Nuestra web puede contar ya con el cumplimiento del RGPD o algunos elementos que conduzcan al manejo de datos personales. Aunque se trate de un elemento tecnológico cotidiano, deberemos tener en cuenta unas determinadas medidas mínimas que repasaremos en este informe.
El Reglamento General de Protección de Datos (RGPD) entra en vigor el 25 de mayo. Obliga a las empresas y organizaciones en general a ser mucho más cuidadosos con los datos de tipo personal que manejamos.
Aunque en un primer momento pudiera parecer que en nuestra organización no gestionamos y/o almacenamos información sensible. La calificación que hace el reglamento de lo que es un dato personal (puede ser una simple dirección de correo electrónico o un número de teléfono). Hace que empiecen a surgir ya más procesos que los utilicen para tomar en ellos una serie de medidas. Para así, cumplir con la protección de datos (aunque si los datos no tienen una especial sensibilidad, tampoco las medidas serán complejas).
Datos de carácter personal que gestionamos en nuestra web
Aunque nuestra web no sea una compleja plataforma de información, puede que tengamos determinados mecanismos en ella. Totalmente lícitos, por otra parte. Y que incluso deberían ser el objetivo de nuestra web, que hagan que debamos tener cuidado con la información que manejemos.
Hablamos, por ejemplo, de la simple recogida de datos de contacto. Se puede realizar en nuestra web a través de un formulario: una simple consulta, una oferta o incluso una suscripción a nuestro boletín de información.
E incluso, y por no entrar en otros posibles usos más específicos de recogida de información. El común formulario de envío para recogida del currículum de las personas que quieran optar a los puestos de trabajo que podamos ofertar en nuestras organizaciones. En este caso, la información que contenga un curriculum vitae puede tener un carácter aún más sensible. Y tendremos que tenerlo en cuenta en nuestra política de privacidad (no solo para la recogida en este caso, sino en el almacenamiento y la gestión posterior).
Deber de información y consentimiento explícito
Ciñéndonos a lo que respecta a nuestra web. Debemos dar soporte en la misma, especialmente a dos de las obligaciones que señala el cumplimiento del RGPD para el tratamiento de la información. El deber de información a las personas que nos cedan su información. Y el consentimiento explícito de las mismas a que podamos gestionar dicha información exclusivamente de la manera que les hayamos indicado.
Para ello deberemos analizar con carácter previo cuáles son esos tratamientos que vamos a realizar con los datos que recogemos. Nos servirá para organizar nuestra Política de Privacidad y documentar en la web los extractos de la misma que sean de aplicación.
Medidas para el cumplimiento del RGPD
Una vez analizados esos mecanismos de recogida de información, y a la vista de lo que el reglamento indica para el manejo de los datos personales, será necesario que realicemos las siguientes acciones:
- Elaborar (o adaptar) la Política de Privacidad, de manera acorde a la información que tratemos.
Será necesario introducir (o actualizar) una página en nuestra web donde informemos de los datos que en ella se pueden recoger y el tratamiento que realizaremos de los mismos. - Adecuar los formularios de recogida de información.
En el momento de recogida de la información desde los formularios o puntos habilitados, habremos de informar, como hemos visto, del tratamiento que se va a realizar con los datos que nos proporcionen. Podemos hacerlo mostrando toda la información o en dos capas: habilitando un enlace a la página de Política de Privacidad para que esa información pueda ser consultada.
Y hacer que en el formulario la persona acepte de manera explícita que ha leído dicha información y está de acuerdo con el tratamiento expresado. Podremos habilitar por ejemplo, una casilla de visado (o check) para que el usuario pueda marcar expresamente dicho consentimiento para que la información sea recogida. Y no servirá que dicha casilla esté marcada por defecto. - Adaptar e informar de los mecanismos y procedimientos para garantizar a nuestros visitantes el ejercicio de sus derechos.
En la página de Política de Privacidad deberemos expresar claramente cómo puede la persona acceder a los mecanismos que hayamos dispuesto para que pueda ejercer sus derechos.
Y aquí hablamos además de los nuevos derechos que el Reglamento recoge, además de los tradicionales ARCO (Acceso, Rectificación, Cancelación y Oposición) recogidos en la normativa española vigente hasta el momento. Deberemos implementar mecanismos, por tanto, para los nuevos derechos de derecho de supresión, limitación del tratamiento y portabilidad de la información y expresar en la página cómo se accede a ellos.
Registro del tratamiento de los datos
Como hablamos ya en un anterior informe en este mismo boletín, el cumplimiento del RGPD elimina la necesidad de inscribir en la Agencia Española de Protección de Datos los ficheros de información que estemos manejando.
En cambio, cada organización deberá llevar un Registro de Actividades de Tratamiento de acuerdo a lo que el Artículo 30 del RGPD detalla. Así pues, cualesquiera que sean las medidas que hayamos de adoptar, si vamos a recoger información de carácter personal en nuestra web, deberemos igualmente realizar un registro de tratamiento donde indiquemos las actividades que estemos realizando con dicha información.
En este sentido, cada responsable del tratamiento deberá ir registrando las actividades de tratamiento efectuadas bajo su responsabilidad. Describirá así: qué datos recoge; con qué fin los trata y cómo los trata; a quién o quiénes los comunica; si los transfiere a terceros países (en el caso por ejemplo de compañías multinacionales); qué medidas técnicas y organizativas se aplican para preservar la seguridad de los datos; y cuándo podrá suprimirlos.
El día 25 de mayo está ya aquí. Tenemos poco tiempo para terminar de hacer nuestros deberes, pero las advertencias que se están realizando a todos los niveles con la necesidad de cumplimiento del reglamento. Hace que sea conveniente que impulsemos la finalización de los trabajos para que nuestra organización se libre de cualquier problema derivado de una mala gestión.
Para ayudarte, contacta con nosotros.
José Miguel Serrano Díaz
Unidad de Ingeniería y Desarrollo de Sistemas Software
