Adaptación de pymes y autónomos al Reglamento General de Protección de Datos de 25 de mayo de 2016 (en adelante RGPD), que desarrolla, sustituye parcialmente y armoniza a nivel europeo la legislación en materia de protección de datos de carácter personal regulada hasta ahora en España por la LOPD de 1999.
El próximo 25 de mayo, transcurridos dos años desde la promulgación del RGPD, este pasa a ser aplicable y exigible en todos los países de la Unión, lo cual supone algunos cambios respecto de las obligaciones que marcaba la LOPD. Actualmente se trabaja en la adaptación de la LOPD al nuevo reglamento europeo.
El tejido empresarial español está constituido por una abrumadora mayoría de pymes, micropymes y autónomos sin empleados. Pero ¿cómo afecta la LOPD y el RGPD a este colectivo? ¿Están obligados de alguna manera a adaptar su forma de trabajar a esta normativa? Evidentemente, así es. Todas las personas físicas o jurídicas que acopien, utilicen o traten datos de terceros están sujetos a la regulación sobre Protección de Datos de Carácter Personal, aunque la forma en que les afecta dependerá de la sensibilidad de los datos tratados, de la actividad y tamaño de la empresa y del uso que se haga de los datos.
En cuanto a los trabajadores autónomos y cómo les afecta la legislación en esta materia, podemos distinguir tres casos:
Autónomo administrador de una S.L. o S.A.: en este caso el autónomo, a nivel personal no tiene obligación de cumplir con la LOPD, pero sí su empresa, por lo que, como administrador de ésta, tendrá que velar para que cumpla con la LOPD.
Autónomo con actividad empresarial y trabajadores a cargo: tendrá que cumplir con la LOPD, al ser el responsable de los datos de carácter personal de sus empleados, además de los de sus clientes y proveedores.
Autónomo con actividad empresarial sin trabajadores a su cargo: se evaluará la naturaleza del negocio y si trata datos de clientes o proveedores, de qué tipo son y si deben o no estar organizados en ficheros. Si no existen ficheros, son pocas las medidas a adoptar en materia de Protección de Datos, pero si sus clientes son personas particulares, de las cuales se recaben datos básicos, es muy probable que tenga que revisar cierta documentación y elaborar un Documento de Seguridad para cumplir con la LOPD y el RGPD.
A modo de resumen, podemos decir que los autónomos y pymes que sólo tratan con datos básicos de clientes, proveedores, trabajadores, etc y que no operan en alguno de los sectores más sensibles ni realizan tratamientos de datos delicados cumplirían con la LOPD y el RGPD realizando las siguientes actuaciones:
1.- Incluyendo determinadas cláusulas informativas en sus formularios (tanto en papel como en la web) por los que se recaben datos personales.
2.- Incorporando a los contratos suscritos con empresas de servicios determinadas cláusulas habilitándolas al tratamiento de los datos necesarios para la prestación del servicio.
3.- Llevando un registro de las actividades de tratamiento de datos.
4.- Adoptando medidas organizativas y técnicas de seguridad en el tratamiento de datos personales.
5.- Redactando y aprobando un Documento de Seguridad en la Protección de Datos de Carácter Personal.
A los efectos de lo anteriormente indicado, Se consideran datos básicos y poco sensibles los de identificación y contacto y especialmente sensibles los siguientes: datos relativos a etnia o raza, datos sobre tendencias políticas o religión, sobre afiliación sindical, datos genéticos, biométricos, de salud física o mental, relativos a la vida u orientación sexual, relativos a condenas o antecedentes penales y datos de geolocalización.
Se consideran sectores de actividad sensibles los siguientes: sanidad, solvencia patrimonial y crédito, generación y uso de perfiles, actividades políticas, sindicales o religiosas, servicios de telecomunicaciones, seguros, entidades financieras, de servicios sociales, publicidad y videovigilancia masiva.
Se consideran tratamientos de datos delicados o sensibles los siguientes: hacer o analizar perfiles, hacer publicidad y prospección comercial masiva, prestar servicios de explotación de redes públicas o servicios de comunicación electrónica, gestionar asociados o miembros de entidades u organizaciones con finalidades políticas, filosóficas, religiosas o sindicales; gestión, control sanitario o venta de medicamentos y gestión de historiales clínicos o sanitarios.
Principios y normas en la Protección de Datos.
El Tribunal Constitucional, en su sentencia 292/2000, de 30 de noviembre, ponía énfasis en la importancia de este derecho fundamental a la protección de nuestros datos, denominándolo derecho de autodeterminación informativa o de libre disponibilidad de los datos de carácter personal. De esta manera, en dicha sentencia se dice que este derecho fundamental «persigue garantizar a esa persona el poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado’, estableciendo que ‘el objeto de protección del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por tercero pueda afectar a sus derechos sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está la protección que el artículo 18. 1 CE otorga, sino los datos de carácter personal».
Los aspectos normativos más relevantes en el desarrollo de la protección de datos son los siguientes:
Principios relativos a la Calidad de datos (artículos 4 LOPD y 8 RLOPD).
Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.
Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.
Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.
Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16 (derechos de rectificación y cancelación).
Cuando los datos hubieran sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviera el tratamiento de los datos deberá proceder a la rectificación y cancelación notificada.
Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento íntegro de determinados datos.
También podrán conservarse los datos durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de la una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Una vez cumplido este período los datos sólo podrán ser conservados previa disociación de los mismos, sin perjuicio de la obligación de bloqueo prevista en la LOPD y en su reglamento de desarrollo.
Los datos de carácter personal serán almacenados de forma que permitan el ejercicio del derecho de acceso, salvo que sean legalmente cancelados.
Se prohíbe la recogida de datos por medios fraudulentos, desleales o ilícitos.’
2.- Derecho de información en la recogida de datos. Art. 5.
Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.
2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.
3. No será necesaria la información a que se refieren las letras b), c) y d) del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban.
Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a), d) y e) del apartado 1 del presente artículo.
3.- Consentimiento del afectado. Art.6.
El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Además, ha de ser libre, informado y específico.
No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.
Las empresas deberán revisar la forma en la que obtienen y guardan el consentimiento.
Actualmente existen prácticas que se encuadran en el llamado consentimiento tácito y que son aceptadas con la actual normativa pero dejarán de serlo cuando el Reglamento sea de aplicación.
Para poder considerar que el consentimiento es “incuestionable”, el Reglamento requiere que haya una declaración de los interesados o una acción positiva que apunte al acuerdo del interesado.
Por tanto, el consentimiento tiene que ser verificable y quienes recopilen datos personales deben poder probar que el afectado les concedió su consentimiento.
4.- Comunicación de datos.
Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado, sin perjuicio de lo establecido en el artículo 11.2 de las LOPD. Dicho consentimiento será revocable.
Está terminantemente prohibido enviar datos personales a países situados fuera del Espacio Económico Europeo que no ofrezcan protección a los mismos. Si no hubiera garantía, la transferencia estaría limitada con cláusulas contractuales.
5.- Deber de colaboración con la Agencia Española de Protección de Datos.
Entre las funciones que el artículo 37 de la LOPD atribuye a la Agencia Española de Protección de Datos se encuentra la de velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos (artículo 37.1.a), así como las de:
Requerir a los responsables y los encargados del tratamiento, previa su audiencia, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de la LOPD y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones (artículo 37.1.f).
Recabar de los responsables de los ficheros cuanta ayuda e información estime necesaria para el desempeño de sus funciones (artículo 37.1.g).
Ejercer la potestad sancionadora en los términos previstos en la LOPD (artículo 37.1.g).-
6.- Artículo 10. Deber de secreto.
El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo».
7.-Atención de los derechos de los ciudadanos
La LOPD establece como derechos de los ciudadanos de carácter personalísimo, cuyo ejercicio habrá de hacerse efectivo por los responsables del tratamiento de los datos, los siguientes:
Derecho de acceso
Derecho de rectificación y cancelación
Derecho de oposición
Es competencia de la Agencia Española de Protección de Datos la tutela de los derechos de acceso, rectificación, cancelación y oposición (ARCO).
El nuevo reglamento europeo añade a estos derechos los siguientes:
Derecho al olvido. Es el derecho que tienen los ciudadanos a solicitar, y conseguir de los encargados, que los datos personales sean suprimidos cuando estos ya no sean necesarios para el fin para el que fueron reunidos, cuando se haya revocado el consentimiento o cuando estos se hayan obtenido de forma ilegal.
Derecho a la portabilidad. Implica que el interesado que haya proporcionado sus datos a un responsable que los esté tratando de forma digitalizada podrá requerir recobrar esos datos en un formato que le permita su traslado a otro responsable.
8.-Inscripción de ficheros
De conformidad con lo dispuesto en el artículo 55 del RLOPD, todo fichero de datos de carácter personal de titularidad pública o privada, con excepción de aquellos ficheros que están expresamente excluidos de la aplicación de la LOPD en su artículo 2.2, como los ficheros mantenidos por las personas físicas en el ejercicio de actividades exclusivamente personales o domésticas (p.e.: agendas de familiares y amigos, ficheros de fotografías personales), serán notificados a la Agencia Española de Protección de Datos para su inscripción en el Registro General de Protección de Datos.
Sin embargo, el nuevo reglamento RGPD elimina a partir del 25 de mayo de 2018 esa obligación.
9.-Medidas de seguridad
El principio de seguridad de datos establecido en el artículo 9 de la Ley Orgánica 15/1999, impone al responsable del fichero adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado.
Notificación de violaciones de seguridad
La nueva normativa exige que las violaciones en la seguridad que puedan afectar a los datos personales sean notificadas en un plazo máximo de 72 horas a la Agencia Española de Protección de Datos.
Si además por esa violación se pueden ver afectados datos de carácter sensible y con gran repercusión a los afectados, también se lo deberá notificar a estos mismos.
10.- Sensibilidad de los datos.
Los datos objeto de protección se clasifican en tres niveles en función del nivel de la información que recojamos de nuestros clientes y/o usuarios:
Nivel básico: datos identificativos, como nombre, apellidos, dirección, teléfono, NIF, número de afiliación a la Seguridad Social, , firma, imagen, e-mail, nombre de usuario, número de tarjeta, matrícula, etc…
Nivel medio: datos a cerca de infracciones administrativas o penales, solvencia o crédito, datos tributarios o de la Seguridad Social, datos de prestación servicios financieros, y datos referentes a la personalidad o comportamiento de las personas, como gustos, costumbres aficiones etc…
Nivel alto: datos a cerca de ideología, religión, creencia, origen racial, salud, vida sexual o violencia de género.
11.- Sanciones.
Según la Ley 2/2011, de 4 de marzo de Economía Sostenible, sobre la LOPD, artículo 45, que modificó algunos puntos de la Ley Orgánica 15/1999 de Protección de Datos, los importes de las sanciones se han reducido y quedan de la siguiente manera:
Las infracciones leves serán sancionadas con multas de 900 a 40.000€.
Las infracciones graves serán sancionadas con multas de 40.001 a 300.000€.
Las infracciones muy graves serán sancionadas con multas de 300.001 a 600.000€.
No obstante, el nuevo RGPD establece sanciones que pueden llegar hasta los 20 millones de € o el 4% de la facturación anual.
12.- Nuevas obligaciones
El nuevo RGPD supone un mayor compromiso de las empresas y organizaciones con la Protección de Datos, plasmado en los siguientes aspectos.
Rendición de cuentas
Se amplía la información que se les debe dar a los interesados en relación con el tratamiento de sus datos así como a sus derechos en esta materia.
Se incorpora el concepto de privacidad desde el diseño, lo cual se traduce en que la elaboración de los procedimientos empresariales se tiene que realizar teniendo en cuenta la protección de datos desde un primer momento.
Registro de las actividades de tratamiento
La nueva normativa, elimina la obligación de registrar los ficheros ante la Autoridad de Control correspondiente, pero a cambio obliga a llevar un registro interno de todos los tratamientos de datos personales que lleva a cabo la entidad, siempre que esta tenga más de 250 empleados o cuando se traten, no de forma ocasional, datos sensibles.
Responsabilidad proactiva
También llamada Accountability, hace referencia a la necesidad de prevención por parte de las organizaciones que manejan datos personales.
Las empresas y entidades deben adoptar medidas que garanticen de manera suficiente que están en condiciones de cumplir con las reglas, derechos y garantías que el Reglamento establece, anticipándose a las vulnerabilidades y riesgos en la materia. Actuar únicamente cuando ya ha tenido lugar la infracción no es suficiente como estrategia, debido a que esa infracción puede ocasionar daños difíciles de reparar o compensar.
Para ello todas las organizaciones que tratan datos deben efectuar un análisis de riesgo de sus tratamientos para poder establecer qué medidas han de aplicar y cómo hacerlo, en función de la sensibilidad de los datos tratados y del volumen o singularidades de los tratamientos.
Las Evaluaciones de Impacto son la principal medida de responsabilidad proactiva. Se trata de un análisis de los riesgos previos que puede conllevar un determinado sistema de información, producto o servicio al derecho a la protección de datos personales.
Delegado de Protección de Datos
Se trata de una nueva figura de responsabilidad dentro de la entidad y se encargará de la planificación de las medidas de seguridad aplicables a los tratamientos de datos. así como la gestión de los mismos.
Están obligadas a contar con un Delegado de Protección de Datos las siguientes organizaciones:
Todas las autoridades y organismos públicos.
Las empresas o entidades, cuya actividad principal, sea realizar un seguimiento sistemático y a gran escala de las personas.
Aquellas empresas o entidades que procesen categorías especiales de datos que revelen los datos genéticos, datos biométricos, ideológicos, religiosos, etc.