El primer paso para lograr el cumplimiento con el RGPD es evaluar si el RGPD aplica a su organización y, de ser así, en qué medida lo hace. Este análisis comienza con el conocimiento de los datos que posee y el lugar en donde estos se encuentran. El RGPD regula la recopilación, el almacenamiento, el uso y el uso compartido de “datos personales”. La definición de “datos personales” es bastante amplia conforme al RGPD, ya que estos corresponden a cualquier dato que tenga relación con una persona natural identificada o que sirva para identificar a una persona natural.

Si su organización posee tales datos (en bases de datos de clientes, formularios de comentarios completados por sus clientes, contenido de correos electrónicos, fotos, imágenes de CCTV, registros de un programa de fidelización, bases de datos de recursos humanos o en cualquier otro lugar) o desea recopilarlos, y los datos pertenecen a residentes de la UE o tienen relación con ellos, entonces deberá cumplir con el RGPD.

Para entender si el RGPD aplica a su organización y, si lo hace, qué obligaciones le impone, es importante que realice un inventario de los datos de su organización. Esto lo ayudará a entender cuáles datos son personales y a identificar los sistemas donde esos datos se recopilan y almacenan, a entender por qué se recopilaron, cómo se procesan y comparten, y por cuánto tiempo se conservan.

Los servicios en la nube de Microsoft hacen que sea más fácil localizar e identificar los datos personales que recopila, para que así pueda encontrar y evaluar los datos de su organización en forma más fácil. 

El RGPD brinda más control a los sujetos de datos (individuos con quienes se relacionan los datos) sobre la forma en que se recopilan y utilizan los datos personales. La administración eficaz de los datos implica la gobernanza de los datos y la clasificación de los datos.

Gobernanza de datos Para cumplir con sus obligaciones ante los sujetos de datos, debe conocer los tipos de datos personales que su organización procesa, la forma en que su organización procesa dichos datos y con qué fines lo hace. El inventario de datos analizado anteriormente es un primer paso para obtener este conocimiento. Una vez que el inventario está completo, también es importante desarrollar e implementar un plan de gobernanza de datos. Un plan de gobernanza de datos puede ayudarlo a definir políticas, roles y responsabilidades para el acceso, la administración y el uso de datos personales, además de ayudarlo a asegurarse de que sus prácticas de control de datos cumplen con el RGPD.

La clasificación de datos es parte importante de cualquier plan de gobernanza de datos. La adopción de un esquema de clasificación que se aplica en toda su organización puede ser particularmente útil para responder a las solicitudes de un sujeto de datos, ya que le permite identificar más rápido y procesar solicitudes de datos personales.

Las organizaciones comprenden cada vez más la importancia de la seguridad de la información, pero el RGPD eleva el nivel de exigencia. El RGPD requiere que las organizaciones adopten las medidas técnicas y organizacionales adecuadas para proteger los datos personales contra la pérdida, el acceso o la divulgación no autorizada.

La nube de Microsoft está diseñada específicamente para ayudarlo a comprender los riesgos y defenderse contra ellos, y es más segura que los entornos informáticos locales en muchos aspectos. Por ejemplo, nuestros centros de datos están certificados con estándares de seguridad internacionalmente reconocidos, protegidos por vigilancia física las 24 horas del día y tienen controles de acceso estrictos. La forma en que protegemos nuestra infraestructura en la nube es sólo parte de una solución de seguridad integral, por lo que cada uno de nuestros productos, ya sean basados en la nube o en entornos locales, cuenta con características de seguridad que lo ayudarán a proteger sus datos.

El RGPD establece nuevas normas en materia de transparencia, responsabilidad y mantenimiento de registros. Deberá mostrar mayor transparencia en la forma en que controla los datos personales y también en la forma en que mantiene la documentación que define sus procesos y el uso de los datos personales. Las organizaciones que procesan datos personales deben mantener registros sobre los propósitos del procesamiento; las categorías de datos personales procesados; la identidad de los terceros con los que se comparten los datos; si hay países extranjeros que reciben datos personales (y cuáles son) y la base jurídica de tales transferencias; las medidas de seguridad organizacionales y técnicas; y los tiempos de conservación de los datos que se aplican a cada conjunto de datos. Una forma de lograr esto es mediante el uso de herramientas de auditoría, lo que puede ayudar a asegurar que cualquier procesamiento de datos, ya sea de recolección, uso, uso compartido o de otro tipo, se rastrea y se registra.