Preguntas Frecuentes sobre Protección de Datos
Sabemos que el mundo del Reglamento General de Protección de Datos (RGPD) puede parecer una mezcla entre Black Mirror y una guía de montaje de muebles suecos: complicado, confuso y con un lenguaje que parece escrito por robots legales. Pero no te preocupes, aquí te lo contamos todo sin tecnicismos raros y con palabras claras.
Esta sección de preguntas frecuentes está pensada para ti: el que ha oído hablar del “interés legítimo” pero no sabe si es un derecho, una obligación o una excusa para cobrar dinero; el que quiere cumplir con la normativa sin hacerse un máster en derecho; y sí, también para el que se enteró de que tenía que tener una política de seguridad porque le hicieron una inspección.
Aquí resolvemos dudas reales sobre tratamientos de datos, políticas, seguridad, brechas, consentimientos y todo ese universo apasionante (sí, hemos dicho apasionante) que es la protección de datos.
Y lo hacemos como nos gusta: con claridad, con un toque de humor y, por supuesto, sin enrollarnos.
¿Empezamos?
Y si después de leer todas las preguntas no encuentras lo que estás buscando, no lo dudes: escríbenos. Estamos encantados de poder responder a tus preguntas.
¿Qué es la protección de datos?
Es el derecho que tienes a que nadie haga un uso loco de tu información personal. Hablamos de tu nombre, DNI, dirección, email, historial médico o ese dato que diste sin pensar en un formulario. La protección de datos regula cómo deben tratarse esos datos para que no acaben en manos indebidas, mal utilizados o tirados en una carpeta olvidada. En resumen: se trata de poner orden, control y cabeza en cómo se maneja la información de las personas.
¿Por qué debo cumplir con la protección de datos?
¿Qué empresas deben cumplir con la protección de datos?
Todas. Y cuando decimos todas, es realmente todas. Da igual si eres una gran empresa, una asesoría, un autónomo o el primo que hace páginas web desde casa. Si tratas datos personales (y lo haces, créenos: basta con tener un formulario, una nómina o un listado de clientes), tienes que cumplir. Aquí no hay “yo es que soy pequeño” que valga. El RGPD no distingue por tamaño, sino por si manejas o no información de personas.
¿Qué me puede pasar si no cumplo?
Pues desde una advertencia amable (con suerte) hasta una multa de esas que hacen que se te caiga el café encima del teclado. Las sanciones pueden llegar hasta los 20 millones de euros o el 4% de tu facturación anual (la cifra que sea mayor). Además, puedes perder la confianza de tus clientes o terminar saliendo en prensa… pero no por una buena noticia. Y lo peor: todo eso por no hacer bien cuatro cosas básicas.
¿Qué debo tener en cuenta para cumplir con la protección de datos?
Piensa en tres palabras: orden, sentido común y transparencia.
Tienes que saber qué datos recoges, para qué los usas, cuánto tiempo los guardas, con quién los compartes y qué medidas aplicas para protegerlos. Además, informa siempre a las personas y dales sus derechos: acceso, rectificación, borrado, etc. Y sobre todo: no improvises. El RGPD no perdona los “ya lo haré cuando tenga tiempo”.
¿Además de la protección de datos hay otras leyes que debo tener en cuenta?
¿Qué datos personales se consideran sensibles?
Los datos sensibles son como la porcelana fina de los datos personales: requieren un trato aún más cuidadoso. Aquí entran cosas como el estado de salud, la orientación sexual, la religión, la afiliación sindical, los datos biométricos, etc. Vamos, lo que no le contarías al primero que pasa por la calle. Si vas a tratarlos, necesitas bases legales sólidas y medidas de seguridad extra. Y, en muchos casos, un buen motivo… y un consentimiento por escrito.
¿Tengo que pedir consentimiento para todo?
No necesariamente. El consentimiento es solo una de las bases legales para tratar datos, pero no siempre es la más adecuada (ni la más cómoda). Por ejemplo, si alguien te compra algo online, no necesitas su permiso para procesar su dirección: lo haces porque hay un contrato. Eso sí, si vas a enviarle newsletters, ahí sí: consentimiento claro, libre, informado y sin casillas ya marcadas. Y recuerda: si lo pides, guarda la prueba de que te lo dieron.
¿Cuánto tiempo puedo guardar los datos?
No vale lo de “por si acaso”. El principio de limitación del plazo dice que solo puedes conservar los datos el tiempo necesario para la finalidad con la que los recogiste. ¿Ya no te hacen falta? Toca borrarlos o, como mínimo, anonimizar. Y no, tener un Excel con datos de clientes de hace 10 años “por nostalgia” no es una razón válida.
¿Qué hago si tengo una brecha de seguridad?
Primero: no entres en pánico. Segundo: actúa rápido. Si se te ha colado un virus, has perdido un USB con datos o alguien ha accedido a información sin permiso, es posible que estés ante una brecha de seguridad. Si hay riesgo para los derechos de las personas, tienes 72 horas para notificarlo a la Agencia Española de Protección de Datos (AEPD). Y si el riesgo es alto, también tendrás que avisar a los afectados. Lo importante es tener un plan antes de que pase.