Tanto las pymes como los autónomos tienen la obligación de cumplir con la Ley de Protección de Datos (LOPD) cuando recopilen información de carácter personal que pueda servir para identificar a una persona física. Su incumplimiento puede conllevar sanciones económicas, además de dañar la imagen de tu negocio, por lo que es fundamental que sepas en qué consiste y cómo aplicarla correctamente.
El objetivo de la LOPD es garantizar la adecuada protección y tratamiento de los datos personales que recopilen las empresas, ya sea de manera automatizada o no, asegurándose de que no serán utilizados para fines diferentes a aquellos para los cuales fueron recogidos. Para ello se establecen tres niveles de seguridad:
Básico. Se trata de datos identificativos como el nombre y los apellidos, dirección postal, número de teléfono, correo electrónico, NIF, número de seguridad social…
Medio. En este nivel se incluyen los datos sobre infracciones administrativas o penales, nivel de solvencia, datos tributarios, información sobre la prestación de servicios financieros y detalles sobre el comportamiento de las personas, como sus aficiones, gustos y costumbres.
Alto. Son datos de carácter más personal que pueden dar lugar a situaciones discriminatorias, como la ideología, religión, creencias, afiliación sindical, vida sexual, origen racial, violencia de género, estado de salud o información genética y biométrica. En este nivel también se incluye la información relacionada con las infracciones penales o administrativas que no hayan conllevado una amonestación pública al infractor. De hecho, este tipo de datos solo se pueden recoger con el consentimiento expreso y por escrito de la persona, a menos que esta haya hecho pública esa información con anterioridad.
En la empresa, el encargado de recopilar y gestionar los datos sensibles también es el responsable de cumplir la ley. No solo debe cerciorarse de que la información sea veraz, sino que debe protegerla e informar a las personas sobre el consentimiento para la recogida de sus datos, así como del derecho a rectificarlos o cancelarlos.
Debe asegurarse de contar con el consentimiento expreso del titular de los datos para poder recopilarlos y usarlos, además de informarle de manera clara para qué se usará esa información. También debe comunicar al titular de los datos quién es el responsable del tratamiento de la información y garantizarle un acceso sencillo e inmediato para que pueda ejercer sus derechos.
La persona encargada de recopilar y gestionar los datos sensibles en tu empresa también debe prever los riesgos si se produjera una filtración de información o si se diera un tratamiento inadecuado a los datos. Así podrá diseñar un plan enfocado en evitar esos riesgos y minimizar sus consecuencias. Además, se encargará de elaborar los documentos de seguridad e inscribir los ficheros en el Registro de la Agencia Española de Protección de Datos.
No obstante, vale aclarar que el deber de confidencialidad no se aplica únicamente al responsable del tratamiento de los datos en la empresa, sino también a todas aquellas personas que intervengan en el proceso de recopilación y tratamiento de los datos.
En caso de que tu empresa recopile y gestione datos calificados de nivel medio y/o alto, tendrás que realizar como mínimo una auditoría cada dos años, ya sea interna o externa, que pondrás a disposición de la AEPD. Si realizas cambios en los sistemas de información que afecten las medidas ya implantadas, también tendrás que realizar una auditoría. Esas auditorías tienen como objetivo analizar si tu negocio cumple la LOPD para detectar posibles deficiencias y proponer las medidas correctoras necesarias.
Dada la complejidad de estas medidas, es conveniente que contrates a una empresa especializada en la implantación de la LOPD que pueda brindarte asesoramiento y capacitación. Esta identificará los ficheros que contengan datos personales, como los de los clientes, empleados o proveedores, y te indicará el nivel de seguridad a aplicar.
Si dispones de un sistema de videovigilancia en tu negocio, también debes cumplir con la LOPD. Ante todo, considera que la ley indica que solo podrás realizar grabaciones a través de cámaras o videocámaras si las mismas tienen como objetivo preservar la seguridad de las personas, los bienes o las instalaciones.
No obstante, se limita la captación de imágenes en la vía pública ya que, como regla general, las Fuerzas y Cuerpos de Seguridad son quienes tienen potestad para grabar ese tipo de imágenes. La ley establece que solo puedes grabar este tipo de imágenes para garantizar la seguridad de tu establecimiento o las personas que acuden al mismo, pero tendrás que limitarte a captar la porción mínimamente necesaria para cumplir ese fin.
Además, debes destruir las imágenes en un plazo máximo de un mes desde el momento en que se grabaron. Si son necesarias para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones, tendrás que ponerlas en manos de la autoridad competente en un plazo máximo de 72 horas desde que sepas de la existencia de la grabación.
Las comunidades autónomas tienen competencias para controlar la aplicación de la LOPD, así como para llevar a cabo investigaciones sobre su aplicación y aplicar medidas correctoras. Por tanto, pueden realizar inspecciones para comprobar que cumples la LOPD.
Si no cumples esta normativa podrías incurrir en responsabilidades civiles o incluso en competencia desleal. Según la Ley 2/2011, de 4 de marzo de Economía Sostenible, su incumplimiento también puede acarrear sanciones económicas cuyo importe varía desde 900 a 40.000 euros para las infracciones leves hasta multas de 300.001 a 600.000 euros para las faltas muy graves.
Una infracción leve consiste en desatender una solicitud de rectificación o cancelación o no inscribir los ficheros en el Registro General de Protección de Datos. Una sanción grave es no recabar el consentimiento de las personas de las que recopilas información o no aplicar las medidas de seguridad necesarias para proteger esos datos. Una sanción muy grave sería recoger datos de manera engañosa y comunicarlos a terceras personas físicas o jurídicas sin permiso legal.
En sentido general, las autoridades valorarán la infracción y decidirán la cuantía de la multa teniendo en cuenta diferentes criterios, desde el grado de intencionalidad y la reincidencia hasta el volumen de negocio o la naturaleza de los perjuicios causados a las personas afectadas.
Para evitar estas sanciones, asegúrate además de que los productos y herramientas de teletrabajo que usas cumplen con los requisitos del reglamento LOPD. Comprueba que los softwares o los sistemas de planificación de recursos empresariales están avalados por un proveedor acreditado y que sus servicios en la nube están encriptados y cumplen con todas las medidas de seguridad necesarias.
Comunicación segura mediante certificado del servidor SSL y el acceso a la información protegida y se almacenada cifrada. Su IP de acceso 18.97.14.81
