Protección de datos en una pyme: registro y obligaciones

Muchos pequeños negocios creen que la protección de datos es cosa de grandes empresas. No es así: en cuanto guardas datos de clientes, pacientes o empleados, tienes obligaciones, y una de las que más se olvida es el registro de actividades de tratamiento.

¿Qué es eso de «tratar datos personales»?

Tratar datos es casi cualquier cosa que hagas con información de una persona identificable: pedirla, anotarla, guardarla en un programa, enviarla a la gestoría o borrarla. Da igual que estén en papel o en el ordenador.

La ley fija unas reglas de base que cualquier negocio debe respetar (artículo 5 del RGPD, el Reglamento europeo de protección de datos):

• Usar los datos solo para fines concretos y conocidos por la persona.
• Pedir solo los datos necesarios, ni uno más.
• Guardarlos el tiempo justo.
• Protegerlos con medidas de seguridad adecuadas.
• Y poder demostrar que lo haces bien. Es lo que se llama «responsabilidad proactiva»: no basta con cumplir, hay que tenerlo documentado.

¿Necesito permiso para usar los datos de mis clientes?

No siempre hace falta el consentimiento. Cada uso de datos necesita una base legal, y el consentimiento es solo una de ellas (artículo 6 del RGPD). Otras muy habituales son la ejecución de un contrato (atender al cliente que te contrata) o el cumplimiento de una obligación legal (pagar nóminas o llevar la contabilidad).

Los datos de salud son una categoría especial: en principio está prohibido tratarlos, salvo en los supuestos que prevé la ley, entre ellos la prestación de asistencia sanitaria por profesionales sujetos a secreto (artículo 9 del RGPD). Una clínica puede, por tanto, llevar historias clínicas, pero con más cuidado que cualquier otro negocio.

¿Qué es el registro de actividades de tratamiento?

Es un documento interno, en papel o digital, que describe qué hace tu negocio con los datos personales (artículo 30 del RGPD y artículo 31 de la LOPDGDD, la ley orgánica española). Para cada actividad (pacientes, empleados, proveedores, videovigilancia…) debe recoger, entre otras cosas:

• Quién es el responsable y cómo contactar con él.
• Para qué se usan los datos.
• Qué tipo de personas y de datos hay.
• A quién se comunican (gestoría, mutua, aseguradoras…).
• Si salen fuera de la Unión Europea.
• Cuándo se borran, si es posible preverlo.
• Qué medidas de seguridad se aplican.

No se presenta en ningún sitio, pero debes enseñarlo si te lo pide la Agencia Española de Protección de Datos.

¿De verdad tengo que hacerlo si tengo menos de 250 empleados?

Aquí está la trampa. El RGPD exime del registro a las organizaciones de menos de 250 personas, pero solo si no se da ninguna de estas situaciones (artículo 30.5):

• que el tratamiento pueda suponer un riesgo para los derechos de las personas,
• que no sea ocasional,
• o que incluya datos especiales, como los de salud, o datos sobre condenas penales.

En la práctica, casi cualquier negocio con clientes habituales o con nóminas todos los meses trata datos de forma continua, no ocasional. Por eso la excepción apenas se aplica a una pyme en funcionamiento.

¿Y en el caso de la clínica de Lucía?

La respuesta es clara: trata datos de salud de sus pacientes y lo hace todos los días. Debe tener el registro. Además, la ley española obliga a los centros sanitarios que deben llevar historias clínicas a nombrar un delegado de protección de datos, salvo que se trate de un profesional sanitario que trabaja por su cuenta, a título individual (artículo 34.1.l de la LOPDGDD). Una clínica con varios fisioterapeutas contratados difícilmente encaja en esa excepción.

Si en lugar de una clínica fuera una academia de idiomas con cuatro profesores, el razonamiento sería parecido: listas de alumnos, cobros mensuales y nóminas son tratamientos continuos, así que también necesitaría el registro.

¿Qué más debo tener en orden?

• Informar a las personas. Cuando recoges datos, hay que explicar quién eres, para qué los quieres, cuánto tiempo los guardarás y qué derechos tiene la persona (artículo 13 del RGPD). Se puede hacer por capas: un texto breve en la ficha o el formulario y un enlace a la información completa (artículo 11 de la LOPDGDD).
• Contratos con tus proveedores. El programa de citas en la nube o la gestoría de nóminas tratan datos por tu cuenta: son «encargados del tratamiento». Debes firmar con ellos un contrato con el contenido que marca la ley y elegir solo a quien ofrezca garantías suficientes (artículo 28 del RGPD).
• Cuidado con la mensajería. Los grupos de WhatsApp personales con datos de pacientes son un riesgo. Mejor canales profesionales y con la información mínima.

Qué deberías hacer esta semana

• Haz una lista de todos los datos que manejas: clientes o pacientes, empleados, proveedores, cámaras, web.
• Con esa lista, redacta el registro de actividades y guárdalo fechado.
• Revisa tus formularios, fichas y web para que informen como exige la ley.
• Pide a tus proveedores tecnológicos y a tu gestoría el contrato de encargado y fírmalo.
• Comprueba si tu actividad te obliga a nombrar un delegado de protección de datos.
• Pon una fecha al año para revisarlo todo: cada nueva herramienta puede suponer un tratamiento nuevo.

Ordenar la protección de datos forma parte de profesionalizar la gestión de un negocio que ya funciona, y es uno de los aspectos que trabajamos en la consultoría para ganar rentabilidad. Si quieres saber en qué punto está la tuya, pide una cita o solicita un diagnóstico inicial.

Fuentes oficiales y enlaces de consulta