¿Qué obligaciones tiene una pyme en el tratamiento de datos personales?

El tratamiento de datos personales se enmarca en la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD) que aplica bajo el paraguas del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (Reglamento General de Protección de Datos, RGPD) que entró en vigor en mayo de 2018 teniendo como objetivo armonizar la protección de datos en toda la Unión Europea. Vivimos un contexto de acceso a grandes cantidades de datos por parte de las empresas, con todos los beneficios que eso supone para una mejor gestión y toma de decisiones. No obstante, tanto ciudadanos como legislación exigen a las empresas la protección de estos datos personales, particularmente si se trata de datos sensibles o protegidos de forma especial.  Por ello, te indicamos los puntos más importantes que debes conocer sobre el tratamiento de datos personales en el ámbito de las pymes, incluyendo obligaciones y algunas herramientas para garantizar el cumplimiento de la ley.

Qué dice la ley sobre el tratamiento de datos personales

De las obligaciones que la Ley establece a las empresas para llevar a cabo tratamientos de datos personales, podemos destacar las siguientes:

• • Obtener el consentimiento informado de los usuarios antes de recopilar, procesar o almacenar sus datos personales.

 

• • Los datos personales que recojan deben ser ciertos, adecuados, pertinentes y no excesivos en relación con el ámbito y finalidad para los que obtengan.

 

• • Proporcionar información clara y de forma transparente sobre la empresa o empresas que tratarán los datos personales y con qué finalidad.

 

• Proporcionar información sobre los derechos que asisten a los individuos de los que se tratan datos personales:

• • Acceso, 
  • Rectificación, 
  • Supresión, 
  • Limitación al tratamiento, 
  • Oposición, 
  • Portabilidad y 
  • A no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles

• Adoptar medidas de seguridad apropiadas para proteger los datos personales contra la pérdida, el robo y la modificación o los accesos no autorizados.

 

Las sanciones por un tratamiento de datos personales inadecuado

Para garantizar la aplicación de las obligaciones que se establecen para el tratamiento de datos personales, la LOPDGDD ha determinado los siguientes tipos de sanciones: 

• Infracciones leves: multas de hasta 40.000€
• Graves: desde 40.001 € a 300.000 € 
• Muy graves: de 300.001 € a 20.000.000 € 

La Agencia Española de Protección de Datos es la encargada de imponer estas sanciones de acuerdo con la gravedad de la infracción. En 2022 recaudó 20 millones de euros solo hasta agosto, según el portal Across Legal.

Las claves para el tratamiento de datos personales en pymes

Para que las pymes puedan garantizar que ponen en marcha un tratamiento de datos personales adecuado, deben llevar a cabo entre otras las siguientes acciones:

• • Obtener el consentimiento explícito de los titulares antes de recopilar, procesar o almacenar sus datos personales.

 

• • Además, las pymes también deben asegurarse de que proporcionan información clara y detallada sobre el tratamiento de datos personales que van a realizar (la finalidad, la identidad de quién se ocupará del tratamiento, los derechos de los titulares…).

 

• • Aun cuando no sea obligatorio, llevar un registro de todas las actividades de tratamiento de datos personales que realicen. Esto incluye el tipo de datos que se están tratando, la finalidad del tratamiento, las personas o entidades a las que se les ha facilitado los datos, etc.

 

• • Respecto a las medidas de seguridad, destaca la necesidad de contar con un plan de ciberseguridad robusto, que incluya, de ser necesario, medidas como la anonimización o seudonimización de los datos.

 

• • Notificación de brechas de seguridad. Las empresas tienen la obligación de informar a la Agencia Española de Protección de Datos y a los individuos afectados cuando ocurre un incidente de seguridad que pueda comprometer los datos personales que manejan y que podría poner en peligro los derechos y libertades de los afectados.

 

• • Deben posibilitar y garantizar la ejecución del ejercicio de los derechos de los titulares de los datos.

 

• • Analizar la necesidad de contar con un Delegado de Protección de Datos.

 

• • Si las empresas tienen páginas web, deben cumplir con ciertas obligaciones, como publicar los textos legales: aviso legal, política de privacidad, política de cookies, términos y condiciones de venta o contratación (si se trata de un ecommerce).

 

• Si hay un local físico con videovigilancia, deben garantizar el cumplimiento de las normas al respecto.