Cumplimiento del RGPD para empresas en Estonia: todo lo que necesitas saber

¿Quién iba a imaginar hace años que podrías abrir una empresa en cuestión de minutos y desde tu sofá?

Es cierto que la era digital y los avances tecnológicos han hecho más fácil nuestra vida cotidiana. 

Sin embargo, esta comodidad conlleva una significativa amenaza, puesto que día a día compartimos una gran cantidad de datos personales y privados que podrían terminar en manos equivocadas y ser una mina para los ciberdelincuentes.

Además, como ya sabrás, Estonia es un país referente en cuanto a digitalización se refiere.

Por eso, es todavía más importante que entiendas las implicaciones del Reglamento General de Protección de Datos (General Data Protection Regulation) de la Unión Europea que vamos a ver en este artículo.

¿Cómo afecta el RGPD a las empresas estonias?

Desde mayo de 2018, todas las empresas en Estonia están obligadas a cumplir con el Reglamento General de Protección de Datos (GDPR o RGPD) de la Unión Europea. 

El incumplimiento de lo que se establece en este reglamento puede suponer multas millonarias, así que ya ves que es muy importante saber y entender lo que dice.

¿A quién afecta el  RGPD?

El RGPD se extiende más allá de las fronteras de la UE, afectando a cualquier empresa u organización que procese datos de residentes de la UE.

¿Cuándo se aplica?

• Cuando la empresa trata datos personales y tiene su sede en la UE, con independencia de dónde se traten esos datos.

• Cuando la empresa tiene su sede fuera de la UE pero trata datos personales relativos a ofertas de bienes o servicios a ciudadanos en la UE.

Por lo tanto, afectaría a empresas estonias, incluso si atienden principalmente a mercados no pertenecientes a la UE.
EL RGPD protege a personas que residen físicamente en la UE, independientemente de su nacionalidad o lugar de residencia permanente.

¿Qué son los datos personales según el RGPD?

Según el Reglamento General de Protección de Datos (RGPD) de la Unión Europea (UE), los datos personales se definen como cualquier información relacionada con una persona física identificada o identificable. Esto incluye cualquier dato que pueda utilizarse para identificar directa o indirectamente a una persona, ya sea por sí solo o en combinación con otros datos.

Algunos ejemplos de datos personales según el RGPD incluyen:

• Nombres y apellidos.
• Direcciones físicas o de correo electrónico.
• Números de identificación (Ej. pasaporte,documento de identidad nacional, seguridad social, etc).
• Datos de contacto (Ej.números de teléfono, direcciones de correo electrónico,etc).
• Datos de ubicación.
• Datos demográficos (edad, el género, la nacionalidad, etc).
• Datos financieros (Ej. cuentas bancarias, detalles de tarjetas de crédito, etc).
• Datos médicos o de salud.
• Características físicas (Ej. fotografías o grabaciones de voz).

¿Cuándo se permite el tratamiento de datos?

El Reglamento General de Protección de Datos (GDPR) de la Unión Europea establece seis bases o posibles requisitos para el tratamiento de datos personales:

1. Consentimiento del interesado explícito y voluntario. Por ejemplo, si tu empresa pide el email a clientes o a leads y solicitas su consentimiento explícito para utilizar esos datos con fines de marketing.

2. Que sea necesario para ejecutar un contrato en el que el interesado es parte, o si se quieren tomar medidas antes de celebrar un contrato y el interesado lo solicita. Por ejemplo, en Companio tendremos que pedirte datos de tu empresa como el nombre, el número de registro o la cuenta bancaria para poder brindarte nuestros servicios.

3. Que sea necesario para cumplir con una obligación legal a la que está sujeto el responsable del tratamiento. Por ejemplo, si tienes empleados necesitarás sus datos personales para poder pagarles, elaborar las nóminas y cumplir con el pago de los impuestos.

4. Que sea necesario para proteger los intereses vitales del interesado o de otra persona física. Por ejemplo, los hospitales recopilan y procesan los datos personales de los pacientes para proporcionarles tratamiento médico urgente y salvar sus vidas.

5. Que sea necesario para el cumplimiento de una tarea realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Por ejemplo, una agencia gubernamental recopila y procesa los datos personales de los ciudadanos para llevar a cabo tareas de interés público, como la emisión de pasaportes o la gestión de la seguridad pública.

6. Que se necesario para los intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que no prevalezcan los intereses o derechos y libertades fundamentales del interesado. Por ejemplo, tratarás datos personales de tus clientes pada enviarles comunicaciones de marketing debido a tu interés legítimo de promocionar tus productos o servicios.

Es decir, se pueden tratar los datos personales si se cumple al menos uno de estos requisitos o bases legales.

¿Qué es el consentimiento y cómo se aplica?

El consentimiento, según las reglas del Reglamento General de Protección de Datos (GDPR), significa que alguien está de acuerdo en que una empresa u organización pueda usar sus datos personales. Aquí hay más que tener en cuenta los siguientes puntos importantes:

1. Debe ser expreso y documentado: el acuerdo debe ser muy claro y específico, sin ambigüedades. También debe ser documentado y registrado.

2. Información clara y transparente: antes de obtener el consentimiento, la empresa u debe proporciona información clara y fácil de entender sobre la finalidad del procesamiento de datos, la duración, los derechos del interesado y cualquier otra información importante.

3. Libre y revocable: el consentimiento debe ser otorgado de manera libre, sin coacción ni presión. Además, el interesado tiene el derecho de revocar su consentimiento en cualquier momento, y la empresa u organización debe facilitar un mecanismo para que esto sea posible.

¿Qué derechos otorga el GDPR?

El Reglamento General de Protección de Datos (GDPR) de la Unión Europea otorga varios derechos a los interesados en relación con el tratamiento de sus datos personales.Estos son algunos de los más importantes:

• Derecho de acceso: es el derecho a obtener información sobre si sus datos personales están siendo procesados y, en caso afirmativo, a obtener una copia de los mismos.
• Derecho de rectificación: es el  derecho a solicitar la rectificación de sus datos personales si no son correctos o son incompletos.
• Derecho de supresión: se puede solicitar que la eliminación de los datos personales si ya no son necesarios o si el procesamiento es ilegal.
• Derecho de oposición: consiste en oponerse al procesamiento o tratamiento de datos  determinadas circunstancias. Por ejemplo, si una empresa pide los datos a una persona con el objetivo de enviarle publicidad.

Sin embargo, ten en cuenta que estos derechos pueden estar sujetos a ciertas limitaciones y excepciones establecidas por el RGPD.

Medidas de protección y obligaciones legales de la empresa

El RGPD pide que las empresas tomen medidas importantes para proteger los datos y les impone algunas responsabilidades. Estos son los puntos más importantesque debes considerar:

• Tener una razón legal: solo pueden recolectar y usar los datos personales de las personas de la Unión Europea (UE) si tienen una razón legal y justificada para hacerlo, y deben anotar esa razón. 
• Tratar solo los datos necesarios: deben recolectar y usar la menor cantidad posible de datos personales.
• Proteger los datos: deben cuidar muy bien la información personal que tienen.
• Evaluar los riesgos: deben analizar y tener en cuenta los problemas de privacidad que pueden causar recolectar y usar datos de personas. Después, deben crear un plan para reducir esos problemas y estar atentos a cómo va funcionando.
• Evaluar los datos importantes: si están recolectando y usando información especialmente delicada, deben hacer un análisis más profundo sobre cómo eso puede afectar la privacidad.
• Informar si existe algún problema: si por error los datos se exponen o se filtran, deben informar a las autoridades dentro de las 72 horas.

El RGPD: la vía para asegurar un futuro digital

En conclusión, el auge de la digitalización ha revolucionado los negocios, pero también conlleva desafíos. 

Estonia, líder en innovación y digitalización, no es una excepción y se compromete al cumplimiento del RGPD para proteger los datos. Desde 2018, todas las empresas estonias deben cumplir con las normas de este reglamento, y no hacerlo implica multas millonarias. 

Estas regulaciones se extienden más allá de las fronteras de la UE, afectando a quienes manejen datos de residentes de la UE. 

En este mundo digital, proteger datos personales es fundamental, y el consentimiento explícito, junto a otros derechos, es clave. Cumplir con el RGPD es un paso crucial para un futuro seguro y transparente en los negocios digitales.