Las empresas que procesan datos personales dentro de la UE están obligadas a desarrollar una política de protección de datos. ¿Qué dice la ley sobre protección de datos? ¿Qué exige la ley? ¿Debe una empresa designar a un responsable de protección de datos (DPO)? En este artículo, abordamos las preguntas más importantes sobre protección de datos mientras explicamos cómo cumplir con la normativa.

¿Qué contiene este artículo?

• ¿Qué son los datos personales?
  
• ¿Qué es el procesamiento de datos personales?
  
• ¿Cuáles son las normativas actuales que abordan la protección de datos personales?
  
• ¿Cuáles son los principios del Reglamento General de Protección de Datos (RGPD)?
  
• ¿Qué exige el Reglamento General de Protección de Datos (RGPD)?
  

¿Qué son los datos personales?

Los datos personales, también denominados «información personal», son información que permite identificar directa o indirectamente a una persona. Los datos personales pueden incluir nombres o apellidos, números de seguridad social, números de teléfono, direcciones de correo electrónico o Protocolo de Internet (IP), comportamientos en Internet o fotografías. Los datos anónimos (es decir, datos que eliminan la posibilidad de identificar a la persona) no se consideran datos personales. Lo mismo se aplica a los datos relacionados con una entidad jurídica, como una empresa.

¿Qué es el procesamiento de datos personales?

El procesamiento de datos personales se refiere a una gran cantidad de procesos aplicados a los datos personales.Estos procesos pueden incluir la recopilación, el registro, la organización, el almacenamiento, la modificación, la consulta, la eliminación, la extracción, la difusión y la supresión de datos. Estas actividades pueden ser informáticas o no.

Algunos ejemplos de procesamiento de datos son el mantenimiento del archivo de un cliente, la recopilación de la información de contacto de los posibles clientes potenciales y el almacenamiento de direcciones IP. La mayoría de las veces, los datos personales procesados por las empresas están relacionados con clientes, proveedores, posibles clientes, empleados y candidatos a puestos de trabajo.

¿Cuáles son las normativas actuales que abordan la protección de datos personales?

Desde el 25 de mayo de 2018, el Reglamento General de Protección de Datos (RGPD) sirve de marco para la recopilación y gestión de datos dentro de la UE. El Reglamento General de Protección de Datos (RGPD) ha estandarizado la normativa para todas las entidades públicas y privadas que procesan datos personales dentro de la UE. Las siguientes son las principales entidades involucradas:

• Organizaciones creadas dentro de la UE, como startups, pequeñas y medianas empresas, grandes empresas, asociaciones, organizaciones profesionales y entidades públicas

• Empresas extranjeras dirigidas a ciudadanos europeos

• Encargados de tratamiento que recopilan y gestionan datos personales en nombre de otras empresas

Por ejemplo, una empresa establecida en China que procese los datos personales de una persona en Francia debe cumplir con el Reglamento General de Protección de Datos (RGPD).

¿Qué autoridad se encarga de la protección de datos personales en Francia?

La Comisión Nacional de Tecnologías de la Información y Libertades Civiles (CNIL) supervisa la protección de los datos personales recopilados por entidades públicas y privadas, brinda soporte a las empresas para que cumplan con la normativa aplicable y se encarga de sancionar a las que no la cumplan.

¿Cuáles son los principios del Reglamento General de Protección de Datos (RGPD)?

El Reglamento General de Protección de Datos (RGPD) se basa en varios principios: el tratamiento de los datos personales debe ser lícito, transparente, temporal y seguro, y solo debe realizarse cuando sea necesario (es decir, minimización de datos). A continuación se detalla cada principio:

• Finalidad legítima
  Cada vez que se procesan datos personales, debe haber una base legal que lo justifique, por lo que una empresa no puede recopilar datos personales sin un objetivo específico y legítimo.

• Transparencia
  Todas las personas deben estar informados de sus derechos y de que se están recopilando sus datos.Es importante que las empresas faciliten la implementación de los derechos de las personas.

• Minimización de datos
  Una empresa solo debe recopilar datos estrictamente necesarios para cumplir con estos objetivos.

• Duración limitada
  La duración del almacenamiento de datos debe tener una fecha de finalización establecida. La empresa debe desarrollar una política clara sobre el almacenamiento de datos.

• Seguridad
  La empresa debe implementar medidas de seguridad para proteger los datos personales que recopila.

Nota: Los encargados de tratamiento que procesen datos personales en nombre de una empresa también deben cumplir con el Reglamento General de Protección de Datos (RGPD).

¿Qué exige el Reglamento General de Protección de Datos (RGPD)?

El Reglamento General de Protección de Datos (RGPD) exige a las empresas que proporcionen información y transparencia a las personas cuyos datos recopilan, para lo cual deben obtener su consentimiento, facilitar la aplicación de los derechos del cliente, mantener un registro de procesamiento y garantizar la seguridad de los datos.

Informar a las personas

Una empresa debe informar a todas las personas cuyos datos personales recopile. La información debe ser comunicada con claridad y debe incluir lo siguiente:

• Identidad e información de contacto del encargado de tratamiento (p. ej., un gerente)

• Motivo del procesamiento

• Base legal que justifica el procesamiento (p. ej., consentimiento de la persona, ejecución de un contrato, requisito legal)

• Carácter obligatorio u opcional de la recopilación de datos

• Destinatarios de los datos personales

• Duración del almacenamiento de los datos

• Derechos de los clientes

• Derecho a presentar una reclamación ante la CNIL

• Existencia de la transferencia de datos a un país fuera de la UE, si corresponde

La falta de información puede estar sujeta a una multa de hasta €1500 para las empresas unipersonales y de €7500 para las empresas. Las empresas deberán informar en el momento de la recopilación de datos, en caso de cambios posteriores o en un plazo razonable de un mes (p. ej., en caso de recopilación indirecta de datos).

Obtención del consentimiento

Las empresas también deben obtener el consentimiento del cliente si hacen lo siguiente:

• utilizan cookies;

• envían correos electrónicos promocionales;

• recopilan datos personales confidenciales;

• reutilizan los datos para otros fines.

Los clientes deben poder dar su consentimiento independiente a todos los efectos si hay más de un propósito. Las empresas no pueden usar casillas de verificación marcadas de forma predeterminada.

Nota: La falta de consentimiento puede castigarse con cinco años de prisión y una multa de €300,000 para empresas unipersonales o €1.5 millones para las empresas.

Garantía de los derechos individuales

Las empresas están obligadas a respetar los derechos de las personas cuyos datos procesan. Estos incluyen el derecho de acceso, el derecho de rectificación, el derecho al olvido, el derecho a oponerse al procesamiento y el derecho a la portabilidad de los datos. Es importante que las empresas permitan a las personas ejercer fácilmente sus derechos.

Mantenimiento de registros escritos de las actividades de procesamiento

Un registro de las actividades de procesamiento puede proporcionar información sobre todas las actividades completadas. Mantener un registro escrito es obligatorio para las empresas con más de 250 empleados.

Garantía de datos seguros

Es importante crear mecanismos sólidos para garantizar la seguridad de los datos. Las empresas pueden implementar las siguientes estrategias:

• Autenticación obligatoria del cliente y restricciones de acceso

• Sistemas de registro diario para garantizar que las actividades sean rastreables

• Bloqueo automático, cortafuegos, software antivirus y redes privadas virtuales (VPN)

• Copias de seguridad periódicas y archivo de los datos que no se utilizan a diario

Puedes integrar directamente la Stripe Checkout en tu sitio web para reforzar la seguridad de los datos de tus clientes. Checkout facilita el ingreso y la reutilización de los datos de pago de los clientes y gestiona los datos confidenciales de las tarjetas en pleno cumplimiento de la normativa.

Otras obligaciones

Si una empresa crece en el tratamiento de datos personales, puede ser necesario designar a un DPO, y si las actividades de tratamiento de una empresa presentan un riesgo elevado para los derechos y libertades de los clientes, es obligatoria una evaluación de impacto en la protección de datos (DPIA).

Si los datos personales se transfieren fuera de la UE (p. ej., datos transferidos a una filial en China o a un contratista extranjero), las empresas deben solicitud permiso a la Comisión Europea. Debe adoptarse una decisión de adecuación para que la empresa pueda transferir sus datos.