En este post os hablaremos de qué puntos tienen más peso del RGPD en las eCommerce.
Ya han pasado un par de meses desde que el Reglamento General de Protección de Datos se hizo efectivo, este se creó para englobar un marco común en la Unión Europea sobre tratamiento de datos personales y a la libre circulación de estos.
El RGPD prevalece ante la Ley Orgánica de Protección de Datos (LOPD) española, que se usará en los casos que este no abarque.
¿A qué empresas afecta?
- Aquellas con presencia física en algún país miembro de la Unión Europea.
- Organizaciones que procesan o almacenan datos sobre residentes de la Unión Europea.
- Si se utilizan servicios de terceros que procesan o almacenan información sobre individuos que residen en la Unión Europea.
Si quieres conocer las novedades que acarrean y las sanciones actuales (muy superiores a las que marcaba la LOPD) haz clic en los enlaces.
¿Sobre cuáles de estas novedades debemos prestar particular atención siendo una eCommerce?
Ahora debes informar a los usuarios sobre el tratamiento de datos personales
El Reglamento exige informar a los usuarios de forma clara y sencilla sobre lo que pasa o como se tratan los datos personales, así cómo para qué serán destinados.
Por ejemplo, se necesita dar explicación legal para el tratamiento de los datos junto al período de conservación de estos, facilitar el contacto del DPO e informar sobre el derecho que asiste a los usuarios para dirigir sus reclamaciones a las autoridades de protección de datos.
Uno de los errores que puedes cometer es no disponer de un sistema de recogida de datos. Los datos han de ser manejados con trasparencia y limitación a su fin así, no incurriremos en infracción.
Debemos poner todas las medidas necesarias para que el cliente le dé información lo más fiel posible.
Al ser un eCommerce debemos informar a través de nuestra web, ya que es nuestra herramienta principal, por lo que las políticas y términos de la web deben estar correctamente redactados y acorde con nuestra empresa, no vale copia y pega de otra.
Contar con un asesor en protección de datos para su elaboración es lo más seguro y fiable.
Consentimiento explícito
Esto se deriva del punto anterior. Ya no vale con el uso de datos sin permiso aunque se diera la opción de desestimación en su uso, ahora nos deben aceptar antes de poder hacer cualquier uso de ellos.
Aquellos consentimientos que se den por omisión o sean tácitos, serán contrarios a esta nueva normativa.
Delegado de Protección de Datos (DPO)
La nueva figura del Delegado de Protección de Datos (DPO) que entró en vigor el 25 de mayo pasado, se encargará de garantizar el cumplimiento de la normativa.
Además de otras tareas cómo asesoramiento a empleados, actuar como intermediario ante la autoridad de control, supervisión de las políticas y procedimientos, etc…
Las políticas internas son fundamental para que el equipo que trabaje con los datos los usen debidamente. Si por un casualidad alguien usa un dato de un cliente para otra actividad del negocio para lo que no está permitido, nos exponemos a sanciones.
Notificación de las brechas de seguridad
Antes dependía más de la decisión de la empresa o de la magnitud de la brecha. Pero hoy en día es OBLIGATORIO informar ante la autoridad pertinente, en este caso a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas desde que ocurra alguna violación de datos.
Para las eCommerce y demás empresas que vendan a través de internet, esto es esencial además de poseer un buen sistema de protección informático para no sucumbir ante ciberataques y disponer de un protocolo de actuación.
Además si se cuenta con un seguro de Responsabilidad Civil frente Ataques Informáticos, nos ayudará a evitar caídas en la red que nos hagan perder ventas.
Evaluaciones de impacto sobre protección de datos
Existe la obligación de realizar un registro de actividades de tratamiento y evaluaciones de impacto.
Además la no realización de esas se considerará una infracción grave.
Estas evaluaciones las deberán de iniciar los responsables del tratamiento antes de iniciar cualquier trato de datos que puedan suponer un alto riesgo para los derechos y libertades de los interesados.
Firma de contrato con Encargados de Tratamiento
Es muy común que las eCommerce trabajen con empresas de hosting que lleven a cabo el almacenamiento de los datos personales de usuarios o con empresas de logística para repartir sus productos.
Por lo tanto, estas tienen que acceder a los datos personales de los usuarios para la prestación de los servicios contratados. Las eCommerce deben formalizar un contrato con cada una, como encargadas de tratamiento.
Al firmarse un contrato, el encargado de tratamiento se comprometerá a utilizar los datos personales conforme a las finalidades que se indiquen y a no utilizarlos o aplicarlos con un fin distinto.
La protección de datos es muy extensa y lo más conveniente es contar con un experto al que poder consultar, asesorándonos más específicamente para nuestro tipo de negocio, ya seamos Grandes Empresas, PYMES o autónomos.
Consulta sin compromiso.