Las empresas que procesan datos personales dentro de la UE están obligadas a desarrollar una política de protección de datos. ¿Qué dice la ley sobre protección de datos? ¿Qué exige la ley? ¿Debe una empresa designar a un responsable de protección de datos (RPD)? En este artículo, abordamos las preguntas más importantes sobre protección de datos mientras explicamos cómo cumplir con la normativa.

¿De qué trata este artículo?

• ¿Qué son los datos personales?
  
• ¿Qué es el procesamiento de datos personales?
  
• ¿Cuáles son las normativas actuales que abordan la protección de datos personales?
  
• ¿Cuáles son los principios del Reglamento General de protección de datos (RGPD)?
  
• ¿Qué exige el RGPD?
  

¿Qué son los datos personales?

Los datos personales, también denominados «información personal», es información que permite identificar directa o indirectamente a un particular. Los datos personales pueden incluir nombres o apellidos, números de la seguridad social, números de teléfono, direcciones de correo electrónico o del Protocolo de Internet (IP), comportamientos en Internet o fotografías. Los datos anónimos (es decir, datos que eliminan la posibilidad de identificar al particular) no se consideran datos personales. Lo mismo se aplica a los datos relacionados con una entidad jurídica, como una empresa.

¿Qué es el procesamiento de datos personales?

El procesamiento de datos personales se refiere a una gran cantidad de procesos aplicados a los datos personales. Estos procesos pueden incluir recoger, registrar, organizar, almacenar, modificar, consultar, suprimir, extraer, difundir y eliminar datos. Estas actividades pueden estar informatizadas o no.

Entre los ejemplos de procesamiento de datos se incluyen el mantenimiento del archivo de un cliente, la recopilación de la información de contacto de los clientes potenciales y el almacenamiento de direcciones IP. La mayoría de las veces, los datos personales procesados por las empresas están relacionados con clientes, proveedores, clientes potenciales, empleados y candidatos a puestos de trabajo.

¿Cuáles son las normativas actuales que abordan la protección de datos personales?

Desde el 25 de mayo de 2018, el Reglamento General de Protección de Datos (RGPD) ha servido de marco para recoger y gestionar los datos dentro de la UE. El RGPD ha estandarizado la normativa para todas las entidades públicas y privadas que procesan datos personales dentro de la UE. Estas son las principales entidades involucradas:

• Organizaciones creadas dentro de la UE, como startups, pequeñas y medianas empresas, grandes empresas, asociaciones, organizaciones profesionales y entidades públicas

• Empresas extranjeras que tienen como clientela objetiva a ciudadanos europeos

• Encargados del tratamiento de datos personales que los recogen y gestionan en nombre de otras empresas

Por ejemplo, una empresa establecida en China que procesa los datos personales de un particular en Francia debe cumplir con el RGPD.

¿Qué autoridad se encarga de los pagos para la protección de datos personales en Francia?

La Comisión Nacional de Tecnología de la Información y Libertades Públicas (Commission nationale de l’informatique et des libertés, o CNIL) supervisa la protección de los datos personales que las entidades públicas y privadas recogen, presta soporte a las empresas para que cumplan con la normativa aplicable y se encarga de sancionar a las que no lo cumplan.

¿Cuáles son los principios del Reglamento General de protección de datos (RGPD)?

El RGPD se basa en varios principios: el tratamiento de los datos personales debe ser lícito, transparente, temporal y seguro, y solo debe realizarse cuando sea necesario (es decir, minimizando los datos que se recogen). Aquí encontrarás más información sobre cada principio:

• Finalidad lícita
  Cada vez que se procesan datos personales, debe haber una base legal que los justifique, por lo que una empresa no puede recoger datos personales sin un objetivo específico y legítimo.

• Transparencia
  Todas las personas deben estar informadas de sus derechos y de que se están recogiendo sus datos. Es importante que las empresas faciliten la implementación de los derechos de las personas.

• Minimización de datos
  Una empresa solo debe recoger los datos estrictamente necesarios para cumplir con estos objetivos.

• Duración limitada
  La duración del almacenamiento de datos debe tener una fecha de finalización establecida. La empresa debe desarrollar una política clara sobre el almacenamiento de datos.

• Seguridad
  La empresa debe implementar medidas de seguridad para proteger los datos personales que recoge.

Nota: los procesadores que procesen datos personales en nombre de una empresa también deben cumplir el RGPD.

¿Qué exige el RGPD?

El RGPD exige que las empresas proporcionen información y transparencia a las personas cuyos datos recogen, para lo cual deben obtener el consentimiento, facilitar la implementación de los derechos del cliente, mantener un registro de procesamiento y garantizar la seguridad de los datos.

Informar a los particulares

Una empresa debe informar a todas las personas cuyos datos personales recoja. La información debe comunicarse claramente y debe incluir lo siguiente:

• La identidad y la información de contacto del responsable del tratamiento (p. ej., un gerente)

• Motivo del procesamiento

• Base jurídica que justifique el procesamiento (p. ej., consentimiento del particular, ejecución de un contrato, requisito jurídico)

• Carácter obligatorio o facultativo de la recogida de datos

• Destinatarios de los datos personales

• Duración del almacenamiento de datos

• Derechos de los clientes

• Derecho a presentar una reclamación ante la CNIL

• Existencia de transferencia de datos a un país fuera de la UE, si corresponde

La falta de información puede ser objeto de una multa de hasta 1.500 € para las empresas unipersonales y 7.500 € para el resto de empresas, que deberán informar en el momento de la recogida de datos, en caso de cambios posteriores o en un plazo razonable de un mes (por ejemplo, en caso de que se recojan datos de forma indirecta).

Obtener el consentimiento

Las empresas también deben obtener el consentimiento del cliente si la empresa hace lo siguiente:

• Utiliza cookies

• Envía correos electrónicos promocionales

• Recoge datos personales confidenciales

• Reutiliza los datos para otros fines

Los clientes deben poder dar su consentimiento independiente a todos los efectos si hay más de un propósito. Las empresas no pueden usar casillas de verificación que estén marcadas de forma predeterminada.

Nota: la falta de consentimiento puede castigarse con cinco años de prisión y una multa de 300.000 € para las empresas unipersonales o 1,5 millones de € para el resto de empresas.

Garantizar los derechos particulares

Las empresas están obligadas a respetar los derechos de las personas cuyos datos procesan. Estos incluyen el derecho de acceso, el derecho de rectificación, el derecho al olvido, el derecho a oponerse al procesamiento y el derecho a la portabilidad de los datos. Es importante que las empresas permitan a las personas ejercer fácilmente sus derechos.

Mantenimiento de registros escritos de las actividades de procesamiento

Un registro de las actividades de procesamiento puede proporcionar información sobre todas las actividades completadas. Mantener un registro escrito es obligatorio para las empresas con más de 250 empleados.

Garantizar la seguridad de los datos

Es importante crear mecanismos sólidos para garantizar la seguridad de los datos. Las empresas pueden implementar las siguientes estrategias:

• Autenticación obligatoria del cliente y restricciones de acceso

• Sistemas de registro diario para garantizar que las actividades sean rastreables

• Bloqueo automático, cortafuegos, software antivirus y redes privadas virtuales (VPN)

• Copias de seguridad periódicas y archivo de datos que no se utilizan a diario

Puedes integrar directamente Stripe Checkout en tu sitio web para reforzar la seguridad de los datos de tus clientes. Checkout facilita introducir y reutilizar los datos de pago del cliente mientras gestiona los datos confidenciales de las tarjetas en pleno cumplimiento de la normativa.

Otras obligaciones

Si una empresa procesa datos personales a gran escala, se le puede exigir que designe a un RPD y, además, cuando las actividades de procesamiento de una empresa presentan un mayor riesgo para los derechos y libertades de los clientes, es obligatoria una evaluación del impacto en la protección de datos.

Si los datos personales se transfieren fuera de la UE (p. ej., datos transferidos a una filial en China o a un contratista extranjero), las empresas deben pedir permiso a la Comisión Europea. Debe adoptarse una decisión de adecuación para que la empresa pueda transferir sus datos.