Seguridad de los datos

En varias ocasiones he escrito sobre la importancia de la protección de los datos personales para las empresas, puesto que en España, la Agencia Española de Protección de Datos impone sanciones de hasta 600.000 euros por los incumplimientos más graves de la Ley Orgánica de Protección de Datos (LOPD), por ejemplo: el que su historial médico acabe en un contenedor o cedido sin su autorización a una empresa farmacéutica o que los datos que tiene la compañía telefónica sobre usted acaben en manos de terceros. Esto último es lo que le ha pasado recientemente a Deuyche Telekom.

En el seno de las grandes empresas, existen dos grandes problemas a la hora de proteger los datos personales de sus clientes y/o usuarios. Por un lado está, como es lógico, el problema técnico. Es necesario implantar una serie de medidas técnicas que impidan (o traten de impedir) fallos de seguridad. No vale cualquier medida, no vale que el ordenador tenga una contraseña (1234) pegada en un post it en la pantalla. Las empresas deben tener medidas de seguridad informática sólidas y protocolos de seguridad para el personal que determinen sus funciones y obligaciones para con los datos.

Por otro lado, los directivos de las empresas deberían tener un verdadero conocimiento de la importancia de esta materia. Cuando se propone un proyecto, por ejemplo el desarrollo de la web corporativa, iniciativas de registro de usuarios, la creación de servicios on line para clientes, etc, antes se debe valorar la iniciativa desde el punto de vista de la protección de datos: ¿está la empresa preparada para ofrecer el servicio con plenas garantías?

Los datos personales son muy importantes, valen direno. Hay muchas empresas dedicadas al marketing directo. Empresas que crean perfiles de consumidores en función de las caracterísiticas de su vivienda, de sus hábitos de compra, de su segmento social. Empresas que le pueden ofrecer una gama de productos de terceros especial para usted. Empresas que funcionan.

Vele porque sus las empresas a las que de sus datos cumplan con la LOPD y tengan claras y definidas sus políticas de protección de datos. Todos ganamos.

Cumplimiento de las solicitudes sobre LOPD

Mi anterior entrada versaba sobre cómo ejercitar un derecho de acceso, rectificación, oposición o cancelación de datos personales ante una empresa. Ahora toca cómo atender, por parte de las empresas, a las solicitudes recibidas al respecto de la protección de datos.

El derecho de acceso es la facultad de todo interesado de solicitar y obtener información del responsable de un fichero acerca de sus datos de carácter personal que estén sometidos a tratamiento, el origen de dichos datos y las comunicaciones realizadas o que se prevean hacer de los mismos. Desde la recepción de la solicitud de acceso a datos de un interesado, el responsable del fichero (la empresa), resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud, es decir, que habrá de responder expresamente si se atiende o no tal solicitud. De no hacerlo, el interesado puede solicitar tutela a la Agencia Española de Proteción de Datos. Otro aspecto importante es que la información que se ha de brindar al interesado ha de ser en todo caso gratuita. Igualmente, la empresa podrá denegar el derecho de acceso a los interesados, cuando el derecho ya se haya ejercitado en los doce meses anteriores a la solicitud, salvo que se acredite un interés legítimo al efecto.

La rectificación es un proceso a aplicar en aquellos supuestos en los que existan datos erróneos o inexactos. No consiste en el borrado o destrucción física de los datos, sino únicamente en la sustitución de los mismos por aquellos que sean correctos. La empresa, ante el ejercicio de este derecho por parte del interesado, habrá establecer las medidas oportunas en el plazo máximo de diez días.

La cancelación es el proceso de borrado (o bloqueo de datos) que se debe realizar en los supuestos en que los datos del fichero resulten inadecuados o excesivos con relación a su finalidad o que el cliente lo solicite. La empresa, ante el ejercicio de este derecho por parte del interesado, habrá establecer las medidas oportunas en el plazo máximo de diez días.

Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos.

La oposición es un derecho que tiene el interesado para impedir que sus datos sean tratados para una cierta finalidad. Así por ejemplo, un cliente se puede oponer a que sus datos sean utilizados para el envío de comunicaciones comerciales por correo electrónico o postal pero no al resto de finalidades de tratamiento de sus datos. Igualmente existe el plazo máximo de diez días para que la empresa atienda a tal ejercicio, si bien en este caso, además habrá de comunicar al interesado dentro del mismo plazo y de forma expresa la atención de su derecho. Asimismo, en el caso de que no se disponga de datos de carácter personal del afectado se deberá igualmente comunicárselo en el mismo plazo.

Si bien estos consejos operativos son útiles a la hora de hacer frente a reclamaciones de clientes, contactos, potenciales clientes, candidatos, proveedores o cualquier tercos, lo fundamental, a parte de atender correctamente las solicitudes, es que el tratamiento de los datos se haga conforme a la LOPD (medidas de seguridad, deber de información, consentimiento, inscripción de ficheros, etc.), porque de lo contrario, la empresa estará expuesta al continuo riesgo de sanciones importantes.