Cuando un proveedor de servicios de compliance se puso en contacto con ella para ofrecerle una auditoría de protección de datos, Marta respondió lo que muchos empresarios responden todavía hoy:

“Gracias, pero nosotros no tratamos datos como una empresa tradicional. No tenemos empleados en contacto físico con clientes, no guardamos expedientes en papel… todo está en la nube, a través de nuestra web y nuestra app. Eso ya lo gestiona el desarrollador.”

Colgó el teléfono tranquila. Ocho meses después, esa misma tranquilidad se convirtió en una sanción de la Agencia Española de Protección de Datos que superaba los 20.000 euros, tras la reclamación de un usuario cuyos datos habían quedado expuestos por un fallo de configuración en la app.

El mito que sigue costando caro

Esta historia, con nombres cambiados, se repite constantemente en las consultas que recibimos. Y el error de fondo es siempre el mismo: pensar que “digital” significa “fuera del alcance del RGPD”.

Es exactamente al revés.

Una página web con formulario de contacto, un botón de “reservar cita”, un chat en vivo, un carrito de compra, un sistema de registro de usuarios o una app con perfil de cliente son, todos ellos, tratamientos de datos personales. Nombre, email, teléfono, dirección IP, historial de navegación, ubicación, medios de pago, preferencias de consumo… Cada uno de esos datos que tu web o tu app recogen, procesan y almacenan está sujeto al Reglamento General de Protección de Datos (RGPD) y a la LOPDGDD.

De hecho, en muchos sentidos, una empresa 100% digital tiene más obligaciones que una tradicional, no menos:

• El tratamiento de datos suele ser automatizado y a mayor escala.
• Se transfieren datos a terceros con frecuencia: pasarelas de pago, servicios de hosting, herramientas de analítica, plataformas de envío de emails.
• Muchas veces esos datos viajan fuera de la Unión Europea, lo que activa obligaciones adicionales.
• Un simple error de configuración —como le ocurrió a Marta— puede exponer datos de miles de usuarios en cuestión de segundos.

“Eso ya lo gestiona el desarrollador”

Otra frase que escuchamos casi a diario. Y es comprensible: el desarrollador de tu web o tu app construye la arquitectura técnica, pero no es responsable legal del tratamiento de los datos que esa web o esa app recogen. Esa responsabilidad recae sobre la empresa, como responsable del tratamiento.

Un desarrollador puede programar un formulario perfecto a nivel técnico y, aun así, ese formulario puede:

• Carecer de la cláusula informativa obligatoria sobre protección de datos.
• No recoger el consentimiento de forma válida (una casilla premarcada, por ejemplo, no es válida).
• Enviar los datos a un servidor fuera de la UE sin las garantías adecuadas.
• No tener definido un plazo de conservación de los datos.
• No contar con un procedimiento para atender los derechos de los usuarios (acceso, rectificación, supresión…).

Ninguno de estos puntos es un problema técnico. Son obligaciones legales que exigen un análisis específico, un Registro de Actividades de Tratamiento, políticas de privacidad adaptadas al negocio real y, en muchos casos, contratos de encargo de tratamiento con los proveedores tecnológicos que utiliza la empresa.

¿Y si nunca ha pasado nada?

Es la pregunta que más veces nos hacen las empresas que, como la de Marta al principio, llevan años funcionando “sin problemas”. Y la respuesta es sencilla: la ausencia de sanción no es sinónimo de cumplimiento.

La AEPD no necesita hacer una inspección presencial para actuar sobre una empresa digital. Le basta con una reclamación de un usuario, una auditoría de su propia web hecha desde cualquier navegador, o el rastro que dejan las cookies mal configuradas. Cada vez son más frecuentes las sanciones derivadas de:

• Políticas de cookies inexistentes o mal implementadas.
• Formularios de contacto sin base legal ni información clara.
• Apps que solicitan permisos (localización, contactos, cámara) sin justificación ni consentimiento específico.
• Filtraciones de datos por fallos de seguridad no detectados a tiempo.

Cumplir no es un obstáculo, es una ventaja competitiva

Aquí está la otra cara de la historia. Las empresas que sí han adaptado correctamente su web y su app a la normativa no solo evitan sanciones: transmiten confianza. En un entorno donde los usuarios cada vez desconfían más de a quién entregan sus datos, mostrar una política de privacidad clara, un aviso legal correcto y una gestión transparente del consentimiento se ha convertido en un argumento comercial más.

No se trata de llenar tu empresa de burocracia. Se trata de que un profesional revise cómo tratáis realmente los datos —desde el primer clic en la web hasta la última notificación de la app— y adapte la documentación y los procesos a esa realidad concreta, sin plantillas genéricas que no encajan con tu negocio.

No esperes a que te lo diga una reclamación

Si tu empresa opera únicamente a través de una web, una app, o ambas, y nunca habéis revisado formalmente vuestro cumplimiento en materia de protección de datos, este es el momento de hacerlo. No por miedo a una sanción, sino porque proteger los datos de vuestros clientes es también proteger la reputación y la continuidad de vuestro negocio.

En DataProtectPlus llevamos años ayudando a empresas de todo tipo —desde negocios digitales hasta asociaciones y pymes tradicionales— a cumplir con el RGPD, implantar canales éticos y adaptar sus políticas de compliance a la realidad de cada proyecto.

¿Tu empresa gestiona todo a través de una web o una app y no sabéis si estáis cumpliendo con la normativa? Contactad con nosotros y os haremos una valoración inicial sin compromiso. Mejor prevenir con una auditoría que lamentar con una sanción.

La entrada “Nosotros solo tenemos una web y una app, no necesitamos cumplir con la protección de datos” se publicó primero en DataProtectPlus.

Se acerca la fecha límite de plazo (31 de octubre de 2020) para la adaptación del uso de las cookies en la web a las recientes Directrices, publicadas en mayo de este mismo año por el Comité Europeo de Protección de Datos.

La Agencia Española de Protección de Datos actualizó, en el pasado mes de julio, su guía sobre el uso de cookies, para adaptarla a las nuevas Directrices del Comité, otorgando un plazo transitorio de tres meses, para que aquellos que utilizan cookies en su web, procedan a su debida adaptación, actualización o corrección.

El contenido de las Directrices Europeas, versa fundamentalmente sobre el consentimiento de los usuarios de las cookies en la web. Entre las diversas cuestiones abordadas por el Comité, destacamos:

– La obligación de obtener el consentimiento del interesado.

– Los “muros de cookies”, condición o necesidad de aceptación de las cookies para poder seguir navegando o recibir el servicio de la web, debe ofrecer una alternativa para que el usuario pueda prestar su consentimiento.

– La opción “Seguir navegando” NO es una opción válida para obtener el consentimiento.

Recomendamos no descuidar este tipo de obligaciones en materia de protección de datos ayudando a realizar las debidas correcciones y actualizaciones de la política de cookies, ya que su incumplimiento puede materializarse en sanciones económicas, como la que recientemente ha sido impuesta por la Agencia Española de Protección de Datos a la aerolínea Iberia, multada con 30.000 €, debido al mal uso de las Cookies en su web.

Te ayudamos a resolver tus dudas sobre este tema, consúltanos

www.dataprotectplus.com

La entrada Última semana para adaptar el uso de las Cookies a las directrices europeas se publicó primero en DataProtectPlus.

Nos ha sorprendido que, de todas las webs analizadas, más de un 30% no tienen redactadas correctamente la política cookies y la protección de datos. Estos errores llevarían aparejadas sanciones importantes para la empresa.

Esta mala o errónea redacción, nos obliga a tener mucho cuidado a la hora de introducir los datos personales para hacer compras o suscripciones en páginas no seguras. Además, muchas redacciones están basadas en la Ley de 1999, por lo tanto, están desactualizadas.

¿Qué es lo que ha ocurrido? Normalmente, las empresas han centrado su adaptación a la Ley de Protección de datos en otros ámbitos, como la obtención del consentimiento, pero se han olvidado de otros como es la adecuación de sus páginas web a los requisitos del RGPD y LOPDGDD.

Los errores más comunes son:

1.- Aceptación de cookies.

Se exige una aceptación expresa de las cookies pero te deja seguir navegando aunque no prestes tu consentimiento.

2.- Rechazo de cookies.

Es muy difícil rechazar las cookies en la mayoría de las webs. Cuando las aceptamos, lo hacemos con todas y no nos permite rechazarlas individualmente.

3.- Finalidad de las cookies.

Se ha de indicar la finalidad para la que se instalan las cookies.

4.- Navegación

El que navegues por una web no significa que aceptes la recopilación de tus datos. El RGPD obliga a que el consentimiento sea expreso.

5.- Políticas de privacidad nada claras

La LOPDGDD exige que las políticas de privacidad utilicen un lenguaje claro para que cualquier persona pueda entenderlas.

6.-  Formularios

Los formularios utilizados en la web para recoger datos deben tener una opción para dar el consentimiento expreso y, además, debe ser demostrable, inequívoco e informado para que, posteriormente, el propietario de la web pueda demostrar que el usuario dio su consentimiento.

7.- Falta del certificado de seguridad SSL

Un certificado SSL (Secure Sockets Layer) es un título digital que autentifica la identidad de un sitio web y cifra con tecnología SSL la información que se envía al servidor.

Un certificado sirve como un “pasaporte” electrónico que establece las credenciales de una entidad en línea al hacer negocios en la Web. Cuando un usuario de Internet intenta enviar información de credenciales a un servidor web, el navegador del usuario accede al certificado digital del servidor y establece una conexión segura.

Hay muchos más errores pero hemos querido centrarnos en estos. Lo fundamental es que consultéis con profesionales para corregir todos estos errores y aquí es donde podemos ayudaros.

En Data Protect Plus tenemos la experiencia y conocimientos para ofrecer el asesoramiento que tu empresa necesita en protección de datos, siendo una de las empresas más importantes en nuestro país.

La entrada Haz que tu web cumpla con la LOPDGDD se publicó primero en DataProtectPlus.