Este documento es crucial, ya que juega un papel esencial en la demostración del cumplimiento de las normativas de protección de datos. Ofrece una visión clara y completa de todas las actividades de procesamiento realizadas con datos delicados, lo que ayuda a cumplir con las normativas de privacidad de datos. Por lo tanto, se recomienda su mantenimiento, incluso para empresas que no están obligadas por su tamaño.
Implementar la normativa de protección de datos es crucial para las Asesorías, ya presten servicios de asesoramiento laboral, como fiscal. Una Asesoría realiza tratamientos de datos propios, como los datos confiados por sus clientes, quienes les encargan o subcontratan la gestión de nóminas, la administración fiscal y, en ocasiones, asuntos jurídicos.
De esta manera, las asesorías manejan un gran volumen de datos personales y además, custodian documentos y archivos de gran responsabilidad, como son los certificados digitales. Estos archivos permiten identificar de forma única a la persona física o jurídica y posibilitan realizar cualquier trámite ante la administración o firmar cualquier documento, dotándolo de validez jurídica absoluta. Por lo tanto, es fundamental que las asesorías tengan un conocimiento profundo de las regulaciones de privacidad de datos y que implementen medidas adecuadas para asegurar los datos de sus clientes.
Finalmente, en algunas ocasiones, los servicios de asesoramiento jurídico pueden incluir el tratamiento de datos especialmente protegidos.
De este modo, nos encontramos con tres ingredientes que aumentan la precaución a la hora de implantar la normativa como son:
- La cantidad de los datos tratados,
- La responsabilidad de los datos,
- La gravedad de la información de los datos.
¿Qué normativa de protección de datos aplica a las asesorías?
Existen varias normativas principales que se aplican al cumplimiento de la protección de datos en una Asesoría:
- Reglamento General de Protección de Datos (RGPD).
- Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPD-GDD).
- Normativas Laborales, Fiscales y Económicas específicas según la Comunidad Autónoma.
- Ley de Blanqueo de Capitales.
- Ley de Protección del Denunciante (en algunos casos)
Esta guía te ayudará a adaptarte de manera efectiva a la LOPD y al RGPD, cumplir con las responsabilidades asociadas y garantizar la seguridad de los datos de tus clientes.
¿Cómo cumplir la ley de protección de datos en un asesoría?
Con la entrada en vigor de la Ley Orgánica de Protección de Datos Personales y Garantía de los derechos digitales (LOPD) y el Reglamento General de Protección de Datos (RGPD), las asesorías deben cumplir con ciertas obligaciones para garantizar la privacidad y seguridad de la información de los datos que maneja.
Una de las particularidades propias de los servicios de asesoría se produce en lo referente a la doble responsabilidad adquirida a la hora de realizar los tratamientos de datos. De este modo, hemos de analizar y poner en práctica las medidas y protocolos como Responsables del Tratamiento. Y, por otro lado, las responsabilidades que adquirimos como Encargados del Tratamiento, es decir, con los datos que nos facilitan nuestros clientes a la hora de contratar nuestros servicios.
En esta guía, te ofrecemos una serie de pasos y medidas esenciales que puedes implementar para cumplir con las normativas de protección de datos en tu asesoría de manera efectiva.
- Información al cliente.
- Confidencialidad de sus Empleados/as
- Contratos de encargados de tratamiento para empresas o profesionales externos o internos que acceden a la información para la prestación de un servicio. De igual modo, es muy importante la celebración de este tipo de contratos con sus clientes, en las que la asesoría desarrolla el rol de Encargado de Tratamiento.
- En muchos de los casos, el Delegado de Protección de Datos, también conocido como DPD o DPO.
- Realizar un Análisis de Riesgos.
- Determinar plazo de retención de los datos.
- Creación de Registro de Actividades de Tratamiento.
- Otros procedimientos.
1. DERECHO DE INFORMACIÓN DEL CLIENTE
Al procesar datos de clientes, resulta crucial proporcionar la información requerida por el Reglamento. Las asesorías tienen la particularidad de que, en términos generales, sus clientes son principalmente personas jurídicas, es decir, otras empresas. En estos casos, la forma de informar se aplicaría de otra manera, ya que la normativa se dirige exclusivamente a personas físicas. No obstante, es esencial considerar que los encargos realizados por estas entidades incluyen, en mayor o menor medida, el tratamiento de datos personales de empleados, proveedores y terceros afectados.
Por lo tanto, como hemos comentado, para realizar esta cadena de tratamientos, la normativa nos indica que tenemos que firmar con las empresas, al margen del contrato de servicios, un contrato específico en materia de Protección de Datos.
De este modo, cuando se realice un tratamiento de una persona física, la información mínima que se incluirá en el texto informativo será:
- Identificación del responsable del tratamiento;
- Datos de contacto del responsable del tratamiento;
- Finalidad del tratamiento;
- Base legítima principal del tratamiento. Normalmente, será el consentimiento;
- Derechos de Protección de Datos del cliente;
- Destinatarios o las categorías de destinatarios de los datos;
- Dónde o cómo poder ampliar la información básica de Protección de Datos.
Cuando tratemos los datos, cuya responsabilidad sea de nuestros clientes, realizaremos los indicado en el punto 3, donde tu asesoría juega el rol de Encargado de Tratamiento.
De forma adicional, en caso de que los datos recabados implique el tratamiento de datos referentes a la salud, asuntos penales o condenas, necesitaremos recabar y custodiar el consentimiento para tratar esos datos de forma legítima.
2. DERECHOS Y OBLIGACIONES DE LOS EMPLEADOS/AS EN UNA ASESORÍA
Los empleados/as de la Asesoría que manejan información de los clientes deben estar bien informados y comprometidos a mantener la privacidad. Esta responsabilidad perdura incluso después de terminar su contrato laboral.
Es esencial tener un documento detallado para establecer los protocolos aplicables por parte de nuestro personal laboral. Este manual o guía de buenas prácticas detalla cómo usar correctamente los sistemas y plataformas para manejar la información de los clientes, debe ser actualizado con frecuencia y estar al alcance de todos los empleados/as que manejan datos de los clientes.
Además, el manual debe definir claramente las responsabilidades y obligaciones de los empleados en cuanto a la protección de los datos personales.
3. EMPRESAS EXTERNAS
En relación con los datos personales sobre los cuales somos responsables directamente, se da la común situación de trabajar con empresas externas que acceden a datos para brindar un servicio a la asesoría. En estos casos, es mandatorio firmar un contrato que defina la relación y responsabilidad de ambas partes. Es importante recordar que también hay otros profesionales especializados que, sin duda, necesitarán acceso a los datos para ofrecer servicios esenciales al cliente final.
Estas entidades pueden ser:
- Otros profesionales legales, consultores, etc,
- Entidades de bancarias,
- Plataformas en la nube de gestión de clientes y reservas,
- Empresas de limpieza de la asesoría,
- Empresas de mantenimiento de sistemas informáticos, ya sea nuestro programa de gestión, como los equipos,
- Empresas de seguridad,
En relación con los datos personales que nos proporcionan nuestros clientes para la prestación de los servicios que son subcontratados, hemos de aclarar que debemos firmar un contrato en el que la asesoría desarrolla el papel de Encargado del Tratamiento. Es decir, nosotros somos una empresa externa que accede a los datos, responsabilidad del cliente, para prestar nuestros servicios de asesoría.
4. DELEGADO DEL PROTECCIÓN DE DATOS
En términos generales, una asesoría está obligada a designar un Delegado de Protección de Datos (DPO).
En cualquier caso, cuando no tenga la obligación, contar con un DPO en un servicio de asesoramiento legal nos proporcionará una garantía adicional para cumplir con la LOPD y el RGPD y asegurar un manejo adecuado y seguro de los datos personales de los clientes.
5. ANÁLISIS DE RIESGOS
Antes de tratar datos personales, es esencial realizar un análisis detallado de los riesgos asociados. Este análisis busca identificar posibles amenazas que pueden surgir del manejo de datos y evaluar los riesgos para los derechos y libertades de los clientes.
El análisis de riesgos resultará en un informe detallado que será crucial para determinar las medidas técnicas y organizativas a implementar.
El objetivo principal de estas medidas es garantizar la seguridad y privacidad de los datos, minimizando la probabilidad de que las amenazas se conviertan en problemas reales y, si ocurren, mitigar el impacto negativo en los derechos y libertades de las personas cuyos datos se procesen.
6. DETERMINAR EL PLAZO DE CONSERVACIÓN DE LOS DATOS
Según la normativa, las asesorías deberán conservar los datos personales dependiendo de la naturaleza de los mismos y normativa que les afecte.
Los datos fiscales y tributarios se mantendrán un máximo de 4 años. Por otro lado, los datos de los Libros de contabilidad sen conservarán 6 años. Una vez concluidos estos periodos han de ser eliminados del sistema o bien anonimizados.
Si tenemos datos afectados por la Ley de Blanqueo de Capitales esos datos deben mantenerse hasta un plazo de 10 años.
En el caso de los datos propiedad de nuestros clientes, hemos de mantener los datos mientras dure el servicio prestado, siempre dentro de los plazos legales que hemos indicado anteriormente.
Para los casos en que el servicio al cliente haya concluido o cesado, solo y exclusivamente mantendremos aquellos datos estrictamente necesarios para poder defender nuestro negocio ante posibles demandas a causa de una mala praxis o por el incumplimiento de las obligaciones adquiridas en la prestación de nuestro servicio legal. En este caso, el Código Civil determina que las acciones personales sin plazo especial son de hasta 5 años. Por ello, los datos necesarios para nuestra defensa, de forma general, tendrán que ser eliminados transcurrido ese tiempo.
7. REGISTRO DE ACTIVIDADES DE TRATAMIENTO
Las entidades dedicadas al asesoramiento laboral, fiscal y/o contable tienen una obligación legal de crear y mantener un Registro de Actividades del Tratamiento (RAT) debido a la naturaleza de la información tratada.
El Registro de Actividades del Tratamiento debe incluir una serie de detalles clave:
1. Identificación y datos de contacto del responsable.
2. Información sobre el co-responsable si aplica.
3. Datos del representante legal o del delegado de protección de datos.
4. Propósitos específicos del tratamiento de datos.
5. Descripción detallada de las categorías de personas cuyos datos se manejan y los tipos de datos procesados.
6. Indicación de las categorías de destinatarios actuales o futuros, incluyendo si se realizan transferencias a terceros países u organizaciones internacionales.
7. Documentación de las transferencias internacionales de datos y, si es relevante, las garantías que respaldan estas transferencias en función de intereses legítimos fundamentales.
8. Explicación de las medidas de seguridad implementadas para proteger los datos.
Otros procedimientos a tener en cuenta en una Asesoría
Para garantizar la seguridad y el cumplimiento normativo en el manejo de los datos de los clientes de un asesoría, es esencial no perder de vista estos otros procedimientos que deben ser implementados, como son:
- Ejecución de Auditoría de Protección de Datos anual: El principio de responsabilidad proactiva (art. 5, RGPD) determina que es el responsable del tratamiento quien debe aplicar las medidas oportunas para cumplir la normativa y garantizar que las medidas implantadas son adecuadas y siguen correctamente puestas en práctica. Para ello, la auditoría es una herramienta vital para verificar que las medidas implantadas son adecuadas y siguen correctamente puestas en práctica, además de demostrar el cumplimiento normativo.
- Establecer un procedimiento riguroso para garantizar la adecuada atención a los derechos ejercidos por las personas interesadas: Estos derechos abarcan el acceso, rectificación, cancelación, limitación del tratamiento, portabilidad de los datos y el derecho a ser informado sobre la posibilidad de presentar una queja ante la Agencia Española de Protección de Datos (AEPD). El plazo para responder a estos ejercicios de derechos según la Ley Orgánica de Protección de Datos (LOPD) es de 30 días a partir de la recepción de la solicitud.
- Definir un proceso específico para notificar cualquier brecha de seguridad a la AEPD: Este procedimiento debe incluir detalles sobre las medidas correctivas aplicadas para evitar la repetición de situaciones de riesgo en relación a los datos de los clientes. La notificación debe llevarse a cabo en un plazo máximo de 72 horas y se realiza a través de medios telemáticos.
La implementación de estos procedimientos adicionales fortalecerá aún más la seguridad y el cumplimiento normativo en el manejo de los datos de los clientes, proveedores o empleados/as. - Política de Privacidad y Aviso de Uso de cookies en la web de la asesoría.
- Aviso Legal en la web, donde se incluirá los datos de registro mercantil de la empresa, además del número de autorización si los servicios prestadas requieren de autorización o licencia administrativa.
- Instalar cartelería de Videovigilancia con los textos informativos sobre el tratamiento. (Ver Derecho de Información al Cliente).
¿Necesitas un presupuesto?
Podemos ayudarte
También puedes llamarnos al 954 53 64 34