Todas las empresas y autónomos que almacenan datos personales y tienen un tratamiento de datos continuado deben cumplir con la normativa vigente de Protección de Datos.

Si no estamos cumpliendo con dicha normativa, está claro que nos podemos enfrentar a denuncias, pero no sólo por parte de la AGPD, también nos las podemos encontrar y quizás son más habituales tanto por parte de nuestros propios trabajadores o de ex trabajadores, que nos quieran buscar las cosquillas, como de los clientes y usuarios de los que realizamos tratamientos de datos.

Con este artículo vamos a intentar explicarte qué errores se pueden cometer y qué sanciones nos podemos encontrar.

NORMATIVA

Lo primero que tenemos que saber es qué normativa regula qué hay que hacer para tener todo correctamente y evitar sanciones innecesarias:

RGPD -- Donde se regulan las cuestiones más sencillas en cuanto a las infracciones. Y se determinan las sanciones que se van a aplicar.

Real Decreto-Ley 5/2018--. Reemplaza las infracciones de la LOPD por las contenidas en el RGPD y el procedimiento a seguir en caso de que se impongan sanciones.

Ley de Servicios de la Sociedad Informática y Comercio Electrónico (LSSI) --. Donde se regula todo lo relacionado con las comunicaciones comerciales.

Cuando tratamos datos personales creemos que lo estamos haciendo correctamente en cada momento, pero, es común cometer errores que nos pueden salir muy caros.

Las infracciones más comunes se cometen en:

TRATAMIENTO DE DATOS PERSONALES SIN EL CONSENTIMIENTO ADECUADO:

hasta Mayo de 2018, que fue cuando se puso en marcha el nuevo RGPD, no era necesario el consentimiento expreso por parte del titular que nos cedía los datos y, a partir de ese momento estamos obligados, como Responsables del tratamiento de datos dentro de nuestra empresa de recoger dicho consentimiento, es decir, necesitamos la firma de nuestro cliente para cumplir con la normativa de Protección de Datos.

Si es un menor quien nos cede los datos, hay que verificar la edad. En España, la Mayoría de Edad para dar el consentimiento se determina a los 14 años.

QUÉ ERRORES SE COMETEN

• Utilizar casillas que ya están pre-marcadas.
• Utilizar ese consentimiento para un tratamiento de datos diferente al que corresponde. (Ejemplo: nos dan un consentimiento para el envío de correos comerciales y utilizamos sus datos o imágenes para publicarlas en redes sociales.)
• Publicación de fotos: si no tenemos el consentimiento expreso, no podremos publicar imágenes de personas que sean identificadas o identificables. Esto es muy común y es un error que hay que evitar.

PÁGINA WEB:

La información que incorporamos a la web es una “radiografía” del cumplimiento de la Ley de Protección de datos dentro de nuestra empresa.

QUÉ ERRORES SE COMETEN

• Hacer un copia/Pega y no tener la documentación correspondiente a nuestra empresa
• Política de Cookies
• Información LOPD en Apartado Contactos
• Si es una página de Venta Online:
• Condiciones de Venta
• Contrato de Desistimiento
• Contrato de Reclamaciones….

La Página Web de nuestra empresa es el primer lugar donde podemos comprobar si se cumple o no con la Ley de Protección de Datos.

No olvidemos que toda la información debe ir registrada por capas y debe ser real.

ENVÍO DE NEWSLETTER O CORREOS MASIVOS:

Para enviar correos electrónicos o comunicaciones comerciales hay que tener en cuenta:

• Que la base de datos que hemos utilizado sea lícita, es decir, tenemos el consentimiento expreso de nuestros clientes para enviarles información
• Que nuestros clientes no se encuentren registrados dentro de una lista Robinson. https://www.listarobinson.es
• No comprar bases de datos

QUÉ ERRORES SE COMETEN:

• No facilitar a nuestros clientes un correo para revocar el consentimiento expreso.
• Una vez que han revocado dicho consentimiento, no borrarlos de nuestra base de datos y volver a enviarles comunicaciones comerciales.

GESTIÓN DE SOLICITUD DE DERECHOS:

Es importante tener la documentación a disposición de nuestros clientes con todos los derechos que pueden ejercer ante nuestra empresa: Acceso, Oposición, Rectificación, Limitación, Portabilidad..

QUÉ ERRORES SE COMETEN:

• No informar al usuario sobre la posibilidad de ejercitar estos derechos.
• Que el correo que hayamos establecido para atender las solicitudes no sea un correo que usemos a menudo y las peticiones caigan en el olvido.
• No cumplir con los plazos establecidos para responder y no informar al usuario en caso de prórroga.

COMPROMISOS DE CONFIDENCIALIDAD:

Todos los trabajadores que forman parte de la plantilla de una empresa, independientemente de la modalidad de contrato, están obligados a firmar un compromiso de confidencialidad.

QUÉ ERRORES SE COMETEN

• No firmar dicho consentimiento.
• Si un trabajador se niega no adjuntar al compromiso alguna documentación que demuestre que dicho trabajador no ha querido firmarlo.

VIDEOVIGILANCIA:

Todas las empresas que tienen un sistema de videovigilancia deben informar de dicho tratamiento de datos tanto a usuarios que acceden a las instalaciones como a los propios trabajadores.

QUÉ ERRORES SE COMETEN

• No informar a los trabajadores de la instalación de cámaras de seguridad
• Situar las cámaras enfocando a la vía pública
• Instalar las cámaras en lugares inadecuados donde la privacidad es  obligatoria: baños, Vestuarios…
• Visionar las imágenes por cualquier persona que no está autorizada
• No colocar los carteles con la información correspondiente a la Ley 3/2018 de Protección de Datos y Garantías de los Derechos Digitales de 5 de Diciembre.

Incumplir con la normativa de Protección de Datos puede ocasionar elevadas pérdidas para una empresa y nos podemos encontrar con que  La AEPD nos comunica que se ha realizado la apertura del procedimiento sancionador, generalmente a través de un requerimiento o comunicación escrita y ante esto, por mucho que queramos demostrar que cumplimos con la LOPD, no podremos hacer nada.

MUY GRAVES:

Aquí nos encontraríamos sanciones como: uso de datos para una finalidad diferente a la que se anunció, omisión del deber de informar al afectado, exigencia de un pago por la solicitud de acceso a datos, transferencias internacionales de información sin garantías adecuadas…

Estas infracciones prescriben a los 3 años.

GRAVES:

Aquí encontraríamos, por ejemplo, tratamiento de datos de menores sin el consentimiento,  falta de medidas técnicas para cumplir con la correcta protección de datos, incumplimiento a la hora de designar un responsable o encargado de tratamiento de datos…

Estas infracciones prescriben a los 2 años.

LEVES:

Aquí encontraríamos, por ejemplo, la no transparencia de la información, no informar a un afectado que ha solicitado algún derecho, incumplimiento por parte de un encargado de sus funciones…

Estas infracciones prescriben al año.

NO OLVIDEMOS QUE LAS DENUNCIAS O RECLAMACIONES NO SÓLO NOS VIENEN DE LA AGPD, UN CLIENTE INSATISFECHO, UN TRABAJADOR DESCONTENTO O, SIMPLEMENTE ALGUIEN DE LA COMPETENCIA NOS PUEDE PONER UNA DENUNCIA.

Desde Grupo Altabir, www.altabir.es,  Consultoría Experta en la Implantación de la Protección de Datos en Granada aconsejamos que es conveniente ponerse en manos de profesionales que no sólo hagan su trabajo como corresponde y como marca la ley, sino que también formen al personal con acceso a datos para que no se cometan errores dentro de la empresa y revisen periódicamente el cumplimiento de la LOPD dentro de las empresas/cliente.

Artículo publicado por Elisa Campoy Soler

Consultora Experta y Delegada de Protección de Datos en Grupo Altabir