GDPR, un año después…Europa, ¿inspiración para EE.UU.?

Ha pasado un año desde la implementación del Reglamento General de Protección de Datos (GDPR, por sus siglas en inglés) en Europa, y con ello, un aumento sustancial en el conocimiento sobre la privacidad y la protección de los datos. El GDPR puso el tema a la vanguardia de las noticias a nivel global como la primera legislación de su tipo. Al unificar el enfoque de la protección de datos en la Unión Europea, el reglamento ha establecido un precedente que otras naciones parecen estar dispuestas a seguir. Desde Brasil hasta California, el GDPR ha sido el impulsor de leyes de privacidad más definidas que involucren a las empresas. Y ahora estamos en un momento clave. 

Por encima de todo, el reglamento ha puesto la protección de datos y la privacidad en la mente del público en general. El GDPR provocó un debate a nivel mundial sobre asuntos de privacidad creando un aumento en el conocimiento de los derechos que las personas poseen con respecto a la privacidad de sus datos y las graves consecuencias de violar dichos derechos. Aunque la mayoría de los requisitos ya estaban en vigor en los países de la Unión Europea, el reglamento ha armonizado los principios en toda la Unión, y quizás lo más importante, ha aumentado la capacidad de cumplimiento de las autoridades de protección de datos. El requisito de informar sobre posibles violaciones de datos es uno de los resultados más innovadores de GDPR, ya que la mayoría de las organizaciones no tenían la obligación previa de hacerlo bajo sus propias leyes de privacidad. Sin embargo, identificar qué constituye una violación de datos puede ser difícil.

Algunas empresas aún se preguntan dónde está la línea roja. Las autoridades de protección de datos en toda Europa han avisado de que actualmente están abrumados con el volumen de notificaciones que están recibiendo. Otros desafíos iniciales del cumplimiento del GDPR para las organizaciones surgieron a la hora de recopilar los datos. Para muchas compañías, identificar dónde se encuentran sus datos y quién tiene acceso a ellos es un desafío operativo y táctico; algo que es especialmente cierto para las grandes empresas que operan a escala global. 

No hay duda de que el GDPR ha influido en la legislación de privacidad fuera de la Unión Europea. Por ejemplo, Lei Geral de Proteçao de DadosPessoais (LGPD) de Brasil se inspira en la estructura de GDPR, y la Ley de Privacidad del Consumidor de California claramente ha sido influenciada por esta regulación. Como la primera legislación de este tipo, el GDPR se ha convertido en el punto de referencia de facto para las leyes de privacidad de datos en todo el mundo.

California ha introducido varios derechos nuevos que son similares o comparables a GDPR, aunque no tan extensos. A pesar de su enfoque eurocéntrico, el GDPR ha tenido un gran impacto en lugares como los EE. UU., donde ha provocado una discusión sobre la necesidad de derechos de privacidad para las personas, en lugar de sólo proteger tipos específicos de datos. Como el primer estado en aprobar una legislación con un alcance tan amplio en la privacidad de los datos, parece que California ahora es el punto de referencia para el resto de los EE. UU., y hay otros 15 estados analizando actualmente su propia legislación de privacidad. Como tal, podría esperarse que la ley de California se convierta en la ley de privacidad integral de facto a nivel nacional, ya que limitar su aplicación a la información personal de los residentes de California podría ser difícil. Para las empresas que hacen negocios en los EE. UU., la ausencia de principios de privacidad consistentes en todos los estados también puede representar un desafío para obtener claridad sobre lo que se debe y lo que no se debe hacer. Las discusiones sobre una ley federal integral de los EE. UU. están actualmente en curso y se espera que aporten claridad y apoyo a las empresas.

A medida que se implementa más legislación, las empresas multinacionales pueden tomar la dirección inicial de los principios comunes aplicables en la mayoría de las leyes de privacidad en todo el mundo, pero deben tener en cuenta las discrepancias entre las diferentes legislaciones y ajustar sus programas de privacidad en consecuencia. A medida que las leyes de privacidad continúan siendo adoptadas por la gran mayoría de los países, uno podría asumir que será más fácil mover los datos a través de las fronteras. En cambio, las empresas se enfrentan a obstáculos potenciales ya que algunos países han restringido la transferencia de información personal fuera de sus límites mediante la imposición de diversas formas de localización de datos. Este no es el camino tomado por GDPR; aunque el reglamento es muy estricto, contiene una lista de mecanismos como las Reglas corporativas vinculantes, que permiten a las empresas transferir legalmente datos personales fuera de la Unión Europea en un mundo cada vez más interconectado y globalizado.