PROTECCIÓN DE DATOS: ¿QUÉ, QUIÉN Y CÓMO?
¿Qué es la protección de datos y para qué sirve?
Es el conjunto de normativas que regulan cómo deben tratarse los datos personales para garantizar la privacidad de las personas. Sirve para evitar un uso indebido o no autorizado de la información personal.
¿Qué datos personales están protegidos por ley?
Cualquier información que permita identificar directa o indirectamente a una persona. Por ejemplo, el nombre, DNI, email, teléfono, dirección, imagen, IP, voz, datos bancarios, datos de salud, orientación sexual, etc.
¿Quién está obligado a cumplir con la ley de protección de datos?
Cualquier empresa, autónomo, profesional o entidad que recopile, gestione o trate datos personales de personas físicas, incluidos clientes, empleados o usuarios web. Entre ellas se incluyen las asociaciones, fundaciones, administradores de fincas y comunidades de propietarios.
¿Cuándo es obligatoria la ley de protección de datos?
Si eres sujeto obligado y estas ubicado en UE o fuera de la UE pero tratas datos de europeos relacionados con oferta de bienes o servicios o el control de su comportamiento, desde el momento en que recoges cualquier dato personal de una persona física, estás obligado a cumplir con el RGPD y la LOPDGDD. No importa si es una gran empresa o un autónomo, ni el volumen de datos.
¿Quién está obligado a proteger los datos personales?
El responsable del tratamiento (quien decide el uso de los datos) y el encargado del tratamiento (quien los gestiona en nombre del responsable) tienen la obligación legal de protegerlos siguiendo la normativa de protección de datos.
¿Qué derechos son obligatorios para cumplir con la protección de datos?
Derecho de información, acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y a no ser objeto de decisiones automatizadas.
¿Qué establece la ley de protección de datos?
Establece cómo deben recogerse, tratarse, almacenarse y eliminarse los datos personales, garantizando transparencia, seguridad, confidencialidad y respeto por los derechos del usuario.
¿Cuándo se vulnera la ley de protección de datos?
Cuando como sujeto obligado no cumples las obligaciones que recoge la normativa de protección de datos, entre las que se encuentra el deber de informar adecuadamente al usuario, no se obtiene consentimiento, se comparten datos sin autorización o no se aplican medidas de seguridad suficientes.
¿Quién necesita una política de protección de datos?
Toda organización que trate datos personales. La política debe explicar cómo se recogen, tratan y protegen esos datos.
¿Qué sanciones hay por no cumplir?
Las sanciones pueden ir desde apercibimientos, para las administraciones públicas, hasta multas de 300€ o hasta los 20 millones de euros o el 4% de la facturación anual, dependiendo de la gravedad.
NORMATIVA DIGITAL: RGPD, LOPDGDD Y LSSICE
¿Qué es el Reglamento General de Protección de Datos (RGPD) y a quién afecta?
El RGPD, vigente desde el 25 de mayo de 2018, regula el tratamiento de datos personales de residentes en la UE, y se aplica tanto a empresas establecidas en la UE como a las de fuera que ofrecen servicios a ciudadanos europeos.
¿Cuándo es obligatorio cumplir con el RGPD y la LOPDGDD?
Siempre que una persona física o jurídica (autónomo, empresa, entidad, asociación, comunidad de propietarios…) trate datos personales de terceros en su actividad (clientes, empleados, proveedores, usuarios…), está obligada a cumplir con el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).[MM1]
¿Quién está obligado a cumplir con el RGPD?
Todas las organizaciones públicas o privadas que traten datos personales en la UE o que dirijan sus servicios a ciudadanos europeos.[MM2]
¿Es obligatorio cumplir aunque sea una pequeña empresa o un autónomo?
Sí. El RGPD no hace distinción por tamaño de empresa. Basta con que trates datos personales para que debas cumplir con la normativa.
¿Cuáles son los principios básicos del RGPD?
El RGPD prohíbe tratar datos personales de forma ilegal, poco clara o fuera de contexto. También impide recoger más datos de los necesarios o que estén desactualizados. Además, exige seguridad, calidad y responsabilidad proactiva por parte de la empresa.
¿Necesito consentimiento para recoger los datos de mis clientes?
Sí, y debe ser claro, informado y documentado. Pero hay otras bases legales como la obligación legal, un contrato o el interés legítimo, que en algunos casos no requieren consentimiento.
¿Qué pasa si hay una filtración de datos en mi empresa?
Tienes que notificarlo a la AEPD en un máximo de 72 horas si hay riesgo para los derechos y/o libertades de los afectados. Si el riesgo es alto, también hay que informar a las personas directamente.
¿Qué diferencia hay entre responsable y encargado del tratamiento?
El responsable decide qué datos se recogen, para qué y cómo se usan. El encargado solo los trata siguiendo las instrucciones del responsable. Debe haber un contrato entre ambos para asegurar el cumplimiento del RGPD.
¿Qué es un contrato de encargado de tratamiento?
Es un contrato obligatorio cuando otra empresa o profesional accede a los datos que tú tratas. Por ejemplo, una asesoría, una agencia de marketing o un informático.
¿Puedo compartir fotos o vídeos de empleados o clientes?
Sí, pero solo si tienes su consentimiento informado.
¿Se pueden enviar datos a países fuera de la Unión Europea?
Sí, pero se considerarán transferencias internacionales de datos, y solo en el caso de que el país de destino ofrezca garantías adecuadas. Esto puede ser porque la Comisión Europea ha emitido una decisión de adecuación, o porque se usan mecanismos legales como cláusulas contractuales tipo, normas corporativas vinculantes o códigos de conducta aprobados. Si no existen estas garantías, la transferencia no es legal según el RGPD.
¿Es obligatorio tener un registro interno de actividades de tratamiento?
Sí. Todas las empresas deben llevar un registro interno donde se indique qué datos recogen, con qué fin, a quién se envían, etc. a excepción de sujetos obligados que sean menos de 250 empleados y no traten datos especiales o que el tratamiento implique riesgos para los derechos y libertades o no traten datos de forma habitual. No es público para las empresas privadas, pero debe estar disponible si lo pide la AEPD. Para las administraciones públicas, sí es obligatorio que sean públicos.
¿La LSSICE me afecta si tengo una web?
Sí. Si ofreces servicios o productos online, estás obligado a cumplir con esta ley, que regula la información que debes ofrecer en tu web, el uso de cookies y el envío de comunicaciones comerciales.
¿Qué normativa debe cumplir mi web o ecommerce?
Sí. Si ofreces servicios o productos online, estás obligado a cumplir con esta ley, que regula la información que debes ofrecer en tu web, el uso de cookies y el envío de comunicaciones comerciales.
¿Quién necesita unos avisos legales en su web?
Toda persona o empresa con una página web, subdominios, blog, landing page o ecommerce. Tu web debe tener aviso legal, política de privacidad si la web trata datos personales, política de cookies si la web las usa y, en el caso de ecommerce, también las condiciones generales de contratación. Además, debe contar con un banner de cookies que permita aceptar, rechazar o configurar si la web usa cookies.
¿Las comunidades de propietarios también deben cumplir el RGPD?
Sí, ya que gestionan datos personales (por ejemplo, listados de vecinos, cámaras de seguridad, morosos, personal de limpieza, etc.).
¿Puedo enviar emails o WhatsApps con promociones sin consentimiento?
No. Necesitas el consentimiento previo del usuario, a partir de las cláusulas de consentimiento, salvo que ya sea cliente y las comunicaciones estén relacionadas con productos o servicios similares. En cualquier caso, debes ofrecer la posibilidad de oponerse.
PROPIEDAD INTELECTUAL E INDUSTRIAL
¿Qué diferencia hay entre nombre comercial y marca?
El nombre comercial identifica a una empresa en el tráfico mercantil. La marca protege productos o servicios. Ambas deben registrarse para estar legalmente protegidas.
¿Qué protege la propiedad intelectual?
Textos, imágenes, vídeos, diseños, formaciones, logos, obras digitales o cualquier creación original. Utilizamos una plataforma online para registrar y proteger contenidos digitales, que aporta una prueba legal de autoría en caso de plagio o disputa y donde aparece la fecha de creación.
¿Por qué registrar una marca?
Porque solo si está registrada, tienes derechos exclusivos sobre su uso. Así puedes evitar que otra empresa utilice un nombre similar, o que otros usen tu nombre, logotipo o identidad de marca, y podrás defenderte legalmente en caso de conflicto.
¿Si tengo una web o una app, debo protegerla también?
Sí. Es importante proteger tanto el diseño, como los textos, imágenes, estructura y desarrollo.
¿Puedo proteger un software que he desarrollado?
Sí, el software se puede proteger como obra de propiedad intelectual desde el momento en que lo creas.
¿Se puede proteger el código fuente?
Sí, el código fuente también está protegido por propiedad intelectual como parte del software.
¿Puedo proteger una idea de app aunque aún no la haya desarrollado?
No, las ideas no se protegen. Solo puedes proteger el desarrollo o documento que la materializa.
¿Necesito un contrato de cesión de derechos si desarrollo una app para un tercero?
Sí, para dejar claro a quién pertenecen los derechos de uso, explotación o modificación.
¿Puedo registrar mis formaciones online como propiedad intelectual?
Sí, puedes registrar vídeos, presentaciones, textos o cualquier contenido formativo original.
¿Tengo que registrar cada versión actualizada de mis presentaciones o formaciones?
No es obligatorio, pero sí recomendable si has hecho cambios importantes.
DELEGADO DE PROTECCIÓN DE DATOS (DPD)
¿Qué es un Delegado de Protección de Datos (DPD)?
Es la figura garante del cumplimiento de la normativa de protección de datos por parte de los sujetos obligados y que puede ser obligatoria en determinados casos que indica la normativa pero que también puede designarse de forma voluntaria.
¿Cuándo es obligatorio nombrar un Delegado de Protección de Datos?
Es obligatorio en los supuestos que marca el articulo 37 del RGPD y 34 de la LOPDGDD.
¿Cuáles son esos supuestos?
Deben disponer de DPD los colegios profesionales, los centros sanitarios, centros docentes, entidades que exploten redes y presten servicios de comunicaciones electrónicas, entidades que traten datos a gran escala, administraciones públicas, si tratas datos sensibles, establecimientos financieros de crédito, entidades aseguradoras y reaseguradoras, empresas de servicios de inversión, distribuidores y comercializadores de energía eléctrica y de gas natural, los obligados por la LPBC, entidades que desarrollen actividades de publicidad y prospección comercial, operadores de juego, empresas de seguridad privada, federaciones deportivas cuando traten datos de menores de edad, las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito y entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
¿Qué funciones tiene el DPD?
Asesorar a la empresa, supervisar el cumplimiento, cooperar con la AEPD y actuar como punto de contacto con los usuarios.
¿Puedo externalizar el servicio de DPD?
Sí, muchas pymes optan por contratar un DPD externo con experiencia legal y técnica. Puedes contar con un DPD externo, acreditado y especializado, que supervise el cumplimiento de la normativa en tu entidad. En PymeLegal tenemos varias delegadas certificadas como DPD que pueden ser tus DPD externos.
¿Y si no lo tengo y debería tenerlo?
Podrías recibir una sanción si la AEPD considera que estás obligado a tenerlo y no lo has designado ni notificado.
¿Si tengo un canal de denuncias estoy obligado a tener un Delegado de Protección de Datos (DPD)?
Si la empresa dispone de una plantilla de más de cincuenta trabajadores, debe disponer un canal de denuncias regulado por la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. En su preámbulo exige que estas entidades cuenten con un delegado de protección de datos.
Si aún no disponéis del canal de denuncias, os informaros de que este servicio os lo podemos ofrecer con nuestra propia herramienta.