Guía del RGPD
Muy útil si necesitas cumplir el Reglamento Europeo de Protección de Datos
Con las nuevas tecnologías nuestros datos personales circulan por la red sin ningún tipo de control. Por eso se ha publicado el RGPD o Reglamento General de Protección de Datos, la normativa que regula el tratamiento de información de carácter personal en territorio europeo. En esta guía gratuita encontrarás toda la información sobre los principales cambios y novedades que introduce.
¿Qué es el Reglamento Europeo de Protección de Datos (RGPD)?
El Reglamento General de Protección de Datos es la normativa que establece las pautas a seguir en lo relativo al tratamiento de los datos personales de personas físicas. Asimismo, también se encarga de indicar las normas en cuanto a la libre circulación de dichos datos.
El objetivo principal del GDPR es proteger el derecho de las personas físicas a preservar sus datos personales, y asegurar el respeto a los derechos y libertades individuales recogidos en la Constitución Española.
Esta normativa europea de protección de datos se aprobó el 14 de abril de 2016, pero su implantación se ha hecho efectiva en 2018. Desde entonces, es de aplicación a todos los países de la Unión Europea, aunque deja abierta la posibilidad a que cada país elabore sus propias leyes.
En esta guía sobre el R.G.P.D. te explicamos los principales puntos de este reglamento que debes tener en cuenta. ¿Nos acompañas? ¡Vamos allá!
Aplicación del RGPD en España
Todas aquellas empresas, entidades públicas o profesionales que manejen datos personales de terceros están obligados a cumplir el RGPD.
Su adaptación en nuestro país se ha hecho mediante la LOPDGDD.
Los pasos a seguir para la adaptación al RGPD son:
- Consentimiento de los clientes
- Obligación de informar
- Nombrar un Delegado de Protección de Datos (DPD)
- Firmar contrato con Encargados del tratamiento
- Contrato de confidencialidad con empleados
- Registro de actividades de tratamiento
- Análisis de riesgos
- Notificación de incidentes de seguridad
- Evaluación de impacto
- Privacidad desde el diseño y por defecto
- Página web
- Nuevos derechos de los usuarios
¿Qué deben tener en cuenta empresas, entidades públicas o profesionales para poder adaptarse a la norma europea?
Desde su publicación en el BOE en abril de 2016, las empresas han tenido dos años para adaptarse al Reglamento General de Protección de Datos (RGPD). Para ello han tenido que adaptar la manera de tratar la información de usuarios y clientes.
Dos de los artículos más importantes de esta ley europea son el 5 y el 6, los cuáles indican la forma correcta de tratar datos personales.
El artículo 5 señala que los datos personales se deben tratar de forma lícita, leal y transparente. Además, los datos han de ser recogidos con fines determinados, explícitos y legítimos. El tratamiento de esta información ha de ser adecuada, pertinente y limitada. Los datos deben ser exactos, veraces y actualizados. Por último, no se deben mantener durante más tiempo del necesario para los fines del tratamiento.
Por su parte, el artículo 6 del RGPD establece las bases para la licitud del tratamiento. En este sentido, la normativa considera lícito el tratamiento siempre y cuando se haya obtenido en base a las siguientes condiciones:
- Consentimiento del interesado.
- Necesarios para la ejecución de un contrato.
- Para cumplir con obligaciones legales.
- Su objetivo es proteger derechos fundamentales del interesado.
- Se trata de datos de interés público.
- Sin fundamentales para que el responsable o un tercero puedan ejercer sus derechos legítimos.
Estos son algunos requisitos básicos que establece la Ley RGPD. Sin embargo, hay muchas otras cuestiones que has de tener en cuenta y que te iremos explicando a lo largo de esta guía.
Los Contratos de confidencialidad
Desde la entrada en vigor del RGPD el tratamiento de los datos personales debe hacerse de forma que se garanticen la confidencialidad de los mismos. Esto incluye la implantación de mecanismos para evitar el acceso no autorizados a los datos o a los equipos empleados para su tratamiento.
El responsable o el encargado del tratamiento son los encargados de evaluar los posibles riesgos de seguridad, así como de establecer las medidas de seguridad oportunas para asegurar la confidencialidad de los datos
Con Encargados del tratamiento
Los encargados del tratamiento son los terceros que te prestan algún servicio y, para ello, acceden a datos personales que tú manejas, bien de tus clientes o bien de tus empleados. Por ejemplo:
- Gestoría que te lleva los temas fiscales o laborales,
- Informático que realiza el mantenimiento de los equipos, etc.
Sí, seguro que tú también tienes terceros a los que cedes datos.
Con esos encargados del tratamiento debes firmar un documento, aquí te dejo el modelo del contrato con terceros.
Es más que recomendable que empieces a firmar esos contratos con los terceros que te prestan servicios y revises los que ya tienes para asegurarte que cumplen con los requisitos del RGPD.
Con empleados
Si tienes empleados ya sabes que tienen acceso a toda la información que maneja la empresa. Por eso deben firmar un acuerdo de confidencialidad con el que se evitará que esa información sea revelada a personas no autorizadas.
Igualmente están obligados a observar las medidas de seguridad implantadas por la empresa para garantizar la protección de los datos personales.
Comprueba que tienes firmado un contrato de confidencialidad con tus trabajadores
El Registro de actividades
Es un documento en el que debes reflejar el tipo de datos que manejas y qué cantidad.
Debes incluir cuestiones como:
- Tipo de datos que recoges
- Finalidad del tratamiento
- Dónde guardas esos datos
- Si cedes esos datos o realizas transferencias fuera de nuestro país
- Medios de tratamiento
Aquí te explico cómo realizar un registro de actividades de tratamiento.
Este registro debes mantenerlo actualizado porque te lo pueden pedir en caso de tener alguna inspección por la AEPD
Normalmente deberá constar por escrito aunque también es válido en formato electrónico.
Consentimiento inequívoco
Antes, por el mero hecho de que un cliente te facilitara sus datos se entendía que te daba su consentimiento para tratarlos, es lo que se llama consentimiento tácito.
Ahora, según el RGPD, tus clientes deben otorgar de manera clara su consentimiento para que puedas tratar sus datos, es decir, un consentimiento expreso.
Pero, ¿puedo usar esos datos para cualquier finalidad?
Rotundamente no.
Verifica que dispones del consentimiento de todos tus clientes antes de tratar sus datos personales
Cuando los datos pretendan utilizarse para distintas finalidades, es importante que obtengas el consentimiento para cada una de ellas.
Para obtener el consentimiento puedes usar casillas, pero el RGPD establece que las casillas premarcadas o la simple inacción no constituyen una forma válida de prestar el consentimiento.
Si necesitas actualizar tus métodos para obtener consentimiento, te recomendamos visitar nuestra sección con modelos para cumplir el RGPD en PDF.
Menores
En cuanto al consentimiento en menores de edad se requieren unas precauciones específicas.
Deber de informar
Antes de solicitar datos personales a tus clientes debes facilitarles información sobre:
- Identidad y datos de contacto del responsable (es decir, tuyos);
- Datos identificativos del delegado de protección de datos, en caso de tenerlo;
- Por qué se solicitan esos datos y para qué los vas a utilizar;
- Quién va a tener acceso a los datos;
- Si vas a transferirlos a terceros países;
- Plazo de conservación de los mismos;
- Derechos que le corresponden (acceso, rectificación, supresión, limitación, oposición, portabilidad, retirar el consentimiento y presentar una reclamación ante la autoridad de control)
- Si es obligatorio facilitar los datos y consecuencias de no hacerlo;
Esta información debes facilitarla por escrito e incluirla en el documento donde solicites el consentimiento a los clientes. También en los emails que les envíes y en el pie de las facturas emitidas a particulares (ya que incluyen sus datos personales).
Asegúrate de incluir toda esta información cuando recojas los datos personales.
¿Necesitas cumplir el RGPD?
¡Recibe hasta 4 presupuestos! Te ayudamos a encontrar una empresa especializada en la materia de protección de datos para poder resolver todas las dudas referentes de tu sitio web.Análisis de riesgos
Seguimos… ahora lo que debes de realizar es un análisis del riesgos.
Se trata de un informe donde tendrás en cuenta los riesgos que pueden existir sobre los datos que manejas e intentar que no ocurran.
Una vez realizado este análisis, debes aplicar medidas de seguridad que sean capaces de impedir un ataque informático.
Aquí tienes más información sobre cómo realizar ese análisis de riesgos.
Brechas de seguridad
Esto es algo importante.
Según esta normativa europea tienes la obligación de notificar a los afectados (clientes o empleados) y a la Agencia Española de Protección de Datos las brechas de seguridad en los datos que se produzcan.
Y además en un plazo de 72 horas.
Todos podemos ser víctimas de un ataque informático. Pero es importante estar prevenido.
¿Y qué hago?
Pues muy fácil.
Debes tener en cuenta unas medidas de seguridad como:
- Guardar los datos que tengas en papel en archivadores bajo llave para evitar que accedan a ellos personas no autorizadas.
- Si los datos los guardas en sistemas informáticos (ordenadores), debes tener contraseñas para acceder y antivirus.
En caso de que tengas un ataque informático, si puedes demostrar a la AEPD y a los clientes que estás haciendo todo lo posible para cumplir con la ley, la sanción que te pueden imponer será menor.
Evaluación de Impacto
A ver cómo te explico esto.
Cuando el tratamiento de datos previsto entrañe un alto riesgo para los derechos y libertades de los clientes, debes realizar una evaluación de impacto.
Se trata de un informe donde se indican los riesgos detectados sobre la protección de esos datos y las medidas necesarias para eliminarlos o reducirlos.
¿Y en qué casos hay un riesgo alto?
Se consideran factores de riesgo:
- tratamiento de datos de personas vulnerables (por ejemplo, menores)
- tratamiento de datos sensibles (de salud, por ejemplo)
- elaboración de perfiles de comportamiento (para determinar gustos o preferencias de clientes) y
- uso de tecnologías innovadoras (control de accesos con huella dactilar, por ejemplo) .
¿Estás en alguno de esos casos?
Revisa el tipo o el volumen de datos que tratas para ver si necesitas hacer esa Evaluación de impacto.
La Privacidad desde el diseño y por defecto
Este es otro de los términos complicados que establece el RGPD.
Intentaré explicártelo de manera sencilla.
La privacidad desde el diseño y por defecto supone que, antes de iniciar un tratamiento de datos, debes tener en cuenta cómo vas a protegerlos.
Es necesario adoptar medidas que garanticen que:
- Solo se traten los datos necesarios para la finalidad para la que se solicitan
- Se conservarán durante el plazo previsto
- Solo podrán acceder a ellos las personas autorizadas
Esto se traduce en una serie de obligaciones como tener claro qué puedes manejar y qué medidas debes aplicar para protegerlos.
Página web
Si ofreces los servicios a través de una página web debes incluir en ella los textos exigidos por la ley de Protección de Datos y la LSSI:v
Aviso legal
Este es el texto en el que se identifica al propietario de la página web.
En él debes incluir:
- Nombre del propietario
- CIF / NIF
- Dirección
Es obligatorio que exista un enlace visible a este texto desde cualquier página de la web.
Política de privacidad
Es importante revisar la política de privacidad de la web y hacer una versión de esta más extensa, que incluya más información sobre el tratamiento de los datos.
- ¿Dónde se utilizan esos datos?
- ¿Dispones del consentimiento de los usuarios?
- ¿Se tratan con fines comerciales?
- ¿Se realizan cesiones a terceros o transferencias internacionales?
En caso de que en la web exista un formulario donde solicites datos personales, tendrás que informar expresamente de:v
- Que realizas un tratamiento de los datos que se le están solicitando
- Propósito
- Destinatarios de aquella información
- Identidad y dirección del responsable del tratamiento de los datos
- derecho a ejercer sus derechos de acceso, rectificación, cancelación y oposición y de qué forma.
Todos esos detalles deberán formar parte de la política de privacidad. Una vez actualizada, debes asegurarte de que esta nueva versión se publique en la web.
Política de cookies
Las cookies son ficheros de información que se envían por una página web y y se guardan en el navegador del usuario que visita esa web. Se utilizan para analizar las visitas a nuestra página web o mostrar publicidad dinámica.
Si en tu web utilizas algo de esto, estás obligado a cumplir con la ley de cookies.
La norma que regula las cookies es la propia LSSI.
En ese texto debe informarse sobre:
- Cookies utilizadas en la página
- Su finalidad
- Duración
Te dejo un enlace a una página donde puedes analizar las cookies que usa tu web.
Los Nuevos derechos de RGPD
Estos son los derechos que tienen los clientes y usuarios respecto a sus datos personales.
¿Y en qué me afectan?
Pues te afectan porque tienes que garantizarles que puedan ejercerlos y darles una respuesta en caso de que lo hagan.
El Reglamento europeo de Protección de Datos sigue reconociendo los derechos ARCO:
- Acceso
- Rectificación
- Cancelación
- Oposición
Y se añaden otros derechos específicos como:
Debes asegurarte de que puedes responder adecuadamente a las solicitudes que puedas recibir de tus clientes
El Delegado de Protección de Datos
El RGPD introduce una nueva figura: el Delegado de Protección de Datos (DPO).
Digamos que el DPO o DPD es aquella persona que va a supervisar el cumplimiento de la normativa de protección de datos y ha asesorarte en cualquier cuestión relacionada con esta materia. También el que, en caso de inspección de la AEPD, actuará de intermediario.
Sólo algunas empresas están obligadas a contratar en DPO.
En concreto, será obligatorio contar con un Delegado de Protección de Datos en los siguientes casos:
- Si el responsable o encargado del tratamiento es un organismo público, con la excepción de los tribunales que los usen para el ejercicio de sus funciones.
- Actuaciones llevadas a cabo por responsables o encargados del tratamiento que requieren la observación continua y sistemática de datos a gran escala
- Actividades de tratamiento que requieren el tratamiento de categorías especiales de datos a gran escala.
Verifica si cumples con las principales obligaciones del R.G.P.D.
El cumplimiento de las normativas sobre protección de datos (LOPD y RGPD) es imprescindible para todas las empresas. Pero, ¿cómo verificar si te has adaptado bien a las nuevas exigencias de la ley? Te damos algunas de las claves a tener en cuenta.
Identifica la base jurídica de los tratamientos que se realizan
Uno de los primeros pasos a dar en el cumplimiento del RGPD en empresas es identificar la base jurídica que justifica el tratamiento de datos. Será lícita en los siguientes casos:
- Se ha obtenido consentimiento.
- Existe una relación contractual.
- Se refieren a derechos fundamentales del interesado o terceras personas.
- Su tratamiento es una obligación legal para el responsable.
- Son datos de interés público.
- Son imprescindibles para el ejercicio de poderes públicos.
- Intereses legítimos del responsable o de terceros, que prevalecen sobre los derechos de la persona objeto del tratamiento.
Si has obtenido los datos de acuerdo a alguna de estas bases legales, estás en tu derecho para tratarlos. En caso contrario, estarás cometiendo una irregularidad.
Chequea el suministro de información a los interesados
El RGPD UE obliga a los responsables a informar a los interesados sobre las condiciones del tratamiento, así como de las vías para ejercer sus derechos ARCO. Esta información se debe proporcionar de forma concisa e inteligible, con un lenguaje claro, transparente y en un medio de fácil acceso.
Para ello, se recomienda evitar los textos farragosos y complicados de entender, o las fórmulas que remiten al usuario a los textos legales.
También es aconsejable ir al grano, informar inmediatamente sobre el contenido al que se refieren, sin dar rodeos o hablar de temas accesorios.
La explicación debe ser lo más clara y accesible posible, facilitando que sea comprensible para cualquier persona, independientemente de sus conocimiento sobre protección de datos.
La información básica que se debe proporcionar a los interesados es la siguiente:
- Base jurídica del tratamiento (ver punto anterior).
- Datos del Delegado de Protección de Datos o DPO (si lo hubiera).
- Intención de realizar un tratamiento de datos a nivel internacional.
- Elaboración de perfiles.
Establece un registro actualizado de actividades de tratamiento
Las obligaciones del RGPD en protección de datos también prevé el registro de las actividades del tratamiento. Para cumplir con esta exigencia toda empresa debería contar con un registro actualizado en el que figure la siguiente información:
- Identidad del responsable o encargado del tratamiento, y del DPO si lo hubiera.
- Finalidad del tratamiento.
- Separación por categorías de los datos personales tratados y de las personas objetivo del tratamiento (por ejemplo, diferentes ficheros con proveedores, clientes, videovigilancia, etc).
- Transferencias de datos internacionales.
Las empresas con menos de 250 trabajadores no están obligadas a llevar un registro del tratamiento, salvo que supongan un riesgo para los interesados.
Prevé el ejercicio de derechos de los interesados
Ten en cuenta que el RGPD establece que los interesados deben poder ejercer sus derechos (acceso, rectificación, cancelación, oposición, supresión, portabilidad) de forma sencilla. Es decir, como responsable debes proporcionar mecanismos visibles y fácilmente accesibles.
Además, debes garantizar que la persona ejerza sus derechos a través de medios electrónicos, sobre todo si el tratamiento se ha realizado por estos medios.
No olvides que el ejercicio de estos derechos debe ser totalmente gratuito. Solo existen algunos casos en los que se puede cobrar una tasa al interesado:
- Si las solicitudes son excesivas o infundadas.
- En caso de que las solicitudes sean constantes y supongan un coste administrativo elevado para el responsable.
Por otro lado, debes informar al interesado de las decisiones que vas a tomar, y argumentar tu respuesta en caso de negativa. Todo ello en un plazo máximo de un mes desde la solicitud.
Cuenta con las medidas de seguridad que garanticen la integridad de la información
Tal y como señala el Reglamento General de Protección de Datos, los responsables y encargados del tratamiento deben establecer las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos.
Debes realizar un estudio previo que determine los riesgos existentes. En base a ello podrás establecer medidas en base a diferentes criterios:
- Coste de los medios técnicos.
- Coste de su implantación.
- Naturaleza de los datos, alcance y finalidad del tratamiento.
- Riesgos que supone para los derechos y libertades del individuo.
En caso de producirse una violación en la seguridad de los datos debes notificar a la autoridad competente en un plazo máximo de 72 horas desde que se produjo la brecha de seguridad.
La información que debes presentar a las autoridades de seguridad y control es:
- Naturaleza o características de la violación de seguridad
- Categorías de datos afectados.
- Interesados afectados.
- Medidas que has adoptado para solucionar la situación.
- Medidas que has adoptado para paliar las posibles consecuencias de la brecha de seguridad en los interesados.
Comprueba las relaciones con los prestadores de servicios de protección de datos
Si los datos de tus clientes son manejados por un prestador de servicios, has de tener en cuenta una serie de cuestiones.
El RGPD define al encargado de protección de datos como la persona física o jurídica encargada de procesar la información personal de los interesados en nombre de un responsable.
Es decir, el encargado realizará el tratamiento de los datos en tu nombre.
OK, pero tú eres el responsable.
Es importante firmar un contrato en el que se determinen las pautas a seguir. El encargado del tratamiento solo puede procesar los datos en base a las instrucciones fijadas por contrato.
Por tanto, establecer unas bases sólidas en el contrato puede servir para eximir de responsabilidades al responsable en caso de que el encargado haya cometido alguna irregularidad o no haya actuado según lo pactado.
Infracciones y sanciones por incumplimiento del Reglamento Europeo de Protección de Datos
En el Reglamento General de Protección de Datos se establece un régimen sancionador con importantes sanciones económicas, pudiendo alcanzar incluso el 4% del volumen anual de facturación de una compañía o los 20 millones de euros en los casos más graves.
Por eso no debemos tomárnoslo a broma.
Además de las sanciones económicas, el nuevo RGPD prevé tres medidas adicionales:
- Advertencia.
- Amonestación.
- Suspensión del tratamiento de datos.
La autoridad competente para la imposición de sanciones será la Agencia Española de Protección de Datos (AEPD).
Otra novedad muy importante es la posibilidad de que el perjudicado pueda solicitar una indemnización, algo que no contemplaba la anterior LOPD.
No existen exclusiones ni excepciones para los autónomos o pequeñas empresas.
Así que ponte las pilas.
Y empieza cuanto antes la adaptación a la Ley de Protección de Datos.
¿Necesitas cumplir el RGPD?
Ejemplos de multas a empresas, desde su implantación el 25 de mayo de 2018
La misma Agencia de Protección de Datos te lo pone fácil para adaptarte a la normativa gracias a su herramienta Facilita RGPD. A pesar de ello, no son pocas las empresas que han caído en irregularidades y que ya se han llevado sanciones por no cumplir el RGPD.
Una de las que ya ha sufrido estas consecuencias es la todopoderosa Google, que en 2019 se llevaba una multa de 50 millones de euros por parte de la autoridad francesa de protección de datos. ¿El motivo? Que la información facilitada a los usuarios no era fácilmente accesible ni sencilla de entender.
Otra de las mayores sanciones es la que se le ha impuesto en Alemania a la inmobiliaria Deutsche Wohnen. Ni más ni menos que 14,5 millones de euros tuvo que pagar por no respetar el plazo de conservación y guardar los datos de clientes durante más tiempo del necesario.
Mayo es todavía la sanción que recibió la cadena hotelera Marriott, a causa de una vulnerabilidad en su sistema que expuso los datos de tarjetas de crédito de casi 9 millones de clientes. La multa que le impuso la Oficina del Comisionado de Información de Reino Unido fue de 110 millones de euros.
Sin embargo, la que se lleva la palma es la sanción de 204 millones de dólares que la autoridad de protección de datos del Reino Unido impuso a British Airways después de que el grupo hacker Magecart le consiguiera robar datos de más de 500.000 clientes.
Estas multas millonarias son un ejemplo de lo grave que puede llegar a ser una infracción del Reglamento General de Protección de Datos. ¿A qué esperas para ponerte al día y cumplir la normativa?