publicados en la web. El GDPR establece que el control tendrá la obligación de borrar los datos personales sin demora indebida, especialmente en relación con los datos personales que se recogen cuando el titular de los datos era un niño, y el interesado tiene derecho a obtener desde el controlador de la supresión de datos personales en un tiempo oportuno.

Los datos personales es cualquier información relativa a una persona física identificada
Click To Tweet

• En el caso de que se realice una violación de los datos personales, la organización deberá notificar tal evento a la Autoridad de Protección de Datos, dentro de las 72 horas después de haber detectado la violación. La notificación es obligatoria de los individuos afectados y depende de la posibilidad de no autorizar el acceso a la información.
• Si la empresa trata con categorías especiales los datos personales, es necesario nombrar a un responsable de la protección de datos como parte de su junta.
• Si no se cumplen las medidas establecidas, se establecen sanciones económicas elevadas.

¿Mi organización tiene por qué ser compatible GDPR?

Existen dos tipos de responsabilidades en materia de protección de datos personales:

• Datos controlados
• Procesadores de datos

También se deberá señalar que los datos personales de los empleados se encuentran incluidos en el ámbito de la aplicación de este reglamento.

Lo que las empresas necesitan para ser compatibles con GDPR es:

• Ser empresas establecidas en la Unión Europa, independiente de si el procesamiento se lleva a cabo dentro de la UE o no.
• Ser empresas que no están establecidas en la Unión Europea que ofrezcan bienes o servicios dentro de la UE o a individuos de la UE.

¿Cómo pueden prepararse las organizaciones?

El impacto de la GDPR es que la protección de los datos personales se debe convertir en un asunto de vital importancia para la alta dirección de las empresas. Es fundamental que se realice la elaboración de las políticas que se basan en un marco de responsabilidad y reglas transparentes para asegurar una respuesta rápida de los incidentes de seguridad y las consiguientes fugas de datos personales.

La adopción de estándares como la ISO 27001 de Seguridad de la Información será la base para conseguir de forma rápida el cumplimiento de la GDPR.

Software ISO 27001

El estándar internacional ISO 27001, junto con todas las normas que componen su familia, generan todos los requisitos necesarios para poder implementar un Sistema de Gestión de Seguridad de la Información de una forma rápida y sencilla, además el Software ISOTools Excellence para la norma ISO 27001 presta solución a todas estas cuestiones que se plantean a la hora de implementar un Sistema de Gestión de Seguridad de la Información en una empresa.

The post ¿Qué es el GDPR y porque se puede aplicar en todo el mundo? appeared first on ISO 27001.