Cada día maneja usted información sobre personas: clientes, compañeros, pacientes, proveedores, candidatos. Esta lección explica qué son los datos personales, quién tiene qué tareas y por qué usted recibe instrucciones sobre cómo tratarlos.
Qué es un dato personal
Un dato personal es cualquier información sobre una persona física identificada o identificable (art. 4, punto 1, del Reglamento (UE) 2016/679, el RGPD). Basta con que se pueda llegar a una persona, aunque sea de forma indirecta.
Ejemplos: nombre y apellidos, dirección, teléfono, correo electrónico, codice fiscale (el código fiscal italiano), matrícula, foto, voz, número de empleado, dirección IP, nóminas, valoraciones de un colaborador.
No son datos personales la información verdaderamente anónima ni la que se refiere a las empresas como tales. El nombre de un empleado que aparece en los datos de una sociedad, en cambio, sí es un dato personal.
Qué es un tratamiento
El tratamiento es cualquier operación con los datos: recoger, registrar, consultar, modificar, copiar, enviar, conservar, suprimir. Incluso solo mirar una ficha en la pantalla es un tratamiento. Por eso las normas afectan prácticamente a cualquier trabajo de oficina, de tienda, de cuidados o de servicios.
Quién es quién
- Interesado: la persona a la que se refieren los datos. Usted también lo es, respecto de los datos que su empleador trata sobre usted.
- Responsable del tratamiento: quien decide por qué y cómo se tratan los datos. Normalmente es la empresa, el organismo o el despacho para el que trabaja, no el empleado individual. El responsable responde del cumplimiento de las normas.
- Encargado del tratamiento: un tercero externo que trata datos por cuenta del responsable, por ejemplo el asesor laboral, el proveedor del software de gestión o el servicio de nóminas. Trabaja con un contrato u otro acto jurídico (art. 28 del RGPD).
- Personas autorizadas / designadas: quienes, como usted, tratan datos bajo la autoridad del responsable y siguiendo sus instrucciones.
- Delegado de protección de datos (en italiano RPD, en inglés DPO): un experto que supervisa y asesora, nombrado en los casos previstos por los arts. 37 a 39 del RGPD. No todas las empresas deben tenerlo.
- Garante per la protezione dei dati personali (Garante): la autoridad italiana independiente que controla la aplicación de las normas.
Las normas que debe conocer
En Italia se aplican conjuntamente dos fuentes:
- el RGPD, directamente aplicable en toda la Unión Europea;
- el Codice in materia di protezione dei dati personali (el código italiano de protección de datos, Codice privacy, d.lgs. 196/2003), modificado por el d.lgs. 101/2018 para adaptarlo al RGPD.
El Codice contiene normas italianas sobre temas como la edad del consentimiento de los menores (art. 2-quinquies), los datos sobre condenas y delitos (art. 2-octies), la relación laboral y los controles a distancia (arts. 111-bis a 115) y los delitos (arts. 167 y siguientes).
Por qué usted recibe instrucciones
El art. 29 del RGPD dice que quien tiene acceso a datos personales bajo la autoridad del responsable no puede tratarlos sin instrucciones del responsable. El art. 2-quaterdecies del Codice permite al responsable atribuir tareas y funciones a personas expresamente designadas y elegir la forma más oportuna de autorizarlas para el tratamiento.
En la práctica, el empleador debe decirle, preferiblemente por escrito, qué datos puede usar, para qué tareas y con qué precauciones. Este curso no sustituye esas instrucciones: explica las normas generales, pero los procedimientos de su oficina debe indicárselos su empleador.
Qué debe recordar
- Un dato personal es toda información sobre una persona identificable.
- El tratamiento incluye también consultar y conservar.
- El responsable es la organización, no usted; usted sigue las instrucciones recibidas.
- Si no sabe cómo actuar, pregunte a su responsable o a la persona de contacto de privacidad antes de hacer nada.