Aunque creas que no, tratas datos personales
Puede que pienses que, por tu tipo de actividad, no manejas datos delicados de clientes o proveedores. Pero, como mínimo, necesitas su nombre, su número de identificación fiscal y su dirección para facturar o recibir facturas. Eso ya son datos personales, y tenerlos te obliga a protegerlos y a cumplir una serie de deberes con sus titulares y con la Administración.
Según tu actividad, puedes llegar a tratar información mucho más íntima: datos de salud, antecedentes penales, relaciones familiares, orientación sexual o creencias religiosas. La ley llama a buena parte de ellos categorías especiales de datos y exige más cuidado para tratarlos.
Qué normas se aplican
La materia está en constante evolución, siempre hacia una mayor exigencia para autónomos y empresas. Hoy la base es el Reglamento General de Protección de Datos (RGPD), una norma de la Unión Europea que se aplica directamente desde mayo de 2018 y que sustituyó al régimen de la antigua ley española de 1999. En España lo completa la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
Si tienes web, tienda online o haces comunicaciones comerciales por correo electrónico o mensajería, también se aplica la Ley de Servicios de la Sociedad de la Información, que regula, entre otras cosas, las cookies y los envíos publicitarios.
Las obligaciones no son iguales para todos. Son más exigentes cuanto mayor es el volumen de datos, cuanto más sensibles son, según los canales por los que los recabas y según para qué los usas.
Las obligaciones básicas
- Tener una base legal para cada uso de los datos: un contrato, una obligación legal, el consentimiento o un interés legítimo bien justificado.
- Informar a las personas de quién trata sus datos, para qué, durante cuánto tiempo y cómo ejercer sus derechos.
- Llevar un registro de actividades de tratamiento. Las empresas pequeñas tienen una exención, pero no se aplica cuando el tratamiento es habitual, lo que en la práctica alcanza a casi cualquier negocio con clientes o empleados.
- Firmar contratos con tus encargados, es decir, con los proveedores que acceden a datos por cuenta tuya, como la gestoría o el servicio informático.
- Aplicar medidas de seguridad adecuadas al riesgo y notificar a la Agencia Española de Protección de Datos las brechas que supongan un riesgo para las personas, en un plazo de 72 horas.
- Atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, por regla general en el plazo de un mes.
¿Necesitas un delegado de protección de datos?
El delegado de protección de datos es la persona que supervisa el cumplimiento dentro de la organización. Su nombramiento no depende tanto del tamaño de la empresa como de su actividad. El RGPD lo exige, entre otros casos, cuando la actividad principal consiste en tratar a gran escala categorías especiales de datos o en observar de forma habitual y sistemática a personas. La LOPDGDD añade una lista de sectores obligados, como centros sanitarios, centros docentes, aseguradoras, entidades financieras o empresas de seguridad privada. Te digo si es tu caso.
Situaciones con reglas propias
Las cámaras de videovigilancia, el control de los trabajadores y el uso de sus dispositivos digitales, o el envío de publicidad tienen reglas específicas. Por ejemplo, las imágenes de las cámaras deben borrarse en un plazo máximo de un mes, salvo que sean necesarias para acreditar un hecho grave, y hay que señalizarlas con un cartel informativo.
Si tus colaboradores acceden a datos de tus clientes, revisa también los contratos con colaboradores. Y si quieres que lo mantenga al día de forma continuada, puedo incluirlo en la asesoría jurídica integral.