Cómo mantener el cumplimiento del RGPD durante la pandemia de COVID-19

La COVID-19 ha planteado retos sin precedentes a las organizaciones de todo el mundo. En un breve espacio de tiempo, estas han tenido que poner en marcha rápidamente operaciones a distancia, reaccionar con celeridad ante nuevos riesgos y adaptar sus procesos, todo ello sin dejar de cumplir con el RGPD.

Como consecuencia de la pandemia, las organizaciones recopilan y tratan actualmente nuevos tipos de información sobre las personas. Gran parte de esta información se enmarca en las categorías de «datos personales» y «categorías especiales de datos personales», ambas sujetas a estrictos requisitos de cumplimiento en virtud del RGPD.

La rápida transición al teletrabajo también ha puesto de relieve la importancia de la protección de datos, ya que los ciberdelincuentes tratan de aprovecharse de la pandemia y utilizarla como medio para lanzar ataques selectivos. Constantemente surgen nuevos riesgos de ciberseguridad, por lo que es fundamental que las organizaciones apliquen las medidas adecuadas necesarias para mantener la seguridad de los datos más estricta que exige el RGPD.

La Oficina del Comisionado de Información del Reino Unido (ICO) ha manifestado que comprende las dificultades a las que se enfrentan actualmente las organizaciones y que adoptará un enfoque «razonable y pragmático» a la hora de hacer cumplir las obligaciones en materia de protección de datos. No obstante, ha dejado claro que se sigue esperando que las organizaciones mantengan un buen nivel de cumplimiento del RGPD al tiempo que se adaptan a este nuevo entorno de trabajo.

Para garantizar que su organización siga cumpliendo con el RGPD durante la pandemia de la COVID-19, hemos elaborado una serie de medidas que puede adoptar.

Consejos clave para cumplir con el RGPD durante la pandemia de la COVID-19

1. Realizar una evaluación de impacto relativa a la protección de datos (DPIA)

Para cumplir con el RGPD, debe poder demostrar que está aplicando requisitos de registro adicionales al tratar datos sensibles. Dado que la información sanitaria se clasifica como una «categoría especial de datos personales», conlleva un riesgo mayor. Una forma de demostrar la rendición de cuentas y garantizar que se han adoptado las medidas adecuadas para proteger estos datos es mediante una evaluación de impacto relativa a la protección de datos. Las evaluaciones de impacto relativas a la protección de datos ayudan a identificar y minimizar los riesgos relacionados con el tratamiento de datos personales.

La evaluación de impacto relativa a la protección de datos (DPIA) debe incluir:

• La actividad que se está procesando
• Los riesgos en materia de protección de datos
• Si la actividad es necesaria y proporcionada
• Cómo se mitigará el riesgo
• Confirmación de que las medidas de mitigación han sido eficaces

La evaluación de impacto relativa a la protección de datos (DPIA) será fundamental para demostrar el cumplimiento normativo y reducir los riesgos relacionados con la protección de datos a los que se enfrenta su organización.

2. Recopilar y tratar únicamente los datos que sean necesarios

En virtud del RGPD, las organizaciones deben tener un motivo específico y legítimo para recabar y tratar datos personales. Los datos solo pueden utilizarse para fines específicos y no deben tratarse para ningún otro fin, salvo que el interesado haya prestado su consentimiento explícito. Los datos recabados deben limitarse exclusivamente a lo necesario para alcanzar dichos fines específicos.

Esto significa que su organización debe evaluar e identificar los tipos de datos personales que es necesario tratar para garantizar la seguridad del personal. Por ejemplo, ¿es necesario realizar controles de temperatura cuando los empleados acceden a la oficina? ¿Debería notificarse a los contactos de un empleado que haya dado positivo en la prueba de COVID-19? Su organización no puede limitarse a recopilar datos personales por la mera posibilidad de que puedan resultar útiles en el futuro; debe haber objetivos claros que justifiquen el tratamiento de dichos datos. Si puede demostrar que su enfoque es razonable, justo y proporcionado a las circunstancias, es poco probable que sea ilegal.

3. Sea transparente

Al tratar datos personales, debe ser abierto y sincero sobre el uso que les da. Por ejemplo, si su organización necesita realizar pruebas a los empleados o si tiene que recopilar datos con fines de rastreo de contactos, debe actuar con transparencia y poner determinada información a disposición de estas personas. Los empleados tienen derecho a saber por qué necesita estos datos, qué pretende hacer con ellos y con quién los va a compartir.

Lo más recomendable es plasmar esta información por escrito en un documento denominado «política de privacidad». La política de privacidad es uno de los documentos clave que deberá elaborar si trata datos personales, con el fin de cumplir con el RGPD. Básicamente, en ella se explica cómo recopila, trata y utiliza los datos de las personas. Es posible que su aviso de privacidad actual ya describa qué información puede recopilarse y tratarse durante una crisis sanitaria, pero quizá sea necesario actualizarlo para reflejar cualquier nueva actividad de tratamiento de datos que se esté llevando a cabo durante la actual pandemia de COVID-19.

4. Mantenga la información segura

Cualquier dato personal que obre en su poder debe conservarse de forma segura y solo durante el tiempo que sea necesario. Una política de conservación le ayudará a determinar cuándo es necesario revisar, eliminar o destruir la información personal. Los registros físicos deben guardarse bajo llave para evitar fugas de datos, y deben aplicarse las medidas de seguridad adecuadas para proteger los datos personales almacenados en formato digital.

A pesar de la rápida transición al teletrabajo, la ICO ha señalado que las organizaciones deben adoptar el mismo tipo de medidas de seguridad que aplicarían en circunstancias normales. Para evitar cualquier violación de datos personales y reducir la probabilidad de sufrir un costoso ciberataque, es importante que mantenga la seguridad de los sistemas y el software, y que se mantenga alerta ante las ciberamenazas relacionadas con el coronavirus. Asimismo, será necesario informar a los empleados sobre las amenazas en constante evolución y formarles en el uso de las nuevas herramientas y procesos de seguridad que permitirán un teletrabajo seguro.

Además, las organizaciones siguen estando legalmente obligadas a notificar cualquier violación de la seguridad de los datos personales a la autoridad de control competente en un plazo de 72 horas desde su detección.

5. Respetar los derechos del interesado

A pesar de que su organización opera en circunstancias excepcionales, es fundamental que informe a las personas sobre sus derechos en relación con sus datos personales. El RGPD reconoce los siguientes derechos a las personas:

• El derecho a ser informado: las personas tienen derecho a ser informadas sobre la recogida y el uso de sus datos personales.
• El derecho de acceso: las personas tienen derecho a acceder a sus datos personales y a cualquier información complementaria. Pueden solicitar una copia de toda la información que se conserve sobre ellas, la cual deberá facilitarse de forma gratuita y en el plazo de un mes desde la presentación de la solicitud.
• El derecho de rectificación: los interesados pueden solicitar que se rectifiquen los datos personales que sean inexactos.
• El derecho de supresión: las personas pueden solicitar que se supriman sus datos personales. El derecho de supresión también se conoce como «derecho al olvido».
• El derecho a la limitación del tratamiento: en determinadas circunstancias, los interesados pueden solicitar que se limite el tratamiento posterior de sus datos. Cuando se limita el tratamiento, usted está autorizado a conservar sus datos personales, pero no a utilizarlos.
• El derecho a la portabilidad de los datos: las personas pueden obtener y reutilizar sus datos personales para sus propios fines en otros servicios.
• El derecho de oposición: salvo que existan motivos legítimos para el tratamiento de los datos personales de una persona, esta conserva el derecho a oponerse a dicho tratamiento.
• Derechos en relación con la toma de decisiones automatizada y la elaboración de perfiles: el RGPD contiene disposiciones sobre la toma de decisiones individuales automatizadas. Esto reduce el riesgo de que se adopten decisiones perjudiciales sin intervención humana.

Si su organización ha implantado la comprobación de síntomas o la realización de pruebas, deberá cumplir una serie de requisitos adicionales. Entre ellos se incluyen la identificación de una base jurídica para el uso de la información que recopile y la realización de una evaluación de impacto relativa a la protección de datos (DPIA) en caso de que se traten datos de carácter sanitario a gran escala.