Qué es el GDPR (y cómo esta puede afectar tu empresa)

El GDPR (General Data Protection Regulation) también llamado RGPD, es el nuevo reglamento de la Unión Europea que cambia significativamente las obligaciones de las empresas que tratan con datos personales de ciudadanos de la UE. El propósito del cambio es el de aumentar la privacidad de esos individuos online.

El reglamento vale para toda empresa que procese o almacene datos personales de cualquier ciudadano de la UE, independiente de dónde esta se encuentre. Se consideran datos personales cualquier dato que, solo o en conjunto con otros datos, pueda ser utilizado para identificar a un individuo.  Algunos ejemplos son: nombre, dirección física, email, dirección de IP, datos financieros, datos de comportamiento en páginas web y otras informaciones semejantes.

A pesar de entrar en vigencia el día 25 de mayo de 2018, el GDPR fue aprobado en el parlamento de la UE en abril de 2016. Este ano, sin embargo, empieza a valer, y el 25 de mayo es cuando todas las empresas del mundo que manejan datos de ciudadanos de la UE deben estar en conformidad con las nuevas directrices del cambio.  

Eso significa que la propia plataforma RD Station, sus clientes y aliados, deben atender el nuevo reglamento.

¿Cómo RD Station es impactado?

RD posee dos papeles en el reglamento: como empresa, es considerada Data Controller y como RD Station Marketing, nuestro software, es considerada Data Processor.

Como controlador de los datos de los Leads, debemos adecuarnos al reglamento en lo que respecta a seguridad, transparencia, privacidad y confidencialidad de datos. Ya como proveedor de software que processa los datos de los Leads, debemos adecuar tanto la plataforma RD Station, como RD Station Marketing, permitiendo que nuestros clientes también estén a conformidad.

Controladores de datos son considerados responsables primarios por el reglamento (tienen la mayor parte de la responsabilidad), mientras que los procesadores de datos son considerados responsables secundarios.

¿Qué estamos haciendo al respecto?

Estamos trabajando diversas áreas, entre ellas Legal, Marketing, Producto y Expansión, para una serie de cambios que adecuarán la empresa y el producto al nuevo reglamento.

¿Cómo clientes y partners son impactados?

Clientes y partners son considerados Data Controllers: estos tienen el control sobre lo que es hecho con los datos de los Leads. Los Data Controllers son responsables primarios: a los ojos del reglamento, son los mayores responsables por resguardar la privacidad de sus Leads.

Los principales puntos de cambio

Jurisdicción del reglamento

Una vez entrando en vigor, el GDPR pasará a valer para todas las empresas que posean datos personales de ciudadanos residentes en países de la Unión Europea, independiente de la localización de la empresa.

Multa

La penalidad para empresas que no cumplan con el reglamento puede llegar a 4% de la ganancia global anual de la empresa o 20 millones de euros – lo que fuera mayor. Ese valor es impuesto a empresas que violen los principales puntos del reglamento, como no pedir el consentimiento del Lead o violar los principios de privacidad (ver abajo).

Consentimento explícito

El consentimento del Lead debe ser expresado. Las empresas no podrán más utilizar «letra menuda» ni omitir el texto legal. Eso significa que el Lead debe estar consciente que sus datos serán captados al realizar la conversión y que este debe ceder esos datos de forma explícita. Un checkbox visible con texto de fácil legibilidad o un double opt-in, que es cuando el cliente recibe un email explicando que fue adicionado a la base y debe confirmar aceptación, son suficientes.

Es necesario que sea fácil para el lead tanto aceptar ceder sus datos como negar el acceso a ellos, o retirar ese acceso, una vez dado.

Derecho de acceso

El lead tiene derecho a saber si cualquier dato personal suyo está siendo procesado en la base de una empresa, dónde ese dato está siendo procesado y para que fin será utilizado. También tiene derecho a cualquier dato que la empresa tenga sobre él en su sistema, que deberá ser entregado en formato electrónico y sin ningún costo.

Portabilidad de datos

Además de tener derecho a acceder y reivindicar sus datos personales, el individuo gana el derecho de hacer portabilidad de esos datos, lo que quiere decir, mover esos datos para otro sistema que no sea el de la empresa que los captó, sin perder la información. 

Derecho de borrar datos

El lead gana el derecho de tener sus datos borrados definitivamente de su base, en caso que así lo desee. También, tiene derecho a impedir que la empresa continue diseminando esos datos y de impedir que los datos sean procesados por terceros. 

Notificación de ataque del sistema

Si el sistema de la empresa, por cualquier motivo, fuera atacado y los datos fuesen robados, expuestos o se hicieran vulnerables, la empresa está obligada a notificar a los individuos cuyas informaciones fuesen afectadas en hasta 72h luego de descubrir el ataque. Esto es válido tanto para procesadores como para controladores de datos, sobre riesgo de multa. 

Privacidad desde la concepción

El concepto de privacidad desde la concepción establece que el desarrollo de un sistema y las prácticas de negocio  para llevarlo al mercado deben ser llevadas por los conceptos de protección de datos y privacidad de sus usuarios. 

Eso significa que al crear nuevos productos o desarrollar nuevas funcionalidades, es necesario tener siempre en mente los puntos colocados en el GDPR.

Responsable por protección de los datos

Si la empresa conduce actividades que requieren monitoreo regular de datos personales a gran escala, esta debe tener un profesional responsable por la protección de esos datos, alguien que tenga familiaridad con normas y buenas prácticas. 

¿Cuáles son los próximos pasos?

Ciertamente mudanzas serán necesarias, no solamente en el área de marketing de empresas en todo el mundo. Para entender mejor como la empresa debe adecuarse, el sitio oficial del reglamento (en inglés) habla sobre los principales puntos del cambio. Para leerlo completo, en el sitio de Eurlex es posible tener acceso al texto final en español.

Cabe recordar que, más que nunca, es hora de revisar la forma como interactúas con tu base. Enviar emails relevantes para una segmentación seleccionada es una de las formas de garantizar que estás entregando a los leads apenas aquello que quieren, sin utilizar sus datos para incomodarlos y llenar sus bandejas de SPAM lo que además, es uno de los grandes objetivos del GDPR.

¿Tienes dudas?

Nuestro equipo de soporte está a disposición para nuestros clientes y aliados que quieran entender mejor como adaptarse al reglamento del GDPR o saber cómo RD se está preparando para esos cambios. Entra en contacto con nuestra Central de Ayuda y prepárate para realizar los cambios hasta la fecha que el reglamento entre en vigencia.