La AEPD ayuda a los negocios online para que cumplan la protección de datos

Sin embargo, esta modalidad de trabajo a distancia a la que muchos autónomos han tenido que adaptarse, no exime del cumplimiento de la política de protección de datos. Ya el pasado mes de abril, la Agencia Española de Protección de Datos (AEPD) advirtió que la pandemia y la consecuente situación que generaba en los negocios no impedía que siguieran llegando las sanciones para aquellos autónomos y pymes que tienen la obligación de adaptar sus nuevas rutinas de trabajo a la normativa vigente.

Para que el aumento del comercio y negocios online no afecte al cumplimiento de la normativa, la AEPD ha puesto en marcha una nueva herramienta dedicada a asesorar en protección de datos a todos los nuevos negocios y startups en el correcto uso de las nuevas tecnologías y la información. La herramienta aporta «instrucciones en función de la pyme o el negocio. Realiza una valoración del impacto donde indica lo que hay que hacer con los datos y cómo hacerlo”, explicó la AEPD.

Los autónomos y emprendedores dispuestos a poner marcha un negocio online o que tienen uno de reciente creación pueden basarse en esta guía que ofrece la Asociación Española de Protección de Datos, para adaptar así su actividad a la normativa vigente en materia de datos.

Facilita Emprende, guía de tratamiento de datos

Esta herramienta tiene como fin la ayuda a pymes y micropymes tecnológicas en su adecuación a la normativa de protección de datos. Ofrece un conjunto de recomendaciones de privacidad, seguridad y de gestión de riesgos para aquellos negocios que se caractericen específicamente por el uso de nuevas tecnologías. Mediante una descripción detallada de los tratamientos, la herramienta ayuda a obtener una visión práctica orientada a gestionar los posibles riesgos que podría implicar su desarrollo para los derechos y libertades de las personas.

A través del planteamiento de una serie de preguntas, la herramienta genera una especie de guía que ayudar al emprendedor a identificar el tipo de sensibilidad que adquieren los datos que tratará y las características de su perfil. Mediante un cuestionario guiado que se desarrolla a través de varias pantallas, debe verificar si la herramienta es aplicable a su empresa y si está adecuada para realizar los trámites oportunos.

El proceso de cumplimentación de los datos está estructurado en tres partes o secciones:

• En la primera, se evalúa si la organización encuadra en el perfil de una startup de tipo tecnológico, identificando las tecnologías utilizadas y recogiendo los datos básicos necesarios para personalizar la documentación generada.
• En la segunda parte se recoge información de aquellos tratamientos de tipo básico que la entidad puede estar gestionando como responsable. Así como los datos de identificación de aquellas terceras partes que le estén prestando un servicio a su entidad. A partir de esta información la herramienta generará información de utilidad en base al cumplimiento de sus obligaciones en el marco de la normativa de protección de datos.
• En la última sección, se analizan aquellas actividades de tratamiento que se soportan sobre dichas tecnologías, caracterizando, para cada una de ellas, el nivel de riesgo que representan. A partir del análisis de los datos, las finalidades y los factores de riesgo que incorporan la herramienta realiza una recomendación respecto a la aproximación a la gestión del riesgo que debería seguir la entidad.

Como resultado, se genera un documento base adaptado a los tratamientos que realiza el negocio, y que proporciona las referencias necesarias a tener en cuenta para que el usuario concluya el proceso de adaptación al Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos Personales y Garantía de Derechos Digitales (LOPDGDD). Asimismo, ofrece recomendaciones adicionales orientadas tanto a servir de apoyo en estas necesidades de cumplimiento, como en las particularidades propias de tratamientos que poseen un alto componente innovador.

Este documento generado constituye una versión sencilla que deberá ser completada con los detalles de los tratamientos realizados por la empresa. “Puede ser que alguno de los tratamientos de datos que realiza en el contexto de la gestión de sus actividades de negocio, no sean considerados de bajo riesgo. Por ejemplo, las aplicaciones móviles que recogen datos de geolocalización para ofrecer determinados servicios. En esos casos, será necesario realizar un análisis de riesgos para los derechos y libertades de las personas”, destacó la AEPD.

Hasta 20 millones por incumplir la normativa

Tal y como explicó este periódico, los negocios que no cumplan con la protección de datos podrán ser sancionados con hasta 20 millones de euros. Las sanciones contempladas por el RGPD pueden alcanzar hasta 10 millones de euros o el 2% del volumen del negocio total anual global, optando siempre por la multa de mayor cuantía. No obstante, si tras el apercibimiento de la Agencia Española de Protección de Datos (AEPD) el infractor persistiese en el incumplimiento de la resolución, éste podría ser sancionado con hasta 20 millones de euros o el 4% del volumen del negocio total anual global.

A la hora de imponer una multa adecuada, se valorará cada caso cuidadosamente y se tendrán en cuenta una serie de factores:

• La gravedad y duración de la infracción
• El número de interesados afectados y el nivel de perjuicio ocasionado a estos
• La intencionalidad de la infracción
• Las medidas tomadas para paliar los daños y perjuicios
• El grado de cooperación con la autoridad de control

El Reglamento, además, establece dos máximos a la hora de imponer multas por no haberse respetado las normas:

1. El primer máximo se fija en 10 millones de euros o hasta el 2% del volumen de negocio total anual global. Esta primera categoría de multa se aplicaría, por ejemplo, si un responsable no llevase a cabo evaluaciones de impacto, tal y como exige el RGPD.
2. El segundo máximo se fija en 20 millones de euros o el 4% del volumen de negocio total anual global. Un ejemplo de este supuesto sería el de una violación de los derechos que el Reglamento confiere a los interesados. Las multas se ajustarán en función de las circunstancias de cada caso concreto.

La AEDP suma un nuevo recurso

La nueva herramienta ‘Facilita Emprende’ se suma  al Decálogo de recursos de ayuda de la AEPD para promover la concienciación y el cumplimiento del RGPD y la LOPDGDD. En esta ocasión, el recurso va dirigido exclusivamente a emprendedores y nuevas empresas –startups-, de reciente creación -menos de 10 años-, y con grandes expectativas de crecimiento que realizan tratamientos en los que se hacen uso de tecnologías emergentes.

Esta herramienta está pensada para empresas con modelos de negocio que utilicen tecnologías como plataformas colaborativas, comercio electrónico, software en la nube (SaaS), desarrollo de juegos o aplicaciones web o análisis masivo de datos. En concreto, está dirigida a desarrolladores, responsables y encargados de tratamientos que, debido al uso de nuevas tecnologías o al carácter innovador de los productos y servicios en los que trabajan, presentan características singulares para el cumplimiento y la gestión del riesgo que no permiten utilizar Facilita RGPD.