Qué es el GDPR

El GDPR (General Data Protection Regulation - Reglamento General de Protección de Datos de la UE) es una regulación legal que establece de forma integral la protección de los datos personales dentro de la UE. Entró en vigor el 25 de mayo de 2018 y es conocido como una de las leyes de protección de datos más estrictas del mundo.

La característica del GDPR es la amplitud de su ámbito de aplicación. Se aplica no solo a organizaciones con sede en la UE, sino también a organizaciones que ofrecen servicios a personas dentro de la UE o que monitorizan el comportamiento de personas dentro de la UE. Es decir, incluso las empresas japonesas están sujetas al GDPR si manejan datos personales de residentes de la UE.

Las sanciones por infracción son extremadamente elevadas, hasta el 4% de la facturación anual global o 20 millones de euros, lo que sea mayor. De hecho, se han impuesto sanciones de 1.200 millones de euros a Meta (antes Facebook) y 746 millones de euros a Amazon.

Principios básicos del GDPR y derechos de los interesados

El GDPR establece 7 principios básicos para el procesamiento de datos personales.

Licitud, lealtad y transparencia: El procesamiento de datos requiere una base legal y debe ser transparente para el interesado
Limitación de la finalidad: Los datos solo se recopilan para fines claros y legítimos, y no se utilizan para otros fines
Minimización de datos: Solo se recopilan los datos mínimos necesarios para el fin
Exactitud: Los datos se mantienen exactos y actualizados
Limitación del plazo de conservación: Los datos no se conservan más allá del período necesario para el fin
Integridad y confidencialidad: Los datos se protegen con medidas de seguridad adecuadas
Responsabilidad proactiva: Se establece un sistema que pueda demostrar el cumplimiento de los principios anteriores

Los interesados (individuos) tienen garantizados los siguientes derechos.

Derecho de acceso: Derecho a saber cómo se procesan sus datos
Derecho de rectificación: Derecho a solicitar la corrección de datos inexactos
Derecho de supresión (derecho al olvido): Derecho a solicitar la eliminación de datos bajo ciertas condiciones
Derecho a la portabilidad de datos: Derecho a recibir sus datos en un formato legible por máquina y transferirlos a otro servicio
Derecho de oposición: Derecho a oponerse a ciertos procesamientos de datos, incluido el perfilado

Banners de consentimiento de cookies y GDPR

Los banners de consentimiento de cookies que aparecen al visitar sitios web de la UE se basan en los requisitos del GDPR (y la Directiva ePrivacy).

El GDPR requiere obtener el consentimiento explícito del usuario antes de establecer cookies con fines de seguimiento. Los puntos importantes son los siguientes.

Método opt-in: No es válido habilitar las cookies por defecto y que el usuario las rechace (opt-out). Las cookies solo se pueden establecer cuando el usuario consiente activamente
Libertad de consentimiento: Los diseños que destacan solo el botón "Aceptar todo" y dificultan el rechazo (patrones oscuros) se consideran infracciones
Revocación del consentimiento: El usuario puede revocar su consentimiento en cualquier momento, y los medios de revocación deben ser tan fáciles como los de consentimiento
Excepción de cookies esenciales: Las cookies necesarias para las funciones básicas del sitio (gestión de sesiones, carrito de compras, etc.) se pueden establecer sin consentimiento

En la Ley de Protección de Información Personal de Japón, las cookies en sí mismas a menudo no se consideran información personal, pero la reforma de 2022 reforzó la regulación como "información relacionada con personas".

Impacto en las empresas japonesas y respuesta

El GDPR tiene disposiciones de "aplicación extraterritorial" que se aplican a empresas fuera de la UE, por lo que las empresas japonesas no son ajenas.

Casos en que se aplica el GDPR

Cuando se ofrecen productos o servicios a residentes de la UE en idiomas distintos al japonés (inglés, francés, etc.)
Cuando se rastrea el comportamiento de residentes de la UE (análisis de acceso, segmentación publicitaria, etc.)
Cuando se tiene una sucursal u oficina comercial dentro de la UE

Decisión de adecuación de Japón

Japón obtuvo la "decisión de adecuación" de la UE en 2019, lo que permite en principio la transferencia de datos personales de la UE a Japón sin medidas de protección adicionales. Esto significa que la UE reconoció que la Ley de Protección de Información Personal de Japón tiene un nivel de protección equivalente al GDPR. Sin embargo, las transferencias basadas en la decisión de adecuación requieren el cumplimiento de "reglas complementarias".

Puntos de respuesta práctica

Preparación de la política de privacidad: Crear una política de privacidad con alta transparencia que cumpla los requisitos del GDPR
Gestión del consentimiento de cookies: Mostrar un banner de consentimiento de cookies conforme al GDPR para los accesos desde la UE
Respuesta a los derechos de los interesados: Establecer un sistema para responder a solicitudes de derecho de acceso, derecho de supresión, etc.
Práctica de la minimización de datos: Limitar los datos recopilados al mínimo necesario y definir claramente los períodos de conservación

Conceptos erróneos comunes

El GDPR no afecta a las empresas japonesas: El GDPR se aplica a las empresas japonesas que ofrecen servicios a residentes de la UE o que rastrean el comportamiento de residentes de la UE. Si se opera un servicio web a nivel global, desde el momento en que hay accesos desde la UE, existe la posibilidad de estar sujeto.
Con mostrar un banner de consentimiento de cookies se cumple el GDPR: Mostrar solo el banner no es suficiente. Es necesario cumplir requisitos sustanciales como no establecer cookies de seguimiento antes de que el usuario consienta (método opt-in), hacer el rechazo tan fácil como el consentimiento, y mantener registros del consentimiento.

Comparación entre GDPR y la Ley de Protección de Información Personal de Japón

GDPR (UE)

Cubre una amplia gama de datos incluyendo cookies. El consentimiento opt-in es el principio. Las sanciones son de hasta el 4% de la facturación global. Garantiza el derecho al olvido y el derecho a la portabilidad de datos.

Ley de Protección de Información Personal (Japón)

Cubre información que puede identificar a un individuo. Las cookies por sí solas generalmente no están cubiertas (reguladas como información relacionada con personas). Las sanciones para personas jurídicas son de hasta 100 millones de yenes. Los derechos se ampliaron con la reforma de 2022, pero no son tan extensos como el GDPR.

GDPR (Reglamento General de Protección de Datos)