Desde la implementación de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales, la gestión de datos personales de clientes se ha convertido en un asunto central para multitud de empresas.  

Las infracciones con respecto a esta ley son como para tomárselo en serio: las más graves pueden acarrear multas de hasta el 4% del volumen de negocios anual global de una empresa. Pues bien, ¿qué obligaciones supone la LOPDGDD en la gestión de datos personales de clientes y cómo pueden las empresas garantizar las mejores prácticas? Te lo contamos.

¿Qué son datos personales?

Es posible que también te preguntes a qué se refiere la ley con “datos de carácter personal”. En este caso, debes saber que se trata de toda información en cualquier formato (numérica, alfabética, fotográfica, acústica o de cualquier otro tipo) que se refiera a la identidad, las características como individuo, la existencia u ocupaciones de personas físicas. 

Algunos ejemplos clarifican esta definición, pues se incluyen como datos personales el nombre completo, dirección postal, datos de contacto (como la dirección de email o teléfono), número de DNI, fotografías o fecha de nacimiento, entre otros muchos ejemplos. Cabe destacar que la dirección IP también se considera un dato personal, ya que esta dirección permite a los proveedores de Internet identificar fácilmente al usuario que la tiene asignada.

La LOPDGDD nace con el fin de proteger la privacidad de las personas estableciendo requerimientos para salvaguardar este tipo de datos.  Además, esta legislación establece sanciones para los tratamientos que no se adecuen a la misma o para los que no apliquen las medidas de protección necesarias. 

Teniendo en cuenta que las auditorías y multas crecen año a año (se calcula que en 2022 fueron un 630% más cuantiosas que en 2021), es importante que conozcas qué elementos deben aparecer en tu página web, en la medida que trate datos personales, para cumplir con esta legislación. Te los contamos.

¿Qué obligaciones tienen las empresas respecto a la gestión de datos de clientes?

La LOPDGDD establece unos principios de protección de datos a los que hay que atender para tratar datos personales.  La transparencia e información al afectado en todo lo relacionado con el tratamiento de sus datos personales, mantener los datos exactos y adecuados a los fines perseguidos, mantener los datos protegidos y confidenciales, que el tratamiento esté basado principalmente en el consentimiento del afectado y conocer la sensibilidad de los datos personales tratados, es una responsabilidad a la que se debe hacer frente de manera ineludible.  

Relacionamos algunos puntos que merecen una especial mención:

1. Transparencia e información

La LOPDGDD establece que las empresas deben informar al afectado sobre la identidad de la empresa y de su representante en su caso, de la finalidad del tratamiento, si el tratamiento incluye la elaboración de perfiles y de la posibilidad de ejercer los derechos que le asisten.

2. Consentimiento

La LOPDGDD establece que las empresas deben obtener el consentimiento explícito y libremente otorgado de los clientes antes de recopilar, procesar o almacenar sus datos personales. Este consentimiento no puede ser puesto en marcha de cualquier forma: debe ser informado a través de un proceso que garantice que los clientes son plenamente conscientes de cómo se utilizarán sus datos y lo aceptan.

3. Finalidad

La gestión de datos de clientes y su utilización solo puede darse de acuerdo con los fines específicos para los que se obtuvo el consentimiento.

4. Minimización de datos

Las empresas solo deben recopilar la información que sea relevante y adecuada para el propósito específico para el que se va a utilizar.

5. Ejercicio de derechos

Las empresas están obligadas a informar a los clientes sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado y el ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.

Los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, junto al derecho a oponerse al uso de sus datos para fines de marketing directo, asisten a todos los clientes y deberán ser atendidos en tiempo y forma según se establece en la reglamentación aplicable.

6. Datos protegidos y confidenciales

Normalmente nos fijamos más en los requisitos de licitud que establece la legislación para el tratamiento de datos personales, pero no menos importante es implementar medidas de seguridad adecuadas para proteger los datos personales de los clientes contra el acceso no autorizado, la divulgación, la alteración o la destrucción. 

En caso de producirse una violación de seguridad que pueda comprometer los datos personales de los clientes, las empresas están obligadas a notificar a las autoridades de protección de datos y, en algunos casos, también a los propios clientes afectados. De hecho, la ley establece plazos y requisitos legales para este proceso.

Se incluyen aquí medidas orientadas a garantizar la ciberseguridad de las empresas.

Cómo adaptar la página web a la LOPDGDD

Algunos elementos básicos para que el diseño web cumpla con la LOPDGDD incluyen:

  • Política de privacidad: texto legal para informar a los visitantes los datos personales utilizados y los tratamientos que se van a llevar a cabo.
  • Política de cookies: la LOPDGDD establece requerimientos de información que en relación con las cookies se necesita especificar qué tipo de datos recogen del sitio web (si son analíticas, técnicas, publicitarias, propias, de terceros…) y dé la oportunidad a los usuarios a rechazarlas.
  • Aviso legal: aquí se trata de dotar a la página web de transparencia respecto a los datos identificativos del propietario de la web y del uso de esta.
  • Algunos elementos como las secciones de comentarios, los formularios o los boletines de noticias (newsletters) cuentan con requisitos específicos respecto al cumplimiento de la LOPDGDD. De este modo, se establece que la organización debe suministrar información precisa de manera previa sobre quién es el responsable del tratamiento de los datos recabados, con qué fines se utilizarán, y qué derechos tienen los usuarios con respecto a estos datos entre otros.
  • Si vas a realizar una cesión de datos a terceros (por ejemplo, si vas a emplear los datos de los visitantes para realizar campañas de email marketing con una plataforma), tendrás que asegurarte de firmar previamente un acuerdo en el que aparezcan descritas las obligaciones, el tratamiento de los datos que se van a llevar a cabo, los plazos para conservar los datos y las medidas de seguridad para garantizar la privacidad de los datos según establece el RGPD. Medios a través de los cuales recoger el consentimiento del usuario para tratar sus datos personales de acuerdo con la normativa.  Como por ejemplo pueden ser las casillas que deben marcarse como acto de aceptación, incluidas las herramientas que proporcionan un medio para consentir el uso de cookies.
  • Aplicar medidas de seguridad para la protección de los datos personales tanto durante el desarrollo de la página web como donde vaya a estar ubicada esta.  Especial atención al tipo de información que se guarde, a mayor sensibilidad mayores medidas de seguridad.

Medidas clave en la protección de datos personales

Es fundamental analizar la necesidad de contar con un Delegado de Protección de Datos, figura que asistirá a la empresa en la implementación de todos los requisitos que establece el Reglamento General de Protección de Datos europeo (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) y en especial en la implementación de las medidas de seguridad que requiere la mencionada legislación.

Contar con un programa de ciberseguridad frente a ataques informáticos se convierte en una medida proactiva clave que añadir al establecimiento de políticas internas claras para la gestión de datos de clientes de acuerdo con la legislación.

Aparecen aquí también los acuerdos de confidencialidad y cláusulas contractuales específicas en los contratos con los proveedores de servicios orientados a la protección de los datos personales. 

Respecto a herramientas tecnológicas, es posible poner en marcha:

  • Plataformas de encriptación y seguridad de los datos.
  • Sistemas de gestión de cumplimiento, que ayudan en áreas como la gestión de consentimientos, entre otras.
  • Plataformas para anonimización y seudonimización, que reducen el riesgo de identificación de los datos personales.
  • Plataformas CRM que incluyan funcionalidades para gestionar el consentimiento de los clientes y registrar sus preferencias de privacidad. 

Sanciones por el incumplimiento de la LOPDGDD

Las sanciones por un tratamiento de datos personales inadecuado

Para garantizar la aplicación de las obligaciones que se establecen para el tratamiento de datos personales, la LOPDGDD ha determinado los siguientes tipos de sanciones: 

  • Infracciones leves: multas de hasta 40.000€
  • Graves: desde 40.001 € a 300.000 € 
  • Muy graves: de 300.001 € a 20.000.000 € 

La Agencia Española de Protección de Datos es la encargada de imponer estas sanciones de acuerdo con la gravedad de la infracción. En 2022 recaudó 20 millones de euros solo hasta agosto, según el portal Across Legal.