Nuevo Reglamento General de la Protección de Datos en la UE

El 25 de mayo del presente año la Unión Europea activó el nuevo Reglamento General de Protección de Datos (GDPR) (UE) 2016/6791, que otorga a los europeos nuevos derechos de protección de datos y amenaza con multas a las organizaciones que no los cumplan.

Este nuevo Reglamento regula el procesamiento por parte de un individuo, una empresa o una organización de datos personales relacionados con personas en la Unión Europea. No se aplica al procesamiento de datos personales de personas fallecidas o de personas jurídicas.

Las reglas no se aplican a los datos procesados por un individuo por razones puramente personales o por actividades llevadas a cabo en su hogar, siempre que no haya conexión con una actividad profesional o comercial. Cuando una persona utiliza datos personales fuera del ámbito personal, para actividades socioculturales o financieras, por ejemplo, la ley de protección de datos debe ser respetada.

Un ejemplo de cuando aplicaría la regulación es cuando una empresa con establecimiento en la Unión Europea proporciona servicios de viaje a clientes con sede en los países bálticos y en ese contexto procesa datos personales de personas físicas. En el caso contrario, cuando una persona usa su propia libreta de direcciones privada para invitar a amigos por correo electrónico a una fiesta que están organizando no se aplicaría el nuevo reglamento.

Algunas de las consideraciones que se deben tomar en cuenta con esta nueva ley son las siguientes:

• Por primera vez, la nueva ley define explícitamente como información personal los lugares que una persona visita. Por lo tanto, las organizaciones deben detallar cómo usarán dicha información para identificar a las personas.
• El consentimiento de las personas para compartir datos debe manifestarse a través de una acción clara, es decir, una persona no puede quedar registrada automáticamente en una campaña de marketing por no desactivar alguna casilla.
• Aunque una aplicación tenga que revelar que comparte datos con terceros, no necesariamente tiene que nombrarlos a menos que un usuario solicite personalmente la información.

Implicaciones para Costa Rica

De acuerdo con cifras del Banco Central de Costa Rica, el 13% de las exportaciones de servicios vía redes TIC en 2016 tuvieron como destino la Unión Europea.

Es importante que las empresas de servicios realicen un plan de exportación que brinde una guía sobre los principales aspectos a tener en cuenta antes de ingresar a un mercado. Entre los requerimientos de este plan de exportación deben encontrarse los aspectos legales o regulaciones que rigen sobre el tipo de servicio exportado. Estas pueden girar en torno a los requisitos de impuestos, como el impuesto de retención de renta, pero también legislaciones que de alguna forma pueden afectar la manera en la que debe entregarse el servicio.

El nuevo reglamento europeo de protección de datos ha venido a dar un giro en cómo las empresas que brindan servicios en la región, pero que no necesariamente pertenecen a la misma, han tenido que cambiar sus políticas y realizar envíos masivos de correos a sus clientes. Por esta razón es importante que las empresas que prestan un servicio en Europa (como aquellos referentes a desarrollo de aplicaciones, software, servicios de mercadeo, entre otros) tomen en cuenta esta y otras regulaciones que pueden afectar su negocio