Casi todos los empleos manejan información sobre personas. Quien trabaja en recepción anota el nombre de un visitante. Quien trabaja en una tienda recoge una dirección de entrega. Quien trabaja en recursos humanos guarda contratos y ausencias. Por eso las normas de protección de datos se aplican a quienes trabajan, y no solo a la dirección de la empresa. En conjunto se llaman protección de datos personales, y casi todo el mundo las llama simplemente RGPD.
Las normas en Portugal
- El RGPD es el Reglamento (UE) 2016/679. Se aplica directamente en Portugal.
- La Lei n.º 58/2019, de 8 de agosto (la ley portuguesa de ejecución del RGPD), asegura la ejecución del RGPD en el ordenamiento nacional. Trata, por ejemplo, de la edad del consentimiento, la videovigilancia, las relaciones laborales, los datos de salud, las multas y los delitos.
- La Comissão Nacional de Proteção de Dados (CNPD), la Comisión Nacional de Protección de Datos, es la autoridad de control nacional (artículo 3 de la Lei n.º 58/2019). Vigila el cumplimiento de las normas.
- El Código do Trabalho (Código del Trabajo portugués, artículos 16 a 22) tiene normas propias sobre la vida privada y la vigilancia en el trabajo. Se ven en la lección 4.
El RGPD se aplica al tratamiento realizado total o parcialmente por medios automatizados, como un ordenador o un móvil. Se aplica también al papel, cuando los datos forman parte de un fichero organizado, por ejemplo una carpeta ordenada por nombre. Quedan fuera las actividades puramente personales o domésticas, como la agenda de contactos de casa.
¿Qué es un dato personal?
Dato personal es cualquier información sobre una persona física identificada o identificable (artículo 4, apartado 1, del RGPD). Ejemplos:
- nombre, dirección, correo electrónico y número de teléfono;
- número de contribuyente (NIF), número de usuario del sistema de salud y número del documento de identidad;
- fotografías y grabaciones en las que se puede reconocer a la persona;
- dirección IP y datos de localización;
- salario, ausencias, evaluaciones y la descripción del trabajo de alguien.
La información no tiene por qué ser secreta. Un correo profesional como nombre.apellido@empresa.pt también identifica a una persona. Quien puede ser identificado, directa o indirectamente, es un interesado. La información anonimizada, que ya no permite identificar a nadie por medios razonables, queda fuera del RGPD.
Quién es quién
- Interesado: la persona a la que se refieren los datos, como un cliente, un candidato o un compañero.
- Responsable del tratamiento: quien decide con qué fines y por qué medios se tratan los datos. En el trabajo es, por regla general, el empleador.
- Encargado del tratamiento: quien trata datos por cuenta del responsable, por ejemplo una empresa de nóminas o de alojamiento de software.
- Delegado de protección de datos (DPD): la persona que asesora y supervisa el cumplimiento de las normas, cuando la empresa debe designarla o decide hacerlo.
El trabajador no es, por regla general, el responsable: trata datos por cuenta del empleador y según sus instrucciones (artículo 29 del RGPD). Aun así, es quien hace el tratamiento día a día, así que sus gestos cuentan.
¿Qué es el "tratamiento"?
Tratamiento es cualquier operación sobre datos personales: recoger, registrar, organizar, conservar, consultar, enviar, comparar, difundir, suprimir. Incluso leer una ficha en la pantalla es tratamiento (artículo 4, apartado 2). Por eso, consultar un fichero por curiosidad ya es una operación sujeta a las normas.
Menores
En los servicios de la sociedad de la información ofrecidos directamente a niños, el tratamiento basado en el consentimiento solo es lícito a partir de los 13 años. Por debajo de esa edad, el consentimiento deben darlo sus representantes legales (artículo 16 de la Lei n.º 58/2019).
Resumen: dato personal es todo lo que identifica a una persona. Las normas valen para quien trabaja con él. En caso de duda, trate la información como personal y pregunte.