¿Cómo adaptar tu web a la ley de protección de datos y al RGPD?
Si estás en España o cualquier otro país de la Unión Europea y tienes una web o si estás fuera de España, pero vendes a un público europeo, te toca adaptarte a la ley de protección de datos para evitar multas y sanciones.
En este artículo te pondremos en contexto acerca de la razón principal de esta ley; los tipos de web que deben cumplir con ella; los temas más relevantes para tener una web al día legalmente y la forma de adecuarte a la Ley de Protección de Datos según PRODAT, una empresa ubicada en Madrid especializada en servicios de consultoría, auditoría, outsourcing y formación en el ámbito de la Privacidad de los Datos de carácter personal.
Acerca de la ley de protección de datos en Europa
La ley de protección de datos en Europa entró en vigor el 24 de mayo de 2016 para ayudar a disminuir las brechas de seguridad.
En principio la ley no salió de forma obligatoria, ya que se permitió un lapso de dos años para que las empresas y profesionales pudieran adaptarse a ella. A partir del 25 de mayo de 2018 ha pasado a ser obligatoria y en el camino se le han realizado algunas modificaciones como las planteadas en mayo de 2021 que suponen un importante avance para la regulación del teletrabajo y los negocios digitales como, por ejemplo, el derecho a la desconexión digital.
¿Qué son brechas de seguridad?
Cuando hablamos de brechas de seguridad nos referimos a un incidente que permite el acceso a un intruso a datos informáticos, aplicaciones, webs, dispositivos o redes. La información confidencial tiene un gran valor para cualquier empresa, profesional o particular, ya que sus datos pueden ser robados para suplantar identidades, para extorsionar, tener acceso a datos confidenciales del negocio o para planear fraudes. El RGPD exige que las empresas notifiquen cuando ha ocurrido una brecha de seguridad, y esto es una buena noticia, porque las empresas cuando no están obligadas, generalmente, mantienen en secreto ese tipo de información para evitar perder la confianza de sus usuarios y clientes.
¿Qué tipos de webs deben cumplir con el RGPD?
En principio todas las webs que vendan u ofrezcan algún tipo de producto o servicio dentro de la UE deben cumplir esta ley, ya sea que tengas una empresa o trabajes tu solo como autónomo.
En el caso de las empresas el RGPD se aplica cuando:
- la empresa trata datos personales y tiene su sede en la UE, independientemente de dónde se traten de hecho los datos
- la empresa tiene su sede fuera de la UE pero trata datos personales relativos a ofertas de bienes o servicios a ciudadanos en la UE. Si este es tu caso debes saber que, además, al no tener sede dentro de UE debes nombrar un representante o delegado de protección de datos.
Si eres un autónomo o particular el RGPD se aplica cuando:
- tienes una web y vendes algún producto o un servicio en ella
- cuentas con un formulario de contacto, suscripción o de comentarios
- trabajas con algún esquema de afiliados
- guardas en alguna parte de tu web, tu servidor o tu PC algún dato de los visitantes a tu sitio web
- vendes publicidad en tu página o blog
- o tan simple como si tienes Google Analytics en tu web.
Es decir, con una simple web personal que tenga activado la parte de los comentarios o que recojas datos con Google Analytics ya es necesario aplicar el RGPD.
¿Son las mismas exigencias para todas las webs?
No, la ley es más exigente para algunos tipos de empresa en función de su actividad principal y del volumen de empleados que tenga. Una de las principales exigencias es que en algunos casos se requiere nombrar un delegado de protección de datos. Una figura que ha surgido para asegurarse de que tu empresa cumpla con la normativa vigente.
Una empresa tiene la obligación de nombrar a un delegado de protección de datos cuando:
- el tratamiento de datos sea una actividad principal en tu negocio o se realicen datos de naturaleza especial como los datos de afiliación
- efectúe el tratamiento de datos a gran escala, este es el caso de aquellas webs que captan datos de usuarios y envían campañas masivas de email, actividades de publicidad y prospección comercial
- supervise sistemáticamente a los ciudadanos o trate categorías especiales de datos como los establecimientos financieros de crédito, entidades aseguradoras, comercializadoras de energía, centros de salud, empresas de seguridad privada, centros docentes privados.
Es decir, un delegado de protección de datos resulta un personal obligatorio en tu plantilla de empleados si tu modelo de negocio digital plantea una recogida de datos de forma masiva, ya sea por publicidad o por actividad central de tu negocio. No obstante, si desde tu web solo envías material publicitario o recoges datos una vez al año o rara vez, no es necesario contar con esta figura en tu plantilla.
Ahora bien, el delegado de protección de datos no tiene necesariamente que pertenecer a tu plantilla de empleados, puedes contratarlo externamente como un servicio o a una agencia especializada como PRODAT. Además, la Agencia Española de Protección de Datos (AEPD) nos ha facilitado este proceso creando una guía que te ayudará a adaptarte al Reglamento General de Protección de Datos (RGPD).
