Cuando cualquier empresa o profesional acude a una asesoría fiscal y/o laboral para que le preste –por ejemplo-servicios de presentación de impuestos y/o confección de nóminas, entra directamente en juego el artículo 28.1 del Reglamento General de Protección de Datos Europeo de 2016 (RGPD), en el que regula la figura del encargado de tratamiento.
Según dicho precepto:
Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado.
Siguiendo con el caso que exponíamos al principio, y para que el lector lo entienda, la empresa o profesional sería el responsable de tratamiento y la ASESORÍA, el encargado de tratamiento.
La Asesoría trata datos por cuenta de la empresa. Datos que pueden ser los nombres, apellidos, DNI, nº de seguridad social, etc… de sus trabajadores, y a los que es necesario acceder para poder prestar el servicio de confección de nóminas laborales.
Pues bien, el artículo 28.1 del RGPD significa que la empresa que quiera contratar a un asesor fiscal y/o laboral tendrá que elegir obligatoriamente a uno que esté adaptado al RGPD.
De ahí la importancia de que asesorías y profesionales que prestan este tipo de servicios se adapten al RGPD, que se aplicará plenamente a partir del 25 de mayo de 2018.
Por tanto, si eres una asesoría debes preocuparte por llevar a cabo esta adaptación.
Estar ya adaptado a la LOPD supone tener recorrido parte del camino de adecuación normativa. No obstante, no es suficiente, ya que el RGPD ha introducido una serie de cambios y novedades que te afectan.
De forma resumida, estas son las modificaciones:
1º. Has de llevar a cabo un análisis de riesgos, donde reflexiones sobre las amenazas que puede haber en tu organización para la protección de datos de carácter personal. Este análisis se recogerá por escrito.
2º. En ciertos casos, hay que nombrar un Delegado de Protección de Datos. Probablemente no sea tu caso, ya que existen no pocas excepciones, pero es algo que –en todo caso- debes aclarar.
3º. Tienes que confeccionar un registro de actividades de tratamiento, donde determines qué datos tratas y para qué finalidades, así como el resto de parámetros que exige el RGPD.
4º. Debes establecer una política de protección de datos y unas medidas de seguridad eficaces que hagan real y efectivo del derecho fundamental de protección de datos.
5º. También has de utilizar una serie de cláusulas para facilitar el derecho de información de los interesados, a través de la firma de impresos y /o textos legales en la web, entre otras vías.
6º. Tienes que revisar los contratos de acceso a datos que puedas tener firmados con entidades que te prestan servicios.
No cumplir las novedades de la norma puede implicar, por tanto, no sólo el riesgo de ser sancionado por la autoridad competente, sino también el de perder clientela que no podrá elegir a un prestador de servicio con acceso a datos que no esté adaptado al RGPD.
