El GDPR Entra en Vigor el 25 de Mayo de 2018: Lo que las Pequeñas Empresas de EE. UU. Realmente Necesitan Saber

El 25 de mayo de 2018, el Reglamento General de Protección de Datos de la Unión Europea la revisión más significativa de la ley de privacidad de datos en 20 años entra oficialmente en vigor. El reglamento ha generado una enorme cantidad de cobertura, alarma y confusión. Esto es lo que las pequeñas empresas estadounidenses realmente necesitan entender antes de la fecha límite.

La Primera Pregunta: ¿Se Aplica el GDPR a Tu Negocio?

Muchos dueños de negocios de EE. UU. asumen que el GDPR es un problema europeo. Esa suposición es incorrecta. El GDPR se aplica a cualquier organización, en cualquier parte del mundo, que procese datos personales de residentes de la UE. Si algo de lo siguiente aplica a tu negocio, el GDPR potencialmente te cubre:

• Tu sitio web es accesible en países de la UE y recopilas direcciones de correo, envíos de formularios de contacto o datos de analítica de visitantes de la UE
• Usas Google Analytics, Facebook Pixel o cualquier píxel de marketing estos recopilan datos de visitantes de la UE automáticamente
• Vendes productos o servicios a residentes de la UE, incluso ocasionalmente
• Tienes empleados, contratistas o socios ubicados en países de la UE
• Ejecutas campañas de marketing por correo que incluyen suscriptores con base en la UE

Qué Requiere Realmente el GDPR: Las Obligaciones Principales

Base Legal para el Procesamiento de Datos Personales

Bajo el GDPR, debes tener una base legal documentada para cada tipo de dato personal que recopiles. Para la mayoría de las pequeñas empresas, las bases relevantes son el consentimiento (para correos de marketing) y el cumplimiento del contrato (para datos de clientes necesarios para entregar un servicio). Cambio crítico: el consentimiento debe ser otorgado libremente, específico, informado e inequívoco. Las casillas pre-marcadas y las vagas casillas de "acepto los términos" no califican.

Derechos Individuales que Deben Respetarse

• Derecho de acceso: Los residentes de la UE pueden solicitar una copia de todos los datos personales que tengas sobre ellos debes responder en 30 días
• Derecho de supresión: Las personas pueden solicitar la eliminación de sus datos cuando retiren el consentimiento de marketing
• Derecho a la portabilidad de datos: Las personas pueden solicitar sus datos en un formato legible por máquina
• Derecho de oposición: Las personas pueden oponerse al procesamiento de marketing directo, y debes detenerlo de inmediato
• Derecho de rectificación: Las personas pueden solicitar la corrección de datos inexactos que tengas

Notificación de Brechas de Datos: El Reloj de 72 Horas

El GDPR introduce plazos de notificación de brechas obligatorios significativamente más estrictos que las normas de EE. UU. Si una brecha es probable que resulte en riesgo para las personas, debes notificar a la autoridad de supervisión de la UE correspondiente dentro de las 72 horas de tomar conocimiento. Para brechas de alto riesgo, también debes notificar directamente a las personas afectadas. La mayoría de las leyes de notificación de brechas de EE. UU. permiten 30–60 días. El GDPR te da 72 horas.

Pasos Prácticos de Cumplimiento para Pequeñas Empresas de EE. UU.

1. 1Audita qué datos personales recopilas: Enumera cada lugar donde recopilas datos personales formularios de contacto, boletines por correo, CRM, comercio electrónico, analítica. Para cada uno, identifica qué se recopila y por qué.
2. 2Actualiza tu política de privacidad: Explica claramente qué datos recopilas, por qué, cuánto tiempo los retienes y qué derechos tienen las personas. Las políticas de plantilla genéricas de hace años no cumplirán con los estándares del GDPR.
3. 3Revisa tu consentimiento de marketing por correo: Los suscriptores de la UE deben haber dado consentimiento explícito para recibir marketing. Las listas importadas, compradas o construidas a través de casillas de opt-in pre-marcadas no cumplen.
4. 4Añade un mecanismo de consentimiento de cookies: Si tu sitio usa Google Analytics o cualquier cookie de rastreo, los visitantes de la UE deben ser informados y recibir una opción antes de que se establezcan las cookies.
5. 5Revisa tus procesadores de datos: El GDPR requiere Acuerdos de Procesamiento de Datos con servicios de terceros que manejan datos personales en tu nombre (Mailchimp, HubSpot, Salesforce, etc.). La mayoría de las plataformas principales tienen acuerdos actualizados es posible que necesites aceptarlos activamente.
6. 6Crea un proceso para solicitudes de titulares de datos: Si un residente de la UE solicita sus datos o pide ser eliminado, debes responder en 30 días. Conoce dónde viven tus datos y cómo recuperar o eliminar registros específicos.

Las Implicaciones del GDPR en la Infraestructura de IT

• Minimización de datos: Recopila solo los datos personales estrictamente necesarios para el propósito declarado
• Cifrado en reposo y en tránsito: El GDPR no exige explícitamente el cifrado, pero es una medida técnica de referencia reconocida
• Controles de acceso: Solo las personas que necesitan acceso a datos personales para su rol específico deben tenerlo
• Retención y eliminación de datos: Necesitas la capacidad técnica de eliminar realmente los datos de una persona específica en todos tus sistemas cuando sea legalmente requerido
• Registro de auditoría: La capacidad de demostrar qué pasó con los datos personales quién los accedió, cuándo se modificaron, cuándo se eliminaron

¿Cuáles Son las Sanciones y Son Realistas para las Pequeñas Empresas de EE. UU.?

Las sanciones del GDPR alcanzan hasta €20 millones o el 4% de la facturación anual global por las violaciones más graves. Para una pequeña empresa de EE. UU. con exposición mínima a la UE, el riesgo realista de aplicación es bajo las autoridades de protección de datos de la UE tienden a priorizar las violaciones a gran escala. El mayor riesgo para las pequeñas empresas de EE. UU. es reputacional: una brecha de datos combinada con evidencia de mala gobernanza de datos puede dañar la confianza del cliente de formas difíciles de recuperar.