La protección de datos forma parte de la actividad diaria de cualquier empresa
Nombres y apellidos, teléfonos, direcciones de correo electrónico, cuentas bancarias, currículums, nóminas, facturas o imágenes de videovigilancia son solo algunos ejemplos de información personal que una empresa puede tratar diariamente.
Por esta razón, la protección de datos no debe considerarse únicamente una cuestión documental que se resuelve una vez y se archiva.
El RGPD exige aplicar un principio de responsabilidad proactiva: cada organización debe conocer los tratamientos de datos que realiza, evaluar sus riesgos y adoptar las medidas necesarias para poder demostrar que cumple correctamente la normativa. La propia AEPD incluye entre estas obligaciones el análisis de la licitud, el registro de actividades, la evaluación de riesgos, la seguridad, la gestión de derechos, los contratos con encargados y los procedimientos frente a brechas.
1. Saber qué datos personales utiliza la empresa
El primer paso consiste en conocer qué información se está tratando.
Una empresa debería poder responder fácilmente a preguntas como:
- ¿Qué datos personales recogemos?
- ¿De quién proceden?
- ¿Para qué los utilizamos?
- ¿Dónde se almacenan?
- ¿Quién puede acceder a ellos?
- ¿Con qué proveedores se comparten?
- ¿Durante cuánto tiempo los conservamos?
- ¿Qué hacemos con ellos cuando dejan de ser necesarios?
Esta identificación permite detectar tratamientos que quizá llevan años realizándose sin haber sido revisados.
El Registro de Actividades de Tratamiento
Una de las herramientas fundamentales para organizar esta información es el Registro de Actividades de Tratamiento (RAT).
En él se documentan los diferentes tratamientos realizados por la organización, como pueden ser gestión de clientes, recursos humanos, proveedores, videovigilancia o comunicaciones comerciales.
Entre otra información, puede recoger las finalidades, categorías de interesados y datos, destinatarios, plazos de supresión y una descripción general de las medidas de seguridad.
El registro no debería tratarse como un documento estático: debe reflejar cómo funciona realmente la organización.
2. Recoger únicamente los datos necesarios
Uno de los principios fundamentales del RGPD es la minimización de datos.
Esto significa que las empresas deberían recoger únicamente aquella información que resulte adecuada y necesaria para la finalidad prevista.
Por ejemplo, si para responder a una consulta mediante un formulario basta con conocer el nombre, correo electrónico y mensaje del usuario, solicitar además DNI, dirección postal o fecha de nacimiento puede resultar innecesario.
Cuanta más información almacena una organización, mayor puede ser también el impacto de una eventual brecha de seguridad.
La protección de datos por defecto exige precisamente limitar la cantidad de información recopilada, la extensión del tratamiento, el periodo de conservación y las personas que pueden acceder a ella.
3. Tener una base jurídica para utilizar los datos
No basta con que una empresa disponga de determinada información.
Debe existir una base jurídica que permita su tratamiento.
Dependiendo de la situación, el tratamiento puede estar basado, por ejemplo, en:
- La ejecución de un contrato.
- El cumplimiento de una obligación legal.
- El consentimiento del interesado.
- Un interés legítimo correctamente valorado.
- Otras bases previstas por la normativa.
No todos los tratamientos requieren consentimiento, pero tampoco puede utilizarse un dato para cualquier finalidad simplemente porque la empresa ya lo tenga.
La finalidad para la que se recogen los datos debe estar claramente definida desde el principio.
4. Informar correctamente a las personas
Cuando se recogen datos personales, los interesados deben recibir determinada información sobre su tratamiento.
Entre otras cuestiones, deben poder conocer:
- Quién es el responsable.
- Para qué se utilizarán sus datos.
- Qué base jurídica permite el tratamiento.
- Durante cuánto tiempo se conservarán.
- Si se comunicarán a terceros.
- Cómo pueden ejercer sus derechos.
Por ello, los formularios web, contratos, formularios de empleados y otros sistemas de recogida de información deben disponer de cláusulas adaptadas al tratamiento que realmente se está realizando.
Copiar una política genérica de Internet o utilizar textos que no se correspondan con la actividad real de la empresa no garantiza el cumplimiento de la normativa.
5. Controlar quién puede acceder a la información
Uno de los errores más comunes consiste en permitir que demasiadas personas tengan acceso a datos que realmente no necesitan para desarrollar su trabajo.
Los permisos deberían concederse siguiendo el principio de mínimo privilegio.
Esto significa que cada trabajador debería poder acceder únicamente a la información necesaria para desempeñar sus funciones.
Además, resulta conveniente adoptar medidas como:
- Utilizar cuentas individuales.
- Evitar usuarios compartidos.
- Emplear contraseñas robustas.
- Activar autenticación multifactor siempre que sea posible.
- Bloquear accesos cuando un trabajador abandone la empresa.
- Mantener los sistemas actualizados.
- Cifrar información especialmente sensible cuando proceda.
- Realizar copias de seguridad.
Las medidas concretas deben determinarse teniendo en cuenta los riesgos de cada tratamiento y no mediante una lista idéntica para todas las organizaciones. La AEPD señala precisamente que las medidas de seguridad deben revisarse en función del análisis de riesgos realizado.
6. Revisar a los proveedores que acceden a datos personales
Una empresa puede cumplir internamente con numerosas medidas y, sin embargo, exponer información mediante un proveedor externo mal gestionado.
Asesorías laborales, empresas informáticas, proveedores de hosting, plataformas de correo electrónico, servicios en la nube, software de gestión o empresas de videovigilancia pueden acceder a datos personales por cuenta de la organización.
Cuando un proveedor actúa como encargado del tratamiento, debe existir la correspondiente relación contractual conforme al RGPD y el responsable debe seleccionar proveedores que ofrezcan garantías suficientes.
Por ello, antes de utilizar una nueva plataforma o servicio deberían analizarse también sus implicaciones en protección de datos.
7. Mantener actualizada la documentación
La empresa cambia y su documentación de privacidad debe cambiar con ella.
Pueden incorporarse:
- Nuevas páginas web.
- Formularios.
- Aplicaciones.
- Cámaras de videovigilancia.
- Sistemas de control horario.
- Servicios en la nube.
- Herramientas de inteligencia artificial.
- Nuevos proveedores.
- Campañas comerciales.
- Nuevos departamentos.
Cada cambio puede modificar la forma en que se tratan datos personales.
Por ello, deben revisarse cuando corresponda:
- El Registro de Actividades de Tratamiento.
- Las cláusulas informativas.
- La política de privacidad.
- Los contratos con encargados.
- Los procedimientos de ejercicio de derechos.
- Los plazos de conservación.
- Los análisis de riesgos.
- Las medidas de seguridad.
Una documentación preparada hace años y nunca revisada puede haber dejado de representar completamente el funcionamiento real de la empresa.
Prepararse para una brecha de seguridad
Incluso una organización con buenas medidas preventivas puede sufrir un incidente.
Un trabajador puede enviar un archivo al destinatario equivocado, una contraseña puede ser comprometida o un dispositivo puede perderse.
Por ello, las empresas deberían contar con un procedimiento para:
- Detectar el incidente.
- Contenerlo.
- Identificar los datos afectados.
- Analizar sus consecuencias.
- Documentar lo sucedido.
- Determinar si debe notificarse a la AEPD.
- Determinar si deben ser informadas las personas afectadas.
Cuando una brecha supone un riesgo para los derechos y libertades de las personas, el responsable debe notificarla a la autoridad de control y dispone, siempre que sea posible, de un máximo de 72 horas desde que tiene constancia de ella.
La formación de los trabajadores también es una medida de seguridad
Muchos incidentes no se producen porque falle la tecnología, sino porque una persona comete un error.
Por ello, los trabajadores que manejan datos personales deberían conocer al menos:
- Qué información pueden consultar.
- Qué información no deben compartir.
- Cómo utilizar correctamente el correo electrónico.
- Cómo detectar intentos de phishing.
- Cómo actuar ante un posible incidente.
- A quién deben informar cuando observan algo extraño.
Un procedimiento de seguridad que nadie conoce difícilmente será efectivo cuando aparezca un problema.
Cumplir el RGPD no consiste únicamente en tener documentos
La protección de datos debe formar parte del funcionamiento cotidiano de la organización.
La AEPD dispone de recursos específicos para pymes y profesionales, entre ellos FACILITA_RGPD, orientada a determinados tratamientos de bajo riesgo y capaz de ayudar a generar documentación inicial como registros de actividades, cláusulas informativas y contratos con encargados. La propia Agencia advierte, no obstante, de que generar esos documentos no implica automáticamente que una empresa esté cumpliendo correctamente el RGPD: deben adaptarse y mantenerse actualizados según los tratamientos reales.
Conocer la información que manejamos, reducir los datos innecesarios, controlar los accesos, revisar los proveedores y mantener procedimientos actualizados permite reducir riesgos y demostrar una gestión responsable.
La protección de datos no debería entenderse únicamente como una obligación legal. También constituye una forma de proteger a clientes, trabajadores y colaboradores y reforzar la confianza que depositan en la organización.