NO TODO ES LA CONFIANZA (Newsletter Agosto 2012)

NO TODO ES LA CONFIANZA…

¿Qué autónomo, empresa ó entidad no necesita hoy día la ayuda de un asesor, abogado, mantenimiento informático, servicio de prevención de riesgos laborales o incluso la instalación de cámaras de seguridad en sus instalaciones?

Como es lógico, esta ayuda prestada necesita de una serie de datos (nóminas de empleados, datos de clientes, facturación, imágenes captadas por nuestras cámaras…) para poder realizar su trabajo. Cuando preguntamos a muchas empresas ó profesionales sobre la normativa de protección de datos la respuesta es: “Yo no le doy los datos a nadie”. Con el comentario del párrafo anterior creo que se puede responder a esta afirmación. Pero, ¿cómo garantizamos la confidencialidad de dichos datos personales en manos de esos terceros? ¿Qué tenemos que hacer?

Como sabrán, esta figura,  es la de encargado de tratamiento (el cual, presta servicios por cuenta del responsable de los datos) y se le reserva una serie de requisitos establecidos en el art. 12 de la LOPD, como son, a grosso modo:

–          Contrato con dicho encargado donde se acredite que efectivamente existe esa relación y se garantiza que esos datos cedidos se utilizarán para lo recogido en el contrato a establecer.

–          Que al finalizar la relación esos datos cedidos serán destruidos o devueltos, es decir, que en ningún caso se quede con ellos.

Una modificación de la LOPD del año 2011 fue la que hizo que la transmisión de datos al encargado de tratamiento sin dar cumplimiento a las prescripciones legales (lo regulado en el artículo 12 de la LOPD),  será calificado como una infracción leve, y, por ende, sancionado en caso de que no esté esa relación, ese contrato que la regula, “firmado”.

Llegados a este punto cabe plantearse ciertos supuestos: ¿Os imagináis que los datos que le cedemos a nuestro encargado fueran utilizados para un fin distinto del que teníamos previsto, vulnerando la normativa? En muchas ocasiones ni siquiera conoceríamos este hecho. Ahora, ¿quién tiene la responsabilidad por esta actuación? ¿Mi negocio o entidad como “dueños” en cierto modo de esos datos, ó dicho encargado de tratamiento que es quien ha cometido la infracción es este caso? La LOPD estima que en estas situaciones, y como es justo, la responsabilidad recaería en el encargado.

Pero ¿cómo acreditamos que ese encargado es el que ha vulnerado la legalidad? Como expresa la LOPD y hemos indicado más arriba, lo primordial es la firma de ese contrato. Este contrato lo redactamos fehacientemente desde Evalúa Consultores para cumplir a la perfección con la legalidad, por ello, como habréis podido comprobar muchos de vosotros, somos tan insistentes con la firma del mismo.

Además, no todo son aspectos negativos. Imaginemos ahora que somos uno de esos agentes, como puede ser un asesor ó una empresa de seguridad. ¿Qué nivel de profesionalidad e imagen trasladamos a nuestros clientes con la firma de este contrato? Les garantizamos al fin y al cabo que hacemos bien nuestro trabajo y coloquialmente hablando: por nuestra parte “que no quede”.

Como conclusión y mensaje que queremos transmitir: muchas de las infracciones que encontramos dentro de la normativa sobre protección de datos, no están sólo para sancionar, sino que en ocasiones, como en este caso, nos ayudan para que nadie cometa infracciones en nuestro nombre y potencien la imagen de profesionalidad y seriedad de nuestro negocio o entidad.

Para, de alguna manera, ilustrar y recordaros la importancia de tener regularizada la relación con los terceros que nos prestan servicios y acceden a los datos personales de nuestra empresa o entidad, os dejamos el literal del artículo que indica la posible infracción que sería el no tener regularizada esa relación.

“Artículo 44 de la LOPD. Tipos de infracciones.

1. Las infracciones se calificarán como leves, graves o muy graves.

2. Son infracciones leves:

a. No remitir a la Agencia Española de Protección de Datos las notificaciones previstas en esta Ley o en sus disposiciones de desarrollo.

b. No solicitar la inscripción del fichero de datos de carácter personal en el

Registro General de Protección de Datos.

c. El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.

d. La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley.”