No cumplen la ley de protección de datos en la app

¿Tienes razón?

No todas las apps tratan datos de igual manera. Lo crucial es si recoges datos personales (nombres, correos, números) o datos sensibles (salud, creencias, biométricos). Si manejas datos personales, debes contar con una base legal para el tratamiento, informar a los titulares con claridad y adoptar medidas de seguridad razonables. Tres elementos que suelen faltar en startups: un aviso de privacidad accesible y comprensible, consentimiento válido cuando corresponde, y medidas de seguridad técnicas y organizativas.

Si tu app solicita datos sin explicar por qué ni cómo se usan, o si comparte información con terceros sin consentimiento o sin contrato, el incumplimiento es real. Otro factor determinante es la exportación de datos fuera del Perú: si envías datos a servidores extranjeros, debes comprobar que existan garantías y acuerdos que protejan esos datos.

La falta de cumplimiento no solo implica riesgo administrativo; también abre la puerta a reclamos de usuarios y pérdida de confianza. Además, la ausencia de cláusulas en contratos con proveedores (por ejemplo, servicios en la nube) donde se definen roles y responsabilidades agrava la responsabilidad de la startup.

Cómo se soluciona

1. Haz un inventario de datos: lista exactamente qué datos recoge la app, con qué finalidad, cómo se almacenan, quién tiene acceso y si se transfieren a terceros. Incluye las fuentes (usuarios, redes sociales, terceros).

1. Revisa las bases legales: para cada tratamiento define la base jurídica (consentimiento, ejecución de contrato, cumplimiento de obligación, interés legítimo). Si dependes del consentimiento, asegúrate de que sea explícito, libre y específico.

1. Redacta y publica un aviso de privacidad claro y accesible: debe explicar qué datos se recogen, para qué, cómo se pueden ejercer derechos y con quién se comparten. No uses lenguaje técnico excesivo ni cláusulas genéricas.

1. Implementa mecanismos de ejercicio de derechos: permite que los usuarios soliciten acceso, rectificación, supresión o retiro de consentimiento. Define un canal y un procedimiento interno para responder.

1. Contrata cláusulas con proveedores: exige contratos que incluyan obligaciones de confidencialidad, seguridad y limitación de uso, además de definir quién es responsable en caso de incidentes.

1. Mejora seguridad técnica: adopta cifrado en tránsito y en reposo cuando sea razonable, controles de acceso, registros de auditoría y copias de seguridad. Realiza pruebas de seguridad y evalúa el riesgo.

1. Documenta todo: registra las decisiones, análisis de riesgos y medidas adoptadas. La documentación es esencial frente a reclamos o inspecciones.

Qué puedes hacer sin abogado: inventariar datos, preparar un aviso básico y revisar contratos estándar. Necesitas abogado cuando hay tratamiento de datos sensibles, transferencias internacionales, reclamaciones de usuarios o si el regulador inicia inspección.

Qué puede pasar

1) Se arregla con correcciones: muchas startups corrigen el aviso, implementan controles y responden a usuarios. Esto suele resolver la mayoría de incidencias menores y restaura la confianza.

2) Acuerdo o conciliación con usuarios: si hay reclamos individuales, puede llegarse a un arreglo que incluya compensación o acciones de mitigación. Un acuerdo puede ser preferible al litigio por rapidez.

3) Sanciones y procedimiento administrativo: si la autoridad competente detecta incumplimiento grave, puede iniciar un procedimiento que puede derivar en sanciones administrativas y órdenes de cumplimiento. Además, reclamos masivos pueden terminar en demandas civiles por daños.

Si ganas una disputa administrativa, recuperar reputación y demostrar cumplimiento futuro puede ser más valioso que una sanción económica. Pero si pierdes, la imposición de medidas correctivas puede implicar cambios operativos costosos.

Errores que arruinan el caso

• Ignorar la documentación: no registrar flujos de datos ni decisiones dejadea la defensa en caso de inspección.
• Consentimiento mal obtenido: casillas pre-marcadas, textos genéricos o falta de información invalidan el consentimiento.
• No proteger credenciales y claves: compartir accesos sin control facilita fugas.
• Contratar proveedores sin cláusulas de protección de datos: te responsabiliza por sus fallas.
• Minimizar la clasificación de datos: tratar datos sensibles como si fueran comunes conduce a incumplimiento grave.