En mayo de 2018, el Reglamento General de Protección de Datos (GDPR) europeo requirió de las empresas grandes cambios en la forma en que recogen y procesan datos de los consumidores. Desde entonces, nuevas –y revisadas- leyes de privacidad han estado emergiendo en muchos países. Muchas de estas leyes están evidentemente inspiradas en el GDPR, señalando una tendencia global hacia un “estándar GDPR”.

Sin embargo, no es tan simple. Aunque algunas leyes toman bastante del GDPR, en muchos países hay significativas diferencias. El paisaje regulatorio todavía es fragmentado: estamos lejos de ver un estándar global emergiendo en todos los mercados.

Esta guía busca identificar algunas de las tendencias en privacidad de datos que están surgiendo en algunos mercados claves para los avisadores y cómo se comparan con el “estándar GDPR”.

Ámbito territorial (artículo 3):

Se aplica en todo el mundo a todas las empresas que ofrecen bienes o servicios a consumidores en la UE o supervisa el comportamiento de las personas ubicadas en la UE.

Bases para el tratamiento (artículo 6): 6 bases legales, aplicables a todas las categorías de datos.

1.- Consentimiento.

2.- Cumplir los requisitos / acuerdos contractuales.

3.- Cumplir con una obligación legal.

4.- Actuar en el interés vital del sujeto de los datos.

5.- Para los propósitos de los intereses legítimos del controlador o por un tercero (siempre que los derechos del interesado no estén afectado).

6.- Si el procesamiento es de interés público.

Datos de los niños (artículo 8):

Se requiere el consentimiento de los padres para procesar los datos personales de niños menores de 16 años (aunque los países miembros pueden
reducir este umbral de edad a un mínimo de 13 años).

Notificación de violación de datos (artículo 33):

Debe notificar las violaciones de datos a la autoridad nacional de protección de datos (DPA) dentro de las 72 horas.

Derecho de cancelación (artículo 17):

Derecho a que sus datos personales sean borrados o rectificados.

Sanciones (artículos 83, 84):

Multas de hasta 20 millones de euros o el 4% de los ingresos anuales globales (lo que sea mayor).

Oficial de protección de datos (artículos 37, 38, 39):

Debe nombrar DPO cuando se involucra regularmente en seguimiento sistemático o procesamiento de datos a gran escala.

Evaluación del impacto de la protección de datos (artículo 35):

Debe realizar evaluaciones de impacto cuando hay un alto riesgo en la privacidad.