Este documento habla sobre la necesidad de prepararse para el Reglamento General de Protección de Datos (GDPR) de la Unión Europea antes de que entre en vigor el 25 de mayo de 2018. Explica brevemente el alcance del GDPR y algunos de los cambios que introduce, como mayores controles sobre el consentimiento de los datos y mayores sanciones por incumplimiento. También menciona algunas consideraciones clave para el cumplimiento del GDPR relacionadas con la seguridad de los datos personales.

1. El reloj sigue corriendo: Reglamento
General de Protección de Datos (GDPR):
Actúe ahora para acelerar su proceso hacia
el GDPR.
Vladimir Amarante
Director, LATAM SE Team
Symantec
@VladAmarante
Patricia Peck Pinheiro
Sócia-fundadora da
Oficina Patricia Peck
Pinheiro Abogados

2. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
2
• Programadora desde los 13 años en Basic, Cobol, C++, HTML
• Abogada experta en Derecho Digital formada pela Universidad de São Paulo (USP)
• PhD pela Universidad de São Paulo (Departamento Direito Internacional)
• Investigadora invitada pelo Max Planck Institut de Munique e Hamburgo (Alemaña)
• Investigadora invitada pela Universidad de Columbia – NYC (EUA)
• Investigadora y Professora invitada pela Universidad de Coimbra (Portugal)
• Professora invitada pela Universidade Central de Chile
• Professora invitada especialista em Cibersegurança pelo Centro de Inteligencia de Ejército Brasileño
• Professora invitada de Instituto de Tecnologia da Aeronáutica (ITA)
• Professora/Coordenadora de Inovación y Derecho Digital de pós grado de Universidad FIA/USP
• Consejera de Ética de la Asociación Brasileña de Educación a Distancia – ABED
• Arbitra do Consejo Arbitral do Estado de São Paulo – CAESP
• Vice-Presidente Jurídica de la Asociación Brasileña de Profisionales de Ciber Seguridad
• 18 libros publicados de Derecho Digital
• Otorgada con 4 medallas militares e recebió 2 vezes lo prémio Security Leaders
• Sócia-fundadora da Oficina Patricia Peck Pinheiro Abogados
• Sócia-fundadora da empresa de capacitaciones Peck Sleiman Edu
• Presidente do Instituto iStart de Ética Digital
• Otorgada como abogada más admirada en Propriedade Intelectual no Brasil por 10 años consecutivos (2008 à 2017)
por lo prémio 500 Mayores y Mellores de la Advocacia
• Patricia.peck@peckadvogados.com.br y patriciapeck@usp.br
Perfil Patricia Peck Pinheiro

3. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
• Fundado em 2004
• Referência en Derecho Digital, Propriedade
Intelectual, Ciber Seguridad y conbate el Fraude,
Compliance a las nuevas Regulamentaciones
• Equipo de 30 profissionales de formación
multidisciplinar en Derecho y Tecnologia
• 1500 clientes, de 36 segmentos de mercado, no
Brasil, EUA, Europa y Latino America
• Actuación en Consultoría, Litígio y Capacitaciones
Sobre Peck Advogados
2

4. Overview de la Regulación
GDPR

5. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
The materials contained in this presentation are not intended to provide, and do not
constitute or comprise, legal advice on any particular matter and are provided for general
information purposes only.
You should not act or refrain from acting on the basis of any material contained in this
presentation, without seeking appropriate legal or other professional advice.
Legal Disclaimer - Symantec
5

6. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
EU General Data Protection
Regulation (GDPR)
6
28 Interpretaciones de la Directiva
de protección de datos
Un reglamento de protección de datos armonizado
en todos los Estados miembros de la UE
ANTES: 2018:
Derecho a ser olvidado Consentimiento paterno Data Protection Officer
Extraterritorialidad de GDPR
Multas y sanciones
Responsabilidad conjunta de controladores y
procesadores
Notificación obligatoria de incumplimiento
(breaches)

7. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
En cualquier lugar mientras haga negocios en/con Europa
7
¿Qué regiones se ven afectadas?

8. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
25th May 2018
GDPR comes into force
across all EU states
Awareness Phase
What is it and does it really impact me?
25th May 2016
Formal EU Approval of GDPR
2H 2016 2017 2018
Discovery & Planning
What do I need to do and when by?
o Awareness & Education
o Organisational Buy-In
o High-level Risk Assessments
o In-depth Risk Assessments & Gap Analysis
o Advisory Services
o Information Governance Plans
o Budgeting / Hiring Key Staff
Implementation
Making Changes to Prepare
o Policy and Organisational Updates
o Addressing Technology Gaps
o Purchasing of Software & Technology
Have concerns about ability to
become compliant
9 in 10
Consider compliance at top priority
in the next two years
22%
USE CASE:
Mitigate Risk to Data Subjects
USE CASE:
Protect Against Personal Data Loss
USE CASE:
Minimise Risk in Case of a Breach
8
Cronología del GDPR
Casos de uso típicos de GDPR basados en madurez

9. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
Impactos del GDPR
• Aprobado en abril de 2016 – Entrará en vigor el 25 de mayo de 2018
• Afecta a todas las empresas que manejan y tratan a los datos personales que implica 3
públicos (consumidores, empleados y accionistas) que son ciudadanos de la Unión
Europea (UE), o ciudadanos de otras nacionalidades mas residentes en la Unión
Europea o que los datos se almacenan en el territorio de la Unión Europea o con el flujo
internacional de datos con empresas que realizan negocios con la Unión Europea.
• Más afectados los segmentos: multinacionales en Europa y en otros países. Sobre todo
que funciona con tarjeta de crédito, medios de seguro financiero, de pago, (viajes,
salud, vida), Turismo (líneas aéreas, aeropuertos, hoteles, sitios de Web de paquetes
turísticos), transporte (aplicaciones), consumidor (oferta de bienes y servicios a través
de plataformas global online), automotriz (con uso de IoT y IA)
• ejemplo 1: la transferencia internacional de datos dentro del mismo grupo empresarial
o de una misma empresa también se aplica GDPR (ejemplo la sed está en Francia o
España y tenga operaciones en Chile o Argentina o Pery y haga un flujo de datos
personales internacional de un local para lo otro)
9

10. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
Se ok...
COMPLIANT
No ok ...
NO COMPLIANT
PENA:
PECUNIÁRIA
(FINO – EU 20 milliones de
euros o 4% de la facturación
de lo grupo económico
REPUTACIÓN
(repebote negativo sobre la
Marca en los periodicos y
midias sociales)
JUDICIAL
(acción judicial y class action
empleados o consumidores)
ADMINISTRATIVO
(Barrera Comercial y negativa
de compliance)
Impactos de las nuevas reglas de
protección de datos personales
(GDPR) en las empresas
10

11. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
Aplicación: alcances todos los
tratamientos de los datos
personales
• Información relativa a una persona singular indentificada o indentificavél (“titular de los
datos”).
• Ejemplos:
• Nombre Completo, Nacionalidade, fecha de Nacimiento, Género, Documento de Identificación,
correo eletrónico, dirección, Número de teléfono;
• Informaciones de sistema operacional, número de navegador de aparato digital, dirección de IP,
Geolocalización, Registros de interación en la plataforma o sistema;
• Cualquier elemento específico de la identifidade física (etnicidad, biométria), datos de la saúde, vida
sexuale, genética, mentale, opiniones políticas, filosóficas y religiosas, orientación sexuale,
económica, datos bancários, datos de crédito (credit score), datos laborales, datos académicos
11

12. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
Impactos principales de la GDPR
12
El Regulamiento possue más de 100 páginas con controles técnicos
y jurídicos (check-list) a respecto de la governancia de los datos
pernsonales y su manejo por la empresa (dentro y fuera), con
responsabilidad solidária (en lo supply chain – entre empresa que
es la legítima detentora de los datosy los proveedores que los
hagan alguna manipulación).

13. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
Modalidad de tratamiento:
13
▪ Colecta
▪ Producción
▪ Receptación
▪ Classificación
▪ Utilización
▪ Acceso
▪ Reproducción
▪ Transmisión
▪ Distribución
▪ Transformación
▪ Almacenamiento
▪ Eliminación
▪ Modificación
▪ Comunicación
▪ Transferéncia
▪ Difusión
▪ Extracción
▪ Enriquecimiento
...de datos.

14. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
Check-list GDPR: Aplicação
1. ¿Su empresa hace ventas directas o por aplicación digital en Internet con oferta de
producto o servicio a nivel internacional (fuera del país matriz)?
2. ¿La empresa o la plataforma permite vender para el usuario de un país de la Unión
Europea?
3. ¿El usuario que compra o transita en su plataforma puede ser ciudadano europeo?
¿O puede ser de cualquier otra ciudadanía pero con residencia en un país de la Unión
Europea? ¿O puede ser un ciudadano europeo de paso por su pais que todavía tiene
residencia en Europa? ¿O puede ser uma persona con doble ciudadanía (europea) y
que también tenga residencia (y negocios) en Europa?
4. La empresa realiza flujo internacional de datos recogiendo datos de usuarios de la
Unión Europea y trayendo estos datos para tener algún tipo de tratamiento de datos
fuera del territorio europeo (ejemplo datos de empleados, clientes o accionistas)? ¿Y
la situación inversa, de llevar datos personales de su pais hacia Europa ocurre?
5. Su empresa utiliza otras empresas con soluciones de información que tratan datos
que fueron recolectados considerando las cuestiones 2, 3, 4 (pues estas empresas
proveedoras o asociadas también deben atender GDPR y hay responsabilidad
solidaria entre contratista y contratado) 14

15. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
Riesgos de no estar en
conformidad
• Recebimiento de Notice Letter de lo Organismo de Control Central de Datos Personales
(plazo de 72 horas para contestar)
• Se no está satisfatório, realización de fiscalización por lo de lo Organismo de Control
Central de Datos Personales (que puede ser presencial o a distáncia)
• Se no está satisfatório, aplicación de pena – POR INFRACCIÓN (identificada) - 20
milliones de Euros o 4% de la facturación – pena aplicada a TODO LO GRUPO
ECONÓMICO + plazo para implementación de las medidas de conformidad
• Se no está satisfatório, suspensión de las operaciones (no hacer más negócios con Unión
Europea)
• Impacto negativo en la imagén de la empresa (puede haber caída de lo valor de las
acciones de la empresa)
15

16. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
Mexico, Switzerland,
Israel have old adequacy
regimes
Japan and South Korea are
slotted for GDPR adequacy
Britain will do GDPR
anyway
EU has GDPR
US has no uniform privacy regime
but the Privacy Shield agreement
with the EU is compliant with
GDPR
Australia, Singapore, Thailand,
Canada, Philippines, Russia,
South Africa have less (than
Europe) stringent privacy
regimes
India is thinking about it
Evolution is likely to be towards the highest standard to
meet the requirements in all the lesser jurisdictions either
by direct application, or via contract, or via data transfer or
simply as a business choice for simplification and
competitive advantage
16
¿Todo el mundo se está convirtiendo en GDPR Compliant?

17. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
Protección De Los Datos Latino
America
17
LATAM LEYES DE PROTECCION DE LOS DATOS PERSONALES
Argentina Ley nº 25.326/2000 – Ley de Protección de Datos Personales (en actualización)
Brasil Proyectos de Ley 5276/16, 330/2013(todavia no possui ley especifica)
Chile Proyecto de ley para actualizar la ley (de 2010 com nueva propuesta hecha en
2017). Ley anticua 19.628/1999 – Ley de Protección de Datos Personales
Colômbia Ley nº 1581/2012 – Ley de Protección de Datos Personales
Decreto nº 1.377/2013 – Regulamentación de la Ley
México Ley Federal de Transparencia y Acceso à Informacción Pública
Ley Federal de Protección de Datos Personales (2010)
Panamá Proyecto de Ley de Protección de Datos Personales (2017)
Lei nº 06/2002 – Ley de Transparencia y Acceso a la Informacción Pública
Peru Ley nº 29.733/2011 – Ley de Protección de Datos Personales
Uruguai Lei n° 18.331/2008 – Ley de Protección de Datos Personales
*útlimo atualização em 11.09.2017

18. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
¿Puedes determinar cuál es tu perfil de riesgo?
¿En qué áreas generales debo enfocarme para GDPR?
¿Cómo administro e informo sobre mis prácticas de gestión de riesgos de
información?
¿Qué datos personales hay y dónde están?
¿Podemos controlar qué datos personales están accesibles y quién puede acceder
a ellos?
¿Podemos controlar dónde residen los datos?
¿Podemos encriptar / ofuscar datos personales?
¿Podemos detectar acceso no autorizado o violaciones de datos personales?
¿Podemos notificar rápida y exhaustivamente en caso de una infracción?
¿Podemos evaluar continuamente la efectividad de nuestra seguridad?
Y cómo se ajustan los controles técnicos de seguridad
18
Consideraciones clave de cumplimiento GDPR

19. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY 19
Know your
Personal data
Process Data
Lawfully
Embed
privacy
Protect
Personal Data
PROTECT PERSONAL INFORMATION THROUGH ITS LIFECYCLE
Technology Considerations for the
GDPR

20. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
Privacy & Security
Security
The “How” of personal
data protection
Tactics
20
Privacy
The “What” of personal
data protection
Strategy
“You can have security without privacy but you can’t have
privacy without security”

21. CÓMO PREPARARSE,
TODAVÍA HAY (POCO) TIEMPO

22. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
El Proyecto
• Estudio con diagnóstico y elaboración de Dictamen de Riesgos
relacionados con las nuevas regulaciones sobre Privacidad y
Protección de Datos Personales, teniendo en cuenta:
• Legislación europea (GDPR)
• (En lo que se refiere a la normativa europea (y también se puede hacer
para el escenario LATAM - países con legislación adherente a la GDPR
siendo actualizada - Colombia, Perú, Argentina, Chile, Uruguay, México)
• Objetivo: Verificación del grado de cumplimiento de las
operaciones de la Empresa.
22

23. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
En resumen:
• Debe ser hecho el due diligence para generar una opinión diagnóstica en relación
con el grado de cumplimiento y escudo legal relacionados con la privacidad,
cumplimiento de protección de datos y seguridad cibernética GDPR
• Debe hacerse diligencia en comprobar la adecuación de flujos de efectivo de las
bases de datos (segregación, gestión de consentimiento, enriquecimiento con
terceros los datos, trazabilidad de origen, registros dentro del plazo legal), para
cumplir con las regulaciones necesarias (nacional e internacional) ¿custodia de
pruebas electrónicas (tabla de temporalidad, cadena de custodia, cifrado)?
• Debe ser actualizada documentación:
• contratos (cliente, proveedor, socio, empleado, SLAs, NDA)
• términos de uso
• Política Privacidad
• código ética
• política de seguridad de la información
23
CONCLUSÃO

24. Copyright © 2017 Symantec Corporation SYMANTEC PROPRIETARY- LIMITED USE ONLY
Assessments de Symantec que lo ayudarán
Determine priority areas of
focus for your organisation
CCS GDPR
Readiness
Assessment
Discover sensitive personal data
risks in your organisation
DLP Risk
Assessment
Discover Cloud Usage risks in
your organisation
Shadow IT Risk
Assessment
24

25. PREGUNTAS?
25
Vladimir Amarante
Director, LATAM SE Team
Symantec
@VladAmarante
Patricia Peck Pinheiro
Sócia-fundadora da
Oficina Patricia Peck
Pinheiro Abogados

26. MUCHAS GRACIAS!
Vladimir Amarante
Director, LATAM SE Team
Symantec
@VladAmarante
@patriciapeckadv
PatriciaPeckPinheiro
pppadvogados
contato@peckadvogados.com.br
www.peckadvogados.com
+55 11 3068-0777