El art. 5 del RGPD enumera los principios que valen para todo tratamiento. Son la base de todas las demás normas: si los recuerda, puede resolver usted mismo muchos casos dudosos.
Los siete principios
- Licitud, lealtad y transparencia. Los datos se tratan sobre una base prevista por la ley, de forma leal y diciendo a las personas qué ocurre con sus datos.
- Limitación de la finalidad. Los datos se recogen con fines determinados y legítimos y no se usan después para fines incompatibles.
- Minimización de datos. Solo se usan los datos adecuados, pertinentes y limitados a lo que hace falta.
- Exactitud. Los datos deben ser correctos y, si es necesario, estar actualizados. Un dato erróneo debe rectificarse o suprimirse sin demora.
- Limitación del plazo de conservación. Los datos se conservan solo el tiempo necesario para su finalidad; después se suprimen o se anonimizan.
- Integridad y confidencialidad. Los datos deben protegerse con medidas adecuadas frente al acceso no autorizado, la pérdida y la destrucción.
- Responsabilidad proactiva (en inglés accountability, art. 5, apartado 2). El responsable debe cumplir los principios y saber demostrarlo.
Ejemplos del trabajo de cada día
- Finalidad. La lista de clientes sirve para ejecutar los pedidos. Usarla para enviar felicitaciones personales o para hacer publicidad de otro negocio no es lo mismo.
- Minimización. Para reservar una mesa bastan el nombre y el teléfono. Pedir además la fecha de nacimiento y la dirección es demasiado.
- Exactitud. Si un cliente le comunica un teléfono nuevo, actualícelo donde haga falta, y no solo en su hoja.
- Conservación. Las copias de documentos, las hojas impresas y las carpetas de la red no se guardan para siempre «por seguridad». La empresa debería fijar cuánto tiempo se conserva cada categoría.
- Confidencialidad. Un documento con datos personales no se queda sobre la mesa al alcance de quien pasa.
Protección de datos desde el diseño
El art. 25 del RGPD exige al responsable pensar en la protección de datos desde el diseño y por defecto. Un formulario, una aplicación o un procedimiento nuevos deben recoger por defecto solo los datos necesarios. Si usted participa en la elección de una herramienta nueva, pregúntese: ¿qué datos recoge? ¿Quién los ve? ¿Cuánto tiempo permanecen?
No todo se puede hacer «porque es cómodo»
Que una información esté a mano no significa que pueda usarla para cualquier fin. Mirar los datos de un compañero, de un vecino o de un personaje conocido por curiosidad no forma parte del trabajo: infringe los principios de finalidad y de confidencialidad.
El registro de actividades de tratamiento
El responsable describe los tratamientos en el registro de actividades de tratamiento (art. 30 del RGPD): qué datos, de quién, con qué fin, durante cuánto tiempo, a quién se comunican. La obligación tiene una excepción para las empresas con menos de 250 empleados, que sin embargo no se aplica si el tratamiento entraña un riesgo para los derechos de las personas, no es ocasional o se refiere a categorías especiales de datos. Normalmente una empresa con personal tiene en todo caso un tratamiento no ocasional, así que lleva el registro. Es una tarea del empleador, no suya, pero usted puede ayudar avisando si usa un dato o una herramienta nuevos.
Para recordar
- Fin claro, pocos datos, datos correctos, tiempo limitado, protección.
- El responsable debe además poder demostrarlo con procedimientos y documentos.