Ricard Castellet

Ya hemos hablado en varias ocasiones del tema de las cookies. Hay que entender que a estas alturas ya sabemos como debe funcionar la solución que tenemos que implementar para que el usuario pueda hacer efectivo su derecho de conocer y elegir las cookies que quiere instalar en su ordenador. Pero, y el resto?

Pues sí, la solución de cookies para nuestra web es condición necesaria pero no suficiente. Y no lo es porque la web necesita otros textos legales para cumplir con la normativa de protección de datos y, muy importante, requiere que la empresa esté adecuada al RGPD y la LOPDGDD.

Es obvio que la web es la parte visible de la empresa y que los textos legales que aparecen se pueden ver y valorar por personas externas a la empresa. El primer colectivo que lo hace es el de clientes y usuarios. Y no es el único: empleados, accionistas, proveedores, competencia, administraciones públicas y todos los grupos de interés que rodean a la empresa también lo hacen. Y, naturalmente, las autoridades de control en protección de datos y del ámbito mercantil, entre otros, también ven y revisan nuestras páginas legales.

Aquí también, vuelve a ser condición necesaria pero no suficiente el disponer de los textos legales sin que la empresa esté adecuada. Es más, si la empresa no está adecuada, no se pueden generar los textos legales que, simplemente, estaríamos cometiendo un fraude.

Y esta situación de fraude es más frecuente de lo que parece. Desde copiar y pegar textos legales de otra empresa a generar textos con apariencia de legalidad, el abanico de soluciones fake que se utilizan son muy variadas.

El camino correcto, por tanto, es adecuar la empresa a la normativa de protección de datos (RGPD y LOPDGDD) para, a continuación, generar los textos legales, incluyendo aquellos que dependen de la LSSICE.

Y que hay que hacer para adecuar nuestra empresa a la normativa? Sin pretender hacer una lista exhaustiva de las tareas a realizar, deberíamos empezar por una Auditoría que valore la situación inicial (descubrimiento de datos, medidas de seguridad, análisis de riesgos, ...). La segunda fase consistiría en definir el Registro de Actividades (RAT), establecer la Estructura técnica y organizativa, implementar las Medidas de Seguridad, diseñar los contratos con Intervinientes de tratamiento (empleados, terceros, ...) y generar toda la Información y Comunicación de los tratamientos necesaria desde Cláusulas de Personal, Tratamiento o Internet -Textos legales- entre muchos otros, hasta la redacción de los Informes Reglamentarios, Protocolos de Actuación y de Tratamiento, sin olvidar la importante gestión del ejercicio de Derechos.

Y las ventajas? Ser más transparente, generar confianza y, por tanto, más negocio de calidad. Y, por supuesto, evitar sanciones económicas y, sobre todo, la pérdida de reputación que, en muchos casos, puede ser irreversible.

En todos los casos, la adecuación sólo conlleva beneficios. Y dejarlo en manos de profesionales nos permite poder centrarnos en lo importante: nuestro negocio. Y tener la satisfacción de hacer las cosas bien hechas.

Cuidaos!

Esta semana se han cumplido tres años desde que el Reglamento General de Protección de Datos entró en aplicación. Repasamos en este post algunos de los hitos más importantes y haremos un poco de balance que, como siempre, tendrá luces y sombras.

El RGPD entró en vigor el 2016 pero, gracias a una moratoria, su aplicación no empezó hasta mayo de 2018. La Protección de Datos personales no era una novedad en nuestro país, la LORTAD es de 1992 y la LOPD de 1999, pero no cabe duda que la entrada en vigor del RGPD supuso un cambio de paradigma en el tratamiento de los datos personales por parte de las empresas en España. Muchos descubrieron, a partir de aquel momento, el derecho fundamental a la privacidad o, lo que es lo mismo, garantizar a las personas el control sobre sus datos personales.

Ahora hablamos de un modelo preventivo (no reactivo por denuncias) con responsabilidad proactiva, donde se ha establecido la privacidad por defecto, desde el diseño, y todo el enfoque de las obligaciones de los responsables se tiene que hacer basado en el enfoque del riesgo.

Consentimiento reforzado, nuevas cláusulas informativas, nuevos contratos de encargado de tratamiento, medidas de seguridad (violaciones de seguridad), nuevos derechos de los interesados y figuras como el Delegado de Protección de Datos son algunas de las novedades que nos trajo el RGPD y que ahora nos resultan, además de familiares, imprescindibles en nuestro día a día en la materia.

Y las sanciones, no nos olvidamos, son considerables. España es el país que más sanciones ha puesto a Pymes en el marco europeo. Y, como siempre, al margen del importante coste económico, lo más preocupante tiene que ver con la pérdida de reputación de la empresa. Este es el intangible más apreciado y que tenemos que preservar a toda costa.

Este tiempo no ha estado exento de dificultades. Solo hay que recordar la anulación del Acuerdo Privacy Shield que daba cobertura jurídica a las transferencias de datos entre Europa y los Estados Unidos. O las modificaciones en la regulación de las cookies que, todavía hoy, incumplen muchas empresas.

Y no olvidemos la tecnología que avanza a pasos agigantados, mientras que la normativa le sigue al ritmo que puede. Con la pandemia hemos visto el auge de las videoconferencias y el teletrabajo con sus dificultades para preservar la privacidad. Y otros, como por ejemplo, el reconocimiento facial o de voz, la Inteligencia Artificial (IA), el Big Data o el Blockchain que empezaban a aparecer o directamente no existían cuando empezaron los trabajos del Grupo de Trabajo del artículo 29, allá por el 1996.  

Un balance, al fin, bastante positivo en general. Pero queda mucho camino por recorrer.

Cuidaos!