RGPD: lo que debes saber el 25 de mayo

La Unión Europea (UE)Reglamento General de Protección de Datos, o “GDPR”, como lo llaman los jóvenes populares, es una ley de protección de datos que entrará en vigor el 25 de mayo deeste año.

La ley afecta la recopilación y el almacenamiento de datos de personas que residen dentro delEspacio Económico Europeo(UE más Noruega, Liechtenstein e Islandia).

PERO – la ley tiene efecto “extraterritorial”, lo que significa que se aplica incluso a empresas que están ubicadas fuera de la UE. Sí, su empresa en América del Norte, América del Sur, Asia, Australia o la Antártida podría estar sujeta a la responsabilidad del RGPD.

¿Debemos entrar en pánico?

En resumen, no.

Pero debes prestar atención y probablemente tendrás que hacer algunos cambios si quieres cumplir con las normas. Una vez que hayas leído este artículo, ve a Facebook y confirma tu asistencia paraEl sombrero de las redes socialesyDe Stephanie Liu Preguntas y respuestas gratuitas en Facebook Live el jueves: todo sobre el RGPD(vídeo grabado a continuación).

RGPD: ¿Qué es y cómo afecta a mi pequeña empresa?

Escuche, la fecha límite para el cumplimiento del RGPD se acerca rápidamente.

¿Estás listo? ¿O esperabas evitar todo el asunto tanto como decir “Yanny o Laurel” (obviamente, es Laurel)?

Lamentablemente, el #GDPR no va a desaparecer y hay medidas que es absolutamente necesario tomar para cumplir y evitar multas potencialmente devastadoras y clientes insatisfechos.

¡La buena noticia es que lo tenemos cubierto!

Hoy, Admin de The Social Media Hat y yo nos adentraremos en las aguas profundas y compartiremos todo lo que sabemos sobre el RGPD y lo que significa para usted, en particular para los especialistas en marketing y las empresas en línea.

EN ESTE EPISODIO APRENDERÁS:
▸ Cómo está cambiando el marketing por correo electrónico y la gestión de suscriptores
▸ Cómo recopilar correos electrónicos y seguir cumpliendo con las normas
▸ Consejos para volver a involucrar a los suscriptores existentes de la UE
▸ Qué debe cambiar en su sitio web
▸ Qué deben tener en cuenta las empresas con empleados
▸ ¡Y más!

RECURSOS:
▸ RGPD: lo que necesita saber para el 25 de mayo: http://bit.ly/2GLcZyR
▸ Capacite a sus empleados sobre cómo manejar los datos de los clientes: https://privacyskills.com
▸ Únase al grupo de Facebook de Social Media Strategist: https://facebook.com/groups/smstrategist

PRÓXIMOS EVENTOS:
▸ 29/6: Social Media Day San Diegoeste año: https://socialmediadaysandiego.com/ (Promo: HeyStephanie20)

MÚSICA:
▸ No Worries con Dyalla de Joakim Karud

Publicado porStephanie Liuel jueves 24 de mayo deeste año

El Espacio Económico Europeo,Fuente

¿Qué es el RGPD?

El RGPD se aprobó eneste año y, si bien el tema ha estado en la mente de los especialistas en marketing europeos durante varios meses, la conversación en los EE. UU. recién está comenzando a cobrar impulso. Con la fecha de entrada en vigor del 25 de mayo acercándose rápidamente, lo que era un leve rumor ahora se está convirtiendo en un grito de pánico.

¿Necesita preocuparse de que la gran y mala policía de la UE llame a su puerta porque su formulario de suscripción por correo electrónico era incorrecto?

Probablemente no.

Por otro lado, las empresas multinacionales de alto perfil están en alerta máxima (es posible que haya notado una avalancha de políticas de privacidad actualizadas. Si tiene alguna empresa multinacional como cliente, es posible que haya recibido cuestionarios y acuerdos de procesamiento de datos para que los firme. El RGPD es el motivo).

Sin embargo, incluso si su empresa es lo suficientemente pequeña como para evitar la detección del RGPD, debe prestar atención. Como mínimo, es probable que el RGPD provoque un cambio de mentalidad significativo en los consumidores europeos. Los residentes europeos tienen nuevas expectativas sobre cómo se gestionarán sus datos y cuáles son sus derechos. Si desea mantener la confianza de estos clientes, siga leyendo.

Una breve historia para contextualizar

“El Reglamento General de Protección de Datos (RGPD) de la UE es el cambio más importante en la regulación de la privacidad de datos eneste añoños…” (“Portal de información sobre el RGPD de la UE”,es:GDPR.org)

Hasta ahora, el tratamiento de datos personales en la UE ha estado cubierto por dos piezas legislativas principales:

• • La Directiva de Protección de Datos de la UE, oficialmenteDirectiva 95/46/CE, que fue aprobada en 1995, y

• • la “Directiva sobre cookies” o Directiva sobre privacidad electrónica, oficialmenteDirectivaeste año/58/CE, aprobada eneste año.

La Directiva de protección de datos y la Directiva sobre cookies siguen la misma estructura: las directivas de la UE son meras directrices para los países miembros, no obligaciones.

“Una ‘directiva’ es un acto legislativo que establece un objetivo que todos los países de la UE deben alcanzar. Sin embargo, corresponde a cada país elaborar sus propias leyes sobre cómo alcanzar estos objetivos” (“Reglamentos, directivas y otros actos”, Europa.eu). Dado que cada país ha elaborado sus propias leyes para alcanzar los objetivos de las directivas, las empresas que operan en la UE han estado sujetas a una mezcolanza de leyes que podían cambiar de un país a otro.

El RGPD, como reglamento, es «un acto legislativo vinculante. Debe aplicarse en su totalidad en toda la UE» («Reglamentos, directivas y otros actos»,Europa.eu).

Por mucho que el RGPD pueda parecer una imposición ominosa desde arriba, es una mejora con respecto a la situación actual para las empresas que hacen negocios en la UE. El RGPD crea una política coherente y una autoridad rectora para todo el EEE. Dennis Yu, experto en datos y propietario deMétricas BlitzEn pocas palabras: “En realidad, ahora es más fácil hacer negocios”.

Nota: El RGPD no sustituye a la Directiva sobre cookies, aunque en algún momento se aprobará un reglamento que la sustituya. Aquí encontrará todo lo que necesita saber sobre la Directiva.Directiva sobre cookies.

Un ejemplo de consentimiento informado según la Directiva de Cookies de la UE. Si alguna vez has estado en Europa y te has preguntado por qué tienes que aceptar cookies en cada sitio que visitas, es por la Directiva de Cookies.Fuente

¿A quién cubre el RGPD?

El RGPD se aplica a las “personas físicas”, independientemente de su nacionalidad, que se encuentren dentro de la jurisdicción del EEE en el momento de la recopilación de sus datos (artículo 1). Esta cobertura incluye a los ciudadanos europeos, a los residentes europeos y a los turistas estadounidenses de vacaciones en Italia. Si la persona se encuentra dentro del EEE en el momento de la recopilación de sus datos personales, estos estarán protegidos por el RGPD.

Niños: la ley contiene algunas disposiciones muy importantes en relación con los niños. En particular, eleva la edad de consentimiento a 16 años, aunque los Estados miembros están autorizados a establecer un límite inferior, siendo la edad mínima para el consentimiento los 13 años. Solo es lícito recopilar datos sobre niños menores de 16 años si sus padres o tutores dan el consentimiento.

WhatsApp causó revuelo cuando aumentó su edad mínima a 16 años antes de la fecha límite del 25 de mayo para el RGPD.

La ley cubre el comportamiento de dos categorías de entidades: controladores de datos y procesadores de datos.

Responsable del tratamiento de datos– el responsable del tratamiento de datos determina “los fines y medios del tratamiento de los datos personales” (artículo 4). El responsable del tratamiento de datos puede ser una persona física o jurídica, una autoridad pública, una agencia u otro organismo. En la mayoría de los casos, si su sitio web recopila datos personales (es decir, nombre y dirección de correo electrónico para suscribirse a su lista de correo) de personas con sede en la UE, usted será considerado el responsable del tratamiento de datos, ya que es usted quien decide cómo y por qué se recopilarán los datos.

Encargado del tratamiento de datos– la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.

El tratamiento incluye: la recogida, registro, organización, estructuración, almacenamiento, adaptación, alteración, recuperación, consulta, utilización, divulgación por transmisión, difusión o cualquier otra forma de puesta a disposición, cotejo o combinación, restricción, borrado o destrucción de datos.

Digamos que utilizas MailChimp para recopilar direcciones de correo electrónico. Cuando creas tu cuenta, ellos recopilan tus datos personales porque eres su cliente. Al recopilar tus datos personales, ellos actúan como controladores. Sin embargo, cuando MailChimp recopila los datos personales de tus clientes en tu nombre, ellos actúan como procesadores y tú eres el controlador porque decides por qué y cómo se recopilarán los datos. Dependiendo de lo que hagas después con los datos de tus clientes, también puedes convertirte en procesador.

La relación entre el procesador y el controlador puede complicarse. Empresas como AgoraPulse ofrecen a sus clientesAcuerdos de procesamiento de datosPara aclarar por escrito quién es qué y cuándo.

Facebook publicó una declaración detalladasobre cuándo exactamente son responsables o encargados del tratamiento y cuándo la responsabilidad recae sobre usted.

Facebook describe quién es responsable de qué y cuándo.Fuente

¿Donde cubre?

El alcance de la ley es “extraterritorial”. Va más allá de las fronteras de la UE, por lo que, incluso si su empresa no tiene presencia en la UE, si recopila datos personales de personas en la jurisdicción del EEE y en la medida en que dicho procesamiento de datos se relacione con la oferta de bienes o servicios a estas personas (incluso si no hay pago de por medio) o con el seguimiento de su comportamiento, la ley se aplica a su empresa.

Para comentarios adicionales desde una perspectiva legal,escucha a Mitch Jackson y Joey VitaledeHora Legal.live.

¿Qué cubre?

El primer punto del RGPD establece que la protección de datos de las personas es un “derecho fundamental” (Preámbulo, Sección 1). Como tal, el RGPD amplía sustancialmente los derechos de las personas a la privacidad y protección de datos.

La ley completa tiene 261 páginas, por lo que aquí hay algunos puntos clave para ayudarle a entender con qué se está enfrentando:

1. Consent

El consentimiento es un componente esencial del RGPD y es una de las seis bases legales para la recopilación y el procesamiento legal de datos personales en virtud del RGPD. En virtud del RGPD, si se basa en el consentimiento como base legal para la recopilación y el procesamiento de datos personales de personas, el consentimiento para la recopilación y el procesamiento de los datos debe otorgarse de forma clara y expresa. No hay peros ni condiciones. Las casillas marcadas previamente no son válidas. El silencio o la inacción no cumplen los requisitos. Las personas deben decir: “Sí, tienes derecho a recopilar y procesar mis datos”.

El consentimiento también debe ser informado, por lo que hay que revelar de forma visible el propósito de la recopilación y asegurarse de que el consentimiento se otorga expresamente para el propósito para el cual se recopilan los datos.

Andrew y Pete hicieron un video divertido pero informativo sobre esto.Si estás listo para reírte un poco en este momento.

MailChimp lanzó recientemente un formulario de suscripción que cumple con el RGPD.

2. Privacidad desde el diseño y privacidad por defecto

El artículo 25 establece las nuevas obligaciones en materia de privacidad desde el diseño y la privacidad por defecto. La privacidad debe estar incorporada en la estructura de su organización, sus procesos y procedimientos.

Su empresa ahora es responsable de implementar “medidas apropiadas y organizativas (sic), como la seudonimización, que estén diseñadas para implementar principios de protección de datos, como la minimización de datos, de manera efectiva e integrar las salvaguardas necesarias en el procesamiento…”

Su empresa necesitará procedimientos, capacitación del personal y contratos para asegurarse de que los datos de sus clientes y empleados estén protegidos.

“Asegúrese de que la privacidad esté arraigada en la cultura de la empresa”, dice Stephan Grynwajc, socio gerente deBufete de abogados de S Grynwajc, un bufete de abogados con sede en Nueva York que se especializa en asesorar a clientes con sede en EE. UU. sobre cómo hacer negocios en la UE y, en particular, cómo navegar en el panorama regulatorio de privacidad de la UE.

3. Acceso a sus datos

El RGPD establece claramente que los interesados ​​tienen derecho a acceder a sus datos de forma gratuita (Preámbulo, artículo 59). Si alguien solicita sus datos, debe disponer de los medios necesarios para que puedan realizar esta solicitud de forma electrónica.

También debe responder a su solicitud “sin demora indebida y a más tardar en el plazo de un mes” (Preámbulo, artículo 59). Si no puede cumplir con la solicitud, debe indicar los motivos.

4. Portabilidad de datos

Las personas tienen ahora derecho a solicitar sus datos personales que estén en su archivo. Usted está obligado a proporcionarles esa información en un “formato estructurado, de uso común y lectura mecánica”, y ellos “tienen derecho a transmitir esos datos a otro responsable del tratamiento sin impedimentos” (artículoeste añoapartado 1).

En otras palabras, hay que entregarles sus datos de forma portátil para que puedan ser transferidos a otra persona.

5. Derecho al olvido

La cancelación de la suscripción ya no es suficiente. Las personas tienen ahora el “derecho de supresión” (artículo 17). Cuando alguien te lo pida, tendrás que eliminar su información personal de tu base de datos, así como de las bases de datos de cualquier procesador externo que tenga sus datos en tu nombre.

Existen algunas excepciones a esta regla, por ejemplo, cuando la ley exige que se conserven los datos durante un período determinado. Esto se aplica a la información de donantes de organizaciones sin fines de lucro, contables, abogados, etc.

El 71 % de los encuestados por HubSpot Research coincidió en que las empresas no deberían almacenar datos personales en absoluto. La eliminación total de los datos de los clientes requerirá procesos sólidos en su empresa.Fuente

6. Notificación de infracciones

En caso de una violación de datos, los controladores de datos ahora están obligados a informar sobre la violación a la autoridad de datos local dentro de las 72 horas.

Los encargados del tratamiento de datos deben notificar a los responsables del tratamiento de datos “sin demora indebida después de tener conocimiento de una violación de datos personales” (Artículo 33, Sección 2).

Los responsables del tratamiento de datos también están obligados a notificar la infracción a los interesados, es decir, a los clientes cuyos datos se han visto comprometidos (artículo 34). Los artículos 33 y 34 también establecen específicamente qué información debe incluirse en la notificación.

Los requisitos de notificación de violaciones de datos serán un tema importante que las pequeñas empresas deberán cumplir. Una vez más, incluso si la UE no llama a su puerta, perderá la confianza de sus clientes si no cumple una ley que ellos saben que los protege. Si es una agencia, debe ayudar a sus clientes a cumplir una ley que se les aplica en relación con los datos que procesa en su nombre.

7. Responsables de protección de datos

La creación de los Delegados de Protección de Datos (DPD) es uno de los puntos principales en los que el RGPD facilita las cosas a las empresas que operan en la UE. “Actualmente, los responsables del tratamiento están obligados a notificar sus actividades de tratamiento de datos a las autoridades de protección de datos locales, lo que, para las multinacionales, puede ser una pesadilla burocrática, ya que la mayoría de los Estados miembros tienen diferentes requisitos de notificación” (Cambios clave).

DPO de InfusionSoft.Fuente

En la mayoría de los países (el Reino Unido es una excepción), las empresas ya no tienen la obligación de registrarse ante una autoridad local, pero sí están obligadas a llevar registros internos que documenten su cumplimiento. La mayoría de las empresas no están obligadas a tener un DPO.

Las tres situaciones en las que un encargado o responsable del tratamiento de datos necesita contar con un DPD son:

1. 1. los datos sean tratados por una autoridad u organismo público, a excepción de los tribunales que actúen en el ejercicio de sus funciones jurisdiccionales;

1. 1. las actividades principales del responsable o del encargado del tratamiento “requieren un seguimiento regular y sistemático de los interesados ​​a gran escala”; o

1. 1. Los datos son de naturaleza sensible. Estas “categorías especiales de datos personales” se describen en el artículo 9: datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, datos genéticos, datos biométricos, datos de salud y datos sobre la vida sexual o la orientación sexual de una persona. También se incluyen los datos relativos a condenas y delitos penales (artículo 10).

8. Representante de la UE

Técnicamente, cualquier empresa que no tenga su sede en la UE, independientemente de su tamaño, que procese datos de personas en la UE, debe tener un representante en la UE. La obligación de contar con un representante se establece en el artículo 27 del RGPD. El representante debe estar presente en la UE y su función es actuar como persona de contacto para la autoridad local.

Además de un DPO, InfusionSoft, con sede en Arizona, también ha designado a dos representantes en la UE. Las funciones de un representante y de un DPO son diferentes.Fuente

Juliette Ancelle, socia deYo soy abogado, un despacho de abogados suizo especializado en tecnología, medios de comunicación y publicidad, señala: “Cuando la empresa no tiene su sede en la UE, pero está sujeta al RGPD debido a sus actividades de procesamiento de datos de personas ubicadas en la UE, existe la obligación de designar un representante, sujeto a excepciones muy limitadas”.

Ancelle señala que en este momento no está claro en qué país exactamente las empresas que no tienen presencia en la UE deben designar a su representante si sus actividades de procesamiento no se limitan a un Estado miembro. Añade que los representantes pueden estar sujetos además a leyes locales adicionales, ya que los Estados miembros aún tienen derecho a aprobar su propia legislación además del RGPD.

Tener un representante no exime al encargado del tratamiento ni al responsable del tratamiento de la responsabilidad legal.

Si bien las empresas pequeñas pueden pasar desapercibidas en este aspecto, las empresas medianas deberían tomar nota. Si no lo hacen y crecen, esto podría volverse en su contra más adelante.

RECORDAR:Stephanie Liu deLuces, cámara, en vivoestá organizando unPreguntas y respuestas gratuitas en Facebook Live sobre todos estos temas, el 24 de mayo a las 5:00 p. m., hora del Este de EE. UU..

¿Quién hace cumplir esto?

La diferencia clave entre una directiva y un reglamento es que un reglamento es jurídicamente vinculante.

Para hacer cumplir la ley y darle fuerza real, la UE ha añadido sanciones sustanciales. Las multas por incumplimiento pueden llegar a loseste año00.000 de euros o “hasta el 4% del volumen de negocios anual mundial total del ejercicio anterior, lo que sea mayor” (Artículo 83, Sección 6).

Dicho esto, la aplicación de la ley será selectiva. El RGPD establece el Comité Europeo de Protección de Datos (artículo 3) para supervisar la aplicación de la ley. Cada Estado miembro es responsable de designar una o más autoridades públicas responsables de la aplicación de la ley, y cada autoridad supervisora ​​actuará de forma independiente (artículos 51 y 52). Estas autoridades locales serán las que impongan las multas.

La nueva autoridad de la UE en materia de protección de datos tiene una cuenta de Twitter y no puede esperar a la fecha de lanzamiento del RGPD, el 25 de mayo.Fuente

Además, cada Estado miembro puede aprobar legislación adicional en materia de protección de datos.

Todos los expertos con los que hablé señalaron que, en este momento, nadie sabe cómo se va a aplicar esta ley. Solo 5 de los 28 Estados miembros de la UE han actualizado, a la fecha de este artículo, su legislación nacional para implementar el RGPD. Las autoridades supervisoras de la UE y sus Estados miembros también tienen recursos y personal limitados para investigar los problemas de cumplimiento del RGPD. Los expertos coinciden en que la aplicación temprana probablemente se centrará en las grandes empresas.

Grynwajc afirma: “En última instancia, tendrá que ser un análisis de riesgos. Las empresas tendrán que decidir si esto es algo a lo que darán prioridad cuando y a medida que el negocio crezca”.

Ancelle afirma que “será difícil llegar a esas empresas si no designan un representante en la UE. Ejercer una multa no es un proceso fácil”.

“Para las empresas que no tienen presencia en la UE, no existe un riesgo inmediato. El daño a la reputación será mucho mayor que el riesgo legal. Los ciudadanos de la UE tienen ahora unas expectativas muy altas en materia de privacidad. Con el escándalo de Cambridge Analytica, existe un sentimiento muy fuerte en Europa de que nuestra privacidad debe ser protegida”.

Ancelle señala, además, que para las empresas que piensan que pueden evitar el cumplimiento ahora, “si quieren implementarlo en la UE más adelante y las autoridades saben que no han cumplido, probablemente se lo harán más difícil”.

Los consumidores todavía quieren protección.Fuente

¿Cómo implementar el RGPD en tu propio negocio?

A continuación se ofrecen algunas pautas para implementar el RGPD en su propia empresa:

Marketing por correo electrónico:

• • Utilice un lenguaje claro y explícito que un niño pueda entender en sus páginas de suscripción. No oculte el consentimiento con lenguaje legal. Dennis Yu recomienda incorporar este lenguaje en toda su página de destino, en lugar de intentar ocultarlo.

• • Utilice opt-ins que cumplan con el RGPD. MailChimp tieneSe agregaron casillas GDPRLeadPages ahora tiene unaCasilla de verificación de consentimiento del RGPD.

• • Documente sus suscripciones. Las capturas de pantalla pueden ser su salvación si alguna vez tiene que demostrar el cumplimiento.

• • Limpia tu lista. El RGPD tiene una obligación de “minimización”. Solo puedes solicitar la cantidad mínima de datos que necesitas para proporcionar tu producto o servicio, y debes conservar los datos solo el tiempo que sea necesario. Limpiar tu lista es un buen hábito de todos modos. Los clientes potenciales inactivos te dan tasas de apertura inexactas. Opta por una lista activa en lugar de una lista grande.

Política de privacidad:

Si no tienes una política de privacidad, ahora es el momento de obtener una. Nuevamente, esto es así independientemente del RGPD.

Ancelle recomienda que su política de privacidad contenga como mínimo:

• • Detalles sobre el tipo de datos que estás recopilando

• • ¿Qué vas a hacer con los datos?

• • Dónde vas a almacenar los datos

• • ¿Quién tendrá acceso a ella?

• • ¿Qué medidas de seguridad tienes implementadas?

• • A quién contactar si alguien quiere acceder a sus datos o corregirlos

Ancelle añade: “Lo que será extremadamente importante ahora no es necesariamente el contenido, o al menos los temas, sino cómo los presentas, con qué claridad los presentas y cómo se implementa la política de privacidad internamente en tu empresa. Si tienes una política, pero luego no la sigues, o quieres que sea demasiado amplia, probablemente no tendrás una base válida para el consentimiento y, por lo tanto, tampoco una base válida para el procesamiento si estás procesando sobre la base del consentimiento. Antes de redactar la política, identifica lo que tienes, lo que quieres y lo que vas a hacer con los datos”.

Grynwajc recomienda comenzar con elArtículo 29 Directrices sobre transparencia del Grupo de trabajocomo guía para redactar su propia política de privacidad. Luego, debe preguntarse: “¿Cómo muestra su política de privacidad? ¿Cómo la hace lo suficientemente grande para que la gente pueda verla?”

Las Directrices del Grupo de Trabajo del Artículo 29 sobre Transparencia son un buen punto de partida para su propia política de privacidad.Fuente

La transparencia es un principio clave del RGPD. Esto incluye la forma en que se muestra la política de privacidad.

Es importante señalar que Grynwajc advierte contra el uso de abogados no pertenecientes a la UE para interpretar la legislación de la UE. El derecho de la UE se redacta en una cultura interpretativa diferente a la del derecho estadounidense. “Es más que simplemente leer un trozo de papel”.

Píxeles, cookies y etiquetas:

Las cookies están cubiertas por la Directiva sobre cookies deeste año, que todavía está vigente; sin embargo, algunos datos rastreados por el píxel de Facebook y Google Analytics son de naturaleza personal y, por lo tanto, están cubiertos por el RGPD.FacebookyGoogleHemos estado haciendo cambios. En F8, Facebook anunció unBorrar historialfunción que permite a los usuarios tener más control sobre cómo se rastrean sus datos.

Para cumplir con las normas, asegúrese de agregar un consentimiento de política de privacidad y cookies a su sitio web que cubra el seguimiento.

“Estoy de acuerdo con esto”. El lenguaje del consentimiento debe ser claro, no legalista. Los colores, una ventana emergente destacada y una fuente grande hacen que los elementos de este cuadro de consentimiento de cookies sean muy evidentes.Fuente

Protección de datos en su empresa:

Hay que desarrollar procedimientos y capacitar a su equipo. En este caso, hay muy poco margen de maniobra. Es lo que la Academia de Concienciación sobre la Privacidad denomina “unaCortafuegos humano.”

Olvídese por un segundo de cumplir con el RGPD. Esto es para proteger su negocio. El costo de una filtración de datos podría poner en peligro su negocio. Según IBM, el costo global promedio de una filtración de datos que involucra 24.000 registros es de $3,62 millones (Estudio de costos de filtración de datos de Ponemon de 2017).

Jennifer L'Estrange, socia gerente de Red Clover, una firma de recursos humanos estratégicos especializada en tecnología, señala que, según el RGPD, "ya sea a través de nuestro marketing o de cómo manejamos los datos de nuestros empleados o de nuestros clientes, tenemos el deber de cuidarlos para asegurarnos de que estén protegidos... Es un cambio de mentalidad para una organización en lo que respecta a la concienciación y a sus prácticas sobre cómo manejan los datos".

En lo que respecta al desarrollo de los procesos de datos, L'Estrange aconseja que las empresas pongan en marcha ahora los procesos que necesitarán más adelante. "Si hoy tienes una empresa de cinco personas y gestionas datos de clientes para clientes o para ti mismo, configúralo de forma que, cuando tengas cientos de miles de registros de datos en tu base de datos, sigas teniendo el mismo proceso sólido que tenías cuando tenías 1000 registros.

Tanto L'Estrange como Yu recomiendan confiar en el software que haya elegido para almacenar sus datos. L'Estrange señala que elegir un software más sólido con protección de datos y la capacidad de borrar datos cuando sea necesario puede brindarle tranquilidad para el futuro.

Yu recomienda tener listas de verificación para la incorporación y salida de clientes y empleados. Cuando alguien se incorpora a su agencia o empresa, debe otorgarle acceso a cuentas y perfiles con datos. Cuando se va, la lista de verificación le permite eliminar ese mismo acceso.

“La verdadera lección es el proceso. Cuando las empresas no tienen procesos claros, es cuando ocurren las infracciones”, afirma.

También recomienda conceder únicamente el nivel de acceso necesario. Business Manager tiene cinco niveles de acceso. ¿Qué nivel de acceso necesitan realmente las personas?

Grynwajc recomienda que los contratos con empleados y contratistas incluyan cláusulas que obliguen a las personas a ser responsables de la gestión de los datos. Afirma que una cláusula de confidencialidad no es suficiente.

Ancelle recomienda tener una política de eliminación. “No guardes datos que no necesitas. Te expones a un mayor riesgo si sigues almacenando datos que no necesitas y que no utilizas”.

L'Estrange subraya que, especialmente en el caso de las grandes empresas, el cumplimiento del RGPD no debería recaer en el departamento de TI. "Creo que la responsabilidad de comprender e implementar este tipo de cambios requiere una responsabilidad compartida entre TI, el departamento jurídico y el de Recursos Humanos o Marketing (según los datos), no solo entre TI".

¿Cuál será el impacto en la publicidad en las redes sociales?

Al igual que con la aplicación del RGPD, es difícil saber en este momento cuál será el impacto en las redes sociales, en particular las redes sociales de pago. Ancelle predice que “muchas grandes empresas de redes sociales probablemente adaptarán sus políticas y establecerán un régimen para los ciudadanos europeos y otro para los que residan fuera de la UE”.

Yu señala que ya estamos viendo cambios en las audiencias personalizadas de Facebook. Facebook ha eliminado el alcance potencial y está utilizando más el redondeo en el tamaño de sus audiencias. En el futuro, predice que veremos menos granularidad y que las estimaciones serán cada vez más amplias.

Facebook limita la información que brinda a los especialistas en marketing sobre el tamaño de las audiencias personalizadas.

Sin embargo, añade que cree que muchos de estos cambios se habrían producido de todos modos. Facebook está “internalizando la complejidad, dejando que su sistema haga el trabajo”, lo que, en su opinión, es lo mejor para los profesionales del marketing. Facebook es el mejor en su propio terreno.

Ancelle prevé que el impacto real del RGPD y los cambios consiguientes se sentirán en los próximos años. Ella también predice que veremos un impacto en la precisión, así como en el precio, de la publicidad en las redes sociales.

¿Y entonces dónde nos deja esto?

Respira hondo. No te asustes. Como dice Dennis Yu, “el RGPD aún no tiene los detalles”. Predice que habrá algunos “ejemplos emblemáticos durante el próximo año”. El resto de nosotros podremos observar cómo se desarrolla esto.

Utilice el cumplimiento del RGPD como una oportunidad