¿Es obligatoria la protección de datos para autónomos?
La protección de datos es obligatoria para los autónomos, igual que para cualquier profesional que trate información de carácter personal. En otras palabras, este deber no depende del tamaño de la empresa, sino de la naturaleza de la actividad.
Tanto restauradores como fontaneros, arquitectos, abogados, consultores y cualquier otro profesional que trabaje por su cuenta debe asegurarse de proteger los datos personales de sus clientes y cualquier persona de la que traten información personal.
Los autónomos están obligados a tomar las medidas necesarias para salvaguardar nombres, direcciones, teléfonos y cualquier información facilitada. Es decir, no es relevante si eres autónomo o empresa, sino qué datos manejas.
¿Qué leyes de protección de datos deben cumplir los autónomos?
Los autónomos que ofrecen servicios en el territorio español deben cumplir las legislaciones vigentes en España, que son actualmente la LOPDGDD y el RGPD.
La LOPDGDD es la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales, actualmente en vigor, y que emana del Reglamento General de Protección de Datos de la Unión Europea.
Las leyes de protección de datos no tienen un apartado para autónomos como tal. Sin embargo, de manera general, se aplican a cualquier profesional que trate datos personales. El trabajador por cuenta propia debe, como toda organización, cumplir la LOPDGDD y el Reglamento de la UE.
Tanto para el manejo de datos de manera física como para la recopilación de información personal a través de un formulario web, la obligación no varía.
Los datos de carácter personal no solo se deben proteger cuando se trata de clientes, sino que también se deben tomar medidas para cualquier información personal de proveedores y posibles empleados.
Por ejemplo, un freelance que tiene una tienda online debe asegurarse de solicitar el consentimiento del uso de cookies en su e-commerce. Del mismo modo, los datos recopilados de prospectos y clientes deben protegerse con las medidas de seguridad necesarias. En caso de realizar campañas en cualquier plataforma es necesario asegurarse de que todos los terceros a los que se les cedan datos también se atienen a la normativa.
Ahora bien, la ley puede ser algo más permisiva respecto al registro del cumplimiento. La Comisión Europea ha aclarado que las empresas con menos de 250 empleados, aquí se incluirían los autónomos, no necesitan documentar las actividades de tratamiento; siempre y cuando no se trate de una actividad habitual.
En cuanto a la designación de un delegado de protección de datos, en principio los autónomos no estarían obligados. Sin embargo, hay ciertos casos en los que deben designar a un DPO:
- El tratamiento es su principal actividad
- Supone una amenaza específica para los derechos y libertades
- Se realiza a gran escala
En resumen, los autónomos tienen, por lo general, las mismas obligaciones que cualquier profesional de una organización. Tratar información de carácter personal supone una gran responsabilidad y, por tanto, es una actividad que debe ser protegida. Asimismo, el derecho de las personas a consentir sobre el uso de sus datos y a ser comunicadas sobre cualquier brecha de seguridad es el mismo sea cual sea el que opere con su información.
Tipos de autónomo que contempla la ley de protección de datos
Ni en la LOPDGDD ni en el RGPD existe un apartado concreto para los autónomos, por lo que tampoco diferencian entre distintos tipos de profesionales por cuenta propia. Sin embargo, sí que podemos matizar qué obligaciones se suelen derivar para este tipo de trabajadores, según su situación y actividad.
Autónomos sin empleados a su cargo
El autónomo sin trabajadores a su cargo debe asegurarse de proteger cualquier información de carácter personal de proveedores y clientes.
Autónomos socios de una empresa
En función de la responsabilidad que tenga el autónomo respecto al tratamiento de datos deberá seguir unas medidas para garantizar la protección de los mismos. En todo caso, ante cualquier manejo de datos, debe seguir la normativa vigente y cumplir con las políticas marcadas por la empresa.
Autónomos con empleados a su cargo
Los empleados, como personas físicas que facilitan sus datos personales, también tienen derecho a que su información se proteja de acuerdo a la normativa vigente. En este sentido, se debe informar a los trabajadores sobre sus derechos y las medidas implementadas, así como proveer formación para cuando traten cualquier dato personal de clientes o proveedores.
Autónomos TRADE o económicamente dependientes
Los autónomos TRADE tienen las mismas obligaciones que cualquier otro profesional que trate datos personales, pero éstas variarán en función de si es responsable de los datos o encargado del tratamiento. En todo caso, deben seguir las medidas que marca la ley y las políticas de la empresa.
Profesionales autónomos colegiados
En general, los autónomos colegiados como médicos, psicólogos o abogados, suelen tener sus propios códigos deontológicos. Más allá de ello, se deben seguir en todo caso las normas que marca la ley de protección de datos y que afectan a cualquier profesional que maneje datos de carácter personal.
¿Cómo cumplir la ley de protección de datos en caso de ser autónomo?
Como autónomo, es fundamental conocer y cumplir la normativa de protección de datos. Estas son las medidas que se deben tomar para el cumplimiento legal:
Información a los propietarios de los datos
El autónomo que trate datos personales debe informar a los interesados. En concreto, estas son algunas obligaciones:
- Crear y publicar una política de privacidad, en caso de tener página web
- Incorporar banners de cookies, para asegurar el consentimiento en su caso
- Usar un lenguaje claro y sencillo en cualquier comunicación
- Comunicar al usuario y la autoridad competente cualquier brecha de seguridad
Es importante recordar que el consentimiento debe ser explícito e informado. Igualmente, se deben tener presentes los derechos de los interesados sobre su información: acceso, rectificación, supresión, oposición y portabilidad.
Medidas de seguridad sobre los datos
Es deber de cualquier autónomo que maneje datos de empleados, proveedores o clientes, protegerlos tanto a nivel digital como físico. En otras palabras, es obligación del responsable de los datos contar con medidas de seguridad informática, como:
- Contraseñas fuertes
- Encriptación de datos
- Copias de seguridad regulares
- Actualización de software
Del mismo modo, si hay datos en papel o en servidores locales, éstos deben estar guardados de forma segura y con acceso restringido, es decir, solo para aquellas personas que cumplan las leyes de protección de datos.
Plazo de conservación de los datos
El RGPD no establece un periodo concreto para conservar los datos. Sin embargo, indica que los datos deben conservarse durante el tiempo necesario para la finalidad establecida.
Así se indica en el artículo 5 del reglamento, donde se señala que «los datos personales serán (…) e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales».
A continuación, la ley de protección de datos añade una excepción: podrán conservarse por más tiempo para determinados fines de interés público, como se recoge en el artículo 89.
Análisis de riesgos
No es suficiente con actuar en caso de brecha de seguridad, sino que es deber del responsable del tratamiento tomar las medidas para evitarla, así como asegurarse de identificar posibles amenazas.
El análisis de riesgos debe tener presentes estos elementos:
- Qué datos se recopilan y cuáles son los más sensibles
- Potenciales amenazas internas y externas
- Puntos débiles en los sistemas y procesos
- Posible impacto de las amenazas
- Protocolo de actuación en caso de brecha
Evaluación de impacto
Antes de recopilar y tratar datos personales se deben valorar los riesgos y las consecuencias en caso de que se vean comprometidos. Además, el autónomo, como responsable de los datos, debe tomar las medidas necesarias para protegerlos y actuar en caso de cualquier brecha de seguridad.
Contrato de encargo de tratamiento
Si el autónomo cuenta con proveedores o colaboradores externos, debe evaluar si tratan algún dato personal de su base de datos. Como responsable de los datos recopilados, el profesional debe firmar un contrato con cualquier tercero al que encomiende el tratamiento de datos.
El contrato debe incluir las obligaciones del encargado, qué finalidades tiene el tratamiento, la duración del encargo y medidas de seguridad tomadas. Todo ello también debe ser incluido en la política de privacidad y el usuario debe consentir este tratamiento de terceros, además del de la empresa o autónomo.
Formación
Los autónomos que operen con información de carácter personal en su actividad deben asegurarse de mantenerse al día de la normativa y de actualizar cualquier medida si la ley cambia. Asimismo, cualquier colaborador o empleado debe también estar capacitado para cumplir con las leyes de protección de datos.
Verifique en un minuto que cumple con la normativa de protección de datos
¿Cumple como autónomo con lo que dicta la ley de protección de datos? Existen listas de comprobación del RGPD que ayudan a asegurar el cumplimiento.
Conclusión
Los autónomos, como cualquier empresa que trate datos personales, tienen la obligación de cumplir la normativa de protección de datos. Así, no solo se aseguran de operar dentro de la legalidad, sino que también evitan importantes sanciones y daños a su imagen profesional.
Por suerte, a día de hoy existe información accesible para todos y soluciones tecnológicas asequibles para autónomos y pequeñas empresas. En este sentido, Usercentrics ofrece una gran cantidad de recursos, empezando por una CMP o plataforma de gestión del consentimiento. Además, los autónomos pueden documentarse, con las diferentes guías y checklists sobre protección de datos que facilitamos en nuestra página web.
–
Descargo de responsabilidad: Usercentrics no provee asesoría legal, y la información provista tiene fines únicamente educativos. Siempre recomendamos recurrir a consultorías legales cualificadas o especialistas en privacidad en relación a las cuestiones y operaciones sobre privacidad y protección de datos.