El artículo 5 del RGPD establece los principios que sustentan todas las reglas de este curso. Si los recuerda, podrá deducir qué hacer en la mayoría de las situaciones.
1. Licitud, lealtad y transparencia
Use datos personales solo si tiene una base jurídica (lección 3), úselos de una manera que las personas esperarían razonablemente y dígales qué hace con ellos. No engañe a nadie sobre por qué recoge sus datos.
2. Limitación de la finalidad
Recoja los datos para una finalidad concreta y declarada, y no los use después para algo incompatible. Un número de teléfono recogido para organizar una entrega no está para usarlo en marketing, y una lista de cumpleaños del personal no está para pasarla a una tienda de regalos.
3. Minimización de datos
Recoja solo lo que sea adecuado, pertinente y limitado a lo que necesita. Si un formulario pide la fecha de nacimiento, pregunte para qué hace falta. Si la respuesta es «por si acaso», la pregunta sobra.
4. Exactitud
Mantenga los datos exactos y actualizados. Corrija los errores con rapidez y avise a quien corresponda. Un dato erróneo puede significar una factura equivocada, una decisión equivocada o una carta que llega a la persona equivocada.
5. Limitación del plazo de conservación
No conserve los datos personales más tiempo del necesario para su finalidad. Los empleadores deben tener un calendario de conservación que diga cuánto tiempo se guarda cada tipo de registro. Algunos registros deben conservarse un tiempo por ley, por ejemplo los fiscales y los de nóminas. Cuando se cumple el plazo, borre o destruya los datos de forma segura. Los datos anonimizados ya no son datos personales y pueden conservarse.
6. Integridad y confidencialidad (seguridad)
Proteja los datos frente a la pérdida, el daño y el acceso no autorizado con medidas técnicas y organizativas adecuadas. Es el principio que aplica cada día: bloquear la pantalla, elegir bien al destinatario, triturar el papel. Véase la lección 5.
7. Responsabilidad proactiva
El responsable debe cumplir y poder demostrarlo. Eso significa políticas escritas, formación, registros de actividades de tratamiento, registros de violaciones de seguridad y decisiones documentadas. El personal ayuda siguiendo los procedimientos y anotando lo que hace.
Los principios en la práctica
Piense en una recepcionista de hospital que ve en la lista del día el nombre de un vecino.
- Mirar solo los registros necesarios para su trabajo respeta la minimización y la limitación de la finalidad.
- No contárselo a nadie fuera del trabajo respeta la confidencialidad.
- Buscar al vecino «por curiosidad» infringe los principios. En un organismo público esto suele llamarse «snooping» (fisgoneo en los expedientes). Puede ser un asunto disciplinario y, en casos graves, un delito.
Otro ejemplo. Un equipo de ventas guarda durante diez años una hoja de cálculo con contactos de clientes «por si acaso». Nadie sabe quién figura en ella. Eso infringe la limitación del plazo de conservación y la exactitud, y el equipo no puede demostrar la responsabilidad proactiva.
Registro de actividades de tratamiento
El artículo 30 obliga a muchos responsables y encargados a llevar un registro escrito de las actividades de tratamiento: qué datos, de quién, para qué, quién los recibe, cuánto tiempo se conservan y cómo se protegen. Las organizaciones con menos de 250 empleados tienen una exención limitada, pero no se aplica cuando el tratamiento puede entrañar un riesgo para las personas, no es ocasional o incluye datos de categoría especial o sobre delitos. En la práctica casi todo empleador lleva un registro, porque guarda con regularidad datos de salud o de nóminas de su personal. Es posible que se le pida ayuda para mantenerlo al día.
Protección de datos desde el diseño y por defecto
El artículo 25 exige a las organizaciones incorporar la protección de datos a sus sistemas y procesos desde el principio, y configurar los sistemas de modo que, por defecto, solo se recojan los datos necesarios y solo los vean las personas adecuadas. Si participa en la elección o el cambio de un sistema, pregunte: ¿qué datos guarda, quién puede verlos y cuándo se borran?
Qué debe recordar
- Siete principios: licitud, lealtad y transparencia; limitación de la finalidad; minimización; exactitud; limitación del plazo de conservación; seguridad; responsabilidad proactiva.
- Use los datos solo para la finalidad declarada y solo en la medida que necesite.
- No conserve los datos más tiempo del necesario.
- La responsabilidad proactiva significa poder demostrar qué hizo y por qué.