Ya está en vigor la Ley Orgánica de Protección de Datos de 2018

11 de abril de 2019

La nueva Ley de Protección de Datos y garantía de derechos digitales (LOPDgdd) tal y como se le conoce fue aprobada por el Congreso el 6 de diciembre de 2018 y sustituye a la obsoleta de 1999, sobre todo tras la entrada en vigor del RGPD el 25 de mayo de 2018 al que complementa.



Vamos a ver cómo se conjugan ambos y cómo afecta a las empresas.

Cambios en la LOPD

La nueva ley orgánica surge como resultado del nuevo reglamento europeo de 2018 y también porque la antigua protección de datos era de 1999 y desde entonces la sociedad y el marco jurídico ha cambiado enormemente en cuanto al tratamiento de datos debido a las posibilidades que nos ofrece actualmente la tecnología.

Muchas de sus normas ya venían en el Reglamento General de Protección de Datos, pero es en la Ley Orgánica de Protección de Datos y garantía de derechos digitales donde se desarrollan, como, por ejemplo, las sanciones, calificadas en:

• Leves.
• Graves.
• Muy graves.

Aplicadas por la Agencia Española de Protección de Datos, con sus medidas correctoras y plazos de prescripción.

Lo que la Ley de Protección de datos y derechos digitales viene a decir es que cualquier persona física o jurídica que en su vida o trabajo diario trate datos personales, debe cumplir con la norma. (Aquí entra información de proveedores, clientes, pacientes, alumnos, cookies, etc.).

La aprobación de la ley española fue un poco tardía, pero por fin, supone una adaptación de la legislación de nuestro país al ordenamiento europeo en esta materia.

La LOPDgdd establece que exista transparencia mediante capas y estrategias informativas, para garantizar que hay un mínimo de información visible.

Por otro lado, se debe garantizar accesibilidad y gratuidad en los derechos, favoreciendo el acceso digital a los datos personales a través de accesos de tipo remoto, directos y seguros.

La protección de datos personales de los menores de edad también está legislada. A partir de los trece años se puede dar el consentimiento para el tratamiento de los mismos, aunque es posible encontrar excepciones; en caso de menos edad, habrá que contar con la aprobación del titular de la patria potestad o quien tenga la tutela del menor.

Una novedad que adquiere vital importancia es que se admiten las denuncias anónimas, cosa que no sucedía con la anterior normativa.

Los derechos de los particulares en cuanto a la protección de datos son:

• Acceso.
• Rectificación.
• Cancelación.
• Oposición.
• Limitación.
• Supresión.

Los cuatro primeros ya eran conocidos como los derechos ARCO, a ellos se unen los dos siguientes, en los que se puede limitar o suprimir la información que pertenece a una persona física.

Existe algún punto de coincidencia entre la nueva ley y la de 1999, como el que habla de que para el tratamiento de datos de profesionales liberales o quienes detenten la representación de una persona jurídica, no será preciso el consentimiento expreso.

Cómo afectará la ley de protección de datos a las empresas

La Ley de Protección de Datos y garantía de derechos digitales se traduce en que las empresas de cualquier tamaño (incluidos los autónomos) tienen que respetar tanto la ley española como el Reglamento General de Protección de Datos europeo.

Y si se trata de un negocio instalado fuera de la UE, está obligado a obedecer los preceptos de este siempre que afecte a ciudadanos de la misma.

La cuestión no está tanto en el tamaño de la empresa, como en el tipo de datos tratados; si una organización con muchos empleados tiene información sensible sobre sus propios empleados y sus clientes, no requiere el mismo nivel de protección que un autónomo que maneja millones de datos de personas para realizar perfiles, por ejemplo.

La ley hace referencia al Delegado de Protección de Datos (DPD o DPO, en este caso son las siglas en inglés), que debe ser un profesional o varios que asesoran y supervisan para que las cosas se hagan de una manera correcta, informando y resolviendo dudas. Pero, y esto es muy importante, es la empresa la que debe cumplir con la norma, no el DPD.

Podemos ver que en el art. 34 de la LOPDgdd se refleja que las empresas deben contar con un delegado de protección de datos.

Aunque ya venían en el RGPD, la nueva ley añade los derechos de limitación del tratamiento, portabilidad y oposición.

Existen dos figuras que son el responsable y encargado de tratamiento de datos, con sus funciones y demás responsabilidades.

Una de las incorporaciones más novedosas de esta ley es el reconocimiento de los derechos digitales, para conseguir un equilibrio entre la vida personal y profesional de los trabajadores. Para las empresas lo más importante es el derecho a la desconexión digital, lo que significa que los trabajadores, fuera del horario laboral, no están obligados a usar ningún dispositivo informático o electrónico por motivos profesionales.

Para cumplir la Ley Orgánica de Protección de Datos y garantía de los derechos digitales hay un documento fundamental: El Registro de Actividades de Tratamiento (RAT) que sustituye al fichero de datos personales.

Con él, lo que se procura es definir los tratamientos de datos que se realizan y las medidas de seguridad que se adoptan.

Es obligatorio y la Agencia Española de Protección de Datos lo puede requerir, por lo que debe estar actualizado siempre.

Las páginas web de empresa deben adaptarse a la nueva ley en sus textos básicos:

• Privacidad.
• Aviso legal.
• Política de cookies.
• Disponer de capas informativas en cada formulario.

Además, siempre que se consigue un dato de carácter personal será preciso actualizar el registro en los casos en que la web haga lo siguiente:

• Ofrecer un servicio.
• Tener un formulario, existan comentarios o suscripciones.
• Sea una web de ventas.
• Haya personas físicas que puedan afiliarse.
• Si el site contiene publicidad.
• En el caso de que se tenga Google Analytics.
• Siempre que, en la web, ordenador, servidor o dispositivo, exista algún dato de quienes visitan la web.

Incluso si hay un blog (o este es personal) con sección de comentarios debe haber un registro, porque, de lo contrario, al ser un sitio público, se estaría incumpliendo la ley.

Cuida tu empresa con la destrucción de documentos

No se puede olvidar el hecho de que toda esa documentación, todos esos datos cuando existan en formato físico (papel, discos duros, tarjetas de memoria, etc) al acabar su vida útil (las distintas leyes establecen el tiempo que es preciso guardar esa información), debe destruirse.

Respetar los derechos de los particulares en el tratamiento de datos llega hasta el momento de la destrucción de documentación, último paso del procedimiento.

Y esa información privada muchas veces consiste en filiaciones, nóminas, expedientes médicos, encuestas, etc.

Para ello hay unas normas que siguen vigentes en la forma como se debe llevar a cabo la destrucción de documentos, junto con un código de buenas prácticas que no entran en conflicto ni con la LOPDgdd ni con el RGPD, más bien al contrario.

Se trata de normas de aplicación, también, en la UE y son:

• Norma DIN 66399
• UNE 15713

En ambos casos la importancia está en la seguridad y protección de los datos de carácter personal, incidiendo en el tipo de soporte en el que se guarda la información sensible (papel, digital, etc.) y en la confidencialidad.

Esto puede resultar delicado para quien posee la documentación, pero no tiene unos medios adecuados para proceder a su eliminación y, con mucha seguridad, va a precisar la ayuda de profesionales que sepan cómo llevar a cabo este trabajo.

Las empresas de destrucción de documentos existen y son organizaciones que conocen y ponen en práctica las normas de aplicación en sus procedimientos.

Externalizar el servicio para destruir la documentación obsoleta o que no reporta ninguna utilidad es una buena solución, teniendo en cuenta lo expuesto arriba sobre los criterios que establecen el RGPD y la nueva LOPDgdd.

Estas organizaciones tienen los profesionales, jaulas, medios de transporte, instalaciones y herramientas apropiadas para llevar a cabo un perfecto proceso de destrucción de documentos bajo la más estricta observancia de la norma legal.

Y mucho cuidado con las sanciones. Lo mejor es prevenir adecuando la estructura empresarial y, de esta manera, no tener problemas si se tiene en cuenta la cuantía de las multas, las posibles indemnizaciones a los damnificados, la pérdida de prestigio y, a la postre, la ruina del negocio.

Anobium es una empresa de destrucción de documentos que evita que tu negocio pueda perder datos personales e incurrir en infracciones el RGPD o a la LOPDgdd. Ponte en contacto con nosotros y te solucionaremos el problema.