EY Perú: Multas por infracción a la normativa en protección de datos personales pueden ascender a S/ 515,000

Al implementar, por ejemplo, softwares o contratar proveedores para el almacenamiento de datos personales, es necesario informar de ello a la ANPDP. El procedimiento es sumamente sencillo, consiste en declarar qué tipo de información de carácter personal las empresas recopilan y almacenan de sus trabajadores, clientes, proveedores y, en general de terceros.  Dicha declaración se debe realizar a través de un formato virtual que el Ministerio de Justicia y Derechos Humanos pone a disposición. No realizarlo implica la comisión de una infracción y, por tanto, la imposición de una multa.

Todas las compañías que utilizan datos personales están obligadas a publicar su Política de Privacidad, ya sea en plataformas digitales (sitio web o aplicativo) o en sus propias instalaciones.  Con la difusión de este documento de gestión a través se da cumplimiento al “deber de informar”, pues permite conocer, entre otros aspectos, el responsable del tratamiento, los tipos de datos personales que se recopilan, el banco de datos personales donde se almacena dicha información, su plazo de conservación, la identificación de las entidades a las cuales se podrá transferir los datos personales y los mecanismos para atender los derechos reconocidos a los titulares de datos personales.  

Es de suma importancia que las empresas cuenten con cláusulas de privacidad para cada uno de los tipos de titulares de datos personales respecto de los cuales se recopila su información.  Por ejemplo, los datos personales de los trabajadores de una empresas suelen tener datos sensibles (información médica o ingresos económicos) y, por tanto, resulta necesario diseñar e implementar cláusulas de privacidad que, precisamente, informen sobre el tratamiento específico que se dará a dichos datos personales.  Lo mismo ocurre con los datos personales que puedan obtenerse de clientes, proveedores y, en general, de terceros.

Es innegable que los datos personales son un activo valioso para las empresas y sus negocios.  Por este motivo, resulta de relevancia que las empresas tengan reglas claras al momento de transferir o recibir dicho tipo de información de terceras empresas.  Por este motivo, es determinante que las empresas puedan implementar acuerdos o compromisos para la transferencia de datos personales con sus socios estratégicos o aliados comerciales, identificando claramente para cada una de las partes su rol de responsable o encargado del tratamiento de datos personales y, por tanto, sus obligaciones, responsabilidades y facultades en el marco de dicha transferencia.

La regulación en materia de datos personales dispone que las compañías implementen medidas de seguridad en tres niveles: 

• Organizacional: A través de manuales o formatos a seguir en todos sus procesos internos que involucren el tratamiento de datos personales.
• Jurídico: A través de cláusulas, acuerdos y políticas a ejecutarse en caso de eventuales incumplimientos a la normativa de protección de datos personales.
• Técnico: A través de soportes físicos y virtuales que garanticen la seguridad y accesibilidades de los datos personales que manejan.