El próximo mes de mayo de 2018 entrará en vigor la nueva regulación de la Unión Europea en materia de protección de datos, también denominada como Reglamento General de Protección de Datos (GDPR).

La nueva normativa significará un reto importante para pymes y empresas, que deberán adaptarse para poder gestionar la información que poseen las compañías con total seguridad y siguiendo la legislación vigente. ¿Qué implica para las pymes la entrada en vigor de la GRPR? ¿Cómo pueden adaptarse?

Con la entrada de una nueva legislación a gran escala en términos de protección de datos, muchas pymes tienen dudas y preocupaciones sobre su capacidad de adaptación a las nuevas reglas del juego.

En primer lugar, cabe conocer en qué puntos incide la nueva normativa europea para después actuar y prepararse cuando tenga efecto. Lógicamente, la llegada del marco normativo se debe a la importancia que los datos tienen en la era digital.

En los últimos años se han incrementado exponencialmente los ciberataques mediante prácticas conocidas como el Ransomware que han afectado a miles de empresas a nivel mundial.

Casos como el conocido WannaCry o el ataque mundial que se produjo el pasado mes de junio son solo la punta del iceberg de las contínuas amenazas en busca de vulnerabilidades que reciben a diario muchas compañías y organismos públicos.

Es por ello que estamentos supranacionales como la Unión Europea llevan años trabajando para garantizar un espacio más seguro para los datos en la red.

Así, dos de los puntos prioritarios a proteger son, por un lado, las propias infraestructuras técnicas e informáticas; y por el otro, las personas, otro de los objetivos finales de los ataques que buscan vulnerabilidades en la red.

Para incrementar la seguridad de los datos, la normativa exigirá que las pymes y empresas gestionen mejor la información y cuenten con mayores medidas de prevención. Se trata, además de incorporar medidas y reglamentos, de concienciar a las pymes y empresas de su alta responsabilidad en la gestión de los datos.

La nueva normativa se traducirá en nuevos requisitos para pymes y empresas relacionadas con la protección y la seguridad de sus datos:

Las pymes tendrán la obligación de registrar previamente las evidencias del cumplimiento de la nueva norma ante la administración pública.

De lo contrario, pueden exponerse a multas en caso de recibir un ciberataque. Se trata, por lo tanto, de acreditar el cumplimiento de la  GDPR.

En el caso de las empresas públicas o las empresas privadas que dispongan de datos denominados bajo la categoría especial (étnicos, ideológicos, genéticos, sanitarios), deberán contar de forma obligatoria con un delegado de datos o DPO, que será el responsable de asesorar a la empresa en materia de protección de datos, cumplimiento de la normativa y hacer de nexo con las autoridades de control.

Además de los propios requisitos de prevención, la nueva normativa también incluye las acciones que las pymes y empresas deben realizar en el caso de recibir un ciberataque.

En este sentido, una de las reglamentaciones más destacadas es la obligatoriedad de hacer públicas las violaciones de seguridad sufridas en un plazo de 72 horas, además de la comunicación de las mismas a los usuarios, clientes o empresas afectadas.

Con el fin de prepararse para mayo de 2018, las pymes y empresas deben ponerse en marcha para adaptarse a la normativa entrante. Algunas de las principales medidas que deberán tomar se concentran en:

Tanto pymes como empresas deberán incorporar a sus infraestructuras la tecnología necesaria para una correcta gestión de los datos.

En este sentido, estas soluciones tecnológicas, además de aportar las seguridad necesaria, también deberán ser capaces de extraer la información y evidencias del cumplimiento de la normativa que deberán presentar ante las autoridades.

Otro elemento esencial para las pymes y empresas será preparar a sus empleados para la llegada de la normativa.

Es importante, en este sentido, que conozcan sus características, los requisitos que deberán cumplir, la responsabilidad que supone y la propia concienciación de la importancia de los datos en la era digital.

Las pymes españolas deben informarse sobre la nueva regulación y realizar un diagnóstico de la situación de su empresa para iniciar la adaptación. Para ello, cuentan con varias herramientas que les ayudarán en la adaptación de sus procesos a la GDPR:

En primer lugar, deben tomar entre sus referencias los consejos e información que les facilitará la Agencia Española de Datos. Su web, guías, recomendaciones e información sobre legislación de datos será muy útil para contar con una actualización constante.

https://www.agpd.es

La propia Agencia Española de Protección de Datos cuenta con un extenso espacio de información relativa a la nueva legislación que entrará en vigor en 2018. Algunas de las guías más interesantes en este sentido son:

• Guía del Reglamento General de Protección de Datos para responsables de tratamiento
• Guía para el cumplimiento del deber de informar
• Directrices para la elaboración de contratos entre responsables y encargados del tratamiento
• Orientaciones y garantías en los procedimientos de anonimización de datos personales.

Como interesante punto de partida, los materiales disponen de una Lista de verificación de puntos que las pymes deben cumplir con la nueva normativa, que les servirá para determinar qué requisitos deben incorporar en los próximos meses.

Por último, la AEPD ha desarrollado EVALUA, una herramienta de autoevaluación para pymes que podrán comprobar el grado de cumplimiento de la Ley Orgánica de Protección de Datos. En 45-60 dispondremos de un informe de resultados con las recomendaciones a seguir.

Las pymes, por lo tanto, cuentan con todo el apoyo de los estamentos nacionales e internacionales, que tratarán de facilitar el proceso hacia la nueva normativa. Además, la incorporación de nuevas soluciones tecnológicas, mejores sistemas de prevención de datos o de estrategias de reacción ante un ataque acabarán repercutiendo positivamente en la compañía, que cada vez será más segura y tendrá más protección de las instituciones a las que se informe puntualmente sobre el estado y seguridad de la información de la empresa.