Protección de datos y seguridad informática para empresas: por dónde empezar

La protección de datos personales en una empresa empieza por algo concreto: saber qué datos de personas guardas, para qué, con qué base legal, quién los ve y qué harías si se filtraran. La Ley Orgánica de Protección de Datos Personales (LOPDP) se aplica a quien trata datos en cualquier soporte, automatizado o no, y su régimen de sanciones rige desde el 26 de mayo de 2023. Esta sección reúne las guías para cumplirla por pasos; la explicación completa de la norma está en la guía de la ley de protección de datos.

La ruta de trabajo en seis pasos

Donde están los datos en una empresa común

La mayoría de datos personales no está en un sistema especial, sino en herramientas de todos los días:

• Ventas y marketing: la base de clientes, el CRM, los chats de WhatsApp, las listas de correo y los formularios de la web o de los anuncios.
• Talento humano: hojas de vida, contratos, nómina, datos de salud ocupacional.
• Operación: registros de visitantes, cámaras, datos de proveedores.
• Equipos: computadoras, correos y carpetas compartidas donde se copian esas listas.

Cada lugar necesita las mismas preguntas: qué datos, para qué, con qué base, quién accede y cuánto tiempo se guardan. Las guías de CRM, chatbot para WhatsApp y email marketing explican lo que toca a cada canal.

Seguridad y vulneraciones

La ley pide al responsable y al encargado medidas de seguridad adecuadas a los riesgos, y evidenciar que los mitigan (art. 37). Entre las medidas que menciona están el cifrado o la seudonimización y las que mantienen la confidencialidad, integridad y disponibilidad de los sistemas. Si ocurre una vulneración, se notifica a la Autoridad de Protección de Datos, al organismo de regulación y control competente y, con fines informativos, al CSIRT correspondiente, a más tardar en el término de cinco días desde que se conoce, salvo que sea improbable que genere riesgo para las personas (art. 43); la Superintendencia recibe esas notificaciones en un formulario en línea. Para ordenar el trabajo técnico, el marco de ciberseguridad del NIST (CSF 2.0) lo divide en seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar.

Sanciones y delegado

• Multas para el sector privado: del 0,1 % al 0,7 % del volumen de negocio del ejercicio anterior por infracciones leves y del 0,7 % al 1 % por graves (arts. 71 y 72), vigentes desde el 26 de mayo de 2023.
• Delegado de protección de datos: obligatorio en el sector público y cuando el tratamiento exige control permanente por su volumen, naturaleza o alcance, o se hace a gran escala sobre datos especiales (art. 48). No toda empresa lo necesita.