Cumplimiento de la protección de datos: Qué exige el RGPD a las empresas
Debido a la creciente digitalización, el flujo de datos también aumenta cada vez más. Por ello, temas como el cumplimiento de la protección de datos y la seguridad de los datos son cada vez más importantes para las empresas. Los políticos también lo reconocen desde hace algunos años.
Sin embargo, el uso de tecnologías y procesos automatizados conlleva un riesgo para la protección de datos. Las empresas deben ser especialmente conscientes y cuidadosas durante la recogida, almacenamiento y tratamiento de datos personales.
Una estrategia de cumplimiento de la protección de datos puede ayudar a cumplir los requisitos legales y a tener una visión general del estado de las operaciones y procesos de tratamiento. En este artículo, le mostraremos exactamente qué requisitos deben cumplirse según el RGPD y cuál es la mejor forma de proceder.
Los hechos más importantes en resumen
- Cumplimiento significa la integración de directrices en la empresa para cumplir los requisitos legales.
- Part of such corporate compliance is also data protection, the main objective of which is to protect personal data.
- El cumplimiento de la protección de datos ayuda a integrar estructuras y procesos structures and processes in the company, which work together to form a comprehensive sistema integral de gestión del cumplimiento y permitir así el cumplimiento del RGPD.
- La protección de datos también desempeña un papel en otras medidas de cumplimiento. Para ello, los compliance managers and data protection officers colaboran estrechamente.
Definición: Cumplimiento de la protección de datos
El término cumplimiento se entiende como la adhesión a todas las leyes y directrices pertinentes para las empresas. Esto incluye normas tanto nacionales como internacionales (en este caso, especialmente la legislación de la UE). Además de las normas pertinentes del derecho mercantil y de sociedades, esto incluye también el derecho penal o de protección de datos. En los países de la UE, el RGPD es especialmente importante.
Los denominados responsables de cumplimiento verifican la conducta legal de la empresa en todos los ámbitos empresariales: desde los requisitos del derecho laboral en el departamento de recursos humanos hasta las prácticas de facturación en ventas, pasando por la protección de datos interdepartamental. En el marco de la gestión de la protección de datos, se crean los procesos necesarios para aplicar y garantizar los requisitos esenciales de la protección de datos a la hora de planificar, establecer y operar el tratamiento de datos
Para garantizar la protección de datos en la empresa de conformidad con la ley son necesarias medidas eficaces de protección de datos personales. Esto incluye específicamente a los datos sensibles que afectan a los derechos de las personas físicas.
Conviene saberlo: Los datos sensibles de la empresa son en gran medida irrelevantes para la normativa legal. Incluso si las empresas están interesadas en la protección de secretos (como los secretos de empresa), estos no juegan un papel para la aplicación del RGPD. El RGPD -como norma uniforme de protección de datos a nivel de la UE- sustituyó a las leyes nacionales de protección de datos en mayo de 2018. Cualquiera que desee cumplir con los requisitos legales debe, por lo tanto, guiarse por el RGPD.
Por lo tanto, el cumplimiento de la protección de datos significa la adhesión a las normas de protección de datos en las empresas. El objetivo central es proteger a las personas afectadas, evitar riesgos de responsabilidad para las empresas y prevenir daños de imagen como resultado de fugas de datos y procesamiento de datos no autorizado. La seguridad de los datos en la empresa tiene, por tanto, una influencia directa en su reputación.
Debido al avance de la digitalización y a los modernos procesos empresariales, no es posible una estrategia de cumplimiento sin tener en cuenta el RGPD. Por lo tanto, se requiere un sistema eficaz de gestión del cumplimiento de la protección de datos, que debe supervisarse continuamente y seguir desarrollándose después de la implementación.
Cumplimiento de la protección de datos según el RGPD
El RGPD exige que el tratamiento de datos personales se organice de tal manera que las empresas puedan demostrar el cumplimiento de los requisitos legales en cualquier momento (la llamada accountability, Art. 5 (2) RGPD).
Esto se refiere a todos los principios de tratamiento de datos consagrados en la ley:
- Licitud, tratamiento de buena fe y transparencia.
- Principio de limitación de la finalidad
- Minimización de datos
- Exigencia de exactitud de los datos
- Principio de limitación del almacenamiento
- Integridad y confidencialidad
Por tanto, las empresas deben sopesar qué medidas pueden adoptar para cumplir determinados requisitos. También deben tenerse en cuenta otros factores, como las posibilidades técnicas, los costes, el tipo y alcance del tratamiento de datos y la gravedad del riesgo. El objetivo es minimizar el flujo de datos y proteger los derechos de los afectados.
Aplique estas medidas técnicas y organizativas en su empresa para poder controlarlas continuamente y mejorarlas si es necesario. En muchos casos, también ayuda la visión neutral de un delegado de protección de datos externo que reconozca inmediatamente los errores típicos o los procesos ineficaces.
Entre otras cosas, está obligado a llevar un registro de las actividades de tratamiento (art. 30 del RGPD). Crear o mantener periódicamente este registro lleva tiempo, pero le permite lograr un cumplimiento de la protección de datos específico y eficaz a largo plazo.
Para algunos procesos, también debe llevar a cabo una evaluación de impacto de la protección de datos (Art. 35 RGPD). Ante la abundancia de obligaciones en materia de protección de datos, puede ser útil contratar a un delegado de protección de datos, que incluso es obligatorio en algunos casos (art. 37 del RGPD).
Además, deben integrarse mecanismos para informar a la autoridad de control competente en un plazo de 72 horas en caso de violación de la protección de datos (Art. 33 RGPD). Además, puede ser necesario notificar a las personas afectadas por la violación de datos (Art. 34 RGPD). En general, las empresas deben cooperar y mantener intercambios tanto con las autoridades de control competentes como con los afectados.
RGPD: Los derechos de los afectados tienen una importancia central
Las empresas también deben respetar los derechos de los afectados (Art. 12-22 RGPD). Entre ellos se incluyen, por ejemplo
- el deber de informar
- el deber de informar sobre la recogida de datos
- la revocación del consentimiento
- el derecho a la información
- el derecho al borrado de datos
- el derecho a la portabilidad de los datos
Los afectados también deben poder ponerse en contacto con su empresa lo antes posible y encontrar en ella una persona de contacto competente que se encargue en la práctica de las cuestiones relacionadas con la protección de datos.
Gestión del cumplimiento de la protección de datos para empresas
Antes de ocuparse de la aplicación de las leyes de protección de datos e implementar las medidas correspondientes en sus procesos, primero debe hacer balance. Para ello, eche un vistazo al statu quo y empiece por analizar el estado actual de su cumplimiento de la normativa de protección de datos.
Así es como puede proceder:
- Identifique y documente las operaciones de tratamiento de datos existentes (también puede crear al mismo tiempo un registro de actividades de tratamiento).
- Compruebe la eficacia y el cumplimiento legal de la organización existente.
- Someta los procesos internos de la empresa a un análisis de riesgos.
En el mejor de los casos, su inventario dará como resultado una necesidad de adaptación, que ahora puede desglosarse en pasos de acción más pequeños e individuales y, a continuación, ponerse en práctica. Es importante definir y delimitar claramente las responsabilidades y documentar los plazos.
En la mayoría de los casos, es inevitable dar prioridad a determinados cambios debido al alcance de las medidas: Para ello, debe analizarse qué áreas conllevan un mayor riesgo y dónde es más alta la probabilidad de que se produzca una violación de la protección de datos.
En este punto, se puede llevar a cabo una evaluación de impacto conforme al RGPD, que proporciona información sobre el riesgo de las actividades individuales. Además, debe sopesar qué actividades de tratamiento y recopilación de datos son necesarias y útiles en absoluto y dónde pueden minimizarse los volúmenes de datos, si es necesario, para, en consecuencia, reducir también el riesgo legal.
El RGPD exige que sólo se recopilen, procesen y almacenen los datos necesarios, pero cuantos menos datos estén realmente en circulación, menor será el trabajo y el riesgo de responsabilidad para las empresas.
Política interna de protección de datos para empresas
Después de haber implantado con éxito las medidas de protección de datos, es importante establecer una política interna para futuras revisiones que se llevarán a cabo de forma continua. Está en la naturaleza de las estructuras empresariales cambiar con los tiempos.
Para garantizar que la reestructuración u otros cambios en los procesos de trabajo, las organizaciones o las condiciones técnicas no den lugar a infracciones de la protección de datos o al olvido de las medidas de cumplimiento, éstas deben comprobarse periódicamente y adaptarse en caso necesario.
También se necesita un código de conducta claro o una lista de comprobación interna para las investigaciones internas sobre posibles infracciones del cumplimiento, con el fin de garantizar soluciones uniformes. Si usted o sus empleados sospechan que las medidas de cumplimiento no se han aplicado o no se han aplicado correctamente, el incidente debe aclararse inmediatamente e imponerse sanciones en caso de duda. Para evitar infracciones, sus empleados deben ser sensibilizados preventivamente sobre el tema y recibir formación sobre el cumplimiento de la protección de datos y las medidas que deben seguirse.
Permita que sus equipos realicen avisos relacionados con incidentes, reciban asistencia y hagan sugerencias de mejora. De este modo, podrá mejorar continuamente el cumplimiento de la protección de datos y crear un ambiente de trabajo agradable.
¿Qué es un sistema de cumplimiento de la protección de datos?
El sistema de cumplimiento de la protección de datos combina las medidas que se toman para la protección de datos en la empresa. En otras palabras, se trata de desarrollar un sistema que funcione para aplicar eficazmente la ley de protección de datos.
El sistema constituye la interfaz entre la protección de datos y el cumplimiento de la normativa en la empresa. Incluye muchos factores diferentes que influyen en las medidas y procedimientos. A continuación explicamos dos de los factores más importantes.
Medidas técnicas y organizativas (MTOs)
Las medidas técnicas y organizativas (MTO) desempeñan un papel especial en la protección de datos. Sin embargo, también son importantes para la seguridad de la información, es decir, el área que se ocupa de los datos no personales (por ejemplo, los internos de la empresa, los secretos de empresa y los datos técnicos).
El objetivo es proteger también los activos de la empresa. Aunque las obligaciones en materia de seguridad de la información no están prescritas, sino que se aplican mucho más por el propio interés de la empresa, el RGPD establece requisitos claros para la protección de datos (artículo 32 del RGPD).
El RGPD exige que determinadas MTO se integren, documenten y supervisen con normas de protección adecuadas para proteger los datos personales en la empresa. Por lo tanto, para operar el cumplimiento efectivo, es inevitable elegir TOM estructurados y, si es posible, automatizados.
El sistema de denuncia de irregularidades
La Directiva de la UE sobre denuncia de irregularidades obliga a las empresas con 50 o más empleados y al sector público a establecer sistemas de denuncia de irregularidades. Dicho sistema permite a los empleados realizar denuncias personalizadas o anónimas sobre irregularidades concretas o delitos penales en la empresa. Los Estados miembros de la UE están obligados a promulgar sus propias leyes nacionales para proteger a los denunciantes.
Pero incluso antes de que las disposiciones legales entraran en vigor, un sistema de denuncia de irregularidades era una importante herramienta de cumplimiento. Muchas empresas que cotizan en bolsa llevan años trabajando con este tipo de sistemas para proteger su reputación. Como parte del sistema de cumplimiento, los sistemas de denuncia de irregularidades garantizan que los riesgos y las infracciones se comuniquen internamente y puedan así combatirse en una fase temprana.
La palabra clave de la protección de datos aquí es: anónimo. Porque esta estrategia de cumplimiento sólo funciona si la identidad del denunciante permanece en secreto. Es cierto que la nueva Ley de Protección de Denunciantes no da prioridad a los denunciantes anónimos. Sin embargo, basarse en el anonimato para obtener información valiosa sin revelar la identidad del denunciante ha demostrado ser eficaz.
Aunque supuestamente haya un buen ambiente de trabajo en la empresa, a nadie le gusta admitir sus propios errores, manchar el nombre de un colega o criticar el comportamiento en la suite ejecutiva. Por lo tanto, para aplicar los requisitos legales se necesita un sistema que permita encontrar soluciones internas sin que ello repercuta negativamente en los implicados (por ejemplo, mediante sanciones).
Cumplimiento de la protección de datos: ¿quién es el responsable?
En principio, todos en las empresas son responsables de aplicar la protección de datos y el cumplimiento de la normativa en su propio ámbito. Al fin y al cabo, la mayoría de los empleados asumen tareas que afectan a la legislación sobre protección de datos o tienen interfaces con ella.
Sin embargo, dado que la empresa es responsable de las infracciones de la ley de protección de datos, es necesario estructurar un departamento separado o un equipo de cumplimiento que se ocupe principalmente de este ámbito temático. Un responsable de cumplimiento o director de cumplimiento suele actuar en calidad de directivo.
Tareas de los responsables de cumplimiento
Los responsables de cumplimiento verifican el cumplimiento de las leyes, directrices y reglamentos aplicables, así como de otras obligaciones de la empresa. Para ello, desarrollan sistemas de gestión del cumplimiento y utilizan herramientas informáticas adecuadas para apoyar el cumplimiento.
En la mayoría de los casos, los responsables de cumplimiento reciben formación jurídica o proceden del sector privado. También es importante que los responsables de cumplimiento reciban formación continua periódica y se mantengan así al día en lo que respecta a la normativa de protección de datos.
Tareas de los delegados de la protección de datos
En cambio, los delegados de la protección de datos son responsables de la protección de datos en la empresa. No intervienen necesariamente de forma operativa, sino más bien en calidad de asesores. Además de analizar la seguridad de los datos en la empresa, como expertos hacen ciertas recomendaciones de actuación o posibles mejoras y supervisan lo que ocurre en la empresa en cuanto a la ley de protección de datos.
Muchas empresas confían aquí en un delegado de protección de datos externo ya que su función de supervisión está garantizada por la posición neutral externa. Quienes recurren a responsables de protección de datos externos tienen la ventaja de que no necesitan recibir formación, sino que ya poseen conocimientos profundos en materia de protección de datos. A diferencia de los delegados de protección de datos internos, que pueden sentirse vinculados a la empresa, los externos tienen una visión objetiva de la misma.
Como ya se ha dicho, existe una clara interfaz entre la protección de datos y el cumplimiento de la normativa, por lo que los delegados de la protección de datos y los equipos de cumplimiento de la normativa siempre colaboran estrechamente. Además de los acuerdos sobre el cumplimiento específico de la protección de datos, la cooperación también puede ayudar a transferir las medidas adoptadas en este ámbito a otras áreas.
Conclusión
En la práctica, es evidente que las estructuras de gestión del cumplimiento existentes a menudo no cumplen los requisitos legales del RGPD. Sin embargo, el creciente procesamiento de datos, especialmente a nivel automatizado, hace ahora inevitable una buena estrategia de cumplimiento de la protección de datos. Por lo tanto, las empresas no deben considerar las cuestiones de protección de datos como un problema del futuro, sino que deben ocuparse de ellas intensamente hoy para seguir estando preparadas para el futuro.
El cumplimiento de la protección de datos no es una carga costosa y burocrática, sino una excelente manera de mejorar la confianza en la empresa y proteger su reputación. Los empresarios deben ser igualmente conscientes de que el incumplimiento de la normativa de protección de datos puede acarrear sanciones delicadas. Al fin y al cabo, la protección de datos no consiste sólo en proteger a las personas afectadas, sino también a la empresa de los daños a su imagen y los riesgos de responsabilidad.