Protección de Datos y Prevención de Riesgos Laborales

Seguro que desde el pasado 25 de Mayo, tu correo electrónico se ha llenado de mensajes pidiéndote que leas la nueva política de protección de datos.

Antes de con­tin­uar con la lec­tura de este post, te deseamos suerte en la ard­ua mis­ión de leer todas ellas, y de paso, te recomen­damos que aprovech­es la ocasión para  realizar una bue­na limpieza de aque­l­lo que ya no te intere­sa.

El moti­vo de tal bom­bardeo es que el mis­mo 25 de mayo entró en vig­or el Reglamen­to Gen­er­al de Pro­tec­ción de Datos, RGPD, o GDPR, por sus siglas en inglés. Este reglamen­to es el nue­vo tex­to de ref­er­en­cia europeo en mate­ria de pro­tec­ción de datos.

Reem­plaza a la actu­al Direc­ti­va 95/46/EC sobre la pro­tec­ción de datos per­son­ales, e incluye numerosos cam­bios claves:

• Esta nue­va nor­ma­ti­va euro­pea de pro­tec­ción de datos extiende el cam­po de apli­cación de la ley al con­jun­to de las empre­sas, inclu­idas aque­l­las no euro­peas cuan­do tra­ba­jen con infor­ma­ción per­son­al de res­i­dentes europeos.
• Intro­duce la figu­ra del del­e­ga­do de pro­tec­ción de datos (DPD) que será el encar­ga­do de velar que se cumple el RGPD.
• Establece el dere­cho de acce­so y dere­cho a la porta­bil­i­dad de los datos así como el dere­cho al olvi­do y dere­cho de cor­rec­ción y dere­cho de oposi­ción.
• Tam­bién intro­duce dos prin­ci­p­ios nuevos: la pro­tec­ción de datos des­de el dis­eño y la pro­tec­ción de datos por defec­to.

Y en la doc­u­mentación de PRL ¿Cómo afectan todos estos cam­bios?

El primer paso es analizar qué tipo de datos de carác­ter per­son­al for­man parte de la doc­u­mentación que los téc­ni­cos de pre­ven­ción, ya sea de ser­vi­cios pro­pios o ajenos, mane­jan a diario:

• Aptos de vig­i­lan­cia de la Salud y expe­di­entes médi­cos (en caso de asumir la VS).
• His­to­ria clíni­ca del tra­ba­jador (en caso de asumir la espe­cial­i­dad de Med­i­c­i­na en el Tra­ba­jo).
• Títu­los de for­ma­ción.
• Inves­ti­gación de acci­dentes.
• Eval­u­a­ciones de ries­gos, tra­ba­jadores sen­si­bles, embarazadas.
• Reg­istros de entre­ga de EPIs.
• Doc­u­mentación de Coor­di­nación de Activi­dad Empre­sar­i­al de difer­entes empre­sas (títu­los de for­ma­ción, aptos, e inclu­so TCs!).
• Doc­u­mentación de PRL de las ETTs (con­tra­to de pues­ta a dis­posi­ción, cer­ti­fi­ca­dos de apti­tud, y de for­ma­ción).

Estos doc­u­men­tos son los sus­cep­ti­bles a con­tener datos per­son­ales, que pueden ser:

• El nom­bre.
• La direc­ción y el número de telé­fono.
• Los reg­istros san­i­tar­ios.
• Los ingre­sos y la infor­ma­ción ban­car­ia, etc.

La gran novedad es que desa­parece  la tip­i­fi­cación actu­al de nive­les de datos (bajo, medio y alto) y las medi­das de seguri­dad especí­fi­cas a aplicar para cada niv­el. Los respon­s­ables y encar­ga­dos deberán estable­cer las medi­das téc­ni­cas y orga­ni­za­ti­vas apropi­adas para garan­ti­zar un niv­el de seguri­dad ade­cua­do en fun­ción de los ries­gos detec­ta­dos en el análi­sis pre­vio, para ello se ten­drán en cuen­ta medi­das téc­ni­cas y orga­ni­za­ti­vas.

Una bue­na her­ramien­ta para deter­mi­nar si es nece­sario realizar un análi­sis de ries­go, es Facili­ta RGPD, dis­eña­da por la Agen­cia Españo­la de Pro­tec­ción de datos,  des­ti­na­da a aque­l­las empre­sas que real­izan tratamien­tos de datos per­son­ales que, a pri­ori, impli­carían esca­so niv­el de ries­gos como por ejem­p­lo: tratamien­tos de datos de con­tac­to, o el tratamien­to de los datos de sus emplea­d­os con la final­i­dad del man­ten­imien­to de una relación lab­o­ral.

Según esta her­ramien­ta, si la activi­dad de la orga­ni­zación pertenece a alguno de estos sec­tores:

• Sanidad
• Sol­ven­cia pat­ri­mo­ni­al y crédi­to
• Gen­eración y uso de per­files
• Activi­dades políti­cas, sindi­cales o reli­giosas
• Ser­vi­cios de tele­co­mu­ni­ca­ciones
• Seguros
• Enti­dades ban­car­ias y financieras
• Activi­dades de ser­vi­cios sociales
• Pub­li­ci­dad
• Videovig­i­lan­cia masi­va (Videovig­i­lan­cia de grandes infraestruc­turas como esta­ciones de fer­ro­car­ril o cen­tros com­er­ciales)

O bien si la orga­ni­zación tra­ta alguno de los sigu­ientes datos:

• Datos que rev­e­len ori­gen étni­co o racial
• Datos de opin­iones políti­cas o religión
• Datos de afil­iación sindi­cal (excep­to cuo­tas sindi­cales)
• Datos genéti­cos
• Datos bio­métri­cos dirigi­dos a iden­ti­ficar de man­era unívo­ca a una per­sona
• Datos de salud físi­ca o men­tal
• Datos rel­a­tivos a la vida sex­u­al o a la ori­entación sex­u­al
• Datos rel­a­tivos a con­de­nas o infrac­ciones penales
• Geolo­cal­ización

O bien si la orga­ni­zación real­iza alguno de los sigu­ientes tratamien­tos:

• Hac­er o analizar per­files
• Hac­er pub­li­ci­dad y prospec­ción com­er­cial masi­va a poten­ciales clientes.
• Prestación de ser­vi­cios de explotación de redes públi­cas o ser­vi­cios de comu­ni­cación elec­tróni­ca (provee­dor de ser­vi­cios de inter­net (LGT)).
• Ges­tionar los aso­ci­a­dos o miem­bros de par­tidos políti­cos, sindi­catos, igle­sias, con­fe­siones o comu­nidades reli­giosas, fun­da­ciones y otras enti­dades sin áni­mo de lucro, cuya final­i­dad sea políti­ca, filosó­fi­ca, reli­giosa o sindi­cal
• Gestión, con­trol san­i­tario o ven­ta de medica­men­tos.
• His­to­r­i­al clíni­co o san­i­tario.

Sería nece­sario realizar un análi­sis de ries­gos, revisan­do las medi­das de seguri­dad que actual­mente se estén apli­can­do, de esta for­ma se podrá deter­mi­nar si se debe mod­i­ficar alguno de los tratamien­tos que ya se esté real­izan­do.

Todos los respon­s­ables deberán realizar una val­o­ración del ries­go de los tratamien­tos que real­i­cen, a fin de poder estable­cer qué medi­das deben aplicar y cómo deben hac­er­lo.

El tipo de análi­sis vari­ará en fun­ción de:

• Los tipos de tratamien­to.
• La nat­u­raleza de los datos que se trat­en.
• El número de intere­sa­dos afec­ta­dos.
• La can­ti­dad y var­iedad de tratamien­tos que una mis­ma orga­ni­zación lleve a cabo.

Para las orga­ni­za­ciones de menor tamaño y con tratamien­tos de poca com­ple­ji­dad: el análi­sis será el resul­ta­do de una reflex­ión, doc­u­men­ta­da mín­i­ma­mente, sobre las impli­ca­ciones de los tratamien­tos en los dere­chos y lib­er­tades de los intere­sa­dos.

En cam­bio, para grandes orga­ni­za­ciones, como regla gen­er­al, el análi­sis deberá lle­varse a cabo uti­lizan­do algu­na de las metodologías de análi­sis de ries­go exis­tentes.

Has­ta que la nue­va LOPD (aho­ra mis­mo en proyec­to de ley) no esté aproba­da, el Reglamen­to Gen­er­al de Pro­tec­ción de Datos será la nor­ma­ti­va prin­ci­pal y, respec­to a aque­l­los pun­tos que el RGPD no haga ref­er­en­cia, seguirá vigente la Ley Orgáni­ca de Pro­tec­ción de Datos actu­al.

La san­ción máx­i­ma por incumplim­ien­to del RGPD puede ser de has­ta 20 mil­lones de euros o el 4 % de los ben­efi­cios anuales, cualquiera que sea la may­or de las dos, así que es impor­tante eval­u­ar el cumplim­ien­to para evi­tar males may­ores.

¿Tu empre­sa se ha adap­ta­do ya al nue­vo RGPD?

¡Esper­amos tus comen­tar­ios!

Equipo Full Audit.