Cuando se produjo la revolución con la entrada obligatoria del RGPD (Reglamento General de Protección de Datos) en mayo de 2018, las primeras empresas que se preocuparon por abordar esta regulación y adaptarse pertenecían al sector sanitario y educativo. Su contacto directo con los clientes y el tipo de datos tratados les hacía preocuparse por no dejar nada al azar y garantizar que todo se hiciera correctamente.
En los últimos años, la tendencia ha cambiado y el cumplimiento del RGPD en startups tecnológicas se ha vuelto un factor de competitividad clave.
Cómo abordar el proceso de adaptación y cumplimiento del RGPD en startups tecnológicas
El proceso de adaptación de una startup tecnológica a la normativa de protección de datos personales depende de muchos factores, pero principalmente los siguientes:
- Estructura organizativa y tamaño de la empresa
- Productos o servicios tecnológicos desarrollados
- Flujos de entrada / tratamiento / almacenamiento de datos
- Infraestructura de TI
- Cadena de suministro
El primer paso que se debe dar es identificar y conocer estos factores clave, que son los que van a permitir aplicar las acciones correctivas necesarias. Para ello, se suele realizar una evaluación o auditoría inicial, con entrevistas a los diferentes responsables de área que permita tener una foto clara.
4 fases para el cumplimiento del RGPD en startups tecnológicas
El modo en que se configuren los factores anteriormente descritos va a influir enormemente en el rango de acciones que tendremos que ejecutar para adaptar a la startup a los requisitos legales, pero sí que pueden sintetizarse 4 fases para abordarlo de una forma adecuada:
Identifica las bases de legitimación de los datos
Todos los datos personales que se traten, ya sea porque se introducen en una app o plataforma, se reciben de un colaborador o se recaban de otras fuentes, deben tener una base de legitimación clara, identificable y justificable.
Aunque hay más, son 3 las más importantes y recurrentes:
- Consentimiento informado: el cliente o usuario nos da su aceptación al tratamiento de datos personales. Esto puede ser a través de un documento firmado manual o electrónicamente, de un check en un formulario web, o de una aceptación de términos y condiciones. La clave es que tengamos ese consentimiento almacenado en caso de tener que acreditarlo.
- Contrato en el que el interesado es parte: el tratamiento de los datos queda legitimado cuando existe una relación contractual entre la startup y el cliente.
- Interés legítimo: cada vez está más limitado, ya que hay que justificar muy bien por qué se tratan datos sin que exista una aceptación por el cliente.
Se debe identificar los tipos de usuarios, cuál es la interacción con ellos, qué base de legitimación tenemos y cómo almacenamos las pruebas de ello.
Lo habitual es que sea necesario redactar un consentimiento informado específico, adaptar los términos y condiciones y políticas de privacidad de la plataforma o app y modificar los formularios de registro de información.
Firma contratos de protección de datos
Las startups tecnológicas suelen tener una red de proveedores y colaboradores que permiten la prestación del servicio o producto que venden. Es por ello que, deben identificar la red con la que trabajan y firmar contratos específicos de confidencialidad y protección de datos. En concreto:
- Trabajadores: acuerdos de confidencialidad, políticas de seguridad y protocolos de derechos digitales, entre otros.
- Proveedores: acuerdos de confidencialidad y contratos de encargo o subencargo del tratamiento.
- Colaboradores: contratos de encargo, subencargo o corresponsabilidad del tratamiento.
Desarrolla la documentación exigida en el RGPD
Además de los requisitos legales relacionados con terceras personas o empresas con las que se tiene algún tipo de relación, las startups deben desarrollar una serie de documentación obligatoria que debe mantenerse actualizada en todo momento. Este apartado sí depende en mayor medida del tipo de empresa, actividad, o tratamientos de datos realizado, pero puede definirse una serie de documentos básicos con los que se debe contar:
- Registro de actividades del tratamiento
- Análisis de riesgos o Evaluación de Impacto del Tratamiento
- Textos legales en plataformas web (política de privacidad y política de cookies)
- Procedimiento de ejercicio de derechos
- Procedimiento de brechas de seguridad
- Procedimiento de nuevas operaciones de tratamiento
- Logo informativo de videovigilancia
Aplica medidas de seguridad de la información
Uno de los aspectos clave que introdujo el RGPD en 2018 fue la necesidad de aplicar medidas de seguridad de la información en base a la realización de análisis de riesgos específicos para la empresa.
Las startups deben identificar cuáles son sus vulnerabilidades y aplicar un plan de acción correctivo para reducir los riesgos de brechas de seguridad que provoquen fugas o pérdidas de información.
No existe un listado de las posibles medidas a aplicar, pero pueden utilizarse como base las normativas ISO 27001 o el Esquema Nacional de Seguridad.
Por ejemplificar el tipo de medidas de las que hablamos, destacan:
- Políticas de control de acceso
- Políticas de almacenamiento de información
- Borrado seguro y gestión de soportes
- Herramientas antimalware
- Política de copias de seguridad
- Actualizaciones de software
- Política de mesas limpias
- Uso de wifi y redes externas
- Uso y protección del correo electrónico
- Política de gestión de contraseñas
Conclusión
Tener la garantía de cumplimiento del RGPD en una startup tecnológica requiere de un proceso continuo de mejora y adaptación a la normativa. Los cambios y pivotajes que se realizan en un empresa de este tipo suponen también cambios en los requisitos y la forma en que se cumplen.
En eDefense somos abogados especializados en cumplimiento normativo del sector tecnológico, por lo que podemos ayudaros a surfear el RGPD con las máximas garantías de éxito, conoce nuestro servicio de abogado de software y nuevas tecnologías.