Nos llegó requerimiento del INAI por no tener aviso de privacidad

¿Tienes razón?

Tener o no un aviso de privacidad no es una cuestión de ganas: depende del tipo de datos que su organización procesa y del uso que les da. Si su asociación recolecta nombres, correos, teléfonos, fotografías o credenciales de donantes, proveedores o beneficiarios, en general necesita un aviso de privacidad. Lo que determina la obligación es el tratamiento: recabar, almacenar, usar, transferir o divulgar datos personales. También influye si los datos son sensibles (por ejemplo, salud o ideología), porque en ese caso las exigencias son mayores.

Verifique cómo obtuvo los datos: si los recabó directamente de la persona, conviene que haya un consentimiento o una cláusula informativa; si los obtuvo de terceros o de fuentes públicas, esa condición debe aparecer en el aviso. Igual revise si comparte datos con otras organizaciones; cualquier transferencia debe estar prevista y consentida salvo excepciones legales.

Cómo se soluciona

1. Identifique los datos y registros. Haga inventario de bases de datos: listas de correo, registros de voluntarios, padrón de beneficiarios, archivos fotográficos y expedientes. Anote qué datos se recaban y para qué finalidad.
2. Localice la notificación del INAI y compile la documentación solicitada. Responda en el medio que le indiquen, aportando el inventario y cualquier aviso o consentimiento existente.
3. Redacte o actualice el aviso de privacidad. Debe explicar en lenguaje sencillo qué datos recaba, la finalidad, los responsables, derechos ARCO (acceso, rectificación, cancelación y oposición) y los medios para ejercerlos. Si hay transferencias, descríbalas.
4. Implemente medidas básicas de protección: control de accesos, copias de seguridad y políticas para entrega o destrucción de datos cuando ya no sean necesarios. Documente las políticas por escrito.
5. Si maneja datos sensibles de beneficiarios menores o vulnerables, establezca salvaguardas adicionales y pida el consentimiento expreso de los padres o tutores.

Qué hace usted: reunir archivos, localizar comunicaciones con el INAI y preparar el inventario. Qué hace el abogado: revisar la documentación, redactar el aviso, asesorar sobre transferencias y protocolos y, si procede, negociar y presentar la respuesta ante la autoridad.

Qué puede pasar

1) Se regulariza con una respuesta administrativa: tras presentar el inventario y el aviso corregido, la autoridad puede dar por cumplida la observación y no imponer sanción si demuestra voluntad de cumplimiento. Esto es habitual si la organización coopera y documenta mejoras.

2) Acuerdo administrativo o medidas correctivas: en algunos casos se firma un convenio de cumplimiento con plazos y medidas técnicas. Aunque no implique multa, obliga a ejecutar medidas y puede incluir seguimientos.

3) Procedimiento sancionador: si la autoridad considera que hubo una vulneración grave o negligencia persistente, puede iniciarse un procedimiento que podría terminar en multa u otras medidas. Si se llega a juicio, la defensa deberá centrarse en la diligencia adoptada y en las pruebas de cumplimiento.

Y si gana, ¿se cierra todo? Regularizar el aviso reduce el riesgo de sanciones futuras, pero no garantiza que no haya responsabilidades derivadas de fugas o uso indebido anteriores. Por eso documentar las medidas adoptadas es clave.

Errores que arruinan el caso

• No tener inventario de bases de datos ni quién tiene acceso.
• Responder a la autoridad sin reunir la documentación requerida.
• Usar avisos genéricos que no explican finalidades ni transferencias.
• Mantener fotografías o expedientes de beneficiarios sin autorización escrita de tutelares cuando se trate de menores.
• No limpiar o destruir datos que ya no se necesitan, manteniendo información innecesaria sin justificación.