Source: https://www.lexdigitalabogados.com/proteccion-de-datos-para-startups/
Timestamp: 2020-08-08 05:19:28
Document Index: 250806603

Matched Legal Cases: ['artículo 4', 'artículo 13', 'artículo 5', 'artículo 15', 'artículo 16', 'artículo 17', 'artículo 18', 'artículo 20', 'artículo 21', 'artículo 22', 'artículo 83', 'artículo 72', 'artículo 73', 'artículo 74']

PROTECCIÓN DE DATOS PARA STARTUPS - Protección de datos - Lex Digital Abogados
Inicio•PROTECCIÓN DE DATOS PARA STARTUPS
PAUTAS A SEGUIR EN MATERIA DE PROTECCIÓN DE DATOS PARA EMPRESAS Y STARTUPS
Aprovechando el post que elaboramos para el Día Europeo de la Protección de Datos para el blog de Explorer, en LEXDIGITAL ABOGADOS, despacho especializado en Protección de Datos, Derechos Digitales y Servicios de la Sociedad de la Información y Comercio Electrónico, hemos analizado las obligaciones en materia de protección de datos que tienen las Startups en ocho sencillos pasos.
¿Qué obligaciones tiene una Startup en materia de protección de datos?
Habitualmente las Startups como empresas emergentes o incipientes manejan datos de carácter personal de clientes, proveedores y trabajadores (entre otros); por ejemplo: nombre, apellidos, DNI/NIE, fotografía, firma, dirección postal, correo electrónico, número de teléfono, etc.; bien en soportes y archivos físicos o informáticos.
Por ello, desde el momento en el que una Startup realizar un tratamiento de datos personal le es de aplicación obligatoria la siguiente normativa:
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos <RGPD>).
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales <LOPDGDD>.
Tanto el RGPD como la LOPDGDD son de obligado cumplimiento para todas las Startups que lleven a cabo un tratamiento de datos personales en el desarrollo de su actividad.
El RGPD en su artículo 4.2. establece la definición de tratamiento como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjunto de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.
En resumen, estaremos realizando un tratamiento de datos personales, desde el momento de su recogida hasta su destrucción, aunque en todo ese trascurso de tiempo únicamente los hayamos conservado.
Llegados a la conclusión de que toda Startup va a tratar datos de carácter personal, desde LEXDIGITAL ABOGADOS garantizamos el cumplimiento normativo en el tratamiento de datos de carácter personal de forma profesional y personalizada, realizando los siguientes pasos, acompañados por sus respectivos trabajos:
0.- Estudio inicial.
1.- Elaboración de cláusulas informativas.
2.- Elaboración del Registro de actividades de tratamiento.
3.- Elaboración de los Contratos de encargo de tratamiento.
4.- Elaboración del Análisis de riesgos.
5.- Elaboración de la Evaluación de Impacto Protección de Datos (EIPD).
6.- Comunicación del Delegado de Protección de Datos (DPD).
7.- Adaptación web.
8.- Asesoramiento continuo.
Analicemos cada paso más en profundidad:
Como toma de contacto se deberá realiza un Estudio Inicial de la Startup acerca del tratamiento de Datos Personales que lleve a cabo en el desarrollo de su actividad.
En función de los tratamientos de Datos Personales que realice, deberá adoptar una serie de medidas a implantar (de seguridad, técnicas y organizativas), apropiadas para garantizar un nivel de seguridad adecuado al tipo de riesgos que afronte la Startup en el desarrollo de su actividad.
De conformidad a lo dispuesto en el artículo 13 del RGPD y 11 de la LOPDGDD. La información a los interesados (clientes, proveedores, empleados, etc.) respecto a los tratamientos de sus Datos Personales que les afecten, deberá proporcionarse de forma clara, transparente, inteligible y de fácil acceso.
Por esta razón, cada Startup deberá elaborar una serie de Cláusulas Informativas, en virtud del colectivo interesado (clientes, proveedores, empleados, etc.), en las cuales se concrete:
En función de los tratamientos de Datos Personales que lleve a cabo la Startup, de la finalidad de los mismos, de los destinatarios, etc. deberá establecerse un registro de actividades con todos los tratamientos, donde se documenten todas las actividades de tratamiento llevadas a cabo por la Startup, asimismo dicho documento debe estar a disposición de la AEPD.
Nombre y datos de contacto del responsable, así como del DPD si existiese.
Destinatarios a quienes se comunicarán los datos personales.
Las relaciones entre el responsable y el encargado del tratamiento (aquellos terceros que accedan a sus Datos Personales para prestarle un determinado servicio, por ejemplo: la asesoría laboral y fiscal, la empresa de prevención de riesgos laborales por la parte técnica, la empresa de videovigilancia, etc.) deben formalizarse en un contrato o acto jurídico que vincule al encargado respecto del responsable.
Previamente a llevar a cabo un nuevo tratamiento de Datos de carácter personal se deberá elaborar un análisis inicial de riesgos, identificando las amenazas que puedan afectar al tratamiento de los Datos Personales e imponiendo una serie de medidas técnicas y organizativas adecuadas para el correcto tratamiento de los mismos.
5.- ELABORACIÓN EVALUACIÓN DE IMPACTO (EIPD).
6.- ADAPTACIÓN DEL SITIO WEB.
La Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), exige que la información sobre el prestador de servicios y su actividad ha de ponerse a disposición de los usuarios por medios electrónicos, de forma permanente, fácil, directa y gratuita.
Si la Startup presta servicios a través de una página web deberá incorporar dicha información de forma accesible, debiéndose incorporar de forma permanente y visible:
Una Política de Cookies (en caso de emplearse cookies).
Supervisar el cumplimiento de la normativa vigente, incluyendo la asignación de responsabilidades, concienciación y formación del personal.
Colaborar con la Agencia Española de Protección de Datos.
8.- ASESORAMIENTO PERMANENTE Y CONTINUADO.
En aras a cumplir con el principio de responsabilidad proactiva en el tratamiento de datos de carácter personal (artículo 5.2. del RGPD), se hace necesario que las Startups cuente con un servicio de asesoramiento integral y permanente, bien de forma externa por parte de un despacho especializado como nosotros, o internamente por medio de su propio departamento legal.
Facilitándose en todo momento el ejercicio de los derechos establecidos en el RGPD:
Acceso del interesado, artículo 15 del RGPD.
Rectificación, artículo 16 del RGPD.
Supresión (derecho al olvido), artículo 17 del RGPD.
Limitación del tratamiento, artículo 18 del RGPD.
Portabilidad de los datos, artículo 20 del RGPD.
Oposición, artículo 21 del RGPD.
Derecho a no ser objeto de una decisión individual automatizada, incluida la elaboración de perfiles, artículo 22 del RGPD.
El incumplimiento de la anterior normativa, además de los riesgos derivados de la mala gestión de la información de carácter personal de la que dispone la Startup y de los daños reputacionales y de resultados para esta, tiene como consecuencia la imposición de sanciones económicas por parte de la AEPD.
Cuantitativamente, la mayor novedad que supone la actual normativa (RGPD) frente a la anterior normativa, la Ley Orgánica 15/1999, es el incremento del importe de las sanciones hasta los 20 millones de euros, poca broma.
La LOPDGDD no determina la cuantía de las sanciones y nos remite a lo establecido en el RGPD en su artículo 83, el cual establece dos tipos de infracciones:
Infracciones muy graves: se sancionarán con multas administrativas que pueden alcanzar los veinte millones de euros o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global.
Infracciones graves: se sancionarán con multas administrativas que pueden ascender hasta los diez millones de euros o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global.
Afortunadamente, la LOPDGDD establece una serie de conductas regladas en muy graves, graves y leves.
Muy graves, artículo 72 LOPDGDD. Prescriben a los 3 años.
Conductas que supongan un incumplimiento sustancial del tratamiento y tengan que ver con:
Exigencia de un pago para poder acceder a los datos.
Transferencias internaciones de información sin garantía.
Graves, artículo 73 LOPDGDD. Prescriben a los 2 años.
Conductas que supongan una vulneración sustancial del tratamiento y tengan que ver con:
Incumplimiento en el nombramiento de responsable o encargado del tratamiento de datos.
Leves, artículo 74 LOPDGDD. Prescriben al año.
Conductas no contempladas en las anteriores:
Falta de transparencia de la información.
Esperamos que este artículo haya sido de su interés y con cualquier duda al respecto, el equipo de LEXDIGITAL ABOGADOS os ofrecerá un servicio de calidad y acorde a las necesidades de su Startup.