Lo que las pequeñas empresas españolas deben saber sobre el RGPD al gestionar la información de sus clientes

El RGPD también se aplica a las pequeñas empresas.

¿Qué es el RGPD? El Reglamento General de Protección de Datos es la norma europea que regula la protección de los datos personales, aprobada en 2016 por el Parlamento Europeo y por el Consejo de la Unión Europea. En España, se complementa con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Ambas normativas se aplican a empresas de todos los tamaños, incluyendo tiendas, talleres, restaurantes, clínicas, agencias inmobiliarias, contables y autónomos. Siempre que una empresa, independientemente de su tamaño, recopile, almacene o utilice información personal, estará sujeta a estos requisitos de protección de datos.

Los principios fundamentales se recogen en el Reglamento General de Protección de Datos y en la LOPDGDD de España.

¿Qué se considera dato personal?

¿Qué son los datos personales? Los datos personales son cualquier información sobre una persona viva que pueda ser identificada a partir de esos datos, o a partir de esos datos junto con otra información que usted posea.

También se pueden incluir imágenes, grabaciones de cámaras de seguridad, referencias de reservas, currículos, direcciones de correo electrónico, facturas e información médica.

El tratamiento de datos es cualquier operación que se realice con información personal, como su recogida, almacenamiento, consulta, comunicación o supresión.

Las empresas necesitan una razón legal para recopilar información.

El tratamiento de datos personales debe tener una base legal; es decir, debe fundamentarse en un motivo legítimo conforme a la legislación de protección de datos. Algunos ejemplos son: el consentimiento del interesado, un contrato, una obligación legal y los intereses legítimos.

Por ejemplo, una tienda podría necesitar usar los datos de contacto de un cliente para coordinar la entrega de una mercancía. El envío de mensajes promocionales tiene una base legal diferente.

Cuando necesite el consentimiento, asegúrese de que sea libre, específico, informado e inequívoco. No dé por sentado que facilitar un número de teléfono equivale a consentir el envío de comunicaciones comerciales.

Recoja solo lo necesario.

Las organizaciones deben solicitar únicamente la información necesaria para prestar su servicio. Por ejemplo, una reserva en un restaurante no suele requerir la misma información personal que una cita médica.

Los datos tampoco deben conservarse indefinidamente. Una vez que ya no sean necesarios, deben eliminarse, teniendo en cuenta otras obligaciones legales (por ejemplo, los requisitos de contabilidad y tributación).

Los clientes tienen derechos sobre su información.

Los clientes pueden acceder a sus datos, pedir que se rectifiquen los que sean inexactos o solicitar su supresión. También tienen otros derechos, como oponerse al tratamiento de sus datos o pedir la limitación de dicho tratamiento.

Las pequeñas empresas deberían contar con un método sencillo para registrar estas solicitudes, con procedimientos establecidos para verificar la identidad de la persona si fuera necesario y para tramitar la solicitud dentro del plazo pertinente.

Política de privacidad y proveedores externos

La política de privacidad debe indicar quién es el responsable del tratamiento, con qué fines se tratan los datos, la base legal, el plazo de conservación y cómo pueden los clientes acceder a sus datos y ejercer sus derechos.

También hay que prestar atención a los proveedores externos. Los datos de los clientes pueden compartirse con contables, empresas de marketing, proveedores de servicios en la nube, proveedores de TI, etc.

Si estos proveedores actúan como encargados del tratamiento, es decir, si tratan datos por cuenta de la empresa y siguiendo sus instrucciones, debe firmarse con ellos un contrato de encargado del tratamiento. Los propietarios deben revisar dónde se almacenan los datos y qué medidas de protección se ofrecen.

Muchas empresas también deben llevar un registro de actividades de tratamiento, en el que se indique qué datos personales tratan, con qué fines y dónde se almacenan. Los criterios exactos pueden variar según el tipo de negocio, por lo que le recomendamos consultar con la Agencia Española de Protección de Datos (AEPD) o con un asesor profesional.

Los hábitos de seguridad cotidianos son importantes.

Las medidas de seguridad concretas dependerán de cada empresa, pero hay prácticas básicas que conviene aplicar: contraseñas seguras, autenticación de dos factores, dispositivos siempre actualizados y controles de acceso para que cada persona vea solo la información que necesita.

No guarde información de clientes en cuentas ni teléfonos móviles personales de los empleados. Si necesita enviar un documento, una factura o un contrato a un cliente, utilice siempre un canal seguro, compruebe el destinatario antes de enviarlo y acuerde con su equipo quién se encarga de estos envíos.

Otra medida útil es sustituir las cuentas de correo personales por un buzón corporativo. Si la empresa maneja con frecuencia datos sensibles de clientes, puede optar por un servicio de correo corporativo con cifrado de extremo a extremo y arquitectura de acceso cero. Algunos proveedores, según su propia información, ofrecen además aplicaciones de código abierto, sede en Suiza y dominios personalizados. Sin embargo, elegir uno de estos servicios no garantiza automáticamente el cumplimiento del RGPD, por lo que los propietarios deben revisar la información del proveedor y consultar con la AEPD o un asesor.

¿Qué hacer ante una brecha de datos personales?

¿Qué es una brecha de datos personales? Es un fallo de seguridad que provoca la pérdida, la alteración o el acceso no autorizado a información personal; por ejemplo, cuando se extravía un teléfono de la empresa, se envía un correo electrónico al destinatario equivocado o alguien utiliza una cuenta sin autorización.

Las empresas deben reaccionar con rapidez determinando qué se ha perdido y la probabilidad de que cause daños. Si la brecha supone un riesgo para los derechos y libertades de las personas, deben notificarla a la AEPD sin dilación indebida y, a más tardar, en un plazo de 72 horas. También se debe notificar a los interesados ??cuando el riesgo sea elevado.

Todas las brechas deben registrarse internamente, aunque no sea necesario notificarlas. El Aviso oficial de notificación de incumplimiento de AEPD establece los requisitos para notificar una brecha de datos personales.

6 cosas que las pequeñas empresas pueden hacer esta semana.

• Comprobar dónde se almacenan los datos de los clientes.
• Eliminar los datos que ya no sean necesarios.
• Actualizar la política de privacidad de la empresa.
• Revisar los contratos con proveedores externos.
• Fomentar el uso de contraseñas seguras y la autenticación de dos factores.
• Crear un proceso para atender las solicitudes de los clientes y los incidentes de seguridad.

La AEPD también ofrece gratuitamente FACILITA_RGPD, una herramienta para ayudar a las pequeñas empresas y a los profesionales autónomos con sus obligaciones de cumplimiento. Encontrará más información en su Guía para pequeñas empresas.

Para las pequeñas empresas de Burgos, de Castilla y León y del resto de España, proteger los datos de los clientes no tiene por qué ser caro. Se trata simplemente de organización y responsabilidad, y de dar esos pequeños pasos de forma constante cada día. Cuidar bien los datos de los clientes preserva la reputación y la situación legal de la empresa.