El Reglamento General de Protección de Datos (RGPD) es la ley de la UE que regula cómo se recopilan, usan y protegen los datos personales de las personas en la Unión, con multas de hasta el 4 % de la facturación mundial.
Cómo funciona el RGPD
El RGPD, oficialmente Reglamento (UE) 2016/679 (en inglés, GDPR), se adoptó en 2016 y se aplica desde el 25 de mayo de 2018 a cualquier organización que trate datos de personas en la UE, tenga donde tenga su sede. Sus principios: licitud, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad y confidencialidad, y responsabilidad proactiva. Las personas tienen derechos de acceso, rectificación, supresión, portabilidad y oposición.
Por qué el RGPD importa para la ciberseguridad
El reglamento hace de la seguridad una obligación legal:
- El artículo 32 exige «medidas técnicas y organizativas apropiadas» y menciona expresamente el cifrado y la seudonimización.
- El artículo 33 obliga a notificar una brecha de datos personales a la autoridad de control en 72 horas; el artículo 34 exige informar a los afectados si el riesgo es alto. Por eso la respuesta a incidentes debe incluir una vertiente legal.
- Las multas alcanzan 20 millones de euros o el 4 % de la facturación mundial, lo que sea mayor.
En 2023 la autoridad irlandesa de protección de datos impuso a Meta una multa récord de 1200 millones de euros por transferir datos a EE. UU., y Amazon recibió en Luxemburgo una de 746 millones en 2021. Las brechas por seguridad deficiente también se sancionan, y el RGPD ha inspirado leyes como el UK GDPR y la LGPD brasileña.
Cómo cumplen las organizaciones
- Inventariar dónde están los datos personales y para qué se tratan.
- Aplicar la privacidad desde el diseño, el control de accesos, el cifrado y la prevención de pérdida de datos.
- Designar un delegado de protección de datos si es obligatorio y hacer evaluaciones de impacto.
- Preparar y ensayar la notificación de brechas.
