¿Has tenido en cuenta el RGPD en tu empresa?

El Reglamento General de Protección de Datos (RGPD) entró en vigor en 2018. Años después, sin embargo, muchas pequeñas empresas, y algunas grandes, siguen cometiendo errores graves que lo vulneran. Si el objetivo principal es la protección de los datos personales de clientes, usuarios y trabajadores, aún es frecuente que se infrinjan algunos de sus puntos. ¿Te has planteado si tu organización los respeta?

Errores frecuentes del RGPD en protección de datos

Uno de los incumplimientos más habituales en protección de datos no tiene que ver con la vertiente digital de la empresa, que es la más publicitada en los medios. Una pyme que solo trabaje en papel también podría incumplir el RGPD, dado que afecta a la protección de datos y el consentimiento durante su recogida. Estos son algunos de sus puntos críticos:

• Es obligatorio que una empresa informe de qué datos serán recogidos y qué utilidad se les dará. Al mismo tiempo, deben eliminarse si la persona a la que pertenecen lo solicita.
• No se pueden pedir más datos de los estrictamente necesarios para prestar la actividad. Es decir, un cliente no tiene obligación de informar de dónde vive para adquirir un producto en una tienda.
• La privacidad de estos datos ha de asegurarse en todo momento, por lo que no pueden compartirse con terceros sin consentimiento expreso del usuario, cliente e incluso empleados.
• Es preciso que la empresa cuente con un responsable de datos (DPO), aunque este puede ser externo a la compañía. En cuestiones técnicas el asesoramiento de expertos es una necesidad.

Algunos ejemplos específicos de errores en oficina

Para bajar a tierra esta información, veamos cuatro ejemplos de incumplimiento del RGPD que la mayoría encontrará muy cercanos:

• Meter a alguien en un grupo de WhatsApp informa al resto de participantes de su teléfono. A diferencia de otros sistemas que permiten la misma funcionalidad sin aportar datos privados, como es el caso de Telegram, no se puede compartir el teléfono de un cliente con otro. Tampoco se puede dar el número personal de un trabajador a otro.
• El mismo caso, pero en otro formato, se da cuando una empresa envía una cadena de emails en la que todos los participantes pueden ver los correos electrónicos del resto. Es una vulneración grave del RGPD que se corrige seleccionando la copia oculta (CCO).

• Tirar a la basura documentación legible con datos de clientes, por ejemplo sus fichas dentales o información sobre su situación crediticia. Estos documentos han de triturarse. Y lo mismo con documentación digital almacenada en discos duros, es un error tirarlos sin más.
• Tampoco se puede dejar el ordenador desprotegido sin contraseña en un mostrador o en una oficina. Si el empleado no lo está usando, es imperativo bloquearlo, más aún si se trabaja en un coworking, una oficina abierta o un espacio compartido con otra empresa. Esto se aplica a la documentación impresa sobre la mesa: si incluye datos personales, ha de guardarse bajo llave.

Errores frecuentes con las cookies de una web

Cerca de la mitad de las pymes aún no disponía de página web en 2019, según GoDaddy, cifra que ascendió al 78% en 2020 al incluir a los autónomos. Pero en las empresas que sí la tienen suele haber errores recurrentes. Por ejemplo, con las cookies:

• Las cookies han de aceptarse de forma proactiva. Es decir, sin consentimiento del usuario no se debería poder navegar por la web. Por desgracia, a menudo no es necesario aceptar nada, dándose por supuesto que el visitante leerá la aceptación, algo que incumple el RGPD.
• Las cookies han de poder rechazarse de forma específica. A menudo hay un único botón, ‘Aceptar cookies’, cuando han de separarse en tipologías y usos, como cookies analíticas o de rastreo.
• Sin salir de las cookies, es obligatorio, de acuerdo con el RGPD, informar al navegante de qué hacen las cookies aceptadas. Es necesario comunicar su uso concreto.

Errores frecuentes del RGPD con legibilidad y privacidad

También existen otros errores frecuentes relacionados con ámbitos como la legibilidad y la privacidad:

• Los formularios, especialmente los de registro, han de ser explícitos para que no haya equívocos. Y, además, han de ser verificables, por ejemplo enviando un correo electrónico para confirmar la suscripción.
• El usuario tiene derecho a que la pyme borre toda la información que disponga de registros previos. Este derecho ya existía antes del RGPD, aunque el incumplimiento persiste en algunos casos.
• La política de privacidad ha de ser comprensible para los usuarios. Así aparece reflejado en la normativa, que exige un lenguaje accesible a los legos en conocimientos jurídicos.

Errores de RGPD en materia de seguridad digital

Con un clima laboral en el que la ciberseguridad es cada vez más importante, el RGPD introduce algunas necesidades básicas:

• Especialmente en gestores de contenido (CMS) existen problemas graves de seguridad. Es obligatorio establecer protocolos para localizar estas brechas, así como mantener actualizadas las contraseñas.
• La empresa de hosting que aloje la página web ha de cumplir su parte del RGPD, algo que rara vez ocurre cuando este está ubicado en países donde esta normativa no es aplicable.

Evidentemente no se piden sistemas invulnerables —no existe ni es probable que se dé algo así—, pero sí que se tomen ciertas precauciones mínimas para evitar el robo de información personal. Esto incluye la formación básica en materia de prevención de delitos electrónicos, tales como el phishing, la ejecución de malware o la ingeniería social.