Protección de datos para empresas: cumplir antes de que llegue la inspección.

Lo primero es contener el incidente y documentarlo: qué datos se han visto afectados, cuántas personas, cuándo se detectó y qué medidas se han tomado. Si la brecha supone un riesgo para los derechos de las personas, hay que notificarlo a la Agencia Española de Protección de Datos en un plazo de 72 horas desde que se tiene constancia, y comunicarlo a los afectados cuando el riesgo es alto. Notificar tarde o no notificar es una infracción autónoma, aunque la brecha en sí se haya gestionado bien.

El DPO solo es obligatorio en los supuestos del artículo 34 de la LOPDGDD: colegios profesionales, centros sanitarios, centros docentes, entidades financieras, aseguradoras, empresas de seguridad, empresas que tratan datos a gran escala con perfilado y quien gestione datos de salud o de menores, entre otros. Si no estás en esa lista, puedes nombrar un asesor externo o encargar la función sin necesidad de registrarlo como DPO; lo importante es que alguien con criterio jurídico revise el tratamiento.

El RGPD permite el envío a clientes existentes para productos o servicios similares si se informó al recoger el dato y se ofrece una forma sencilla de darse de baja en cada comunicación. Fuera de ese supuesto —captación de clientes nuevos, sectores ajenos al servicio contratado— hace falta consentimiento previo y expreso. La LSSI añade que la publicidad electrónica no consentida es infracción, así que la base jurídica hay que elegirla antes de montar la campaña, no después.

Toda empresa que trate datos personales por cuenta de otra necesita un contrato de encargado del tratamiento firmado y con el contenido del artículo 28 del RGPD: objeto y duración, finalidad, tipo de datos y categorías de interesados, obligaciones del encargado, medidas de seguridad, subcontratación, asistencia en el ejercicio de derechos y en las brechas, y destino de los datos al terminar el servicio. Faltar en la acreditación de este contrato es una de las causas de sanción más habituales en inspecciones.

Las infracciones leves llegan a 40.000 €, las graves a 300.000 € y las muy graves a 20 millones de euros o, si es superior, al 4 % de la facturación anual mundial del ejercicio anterior. Además del importe, la sanción deja constancia pública del expediente y suele acompañarse de medidas correctivas con plazo. Prescriben al año las leves, a los dos años las graves y a los tres las muy graves, pero el expediente puede seguir en marcha mucho después de corregir el problema.

Sí, siempre que uses cookies o tecnologías no necesarias: analítica, publicidad, mapas incrustados, píxeles de redes sociales o vídeos externos. El banner tiene que permitir aceptar y rechazar por categorías con el mismo nivel de visibilidad, sin casillas premarcadas ni muros de bloqueo, y el consentimiento debe poder retirarse tan fácilmente como se otorgó. Las cookies técnicas y las de personalización estricta no requieren consentimiento, pero sí información.