Entra en vigor el RGPD

El 25 de mayo de 2018 empezó a aplicarse en la Unión Europea el Reglamento General de Protección de Datos (RGPD), con nuevas obligaciones para cualquier empresa que trate datos personales. Las sanciones por incumplirlo pueden alcanzar el 4 % de la facturación mundial, una cifra que convirtió el cumplimiento en una prioridad de gestión incluso para negocios que hasta entonces no se habían planteado el asunto. Se trata de una norma que obliga a pensar en las personas cuyos datos se manejan, y no solo en los intereses de quien los trata.

La norma cambió la relación entre las empresas y los datos de las personas. Ya no basta con recogerlos y guardarlos: hay que saber por qué se tienen, con qué permiso, durante cuánto tiempo y con qué medidas de protección. Para empresarios y familias que gestionan un negocio, el reglamento fue una invitación a ordenar la casa antes de que un error, una reclamación o una brecha de seguridad lo haga por ellos. Hacerlo con tiempo es más barato que corregirlo bajo presión.

Qué exige el reglamento

El RGPD establece que los datos personales deben tratarse de forma lícita, transparente y con una finalidad concreta. Las personas ganan derechos sobre sus datos, como acceder a ellos, corregirlos o pedir su supresión, y las empresas deben poder demostrar que cumplen. El principio general es que cada dato personal debe tener una razón de ser y una duración limitada.

Esta última exigencia es importante: no basta con cumplir, hay que poder acreditarlo. Eso implica documentar los tratamientos, conservar las pruebas del consentimiento cuando este sea la base legal y tener procedimientos para atender las solicitudes de los afectados en plazo. El reglamento traslada así a la empresa la carga de demostrar que actúa con responsabilidad, en lugar de esperar a que el interesado tenga que reclamar. Es una lógica de responsabilidad proactiva que cambia la manera de gestionar la información en la empresa.

Para cualquier empresa

No es una norma pensada solo para grandes compañías: afecta a cualquier negocio que maneje datos de clientes, empleados o proveedores, incluso una pequeña empresa familiar. Las sanciones, que pueden llegar al 4 % de la facturación mundial, convirtieron el cumplimiento en una cuestión de gestión del riesgo.

Un comercio con una lista de clientes, una clínica con historiales, un despacho con datos de sus asesorados o una empresa con su plantilla tratan datos personales a diario. La dificultad suele estar menos en la complejidad de la norma que en la rutina: nadie se pregunta por qué se guarda una hoja de cálculo con nombres y teléfonos, hasta que alguien pregunta qué se hace con ella. Revisar esas rutinas es el primer paso para detectar lo que sobra, lo que falta y lo que se hace sin pensar.

Por dónde empezar

Un primer paso razonable es saber qué datos se tienen, para qué se usan, dónde se guardan y quién puede acceder a ellos. A partir de ahí se revisan los consentimientos, los contratos con terceros que procesan datos y los protocolos ante una brecha de seguridad. Un asesor jurídico especializado puede orientar el proceso.

Conviene hacerlo de manera práctica: un inventario sencillo, una revisión de quién tiene acceso a qué, contratos claros con los proveedores que tratan información por cuenta de la empresa y un procedimiento escrito para actuar si se pierde o se filtra información. No se trata de convertir la empresa en una oficina de burocracia, sino de tener respuestas preparadas cuando alguien las pida. Un asesor especializado puede adaptar el nivel de formalidad al tamaño y la actividad de cada negocio.

Proteger los datos de los clientes es hoy parte de proteger la reputación del negocio.

Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.