El Reglamento General de Protección de Datos será de obligatorio cumplimiento en la UE a partir de mayo de 2018; las empresas deben cumplirlo si quieren evitar sanciones.
La Ley Orgánica de Protección de Datos (LOPD) fue creada en España para proteger la información personal, tal como pueden ser direcciones, teléfonos, cuentas bancarias o deudas, entre otros aspectos. Las empresas y los profesionales, más concretamente pymes y autónomos, manejan esos datos de sus clientes, empleados o proveedores y deben garantizar que se gestionan de forma correcta y privada, así como la protección de los mismos.
De entrada, las empresas están en la obligación de registrar los ficheros de datos de los clientes en la Agencia Española de Protección de Datos (AEDP), pero no basta con ello.
En algunos negocios optan por contratar los servicios externos de una empresa especializada, pero, aún así, hay que estar al tanto de que realmente se está cumpliendo con la LOPD, ya que de no hacerlo puede haber consecuencias perjudiciales.
Las exigencias de la UE en protección de datos
Sin embargo, las empresas no sólo deben cumplir con la LOPD, sino que también tendrán que acatar el Reglamento General de Protección de Datos (RGPD), que será de aplicación comunitaria.
A pesar de que el RGPD entró en vigor el 25 de mayo de 2016, comenzará a aplicarse el mismo día de 2018. Este periodo de dos años tiene como objetivo permitir que los miembros de la UE, las instituciones y también las empresas y organizaciones que tratan datos vayan preparándose y adaptándose para el momento en que el RGPD sea aplicable.
Los grados de seguridad
En la actualidad, la LOPD establece diferentes niveles de seguridad dependiendo del carácter de los datos que se tienen de las personas. Por ello, es obligación de la empresa conocer qué tipo de información es la que obtiene del cliente y a qué grado de seguridad corresponden. Tratar los datos con un nivel de seguridad incorrecto puede ser motivo de infracción para la empresa.
Existen tres niveles de seguridad, dependiendo de la información que contengan y se diferencian de la siguiente manera:
- El nivel básico y de menos seguridad, que está destinado a los ficheros que están relacionados con la identidad de la persona, como pueden ser su nombre y apellidos, teléfono, sexo, imagen, nacionalidad, etc.
- El nivel medio, que se dedica a los ficheros que contengan información relacionada con la solvencia del individuo, como pueden ser datos sobre su patrimonio u operaciones financieras y de crédito. También datos de carácter más personal, como pruebas psicotécnicas, antecedentes penales o cualquier otra información que sirva para poder hacerse una idea de su personalidad.
- El nivel alto y de mayor seguridad está planteado para los datos relacionados con la salud, las creencias, la afiliación sindical y política, la vida sexual, ideología, etc.
El responsable de seguridad en la empresa
En el caso de que la empresa maneje ficheros con datos de un nivel de seguridad medio o alto, resulta obligatorio asignar a un responsable de seguridad que se encarga de controlar y coordinar que las medidas de seguridad sean aplicadas a los documentos asignados.
El documento de seguridad
Por otra parte, sin importar cuál sea el nivel de seguridad de los datos con los que se trate en la empresa, es necesario contar con un documento de seguridad que tiene que estar siempre actualizado. No disponer de él, o que se encuentre obsoleto es motivo suficiente para considerarse una infracción grave en caso de una inspección.
El cumplimiento de la LOPD no queda únicamente en gestionar de manera correcta los ficheros de los datos personales, también es necesario adaptar la empresa para evitar que haya robo de información delicada. Entre estas medidas pueden encontrarse disponer de un antivirus que se actualice de manera regular para evitar en la medida de lo posible los ataques cibernéticos o contar con un buen servidor, en el cual se cambie la contraseña de manera habitual.
Por otro lado también se exige que se dispongan de archivos con acceso restringido o muebles con llave, entre otros aspectos, es decir, cumplir con todas las medidas que aparecen en el documento de seguridad.
También hay que cumplir la LOPD en la web
Si la empresa dispone de una página corporativa, debe tener en cuenta que también hay ciertos requisitos que ha de cumplir, como son la política de privacidad, la política de cookies y el aviso legal. Si dicha web cuenta con un apartado para suscribirse, es necesario que explique que cuenta con una política de privacidad, al igual que con un aviso legal, algo que es necesario para cumplir con las especificaciones de la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico.
El RGPD en la empresa
En cuanto la normativa comunitaria, la Agencia Española de Protección de Datos (AEPD) plantea una serie de cuestiones que la empresa debe formularse para saber si cumple con aquélla o no. Son las que figuran a continuación.
- ¿Tiene establecida claramente cuál es la base legal de los tratamientos que realiza y ha documentado de alguna forma el modo en que la ha establecido?
- Si alguno de los tratamientos que realiza está basado en el consentimiento de los interesados, ¿ha verificado que ese consentimiento reúne los requisitos que exige el RGPD? En caso contrario, ¿ha previsto cómo recabar el consentimiento de forma adaptada al RGPD o ha encontrado otra base legal adecuada para esos tratamientos?
- ¿Ha valorado si los tratamientos de datos que realiza pueden ser objeto del derecho a la portabilidad? En caso, afirmativo, ¿ha previsto procedimientos o mecanismos para poder atender a este derecho y proporcionar los datos al interesado (o a otro responsable) en un formato estructurado, de uso común y susceptible de lectura mecánica?
- ¿Ha previsto cómo valorar si los encargados con los que haya contratado o vaya a contratar operaciones de tratamiento ofrecen garantías de cumplimiento del RGPD cuando sea de aplicación?
- La información que se proporciona a los interesados, ¿está presentada de forma clara, concisa, transparente y de fácil acceso?
- ¿Contiene esa información todos los elementos que prevé el RGPD? ¿Dispone de mecanismos para el ejercicio de derechos visibles, accesibles y sencillos? ¿Pueden ejercerse los derechos por vía electrónica?
- ¿Tiene establecidos procedimientos o mecanismos que le permitan verificar la identidad de quienes solicitan acceso?
- ¿Tiene establecidos procedimientos que le permitan responder a los ejercicios de derechos en los plazos previstos por el RGPD? ¿Ha valorado si sería necesaria la colaboración de los encargados para responder a las solicitudes de los interesados y, si es así, tiene previsto incluir esta colaboración en los contratos de encargo?
- En particular, ¿tiene previstos mecanismos para atender a posibles ejercicios del derecho a la limitación del tratamiento, de forma que los datos afectados puedan ser conservados sin ser objeto de las operaciones de tratamiento que corresponderían?
- ¿Contienen los contratos de encargo que actualmente tenga suscritos todos los elementos que prevé el RGPD? En caso contrario, ¿está dando pasos para adaptarlos antes de la aplicación del RGPD?
- ¿Ha hecho una valoración de los riesgos que los tratamientos que desarrolla implican para los derechos y libertades de los ciudadanos? ¿Ha determinado qué medidas de responsabilidad activa corresponden a su situación de riesgo y cómo debe aplicarlas?
- ¿Ha previsto cómo establecer el registro de actividades de tratamiento en su organización?
- ¿Ha valorado si le es de aplicación alguna de las excepciones a esta obligación? ¿Ha previsto quién se encargará de mantener actualizado el registro?
- ¿Ha revisado las medidas de seguridad que aplica a sus tratamientos a la luz de los resultados del análisis de riesgo de los mismos? ¿Considera que puede seguir aplicando las medidas de seguridad previstas en el reglamento de la LOPD? ¿Ha valorado suficientemente la posibilidad de introducir medidas adicionales en función del tipo de tratamiento o del contexto en que se realiza?
- Atendiendo al tipo de tratamientos que realiza, ¿ha establecido mecanismos para identificar con rapidez la existencia de violaciones de seguridad de los datos?
- ¿Ha valorado si los tratamientos de datos que realiza pueden ser objeto del derecho a la portabilidad? En caso, afirmativo, ¿ha previsto procedimientos o mecanismos para poder atender a este derecho y proporcionar los datos al interesado (o a otro responsable) en un formato estructurado, de uso común y susceptible de lectura mecánica?
- ¿Ha previsto cómo valorar si los encargados con los que haya contratado o vaya a contratar operaciones de tratamiento ofrecen garantías de cumplimiento del RGPD cuando sea de aplicación?
- ¿Tiene previstas medidas de reacción frente a los diferentes tipos de quiebras de seguridad, incluidos los procedimientos para evaluar el riesgo que puedan suponer para los derechos y libertades de los afectados? ¿Ha establecido procedimientos para notificar las violaciones de seguridad a las autoridades de protección de datos y, si fuera necesario, a los interesados?
- ¿Dispone de un registro o herramienta similar en que pueda documentar los incidentes de seguridad que se produzcan, aunque no sean notificados a las autoridades de protección de datos?
- ¿Ha valorado si los tratamientos que realiza requieren una evaluación de impacto sobre la protección de datos porque supongan un alto riesgo para los derechos y libertades de los interesados?
- ¿Dispone de una metodología para la realización de la evaluación de impacto?
- Según el tipo de tratamiento que realiza y los resultados del análisis de riesgos previo, ¿tiene que nombrar un delegado de protección de datos?
- ¿Ha establecido los criterios para seleccionar al delegado de protección de datos y, en particular, para valorar sus cualificaciones profesionales y sus conocimientos?
- El puesto de delegado de protección de datos tal y como está configurado en su organización, ¿respeta los requisitos de independencia en el ejercicio de las funciones, posición en el organigrama, ausencia de conflicto de intereses y disponibilidad de los recursos necesarios establecidos por el RGPD?
- ¿Ha hecho pública la designación del delegado de protección de datos y su información de contacto y los ha comunicado a la autoridad de protección de datos?
- ¿Ha establecido procedimientos para que los interesados contacten con el delegado de protección de datos?
Con todo, si se tienen dudas sobre si la empresa cumple o no con todos los requisitos necesarios de la LOPD o del RGPD, lo más recomendable es acudir a un especialista para que pueda asesorar y dar las soluciones oportunas.
