Protección de datos para empresas en Valencia

La antigua Ley Orgánica 15/1999 fue sustituida por el RGPD y por la Ley Orgánica 3/2018.

Aunque muchas personas continúan utilizando la expresión “LOPD” para referirse genéricamente a la protección de datos, las empresas deben adaptar su documentación y sus procedimientos al RGPD y a la actual LOPDGDD.

Deben cumplirlo quienes traten datos personales dentro de su actividad. Esto incluye, entre otros, datos de clientes particulares, trabajadores, candidatos, proveedores individuales, contactos profesionales o usuarios de una página web.

Las obligaciones concretas dependerán del volumen de información, la finalidad del tratamiento, las categorías de datos, la tecnología utilizada y el riesgo para las personas afectadas.

Una pequeña empresa que utiliza nombres, teléfonos y correos electrónicos no necesita necesariamente las mismas medidas que una entidad que trata datos de salud o realiza una observación sistemática de usuarios.

No. Con la aplicación del RGPD desapareció la obligación de inscribir los ficheros en el Registro General de Protección de Datos de la AEPD.

Actualmente, la empresa debe mantener internamente un registro de actividades de tratamiento cuando resulte exigible. Este documento identifica los tratamientos realizados, sus finalidades, las categorías de datos e interesados, los destinatarios, los plazos de conservación y las medidas de seguridad aplicables.

El alcance dependerá de cada empresa, pero normalmente puede requerir:

• Inventario de tratamientos de datos.
• Análisis de las bases jurídicas.
• Registro de actividades de tratamiento.
• Cláusulas informativas.
• Política de privacidad.
• Contratos con encargados del tratamiento.
• Compromisos de confidencialidad.
• Procedimientos para atender derechos.
• Política de conservación y eliminación.
• Protocolo de gestión de brechas.
• Análisis de riesgos.
• Revisión de la página web y las cookies.
• Evaluación sobre la necesidad de designar un delegado de protección de datos.

La documentación debe adaptarse a la actividad y no limitarse a modelos genéricos.

No. El consentimiento es una de las bases que pueden legitimar el tratamiento, pero no es la única.

Según el caso, el tratamiento también puede basarse en la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, el cumplimiento de una misión realizada en interés público o la existencia de un interés legítimo que haya sido correctamente analizado.

Por ejemplo, el tratamiento de determinados datos de trabajadores puede ser necesario para ejecutar el contrato laboral o cumplir obligaciones legales, sin que el consentimiento sea la base adecuada.

Es la persona o empresa que trata datos personales por cuenta de otra organización.

Pueden actuar como encargados del tratamiento, según el servicio prestado:

• Gestorías y asesorías.
• Proveedores de alojamiento web.
• Empresas de mantenimiento informático.
• Plataformas de gestión empresarial.
• Servicios de almacenamiento en la nube.
• Empresas de marketing.
• Sistemas de videovigilancia.
• Servicios de destrucción documental.

La relación debe regularse mediante un contrato que reúna los requisitos del artículo 28 del RGPD. La empresa también debe comprobar que el proveedor ofrece garantías adecuadas para proteger la información.

Según las características de la web, pueden ser necesarios:

• Aviso legal.
• Política de privacidad.
• Política de cookies.
• Información en formularios.
• Condiciones de contratación.
• Información sobre comunicaciones comerciales.
• Sistema de configuración y consentimiento de cookies.

Los textos deben corresponder con la identidad de la empresa, los formularios utilizados, las herramientas instaladas, los proveedores que reciben datos y las finalidades reales del tratamiento.

No es suficiente copiar la política de otra página o utilizar un documento que no refleje las herramientas instaladas.

Primero debe identificar qué cookies utiliza, quién las instala, para qué sirven y durante cuánto tiempo permanecen activas.

Las cookies que no sean necesarias requieren, con carácter general, una gestión adecuada del consentimiento antes de ser instaladas. El usuario debe poder aceptar, rechazar o configurar las categorías disponibles mediante información clara y accesible.

La política de cookies y el panel de configuración deben coincidir con el funcionamiento real de la página.

La empresa puede tratar los datos necesarios para gestionar la relación laboral y cumplir sus obligaciones legales. No obstante, debe informar al trabajador sobre el tratamiento y limitar el acceso a la información.

También deben revisarse cuestiones como:

• Nóminas y contratos.
• Control horario.
• Cámaras de videovigilancia.
• Sistemas de geolocalización.
• Correo electrónico corporativo.
• Teletrabajo.
• Control de dispositivos.
• Publicación de imágenes.
• Prevención de riesgos.
• Acceso de la asesoría laboral a los datos.

Las medidas de control empresarial deben respetar los derechos de los trabajadores y cumplir los requisitos de información, necesidad y proporcionalidad.

No. El delegado de protección de datos solo es obligatorio en determinados supuestos establecidos por el RGPD y la LOPDGDD.

Para determinarlo debe revisarse la actividad de la organización, el tipo y volumen de datos, la existencia de observación sistemática y el tratamiento a gran escala de categorías especiales, además de los sectores expresamente incluidos en la normativa.

Cuando su designación sea obligatoria, la empresa debe garantizar su independencia, facilitarle los recursos necesarios y comunicar el nombramiento a la autoridad de control correspondiente.

Es un análisis previo que debe realizarse cuando un tratamiento pueda generar un alto riesgo para los derechos y libertades de las personas.

Puede resultar necesaria, entre otros casos, cuando se utilizan nuevas tecnologías, se tratan categorías especiales de datos a gran escala, se realiza una evaluación sistemática de personas o se desarrolla una vigilancia intensiva.

Antes de iniciar el tratamiento debe analizarse su necesidad, proporcionalidad, riesgos y medidas previstas para reducirlos.

Debe actuar inmediatamente para contener el incidente, determinar qué información se ha visto afectada y valorar el riesgo para las personas.

Todas las brechas deben documentarse. Cuando exista un riesgo para los derechos y libertades de los afectados, debe notificarse a la autoridad de control sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes a tener constancia.

Si el riesgo es alto, también puede ser necesario comunicar el incidente a las personas afectadas. La decisión debe tomarse después de analizar el alcance de la brecha y las medidas aplicadas.

Debe identificar al solicitante, comprobar qué derecho quiere ejercer y localizar los datos relacionados con la petición.

La respuesta debe prepararse dentro del plazo aplicable y explicar si la solicitud ha sido atendida, limitada o denegada. No todas las solicitudes de supresión obligan a eliminar inmediatamente toda la información, porque pueden existir obligaciones legales o motivos que justifiquen su conservación.

Resulta conveniente disponer de un procedimiento interno que indique quién recibe las solicitudes, cómo se registran y qué departamentos deben intervenir.

Sí. Revisamos la comunicación recibida, los hechos denunciados, la documentación disponible y los tratamientos relacionados con la reclamación.

Según el estado del expediente, la actuación puede comprender:

• Preparación de la respuesta.
• Aportación de documentación.
• Formulación de alegaciones.
• Revisión de las medidas adoptadas.
• Subsanación de posibles deficiencias.
• Interposición de los recursos que correspondan.

La estrategia debe adaptarse al procedimiento y a la situación concreta de la empresa.

No. El cumplimiento debe revisarse cuando cambian los tratamientos, proveedores, programas, formularios, finalidades o medidas de seguridad.

También conviene realizar revisiones periódicas para comprobar si la documentación continúa coincidiendo con la actividad real y si se han aplicado las medidas previstas.

Una adaptación realizada hace años puede quedar desactualizada aunque la empresa conserve todos los documentos originales.