El próximo 26 de mayo de 2023 inicia la aplicación del régimen sancionatorio de la Ley de Protección de Datos Personales. Los lineamientos para aplicar esta normativa fueron abordados en un CIPNetworking organizado junto a la firma de abogados Corral Rosales, afiliada a la Cámara de Industrias y Producción (CIP).
Rafael Serrano, socio senior de la compañía y experto en la materia, explicó que la Ley de Protección de Datos es aplicable a empresas de todos los sectores y tamaños, así como a personas naturales. En ese sentido, algunas de las acciones a tomar para la aplicación de la ley son:
- Capacitar a todo el personal de la empresa.
- Levantar las bases de datos, incluyendo a todas las áreas de la empresa e identificando cómo se recopilan los datos y su uso.
- Conocer los proveedores que manejen datos personales. Tener en cuenta que no todo proveedor requiere de un acuerdo de tratamiento de datos.
- Conocer los contratos con clientes que sean personas naturales, definiendo cuáles son los datos requeridos para el objeto del contrato.
- Identificar las políticas aplicables para privacidad, gestión de derechos y seguridad de información.
- Analizar los riesgos.
- Aplicar medidas de seguridad técnicas, físicas y jurídicas.
- Capacitar nuevamente al personal para validar lo implementado y que los procesos funcionen de la manera correcta.
Serrano enfatizó que es importante que todos estos elementos estén en constante evaluación y actualización.
La ley, que tiene como referencia la legislación europea, se divide en 12 capítulos. Allí, se establece la creación de una Superintendencia de Protección de Datos como ente rector autónomo y de un reglamento para su implementación. Sin embargo, hasta el momento estos dos elementos aún no ha sido constituidos. De todas maneras, Serrano enfatizó que el 80% de las normas está en la ley y “no debemos esperar el reglamento para aplicarla”.
La Ley de Protección de Datos establece también principios que son claves para demostrar el cumplimiento de la ley. Por ejemplo, el principio de seguridad indica que hay que establecer protocolos de evaluación y actualización de los procesos de levantamiento de información. Otro principio importante es la proporcionalidad para que las empresas soliciten a las personas solamente los datos necesarios. Otros son: juridicidad, lealtad, transparencia, finalidad, minimización, aplicación favorable al titular, confidencialidad, responsabilidad proactiva, calidad y exactitud, conservación, e independencia del control.
El experto de Corral Rosales agregó que la ley establece infracciones leves y graves tanto para el Responsable como para el Encargado. Las sanciones van desde el 0.1% hasta el 1% del volumen del negocio. Algunas de las infracciones son:
- No tramitar o tramitar fuera de tiempo las peticiones del titular.
- Elegir un encargado de tratamiento que no ofrezca las garantías adecuadas.
- Utilizar información para fines distintos a los declarados.
- No implementar medidas técnicas u organizativas.
La normativa fue aprobada en mayo de 2021 y se dispuso que, en dos años, las empresas se adecuen a la misma. Paúl Corral, Director Jurídico de la CIP, afirmó que es necesario que todas las empresas conozcan las acciones para la implementación esta ley y tomen acciones para aplicarla.