La llamada Ley General de Protección de Datos (LGPD) está en vigor desde el 18 de septiembre de 2020. En consecuencia, las empresas que aún no se hayan adaptado a la nueva normativa deben aplicar los cambios necesarios lo antes posible. Esto se debe a que las sanciones por incumplimiento de la ley comenzarán a aplicarse a partir de 2021.
Para quienes no sepan por dónde empezar, hemos preparado esta guía con todo lo que necesita saber sobre la LGPD y sus repercusiones. Así, su empresa podrá empezar el próximo año sin preocuparse por ningún tipo de sanción legal. Sigue la guía.
Acerca de la Ley General de Protección de Datos
La Ley General de Protección de Datos (LGPD) entró en vigor en septiembre de 2020. Esta "ventana" de dos años entre su aprobación y su entrada en vigor sirvió como periodo de transición para que las empresas se adaptaran a la nueva normativa. Como consecuencia, quienes ni siquiera son conscientes de lo que es la LGPD y sus efectos van con cierto retraso.
La buena noticia es que aún estás a tiempo de "ponerte al día" y reorganizar las operaciones de tu empresa para cumplir la ley. Para empezar, contextualicemos brevemente qué es la LGPD.
La Ley General de Protección de Datos regula los términos en los que se pueden recoger, tratar y compartir los datos de los usuarios. Ahora está en vigor una norma más transparente para la gestión de esta información, de modo que los ciudadanos tienen mayor seguridad de que sus datos personales se utilizarán para fines previamente acordados con las empresas.
Hasta entonces, vivíamos en un escenario de total falta de regulación, con la información de los usuarios siendo reproducida y almacenada sin ningún tipo de consentimiento ni parámetro de seguridad, lo que dejaba margen a una serie de problemas. Sin embargo, desde la entrada en vigor de la LGPD, se ha establecido que:
¿Cuándo pueden tratarse los datos?
I - mediante el consentimiento del titular;
II - para el cumplimiento de una obligación legal o reglamentaria por parte del accionista mayoritario;
III - por la administración pública, para el tratamiento y uso compartido de datos necesarios para la ejecución de políticas públicas previstas en leyes y reglamentos o respaldadas por contratos, convenios o instrumentos similares, [...].
IV - para estudios a realizar por un organismo de investigación, garantizando, siempre que sea posible, la anonimización de los datos personales;
V - cuando sea necesario para la ejecución de un contrato o de procedimientos preliminares relacionados con un contrato en el que el interesado sea parte, a petición del interesado;
VI - para el ejercicio regular de los derechos en procedimientos judiciales, administrativos o arbitrales, estos últimos en los términos del Ley nº 9.307 de 23 de septiembre de 1996 (Ley de Arbitraje) ;
VII - para la protección de la vida o la seguridad física del propietario o de un tercero;
VIII - para la protección de la salud, en procedimientos llevados a cabo por profesionales sanitarios u organizaciones sanitarias;
VIII - para la protección de la salud, exclusivamente en procedimientos realizados por profesionales sanitarios, servicios de salud o autoridades sanitarias;
Aplicaciones de la LGPD
La Ley General de Protección de Datos tiene implicaciones para todos los sectores de la economía. Básicamente, a partir de ahora, tiene que indicar el motivo por el que solicita datos a sus clientes y clientes potenciales, asignando la clasificación correcta a estos datos, que se dividen en:
Datos personales - información capaz de identificar a una persona, como números de identificación, números CPF, nombre y dirección.
Datos sensibles - información relacionada con atributos más específicos de una persona, como origen étnico/racial, posiciones políticas, convicciones religiosas, orientación sexual y similares.
Otro concepto importante es el de tratamiento de datos:
Procesamiento de datos: cualquier acción que implique datos personales se considera "tratamiento", desde el momento en que se recogen los datos hasta el momento en que se suprimen
Una vez hechas estas distinciones, veamos algunos acontecimientos críticos que merecen atención.
Obtención de datos sin consentimiento
Incluso antes de que se aprobara la LGPD, adquirir listas de pistas ya era una práctica éticamente inadecuada. Ahora es un delito penal.
En ningún caso el departamento comercial de su empresa debe compartir o recibir datos de los usuarios sin el consentimiento de los implicados.
Los datos de un estudio de mercado realizado hace unos años, por ejemplo, no pueden utilizarse de ninguna otra manera. En este caso, utilizar los datos personales de cualquier persona para un simple contacto comercial ya es ilegal.
Comunicación con su base de clientes potenciales
Supongamos que ya dispone de una base de contactos de clientes y clientes potenciales con los que se comunica regularmente a través de diferentes canales, como el correo electrónico y WhatsApp.
Según la LGPD, este contacto debe ser demostrablemente necesario para el funcionamiento de la empresa, lo que no incluye las acciones de marketing.
Recogida de datos
Al igual que la comunicación, la recogida de datos debe estar debidamente justificada. De este modo, los datos solicitados, ya sean clasificados como personales o sensibles, deben considerarse estrictamente necesarios para las operaciones de la empresa.
En consecuencia, todos los formularios en circulación dirigidos al público de su empresa deben revisarse para cumplir la ley.
Tipos de consentimiento
Más que saber qué evitar, es importante conocer algunos conceptos de la ley para no incurrir en ilegalidades y tener una comprensión más amplia de cómo tratar los datos de sus clientes. Veamos algunas aclaraciones al respecto.
Según la legislación, el consentimiento se define como una declaración de voluntad clara e inequívoca. En la práctica, es necesario ser claro y objetivo sobre los fines del uso de los datos para que el usuario acepte o no.
Desde esta perspectiva, el consentimiento, según lo dispuesto en la LGPD, debe tener los siguientes atributos;
Ejemplos de consentimiento:
- El consentimiento debe ser libreEl consentimiento no puede ser "forzado" o inducido, sino una elección. Por lo tanto, si una empresa inserta una casilla de consentimiento en un formulario, significa que no tienen la opción de aceptar o rechazar las condiciones propuestas.
- El consentimiento debe ser claroEl usuario debe entender a qué está dando su consentimiento. En otras palabras, las organizaciones deben describir claramente todos los términos de la solicitud de consentimiento. Incluir información en una política de privacidad densa o difícil de entender no bastará para confirmar la aceptación de los términos.
- El consentimiento debe ser inequívocoDepende de un acto positivo del usuario. En otras palabras, debe haber una acción por parte del usuario que indique su aceptación, ya sea enviando un correo electrónico, una firma electrónica o incluso haciendo clic en un lugar concreto.
- Hay que ser específico sobre el objeto del consentimientoPor lo tanto, la empresa nunca puede utilizar los datos recogidos para un fin no especificado en el formulario de consentimiento.
Ante tantos requisitos, habrá quien se pregunte: ¿es estrictamente necesario el consentimiento para ponerse en contacto con el protagonista?
No necesariamente, porque tenemos lo que se conoce en Derecho como interés legítimo y contratos. Esta disposición legitima el contacto comercial realizado de forma razonable.
Descargar hoja de cálculoCálculo simple de impuestos.
Entender cuáles son los derechos de los usuarios en virtud de la LGPD
Derechos y obligaciones de la LGPD:
- Confirmación de la existencia del tratamiento;
- Acceso a los datos;
- Corrección de datos incompletos, inexactos u obsoletos
- Anonimización, bloqueo o supresión de datos innecesarios, excesivos o tratados incumpliendo lo dispuesto en la LGPD;
- Portabilidad de los datos a otro proveedor de servicios o productos, previa solicitud expresa, de conformidad con la normativa de la autoridad nacional, respetando los secretos comerciales e industriales;
- Supresión de datos personales tratados con el consentimiento del interesado;
- Información sobre organismos públicos y privados con los que el responsable del tratamiento ha compartido datos;
- Derecho a la información sobre la posibilidad de no dar el consentimiento y, por tanto, sobre las consecuencias de negarlo;
- Revocación del consentimiento.
Conclusión:
En conclusión, como hemos señalado, cualquier incumplimiento puede acarrear sanciones de diversa índole, exponiendo a su empresa a riesgos legales totalmente evitables.
