Entrevista a Pepe Aguilar, Gerente de Mediter Consultora Jurídica. Fepeproveedor.
¿En qué se diferencia la ley nacional en protección de datos y el nuevo Reglamento Europeo?
Bueno, tiene importantes variables, lo primero es que se globaliza todo en Europa y toma la competencia en esta ley. En principio mantiene la esencia de la ley, pero el Reglamento Europeo tiene su base en la prevención. La filosofía no es cubrir expediente, sino concienciar a las empresas y profesionales de tomar medidas en sus empresas para que los datos personales clientes, empleados etc., estén siempre protegidos. Por lo que el Documento de Seguridad que es el instrumento donde se refleja tanto el manual de actuación como de incidencias y procedimientos debe de estar siempre actualizado. Muchísimas empresas no lo conocen y evidentemente es muy grave no tenerlo.
¿Me puede dar un ejemplo?
Viene recogido en la legislación pero básicamente aquello que pueda resultar una alteración significativa en el tratamiento de los datos. Desde cambios de usuarios en los ordenadores, altas y bajas de empleados. Reparaciones y altas y bajas de sistema informático. Cambios de programas informáticos, Smartphones, tablets, armarios, modificaciones en oficinas etc. Insisto, siempre que afecte a datos que tuviéramos previamente ya estructurados y auditados. Así mismo contratos con terceros y demás normativa.
Pero ello supone un esfuerzo para las empresas ¿ese tipo de cambios es habitual en las empresas?
Totalmente de acuerdo. Es un esfuerzo sin duda si se quieres llevar bien y como dice la ley, pero en realidad no tendría por qué. Las consultoras que implantamos deberíamos de estar reguladas por ley y hacer todo el trabajo por el Cliente que para eso nos pagan. También si hablamos de empresas grandes, también el Reglamento les obliga a tener personal interno directamente (la figura del DPO) o contratar un tercero pero no nos olvidemos que es una ley y con el Reglamento Europeo no se andan con chiquitas.
¿A qué se refiere exactamente?
Existe la falsa creencia de que con inscribir unos datos (ficheros) en la AEPD, tener archivado un documento de seguridad y poco más, ya estamos cubiertos ante “posibles sanciones”. Gravísimo error. Desde luego no todas, pero hay una proporción importante de empresas, que hemos podido estar exponiéndonos a que no nos toque la inspección de turno. Pero hablamos de una ley fundamental. Es cierto que hay requerimientos que para mi tienen “dudoso” sentido práctico pero en materia de protección de datos, sino protegemos lo más elemental, ¿Qué derecho tenemos a quejarnos cuando nos toca a nosotros?
¿Y qué ocurre a partir de ahora?
A partir del Reglamento europeo la forma de comprobar si las empresas cumplen con la legalidad lo harán a través de lo que denominan “relación documental” es decir, no existen las inspecciones a priori. Por ejemplo, en el organismo pueden trabajar por sectores a nivel comunitario. El método, piden documentación a todo un sector, digamos… de automoción de los países miembros y dan un plazo para que le lo entreguemos. Comprueban si está al día o no y actúan en consecuencia. Antes el riesgo es que nos tocará la inspección y era remota sino era por denuncia, ahora está automatizado y miles de empresas se inspeccionarán en minutos. No olvidemos que se van a dedicar a ello exclusivamente. Como he dicho antes la metodología es formar, concienciar, prevenir y desde luego a ejecutar en caso de deficiencias.
¿Y cuál es la solución?
Bien yo no soy mago pero sí considero que si contratamos a un tercero que nos implante y/o adapte al Reglamento europeo, primero: Que nos firme un contrato donde se refleje claramente sus servicios y responsabilidades. El Reglamento europeo ya contempla la figura de ·”El Representante” con lo que cual también adquiere responsabilidades con el Cliente y es un aval para las empresas. Ya era hora.
Que se comprometa y si cobra un mantenimiento que sea de verdad. Que se relacione claramente en qué consiste dicho mantenimiento y cumpla los plazos.
Y muy importante, asegurarse de que esa empresa es un profesional del sector. Hay muchísimo intrusismo sin preparación alguna pero por suerte o por desgracia hoy en día es fácil comprobar la solvencia de cada uno.
Con el Reglamento se intenta acabar con la competencia desleal mediante unas normas que se irán poniendo en funcionamiento a lo largo del 2016-2017. A fecha de hoy, lamentablemente cualquiera sin ningún conocimiento de la ley se “vende” como experto en LOPD, sin conocerla. Así de fácil. Con cursos de por medio e incluso regalando productos. Por ello la importancia de los contratos que nos aseguren la capacidad de, como solemos decir… realizar todo el trabajo por el Cliente y adquirir responsabilidades que como ya he dicho, para eso paga.
Dpto. de Comunicación
FEPEVAL