Como ya he comentado en otras ocasiones, los datos de carácter personal son derechos especialmente protegidos, y se encuentran dentro de la categoría de derechos fundamentales de la Constitución.
La privacidad de estos datos deber ser tomada muy en serio por las empresas y organizaciones, pues éstas gestionan información personal que, de ser conocida por terceros, puede causar perjuicios graves para los particulares, además de generar denuncias a la AEPD o demandas para éstas.
Sin perjuicio de que siempre recomendaré que un experto con conocimientos jurídico-técnicos en LOPD valore y audite cada empresa de forma independiente antes de implantar cualquier política de protección de datos, a continuación indico las claves básicas para dar un cumplimiento mínimo a la LOPD.
1.- Inscripción de los diferentes ficheros en la Agencia Española de Protección de Datos.
No se trata simplemente de inscribir un fichero genérico en el que caben todo tipo de datos. Se debe hacer un estudio previo de las diferentes formas en los que un empresa recaba datos de carácter personal para así organizarlos en diferentes ficheros. Por ejemplo, si los datos se recaban a través de un formulario web, conviene crear un fichero exclusivo para estos datos, si se recogen imágenes de una cámara de seguridad se debe crear otro fichero diferente, si se trata de proveedores otro, de curriculums otro, de personal y nóminas otro diferente, otro para clientes, etc. De esta manera, los datos estarán organizados, localizables y mejor protegidos según sus características, pues obviamente no es lo mismo tener información de enfermedades de una persona, que tener simplemente su e-mail.
Otra cosa importante es, por supuesto, poner esto en práctica y crear estos ficheros física o virtualmente de forma ordenada, y mantenerlos en buenas condiciones junto con las medidas técnicas adecuadas en función de si se trata de datos con una protección de grado básico, medio o alto.
2.- Elaboración de una política de privacidad y de cookies.
Tanto si tu empresa tiene una web como si no, la LOPD indica que se ha de elaborar una política de privacidad en la que se informará a los clientes o aquellas personas de las que se recaben sus datos de cual será el uso de los mismos, cómo pueden ejercitar los derechos ARCO (acceso, cancelación, rectificación y oposición), a dónde deben dirigirse los usuarios, titularidad del o los ficheros y otra información relevante que cada empresa quiera o deba facilitar a sus clientes.
Además, esta política se debe implementar en el propio seno de la empresa, y funcionar tal y como se indica a los clientes. Es decir, conviene que haya un responsable del fichero, un responsable de atender a los clientes que ejerciten sus derechos ARCO, etc. No es suficiente informar de nuestra política de privacidad si internamente la empresa no funciona como tal, ni se lleva ningún control sobre los datos.
3.- Elaborar el Documento de seguridad.
Un Documento de seguridad es donde se anotan protocolos de seguridad, medidas técnicas y organizativas para la protección de los datos, se indica quienes son los responsables de las diferentes funciones y ficheros, listado de personas con acceso a los datos, se archivan documentos firmados con terceros en relación con acceso a datos, contratos de confidencialidad con los trabajadores, etc. En definitiva, se trata de un documento «vivo», que se deberá actualizar con cada cambio y por ello es necesario que alguien se responsabilice del mismo.
Paradójicamente, el Documento de seguridad es el gran olvidado de las empresas, cuando en realidad es el documento más importante y el que, en caso de inspección por denuncia (de momento no hay inspecciones de oficio propiamente dichas) se requerirá. Hemos de tener en cuenta que las inspecciones suelen producirse por denuncia, normalmente de trabajadores pero cada vez los casos son más variados.
Actualmente, como digo, no existe la figura del inspector de protección de datos de carácter personal, pero hemos de tener en cuenta que un Inspector de trabajo también podrá solicitar el Documento de seguridad, ya que suele contener datos de carácter laboral, o curriculums, y aunque no se sancionará en caso de no tenerlo en condiciones, sí se anota en el acta de inspección.
Además, para muchas certificaciones ISO, el estar en cumplimiento de la LOPD es un requisito básico.
4.- Firma de Contratos con proveedores, clientes y trabajadores.
Otro gran olvido de las empresas u organizaciones es firmar los correspondientes documentos con aquellos proveedores, clientes u otras personas que tengan acceso a los datos o dependencias de éstas.
En estos contratos las partes implicadas se deben comprometer a hacer el uso correcto y necesario de los datos a los que acceden, además de guardar confidencialidad. Sin estos contratos, los datos corren el peligro de ser utilizados para otras cuestiones.
5.- Mantenimiento.
Por último, y muy importante, es que las empresas deben concienciarse de que la LOPD es una de las leyes más estrictas y específicas que Europa nos impone, y que para dar un buen cumplimiento es necesario trabajar sobre los datos obtenidos de forma continua, establecer medidas técnicas adecuadas, auditarse y mantener unos estándares de protección y calidad adecuados de forma continuada, y por tanto tras la implantación de protección de datos, se deben proceder al mantenimiento correcto de todos los protocolos de cara a evitar sanciones importantes.
Andrés Bruno. Protección de datos. 