Casi todos los empleos implican datos personales. Una recepcionista anota el nombre de un visitante. Un dependiente toma una dirección de entrega. Un enfermero lee una historia clínica. Un funcionario del ayuntamiento registra una solicitud de vivienda. La ley de protección de datos fija las reglas para tratar esa información, y se aplica a usted igual que a su empleador.
La ley en Irlanda
- El Reglamento General de Protección de Datos (RGPD), Reglamento (UE) 2016/679, se aplica directamente en Irlanda. Es el conjunto principal de normas.
- La Data Protection Act 2018 (la ley irlandesa de protección de datos) lo acompaña. Da al RGPD su detalle irlandés: la Data Protection Commission y sus poderes, la edad de consentimiento digital, las multas a organismos públicos, las acciones judiciales y los delitos.
- Las ePrivacy Regulations 2011 (S.I. No. 336 of 2011, el reglamento sobre privacidad en las comunicaciones electrónicas) regulan el marketing por correo electrónico, SMS y teléfono, y las cookies. Las verá en la lección 3.
Irlanda forma parte de la UE, así que aplica el RGPD de la UE. El Reino Unido tiene el suyo propio, aparte, el «UK GDPR». No los confunda.
El regulador es la Data Protection Commission (DPC), la autoridad irlandesa de protección de datos. Publica orientaciones, tramita reclamaciones y puede investigar y multar a las organizaciones. La lección 8 explica sus poderes.
Datos personales
Los datos personales son cualquier información sobre una persona viva identificada o identificable. No tienen por qué ser secretos. Ejemplos:
- un nombre, una dirección, un correo electrónico o un número de teléfono;
- una foto, una imagen de cámara de vigilancia o una grabación de voz;
- un número de empleado, un número de cuenta de cliente o un identificador en línea, como una dirección IP;
- una nota en un expediente sobre lo que una persona dijo o hizo.
Si puede deducir de quién trata la información, quizá combinándola con otros datos, son datos personales. La información sobre una empresa no son datos personales. El nombre y el correo profesional de una persona de esa empresa sí lo son.
Datos de categoría especial
Algunos datos son más sensibles, porque su mal uso puede causar un daño real. Los datos de categoría especial (artículo 9) son la información sobre:
- el origen racial o étnico;
- las opiniones políticas;
- las creencias religiosas o filosóficas;
- la afiliación sindical;
- los datos genéticos y los datos biométricos usados para identificar a una persona;
- la salud;
- la vida sexual o la orientación sexual.
Una organización necesita una condición legal adicional para usar estos datos. Los datos sobre condenas y delitos penales (artículo 10) también tienen una protección adicional. La Data Protection Act 2018 añade detalles sobre cuándo pueden usarse. Tenga más cuidado con todos ellos en todo momento.
Tratamiento
Tratamiento significa casi cualquier cosa que se haga con datos personales: recoger, registrar, guardar, consultar, modificar, enviar, compartir, borrar. Incluso ver un registro en pantalla es tratamiento.
Quién es quién
- Un responsable del tratamiento (controller) decide para qué y cómo se usan los datos personales. Su empleador suele ser el responsable del tratamiento de los datos de sus clientes y de los de sus compañeros.
- Un encargado del tratamiento (processor) trata los datos por cuenta del responsable y solo según sus instrucciones, por ejemplo una empresa de nóminas o un proveedor de servicios en la nube.
- El interesado (data subject) es la persona a la que se refieren los datos.
- Un delegado de protección de datos (DPD) asesora a la organización. Deben nombrarlo las autoridades y los organismos públicos, y las organizaciones cuya actividad principal implica un control a gran escala o datos de categoría especial. Muchas otras lo hacen voluntariamente.
La organización es responsable de cumplir. Pero es el personal quien maneja los datos cada día, por lo que los errores del personal causan la mayoría de las violaciones de seguridad. El artículo 145 de la ley de 2018 convierte además en delito comunicar a otros datos personales obtenidos sin autorización.
Hasta dónde no llega la ley
El RGPD no se aplica a la actividad puramente personal o doméstica, como su propia agenda de direcciones. No se aplica a la información sobre personas fallecidas, aunque pueden seguir vigentes otras obligaciones, como la confidencialidad. Sí se aplica a los datos personales en papel si se conservan en un archivo estructurado.
Qué debe recordar
- Datos personales son todos los que identifican a una persona viva, directa o indirectamente.
- Los datos de categoría especial exigen más cuidado y una condición legal adicional.
- Su empleador suele ser el responsable. Usted debe seguir sus instrucciones.
- La DPC es el regulador irlandés. En Irlanda, la ley es el RGPD de la UE más la Data Protection Act 2018.