Protección de datos en la empresa: qué debes implementar

¿Tienes razón?

La obligación de proteger datos no depende del tamaño de la empresa: si procesas datos personales de clientes, empleados o proveedores, tienes responsabilidades. Lo que determina si estás cumpliendo son cuatro cosas: tener una política de privacidad adecuada y accesible; contar con bases legales para cada tratamiento (consentimiento, cumplimiento contractual, interés legítimo, etc.); aplicar medidas técnicas y organizativas proporcionales al riesgo (control de accesos, cifrado, backups); y gestionar derechos de los titulares (acceso, rectificación, supresión cuando proceda). Si cumples estas cuatro áreas, estás en buena dirección. Si sólo tienes un aviso de privacidad en la web pero los accesos están abiertos y no controlados, estás expuesto.

En Perú existe normatividad que regula la protección de datos personales y sanciona incumplimientos. Además de las sanciones administrativas, un mal manejo puede generar pérdida de confianza, demanda civil por daños o incumplimiento contractual. Es clave entender que la protección es tanto legal como práctica: no basta con redactar documentos si la operación diaria no respeta las reglas.

Cómo se soluciona

1. Haz un inventario de datos. Identifica qué datos personales almacenas, dónde están, quién los usa y con qué finalidad. Incluye datos de clientes, prospectos, empleados y proveedores. Clasifica datos sensibles y no sensibles.

1. Define bases legales y fines. Para cada tratamiento especifica la base legal que lo legitima y el fin concreto. Documenta consentimientos cuando sean la base. Si usas datos para marketing, asegúrate de tener consentimiento o una base alternativa válida.

1. Redacta un aviso de privacidad claro y accesible. Debe explicar qué datos recolectas, para qué, con quién los compartes, cómo ejercer derechos y cómo contactarte. Publica el aviso donde recolectas datos (web, punto de venta, formularios).

1. Implementa medidas técnicas y organizativas. Controla accesos con contraseñas y permisos, realiza copias de seguridad periódicas, usa cifrado cuando sea razonable, y registra incidentes. Limita acceso a quienes necesiten los datos para su trabajo y capacita al personal regularmente.

1. Firma contratos con terceros. Si contratas proveedores que tratan datos por tu cuenta (servicios en la nube, consultores), exige cláusulas de protección, obligaciones y medidas mínimas. Supervisa el cumplimiento y pide auditorías si el riesgo es alto.

1. Procedimiento para derechos de titulares. Establece un canal y un proceso para que titulares pidan acceso, rectificación, supresión o retiro de consentimiento; documenta las respuestas.

1. Plan de respuesta a incidentes. Define cómo detectar, contener y notificar una brecha de seguridad, y qué comunicar a afectados y autoridades según la gravedad.

Qué puedes hacer hoy: listar los tipos de datos que gestionas, revisar tu aviso de privacidad y asegurar contraseñas. Qué necesita un abogado: revisar documentos legales (aviso, contratos con proveedores), redactar cláusulas, y asesorar sobre obligaciones regulatorias y notificaciones en caso de incidentes.

Qué puede pasar

1) Se arregla con una corrección interna. Muchas incidencias se resuelven corrigiendo prácticas: ajustar accesos, actualizar avisos y firmar contratos con proveedores. Esto reduce el riesgo de sanciones y de demandas.

2) Acuerdo o sanción administrativa. Si un titular reclama o la autoridad investiga, puede haber conciliación o acuerdo para remediar incumplimientos y, en ocasiones, sanciones administrativas. A veces un acuerdo con afectados evita un procedimiento más costoso.

3) Procedimiento administrativo o judicial. Si la autoridad determina un incumplimiento grave, puede imponer sanciones y medidas correctivas. En juicios civiles, los titulares pueden reclamar indemnización por daño moral o material. Si la empresa pierde, puede enfrentar multas, medidas de supervisión y obligaciones de reparación.

Y si gano, ¿cobro? Si la acción es por indemnización, la sentencia reconoce el derecho; pero la efectividad depende de la capacidad patrimonial del demandado. Además, en materia de datos, muchas resoluciones buscan remedios no monetarios (rectificar, cesar tratamientos, mejorar seguridad).

Errores que arruinan el caso

• No documentar consentimientos o bases legales: sin pruebas, el tratamiento queda expuesto.
• Dejar cuentas cloud sin control de acceso ni cifrado: una brecha en un proveedor te salpica.
• No firmar acuerdos con proveedores que tratan datos por cuenta tuya.
• Responder mal o tarde a solicitudes de titulares: eso agrava sanciones y el conflicto con el cliente.
• No capacitar al personal; la mayoría de incidentes son por error humano.