¿Es necesario renovar el servicio de protección de datos todos los años?

Una duda frecuente que suelen tener las empresas es si la adecuación a la legislación de protección de datos (nueva LOPD + RGPD) es un trabajo puntual, que se contrata una sola vez, o si es un trabajo recurrente que necesitan renovar.

El Reglamento General de Protección de Datos (RGPD) en su artículo quinto ya establece obligaciones para que cada Responsable del Tratamiento de Datos Personales: «… garantice una seguridad adecuada incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas» y que «El Responsable del Tratamiento … será capaz de demostrar el cumplimiento (responsabilidad proactiva)»

El problema desde un punto de vista práctico viene a la hora de decidir cuáles son las medidas técnicas y organizativas ADECUADAS, ya que en el antiguo reglamento estaban incluidas y en el nuevo reglamento se han dejado fuera a propósito.
¿Por qué no han publicado un reglamento tan concreto como el anterior? Básicamente porque se han dado cuenta que la tecnología corre más que los reglamentos. Y el anterior Reglamento publicado en 2007, se quedó obsoleto a los pocos meses de su entrada en vigor.
Entre 2007 y 2018 una empresa se podía permitir tener una «carpeta LOPD» en la que adaptaba a su empresa las medidas de seguridad «publicadas en el BOE». Si tenía datos de nivel básico, con eso «cubría el expediente».

¿Qué debe hacer ahora una empresa para cumplir la legislación de protección de datos?
La clave nos la da la disposición adicional decimoctava de la nueva LOPD: «Criterios de Seguridad: La Agencia Española de Protección de Datos desarrollará, con la colaboración, cuando sea precisa, de todos los actores implicados, las herramientas, guías, directrices y orientaciones que resulten precisas para dotar a los profesionales, microempresas y pequeñas y medianas empresas de pautas adecuadas para el cumplimiento de las obligaciones de responsabilidad activa»

Así pues, la obligación que tiene una empresa es estar pendiente de todas las publicaciones de la AEPD y adaptar aquellas que sean adecuadas a su sector y a su forma de trabajo y esto puede hacerlo de dos maneras.
– Con un empleado en plantilla que asuma esta función.
– Contratando este servicio con una empresa especializada.

De un modo u otro, tenga claro que para cumplir la actual legislación de protección de datos no basta con tener una «carpeta LOPD» en una estantería.  Cada empresa tiene que monitorizar, de manera interna o contratando con un experto externo, todas las publicaciones de la AEPD y trasladar lo que le sea de aplicación a sus protocolos de trabajo, y a las medidas de seguridad, y tenerlo todo documentado para poder demostrar el cumplimiento.

Dirección postal de un profesional

A veces ocurre que como profesional tienes una dirección profesional distinta de la de tu domicilio personal.

En la información que facilitas a los clientes (y a otras personas que te puedan facilitar datos personales, como por ejemplo la que te entrega un CV), específicamente debes informarles de sus derechos de acceso, rectificación, cancelación y oposición. En esa información tienes que indicar una dirección postal a donde puedan dirigirse para ejercerlos.

¿Qué ocurre si un buen día decides cambiar de dirección? ¿Cómo pueden saber las personas que te facilitaron sus datos cómo contactar contigo para ejercer sus derechos?

Esa circunstancia está prevista en la Ley Orgánica de Protección de Datos, y por ello, cualquier empresa o profesional, para cumplir la LOPD tiene que inscribir sus ficheros en el Registro General de Protección de Datos (que es público, y accesible desde la página web de la Agencia Española de Protección de Datos).

Si el profesional o la empresa cambian de dirección, tendrán que solicitar a la Agencia de Protección de datos una modificación de sus ficheros para que en Registro General de Protección de datos esté siempre su dirección postal actualizada.

Por ello, como profesional, si cuentas con un establecimiento distinto a tu domicilio donde atiendes a tus clientes, siempre tienes dos opciones:

1) Indicar como dirección postal la del establecimiento
2) Indicar como dirección postal la de tu domicilio.

Puedes poner la que quieras, siempre que esté «operativa» y puedas recibir correspondencia. Siempre teniendo en cuenta que la dirección que indiques será pública por imperativo legal.

Fotografías de empleados en página web de la empresa

Una pregunta recurrente que nos hacen muchos clientes es si pueden incluir fotografías de sus empleados en la web corporativa de la empresa.

El artículo 6.2 de la LOPD que dice que “No será necesario el consentimiento cuando los datos de carácter personal se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.” De modo que la legitimación para el tratamiento de los datos citados la tiene el empresario cuando el mismo se realiza dentro del ámbito laboral y para el desenvolvimiento de la relación laboral.

Ahora bien, el tratamiento de la imagen de los trabajadores con fines de promocionar la empresa NO está enmarcado dentro de la gestión laboral del personal, por lo que es necesaria una autorización de los trabajadores afectados para poder tratar sus datos de imagen.

Es decir, la publicación de las fotografías en la página web supone en la práctica una cesión de datos, por lo que será necesario hacerlo constar en la autorización que ha de otorgar cada empleado. Hemos de tener en cuenta que el trabajador es libre de prestar dicho consentimiento, no pudiendo ser obligado por parte de la empresa.

Es más, el consentimiento otorgado por los trabajadores es revocable en cualquier momento. La empresa tiene la obligación de retirar dicha imagen de la web cuando el trabajador lo solicite formalmente.

Cuestión diferente sería si se hubiese otorgado una contraprestación económica al trabajador, y se hubiese plasmado dentro de un contrato de cesión de derechos de imagen. En ese caso el trabajador no tendría derecho a solicitar la retirada de la fotografía.

LOPD de regalo con curso de formación

Hace muy poco me comentaba un cliente que le había visitado un comercial de una empresa de formación y le había hecho la siguiente oferta:

Si nos contrata un curso de nuestro catálogo, además de estar bonificado y salirle gratis, le REGALAMOS la LOPD.

Así que tuve que darle mi opinión:

– ¿Y no te regalaban una tablet? ¿ o una sombrilla de playa?. Te lo digo porque a otro cliente le regalaron una tablet como «medio didáctico», y a los quince días, la tablet no cargaba, y le duraba la batería menos de cinco minutos.

¿Era un Ipad o un Samsung? pues no. Era la tablet más barata del catálogo del chino más chungo. ¿De verdad piensas que el servicio de Protección de Datos que te van a prestar será mejor que esa tablet? Yo me jugaría algo a que no.

La diferencia es que una tablet chunga no perjudicará demasiado a tu empresa, pero una implantación de LOPD mal hecha te puede salir carísima.

Así que un consejo de amigo: Si buscas un curso de formación, vete a una academia seria, de esas que no necesitan regalar nada, porque imparten formación de calidad. Y si buscas la tranquilidad de tener una implantación de LOPD bien hecha, acude a un especialista en LOPD.

Incumplimiento de la LOPD: Doble perjuicio económico.

El incumplimiento de la LOPD puede tener aparejado un doble perjuicio económico.

Cuando una empresa se enfrenta a una denuncia ante la AGPD por incumplimiento de la ley de protección de datos o su reglamento de desarrollo, puede enfrentarse a una doble consecuencia:

1) Sanción de la Administración.

En nuestro país, en estos momentos, la sanción mínima es de 900 €, (mínima sanción para una infracción leve con todos los atenuantes), pero si la infracción se puede tipificar como grave, la sanción puede ascender a 600.000 € (Cara al futuro, las nuevas directivas europeas hablan incluso del 5% de la facturación anual de la empresa).

2) Indemnización al afectado.

Las leyes reconocen el derecho a indemnización al afectado. Así una vez acreditada por la Administración a través de la imposición de la correspondiente sanción la vulneración del Derecho, el ciudadano tendrá prueba suficiente para acudir a la vía judicial y solicitar la indemnización que le corresponda.