Événement
RGPD para empresas: ¡cumple en 5 pasos!
Événement
Con la llegada de la Inteligencia Artificial y la nueva “economía digital”, el uso de datos personales se ha convertido en un importantísimo activo RGPD para empresas privadas. Los datos están en todas partes: CRM, ERP, prospección comercial, gestión administrativa y también, por supuesto, contemplados en la estrategia general de negocio de una organización.
La confianza y la transparencia en el manejo de estos datos son esenciales para
establecer relaciones sólidas y seguras con tus clientes, evitar sanciones y, en definitiva, ganar competitividad. En España, las normativas en materia de protección de datos, como el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), establecen directrices claras para tratar la información personal.
¿Aún no sabes cómo cumplir en protección de datos? ¡Te lo enseñamos en nuestra guía RGPD para empresas!
¿Cuándo recojo datos y cómo los trato?
La recopilación y tratamiento de datos personales deben hacerse conforme a los principios del RGPD y la LOPDGDD:
- Principio de licitud, lealtad y transparencia. Los datos deben ser tratados de manera lícita, leal y transparente. El RGPD para empresas obliga a informar a los titulares de los datos sobre la finalidad del tratamiento, la base jurídica, los destinatarios y el plazo de conservación (artículos 5 y 6 del RGPD).
- Minimización de datos. Solo se deben recopilar los datos estrictamente necesarios para los fines específicos del tratamiento (artículo 5.1.c del RGPD).
- Limitación de la finalidad. Los datos solo deben ser tratados para los fines específicos para los cuales fueron recopilados (artículo 5.1.b del RGPD).
- Fundar la recogida en una base legal suficiente. Antes de recopilar datos personales, debe obtenerse, por ejemplo, el consentimiento explícito del interesado, salvo en situaciones donde el tratamiento se base en otros fundamentos legales como el interés legítimo o el cumplimiento de un contrato (artículo 6 del RGPD).
1. Delegado de Protección de Datos (DPO)
El Delegado de Protección de Datos (DPO) es una figura clave en la gestión del RGPD para empresas privadas. Su figura está contemplada en el Reglamento General de Protección de Datos y su designación puede ser obligatoria o no. Según el artículo 37 del RGPD, un responsable o encargado de tratamiento debe nombrar un Delegado de Protección de Datos cuando:
- El tratamiento se lleve a cabo por una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial.
- Las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, por su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala.
- Las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales y de datos relativos a condenas e infracciones penales.
Aunque se puede nombrar voluntariamente a un Delegado, la LOPDGDD (Ley de Protección de Datos Personales y Garantía de los Derechos Digitales) detalla, en su artículo 34, las entidades obligadas a designar un DPO:
- Colegios profesionales y sus consejos generales.
- Centros docentes y universidades públicas y privadas.
- Entidades que traten habitual y sistemáticamente datos personales a gran escala (comunicaciones electrónicas, servicios de la sociedad de la información, solvencia patrimonial, prevención del fraude…)
- Entidades de ordenación, supervisión y solvencia de crédito y/o inversión
- Aseguradoras y reaseguradoras.
- Distribuidores y comercializadores de energía eléctrica y gas natural.
- Entidades responsables de ficheros comunes
- Empresas de publicidad y prospección comercial
- Centros sanitarios
- Operadores de juego
- Empresas de seguridad privada.
- Federaciones deportivas cuando traten datos de menores de edad.
Sea voluntario u obligado, la entidad responsable o encargada del tratamiento que designe un DPO tiene la obligación, de acuerdo con el artículo 37.7 del RGPD:
- Comunicarlo a la autoridad de control en el plazo 10 días
- Publicitar su designación a través de medios electrónicos
Tipos de DPO
- DPO externo. Puede ser un profesional autónomo, una empresa o estar mutualizado (compartido entre varias organizaciones). Generalmente, los DPO externos cuentan con una visión objetiva y multisectorial. Al dedicarse en exclusiva a esa labor y haberla ejercido en otras empresas, poseen los conocimientos y la confianza para garantizar un servicio de calidad y evitar conflictos de intereses.
- DPO interno. Empleado propio de la empresa que ejerce las labores de Delegado de Protección de Datos. Conoce a la perfección la organización aunque es posible que deba recibir formación específica y que se encuentre en situaciones de claro conflicto de intereses. En este último caso, no debería ejercer.
Funciones de un DPO según el RGPD para empresas
Los artículos 38 y 39 del RGPD, así como los artículos 36 y 37 de la LOPDPGDD definen la posición y funciones de los DPO:
- Supervisar. El DPO será el encargado de controlar todos los proyectos de una empresa desde la perspectiva de la protección de datos (Privacy by Design, Privacy by Default, accountability…). Lo hará sobre la base del reglamento, otras disposiciones de la UE, de sus Estados miembro y de las políticas internas del responsable o encargado del tratamiento.
- Asesorar. Tu Delegado debe ser un jurista experto en protección de datos, versátil y con gran experiencia. Solo así podrá guiarte adecuadamente hacia un cumplimiento eficiente y diligente de las normativas de datos personales.
- Concienciar. El DPO está obligado a sensibilizar sobre protección de datos personales y a impartir formación RGPD para empresas. El objetivo es evitar los “errores humanos” y construir una cultura de datos excelente en el seno de tu organización.
- Mediar. Consulta, contacto, cooperación, ejercicio de derechos… El DPO es el interlocutor autorizado por una empresa ante la autoridad de control. En el caso español, la Agencia Española de Protección de Datos (AEPD).
2. Registro de Actividades de Tratamiento (RAT)
En esencia, el RAT es un documento escrito o digital que recoge toda la información relativa a los tratamientos de datos personales realizados por una empresa, organismo público o autónomo (artículo 30 del RGPD). Es obligatorio para empresas de más de 250 empleados y para todos aquellos tratamientos que, independientemente del número de empleados o tipo de empresa, queden contemplados en los siguientes supuestos:
- Recogida no ocasional y/o masiva (se tratan datos personales de forma habitual)
- El tratamiento supone un riesgo para los derechos y libertades de los ciudadanos
- Datos relativos a condenas e infracciones penales
- Información personal incluida en las llamadas “categorías especiales” de datos (art. 9 del RGPD)
¿Qué debe incluir un RAT según el RGPD para empresas?
El RGPD para empresas, de nuevo en su artículo 30, diferencia parcialmente un RAT en función de si los redacta un responsable o un encargado de tratamiento.
El responsable de tratamiento debe incluir:
- Nombre y datos de contacto del responsable, del corresponsable, del representante del responsable y del Delegado de Protección de Datos.
- Finalidad del tratamiento.
- Descripción de las categorías de interesados y de las categorías de datos personales.
- Categorías de destinatarios, incluidos los destinatarios en terceros países u organizaciones internacionales.
- Transferencias de datos a un tercer país o una organización internacional, incluida su identificación y las garantías adecuadas.
- Plazos previstos para la supresión de las categorías y una descripción de las medidas técnicas y organizativas de seguridad.
El encargado del tratamiento llevará, a su vez, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de un responsable. Este contendrá:
- Nombre y datos de contacto del encargado, de cada responsable, del representante del responsable y del delegado de protección de datos.
- Categorías de tratamientos efectuados por cada responsable
- Transferencias de datos a un tercer país u organización internacional, incluida su identificación y las garantías adecuadas.
- Descripción de las medidas técnicas y organizativas de seguridad.
3. RGPD para empresas: tratamientos legítimos
Para que el tratamiento de datos sea legítimo, debe basarse en una de las seis bases jurídicas previstas por el RGPD (artículo 6 del RGPD):
- Consentimiento del interesado: Debe ser libre, informado, específico e inequívoco.
- Ejecución de un contrato o medidas precontractuales: El tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte.
- Cumplimiento de una obligación legal: El tratamiento es necesario para cumplir una obligación legal a la que está sujeto el responsable del tratamiento.
- Protección de intereses vitales: El tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
- Interés público o ejercicio de poderes públicos: El tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos.
- Intereses legítimos del responsable: Siempre que no prevalezcan los intereses o derechos y libertades fundamentales del interesado.
4. Responsabilidad proactiva
La responsabilidad proactiva (accountability) es un principio fundamental del RGPD para empresas (artículo 5.2). Para cumplir con este principio, las empresas deben:
- Transparencia. Proporcionar información clara y accesible a los interesados sobre cómo se tratan sus datos personales (artículos 12-14 del RGPD).
- Procesos internos. Establecer políticas y procedimientos internos para garantizar el cumplimiento continuo del RGPD, incluyendo la formación de empleados y la implementación de medidas de privacidad desde el diseño y por defecto (Privacy by Design and by Default) (artículo 25 del RGPD).
- Accountability. Documentar todas las acciones y decisiones relacionadas con la protección de datos, demostrando cumplimiento ante la Agencia Española de Protección de Datos (artículo 5.2 del RGPD).
5. Seguridad y prevención
En el contexto del RGPD para empresas, un riesgo se refiere a la posibilidad de que se produzcan eventos o incidentes que puedan comprometer la confidencialidad, integridad o disponibilidad de la información personal. Estos riesgos pueden manifestarse de diversas formas y surgir de diversas fuentes, como fallos técnicos, errores humanos, accesos no autorizados, ciberataques o un bajo nivel de seguridad.
Para evitar estos riesgos e incidentes, las empresas deben implementar medidas técnicas y organizativas de seguridad:
- Cifrado de datos, anonimización y seudonimización (artículo 32 del RGPD).
- Análisis de Riesgos. Evaluación previa de protección de datos en el seno de una organización. Permite identificar, valorar y mitigar los posibles riesgos contra las libertades y derechos individuales.
- Evaluación de Impacto (PIA). Análisis de un tratamiento que, por su naturaleza, puede conllevar riesgos para los derechos y libertades individuales (tratamientos sensibles, evaluación sistemática de datos, observación a gran escala de una zona pública…).
¿Qué ocurre si no cumplo?
No tratar adecuadamente los datos personales de clientes y colaboradores puede tener importantes consecuencias para una empresa.
- Sanciones económicas. El RGPD para empresas establece multas de hasta 20 millones de euros o el 4% de la facturación anual global del infractor, lo que sea mayor (artículo 83 del RGPD).
- Responsabilidad civil o penal. Las personas afectadas pueden reclamar daños y perjuicios por el tratamiento indebido de sus datos (artículo 82 del RGPD).
- Sanciones adicionales. La Agencia Española de Protección de Datos (AEPD) puede imponer sanciones adicionales, incluyendo la suspensión de actividades de tratamiento de datos (artículo 58 del RGPD).
Además de las multas, un tratamiento inadecuado de datos puede dañar gravemente la reputación de una empresa. No solo porque las sanciones son públicas, sino por la creciente importancia que los consumidores dan a su privacidad. La protección de datos es hoy un factor clave de competitividad. Permite asegurar la confianza de clientes y colaboradores, así como evitar multas, demandas y crisis reputacionales.
Actecil, aliado RGPD para empresas
Desde 2007, Actecil ha estado a la vanguardia, ofreciendo asesoramiento jurídico y técnico a más de 5.000 empresas públicas y privadas de todo el mundo.
Te ayudamos dónde y cómo quieras… ¡Tenemos más de 16 años de experiencia, hablamos 13 idiomas y todos nuestros consultores son DPO titulados en España!
Nuestra solución 360º es única en el mercado:
- Consultoría RGPD. Un equipo especializado en protección de datos te dará todas las claves para cumplir eficazmente con las leyes locales e internacionales.
- Enfoque internacional. Nuestros expertos hablan 13 idiomas y son DPO titulados en varios países de la Unión Europea.
- DPO externo. Un consultor titulado en protección de datos te ayudará a gestionar tus datos conforme a las disposiciones del reglamento.
- Formación. Conviértete en un auténtico especialista en protección de datos con nuestros cursos obligatorios y sensibilizaciones RGPD.
- Software RGPD para empresas. Gracias a los últimos softwares del mercado, tus bases de datos estarán perfectamente ordenadas y serán accesibles en todo momento.
- E-Assistance. Nuestros expertos estarán ahí cuando más los necesites: gestión de crisis, ciberataques, asesoramiento jurídico… ¡Acompañamiento 100% personalizado!
¡Contacta ya con nuestros expertos y descubre todos nuestros servicios!
Artículos similares
Événement