Sí, si manejas datos personales de clientes, proveedores, empleados u otros, estás obligado a cumplir. No importa el tamaño del negocio.
El RGPD es un reglamento europeo aplicable en todos los estados miembros; la LOPDGDD es la ley española que adapta el RGPD y añade regulaciones específicas para España.
Cualquier información que identifique o pueda identificar a una persona física, como nombre, dirección, email, teléfono, datos bancarios, etc.
Son datos que revelan origen racial o étnico, opiniones políticas, creencias religiosas, salud, orientación sexual, etc. Su tratamiento está sujeto a mayores condiciones.
Sólo en algunos casos: si haces tratamientos a gran escala, si tratas datos sensibles, si tu actividad lo exige legalmente. Si no estás seguro, se puede evaluar caso por caso.
Un documento donde se describe qué datos tratas, con qué finalidad, los plazos de conservación, quiénes acceden, flujos de datos, etc. Es obligatorio para casi todos los responsables del tratamiento.
Deben incluir: quién es el responsable del tratamiento, finalidad del tratamiento, derecho de acceso/rectificación/supresión/oposición, plazos de conservación, posible cesión de datos, datos de contacto del DPD si lo tienes.
Si eres autónomo, sin empleados, puedes cumplir con todos los requisitos de LOPD por sólo 49€.
Puede suponer sanciones por parte de la AEPD, reclamaciones, pérdida de confianza de clientes. Además, el consentimiento ha de ser libre, informado, específico, inequívoco y verificable.
Sí. La AEPD puede imponer multas, que varían mucho según gravedad, tipo de dato, daño causado, reincidencia, etc. También puede afectar la reputación del negocio.
El coste depende del tamaño de la empresa, el volumen de datos que tratas, si tienes ya algunas medidas implantadas, si hay servicios externos, etc.
Si eres autónomo, en GuardianData, tenemos un Plan Básico desde los 49€ .
Depende: si ya tienes parte de la documentación, si los sistemas están preparados, si hay externalizaciones, etc. Puede llevar desde unos días, si eres autónomo, hasta algunos meses para pymes.
En guardianDATA te ayudaremos con la parte legal de textos en un tiempo record.
Tanto técnicas (cifrado, backups, control de accesos, protección de redes…) como organizativas (políticas internas, formación del personal, contratos de confidencialidad…), así como documentales (política de cookies, política de privacidad, aviso legal…)
También estás obligado.
Seguramente recoges o compartes datos personales (clientes, proveedores, empleados) aunque no tengas presencia online.
Lee esta lista y seguro que hace más de 2(dos) de los puntos listados:
Emites una factura.
- Realizas un envío a domicilio.
- Realizas un pedido a tu proveedor.
- Alguien se suscribe a tu newsletter.
- Alguien te envía un mail a tu cuenta corporativa.
- Alguien hace una consulta por Whatsapp.
- Envías tus facturas a tu asesor contable.
- Contratas publicidad.
Y la lista sigue y sigue…
Aunque sean solo datos básicos, sigues teniendo obligaciones (información, consentimiento, seguridad básica).
Evidentemente el nivel de exigencia será menor, pero la obligación existe.
Necesitas un aviso claro, un banner informativo, permitir al usuario aceptar o rechazar, explicar qué cookies usas, finalidad, duración, cómo puede eliminarlas.
Una brecha de seguridad es un incidente en el que datos personales se han perdido, robado, expuestos o accesados por personas no autorizadas. Debes documentarlo, valorarlo, notificárselo a la AEPD si es grave (normalmente dentro de 72 horas), y a los afectados si hay un riesgo para sus derechos.
Sólo durante el tiempo necesario para la finalidad para la que se recogieron. Después, deben eliminarse o anonimizarse de forma segura.
Tienen derechos ARCO u otros adicionales; debes informarles, proteger sus datos, usar contratos de confidencialidad, limitar accesos, etc.
Los derechos ARCO son los derechos fundamentales de protección de datos que la normativa española y europea (LOPDGDD y RGPD) reconoce a los ciudadanos.
ARCO es el acrónimo de:
Acceso
El usuario puede saber qué datos tienes sobre él, cómo los conseguiste, para qué los usas y a quién se los has comunicado.
Ejemplo: un cliente te pide copia de todos sus datos en tu base de clientes.
Rectificación
El usuario puede modificar datos incorrectos o incompletos.
Ejemplo: un cliente cambia de dirección y te pide que actualices la base de datos.
Cancelación (en el RGPD actual se llama “supresión”)
El usuario puede pedir que sus datos se eliminen cuando ya no sean necesarios o se usen de forma indebida.
Ejemplo: un usuario se da de baja de tu servicio y solicita la eliminación de sus datos.
Oposición
El usuario puede oponerse a que trates sus datos para ciertos fines, especialmente marketing o publicidad.
Ejemplo: alguien no quiere que uses su correo para campañas publicitarias aunque siga siendo cliente.
Acceso, rectificación, supresión, oposición; también portabilidad de los datos, limitación del tratamiento, y el derecho a no ser objeto de decisiones automatizadas en ciertos casos.
Debe describir qué datos se van a tratar, finalidad, obligaciones del encargado, medidas de seguridad, confidencialidad, subcontratación, duración, etc.
Al menos anualmente. También cuando haya cambios legales, nuevos servicios, cambios tecnológicos, nuevas brechas o cambios en tu actividad.
Sí, como punto de partida, pero siempre tienen que adaptarse a tu realidad. Una plantilla genérica puede no cubrir todos tus riesgos o particularidades.
Sanciones, responsabilidad legal, pérdida de confianza. Puede ser considerado incumplimiento grave si es deliberado o por negligencia.
Sí, siempre y cuando haya una finalidad legítima, consentimiento si aplica, y se informe al interesado. Pero debes evitar conservar datos que ya no se necesitan, o sin justificación.
Sí, pero solo si hay base legal, si se informa al interesado, si hay contrato que garantice que esos terceros tratan los datos conforme a la normativa.
Dependiente de la naturaleza de los datos (si son sensibles o no), del volumen, del tratamiento automatizado, del número de sujetos afectados, si hay transferencia internacional.
Hay muchas variables que determinan el nivel de riesgo.
La Agencia Española de Protección de Datos es el organismo encargado de velar por el cumplimiento de la normativa, hacer inspecciones, tramitar denuncias, imponer sanciones, emitir guías y recursos.
Registro de actividades, políticas de privacidad, contratos de encargados, cláusulas legales, evidencias de capacitación, medidas de seguridad, registro de brechas y todos los documentos que tu asesor te haya preparado para el cumplimiento de la LOPD.
No todos los ficheros. La AGPD ya no exige inscripción de todos los ficheros manuales o físicos, pero sí se exige registro de las actividades de tratamiento, y ciertos tratamientos más específicos sí requieren notificaciones. Verificar caso por caso.
Sí. Si tienes una web donde recoges datos (formularios, cookies, comentarios), si vendes online, si captas leads, si publicas en redes sociales, estás bajo el ámbito de la normativa.
Principalmente las brechas de seguridad graves; comunicación de uso de cookies; si hay transferencias internacionales de datos; aviso legal y política de privacidad; cláusulas ARCO/RGPD.
Un análisis riguroso que evalúa los riesgos del tratamiento de datos, especialmente si es a gran escala o involucra datos sensibles, para identificar, mitigar los riesgos.
Síntomas típicos: gran volumen de datos; datos sensibles; perfilado; monitorización sistemática; uso de tecnologías nuevas; transferencias internacionales.
Depende de cada caso en particular, aunque el volumen de datos que manejas en tu empresa suele ser lo que determina cada caso.
En guardianDATA, tenemos un Paquete Básico para autónomo, sin empleados, por 49€.
Debes revisar tu cumplimiento: actualizar el registro de actividades, medidas de seguridad, cláusulas legales, formación, documentos y avisos.
Para estos casos lo mejor es que contactes directamente con guardianDATA y te asesoramos para cada caso en especifico con la única finalidad que este siempre cubierto en cuanto al cumplimiento de LOPD.
En algunos casos sí. Programas de apoyo a pymes/autónomos pueden cubrir parte de la inversión en digitalización, asesoramiento legal, etc. Hay que revisar las convocatorias locales, autonómicas o nacionales.
Necesitas políticas de privacidad; informar al usuario si recoges datos a través de formularios, mensajes; respetar los derechos de los usuarios, consentimiento si usas datos para publicidad personalizada o perfiles; cuidado con datos sensibles.
Sí, pero debes asegurarte de configurar adecuadamente: anonimizar IP si es posible, informar en tu política, obtener consentimiento de cookies, evaluar si hay transferencias internacionales.
Debes comprobar la identidad, localizar los datos en tus registros, eliminarlos o anonimizar los que no se puedan suprimir, informar al cliente de que se ha cumplido su solicitud.
Informarles, incluir cláusulas de confidencialidad, proteger sus datos, definir quién accede a qué, formación, registro interno de actividades de tratamiento que involucren a los empleados.
Sí, claro que puedes.
por y para eso existe guardianDATA, para ayudarte o gestionarte el cumplimiento. Aunque CUIDADO, la responsabilidad legal última sigue siendo del responsable del tratamiento, es decir, cumplir con la LOPD sigue siendo tu responsabilidad.
Si esos terceros actúan como encargados del tratamiento, debes tener contrato con ellos, asegurar que cumplen las obligaciones de seguridad, que los datos estén protegidos, que haya medidas técnicas apropiadas y de contar con la documentación correcta en cada caso.
Contratando el Plan Básico, en guardiaDATA, por 49€ anuales estás preparado para cubrir todas las exigencias si eres autónomo y aún no tienes empleados.
¿A qué esperas? Ha clic aquí y comienza a cumplir con la LOPD
Transformar los datos personales de forma que ya no puedan relacionarse con una persona física identificable, directa ni indirectamente.
Consentimiento tácito, pre-marcado, ambiguo, condicionado a aceptar otros servicios, si no se informa bien al interesado. No valen.
Si envías datos fuera del Espacio Económico Europeo, necesitas comprobar que el país destinatario tiene un nivel de protección adecuado o usar instrumentos legales como cláusulas tipo, binding corporate rules, entre otros.
Tener toda la documentación ordenada, demostrar que has aplicado las medidas, mostrar el registro de actividades, protocolos, evidencias, medidas de seguridad, brechas si las hubiere. Cooperar; en muchos casos es sólo un requerimiento de información, no una sanción inmediata.
Normalmente se dispone de un mes para atender solicitudes de acceso, rectificación, supresión, limitación u oposición. En casos complejos puede extenderse dos meses más, notificándolo.
Sí; si tu gestión de datos ha causado algún daño, o si no cumpliste obligaciones básicas, puede haber responsabilidad legal y reclamaciones.
Si procesas datos de menores (normalmente menores de 14 años en muchas partes de España, dependiendo de la comunidad/autorización parental), debes tener el consentimiento parental, información clara, especial cuidado con los datos que recoges.
Genera confianza con clientes y proveedores; mejora la reputación; puede ser ventaja competitiva; reduce riesgos de incidentes; mejora la seguridad interna; aporta orden y eficiencia en la gestión de datos.