Como experto en privacidad de datos desde hace mucho tiempo, entiendo que cumplir con el Reglamento General de Protección de Datosrgpd) puede abrumar a las pequeñas empresas.
Ignorarla puede acarrear la pérdida de confianza de los clientes, problemas legales y posibles multas. Pero, con el enfoque adecuado, puede navegar por el cumplimiento de rgpd sin un equipo legal ni un gran presupuesto.
En esta lista de comprobación, le guiaré a través de los requisitosrgpd y le proporcionaré los pasos necesarios para que su pequeña empresa empiece a cumplirlos.
rgpd Lista de comprobación para pequeñas empresas
A continuación encontrará mi lista de comprobación rgpd para pequeñas empresas con enlaces a las secciones pertinentes de la ley para ayudarle a simplificar sus esfuerzos de cumplimiento.
Paso 1. Conozca sus responsabilidades
Antes de actuar, determine si la rgpd se aplica a su empresa y cómo.
Compruebe si la rgpd se aplica a su pequeña empresa.
Si su empresa está en la Unión Europea (UE) o el Espacio Económico Europeo (EEE), o si está ubicada en otro lugar pero recopila datos personales de personas físicas en la UE/EEE, debe cumplir la rgpd (capítulo 1, artículo 3).
Sepa si es responsable o encargado del tratamiento de datos.
La rgpd clasifica a las empresas como responsables del tratamiento o encargados del tratamiento: Un responsable del tratamiento determina cómo y por qué se recogen los datos, mientras que un encargado del tratamiento trata los datos por cuenta del responsable del tratamiento(capítulo 1, artículo 4).
Determine si necesita un Responsable de Protección de Datos (RPD).
Las empresas nombran a un RPD para garantizar que cumplen la legislación sobre protección de datos(capítulo 4, artículo 37).
La rgpd exige un DPO a las empresas que:
- Son organizaciones gubernamentales o públicas.
- Manejar información sensible a gran escala.
Por ejemplo, si dirige un hospital, es probable que necesite un RPD debido al frecuente tratamiento de datos de pacientes, como historiales médicos, historial médico e identificación de pacientes.
Este tipo de datos se clasifican como sensibles, y su tratamiento requiere una mayor protección para salvaguardar la intimidad del paciente.
Paso 2. Realice una auditoría de privacidad en su sitio web
Una auditoría de privacidad determina qué datos se recopilan, dónde se almacenan y cómo se comparten.
Sepa qué datos recopila y dónde se almacenan.
Identifique todos los datos personales que recopila su empresa, incluidos los detalles de los clientes y los datos analíticos.
Determine la base jurídica de su recogida de datos.
Según la rgpd, las empresas deben tener una base legal para recoger y utilizar datos personales. Para garantizar el cumplimiento, tendrás que documentar la base jurídica de cada tipo de datos recogidos(capítulo 2, artículo 6).
Las seis bases jurídicas de la rgpd en son:
- Consentimiento: Usted publica un boletín de noticias y pide a los usuarios que lo acepten proporcionando sus direcciones de correo electrónico para futuras comunicaciones comerciales.
- Obligaciones contractuales: Usted opera una empresa de software y recopila datos de usuarios para cumplir los términos de un acuerdo de suscripción o servicio.
- Obligaciones legales: Como asesor fiscal, recopilas información de tus clientes para cumplir con los requisitos legales de presentación de impuestos.
- Intereses vitales: Si usted es un proveedor de servicios sanitarios, recopila datos médicos para proteger los intereses vitales de sus pacientes durante un tratamiento de urgencia.
- Función pública: Si usted es un organismo público, recopila datos personales para llevar a cabo funciones que son necesarias para el bien público.
- Intereses legítimos: Como tienda minorista, recopila datos con fines de marketing, suponiendo que los clientes tengan una relación existente con su negocio.
Tercer paso. Obtenga permiso para recopilar y utilizar datos
Si el consentimiento es su base jurídica para el tratamiento de los datos de los consumidores, debe obtener el acuerdo explícito y legal de los usuarios antes de recopilar sus datos personales.
Solicite un consentimiento expreso.
Debe solicitar el consentimiento utilizando un "lenguaje claro y sencillo"( capítulo2, artículo 7, y capítulo 3, artículo 12). Los usuarios deben aceptar activamente la recogida de datos (por ejemplo, mediante un bannerconsentimiento de cookies ).
Permitir que las personas retiren su consentimiento en cualquier momento.
Los usuarios deben ser informados de su derecho a retractarse antes de dar su consentimiento, y debe ser tan fácil retractarse como dar su consentimiento(capítulo 2, artículo 7).
Su sitio web debe ofrecer a los usuarios una forma sencilla de solicitar una copia de sus datos, pedir que se supriman y modificar sus preferencias(capítulo 3, artículos 15 y 17).
Paso 4. Crear un banner de consentimiento conforme
Un banner de consentimiento de cookies rgpd informa a sus clientes sobre la recopilación de datos y les permite elegir antes de que las cookies se almacenen en sus dispositivos.
Tu banner de consentimiento debe:
- Indique claramente que su sitio web utiliza cookies.
- Explicar la finalidad de la recopilación de datos (por ejemplo, análisis, marketing).
- Proporcione un enlace a su política de cookies y de privacidad.
Ofrezca opciones claras
Debe permitir a los usuarios aceptar todas las cookies, rechazar todas las cookies no esenciales y personalizar sus preferencias de cookies. Las casillas premarcadas no están permitidas por la rgpd (considerando 32).
Paso 5. Mantenga registros del consentimiento y del tratamiento de datos
La rgpd exige documentar el consentimiento del usuario, que las autoridades pueden solicitar(capítulo 4, artículo 30).
Registrar correctamente el consentimiento del usuario
Mantenga registros que incluyan cuándo y cómo se obtuvo el consentimiento, qué se dijo a los usuarios en el momento del consentimiento y cualquier actualización de las preferencias.
Mantener un registro de tratamiento de datos
Su registro de tratamiento de datos debe incluir:
- Tipos de datos recogidos.
- Finalidad del tratamiento.
- Lugares de almacenamiento de datos.
- Cualquier acuerdo de intercambio de datos con terceros.
La plataformagestión del consentimiento (CMP ) de Termlyle ayuda a abordar estas tareas permitiéndole capturar, gestionar y almacenar los registros de consentimiento de los usuarios.
Paso 6. Publicar y mantener una política de privacidad clara y accesible
Una política de privacidad rgpd garantiza la transparencia sobre la forma en que su pequeña empresa maneja los datos personales al incluir componentes clave de privacidad(capítulo 3, artículo 13 y artículo 14). Asegúrese de que su política de privacidad es fácilmente accesible en su sitio web.
Su política de privacidad debe indicar claramente lo siguiente:
- Identidad y datos de contacto del responsable del tratamiento o de la empresa
- Datos de contacto del responsable de la protección de datos (RPD), si procede
- Finalidad y fundamento jurídico del tratamiento
- Categorías de datos personales recogidos
- Destinatarios de los datos
- Transferencias internacionales de datos
- Política de conservación de datos
- Derechos de los interesados y cómo ejercerlos
Paso 7. Garantizar el cumplimiento con los procesadores de datos
De conformidad con el artículo 28 del capítulo 4, los responsables del tratamiento de datos (su empresa) deben tener un contrato jurídicamente vinculante con los encargados del tratamiento (terceros proveedores que tratan datos en su nombre).
Este contrato se conoce como Acuerdo de Procesamiento de Datos (APD).
Por ejemplo, si dirige una agencia de marketing que utiliza plataformas de marketing por correo electrónico de terceros para enviar boletines, necesitaría una APD.
La plataforma procesa datos personales, como nombres de clientes, direcciones de correo electrónico y, potencialmente, otra información como datos demográficos.
La DPA describe las responsabilidades de la plataforma para salvaguardar esos datos, especificando cómo pueden utilizarse, almacenarse y protegerse.
Establezca un APD que describa:
- Alcance y finalidad del tratamiento de datos
- Obligaciones de confidencialidad
- Medidas de seguridad
- Requisitos de los subprocesadores
- Cómo se gestionan los datos si finaliza la asociación
- Disposiciones sobre auditoría y cumplimiento
Paso 8. Requisitos de seguridad de los datos
Incorpore la privacidad y la seguridad a sus procesos empresariales para proteger los datos personales del acceso no autorizado, la pérdida o el uso indebido(capítulo 4, artículos 25 y 32).
Garantice sus sistemas y procesos:
- Minimizar la recogida de datos
- Restringir el acceso
- Utilizar el cifrado y la seudonimización
- Garantizar la supervisión continua de la seguridad
- Permitir el control del usuario
Al incorporar estas salvaguardias, las empresas cumplen los principios de privacidad desde el diseño y reducen el riesgo de filtración de datos.
Paso 9. Revisar y actualizar periódicamente las medidas de cumplimiento
el cumplimiento de rgpd es un proceso que requiere actualizaciones periódicas, y la carga de la prueba recae en su empresa.
Realizar controles periódicos del cumplimiento.
Revise el proceso de consentimiento de cookies , la política de privacidad y los acuerdos con terceros.
Mantenerse informado sobre los requisitos rgpd es esencial para garantizar que su pequeña empresa sigue cumpliendo la normativa a medida que surgen nuevas orientaciones.
Cómo afecta la rgpd a las pequeñas empresas
A continuación, examinaré más de cerca cómo afecta la rgpd a las pequeñas empresas para que pueda comprender, utilizar y aplicar más fácilmente la lista de control.
¿Qué es rgpd?
En rgpd es una ley de protección de datos que regula el modo en que las empresas recogen, almacenan y utilizan la información personal de las personas en la UE y el EEE.
Ámbito de aplicación rgpd
Todas las empresas de la UE/EEE deben cumplir la rgpd.
Las empresas de fuera de la UE/EEE también deben cumplir la normativa si ofrecen bienes o servicios a particulares de la UE/EEE o controlan su comportamiento.
Requisitos de rgpd para las pequeñas empresas
Para su pequeña empresa, el cumplimiento de la rgpd implica varios requisitos clave:
- Crea una política de privacidad que incluya qué datos personales recopilas, por qué los recopilas, durante cuánto tiempo se almacenan y los derechos de los usuarios sobre su información.
- Si el consentimiento es su base jurídica, obtenga el consentimiento expreso de los usuarios antes de recopilar datos mostrando un banner de consentimiento que permita a los usuarios aceptar, rechazar o modificar las cookies.
- Establezca un Acuerdo de Procesamiento de Datos (APD ) con cualquier proveedor que procese datos en su nombre, que cubra el alcance del procesamiento, la confidencialidad, el tratamiento de datos, etc.
Buenas prácticas de rgpd para pequeñas empresas
Recomiendo las siguientes buenas prácticas a las pequeñas empresas que aspiran a rgpd:
- Determine si rgpd se aplica a su empresa antes de tomar medidas.
- Realice una auditoría de privacidad que le ayude a identificar qué datos personales recopila, dónde se almacenan y cómo se comparten.
- Conozca su base jurídica para la recogida de datos e informe a los usuarios en un aviso de privacidad conforme a la normativa.
- Revise y actualice sus políticas de cookies y privacidad.
Para agilizar los esfuerzos de cumplimiento, trabaje con Termly para publicar y revisar periódicamente su política de privacidad y su banner de consentimiento.
Multas y sanciones por infringir la rgpd
El Reglamento establece dos niveles de multas en función de la gravedad de la infracción en el capítulo 8, artículo 83:
- Hasta 10 millones de euros o el 2% de su facturación anual global (la cifra que sea más alta) por infracciones menos graves, como no mantener registros adecuados de las actividades de tratamiento de datos.
- Hasta 20 millones de euros o el 4% de su facturación anual global (lo que sea más alto) por infracciones más graves, como no obtener un consentimiento válido para la recopilación de datos o hacer caso omiso de los derechos de los interesados.
Estas sanciones están diseñadas para garantizar que se toma en serio la protección de datos y mantiene un firme cumplimiento de la rgpd.
Cumplimiento SOC 2
Sistema y Organización de Controles 2 (SOC 2) es un marco de cumplimiento voluntario creado por el Instituto Americano de Contadores Públicos Certificados (AICPA).
Aunque la rgpd no lo exige, adoptarlo demuestra su compromiso con la protección de datos.
El cumplimiento de la norma SOC 2 suele verificarse mediante una auditoría independiente, y puede compartir el informe con los clientes para generar confianza y mostrar transparencia.
Para más información, visite la página SOC2 del AICPA.
Consejos de cumplimiento para pequeñas empresas
Cumplir la rgpd y otras leyes de protección de datos puede ser todo un reto, especialmente para las pequeñas empresas con recursos limitados.
Aquí tienes mis consejos prácticos para asegurarte de que vas por el buen camino:
- Consejo 1: Utilice las soluciones de Termly. El uso de herramientas en línea y generadores como Termly's Generador de Política de Privacidad le ayudarán a ahorrar tiempo y a cumplir los requisitos legales.
- Consejo 2: Limite los datos que recopila. Recopile sólo los datos que necesite, tal y como exige la rgpd. Limítese a recoger los datos necesarios para alcanzar los fines específicos expresados a los consumidores en su política de privacidad de rgpd .
- Consejo 3: Implemente medidas de seguridad sólidas. La rgpd exige proteger los datos de sus clientes, así que invierta en medidas de seguridad como encriptación, cortafuegos y contraseñas seguras para reducir la probabilidad de una brecha.
- Consejo 4: Consulte a un experto en privacidad de datos. Si no está seguro de los detalles de la conformidad, considere la posibilidad de hablar con un experto en privacidad de datos. Ellos pueden guiarle a través del proceso, especialmente si se aplican varias leyes a su pequeña empresa.
Estos consejos pueden hacer que rgpd sea más manejable y demostrar el compromiso de su pequeña empresa con la protección de los datos de los clientes.
Cómo ayuda Termly a las pequeñas empresas a cumplir rgpd
Sabemos que cumplir la normativa puede suponer un reto, especialmente para las pequeñas empresas con menos recursos, por lo que ofrecemos soluciones para ayudarles con los requisitos rgpd .
Con nuestro Generador de Política de Privacidad puede crear una política de privacidad personalizada y con respaldo legal que incluya cláusulas acordes con los estándares de rgpd .
Nuestra plataformagestión del consentimiento (CMP ) le permite configurar fácilmente un banner de consentimiento de cookies rgpd y registrar las preferencias para que pueda gestionar y realizar un seguimiento eficaz del consentimiento de los usuarios.
También incluye un formulario gratuito de solicitud de acceso del interesado (DSAR), para que pueda ofrecer un formulario que permita a los usuarios enviar fácilmente solicitudes de acceso, corrección, supresión o transferencia de sus datos personales.
Para obtener más detalles, explore el conjunto de soluciones de rgpd de Termlyy dé el primer paso para garantizar que su empresa está preparada para gestionar la rgpd y otras normativas sobre privacidad de datos.
Lo entiendo: el cumplimiento de la rgpd puede parecer demasiado.
Entre gestionar consentimiento de cookies, actualizar su política de privacidad y asegurarse de que está gestionando correctamente los datos de los usuarios, es fácil sentirse atascado.
Pero no tienes por qué afrontarlo solo.
Con Termly, puede automatizar el trabajo pesado, desde la creación de un banner de consentimiento hasta la generación de políticas y la gestión de las preferencias de los usuarios, para que pueda centrarse en dirigir su empresa.
descargo de responsabilidad: Las herramientas automatizadas como Termly pueden agilizar el cumplimiento, pero consulte a un profesional del derecho para garantizar la alineación con los requisitos matizados de rgpd.
Escrito por Natasha Piirainen
Natasha Piirainen es una escritora especializada en privacidad con una licenciatura en Inglés y Filosofía por el Wheaton College y más de 10 años de experiencia profesional en el desarrollo de contenidos basados en la investigación.
Leer todas las publicaciones de Natasha Piirainen
Revisado por Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha Komnenic es asesora jurídica y directora de Privacidad Global Termly, y se licenció en Derecho por la Universidad de Belgrado. Está especializada en la implementación, supervisión y auditoría del cumplimiento normativo de las empresas en materia de privacidad (HIPAA, PIPEDA, Directiva sobre privacidad electrónica, rgpd, CCPA, POPIA, LGPD).
Leer todas las publicaciones revisadas por Masha Komnenic CIPP/E, CIPM, CIPT, FIP
