Si tienes una empresa, por muy pequeña que sea, debes garantizar la protección de datos, no solo de tus clientes y proveedores, sino también de tus empleados. Esto es fundamental porque, por ley, debes proteger la información de todos los actores que forman parte de tu negocio. ¿Cómo se consigue? Siguiendo ciertos medios físicos y digitales que garantizan la seguridad de esta información. Desde Jaque Legal te contamos todo lo que necesitas saber sobre este tema y te asesoramos para cumplir con lo dispuesto por la LOPD.

Así se recoge la información por parte de una empresa

Debemos decirte que existen dos tipos de datos que recogen las empresas. Por un lado, encontramos la información de navegación y, por el otro, la información privada. Vayamos paso por paso. Cuando entras a una web, ya estás compartiendo información sobre tus hábitos de navegación, al momento de aceptar las cookies. Pero, como empresa, tienes que centrarte en los datos que los clientes y usuarios proporcionan después de dar su consentimiento.

¿Cómo obtienes esta información? De distintas maneras. Nos referimos, por ejemplo, a cuando un cliente realiza una transacción y aporta sus datos básicos: nombre, dirección, teléfono, correo electrónico y, por supuesto, un medio de pago. También se incluye a aquellos usuarios que, por ejemplo, se suscriben a un servicio de tu web, como puede ser el boletín de noticias y ofertas. Desde el momento en el que el usuario aporte sus datos de contacto, ya debes garantizar la protección de esta información.

La obligación de garantizar la protección de datos

Garantizar la protección de datos es obligatorio para todos los negocios, desde las grandes empresas hasta los autónomos. Recuerda, un cliente proporciona información, pero esta no te pertenece, sino que sigue siendo de la persona que la cede. Por supuesto, en el momento en el que esa persona lo desee, puede pedirte que retires su información de tu base de datos y también estás en la obligación de hacerlo.

Lo más importante, en materia de protección de datos, es preservar esta información. La mala custodia de la información puede generar filtraciones que, además suponen consecuencias severas para las empresas. La obligación de garantizar la protección de datos y custodiar esta información de forma adecuada, la encontramos en la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales, mejor conocida como LOPD GDD. Se trata de una ley vigente desde el 2018 y que se enmarca dentro del Reglamento General de Protección de Datos de la Unión Europea (RGPD).

Según el texto jurídico, el titular de la información es quien decide si compartir o no esta información. Si esta persona acepta, entonces la empresa con quien se comparten los datos, está en la obligación de garantizar su protección y privacidad. Incumplir esta obligación supone multas de hasta un 4% de la facturación anual. ¡Cuidado! Los casos más severos pueden elevar las multas hasta los 20 millones de euros.

Antes de contarte cómo garantizar la protección de datos, debemos decirte que la LOPD establece que son dos los tipos de datos que debes preservar: básicos y especiales. Estos se distinguen por el impacto que una posible filtración podría tener sobre la intimidad de las personas.

• Datos básicos. Se incluyen el nombre y el sexo, pero también el DNI, la lengua materna, el estado civil y nivel educativo. A los datos básicos pertenecen las particularidades de la vivienda donde reside la persona, su salario y subvenciones, en caso de percibirlas. La firma y las imágenes de los sistemas de videovigilancia también son datos básicos.
• Datos especiales. Se trata de documentación que, en caso de filtrarse, pudiese afectar los derechos fundamentales y libertades de la persona. Encontramos, como parte de los datos especiales, información sobre la raza, la etnia, la religión, la orientación sexual, la salud y la genética. También se consideran datos especiales el reconocimiento facial y el análisis de retina.

Prácticas para garantizar la protección de datos

La propia LOPD establece (y obliga) que deben adoptarse prácticas y medidas de seguridad para garantizar la protección de datos. Para ello, es necesario recurrir a soportes físicos y digitales, aunque no obliga a la adopción de medidas específicas, teniendo en cuenta que no todas las empresas cuentan con la misma capacidad e información.

¿Y cuáles son estas medidas? Si la información recogida está en papel, solo el personal autorizado puede manejarla. Hablamos, por ejemplo, de los expedientes y archivos y es imprescindible guardarlos bajo llave. La mejor alternativa es colocar un sistema de alarma o niveles de seguridad altos.

En caso de que la información esté en formato digital, esta debe protegerse utilizando contraseñas altamente seguras y formadas por caracteres alfanuméricos. La normativa recomienda cambiar estas contraseñas cada tres o seis meses, por lo menos. Además, en este sentido, también es crucial realizar copias de seguridad, de manera que la información esté siempre disponible en la nube y en un disco duro. De nuevo, a estos datos solo deberá acceder el personal autorizado.

Por último, para los datos más delicados y sensibles, se recomienda hacer una disociación y seudonimización. Es decir, implementar estrategias que no revelen la identidad de las personas.

El consentimiento de los usuarios

Una acción muy importante, antes de obtener la información de las personas, como ya adelantamos, es tener su consentimiento. Las empresas deben informar a los clientes de cómo se realiza el tratamiento de datos recabados y, en qué casos se utilizan; también deben especificar qué pasos seguir en caso de querer retirar la información de las bases de datos.

En el caso de las webs, este consentimiento se hace a través de una casilla que acompaña a la leyenda “He leído y acepto la política de privacidad”. Cuando se trata de los negocios físicos, como pueden ser, por ejemplo, los consultorios médicos, se entrega un consentimiento en papel, que el usuario debe leer y firmar.

El caso de los empleados de una empresa

Los empleados también ceden su información a la empresa para la que trabajan y, al igual que los clientes y proveedores, la protección de sus datos personales debe garantizarse. En estos casos, se firma un acuerdo de confidencialidad y cesión de datos.

Cabe destacar que hay datos de los empleados que la empresa no puede borrar, aunque la parte interesada quiera. Aquí encontramos las nóminas y los recibos de pago. ¿Por qué no puede ni debe eliminarse esta información? Puede ocurrir que, en el futuro, las entidades públicas necesiten documentación específica sobre los empleados y sea necesario pedirla directamente a la empresa.