En un plazo de menos de dos años, el marco regulatorio sobre la seguridad de la información en nuestro país tendrá que adaptarse al nuevo Reglamento Europeo de Protección de Datos (RGPD) que, aunque aprobado en mayo del pasado año, no será efectivo hasta mayo de 2018. Durante este periodo de adaptación, nuestro país sigue rigiéndose por la actual Ley Orgánica de Protección de Datos (LOPD).

Este nuevo código tiene el objetivo de garantizar el derecho a la protección de datos de los europeos, por lo que todas las empresas que requieran tratar sus datos para ofrecer productos y servicios o controlar su comportamiento, deberán cumplir el nuevo RGPD independientemente de donde tengan ubicada su sede u oficinas.
 
Además, el RGPD tiene otras novedades. Por ejemplo, como marco garante de la protección de los datos, se modifica el procedimiento para recabar el consentimiento de los usuarios de tal forma que ya no tendrá validez aquello del consentimiento tácito. Pero no sólo eso, se creará la figura del DPO (Data Protection Officer o Delegado de Protección de Datos) y se introduce el principio de protección de datos desde el diseño y por defecto.
 
Aunque, sin duda alguna, el principal cambio en este marco regulatorio se producirá sobre el enfoque, que a partir de mayo de 2018 será proactivo. Este reglamento cambiará radicalmente la forma de trabajo establecida hasta ahora, apostando porque las organizaciones apliquen medidas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la probabilidad y gravedad del daño que podría causar en los derechos y libertades de las personas físicas.
 
El nuevo reglamento requerirá un balance entre la prevención y la reacción. No será suficiente una reacción cuando se produzca un incidente que afecte a los datos personales, sino que será absolutamente determinante tener capacidad de anticipación y tratar de prevenir que se produzca el daño. No obstante, si a pesar de establecer las medidas preventivas razonables, no fuera posible impedir la brecha en el tratamiento seguro de los datos, la organización tendrá que detectar el incidente y notificarlo a la autoridad nacional de control, a ser posible en un plazo máximo de 72 horas, así como a los propios interesados cuando entrañe un alto riesgo para sus derechos y libertades.
 
Y desde los negocios ¿cómo puede afrontarse este cambio en la normativa?
 
Una de las modificaciones esenciales que las empresas y negocios han de asumir es que tanto la ciberseguridad como la protección de datos y la privacidad deben estar asimilados e integrados en el corazón de los negocios siendo, también, imprescindible involucrar a todo el equipo.
 
Telefónica dispone de SandaS GRC, una completa solución de gestión del riesgo y cumplimiento normativo, que incluye todos los elementos necesarios para ofrecer una correcta respuesta. Esta solución permite establecer un Sistema de Gestión de la Seguridad de la Información (SGSI) aplicando las mejores prácticas de seguridad y cuenta con un módulo específico para el cumplimiento del RGPD. SandaS GRC permite a las organizaciones adecuarse y cumplir con el nuevo reglamento de protección de datos de una forma sencilla y centralizada.