Gestión de la protección de datos (LOPD y RGPD)

La gestión de protección de datos en las empresas es fundamental para evitar no solo para evitar incurrir en infracción de la normativa vigente y las correspondientes denuncias y sanciones por un mal uso de datos personales, sino también para ganar y mantener la confianza de clientes, empleados y socios. Por ello, en este artículo repasamos las claves principales sobre cómo gestionar la protección de datos en las organizaciones.

¿Cómo gestionar la protección de datos?

La gestión de la protección de datos es fundamental para cualquier empresa u organización, puesto que en mayor o menor medida, todas ellas tratan con alguna categoría de datos personales, lo que implica directamente cumplir con las obligaciones que establecen el RGPD y la LOPD.

No son pocos los que piensan que una vez hecha la adaptación a la LOPD, ya no es necesario hacer nada más, pero se equivocan. Cumplir con la ley de protección de datos implica llevar una gestión de la misma, si no diaria, sí que con cierta regularidad, puesto que hay que mantener la documentación necesaria actualizada, volver a realizar algunas tareas, como el análisis de riesgos, cuando se quieren hacer nuevos tratamientos o se va a contratar a nuevo encargado del tratamiento, entre otros, por no mencionar los posibles cambios normativos a los que habrá que adaptarse siempre en tiempo y forma o la gestión de las denuncias ante la AEPD.

Adoptar un sistema de gestión de protección de datos personales es una de las mejores medidas que una empresa puede llevar a cabo, ya que facilita realizar las tareas de gestión de protección de datos de una manera mucho más sistemática y ordenada, sin olvidar ninguna de las obligaciones establecidas en la normativa.

Por lo tanto, a cómo llevar una adecuada gestión LOPD y RGPD pasa por poner en práctica las siguientes claves:

• Identifica qué datos vas a recoger

El primer paso que todo responsable del tratamiento (sea empresa o autónomo) debe realizar, es identificar qué datos personales necesitará recabar para llevar a cabo su actividad económica, puesto que no toda actividad o negocio implica recoger y tratar los mismos datos personales, ni los mismos riesgos y obligaciones a cumplir.

• Determina qué tratamientos de datos personales vas a realizar

Junto a la identificación de los datos, también se debe determinar qué tratamientos se van a realizar. Estos tratamientos vendrán determinados por la finalidad que la empresa o autónomo quiera alcanzar con ellos (por ejemplo, recabar y almacenar direcciones de correo electrónico, para enviar información comercial a los interesados).

• Identifica riesgos y adopta medidas de seguridad

Una vez que sabemos qué datos vamos a tratar y los tratamientos que vamos a realizar, el siguiente paso es identificar los riesgos que se pueden derivar de dichos tratamientos para los derechos y libertades de los interesados, para lo que será necesario realizar los correspondientes análisis de riesgos y, si procede, evaluaciones de impacto en protección de datos (EIPD).

En base a los resultados de esos análisis de riesgos (y posibles EIPD), deberemos adoptar las medidas de seguridad necesarias para garantizar la confidencialidad, integridad y disponibilidad de los datos.

• Elabora la documentación necesaria para cumplir con el deber de informar

Siempre que lleves a cabo un tratamiento de datos personales, debes informar a los interesados (clientes, empleados, usuarios, etc.) sobre varios aspectos relativos a dicho tratamiento; como para qué vas a usar sus datos (finalidad), cuánto tiempo conservarás los datos, si vas a cederlos o comunicarlos a terceros, qué legitimidad tienes para tratarlos y sobre los derechos que asisten a los interesados.

Toda esa información debes tenerla recogida en un documento (físico o digital), que debes facilitar a los interesados en el momento en que vas a recabar sus datos, especialmente si el consentimiento no es la base legitimadora para el tratamiento. Y deberás actualizarla cuando se produzcan cambios relativos a la protección de datos.

• Elabora la documentación con la que acreditar que cumples con la normativa

El RGPD y la LOPD establecen que como responsables o encargados del tratamiento, debemos ser proactivos, es decir, adoptar y aplicar las medidas de seguridad técnicas y organizativas necesarias para garantizar la protección de datos y poder demostrarlo. Para ello, es necesario documentar cada una de estas medidas, elaborar los correspondientes registros de actividades de tratamiento (cuando proceda), registrar y guardar los consentimientos de los interesados para el tratamiento de sus datos, etc.

Tanto esta como la documentación que mencionábamos más arriba, es algo que debe elaborarse tanto en la protección de datos de un negocio como para la protección de datos en la página web, si en esta se realizan tratamientos de datos personales.

• Implementa un protocolo de respuesta en caso de brecha de seguridad

Aquellas brechas de seguridad que puedan suponer un riesgo para los derechos y libertades de los interesados, cuyos datos personales puedan verse afectados, deben ser comunicadas en un plazo máximo de 72 horas a la AEPD y los propios interesados. Para asegurarnos de que cumplimos con esta obligación, debemos implementar un protocolo de respuesta ante brechas de seguridad, que, además, servirá para saber cómo debemos responder y actuar en caso de un incidente de este tipo, lo que nos permitirá recuperar la normalidad mucho más rápido.

• Habilita una vía para reclamaciones de derechos de los interesados

Crea una dirección de correo electrónico y/o postal, o una línea telefónica o ambas, para que los interesados puedan realizar sus reclamaciones de los derechos ARSULIPO (acceso, rectificación, supresión, limitación, portabilidad y oposición). Así mismo, responde y gestiona siempre estas solicitudes de derechos en tiempo y forma. 

• Firma contratos de encargo de tratamiento

Si vas a ceder o comunicar datos personales a terceros, porque sea necesario para realizar algún servicio o actividad, redacta y firma con ellos un contrato de encargo del tratamiento, en el que fijarás las condiciones, los datos a los que tendrán acceso y la actividad de tratamiento a realizar por estos encargados del tratamiento, así como el plazo de conservación y qué deben hacer con los datos una vez cumplida la finalidad o el contrato. 

• Lleva a cabo auditorías de protección de datos

Ya hemos mencionado que responsables y encargados del tratamiento deben ser proactivos, una forma muy recomendable de serlo y, que además, supone otros beneficios en la gestión de la protección de datos, es realizar una auditoría LOPD con carácter periódico.

El informe de auditoría no solo será una prueba más de que cumplimos con la normativa, sino que también nos dirá si tenemos algún problema que subsanar o medida extra de seguridad que aplicar.

• Mantén actualizado el cumplimiento y la gestión del RGPD / LOPD

Finalmente, tanto la gestión de la LOPD en empresas como la LOPD para autónomos implica no solo adaptarse a la normativa, sino llevar a cabo un mantenimiento LOPD de la misma; es posible que el negocio crezca y tratamos con mayores volúmenes de datos, o que iniciemos una nueva actividad comercial que requiera nuevos tratamientos de datos personales o que se produzcan cambios legislativos o lleguen nuevas leyes. Por todo ello, la gestión de la protección de datos implica mantenerse actualizado en su cumplimiento.

¿Quién gestiona la protección de datos?

La gestión de la protección de datos recae sobre responsables y encargados del tratamiento, puesto que son quienes deben cumplir con las obligaciones que establecen el RGPD y la LOPDGDD para el tratamiento lícito de los datos personales de empleados, clientes y cualquier otra persona física cuyos datos sean recabados por la empresa, organización o autónomo.

Dado el tiempo y dedicación que puede exigir la gestión de la protección de datos, lo habitual es, por tanto, que las empresas u organizaciones tengan a una persona responsable y dedicada a las tareas relativas a la gestión de la protección de datos en la entidad o, en su defecto, un servicio de gestión de protección de datos contratado a una consultoría especializada. Es decir, un gestor de protección de datos.

Este gestor de protección de datos es un perfil profesional que puede resultar muy útil en las empresas, especialmente en aquellas que no tienen un Delegado de Protección de Datos (DPO), ya que este gestor realiza, en gran medida, las mismas funciones que un DPO (si bien, es importante señalar que en caso de estar obligados a tener un DPO, el gestor, si tiene los conocimientos y experiencia necesarios, podría ser designado como tal).

Así, el gestor de protección de datos se ocupa, por tanto, de que la empresa realiza una adecuada gestión de los datos personales que trata en el desarrollo de su actividad, así como aquellos que recoge con otros fines más relacionados con el estudio de mercado o la promoción comercial.

Así, entre sus tareas está supervisar el cumplimiento de la normativa de protección de datos por parte de todos los empleados con acceso a datos personales y de la empresa en su conjunto, asesorar y resolver dudas relativas a los tratamientos y a las medidas técnicas y organizativas que sea necesario adoptar (por ejemplo, puede llevar a cabo los análisis de riesgos o ayudar en su realización), la redacción y actualización de la documentación que requiere la normativa, responder a las reclamaciones de derechos, mantenerse actualizado respecto a posibles cambios o novedades normativas, para aplicarlas dentro de la empresa, incluso formar a los empleados, entre otras tareas y funciones.

Importancia de gestionar correctamente la LOPD y el RGPD para las empresas

En las empresas la gestión de la protección de datos y del cumplimiento de la LOPD y el RGPD, son tareas que no se deben descuidar y que deben hacerse correctamente, puesto que hacerlo de manera inadecuada o insuficiente puede ser causa de una vulneración de la protección de datos y, por tanto, conllevar una denuncia y su correspondiente sanción y recordemos que las sanciones en la LOPD pueden alcanzar, en los casos más graves, los 20 millones de euros (o el 4% de la facturación anual).

Es cierto que las sanciones en materia de protección de datos para pymes y autónomos pueden no alcanzar esas cantidades tan elevadas que hemos visto imponer a las autoridades de control españolas y europeas a empresas como Meta, Amazon, Google, BBVA o Vodafone, pero incluso para una pequeña empresa o negocio, una multa a partir de los 2.000 o 3.000 euros puede suponer un problema económico.

Pero no solo se trata de las sanciones, también de la imagen de la empresa y la confianza de empleados y, especialmente, de los clientes. Gestionar de manera adecuada la protección de datos, significa que nos preocupamos y valoramos la privacidad de nuestros empleados y clientes, que tomamos y aplicamos las medidas necesarias para garantizar la seguridad de la información personal que nos confían y que no la usamos como moneda de cambio, es decir, que no la vendemos o comunicamos a terceros.

Los ciudadanos están cada vez más concienciados sobre el valor de sus datos y la importancia de proteger su privacidad, tanto física como digital, por ello debemos asegurar y mantener su confianza y ser capaces de demostrar que gestionamos sus datos personales de acuerdo a ley y que hemos adoptado las medidas de seguridad necesarias para proteger sus datos y evitar filtraciones.

¿Gestión de la LOPD y RGPD interna o externa?

Llegados a este punto, puede que te estés preguntando si es posible adaptarse uno mismo a la LOPD y llevar la gestión de la misma o es mejor contratar los servicios de empresas de gestión de protección de datos, como los que se pueden encontrar en una consultoría especializada en protección de datos.

La respuesta es que, salvo que tengas los conocimientos necesarios en materia protección datos y el tiempo para dedicarle, la mejor opción es contratar un servicio externo de protección de datos, que no solo se ocupará de realizar la adaptación a la LOPD, sino que llevará una completa gestión de la protección de datos de tu empresa o negocio, con asesoramiento continuo y personalizado, así como el mantenimiento del cumplimiento de la normativa. Además, en caso de que por la actividad de tu empresa o por el volumen o categorías de datos que tratas, necesites un Delegado de Protección de Datos, podrás contratar también este servicio (que la normativa permite externalizar).

Y si estás pensando que contratar un servicio externo para gestión de la protección de datos supone un gasto, estás en un error, ya que puedes encontrar la adaptación LOPD a precios de acuerdo a las necesidades reales de tu empresa.

Consecuencias de realizar una mala gestión en materia de protección de datos

Adaptarse y gestionar la protección de datos es algo que no quieres hacer mal, porque las consecuencias pueden ser graves. Como ya sabéis, no conocer la ley no exime de su cumplimiento y aunque a un nivel general, todos sabemos qué implica cumplir con la LOPD y el RGPD, ese conocimiento se queda corto si lo que queremos es llevar una correcta gestión de la protección de datos en la empresa.

Ya lo hemos adelantado, las consecuencias de una mala gestión en materia de protección de datos implica estar expuesto a denuncias de los ciudadanos, un proceso de inspección y una más que posible sanción por parte de la AEPD.

Pero además de ese coste económico, que puede muy bien llegar a las cuatro cifras, no cuidar adecuadamente de los datos personales de nuestros empleados y clientes, también puede conducir a una pérdida de confianza y una pérdida de clientes, y volver a ganar la confianza de estos y hacerlos volver es complicado.

La normativa de protección de datos es bastante estricta en algunos aspectos y la AEPD cada vez impone más sanciones. Evitar estos problemas pasa por realizar una correcta adaptación y gestión LOPD y RGPD y, si no contamos con el personal para hacerlo, contratar un servicio que lo haga por nosotros.

Somos la mejor empresa de gestión de la protección de datos

Si necesitas ayuda para llevar la gestión de la protección de datos de tu empresa o negocio, en Grupo Atico34 encontrarás un equipo de profesionales, con dilatada y demostrada experiencia en la materia, que se encargará de que cumplas con la normativa al cien por cien, resolverá tus dudas y te asesorará en reclamaciones de derechos y cuando puedas enfrentar una denuncia ante la AEPD.

Además, también podrás contratar el servicio de Delegado de Protección de Datos. Y, por ser cliente, tendrás acceso al software Atico34 Platform, un software online con el que podrás gestionar y controlar todo lo relacionado con la protección de datos de tu empresa o negocio.

Somos la mejor empresa de gestión de la protección de datos y hemos ayudado y seguimos ayudando a centenares de clientes a cumplir con la ley de protección de datos. Con nosotros encontrarás un servicio personalizado, con un presupuesto adaptado a las necesidades reales de tu empresa o negocio.