Hispacolex
Las empresas tendrán que adaptarse a la nueva normativa en materia de protección de datos de la Unión Europea
La propuesta para una legislación europea más estricta en materia de protección de datos va a obligar a las empresas en toda la UE a reforzar sus procesos de gestión de la información, comentan desde Iron Mountain con motivo del Día Europeo de la Proteccion de Datos que se celebra este año el próximo 28 de enero. Esta jornada pretende llamar la atención sobre todo lo relacionado con la protección de datos, así como recomendar buenas prácticas a aquellas empresas que manejan datos de carácter personal.
La nueva normativa sustituirá a la Directiva 95/46 de Protección de Datos de la UE, que ha sido parte importante de la legislación europea sobre privacidad y derechos humanos, y bajo la que se han regido las empresas europeas durante 13 años. Se sabe ya que la nueva ley reducirá los requisitos burocráticos de obligado cumplimiento para muchas empresas. Sin embargo, es muy probable que contribuya a generar una mayor responsabilidad entre las empresas en cuanto a la protección de datos se refiere y a obligar a que éstas reconozcan e informen acerca de fallos de seguridad en el tratamiento de los datos que manejan. Además, la regulación introducirá multas más rígidas para las compañías que no cumplan los requisitos legales.
Christian Toon, Director de Seguridad de la Información en Iron Mountain Europe, considera que la normativa propuesta es una buena noticia y debería animar a las empresas a revisar sus políticas de gestión y seguridad de la información.
“Muchas empresas, independientemente de su tamaño, no terminan de cumplir los requerimientos obligatorios para gestionar la información de forma responsable”, comenta Toon. “En el entorno empresarial actual, cada vez más expuesto al control externo, es imperdonable no tener un política de gestión de la información sólida y conforme a la ley. Independientemente de la facturación, del sector o del país en los que opere la empresa, es indispensable garantizar que la información sobre empleados y clientes esté protegida: esto debería ser algo natural y no una reacción a una nueva legislación. Las empresas que no saben por dónde empezar deberían echar un vistazo a las recomendaciones de la ISO 27002[1].”
El borrador de la propuesta de la UE, que se filtró a finales del año pasado, señala tres requisitos principales que, si se incorporaran a la normativa final, tendrían un gran impacto en la manera en que operan las empresas europeas. La controvertida propuesta está siendo muy comentada en el seno de la Unión Europea. Los principales puntos incluidos en la propuesta filtrada son los siguientes:
1. La notificación obligatoria de las brechas de datos. Tanto las autoridades relevantes en protección de datos (DPAs), como todos los particulares afectados tienen que ser notificados en el plazo de 24 horas acerca de cualquier fallo en la gestión de los datos, incluyendo su destrucción no autorizada o su pérdida. Las autoridades en materia de protección de datos tienen que ser notificadas, incluso en el caso de que no haya habido ningún riesgo de que los datos resultaran dañados.
“La gran cuestión aquí es si la comunidad empresarial querrá o será capaz de auto controlarse”, comenta Toon. “En el caso de que no pudiera, las empresas se verían expuestas a inspecciones regulares por parte de las autoridades oficiales. La definición de ‘brecha’ tendrá también que quedar clara. ¿Dependerá del número de archivos o documentos afectados, por ejemplo, o del tipo de información que ha estado en peligro? Las empresas deberían prepararse para ambas opciones”.
2. Se exigirá el nombramiento de un responsable de protección de datos. La figura del responsable de protección de datos será obligatoria para todos los organismos públicos y todas las empresas con más de 250 empleados. “Esto podría significar tener que incurrir en costes no previstos, por lo que sería beneficioso para una empresa considerar este punto antes de que la legislación entre en vigor”, aconseja Toon. “El nombramiento de un responsable de protección de datos ya es obligatorio en Alemania. En muchas empresas será suficiente con añadir una responsabilidad más a las que ya tenga un empleado lo suficientemente preparado. Tener un persona específica para tratar la protección de datos es sin embargo la mejor opción y las empresas no deberían esperar a la entrada en vigor de la legislación para avanzar en este punto”.
3.Penalizaciones significativamente mayores. La legislación propuesta permite a las autoridades legislativas el poder para imponer multas de hasta un millón de euros o, en caso de una empresa, hasta el 5% de sus ingresos globales por año en el caso de incumplimiento de la ley.
“El cinco por ciento de la facturación global de una empresa es una suma elevada”, dice Toon. “Que la UE esté dispuesta a autorizar este nivel de multas da a entender cuán serio es el tema de la protección de datos. Las empresas no tienen que tener miedo, sino simplemente han de prepararse: tener planes para custodiar y acceder a sus archivos, así como formar a sus empleados acerca de los mismos, son unos primeros pasos importantes para empezar a hacer las cosas bien y a cumplir la ley”.
Fuente: www.diariojuridico.com