La guía sobre el cumplimiento del RGPD para startups

El Reglamento General de Protección de Datos (RGPD) es un conjunto de normas para las empresas que gestionan datos personales de personas del Espacio Económico Europeo (EEE). El EEE incluye todos los países de la UE, además de Islandia, Liechtenstein y Noruega. El RGPD entró en vigor el 25 de mayo de 2018.

El RGPD se considera la ley de protección de datos más estricta del mundo. Otorga a las personas un mayor control sobre sus datos personales y establece normas más estrictas que las empresas deben seguir al recopilar, utilizar y proteger esos datos.

Si una empresa no cumple estas normas, puede recibir una multa o enfrentarse a otras sanciones. La multa máxima es de 20 millones de euros o el 4 % de los ingresos anuales globales de la empresa del año anterior, lo que sea mayor.

Obligaciones en virtud del RGPD

Hay varias obligaciones y responsabilidades que una empresa debe cumplir al recopilar y procesar datos personales de ciudadanos del EEE:

1. Antes de lanzar un nuevo producto o servicio, dedique tiempo a pensar en cómo recopilará, almacenará y utilizará los datos personales de los ciudadanos del EEE. Si es necesario, realice una evaluación de impacto relativa a la protección de datos para identificar y mitigar posibles riesgos para la protección de los datos personales.
2. Implemente medidas técnicas y organizativas adecuadas para proteger los datos personales, como el cifrado y el almacenamiento seguro. Asegúrese de que sus sistemas y servicios estén actualizados con los últimos parches y actualizaciones de seguridad.
3. Al recopilar datos personales, solicite únicamente la información estrictamente necesaria para el fin específico para el que se utilizará. Esto le ayudará a minimizar la cantidad de datos que recopila y a reducir el riesgo de filtraciones de datos.
4. Sea transparente con sus clientes sobre qué datos personales recopila, por qué los recopila y cómo se utilizarán. Proporcione información clara sobre la protección de datos y obtenga el consentimiento explícito antes de recopilar datos personales, salvo que exista otra base jurídica para la recopilación.
5. Respete el derecho de sus clientes a oponerse al tratamiento de sus datos personales y asegúrese de que conozcan este derecho.
6. Designe un delegado de protección de datos si 20 o más personas procesan regularmente datos personales, si la empresa realiza operaciones de tratamiento que requieren una evaluación de impacto relativa a la protección de datos o si procesa datos personales para su transmisión, transmisión anonimizada o investigación de mercado y opinión pública.
7. Si comparte datos personales con terceros fuera del EEE, establezca garantías adecuadas, como las cláusulas contractuales tipo del EEE o el Privacy Shield.
8. Utilice el proceso de doble opt-in al enviar correos electrónicos para asegurarse de que los destinatarios hayan dado su consentimiento para recibirlos.
9. Mantenga todos los datos personales exactos y actualizados, y establezca procesos para actualizar los datos cuando cambien.
10. Si se produce una pérdida de datos o una brecha de seguridad, actúe de inmediato para contener el incidente y evitar daños mayores. Disponga de un plan sobre cómo gestionar estos incidentes y cómo notificar a los clientes y a las autoridades pertinentes.
11. En caso de brechas de seguridad, notifique a la autoridad de control y a sus clientes lo antes posible.
12. Mantenga registros de todas las actividades de tratamiento de datos para poder demostrar el cumplimiento en caso de una auditoría por parte de la autoridad de control.

La lista contiene las obligaciones y responsabilidades más importantes que una empresa debe observar en virtud del RGPD al recopilar y procesar datos personales de ciudadanos del EEE.

Sin embargo, es posible que en algunos casos deban tenerse en cuenta requisitos adicionales. Por ejemplo, puede haber requisitos específicos para las empresas que operan en determinados sectores o que procesan tipos concretos de datos personales.

Por lo tanto, siempre es aconsejable buscar el asesoramiento de un experto en protección de datos o ponerse en contacto con la autoridad de control para garantizar el cumplimiento de todas las normativas aplicables.

El RGPD para empresas fuera del EEE

Aunque es bien sabido que las empresas establecidas en el EEE deben cumplir el RGPD, no todo el mundo sabe que los países fuera del EEE también deben cumplirlo en determinadas circunstancias. A continuación, describimos las distintas formas en que las empresas fuera del EEE deben cumplirlo.

Recopilación de datos personales en el Espacio Económico Europeo

Si una empresa establecida fuera del EEE ofrece bienes o servicios a personas del EEE, o supervisa su comportamiento, debe cumplir los requisitos del RGPD al recopilar, utilizar y proteger los datos personales de las personas del EEE.

Si se determina que una empresa establecida fuera del EEE infringe el RGPD, las autoridades de la UE disponen de varias herramientas para garantizar su cumplimiento.

Por ejemplo, si se determina que una empresa estadounidense infringe el RGPD, las autoridades de la UE podrían solicitar la ejecución de una sentencia contra dicha empresa en un tribunal estadounidense, dependiendo de la naturaleza de la infracción y de las leyes del estado en el que esté ubicada la empresa.

Además, las autoridades de la UE también pueden utilizar otros medios para presionar a una empresa fuera del Espacio Económico Europeo para que cumpla el RGPD, como bloquear su acceso al mercado de la UE o ponerla públicamente en la picota.

Sin embargo, es poco probable que la UE imponga sanciones de inmediato a cualquier pequeña empresa que infrinja el RGPD. No obstante, incluso para las pequeñas empresas fuera del EEE, cumplir el RGPD podría ser beneficioso. Esto se debe a que el cumplimiento del RGPD puede ofrecer a las startups mejores oportunidades comerciales, ya que pueden trabajar con otras empresas que también cumplen el RGPD.

Además del riesgo de multas y otras sanciones, las startups también pueden sufrir daños reputacionales si se determina que infringen el RGPD. Esto podría dificultar sus negocios en el EEE y también afectar a su actividad internacional.

Las empresas que cumplen el RGPD pueden resultar más atractivas para clientes y socios, ya que demuestran su compromiso con la protección de los datos personales y el respeto de la privacidad de las personas.

En general, el RGPD es una evolución significativa para las startups que gestionan los datos personales de personas del EEE y tendrá un impacto importante en la forma en que estas startups recopilan, utilizan y protegen esos datos.

Las startups fuera del EEE deberán prestar especial atención a sus obligaciones en virtud del RGPD y tomar medidas para garantizar el cumplimiento, con el fin de evitar el riesgo de multas y otras sanciones, así como daños reputacionales.

¿Qué ocurre si no recopila datos en el EEE?

Cabe señalar que, aunque una startup fuera del EEE no ofrezca actualmente bienes o servicios a personas del EEE ni supervise su comportamiento, puede seguir siendo aconsejable implementar el RGPD.

Esto se debe a que el RGPD es un estándar global de protección de datos y implementar el RGPD puede ayudar a una startup a establecerse como una empresa respetable y confiable que valora la privacidad de sus clientes y socios.

El RGPD en el Reino Unido (RU)

Después de que el Reino Unido abandonara la UE el 1 de enero de 2021, el RGPD dejó de ser aplicable en el país. Sin embargo, las normas del RGPD se incorporaron directamente a la legislación británica como UK-GDPR, por lo que todo lo mencionado anteriormente sobre el RGPD también se aplica al Reino Unido.

Cómo crear un formulario de registro compatible con el RGPD en la aplicación Maildroppa

Maildroppa es una aplicación de email marketing que permite crear formularios de registro personalizados, mediante los cuales los clientes potenciales pueden suscribirse para recibir información periódica o newsletters.

Puede definir libremente qué información es necesaria para el registro. Por ejemplo, serían posibles el nombre y los apellidos, la fecha de nacimiento y la nacionalidad del cliente potencial. Esto es, por supuesto, información personal.

Si no excluye técnicamente a los europeos de visitar su sitio web y completar su formulario de registro, está sujeto al RGPD, aunque su empresa se encuentre fuera del Espacio Económico Europeo.

Sin embargo, Maildroppa le facilita enormemente el cumplimiento del RGPD. Puede establecer si los clientes que desean suscribirse a su lista deben ver y firmar siempre o nunca el acuerdo de tratamiento de datos, o puede configurarlo para que solo los clientes de la UE, el Reino Unido y Suiza deban dar su consentimiento en el formulario de consentimiento del RGPD.

Como empresa, debe informar a sus clientes sobre los tipos de datos que recopila, por qué los recopila y cómo se almacenan y procesan. Como cada empresa es diferente, los datos que recopila y la forma en que los utiliza pueden variar. Es importante que, como propietario de la empresa, sea transparente con sus clientes sobre sus prácticas de datos y cumpla la normativa del RGPD.

Maildroppa, como proveedor de servicios, entiende esta responsabilidad; por eso ofrecemos una función para personalizar el formulario de consentimiento del RGPD según sus requisitos individuales. Nuestra aplicación también guarda el texto del formulario de consentimiento del RGPD que un suscriptor ha aceptado, proporcionándole años después una prueba del acuerdo.

Otro requisito del RGPD es que los clientes realicen un doble opt-in para suscribirse a su newsletter. Esto garantiza que solo lo hagan aquellos clientes que hayan dado su consentimiento explícito para recibir información de usted, de acuerdo con su declaración del RGPD. Como el doble opt-in es el comportamiento predeterminado de Maildroppa, no es necesario tomar medidas adicionales.

Resumen

En resumen, el RGPD es un conjunto de normas aplicables a las empresas que gestionan los datos personales de personas del EEE. El RGPD otorga a las personas un mayor control sobre sus datos personales e impone normas más estrictas sobre cómo las empresas pueden recopilar, utilizar y proteger esos datos.

Las startups del EEE deberán tomar medidas para garantizar el cumplimiento del RGPD con el fin de evitar el riesgo de multas y otras sanciones, así como daños reputacionales.

Las startups fuera de la UE también deberán garantizar el cumplimiento del RGPD si ofrecen bienes o servicios a personas de la UE, o supervisan su comportamiento. Aunque es poco probable que la UE imponga sanciones de inmediato contra todas las pequeñas empresas que infrinjan el RGPD, las autoridades de la UE disponen de varias herramientas para garantizar el cumplimiento.

Si una startup desea establecerse como una empresa respetable y confiable que valora la privacidad de sus clientes y socios, puede ser beneficioso implementar el RGPD, incluso si no reside en la UE ni interactúa con personas dentro de la UE. Por último, es importante recordar que, aunque el Reino Unido ha abandonado la UE, el RGPD sigue aplicándose allí en forma de UK-GDPR.