Quien entrega datos personales a una empresa tiene derecho a saber quién los trata, para qué, con qué fundamento, a quién pueden comunicarse y durante cuánto tiempo se conservan. El Reglamento General de Protección de Datos (RGPD) consagra este deber de información, que se cumple habitualmente mediante una política de privacidad.
En la práctica, muchas políticas son modelos adaptados a toda prisa, que describen tratamientos que la empresa no realiza y omiten otros que forman parte efectiva de su actividad. Una política así no cumple su función y puede, incluso, poner de manifiesto incumplimientos.
Marco legal
El RGPD (Reglamento (UE) 2016/679) es directamente aplicable en Portugal. La Ley portuguesa n.º 58/2019, de 8 de agosto, asegura su ejecución en el ordenamiento jurídico nacional y establece el marco institucional de la Comisión Nacional de Protección de Datos (CNPD), como autoridad de control.
Las normas centrales sobre el deber de información se encuentran en los artículos 12 a 14 del RGPD. El artículo 12 exige que la información sea concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo.
El artículo 13 se aplica cuando los datos personales se recogen del propio interesado. El artículo 14 se aplica cuando se obtienen por otra vía, por ejemplo, a través de terceros o de fuentes públicas.
El contenido mínimo
Cuando los datos se recogen del interesado, la política de privacidad debe indicar, como mínimo:
- Quién es el responsable del tratamiento y cómo puede contactarse con él, así como el delegado de protección de datos, si se ha designado;
- Los fines de cada tratamiento y su base jurídica;
- Los intereses legítimos perseguidos, cuando sea esa la base invocada;
- Los destinatarios o categorías de destinatarios de los datos;
- Las transferencias a países fuera del Espacio Económico Europeo, cuando existan, y las garantías que las acompañan;
- El plazo de conservación o, si no es posible fijarlo, los criterios utilizados para determinarlo;
- Los derechos de los interesados, incluidos los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, cuando proceda, así como el derecho a retirar el consentimiento y a presentar una reclamación ante la CNPD;
- Si la comunicación de los datos es obligatoria y las consecuencias de no facilitarlos;
- La existencia de decisiones automatizadas, incluida la elaboración de perfiles, cuando proceda.
Cuando los datos no se recogen directamente del interesado, deben indicarse además las categorías de datos personales de que se trate y su origen, incluido, cuando proceda, si proceden de fuentes de acceso público.
Una base jurídica para cada fin
El artículo 6 del RGPD establece que el tratamiento de datos personales solo es lícito cuando se basa en alguno de los fundamentos jurídicos que prevé: consentimiento, ejecución de un contrato o de medidas precontractuales, cumplimiento de una obligación legal, protección de intereses vitales, cumplimiento de una misión de interés público o intereses legítimos del responsable o de un tercero.
La elección de la base jurídica no es indiferente. Facturar a un cliente deriva, en particular, del cumplimiento de obligaciones legales; tratar los datos necesarios para la ejecución de un contrato se basa, por regla general, en ese mismo contrato; en cambio, el envío de comunicaciones de marketing directo depende de las condiciones legales aplicables, que varían según la naturaleza del destinatario y el contexto de la comunicación.
En el caso de las comunicaciones electrónicas de marketing directo, debe tenerse en cuenta también el artículo 13-A de la Ley portuguesa n.º 41/2004, de 18 de agosto. Para los destinatarios que son personas físicas, se exige, por regla general, consentimiento previo y expreso. Para las personas jurídicas rige un régimen distinto, que permite esas comunicaciones hasta que el destinatario se oponga y sin perjuicio de las listas previstas por la ley. Existe además una excepción para el uso de los datos de contacto electrónico de clientes en la promoción de productos o servicios propios similares, siempre que se respeten las condiciones legales.
Presentar el consentimiento como base de todos los tratamientos es un error frecuente. El consentimiento puede retirarse en cualquier momento, por lo que no debe utilizarse cuando exista otra base jurídica adecuada al fin perseguido.
Los errores más frecuentes
- Política copiada o genérica: no corresponde a los tratamientos que la empresa realiza efectivamente, y puede contener información incorrecta u omitir operaciones relevantes.
- Plazos de conservación indefinidos: expresiones como «durante el tiempo necesario», sin indicar los criterios que determinan ese período, no cumplen adecuadamente el deber de información.
- Omisión de los proveedores de servicios: las empresas de alojamiento informático, correo electrónico, facturación o gestión de nóminas pueden tratar datos por cuenta de la empresa. Cuando actúan como encargados del tratamiento, debe existir un contrato con el contenido exigido por el artículo 28 del RGPD.
- Transferencias internacionales no identificadas: el uso de servicios de almacenamiento, correo electrónico o marketing puede implicar transferencias de datos a países fuera del Espacio Económico Europeo, sujetas a las condiciones de los artículos 44 y siguientes del RGPD.
- Información facilitada solo en el sitio web: cuando los datos se recogen también mediante contratos, formularios en papel, candidaturas de empleo o sistemas de videovigilancia, la información debe facilitarse también en esos contextos y en el momento exigido por la ley.
Cookies: un régimen propio
La instalación de cookies y tecnologías similares en el equipo del usuario está sujeta a la Ley portuguesa n.º 41/2004, de 18 de agosto, en su redacción vigente.
Por regla general, es necesario obtener el consentimiento previo para utilizar estas tecnologías. La excepción abarca los casos en que se utilicen exclusivamente para transmitir una comunicación a través de una red de comunicaciones electrónicas o sean estrictamente necesarias para prestar un servicio de la sociedad de la información expresamente solicitado por el usuario.
Por eso es habitual tratar las cookies en una política específica, vinculada a la política de privacidad y al mecanismo de gestión del consentimiento del sitio web. La simple mención de las cookies en la política de privacidad no sustituye el cumplimiento de las obligaciones relativas a su instalación y uso.
Mantener la política actualizada
La política de privacidad debe acompañar la realidad de la empresa. La creación de nuevos servicios, la contratación de nuevos proveedores, el uso de nuevas herramientas tecnológicas o la introducción de nuevas formas de recogida de datos pueden exigir su revisión.
Es igualmente importante asegurar la coherencia entre la política de privacidad, el registro de las actividades de tratamiento, los contratos con encargados del tratamiento y los procedimientos internos de la empresa.
Tener una política de privacidad no significa, por sí solo, que todos los tratamientos sean lícitos ni que la empresa cumpla el RGPD. El documento debe reflejar prácticas reales e integrarse en un sistema de cumplimiento de las obligaciones legales en materia de protección de datos.
Preguntas frecuentes
¿Está una pequeña empresa dispensada de tener una política de privacidad?
No. El deber de información se aplica a todos los responsables del tratamiento, con independencia del tamaño de la empresa, siempre que se trate de tratamientos sujetos al RGPD.
Lo que admite una excepción, conforme al artículo 30.5, es la obligación de llevar el registro de las actividades de tratamiento para organizaciones con menos de 250 empleados, siempre que se cumplan todas las condiciones allí previstas. La excepción no se aplica, en particular, cuando el tratamiento no sea ocasional, pueda entrañar un riesgo para los derechos y libertades de los interesados o incluya categorías especiales de datos o datos relativos a condenas e infracciones penales.
¿Basta con publicar la política de privacidad en el sitio web?
No siempre. La información debe facilitarse en el momento de la recogida de los datos, de acuerdo con el contexto en que se produzca. Si los datos se recogen mediante contratos, procesos de selección, formularios en papel u otros medios, la información debe estar disponible también en esos contextos.
¿Quién supervisa y qué sanciones existen?
La supervisión del cumplimiento del RGPD corresponde a la CNPD, autoridad de control nacional, ante la cual los interesados pueden presentar una reclamación conforme al artículo 77 del RGPD.
El incumplimiento del deber de información puede dar lugar a la imposición de multas conforme al artículo 83 del RGPD y al régimen nacional previsto en la Ley n.º 58/2019.
Nota final
Elaborar una política de privacidad adecuada exige algo más que adaptar un modelo. Requiere conocer los tratamientos que realiza la empresa, identificar sus bases jurídicas y asegurar que la información facilitada a los interesados corresponde a la realidad.
ME&JBA — Advogados, en Lisboa, presta asesoramiento jurídico en materia de Protección de Datos y Tecnología, incluida la elaboración y revisión de políticas de privacidad, el análisis de procedimientos de tratamiento de datos y el acompañamiento de cuestiones relacionadas con el cumplimiento del RGPD.*
João Brazete de Almeida
Abogado
* En la preparación de este artículo se utilizó una herramienta de inteligencia artificial generativa como instrumento auxiliar de apoyo a la estructuración y redacción del texto, así como a su revisión y mejora lingüística. El análisis jurídico, la selección y validación de los fundamentos legales y la revisión final del contenido son responsabilidad del autor.