Abrir una nueva empresa, comenzar un nuevo negocio como autónomos o tener una página web, son actividades en las que inevitablemente trataremos con datos personales y necesitaremos cumplir con la normativa de protección de datos. Sin embargo, este cumplimiento exige tener conocimientos técnicos y jurídicos que no todo el mundo posee, por ello, es recomendable contratar los servicios de una empresa de protección de datos.
En las siguientes líneas os dejamos una serie de consejos para ayudaros a contratar un servicio de protección de datos adecuado para vuestra actividad.
11 consejos para contratar una empresa de protección de datos
Desde que el Reglamento Europeo de Protección de Datos o RGPD y la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD) entrarán en vigor en España en mayo de 2018, han surgido innumerables empresas que nos prometen adaptarnos a la normativa de protección de datos, desde asesorías y consultorías jurídicas, pasando por servicios de prevención de riesgos laborales que incluyen también la protección de datos, hasta empresas especializadas en la materia.
Con tanta oferta en el mercado, puede resultar difícil escoger y contratar la empresa de protección de datos más adecuada para nuestro negocio. Pero necesitamos cumplir la normativa y, salvo que en nuestra empresa tengamos un especialista en protección de datos (o lo seamos nosotros mismos), tendremos que recurrir a contratar protección de datos como un servicio más, ya que, como decíamos, exige tener conocimientos jurídicos y técnicos específicos para garantizar el cumplimiento de la ley.
A continuación os dejamos 11 consejos a seguir para contratar una empresa de protección de datos con todas las garantías.
Experiencia demostrada en el sector
Uno de los factores más importantes a la hora de seleccionar y contratar una empresa de protección de datos es comprobar que tenga experiencia en el sector; cuantos más años lleve dedicada a la protección de datos, mejor.
Puede que estéis pensando que la normativa de protección de datos actual tiene aún una vida corta (en vigor desde 2018) y que las empresas dedicadas a este servicio no pueden tener muchos años de experiencia, pero lo cierto es que sí; antes de la actual LOPDGDD existía la LOPD, por lo que la protección de datos no es realmente nada nuevo y hay empresas que vienen ofreciendo de asesoramiento en protección de datos desde hace varios años.
La experiencia de la empresa es importante, pero también lo es la de su equipo de profesionales, que deben estar especializados en protección de datos y contar con los conocimientos jurídicos y técnicos para poder realizar su labor de manera adecuada y de acuerdo a los requisitos exigidos por la ley.
Capaz de adaptarse a cada sector de actividad
Aunque la normativa de protección de datos y la LSSI-CE (Ley de Servicios de la Sociedad de la Información y Comercio Electrónico) afectan, en general, de la misma forma a cualquier tipo de empresa y actividad, lo cierto es que un buen servicio de protección de datos no puede quedarse en lo genérico.
Cada sector de actividad está afectado por diferentes normativas, algunas de las cuales están relacionadas con la protección de datos. Por ese motivo es necesario que la empresa de protección de datos que vayas a contratar pueda adaptarse con facilidad a tu sector de actividad y ofrecerte soluciones específicas para los problemas y necesidades que este plantee.
Además, hay que tener en cuenta que los datos personales que se pueden manejar, por ejemplo, en el sector sanitario, son mucho más sensibles que los que puedan manejarse en un taller de coches.
Una buena empresa de protección de datos te preguntará antes de llevar a cabo la contratación a qué actividad te dedicas y qué tipo de datos de tratas.
Servicio adaptado a las necesidades de tu empresa
En esa línea, cualquier servicio de protección de datos debe estar adaptado las necesidades específicas de tu empresa o negocio en cuanto a cumplimiento, puesto que dependiendo de tu actividad y los datos personales que manejes en ella, necesitarás cumplir o no una serie de obligaciones, de manera que un servicio genérico, que no entra detalles sobre tu negocio o empresa, que no indaga sobre qué datos tratas, si tienes empleados o no o con qué tipo de clientes sueles tratar, no es un buen servicio de protección de datos.
Por ejemplo, hay actividades que por las categorías de datos personales que tratan o por el volumen que manejan, deben contratar un DPO (delegado de protección de datos) o realizar una evaluación de impacto de los tratamientos que van a realizar, pero no todas las empresas o negocios necesitan cubrir estos elementos.
Así, si te intentan «vender» servicios que no necesitas o no te advierten sobre la posibilidad de necesitarlos, desconfía.
También es importante que ofrezcan servicios personalizados y diferenciados para empresas y autónomos, pues las necesidades y requisitos de la LOPDGDD para autónomos y empresas no son siempre iguales.
Asesoramiento y trato personalizado
Busca siempre una empresa de protección de datos que ofrezca un auténtico trato personalizado, es decir, con la que puedas contactar fácilmente si tienes dudas, surgen problemas o se van a realizar cambios sustanciales en tu empresa, que puedan afectar a la protección de datos.
Un buen indicador de esto es si cuentan con varias vías de contacto directo personal y tiempos de respuesta los más rápidos posibles, puesto que habrá situaciones en las que puede necesitar de asesoría o asistencia en un breve período de tiempo, como puede ser ante una brecha de seguridad.
Contrato, servicio y condiciones por escrito
Como en cualquier otro servicio que contrates, debes asegurarte que la empresa de protección de datos elegida te suministra por escrito el contrato y las condiciones del servicio contratado, para que puedas consultarlas en cualquier momento, pero sobre todo, para que cumplan con lo acordado.
También esta línea, si se trata de un servicio contratado a través de Internet, puedes asegurarte primero de si ellos mismos cumplen con la normativa, visitando su web y sus términos y condiciones, su política de privacidad y el resto de textos legales que deben tener.
Asesoría y soporte continuo
Cumplir con la normativa de protección de datos no consiste en rellenar unos documentos, crear un registro de actividades de tratamiento, recibir un documento con las medidas de seguridad que se recomienda implantar, crear un modelo para recabar el consentimiento expreso o suministrar «cuatro» modelos de textos legales. No, se trata de una actividad continua, que puede variar a lo largo de la vida de la empresa y de los cambios normativos.
Por ello, la empresa de protección de datos que vayas a contratar debe ofrecerte ayuda, soporte y asesoramiento continuo, documentación realmente adaptada y personalizada para tu empresa o negocio, acompañarte en la adaptación a la normativa de cualquier nuevo proceso o procedimiento, producto o proyecto que vayas a llevar a cabo y que pueda suponer el tratamiento de datos personales.
Recuerda que uno de los principios de la protección de datos según el RGPD es la proactividad y la protección desde el diseño y por defecto, lo que quiere decir que ante cualquier cambio o novedad en tu actividad, necesitas que tu servicio de protección de datos lo valore y evalúe y te ayuda a adaptarlo a la normativa.
Dominio de las nuevas tecnologías
Las nuevas tecnologías afectan en gran medida a la protección de datos y lo van a seguir haciendo según se desarrollan y evolucionan. Muchas empresas recurren a ellas para mejorar su negocio, desarrollar nuevos proyectos u ofrecer ciertos servicios. Una empresa de protección de datos debe estar al día y saber cómo funcionan e impactan estas nuevas tecnologías en la protección de datos, para poder cumplir con la ley de manera adecuada.
Pero no solo eso, sino también conocer los posibles cambios o novedades normativas que puedan afectar al uso de dichas tecnologías en lo relativo a la protección datos, puesto que en muchas ocasiones, las leyes van detrás de los avances tecnológicos y donde ahora hay un vacío legal, en un futuro no muy lejano puede haber una regulación que es necesario conocer y aplicar.
Al día de la actualidad normativa, sus cambios y modificaciones
En línea con el punto anterior, una buena empresa de protección de datos y sus profesionales deben estar continuamente actualizados y al tanto de cualquier cambio o modificación que pueda hacerse sobre la normativa vigente o la publicación de nuevas leyes o reglamentos relativos a la protección de datos personales.
Además, también deben ser capaces de «adelantarse», es decir, seguir anteproyectos, proyectos de ley y reglamentos, nacionales, europeo e internacionales, para poder ayudar a sus clientes adaptarse a ellos de forma rápida y sencilla, una vez sean aprobados.
Precio justo, desconfía de lo gratis o de los precios bajos
La protección de datos tiene un precio, pero este no es fijo y depende en gran medida de la actividad que se realice, la cantidad y categorías de datos personales que se manejen, el tipo de servicios complementarios que se necesiten (evaluaciones de impacto, implantación de medidas de seguridad, contratación de DPO, etc.).
Pedir presupuestos y comparar tarifas de protección de datos es recomendable, pero es importante que nunca aceptes supuesta ofertas gratis o a coste cero o a un precio muy bajo, porque lo que te ofrecerán al final será un servicio genérico, con documentos «copiar y pegar» que de nada te servirán para demostrar el cumplimiento de los requisitos de la normativa de protección de datos ante una posible inspección de la AEPD.
Tampoco aceptes supuestos cursos de formación en protección de datos con los que te aseguren que estás cumpliendo con la ley, porque es falso. Primero, la formación de personal en protección de datos y seguridad de la información es una de las medidas dentro de las que se recomiendan implantar a la hora de adaptarse a la normativa, pero en ningún caso supone cumplir con todos los requisitos y obligaciones de esta. Y segundo, la formación en protección de datos no es obligatoria (aunque sí recomendable).
Seguro de responsabilidad civil
La importancia de este seguro de responsabilidad civil y administrativa para la empresa es innegable, por cuanto que contribuye a dar garantía de solvencia y continuidad a la empresa, en beneficio de los posibles perjudicados. El objeto del seguro es tanto la cobertura del riesgo de responsabilidad civil derivado para la empresa y las personas físicas aseguradas por reclamaciones por perjuicios como el de pérdidas pecuniarias por las sanciones impuestas por la infracción de la normativa vigente en materia de protección de datos.
Transparencia y control
La empresa de protección de datos a contratar debe garantizar una supervisión continua del correcto desarrollo del servicio de protección de datos, suministrando la información y documentación necesarias para acreditar el cumplimiento de la normativa de protección de datos del cliente y estableciendo controles con los que verificar que el cliente ha implantado las medidas de seguridad recomendadas, así como verificar si este ha realizado cambios en los sistemas de información o sus propios servicios o productos que necesiten ser evaluados y adaptados a la normativa.