La LOPD (Ley Orgánica de Protección de Datos) ha entrado en nuestras vidas de forma abrupta, de hecho, hace menos de 5 años muchos usuarios desconocían abiertamente sobre la manera de proceder para, por ejemplo, hacer cumplir con el derecho de privacidad.

Los call center y empresas de telemarketing utilizaban nuestros datos para ofertar a todas horas cualquier producto o servicio, de forma muy molesta. La lista Robinson fue un primer paso hacia la normalización del sector y brindó la posibilidad de "blindar" nuestro teléfono ante el acoso telefónico.

Con la creación de una Agencia de Protección de Datos (AGPD o AEPD) y una ley específica para el tratamiento que hacen las personas y/o empresas de los datos personales que obran en su poder, se abre un potente elemento sancionador que se ayuda, además, del desconocimiento general de dicha ley para actuar (normalmente no de oficio, sino mediante denuncia por parte de un tercero).

Las sanciones no son como para tomárselo a broma, ya que se mueven en las siguientes horquillas:

• Infracción leve (art. 44.2): que incluyen no solicitar el registro general (no legalizar el fichero), recoger datos sin informar al titular o no atender, por ejemplo, solicitudes de cancelación o rectificación de datos (lo que se llama el derecho de información) ... las sanciones leves pueden moverse entre los 900 y los 40.000 euros.
  
  
• Infracción grave (art. 44.3): que incluyen por ejemplo, no aplicar las medidas de seguridad necesarias, obstaculización del ejercicio de los derechos de acceso y oposición, obstrucciones a la inspección, no inscribir el fichero tras el requerimiento de la AGPD, o el más grave, el de no guardar el secreto de los datos inscritos en nuestros ficheros (sobre todo los especialmente protegidos) ... las sanciones en este caso se mueven entre los 40.001 y los 300.000 euros.
  
  
• Infracción muy grave (art. 44.4): algunos ejemplos de las infracciones más graves pueden ser recoger datos de forma engañosa o fraudulenta, ceder datos a terceros sin autorización (incluso simplemente comunicarlos), incumplir obligaciones sobre datos especialmente sensibles ... y las sanciones pueden moverse entre los 300.001 y los 600.000 euros.

¿Cómo cumplir con la LOPD?

Lo primero que debes hacer antes que nada es informarte sobre los aspectos básicos de esta Ley: qué es, a dónde dirigirme, ¿debe mi empresa cumplir con la LOPD?, etc. Para ello es esencial conocer la página de la Agencia de Protección de Datos, donde tienes toda la bibliografía necesaria para entender (aunque sea un poco por encima) los aspectos básicos de la LOPD. No obstante, nosotros te damos unas ideas que te ayudarán a entender qué debes y qué no debes hacer:

• Lo primero y más importante ¿debo realmente cumplir con la LOPD? la respuesta es tan simple como ¿manejas datos de carácter personal? si tu respuesta es sí, acabas de responder tú mismo a la pregunta anterior. Si manejas cualquier tipo de dato personal (nombres asociados a teléfonos, emails, matrículas, DNI, etc) debes registrar tu fichero en la AGPD e informar de ello a los interesados. 
  
  
• Todo fichero con datos (sean éstos sacados de Internet, de guías postales o de cualquier otro sitio) y que vaya a ser utilizado para algún fin concreto, debe ser registrado en la AEPD. Para ello debes utilizar telemáticamente el Formulario NOTA (gratuito - aquí las "instrucciones de uso"). Este formulario permite la presentación y notificación simplificada de nuestros ficheros mediante firma electrónica, aunque también puede hacerse sin ella imprimiendo los archivos obtenidos, firmando y enviando la solicitud por correo.
  
  
• Para cumplir estrictamente con la LOPD existen tres principios básicos además de la inscripción de los ficheros: 1) informar a la persona titular de los datos. 2) obtener el consentimiento expreso y necesario para incluir los datos en nuestro fichero. 3) aplicar las medidas de seguridad necesarias.
  
  

¿Cuáles son las medidas de seguridad que hay que aplicar?

• Nivel de seguridad Básico: es el nivel que la mayoría de empresas utilizaremos, se trata de ficheros que incluyen cualquier tipo de dato personal como pueden ser nombres, DNI, NIF, emails, etc.
  
  Las medidas de seguridad que debemos aplicar son, entre otras: la redacción del documento de seguridad en el que reflejaremos la política de seguridad que debe seguir el Responsable del Fichero, poseer mecanismos de autenticación de aquellos que entren en dichos ficheros, poseer un registro de incidencias, o realizar copias de seguridad.
  
  
• Nivel de seguridad Medio: es aplicable a los ficheros que tienen datos relativos a servicios financieros (también los famosos registros y listas de morosos), datos sobre la solvencia patrimonial, datos de Hacienda, infracciones administrativas y penales, etc.
  
  Las medidas de seguridad a aplicar son, por ejemplo: designar a un responsable de seguridad, establecer un sistema de autenticación de usuarios personalizado, registros de entrada y salida, registro de incidencias con refuerzo, etc.
  
  
• Nivel de seguridad Alto: se aplica a datos considerados como especialmente protegidos como por ejemplo los historiales de salud, afiliaciones a sindicatos o partidos políticos, etc.
  
  Las medidas de seguridad que se aplican son, por ejemplo, obligatoriedad de cifrar los datos, registro de accesos a los ficheros detallados, etc. 
  

Consejos básicos para cumplir con la LOPD

• En todos los formularios (incluso en los de registro de usuarios para comentarios) debe establecerse un "check" para que el usuario de conformidad a las condiciones de uso y/o aviso legal o de privacidad. Siempre y cuando estos datos (nombre y email) se guarden en una base de datos. 
  
  
• Si a través de un blog, página web o ecommerce se recaban datos personales debe indicarse en todo momento mediante un aviso de privacidad que puede redactarse por separado o especificarse dentro de las condiciones generales de uso (normalmente dispuestos en el pie de página).
  
  
• ¿Deben los blogs personales cumplir con la LOPD? Si tu blog personal recaba datos básicos a través de un formulario (registro de usuarios, comentarios, etc) entonces la respuesta es Sí. La LOPD es aplicable tanto para empresas como para personas físicas o jurídicas que recaben datos de terceros.
  
  
• Aprovecha tus comunicaciones a través del email para informar a tus clientes y proveedores de que sus datos han sido incluidos en un fichero correctamente registrado en la AGPD.
  
  
• En tus acciones de email marketing no olvides informar del derecho de cancelación de suscripción a tus usuarios, ya sea mediante un enlace directo a un sistema automatizado de desuscripción como mediante un email donde poder ejercer dicho derecho.
  
  
• No olvides nunca que el usuario tiene tres derechos fundamentales: 1) el derecho de acceso a la información, "¿de dónde ha sacado usted mis datos?" 2) derecho de rectificación, "Perdone, estos datos están mal, rectifíquelos"; y 3) derecho de cancelación, "Oiga, no quiero formar parte de su base de datos, cancele mis datos personales". Oponerse a alguno de estos tres derechos u obstaculizar el ejercicio de los mismos puede ser causa de sanción grave.
  

Es importante tener en cuenta que la LOPD es una ley muy restrictiva pero por otra parte también es relativamente sencilla de cumplir para autónomos y pymes que manejan ficheros de datos personales básicos.