En muchas ocasiones, desde las PYMES, no se da a la normativa de protección de datos la importancia que ésta merece. Esto puede deberse al desconocimiento, a no querer asumir el coste de las medidas necesarias para su implementación, o simplemente a que no existe una percepción real del riesgo derivado de su incumplimiento, como si sucede, por ejemplo, cuando hablamos de incumplimientos en materia laboral o fiscal.
Sin embargo, lejos de lo que muchas personas piensan, ignorar la normativa de protección de datos puede acarrear consecuencias muy severas, que van desde el daño reputacional, hasta sanciones económicas muy elevadas, pasando por la pérdida de confianza de los clientes. Por ello resulta necesario establecer algunas pautas básicas que permitan fomentar la concienciación.
Compromiso de la dirección.
Un punto fundamental es el compromiso por parte de la dirección. Una organización concienciada desde la cúspide, que establezca el tono y las expectativas para el resto de sus miembros, coadyuvará necesariamente a que éstos también se comprometan con la protección de datos. Además, ayudará a construir una relación de confianza con los clientes y otras partes interesadas, mejorando la reputación de la entidad y facilitando la prevención de los riesgos asociados a situaciones delicadas en relación con la protección de datos.
Para reforzar este compromiso, es fundamental:
- Establecer políticas y procedimientos claros para el manejo de los datos personales. Estas políticas deben involucrar a la dirección.
- Proporcionar los recursos necesarios, tanto personales como materiales, para el cumplimiento, promoviendo de esta manera la cultura de protección de datos en la entidad.
- Supervisar periódicamente el cumplimiento de la normativa y revisar las políticas y procedimientos en materia de protección de datos, en busca de la mejora continua.
Concienciación de los empleados.
Si bien es cierto que una dirección comprometida es fundamental, también lo es que este compromiso debe trasladarse al resto de la organización, ya que de otro modo el cumplimiento normativo integral quedaría en agua de borrajas. Algunas técnicas básicas que se pueden utilizar para concienciar a los empleados de la organización son las siguientes:
- Establecer programas de formación continua sobre la normativa de protección de datos y buenas prácticas en este ámbito.
- Trasladar a los empleados, de manera clara y efectiva, la importancia de la protección de datos y el papel que juega cada individuo en esta tarea. Esto se puede llevar a cabo, por ejemplo, mediante correos electrónicos o boletines informativos. Y se puede reforzar con ejemplos prácticos que permitan ilustrar las consecuencias de no proteger apropiadamente los datos de carácter personal.
- Establecer políticas y procedimientos claros y accesibles para el manejo de los datos personales por todos los miembros de la organización.
- Llevar a cabo auditorías internas periódicas a fin de evaluar el cumplimiento de las políticas y procedimientos en materia de protección de datos de carácter personal.
Algunos aspectos clave: gestión de solicitudes de ejercicio de derechos y gestión de brechas de seguridad.
Si la organización ha sido capaz de implementar las técnicas básicas de las que veníamos hablando en el epígrafe anterior, los empleados estarán bien concienciados sobre cómo proceder cuando un interesado ejercite un derecho o qué hacer cuando se produzca una brecha de seguridad.
En el primer supuesto, si se produce una solicitud de ejercicio de derechos, los empleados deberán ser capaces de identificar ésta como tal. Además, deberán conocer el procedimiento interno de respuesta a estas solicitudes, a quién informar, y qué plazos tiene la organización para contestar. Asimismo, deberán conocer como verificar la identidad del solicitante antes de procesar ninguna solicitud, pues de otro modo podrían contribuir de forma inconsciente a un acceso datos por un tercero no autorizado.
En el segundo supuesto, si se produce una brecha, los empleados deberán saber cómo identificar ésta. Además, deberán conocer el procedimiento para su notificación y a quién informar dentro de la organización, siendo conscientes de que aquellas brechas que entrañen un alto riesgo para los derechos y libertades de las personas físicas deben ser notificadas a la autoridad de control (AEPD) en el plazo de 72 horas. También puede ser necesaria la comunicación a los afectados.
En cualquier caso, como prevenir siempre es mejor que lamentar, los empleados deberán estar formados y conocer las mejores prácticas para tratar de evitar la llegada de estas brechas, utilizando contraseñas robustas y haciendo un uso seguro del correo electrónico, con arreglo a prácticas preestablecidas en las políticas de seguridad de la organización.
En conclusión
La formación y la concienciación son, din duda, dos pilares fundamentales, que contribuyen activamente a la promoción de la cultura de protección de datos en el seno de cualquier organización.
Una dirección y unos empleados concienciados y formados serán capaces de tratar los datos de manera respetuosa, ayudando a la organización a cumplir con sus obligaciones y evitar sustos disfrazados de sanciones.
