Acciones para cumplir con la Ley Orgánica de Protección de Datos en la empresa

Si eres representante o gerente de una empresa registrada en España, este post te ayudará a entender qué obligaciones debe cumplir tu empresa con el nuevo marco legal para evitar sanciones.

Estar al tanto de los cambios para cumplir con la Ley Orgánica de Protección de Datos

La obligación más importante para las empresas es estar al tanto de los cambios que introduce la Ley Orgánica de Protección de Datos e implementar las medidas necesarias en los procesos de la empresa.

Estos cambios son principalmente los siguientes:

- La introducción del concepto de Delegados de Protección de Datos (DPO).

- La introducción de un régimen específico para los menores.

- El aumento de las multas por infracciones. 

- La obligación de notificar las violaciones de datos. 

- El deber de contar con una Política de Protección de Datos en la empresa. 

La conservación de un registro

Una de las principales obligaciones de las empresas es llevar un registro de actividades de tratamiento. Este documento debe contener información sobre los tipos de datos guardados y la finalidad del tratamiento de estos, las categorías de personas a las que se refieren, los destinatarios de los datos, la duración prevista del tratamiento de datos, las medidas de seguridad aplicadas para proteger los datos y los derechos del interesado. 

Este registro es necesario porque servirá de confirmación de que los datos han sido tratados legalmente y proporcionará la prueba de que la empresa ha cumplido con sus obligaciones en virtud de la ley de protección de datos, además de proporcionar toda la información necesaria para las autoridades competentes, en caso de una inspección.

Identificar a los responsables y encargados del tratamiento de datos

Una de las primeras obligaciones es identificar a los responsables y encargados del tratamiento de datos.

La Ley Orgánica de Protección de Datos define al responsable del tratamiento de datos como la persona física o jurídica, servicio, organismo o entidad similar que determina los fines y medios del tratamiento. Es decir, es quien debe informar sobre la finalidad del tratamiento, los medios elegidos para ello y de si los datos van a ser tratados por terceros.

Por su parte, el encargado del tratamiento de datos es la persona física o jurídica, servicio, organismo o entidad similar que realiza el tratamiento de datos, siguiendo las directrices y empleando los medios designados por el responsable.

No hay que confundir estas figuras con el Delegado de Protección de Datos (DPO), que informa y asesora a los responsables o encargados del tratamiento de los datos, y supervisa el cumplimiento de lo previsto en la legislación de la materia.

Destruir los documentos de forma segura

Como explicamos en este otro artículo sobre la destrucción segura de documentos, los documentos con datos personales no se pueden tirar sin más o llevar al contenedor azul.

Por eso, la destrucción segura de documentos es esencial para cumplir con la Ley Orgánica de Protección de Datos y evitar cuantiosas multas.

De hecho, la Ley Orgánica de Protección de Datos (LOPD) indica en su artículo 92.4 lo siguiente:

“Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”.

Formación de los empleados en materia de protección de datos

Otra obligación para cumplir con la Ley Orgánica de Protección de Datos es formar a los empleados en materia de protección de datos. Esta obligación es necesaria porque es imprescindible que todos los empleados que manejan datos personales conozcan los aspectos básicos de la protección de datos y cumplan con las obligaciones que impone la ley.

Además, la ley también exige que las empresas informen a sus empleados de la existencia de un Delegado de Protección de Datos y de la forma de comunicar las posibles violaciones de datos en la empresa.

Establecer las medidas de seguridad necesarias para el tratamiento de los datos

Esta obligación es relevante para todas las empresas que tratan datos personales sensibles y para el tratamiento de datos de menores de 16 años, que se considera sensible. 

La obligación de aplicar medidas de seguridad en el tratamiento de datos se deriva de la obligación de aplicar medidas técnicas y organizativas adecuadas para proteger los datos contra la destrucción accidental o ilícita, la pérdida accidental, la alteración, la difusión no autorizada y el acceso no autorizado.