Después de leerlo, podrá averiguar si el RGPD le afecta y qué obligaciones van primero.
Definición
Un dato personal es cualquier información sobre una persona identificable. Importan dos papeles: el responsable del tratamiento decide por qué y cómo se usan los datos, y el encargado los trata por cuenta del responsable.
La geografía puede sorprender. Según el artículo 3, una empresa de fuera de la UE queda cubierta si ofrece bienes o servicios a personas en la UE o controla allí su comportamiento.
Por qué importa
El artículo 83 permite multas de hasta 20 millones de euros o el 4 % del volumen de negocios anual mundial, la cifra que sea mayor, por las infracciones más graves.
Sin embargo, la presión diaria suele venir de las ventas. Los compradores quieren un contrato de encargo y datos de seguridad antes de firmar.
Cómo funciona
Lleve el registro de sus actividades de tratamiento (artículo 30). Asigne a cada una una finalidad y una de las seis bases jurídicas del artículo 6: consentimiento, contrato, obligación legal, intereses vitales, misión de interés público o intereses legítimos.
Aplique los principios del artículo 5, informe a las personas de lo que hace y atienda sus solicitudes de acceso, rectificación, supresión y similares, por lo general en un mes (artículo 12).
Después vienen la seguridad (artículo 32), los contratos con encargados (artículo 28) y la notificación a la autoridad de una brecha notificable en 72 horas (artículo 33).
Un caso práctico
Una empresa de selección registra una actividad para las candidaturas. La base jurídica es la aplicación de medidas precontractuales. La conservación es de dos años tras el último contacto, con una nota del motivo, y el destinatario es su software de gestión de candidatos, cubierto por un contrato de encargo.
Cuando un candidato pide una copia de sus datos, la solicitud se registra y se responde en tres semanas.
Buenas prácticas
- Actualice el registro a medida que cambian los proyectos, mientras la gente aún recuerda los detalles.
- Elija la base jurídica antes de empezar el tratamiento, porque después cuesta cambiarla.
- Fije un plazo de conservación por finalidad y luego suprima de verdad.
- Ensaye una brecha y una solicitud de una persona, porque ambas llegan con plazo.
- Compruebe dónde almacena los datos cada encargado y qué instrumento de transferencia se aplica.
Errores frecuentes
- Usar el consentimiento para todo. Puede retirarse en cualquier momento, y a menudo otra base encaja mejor.
- Copiar una política de privacidad que no corresponde a lo que hace, lo que convierte un problema de papeleo en una falta de transparencia.
- Guardar datos «por si acaso», en contra del principio de limitación del plazo de conservación.
- Olvidar que un portátil perdido puede ser una brecha de datos personales.
Preguntas
- ¿Se aplica el RGPD a las pequeñas empresas?
- Sí. El tamaño solo alivia algunas obligaciones, como la exención limitada del registro del artículo 30.5.
- ¿Es obligatorio un delegado de protección de datos?
- Solo en los casos del artículo 37: autoridades públicas, observación habitual a gran escala y tratamiento a gran escala de categorías especiales de datos.
- ¿Hay que notificar toda brecha de datos personales?
- No. Se notifica a la autoridad salvo que sea improbable que suponga un riesgo para las personas, y a los afectados cuando el riesgo es alto (artículo 34). Todas las brechas deben registrarse internamente.
- ¿Pueden transferirse datos personales fuera de la UE?
- Sí, según el capítulo V: una decisión de adecuación, garantías adecuadas como las cláusulas contractuales tipo, o excepciones limitadas.
- ¿Qué diferencia hay entre responsable y encargado del tratamiento?
- El responsable decide los fines y los medios. El encargado actúa siguiendo sus instrucciones y tiene obligaciones directas propias.