Formación RGPD

Estás sentado en tu escritorio. Frente a ti, en la pantalla, una lista de clientes. En el móvil, ves un correo electrónico que vas a enviar. De fondo, hablas con un compañero sobre un caso actual. Todo es parte de la rutina laboral normal. Y precisamente por eso es fácil pasarlo por alto. En cada uno de estos momentos, estás trabajando con datos personales. Son datos sobre personas, sobre clientes, sobre empleados, sobre contactos, sobre personas que confían en nosotros. Y la protección de datos significa que tratamos estos datos de tal manera que permanezcan protegidos. No solo el departamento jurídico, no solo el delegado de protección de datos, todos nosotros. El RGPD establece en el artículo 4, apartado 1, que los datos personales son toda información sobre una persona física identificada o identificable. En pocas palabras, tan pronto como se puede reconocer a una persona, directa o indirectamente, se trata de datos personales. No es solo el nombre. También es un número de teléfono, una dirección de correo electrónico, un número de cliente, un número de contrato, una nota de conversación, una foto o una información que, junto con otros datos, permite identificar de quién se trata.

El RGPD menciona en el artículo 5 varios principios, por ejemplo, licitud, limitación de la finalidad, minimización de datos y confidencialidad. Para el día a día, esto significa que utilizamos datos personales solo si tenemos permiso, solo para el fin previsto, solo en la medida necesaria y solo de manera que personas no autorizadas no puedan acceder a ellos. Suena abstracto. Pero en el día a día, suele manifestarse en situaciones muy sencillas. La primera situación: el destinatario equivocado. Escribes un correo electrónico. El programa sugiere automáticamente una dirección. Haces clic rápidamente y, de repente, los datos personales acaban en manos de alguien que no debería haberlos recibido. Esto puede ser una violación de la seguridad de los datos personales según el artículo 4, apartado 12 del RGPD, por ejemplo, una divulgación no autorizada. Por eso, antes de enviar: detente un momento, comprueba el destinatario, comprueba los adjuntos, comprueba el contenido.

Esos dos segundos pueden evitar un incidente de protección de datos. La segunda situación: el lugar equivocado. Los datos personales deben estar en los sistemas autorizados de la empresa. No en memorias USB privadas. No en cuentas de correo electrónico privadas. No en servicios de mensajería privados. No en servicios en la nube que no estén autorizados. El artículo 32 del RGPD obliga a las empresas a proteger los datos personales mediante medidas técnicas y organizativas adecuadas. Si los datos van a lugares no previstos, esa protección puede perderse. Por eso, cuando guardes, compartas o reenvíes datos, pregúntate brevemente: ¿es este el lugar correcto y autorizado para ello? La tercera situación: la vista abierta. Una pantalla visible para otros. Una llamada telefónica con datos de clientes en una cafetería. Documentos abiertos sobre el escritorio. Aquí también se trata de confidencialidad. El artículo 5, apartado 1, letra f del RGPD dice que los datos personales deben protegerse contra el acceso no autorizado. En pocas palabras, no todo el mundo puede ver o escuchar todo.

Por eso: bloquea la pantalla, no mantengas conversaciones con datos personales en público, no dejes documentos a la vista. Si tienes dudas, una simple pregunta ayuda. ¿Puedo usar estos datos para este fin específico y puede la otra persona ver esta información? Si dudas, no sigas adelante sin más. Pregunta a tu superior o al delegado de protección de datos. Encontrarás los datos de contacto en la plataforma de aprendizaje. ¿Y qué pasa si algo sale mal? Un correo electrónico fue al destinatario equivocado. Se perdió un dispositivo. Un documento fue visible para personas no autorizadas. Alguien tuvo acceso sin tener permiso. Entonces, hay una regla. Notificarlo de inmediato. No esperar. No encubrir. No investigar por tu cuenta. No callar por vergüenza. El artículo 33 del RGPD dice que, en caso de una violación de la seguridad de los datos personales, el responsable debe notificarla a la autoridad de control competente sin dilación indebida y, a ser posible, en un plazo de 72 horas, después de que haya tenido conocimiento de ella, siempre que exista un riesgo probable para los derechos y libertades de las personas afectadas.

Si el riesgo es probablemente alto, también puede ser necesaria una comunicación a las personas afectadas según el artículo 34 del RGPD. Para ti, en el día a día, esto significa: notifica cualquier posible incidente internamente de inmediato. Preferiblemente por teléfono al delegado de protección de datos o a través del canal de notificación previsto para ello. Encontrarás más información en nuestra plataforma de aprendizaje y en el portal de autoservicio. Cuanto antes se conozca el incidente, mejor podrá reaccionar la empresa. Al final, se trata de una actitud sencilla. Los datos personales no son una información cualquiera. Son información sobre personas. Quien trabaja con ellos, asume una responsabilidad. La protección de datos en el día a día significa: comprobar brevemente, actuar conscientemente y notificar de inmediato si algo sale mal. Si todos tienen este reflejo, los datos personales permanecerán donde deben estar: protegidos.