La protección de datos en la empresa dejó de ser una cuestión meramente informática hace tiempo para convertirse en una obligación legal transversal que afecta a recursos humanos, marketing, ventas y dirección. El Reglamento (UE) 2016/679, conocido como RGPD, junto con la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (LOPDGDD), establece un marco exigente cuyo incumplimiento puede acarrear sanciones de hasta 20 millones de euros o el 4% de la facturación anual global. En este artículo repasamos las obligaciones esenciales que toda pyme y autónomo debe cumplir.
Principios básicos que rigen el tratamiento de datos
El artículo 5 del RGPD establece los principios que deben inspirar cualquier tratamiento: licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; integridad y confidencialidad; y responsabilidad proactiva (accountability). Este último principio es especialmente relevante porque traslada al responsable del tratamiento la carga de poder demostrar en todo momento, ante una inspección de la Agencia Española de Protección de Datos (AEPD), que cumple la normativa, no basta con cumplirla de facto.
El registro de actividades de tratamiento
Toda empresa, con independencia de su tamaño (salvo excepciones muy limitadas para organizaciones de menos de 250 empleados cuyo tratamiento no sea habitual ni de riesgo), debe mantener un registro de actividades de tratamiento conforme al artículo 30 RGPD, que documente: finalidades del tratamiento, categorías de interesados y de datos, destinatarios de cesiones, transferencias internacionales si las hubiera, plazos de supresión previstos y medidas de seguridad técnicas y organizativas aplicadas. Este registro es el primer documento que solicita la AEPD ante cualquier denuncia o inspección.
Bases jurídicas y consentimiento
Todo tratamiento debe ampararse en una base de legitimación válida: consentimiento del interesado, ejecución de un contrato, cumplimiento de una obligación legal, protección de intereses vitales, interés público o interés legítimo del responsable. El consentimiento, cuando se utiliza, debe ser libre, específico, informado e inequívoco, mediante una acción afirmativa clara (las casillas premarcadas están expresamente prohibidas). En el ámbito laboral, el uso de sistemas de videovigilancia, geolocalización de vehículos o control horario debe respetar además el deber de información previa a los trabajadores conforme al Estatuto de los Trabajadores y a la doctrina del Tribunal Constitucional.
Obligaciones específicas frente a terceros y encargados
Cuando la empresa contrata servicios externos que implican acceso a datos personales (gestorías, plataformas de email marketing, servicios de hosting, asesorías), es obligatorio formalizar un contrato de encargado de tratamiento conforme al artículo 28 RGPD, que regule el objeto, duración, naturaleza y finalidad del tratamiento, así como las obligaciones de seguridad y confidencialidad del encargado. La ausencia de este contrato es una de las infracciones más frecuentemente detectadas por la AEPD en sus inspecciones a pymes.
Además, deben implementarse medidas de seguridad adecuadas al riesgo (cifrado, control de accesos, copias de seguridad, políticas de contraseñas) y, en caso de brecha de seguridad que suponga un riesgo para los derechos de los interesados, notificarla a la AEPD en el plazo máximo de 72 horas desde que se tenga conocimiento, y en su caso comunicarla también a los propios afectados.
Derechos de los interesados y figura del DPO
Los ciudadanos cuyos datos trata la empresa tienen derecho a acceder, rectificar, suprimir, limitar el tratamiento, oponerse y solicitar la portabilidad de sus datos (los llamados derechos ARSOPOL). La empresa debe habilitar un canal sencillo para ejercitarlos y responder en el plazo de un mes, prorrogable excepcionalmente. Además, determinadas organizaciones —administraciones públicas, empresas cuya actividad principal implique observación habitual y sistemática de interesados a gran escala, o tratamiento a gran escala de categorías especiales de datos (salud, ideología, orientación sexual)— están obligadas a designar un Delegado de Protección de Datos (DPO), comunicado a la AEPD.
Ante un incumplimiento detectado en una auditoría interna o ante una reclamación de un cliente o empleado, resulta muy útil encargar informes de responsabilidad profesional que evalúen la exposición jurídica de la empresa y de sus administradores frente a posibles sanciones o reclamaciones de indemnización derivadas del tratamiento indebido de datos.
Transferencias internacionales de datos
Muchas pymes utilizan herramientas de gestión, marketing o almacenamiento en la nube cuyos servidores se ubican fuera del Espacio Económico Europeo, lo que activa el régimen de transferencias internacionales de datos regulado en el Capítulo V del RGPD. Tras la sentencia «Schrems II» del Tribunal de Justicia de la Unión Europea, que invalidó el antiguo Privacy Shield con Estados Unidos, las empresas deben verificar que el proveedor extranjero cuenta con garantías adecuadas: adhesión al nuevo marco de adecuación EU-US Data Privacy Framework cuando exista, cláusulas contractuales tipo aprobadas por la Comisión Europea, o normas corporativas vinculantes, además de realizar en determinados casos una evaluación de impacto sobre la transferencia que valore el nivel de protección real del país de destino. No verificar estas garantías antes de contratar un proveedor tecnológico extranjero es una de las infracciones más comunes y menos visibles para las pymes, que suelen descubrirla únicamente cuando reciben una reclamación de un cliente o una inspección de la AEPD derivada de una denuncia previa.
Sanciones y régimen de infracciones
La LOPDGDD clasifica las infracciones en leves, graves y muy graves, con plazos de prescripción de uno, dos y tres años respectivamente. Las sanciones oscilan entre los 900 euros para infracciones leves hasta los 20 millones de euros o el 4% de la facturación anual global para las más graves, como tratar datos sin base de legitimación, no atender los derechos de los interesados de forma reiterada o realizar transferencias internacionales sin garantías adecuadas. La AEPD, además de sancionar económicamente, puede imponer medidas correctoras como la suspensión temporal del tratamiento.
Videovigilancia y control laboral: un foco habitual de sanciones
Uno de los ámbitos donde la AEPD detecta con mayor frecuencia incumplimientos en pymes es el del control laboral: cámaras de videovigilancia orientadas hacia zonas de descanso o aseos, sistemas de geolocalización de vehículos de empresa sin informar previamente a los trabajadores, o el acceso al correo electrónico corporativo de un empleado sin protocolo previo. La jurisprudencia del Tribunal Constitucional y la propia LOPDGDD exigen que exista un distintivo informativo visible en las zonas videovigiladas, que el tratamiento se limite a la finalidad de seguridad declarada, y que exista una política de uso de dispositivos digitales aprobada con participación de la representación legal de los trabajadores cuando la empresa quiera reservarse la facultad de acceder a los contenidos de dispositivos corporativos. Las cámaras solo pueden utilizarse como prueba disciplinaria frente al trabajador si este fue informado previamente de su instalación con la finalidad de control laboral, requisito que numerosas sentencias han considerado incumplido por empresas que solo advertían de una finalidad de seguridad genérica, lo que ha determinado la nulidad de los despidos basados en esas grabaciones. Por ello, cualquier política de control laboral debe elaborarse conjuntamente entre el departamento de recursos humanos y el responsable de protección de datos, revisando previamente su proporcionalidad, su necesidad real para la finalidad perseguida y su correcta comunicación a toda la plantilla antes de implantarla, dejando constancia documental de dicha comunicación para futuras eventualidades. Igualmente conviene revisar de forma periódica estos protocolos, ya que la incorporación de nuevas tecnologías de monitorización, como el software de control de productividad o los sistemas de inteligencia artificial aplicados a la gestión de personal, plantea riesgos adicionales que deben evaluarse específicamente antes de su puesta en marcha, conforme exige el propio principio de responsabilidad proactiva del RGPD.
Conclusión
Cumplir con el RGPD y la LOPDGDD no es opcional ni una cuestión de tamaño de empresa: afecta a cualquier organización que trate datos de clientes, empleados o proveedores. Disponer de un registro de actividades actualizado, contratos de encargado bien redactados y protocolos claros ante brechas de seguridad reduce drásticamente el riesgo sancionador. En TorreonLegal auditamos el cumplimiento normativo en protección de datos de pymes y autónomos y diseñamos la documentación necesaria para operar con seguridad jurídica: contacta con nosotros para una revisión completa de tu empresa.
Deja una respuesta