La Agencia Española de Protección de Datos (AEPD) ha actualizado y ampliado su información específica sobre autónomos y pymes para ayudarles a evitar sanciones al gestionar la información de sus clientes y empleados. La actualización llega tras haber recibido más de un millón de consultas sólo en el último año relacionadas con la aplicación de la normativa de protección de datos.
Para ello, ha renovado su web presentando de forma más clara y estructurada las dudas más habituales a las que se enfrentan quienes manejan información personal en pequeños negocios, desde la base legal para usar los datos hasta qué hacer cuando se produce una brecha de seguridad.
Junto a esta guía en forma de preguntas y respuestas con ejemplos prácticos, el organismo también ha puesto a disposición de los profesionales una batería de modelos y formularios oficiales en los que pueden apoyarse para cumplir con los requisitos del Reglamento General de Protección de Datos (RGPD) y la normativa aplicable.
La AEPD refuerza los recursos para quienes tratan datos en pequeños negocios
Dentro de la reorganización de contenidos, se ha reforzado de forma específica la categoría “Tus obligaciones como responsable del tratamiento”, que la propia Agencia define como una sección “orientada especialmente a pymes”, tras detectar un elevado volumen de consultas procedentes de pequeños negocios y profesionales.
En este apartado se recuerda que es responsable del tratamiento cualquier empresa o autónomo que decide qué información recoge, con qué finalidad y cómo la gestiona. En la práctica, esto incluye desde un negocio que conserva los datos de sus clientes físicos o digitales, hasta la información de proveedores o de sus empleados.
Sin embargo, según explicó a este medio el abogado especializado en derecho digital Jorge Cabet, managing partner de Cabet Abogados, este tipo de guías suelen ser utilizadas sobre todo por quienes asesoran a les autónomos pues muchos profesionales no tratan de aplicarlos directamente.
Protección de Datos explica qué usos de datos están permitidos y con qué base legal
Uno de los primeros puntos que aclara la AEPD es que cada uso de información personal debe estar justificado. Para ello debe existir una base legal, como la prestación de un servicio, el cumplimiento de una obligación normativa o el consentimiento del interesado.
El contenido se apoya en situaciones frecuentes en la actividad de las pymes y recuerda que los datos deben emplearse solo para los fines para los que fueron recogidos, evitando reutilizarlos posteriormente para objetivos distintos.
La normativa obliga a informar y a no conservar datos más tiempo del necesario
Uno de los aspectos que Protección de Datos señala es el deber de informar de forma comprensible sobre el uso de la información personal. Esto implica explicar quién es el responsable, para qué se emplean los datos, cuánto tiempo se guardarán y cómo se pueden ejercer los derechos de acceso, rectificación o supresión.
También se insiste en que los negocios deben limitar la recogida de información a lo imprescindible y no mantenerla almacenada más tiempo del necesario, tanto en archivos digitales como en documentación en papel.
El registro de tratamientos sirve para demostrar que el negocio cumple la ley
Varias preguntas se centran en la utilidad del Registro de Actividades de Tratamiento (RAT), un documento donde la empresa deja constancia de qué información maneja, con qué finalidad y qué medidas de protección aplica.
Aunque en algunos supuestos las microempresas pueden quedar exentas, el portal señala que tratamientos habituales –como la gestión de clientes o de personal– hacen recomendable disponer de este registro, que sirve como respaldo en caso de inspección o reclamación.
Los negocios siguen siendo responsables aunque usen proveedores externos
La guía también explica qué ocurre cuando se recurre a servicios externos, como programas de facturación, plataformas de correo, gestorías e incluso herramientas de inteligencia artificial. En estos casos, se recuerda que la responsabilidad sigue recayendo en el propio negocio y que debe existir un acuerdo que regule el acceso a la información por parte de estos proveedores.
Por último, se detalla cómo actuar ante una incidencia de seguridad, como la pérdida de un dispositivo, un acceso no autorizado o un envío erróneo de información. En determinadas circunstancias, estos episodios deben notificarse tanto a la autoridad de control como a las personas afectadas.
Protección de datos recuerda los límites para pymes y autónomos en el uso de datos de sus empleados
Otro de los bloques que Protección de Datos destaca por su utilidad para pymes y autónomos con plantilla es el dedicado a la protección de datos en el entorno laboral, centrado en situaciones habituales entre empresas y trabajadores que generan dudas sobre hasta dónde puede llegar el control empresarial.
Aquí se recuerda que la existencia de un contrato no elimina los derechos de privacidad de la plantilla, aunque sí permite ciertos tratamientos de información cuando son necesarios para la organización del trabajo o para cumplir obligaciones legales.
Para ello, la Agencia plantea algunos casos prácticos, detallando cuándo estos usos están amparados por la normativa laboral y cuándo deben limitarse para respetar la intimidad de los empleados. Desde el uso de los nombres y apellidos en las tarjetas identificativas hasta la instalación de sistemas GPS en vehículos de empresa, e incluso, si el empleador puede solicitar el teléfono o el correo personal del trabajador.
La AEPD ofrece modelos para que pymes y autónomos tengan una referencia fiable
Además de reorganizar las preguntas frecuentes, el portal ofrece una serie de modelos y formularios que pueden resultar útiles en el día a día de autónomos y pymes, sin necesidad de redactar documentos desde cero.
Es el caso de los documentos para solicitar acceso, corrección o eliminación de datos, los modelos de cláusulas informativas que pueden incorporarse en contratos, formularios o páginas web, el formato del Registro de Actividades de Tratamiento (RAT) e, incluso, el cartel obligatorio para cámaras de seguridad cuando existe videovigilancia en el local.
Aunque estos recursos ahora son más accesibles para los autónomos, Cabet matizó que muchas veces son los gestores o asesores quienes se los facilitan al negocio pues “no es habitual que el propio autónomo entre a buscarlo sin apoyo”.
Los expertos piden más pedagogía para que la norma llegue al autónomo medio
Desde el punto de vista jurídico, este tipo de iniciativas también forma parte del papel pedagógico de las autoridades de control. En palabras del abogado Jorge Cabet, “en un Estado de Derecho es importante que los organismos supervisores no solo sancionen, sino que expliquen por qué existe la norma y cómo se aplica, especialmente en una regulación tan amplia como el RGPD”.
Para ello, el abogado subrayó que «tendría que haber un trabajo mucho más sectorial, con ejemplos adaptados a cada tipo de negocio”.
