La protección de datos ya no es una cuestión reservada a grandes compañías o multinacionales. Cualquier autónomo, comercio, clínica, despacho profesional o pyme que trate datos personales de clientes, empleados o proveedores está sujeto a la normativa de protección de datos y debe cumplir una serie de obligaciones.
Sin embargo, muchas pequeñas empresas siguen pensando que el Reglamento General de Protección de Datos (RGPD) solo afecta a quienes manejan grandes bases de datos. La realidad es muy distinta. La Agencia Española de Protección de Datos (AEPD) recibe cada año miles de reclamaciones relacionadas con el tratamiento de datos personales y una parte importante tiene como protagonistas a pequeños negocios.
Aunque no todas terminan en sanción, sí ponen de manifiesto que siguen existiendo errores muy habituales que pueden evitarse con una correcta gestión.
Pensar que el RGPD no afecta a los pequeños negocios
Uno de los errores más frecuentes es creer que la normativa solo se aplica a empresas de cierto tamaño.
En realidad, la obligación no depende del número de empleados ni del volumen de facturación, sino del tratamiento de datos personales. Si una empresa gestiona nombres, teléfonos, direcciones de correo electrónico, historiales médicos, currículums o cualquier otra información que identifique a una persona, debe cumplir la normativa.
Desde una peluquería hasta una tienda online o un despacho profesional, prácticamente cualquier actividad económica maneja datos personales.
Recoger más datos de los necesarios
Otro fallo habitual consiste en solicitar información que no resulta imprescindible para prestar el servicio.
El principio de minimización de datos, recogido en el RGPD, establece que únicamente deben solicitarse los datos adecuados, pertinentes y limitados a lo necesario para la finalidad prevista.
Pedir información excesiva no solo complica la gestión, sino que puede suponer un incumplimiento de la normativa.
Utilizar formularios sin informar correctamente
Cuando una empresa recoge datos personales, debe informar al interesado de aspectos como la finalidad del tratamiento, la base jurídica que lo legitima, el tiempo de conservación o los derechos que puede ejercer.
Sin embargo, todavía es frecuente encontrar formularios de contacto, presupuestos o procesos de contratación donde esta información es incompleta o, directamente, no existe.
Lo mismo ocurre con muchas páginas web que mantienen textos legales desactualizados o copiados de otros sitios sin adaptarlos a la actividad real del negocio.
Descuidar la seguridad de la información
La protección de datos no consiste únicamente en cumplir trámites administrativos. También implica proteger la información frente a pérdidas, accesos no autorizados o ciberataques.
Utilizar contraseñas débiles, compartir usuarios entre varios empleados, no actualizar los equipos o almacenar documentación sin medidas de seguridad adecuadas siguen siendo prácticas relativamente habituales.
La normativa no obliga a implantar las mismas medidas en todas las empresas, pero sí exige que la seguridad sea proporcional al tipo de datos tratados y a los riesgos existentes.
Enviar información a varios clientes sin ocultar sus datos
Es uno de los errores más sencillos… y también uno de los más frecuentes.
Enviar un correo electrónico a varios destinatarios utilizando el campo «Para» o «CC», en lugar de la copia oculta (CCO), supone revelar las direcciones de correo del resto de personas.
La Agencia Española de Protección de Datos ha recordado en numerosas ocasiones que este tipo de incidencias puede constituir una vulneración de la normativa cuando expone datos personales sin autorización.
Conservar información durante más tiempo del necesario
No toda la documentación debe guardarse para siempre.
Los datos personales deben conservarse únicamente durante el tiempo necesario para cumplir la finalidad para la que fueron recogidos o para atender las obligaciones legales correspondientes.
Acumular currículums durante años, mantener bases de datos de antiguos clientes sin justificación o almacenar documentación que ya no tiene utilidad incrementa los riesgos y dificulta una gestión adecuada de la información.
No controlar quién accede a los datos
En muchas pequeñas empresas todos los empleados pueden acceder a toda la información, aunque no la necesiten para desarrollar su trabajo.
Limitar los permisos según las funciones de cada persona es una medida sencilla que reduce riesgos y ayuda a cumplir el principio de confidencialidad previsto en la normativa.
Cuanto más sensible sea la información tratada, mayor importancia adquiere este control.
Pensar que la protección de datos termina al contratar un servicio externo
Cada vez es más habitual utilizar programas de gestión, almacenamiento en la nube, plataformas de correo electrónico o herramientas de marketing.
Cuando estos proveedores acceden a datos personales por cuenta de la empresa, la normativa exige revisar determinados aspectos, como la existencia de contratos de tratamiento de datos o las garantías aplicables si la información se aloja fuera del Espacio Económico Europeo.
Por este motivo, elegir una herramienta tecnológica no debería responder únicamente a criterios de precio o funcionalidad.
Una obligación que también genera confianza
Cumplir la normativa de protección de datos no consiste únicamente en evitar sanciones. También transmite confianza a clientes, trabajadores y colaboradores, especialmente en un momento en el que la privacidad tiene cada vez más importancia.
Si existen dudas sobre cómo aplicar estas obligaciones o si la empresa ha cambiado su forma de trabajar en los últimos años, contar con el asesoramiento de un profesional especializado, como el de Tefico Asesores, permite identificar posibles incumplimientos y adaptar la gestión de los datos personales a la normativa vigente.
