A la hora de aplicar las medidas necesarias para cumplir las leyes de privacidad, las empresas deben tener presentes siete principios básicos. Se trata de una serie de pilares que sustentan la correcta aplicación de la protección de datos personales. Veamos con detenimiento en qué consiste cada uno de ellos, cómo deben aplicarse y las consecuencias que podría tener en tu negocio el incumplimiento de estas obligaciones.
¿Qué son los principios de protección de datos?
Los principios de protección de datos son las bases fundamentales que guían la recopilación, el tratamiento y la conservación de datos de carácter personal. Su principal objetivo es garantizar el derecho a la privacidad de los individuos. Estos principios son las bases de las regulaciones en materia de protección de datos, como el Reglamento General de Protección de Datos (RGPD) en el marco de la Unión Europea.
En concreto, el RGPD recoge los principios relativos al tratamiento en el artículo 5, detallando cada uno de ellos, como la licitud, lealtad y transparencia, la limitación de la finalidad y toda la extensa lista que veremos a continuación con más detenimiento.
No se trata únicamente de cumplir reglas formales, sino de respetar una filosofía subyacente que se basa en el valor fundamental de la privacidad de las personas. Al cumplir estos principios, las empresas no solo se aseguran de actuar conforme a la ley, sino que también demuestran una ética empresarial que fortalece la confianza de los clientes.
¿Cuáles son los principios básicos de protección de datos?
Veamos los principios de la protección de datos recogidos en el artículo 5 del RGPD y cómo se deben respetar por parte de las empresas.
1. Licitud, lealtad y transparencia
La normativa indica que los datos personales deben ser tratados de manera lícita, leal y transparente en relación con el interesado.
En otras palabras, el tratamiento debe tener una justificación legítima, como el consentimiento del interesado, el cumplimiento de un contrato o el cumplimiento de una obligación legal. Además, no debe haber engaño ni manipulación acerca del procesamiento de datos, de manera que los usuarios puedan tomar decisiones informadas.
Por su parte, la transparencia exige que las empresas sean abiertas y claras sobre cómo manejan los datos personales. Esto incluye informar sobre la finalidad del tratamiento, el tiempo que se conservarán los datos, los derechos que tienen sobre ellos y las entidades con las que podrían compartirse.
2. Limitación de la finalidad
Los datos personales deben ser recopilados solo para fines específicos, explícitos y legítimos y no deben ser utilizados para otros fines que no hayan sido previamente informados al interesado.
Esta limitación no afecta en determinados casos que recoge el RGPD, como fines de:
- Archivo público
- Investigación científica o histórica
- Estadística
Estas excepciones se recogen con detalle en el artículo 89, apartado 1, donde se señala que dichos fines deben estar sujetos a garantías para los derechos de los interesados, como el principio de minimización de datos.
3. Principio de minimización de datos
Solo deben recolectarse los datos personales que sean estrictamente necesarios para cumplir con los fines para los que se han recogido. No se debe pedir información innecesaria.
4. Principio de exactitud
Todos los datos personales deben ser precisos y deben actualizarse en caso de que existan cambios. Es importante que las empresas tomen todas las medidas razonables para corregir o eliminar datos inexactos.
5. Limitación del plazo de conservación
No se deben almacenar datos personales más tiempo del necesario para cumplir con los fines para los que fueron recopilados. Una vez cumplido el propósito, los datos deben ser eliminados o anonimizados.
Igual que con el principio de limitación, en este caso también hay excepciones recogidas con detalle en el artículo 89 del Reglamento General de Protección de Datos.
6. Principio de integridad y confidencialidad
Las empresas deben tratar los datos personales de manera que garanticen su seguridad. Esto implica tomar las medidas necesarias para evitar cualquier acceso no autorizado, pérdida, destrucción o daño accidental.
Para ello, es imprescindible adoptar políticas y procedimientos adecuados para garantizar la protección de datos desde el inicio del tratamiento, con las medidas técnicas y organizativas necesarias.
7. Responsabilidad proactiva (accountability)
La empresa que recopila datos personales es la responsable de que se cumpla la normativa en cuanto al tratamiento de los datos. Además del deber de cumplirlos, también tiene la obligación de ser capaz de demostrar su cumplimiento. Por tanto, es fundamental guardar un registro de todos los datos y consentimientos recopilados, así como de las medidas tomadas para la protección de la información de carácter personal.
Aplicación de los principios en una organización
Para ilustrar el principio de licitud, la CEPD ofrece un ejemplo práctico que podría ser de utilidad: un banco planea mejorar la gestión de solicitudes de préstamos obteniendo datos fiscales de autoridades públicas con el consentimiento del cliente. Aunque el banco podría conceder el préstamo sin esta información, decide obtenerla directamente de las autoridades solo si el cliente da su consentimiento.
Otra situación ilustrativa describe una librería que solicita en un formulario de contacto campos como la fecha de nacimiento, además del nombre y los datos de contacto. Si coloca todas las casillas como obligatorias, no está respetando el principio de minimización de datos. Así lo recoge la CEPD en sus Directrices 4/2019 sobre el artículo 25.
Un ejemplo para el principio de exactitud es el de una clínica que podría tener dos pacientes con el mismo nombre y apellido, ¿cómo evitar problemas que afecten a la protección de datos? Es preciso que utilice un identificador único para evitar problemas y que tenga la información actualizada en todos los sistemas. Mediante la técnica informática de hashing¹, se pueden crear registros inmutables que permiten rastrear y verificar cualquier cambio en los datos.
Estos son solo algunos ejemplos que permiten identificar algunas prácticas recomendadas para asegurar el cumplimiento normativo. Las empresas son las responsables de cumplir todos y cada uno de los principios mencionados.
Con estas preguntas podrá verificar de manera general si está cumpliendo los principios:
- ¿Estoy obteniendo el consentimiento explícito de mis clientes para procesar sus datos personales?
- ¿He informado a mis clientes de manera clara y accesible sobre cómo se utilizarán sus datos?
- ¿Estoy recogiendo datos solo para fines específicos y legítimos?
- ¿Evito recolectar datos adicionales que no son relevantes para la actividad que realizo?
- ¿Tengo un plan claro para eliminar o anonimizar los datos una vez que ya no sean necesarios?
- ¿Estoy protegiendo los datos personales con medidas de seguridad adecuadas, como cifrado, control de acceso y protección contra accesos no autorizados?
- ¿Estoy documentando todas las decisiones relacionadas con el tratamiento de datos personales para poder demostrar el cumplimiento?
Es aconsejable contar con herramientas y tecnologías que faciliten el cumplimiento. Una CMP es una plataforma de gestión del consentimiento (Consent Management Platform) que permite recopilar el consentimiento del tratamiento de datos de las personas que visitan una web o utilizan una app. Con una solución de este tipo, se reduce el riesgo de infracciones en tu organización, evitando multas y posibles daños a tu reputación.
¹Hashing: se trata de una técnica utilizada en seguridad informática para garantizar la integridad de los datos y operar con ellos de manera eficiente. Consiste en convertir cualquier información en un valor único de longitud fija, conocido como hash, que actúa como una huella digital del dato original. Esto permite verificar su integridad, ya que cualquier modificación en el dato original genera un hash completamente diferente. Por ejemplo, la contraseña única de un usuario se puede convertir en un hash, de forma que el sistema solo almacena el hash en la base de datos, y no la contraseña original.
Consecuencias de no cumplir con los principios básicos de protección de datos
Las sanciones por incumplir las leyes de protección de datos pueden ser costosas para las empresas. Las más graves pueden llegar a los 20 millones de euros o al 4% del volumen de negocio anual.
Cualquier descuido en los principios de la protección de datos puede acarrear graves consecuencias. Por ejemplo, la AEPD (Agencia Española de Protección de Datos) condenó a un hotel a pagar 30.000 euros por no cumplir el principio de minimización de datos.
Además de las multas, no respetar la privacidad de los usuarios puede dañar la confianza de tus clientes en la marca y perjudicar tu reputación. También puede suponer demandas por parte de personas físicas, con costes añadidos para la empresa y daños a la imagen del negocio.
Conclusión
La ley de protección de datos se fundamenta en siete principios básicos que deben cumplirse por parte de las empresas. Asegúrate de conocerlos y de aplicar las medidas necesarias para poder cumplir cada uno de ellos y evita importantes sanciones, mejorando la reputación de tu empresa y la confianza de tus clientes.
Recuerda que una de las medidas más importantes para cumplir la protección de datos para empresas es solicitar el consentimiento explícito de los usuarios al visitar tu sitio web. En Usercentrics te ofrecemos una solución que te permitirá automatizar el cumplimiento en este sentido.
Descargo de responsabilidad: Usercentrics no provee asesoría legal y la información provista tiene fines únicamente educativos. Siempre recomendamos recurrir a consultorías legales cualificadas o especialistas en privacidad en relación a las cuestiones y operaciones sobre privacidad y protección de datos.
