Cumplimiento en materia de datos personales

Qué ocurre

Una tienda en línea recopila a través de su sitio web los números de teléfono y las direcciones de sus clientes, utiliza analítica web y un CRM, y tiene una política de privacidad descargada de internet hace cinco años. Nadie ha notificado nunca a Roskomnadzor, el regulador de protección de datos.

Se ha producido una vulneración: una exportación de la base de datos de clientes ha aparecido en el dominio público o se la ha llevado un exempleado. La empresa necesita saber qué debe hacer y en qué plazo, sin empeorar las cosas.

La empresa utiliza servicios en la nube extranjeros y transmite datos de empleados a su matriz en el extranjero. La dirección no está segura de que se hayan cumplido los requisitos de localización de datos y de transferencia transfronteriza.

Qué dice la ley

• El operador debe contar con una base legal para tratar cada categoría de datos, publicar su política de tratamiento y adoptar medidas de protección organizativas y técnicas (artículos 18.1 y 19 de la Ley de Datos Personales).
• Antes de iniciar el tratamiento, el operador por regla general lo notifica a Roskomnadzor, y comunica por separado su intención de transferir datos al extranjero (artículos 22 y 12 de la Ley de Datos Personales).
• Cuando se recopilan datos de ciudadanos rusos, su registro, sistematización, acumulación y almacenamiento deben realizarse con bases de datos ubicadas en Rusia (artículo 18 de la Ley de Datos Personales).
• El operador debe notificar a Roskomnadzor una transmisión ilícita de datos en un plazo de 24 horas, y los resultados de su investigación interna en un plazo de 72 horas (artículo 21 de la Ley de Datos Personales).
• La responsabilidad la fija el artículo 13.11 del Código de Infracciones Administrativas; las vulneraciones de datos conllevan multas agravadas que dependen del número de personas afectadas, y las infracciones reiteradas conllevan multas calculadas sobre la facturación.
• El consentimiento, cuando se requiere, debe ser específico, informado, consciente e inequívoco, y se necesita un consentimiento separado para hacer públicos los datos (artículos 9 y 10.1 de la Ley de Datos Personales).

Qué hacemos

• Auditamos qué datos se recopilan, de dónde provienen, dónde se almacenan, quién los recibe y con qué base se tratan.
• Mapeamos los procesos y enumeramos los sistemas de información en los que se tratan datos personales.
• Redactamos los documentos: la política de tratamiento, los reglamentos internos, los formularios de consentimiento, las instrucciones a los encargados del tratamiento y las órdenes de designación del responsable.
• Preparamos y presentamos las notificaciones a Roskomnadzor, incluidas las relativas a transferencias transfronterizas.
• Revisamos la redacción y los formularios del sitio web y de la aplicación, y los contratos con contratistas y prestadores de servicios.
• En caso de incidente, ayudamos a organizar las primeras horas, preparamos las notificaciones y gestionamos el trato con Roskomnadzor.
• Defendemos a la empresa y a sus directivos en los procedimientos por infracciones administrativas.

Qué necesitaremos de usted

• Una lista de los procesos en que se recopilan datos: sitio web, aplicación, CRM, personal, control de acceso a edificios, videovigilancia.
• La política vigente, los formularios de consentimiento y los documentos internos sobre datos personales.
• Una lista de los sistemas de información y servicios donde se conservan datos, con la ubicación de los servidores.
• Contratos con los proveedores que tienen acceso a los datos: alojamiento, servicios de envío de correo, centro de llamadas, contabilidad externalizada.
• Datos de las notificaciones ya presentadas a Roskomnadzor, y de inspecciones e incidentes anteriores.