Esta última lección trata de lo que ocurre cuando algo sale mal y de lo que usted debe y no debe hacer.
Los poderes de la ICO
La Information Commissioner's Office (ICO) es el regulador británico de protección de datos. Puede:
- investigar reclamaciones y hacer auditorías;
- dar consejos, advertencias y amonestaciones;
- dictar avisos de ejecución (enforcement notices) que ordenan a una organización cambiar lo que hace;
- dictar avisos de sanción (penalty notices), es decir, multas;
- perseguir ciertos delitos.
La mayoría de los casos no terminan en multa. La ICO suele examinar primero si la organización fue transparente, formó a su personal y corrigió el problema. Aun así, se han impuesto multas elevadas a organizaciones con fallos graves.
Multas máximas
- Máximo superior: hasta 17,5 millones de £ o el 4 % del volumen de negocio anual mundial, lo que sea mayor. Se aplica a infracciones de los principios, de las bases jurídicas, de los derechos de las personas y de las transferencias internacionales.
- Máximo estándar: hasta 8,7 millones de £ o el 2 % del volumen de negocio anual mundial, lo que sea mayor. Cubre obligaciones como la seguridad, la notificación de violaciones de seguridad, los registros y el delegado de protección de datos.
Son máximos. La multa real depende del caso: su gravedad, su duración, el número de personas y la conducta de la organización. Ahora los mismos máximos se aplican a las infracciones de la PECR.
Otras consecuencias
- Indemnización. Las personas pueden reclamar ante los tribunales por el daño o el perjuicio moral causados por una violación de seguridad.
- Reputación. Los clientes pierden confianza, y la ICO publica muchas de sus decisiones.
- Pérdida de negocio y coste de la respuesta.
- Medidas disciplinarias. Los empleados que incumplan la política pueden ser sancionados o despedidos.
Delitos de las personas físicas
Según la sección 170 de la DPA 2018, es delito obtener, divulgar o conservar datos personales a sabiendas o por imprudencia sin el consentimiento del responsable, o venderlos. Algunos ejemplos son llevarse listas de clientes a un nuevo empleador o consultar los registros de una persona por motivos propios. La sección 173 cubre destruir u ocultar datos para impedir una solicitud de acceso. Estos delitos pueden acarrear una multa judicial. Puede ser procesado usted personalmente, no solo el empleador.
Lo que sigue correspondiendo al empleador
Este curso ofrece una concienciación general. Su empleador sigue siendo responsable de:
- sus propias políticas y procedimientos de protección de datos;
- una cláusula informativa y la elección de una base jurídica para cada uso;
- un delegado de protección de datos cuando la ley lo exija, por ejemplo para las autoridades públicas, o para el seguimiento a gran escala de personas o el uso a gran escala de datos de categoría especial;
- los registros de actividades de tratamiento y los análisis de riesgos (EIPD) para los usos de alto riesgo;
- pagar a la ICO la tasa de protección de datos cuando corresponda;
- los contratos con encargados;
- un procedimiento para violaciones de seguridad y una forma de atender las solicitudes de acceso y las reclamaciones;
- la formación específica por puesto y la formación de actualización, por ejemplo para el personal de recursos humanos, marketing, sanidad y cuidados.
Lo que debe hacer
- Use los datos personales solo para su trabajo, y solo lo que necesite.
- Bloquee pantallas, papeles y dispositivos.
- Compruebe antes de enviar. Compruebe con quién está hablando.
- Comunique de inmediato las violaciones de seguridad, los casi incidentes y las peticiones del público.
- Pregunte cuando no esté seguro.
- Siga las políticas y la formación que le dé su empleador.
Lo que no debe hacer
- No mire registros por curiosidad.
- No comparta su contraseña ni deje que otros usen su cuenta.
- No se lleve datos a casa ni a un nuevo empleo sin permiso.
- No ignore una petición de un cliente, paciente o compañero sobre sus datos.
- No oculte un error ni borre pruebas.
- No introduzca datos personales en aplicaciones no autorizadas, en el correo personal ni en herramientas públicas de IA.
Dónde encontrar más información
La ICO publica orientación gratuita en ico.org.uk, incluida una guía para organizaciones pequeñas. La política de su empleador tiene prioridad en su trabajo diario.