Introducción
En los últimos tiempos, los medios de comunicación han informado sobre la intensa actividad sancionadora de la Agencia Española de Protección de Datos (AEPD), focalizada en diferentes sectores industriales y empresariales de nuestro país. De hecho, prácticamente no hay ninguna área económica que no haya sido objeto de multa en los últimos tiempos, y esto incluye, por supuesto, a las empresas aseguradoras, de telecomunicaciones, financieras y utilities. Es decir, sectores críticos en la prestación de servicios.
En muchos de los casos, el origen de las sanciones está en el incumplimiento formal de la normativa vigente de protección de datos como, por ejemplo, en la falta de legitimidad para el tratamiento de los datos. Hay otras ocasiones en las que el origen está en errores en la gestión de los datos, que comprometen seriamente los derechos de los usuarios desde el punto de vista de la privacidad. Por ejemplo, al facilitar información a terceros sin autorización.
Hoy, en nuestro nuevo contenido de la serie que dedicamos al RGPD vamos a hablar del principio de accountability.
La importancia del principio de accountability
Es cierto que hoy en día, con el desarrollo de la ciberdelincuencia y su especialización tecnológica, es complicado evitar que una violación de seguridad se convierta en una fuga o robo de datos de clientes. Por ello, el Reglamento General de Protección de Datos (RGPD) obliga al responsable del tratamiento a poner todos los medios posibles para minimizar su impacto en la organización. Tal es así que cuando la brecha se produce es obligatorio avisar a las autoridades de control en un plazo máximo de 72 horas. Esto forma parte del principio de accountability, también llamado responsabilidad proactiva.
Entendemos por accountability la capacidad del responsable de cumplir (y demostrar que lo hace) la normativa de protección de datos. Algunas de las empresas sancionadas recientemente por la AEPD, conforme el pronunciamiento de la propia agencia, no respetaban este principio. Por ejemplo, una de las multas impuestas a una empresa se debió a la falta de actualización de los datos de un cliente lo cual derivó en su inclusión en un fichero de impagos. En otros casos de compañías sancionadas, el motivo fue la falta de una base de datos que permitiese su tratamiento con garantías. O, también, su incapacidad para demostrar que el cliente o usuario del servicio prestó su consentimiento. En este casos, el resultado fue el incumplimiento del artículo 7.1 del RGPD:
1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
En cualquiera de los casos comentados anteriormente se detecta falta de cumplimiento del principio de responsabilidad proactiva del responsable, por lo que se evidencia que la gestión de los datos no respeta lo exigido por el reglamento.
Selección de herramientas eficaces para la gestión del dato
Es justo reconocer que la gestión de los datos no es sencilla por su volumen y complejidad. En muchos casos dependerá además de otros factores como, por ejemplo, la necesaria inversión (económica y humana) para manejarlos conforme a la ley.
Sin embargo, hoy en día existen herramientas ágiles que permiten centralizar y custodiar los consentimientos de los usuarios durante todo el ciclo de vida de su relación contractual, lo que incluye la posibilidad de que el interesado retire su autorización en cualquier momento, y con garantías.
Además, estas herramientas cumplen con los principios de privacy by design and default, que incorporan las medidas de seguridad y los más altos estándares de privacidad de los datos de los clientes. También ayudan a que se demuestre, llegado el caso, que el responsable de tratamiento lo ha obtenido de forma legítima.
¿Cómo te ayuda un prestador de servicios de confianza cualificado?
Muchos de los errores cometidos en el tratamiento de los datos, se deben a una falta en la obtención del consentimiento por parte de los interesados o su imposibilidad de custodiarlo de manera adecuada y poder demostrarlo en consecuencia.
En este sentido, un prestador de servicios de confianza cualificado, como MailComms Group, certifica que la comunicación del consentimiento se ha producido de forma correcta y puede aportar toda la trazabilidad de envío y recepción de su consentimiento por cualquier canal: email, SMS, WhatsApp, etc. De esta manera, el responsable del tratamiento tendrá la oportunidad de acreditar que el consentimiento se ha recabado correctamente. Así lo podrá aportar como prueba en caso de reclamación por parte del cliente o incluso en el procedimiento de alegaciones en caso de reclamación por parte de la AEPD.
MailComms Group también facilita a los responsables del principio de accountability el cumplimiento normativo al ser un proveedor certificado en la ISO 27001 (Sistema de Gestión de Seguridad de la Información) y la ISO 27701 (Sistema de Gestión de la Información sobre la Privacidad).
Esta última norma es una extensión de las ISO 27001 y 27002, en las que se abordan requisitos específicos que garantizarán que las organizaciones dispongan de una gobernanza de datos completa y universalmente aplicable, que se ajuste directamente a los requisitos legislativos de sus jurisdicciones. De ahí la importancia de seleccionar tanto soluciones como proveedores que garanticen la seguridad 360º en torno a estas ISO y a sus conceptos destacados: seguridad y privacidad de la información.
