La nueva LOPD o Ley Orgánica de Protección de Datos que se aprobó en abril de 2016, será de aplicación obligatoria para todas las empresas de la Unión Europea a partir del 25 de mayo de 2018. Esta ley tiene como objetivo garantizar la seguridad y el adecuado tratamiento de los datos personales. Existen tres niveles distintos de seguridad dependiendo del tipo de información que se recoja:
- Básico. Datos identificativos como: nombre, DNI, teléfono, email, fecha de nacimiento, domicilio…
- Medio. Datos relativos a: operaciones administrativas o financieras, patrimonio, antecedentes penales, aficiones
- Alto. Datos especialmente protegidos como: ideología, religión, salud, origen racial…
Si no cumples la Ley te enfrentas a importantes multas económicas que seguro dejarán tu empresa tambaleándose. Las infracciones están relacionadas directamente con el tipo de datos que se han visto afectados:
- Leves. Sanciones de 900 a 40.000€.
- Graves. Sanciones de 40.001 a 300.000€.
- Muy graves. Sanciones de 300.001 a 600.000€.
Derechos del titular de los datos
La principal novedad es que las empresas no podrán utilizar los datos que se les faciliten a no ser que haya un consentimiento inequívoco por parte del usuario. Dejarán de tener validez, por tanto, los típicos formularios con la casilla de “Acepto el uso de mis datos…” premarcada por defecto.
Otra novedad es la ampliación del deber de información sobre el fin con el que se recogen los datos. El usuario debe tener totalmente claro con qué finalidad proporciona sus datos a la empresa.
Por último, en la nueva LOPD se añaden nuevos derechos del titular a los derechos ARCO (acceso, rectificación, cancelación y oposición) ya establecidos:
- Derecho de Supresión. El interesado podrá obtener del responsable del tratamiento la supresión de sus datos personales, el cual estará obligado a eliminarlos sin demora.
- Derecho de Portabilidad. Permite a la persona obtener los datos que ha proporcionado a una entidad y descargarlos, o bien, transmitirlos a otro proveedor de servicios.
- Derecho de Limitación del Tratamiento. El interesado podrá limitar o suspender el uso que se está haciendo de sus datos personales por parte de una empresa.
Obligaciones del responsable de los datos
La AEPD o Agencia Española de Protección de Datos quiere blindar la protección de los datos personales estableciendo una serie de requerimientos que, tanto pymes como grandes empresas, deberán respetar para obtener y poder tratar estos datos. Con la nueva LOPD, si una empresa contrata la prestación de servicios a terceros, y esta conlleva el acceso a datos personales, ambos deberán firmar un documento que asegure la protección de los datos. La información que debe aparecer en este acuerdo debe asegurar lo siguiente:
- Los datos no se comunicarán a terceras partes.
- Se mantendrá la confidencialidad de los mismos.
- El tratamiento de los datos se hará siguiendo las directrices a las que el titular ha dado su consentimiento.
- Se cumplirán las medidas de seguridad acordadas.
- Inscripción de los ficheros en el Registro General de Protección de Datos.
- Atención de los derechos del titular de los datos.
¿Y si soy autónomo?
La nueva LOPD pretende proteger la intimidad de todas las personas físicas. Por lo que si eres autónomo y, por tanto, persona jurídica, no podrás beneficiarte de esta ley, pero sí tu negocio. Dependiendo de tu situación, puede afectarte de varias formas:
- Si administras una SL o SA. Como autónomo no estás obligado a cumplir la nueva LOPD a nivel personal, pero sí la empresa que diriges. Así que tendrás que asegurar que cumpla con la ley.
- Si no tienes trabajadores a tu cargo. En este caso dependerá de si utilizas ficheros para almacenar los datos de tus clientes o proveedores. Si no los tienes no tendrás que cumplir la nueva LOPD, pero si tus clientes son personas físicas y te proporcionan sus datos personales, tendrás que hacerlo.
- Si tienes personal a tu cargo. Deberás cumplir con la nueva LOPD, ya que eres responsable de los datos personales de tus empleados. Si además tratas datos de clientes o proveedores, como en el caso anterior, con más razón.
Alta de fichero en la AEPD
Puedes realizar el trámite a través de la web de la AEPD, que es la encargada de velar por el cumplimiento de la nueva LOPD y garantizar el correcto uso de los datos personales. Para ello accede a su Sede Electrónica y pincha en “Iniciar Nueva Notificación”.
A continuación, deberás indicar la titularidad del fichero que vas a notificar. En esa misma página, la AEPD te explica las diferencias entre pública y privada. En la mayoría de los casos y seguro que también el tuyo, deberás marcar Titularidad privada y hacer clic en “Con Certificado” o “Sin Certificado”. El proceso es casi idéntico en ambos casos, solo que en la segunda opción deberás firmar y enviar la inscripción a la AEPD, por lo que la primera es más rápida.
Al elegir la opción con certificado saltará el siguiente mensaje:
Descarga la aplicación haciendo clic en Cancelar y, posteriormente dale a Aceptar. Serás redirigido a Cl@ve, donde has de elegir un método de identificación.
Ya te hayas decidido por cualquiera de las dos opciones, con certificado o sin, el primer paso es rellenar los datos del declarante, la persona física que va a efectuar el alta del fichero, o sea tú.
Si te has decantado por hacerlo con certificado, casi todos estos datos se completarán automáticamente, si no, tendrás que hacerlo a mano. En el campo Cargo, si tú eres el responsable del fichero, indícalo así: Responsable del fichero; si no lo eres y el responsable es una empresa, puedes poner que eres el Administrador. El medio de notificación también dependerá de si lo haces con (sede electrónica) o sin certificado (correo postal). Por último marca la casilla “Conocimiento de los deberes del declarante” y pulsa en “Siguiente”.
Te encontrarás con esta imagen:
Donde, si eres el responsable del fichero, tienes que introducir la misma información que en el paso anterior. Si estás dando de alta el fichero para una empresa, debes añadir los datos de la misma.
Ahora, al clicar en siguiente, te saldrán varias notificaciones indicando que no podrás volver a los pasos anteriores y que, a partir de este momento, la inscripción queda guardada para que puedas retomarla en otro momento. Después de aceptarlas todas, verás lo siguiente:
Tienes opciones según lo que quieras hacer con tu fichero: añadirlo, editarlo o eliminarlo. La opción que nos concierne en este momento es la de “Alta de Fichero”. Al pulsar te aparecerán dos opciones: “Normal” o “Formulario Tipo”. Elegimos esta última, ya que para la mayoría de casos es útil. Y nuevamente deberás elegir entre las nuevas opciones que te aparecen. Vamos a seguir el post con “Clientes y/o Proveedores”.
Este apartado solo deberás cumplimentarlo de nuevo si la dirección donde vas a atender a las personas que te han cedido sus datos personales es distinta a la indicada en los pasos anteriores. Si es diferente haz clic en “Cumplimentar” y rellena los datos del formulario que te aparecerá en pantalla, si no pulsa “Siguiente”.
Mismo caso que el anterior pero en lugar de con la dirección, con el encargado del tratamiento de los datos. Si eres tú mismo el responsable, no necesitas volver a rellenarlo. Si es otra persona la encargada de manipular los datos personales, deberás introducir sus datos.
En esta parte tendrás diferentes opciones dependiendo de tu actividad. En el recuadro derecho deberán estar las finalidades para las que tienes previstas usar el fichero. Puedes moverlas utilizando las flechas entre ambos paneles. También puedes editar el nombre del fichero y su descripción.
Nuevamente depende de tu empresa o negocio. En “Origen”, marca las casillas que se correspondan con las fuentes de las que obtienes los datos personales de tus clientes. Después, igual que antes, pasa a la parte derecha las categorías que vas a incluir en el fichero de datos utilizando las flechas.
En esta primera parte, marca las casillas correspondientes al tipo de información personal que recopilas. SI seleccionas datos especialmente protegidos, deberás tener en cuenta que el nivel de seguridad de tus archivos ha de ser alto, por ejemplo, mediante un registro de accesos.
Más abajo en esa misma página, verás otra vez los famosos recuadritos. Pasa al lado derecho aquellos que estén reflejados en tu fichero de datos. Para terminar con esta parte, elige el sistema de tratamiento:
- Automático. SI tienes un negocio online y almacenas la información en una base de datos.
- Manual. SI los datos personales los recibes a través de formularios en papel.
- Mixto. Cuando se combinan ambos métodos.
Como te decíamos, según el tipo de datos que recopiles deberás aumentar el nivel de seguridad de tus ficheros. Al principio de este post tienes detallados los distintos niveles de seguridad de la nueva LOPD.
Este apartado solo debes cumplimentarlo si tienes previsto ceder los datos a terceros. Como en los casos anteriores, mueve las categorías a la parte derecha si vas a comunicar datos con alguno de esos destinatarios. Si no lo vas a hacer, haz clic en “No Cumplimentar” y ya habrás terminado.
Al Finalizar, tendrás en pantalla un resumen de tu solicitud.
Aquí puedes añadir una nueva, ver un resumen más completo de la notificación o enviarla a la AEPD. Si hemos llegado hasta aquí Con Certificado Digital, deberás firmar la solicitud con tu firma digital. SI lo has hecho Sin Certificado Digital, al enviar la notificación, podrás descargar el justificante de la operación e imprimirlo. Este tendrás que firmarlo y enviarlo a la Agencia Española de Protección de Datos, por correo ordinario a la calle Jorge Juan, 6, 28001, Madrid; o mediante fax a 91 445 25 29 ó 91 448 36 80.
Si lo haces correctamente, la AEPD te enviará una carta confirmando la inscripción del fichero y asignándote un código con el que podrás realizar la modificación o supresión de esta. Si utilizaste la sede electrónica, te notificarán vía email.
Registro de Actividades de Tratamiento
Tras dar de alta el fichero en la AEPD, aquellas entidades que traten datos especialmente protegidos deberán realizar un registro de las actividades de tratamiento. Es decir, una lista con información de los tratamientos que lleva a cabo la empresa para proteger los datos personales. Con la nueva LOPD, el registro no es obligatorio para empresas con menos de 250 empleados, a excepción de los siguientes casos:
- El tratamiento de la información puede suponer un riesgo en los derechos y libertades de los titulares de los datos.
- Los datos guardan relación con infracciones o condenas.
- La información incluye datos personales relativos al nivel de seguridad alto.
Los responsables del tratamiento de los datos deberán mantener siempre actualizado el registro de actividades en formato electrónico. Esta tarea pude estar a cargo del responsable del fichero o del encargado del tratamiento de los datos. En ambos casos, el fichero deberá contener la siguiente información:
- Datos identificativos del responsable o responsables.
- Finalidad del tratamiento de los datos.
- Descripción de las categorías de datos de los titulares y de los destinatarios.
- Garantías para la transferencia de datos internacionales.
- Plazo previsto para la supresión de los datos.
- Descripción detallada de las medidas de seguridad tomadas.
El hecho de no tener un registro de actividades de tratamiento, si se está obligado, supone una infracción grave.
Si necesitas ayuda para registrar tus ficheros de datos o más información sobre la nueva LOPD, no dudes en contactar con nosotros. Puedes hacerlo mediante nuestro formulario de contacto o dejándonos un comentario al pie de este post.
