Esta es la pregunta que aún muchos empresarios expertos y otros que arrancan su negocio se preguntan tres años después de que entrase en vigor la Ley 1/2019, de 20 de febrero, de Secretos Empresariales (publicada en el Boletín Oficial del Estado de 21 de febrero de 2019).

En este escenario, muchas de las empresas han definido en sus estrategias de compliance la protección de estos secretos empresariales.

De hecho, uno de los delitos por los que las compañías pueden responder penalmente es el relacionado con el espionaje industrial y la violación de secretos empresariales tipificados en el Código Penal (artículos 278 y 279).

Si se desea garantizar el cumplimiento normativo en la gestión integral del secreto empresarial, los programas actuales de compliance deben contemplar medidas para prevenir y detectar la comisión del delito de secreto empresarial, así como incorporar procesos y controles para evitar la comisión de ilícitos civiles

De este modo, no sólo lograr la exoneración o atenuación de responsabilidad penal, sino preservar la reputación e imagen de la compañía, respetando el deber de reserva de cuantos secretos empresariales sean generados o gestionados en la organización.

El papel del compliance officer es, por tanto, importante. Entre las labores de este profesional se encuentran definir el mapa de riesgos de la compañía y la minimización de riesgos a nivel de secretos empresariales. A este respecto tendrá que implementar las medidas de seguridad adecuadas, conforme a la dirección de la firma

Otra tarea suya “será la de tener definido un protocolo empresarial muy claro que explique los pasos a seguir si se vulnera cualquier secreto empresarial para evitar cualquier problema reputacional de la compañía frente a terceros y al mercado.

En este apartado es fundamental tener cuidado con los datos personales porque la nueva LOPD obliga a comunicar la brecha de seguridad en 72H a la propia AEPD”.

En casos de violación de secretos empresariales, cuando un tercero ha tenido acceso a los mismos sin consentimiento de su titular, apropiándose, copiando documentos o revelando su contenido, se articulan acciones de defensa civil que comprenden además de la cesación, prohibición y remoción de los actos, la indemnización por los daños y perjuicios que el ilícito ha ocasionado.

 La prescripción para el ejercicio de acciones se fija en tres años desde que el legitimado tuvo conocimiento de la persona que materializó la violación.

Tres años de normativa

Con esta novedosa norma se trasponía la Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas.

Hasta que entró en vigor la citada Ley de Secretos empresariales, los expertos en propiedad industrial coinciden en destacar que había un vacio legal notable sobre esta materia, con escasa presencia en el Código Penal y en el articulo 13 de la Ley de Competencia Desleal de enero de 1991.

La propia norma define al secreto empresarial como ““cualquier información o conocimiento, incluido el tecnológico, científico, industrial, comercial, organizativo o financiero”. Al mismo tiempo señala tres requisitos

1.- Que sea secreto, en el sentido de que no sea generalmente conocido ni fácilmente accesible para las personas que normalmente utilicen ese tipo de información o conocimiento.

2.- Que tenga un valor empresarial precisamente por ser secreto.

3.- Que haya sido objeto de medidas razonables por parte de su titular para mantenerlo en secreto.

Sobre los secretos empresariales hay toda una hoja de ruta a poner en marcha para que realmente sea un activo de nuestra empresa y este al margen de terceros

1. Identificar el secreto y definir su protección:

Más allá de estas “medidas razonables”, el elemento básico para la protección del secreto empresarial es su identificación. Separarlo de cualquier otro elemento de la propia compañía

A este respecto siempre se recomienda el uso de auditoría externa, independiente a la empresa ayuda a identificar lo que es secreto de lo que no es, es bastante frecuente

Tras la identificación se plantea desarrollar políticas formativas en el seno de la empresa son adecuadas para dotar a la empresa de la mentalidad adecuada de protección de los secretos empresariales.

Esta formación hay que hacerla en diferentes niveles, desde la dirección al último trabajador. De esa forma se minimizan los riegos de que pueda haber una conducta irregular sobre un secreto empresarial

2-Designar quien se ocupará de su custodia

En este momento tras la auditoria interna hay que aclarar qué profesional se va a encargar del mantenimiento de los secretos profesionales

Perfiles como el del abogado encargado de la parte tecnológica o el director de I+D en la firma pueden ser los candidatos a este puesto. Desde este punto de vista todas las áreas de la compañía deben estar coordinadas en este proceso de gestión de los secretos de empresa.

3.Concretar su clasificación como secreto empresarial

En todas las empresas hay dos tipos o categorías, los que son implícitos a todas las empresas, como puede ser proteger el plan de negocio o la estrategia de expansión de la firma, y otros más relacionados con la actividad de la firma por el hecho de estar posicionada en ese sector

Los secretos se registran en un medio físico y se comunican a todos los responsables de la empresa y al margen de terceros que entren nuevos en la propia compañía.

4- Restringir el acceso a los secretos en la empresa

Se trata sobre todo de limitar el acceso a la información de los empleados, por ejemplo, a través de un sistema de permisos adicional a las medidas que ya pudieran existir en la empresa para el tratamiento de la información que no se considera secreta”

5- Protección de los secretos con medidas técnicas:

Uso de medidas técnicas para protección del secreto empresarial. En este caso podemos reforzar la seguridad de la información en la compañía para evitar fugas o robo de información y espionaje industrial.

Al mismo tiempo se puede definir un Integración de todas las medidas señaladas en un protocolo de secreto empresarial para la compañía desarrollado por expertos y adaptado a las necesidades particulares de cada empresa.

6-Protección de los secretos con medidas legales:

Es bueno que sean complementarias a las técnicas. Se puede registrar ante notario y al mismo tiempo definir cláusulas de confidencialidad específicas con los empleados, en las que se ponga de relieve que el empleado es consciente de encontrarse ante un secreto empresarial

Otra medida legal puede ser la firma del Código Ético de la compañía donde queda reflejado el buen comportamiento de los profesionales de esta firma y la política de compliance de la compañía en cuanto a la prevención de esas conductas irregulares

 Si los profesionales suscriben todos estos documentos es complicado que puedan decir que desconocía la política de la compañía.

7-Concretar penalización en acuerdos de confidencialidad

En esos acuerdos suscritos se suele incluir algunas penalizaciones que pueden ser de carácter económico para cuantificar el lucro cesante

En la salida de un trabajador a otra compañía se pueden establecer cláusulas de no competencia, recomendable en contratos específicos de alta dirección. En ese caso, la ley obliga a pagar dos años de salarios para mantener dicha cláusula

En función de la gravedad de la acción a la hora de infringir ese secreto y la repercusión que tiene se puede plantear un despido disciplinario de ese profesional.

8-Uso del blockchain para su identificación:

Gracias a esta tecnología se ha logrado tener una de las maneras más efectivas, rápidas y baratas de identificar los secretos empresariales es haciendo uso de la tecnología ‘blockchain’.

Una consultora como Clarke, Modet & Cº y Minsait (Indra) lanzaron recientemente la primera aplicación del mercado con este fin, que permite registrar la evidencia de la existencia de un archivo digital.

Además, empleando esta aplicación, el secreto empresarial no se “mueve” de la empresa propietaria, sino que mediante la tecnología de hash y blockchain la herramienta permite identificar los archivos y certificar la fecha en la que fueron creados.

La entrada Las empresas incluyen la protección de los secretos empresariales en sus políticas globales de compliance se publicó primero en LexGoApp Blog.

En esta entrevista hablamos de los derechos digitales, ahora de actualidad por el titulo X de la nueva normativa de privacidad, la LOPD aprobada en diciembre de este año. Unos derechos que no dejan de ser los inherentes al ser humano pero ahora en un entorno digital. Tejerina pide una normativa más clara para que derechos como el de la desconexión digital o a recibir un testamento digital sean viables y no colisionen con otros derechos.

Perfil profesional

“Mi andadura por el mundo Legaltech empieza cuando acabo la carrera de Derecho. No acaba de gustarme lo que había estudiado pero aún así no quería tirar por la borda mis años de Universidad. Descubrí la tecnología gracias a mi hermano que es informático. Me especialicé en este terreno tras un Master en la Universidad Complutense y ni lo dudé en matricularme.

A raíz de conocer este mundillo, seguí investigando y estudiando más y eso hizo que hiciera el Doctorado en materia de privacidad. A partir de ahí, contacte con una asociación que se dedicaba a temas de privacidad y de protección de datos que era la Comisión de Libertades e informática que luego desaparecía.

Sin embargo, gracias a ellos contacté con la Asociación de Internautas donde pude ampliar mi espectro de conocimiento en materia de legalTech. Al final te das cuenta que es una materia transversal que aborda diferentes campos.

Quizás lo que más me guste de este entorno digital es lo necesario que seguir investigando y pensando soluciones y buscar las mejores propuestas para esta actividad. Es algo continuo. Sin embargo también esta situación tiene otra cara negativa porque te supone estar actualizado permanentemente. Siempre debes estar pendiente de todo y conocer a fondo esta práctica”.

¿Realmente existen derechos digitales o de qué estamos hablando?

Estamos hablando realmente de ordenar la convivencia social en un nuevo entorno que ahora es digital. Los derechos que tenemos por el hecho de ser personas que están reconocidas en todas las Cartas de Derechos Humanos a nivel internacional y entre estamos se manifiestan en un nuevo entorno.

De lo que se trata es de ver como se ejercitan esos derechos en ese nuevo entorno. Y sobre todo hay que darse cuenta que adaptamos las garantías de protección de esos derechos. Ese es el reto.

Hablamos de derechos que existen por el hecho de ser personas. Que cambian su forma de expresarse y manifestarse por el hecho de hacerse a través de las redes en el mundo digital. Y por ello necesitan nuevas garantías. No creo por ello que existan derechos cien por cien digitales.

¿Es la LOPD el sitio adecuado para dar a conocer y desarrollar dichos derechos digitales?

No lo creo y es por una razón de garantía constitucionales. La propia Constitución nos dice que cuando tratamos desarrollar derechos fundamentales debe hacerse a través de una ley orgánica y aunque la LOPD es una Ley Orgánica, cada derecho tiene sus propias circunstancias y hay que entender el contexto.

En la nueva LOPD y su título décimo, la existencia de esos derechos digitales que se mencionan únicamente no quedan bien estructurados. Los límites de los derechos fundamentales deben estar expresados en una ley. Y en esta solo se citan, pero queda mucho trabajo para desarrollar esos derechos. Se echa en falta un documento que desarrolle dichos derechos digitales de forma más detallada.

¿Están todos los que son o echa en falta alguno más no citado en ese título X?

Echo en falta muchas cosas, porque tendríamos que coger nuestro Código Civil, Penal y la propia Constitución y repensar muchos de nuestros derechos. Eso se está haciendo pero a salto de mata. La nueva LOPD al recoger estos derechos hace algo positivo que es poner el foco en la cuestión de cara a garantizar los derechos de las personas en el mundo digital. Se necesitan normas que desarrollen este tipo de preceptos.

¿Cómo cree que se implantará el derecho a la desconexión digital, uno de estos derechos?

El derecho a la desconexión digital es una cuestión de norma de urbanidad y de educación pura y dura. No tiene mucho sentido que le tengas que decir a un empresario que las horas extras se pagan, es increíble, pero es así. Al mismo tiempo en nuestra normativa laboral queda claro que el trabajador tiene derecho al descanso.

Junto con ello se recoge una norma para que tenga más fuerza este derecho a la desconexión digital, me parece bien. Se trata de proteger el derecho a la libre decisión del ciudadano de cómo llevar tu vida adelante. Se podría encuadrar en la dignidad de la persona.

Y también está muy enraizado con la intimidad del ciudadano y su familia. Toca muchos aspectos este derecho ya reconocido en varios capítulos de la Constitución por eso no es un derecho fundamental nuevo.

Da la sensación que no será el mismo para cada profesional…

Eso es así, la labor de un director general que en muchos casos está conectado todo el día a través de su teléfono suele estar en el cargo y está remunerado. El problema que se está dando en muchas otras personas que por la tecnología está asumiendo dicha conectividad total. Ahí es donde la cuestión de desdibuja.

¿Cómo queda el derecho al olvido tras este titulo X de esta LOPD?

Hay un cambio importante. Se ha traspasado la línea de los resultados de los buscadores a las redes sociales y sus responsables. Si antes se ejercitaba el derecho al olvido en estos buscadores para que eliminasen ciertas informaciones, ahora se puede ejercitar igual derecho ante los prestadores de servicios de redes sociales.

Eso significa que tus comentarios o de terceros que tengan que ver contigo en redes sociales puedes pedir que se retiren. No deja de ser el derecho de oposición al tratamiento de datos personales realmente.  Eso ejercitado ante la red puede tener sentido.

El problema es como se deslinda entre el uso de datos personales, la libertad de expresión o incluso la libertad de uso doméstico en cuanto a datos personales. Ahí la red social va a tener problemas.

Hasta ahora esto se entendía que cierto contenido ílicito que se subía a la red había que retirarlo, pero claro determinar la ilicitud del derecho al olvido, ese interés legítimo del ciudadano para que se elimine esa información no será sencillo.  Lo que sí veremos es a una empresa privada tomando decisiones de calado judicial.

Y el testamento digital,  que se anuncia como otro derecho, ¿cómo tendría que regularse?

Esta es una medida que a priori parece difícil llevar adelante. Precisamente por lo que implica que la regla general que familiares y allegados puedan acceder a la información del fallecido sobre su vida digital que afecta además a otras personas vivas.

Habrá que ver como se concilia el derecho de esas personas vivas con el derecho de esos familiares y allegados a acceder esa información. Parece que la prioridad sería proteger esa información de las personas vivas que tenían relación con el fallecido. Esa vida digital está en contacto con mucha información de terceros.

Creo que es grave que se diga que se hereda la condición de amigo tras el fallecimiento de un familiar. Parece complicado de conciliar con los derechos fundamentales de la Constitución. Veremos si se logra desarrollar de esta forma, de tal forma que esta cuestión de la que hablamos fuera una excepción y no una norma general.

¿Cree que puede haber conflictividad entre las partes o terceros ante la aparición de estos derechos?

Es una cuestión que está aun por ver. Pero en el caso del testamento digital habrá que ver realmente que quieren los herederos recibir de su persona fallecida. Ahora tras la aprobación de la Ley de Secretos Empresariales mucha de esta información es confidencial y puede afectar a terceros trabajadores de una empresa. Habrá que ver como se justifica que dichos herederos puedan analizar la información de terceros.  Veremos si acaba o no en un juzgado.

El último derecho de esta nueva LOPD está en  el artículo 97 se habla de frenar la brecha digital   ¿Cree que se conseguirá?

De la brecha digital se viene hablando en los últimos veinte años pero falta voluntad política para resolverlo realmente.  La brecha digital hay que ponerlo en relación con el llamado servicio universal de acceso a internet con unas condiciones mínimas de usabilidad.

Lo que habría que hacer es adaptar en ese servicio universal e invertir recursos para que la banda ancha sea una realidad en todo el país. Es muy importante invertir en infraestructuras para frenar dicha brecha digital.

La brecha digital también es educación, tanto en cuanto hay muchas personas que no están formadas en nuestro país en competencias y habilidades digitales. Esto hay que solucionarlo y destinar presupuestos a esta educación.

Otro de los retos de esta nueva LOPD incide en que serán los propios colegios los que formen a los más jóvenes en dichas habilidades y competencias educativas. Igual pasa con muchos universitarios que no tienen una sola asignatura que les hable del entorno digital. Estamos atrasados en esta tarea.

Por último, hay que darse cuenta que la brecha digital es una opción libre. Y habrá gente que no quiera estar conectado por diferentes motivos aunque la relación que tenemos los ciudadanos con las administraciones está siendo digital para ser más eficiente. En este caso es necesario un punto de información o personas que nos ayuden en dichos trámites. El derecho a la desconexión digital en este caso es voluntario y debe respetarse.

Por @LuisjaSanchez, Periodista Jurídico

La entrada “Los derechos digitales aprobados en la LOPD necesitan de un desarrollo más detallado para que no colisionen con otros derechos existentes”//Entrevista a Ofelia Tejerina. Abogada de la Asociacion de Internautas: se publicó primero en LexGoApp Blog.

Jurista e investigadora, Elena Gil González pertenece a las nuevas generaciones que se han creado en un entorno tecnológico, con lo cual su entrada en el mundo del big data y la protección de datos ha sido más natural. En la víspera de la Computers, Privacy and Data Protection Conference (CPDP) que tiene lugar en Bruselas, uno de los eventos más destacados en materia de privacidad a nivel europeo, donde participa como ponente, hemos conversado para conocer cómo percibe el desarrollo de las nuevas normativas de protección de datos.

Su perfil:

“Realice la doble titulación de Licenciada en Derecho y Administración de Empresas en la Universidad Carlos III de Madrid con unas primeras prácticas de verano en Cuatrecasas. Las hice en el área de propiedad industrial, intelectual y protección de datos.  Ya en ese momento me interesaban áreas del derecho que tendieran a la innovación aunque en la carrera no se identificaban.

Con posterioridad a licenciarme, trabajé un año en Uría Menéndez y con el tiempo me planteé realizar mi tesis doctoral.  Mientras decidía el tema acudí al el equipo de Cuatrecasas en busca de consejo. Ahí fue cuando me dieron la idea del big data. Así salió mi interés por big dada, privacidad, nuevas tecnologías. Estaba haciendo un Master en la Cámara de Comercio de Madrid sobre Big Data para realizar mi tesina, ya en estos temas. Este tema me enganchó.

Esa tesina se convirtió en el libro que fue premiado por la AEPD en el 2016 llamado «Big data, privacidad y protección de datos» al realizar un máster en la Sociedad de Estudios Internacionales . Ahora hace tres años de su publicación. Después compaginé mi primer año de doctorado con el Curso en big data de la Cámara de Comercio de Madrid. En ese curso fui número uno de la promoción, pero la tesina fue diferente (en concreto, sobre el uso de big data para mejorar la calidad de vida de personas de tercera edad). Justo después, coincidiendo con la publicación del libro, entré en Écija. A partir de ahí he  estado metida en temas de privacidad y ahora para terminar el doctorado salí del despacho y me he venido a Amsterdan a realizar una estancia a nivel de investigación.

Una persona clave en mi carrera profesional es José Luis Piñar, exdirector de la AEPD y responsable de la cátedra  Google CEU de Innovación y Privacidad. Es el director de mi tesis que estoy realizando en la Universidad CEU San Pablo, Si él hubiera estado en otra Universidad hubiera ido donde estuviera. Algunos discípulos suyos son Ofelia Tejerina, Miguel Recio o Maria Alvarez Caro, ahora en Google.

Después de haber participado en el I Congreso de DPOS en Madrid me he venido a Bruselas para participar como ponente en la actualidad edición que comienza ahora en de la  CPDP 2019, Conferencia internacional de Computers, Privacy and Data Protection Conference.  Su celebración tiene que ver con el Dia Internacional de la Protección de Datos. Mi mesa de debate trata de analizar  una nueva normativa de protección de datos  poco conocida que se centra en las instituciones europeas”.

Ahora que hemos celebrado el Dia Internacional de Protección de Datos,  ¿cree que empresas y ciudadanos tienen más importancia de lo que es la privacidad?

Creo que la implantación del Reglamento Europeo de Protección de Datos (RGPD) y sobre todo sus elevadas multas han podido crear  una cierta conciencia de que es necesario cumplir con la nueva normativa.

Cada vez somos más conscientes de que en este cambio cultural, los datos personales son más valiosos y tienen muchos beneficios, pero también tiene sus riesgos.  Sin embargo, creo que estamos aún en un punto de tomar conciencia aún más de lo que la privacidad significa.

El ciudadano de a pie aún no tiene mucha conciencia de porqué tiene que proteger sus datos. En las encuestas, los ciudadanos manifiestan que perciben ciertos riesgos en su privacidad pero luego no al actuar no hacen nada.

En España se ha destapado las alertas por la LOPD y su inclusión de una Disposición Final Tercer que pudiera permitir el spam político, una manera de prevenir que usen tus datos…

Tengo la sensación que este tema ha sido una gran ola que ha suscitado la atención de los profesionales de la privacidad, pero no sé hasta que punto un ciudadano medio es consciente que esto existe bajo la nueva normativa o lo que implica. Me surge la idea si realmente está concienciado. Vamos a un periodo electoral donde los partidos políticos deberían explicar qué van a hacer en materia de privacidad.

¿Va a ser posible un desarrollo del RGPD en Europa de forma uniforme en los 28 países miembros a corto o medio plazo?

Es complicado de decir ahora mismo. El objetivo de sustituir la Directiva por un Reglamento en materia de privacidad es precisamente que esta norma permite más homogeneización. Pero también el RGPD deja ciertas áreas abiertas a la discrecionalidad de los estados miembros, como la edad a la que se permite a un menor un consentimiento válido, cuestión que se decide en las normas de diferentes estados.

Hay que señalar que las normativas que cada Estado ha traspuesto de Reglamento están aún echando a andar. Es  pronto para saber el grado de divergencia que habrá. Una uniformidad total no se va a lograr. No en todos los Estados se permite el uso de datos personales con fines electorales como se permite bajo la LOPD española. Esperemos que esas diferencias entre países sean pequeñas. Eso es lo que está por ver.

De todos estos cambios normativos, ¿Qué es lo más complicado para entender para ciudadanos y empresas a nivel de privacidad?

Entender el RGPD necesita de un cambio cultural. La privacidad hasta hace poco era secundaria porque el uso de los datos no era muy relevante. Con el paso de los años y la economía digital, ese uso genera mas beneficios y se incentiva más.  Ahora somos conscientes que las normas que teníamos debían actualizarse.

Creo que lo más va a costar es generar ese cambio de cultura donde una empresa sienta que tiene que invertir esfuerzos en proteger los datos de los ciudadanos y que no todo se puede hacer. Son modelos de negocios lucrativos pero deben hacerse con diligencia.

Da la sensación que para entender ese cambio cultural que usted alude, es necesario contar con la figura del Delegado de Protección de Datos, DPO..

El DPO es una figura que está dentro de la organización pero en realizad su función es proteger a los usuarios y las buenas relaciones que éstos tengan con cada organización. No es una persona para proteger  los intereses de los de fuera y generar un nexo de unión con la autoridad de control.

Es evidente que no es fácil ser DPO en una organización. Tal y como hemos visto en este I Congreso de DPOS celebrado en Madrid, vivimos un momento especial para los profesionales que tengan conocimientos adecuados para ser DPO. El desafío es muy importante. La figura ya existía en países como Alemania y en las propias instituciones europeas. Pero en España no tenemos esa tradición. Es una figura muy nueva.

¿Estamos ante una nueva profesión?  ¿Deben ser los DPOS abogados exclusivamente?

Creo que es evidente que es una nueva profesión , al mismo tiempo se están creando nuevo modelos de negocios y nuevos retos y normas. Es un momento de cambio.  El RGPD no exige que el DPO sea abogado, si que tenga conocimientos jurídicos y de protección de datos. Es una figura abierta para no constreñir quién pueda ser DPO.

De todas formas, las empresas deben supervisar bien quién nombran DPO en sus estructuras. No basta con tener un curso de protección de datos. La labor de estos profesionales es muy compleja. Hay que prepararse muy bien para ser DPO. Un DPO necesita saber otras normas fuera de las de privacidad que puedan afectar a su empresa, normativa de seguridad, de su sector.

Debe tener capacidad de relacionarse y de negociación. Es nexo entre fuentes de intereses diversos, la AEPD; su empresa, organizaciones del sector y los ciudadanos. Es un puesto donde las soft skills son muy importantes  y cuya formación es continuada más aún en este entorno tecnológico que nos ha tocado vivir en la actualidad.

En este escenario de privacidad en un entorno global, junto con las grandes estructuras y boutiques han surgido iniciativas donde trabajan conjuntamente expertos en privacidad. Es el caso de Secuoya, de la que usted forma parte…

El nexo común que nos une como profesionales es la privacidad, su análisis y estudio. Todos estamos vinculados a la misma de alguna forma. Es un grupo de profesionales que funciona como think tank. Con el tiempo nos  hemos hecho amigos y analizamos con rigor todo lo que rodea al mundo de la privacidad y las nuevas tecnologías

Hemos creado un núcleo de confianza donde debatimos ideas y nos pronunciamos de los temas más relevantes del mundo de la protección de datos. Estamos en un momento de cambio con la nueva normativa europea y es lógico que todos tengamos algunas dudas sobre algunos de estos conceptos. Es muy beneficioso compartir todo esto, sin duda.

Una situación que pone a prueba tanto el trabajo de los DPO como la viabilidad de la propia empresa son las brechas de seguridad ¿Qué debemos hacer si nos enfrentamos a un problema de este tipo?

Es una situación clave para las empresas. Lo principal es detectarla y actuar con rapidez. Lo primero que hay que hacer es intentar su alcance y saber si ha afectado a datos personales o no. Si ha afectado, mientras contenemos su impacto habrá que ver si hay que notificar a la AEPD y a los interesados. El propio RGPD exige deberes de notificación en determinadas situaciones, al igual que alguna norma sectorial.

Es fundamental contar con un protocolo definido en el que la empresa sepa lo que tiene que hacer ante estas situaciones, Y disponer un plan de seguimiento para que en la medida de lo posible esta situación no se vuelva a repetir. Junto con dicho protocolo son necesarias medidas de seguridad adaptadas al riesgo y un plan de actuación para frenar dichas brechas de seguridad.

¿Qué le diría a los  despachos que nos leas y que no tenga organizada su política de privacidad aún?

El tiempo ira convenciendo a cada uno. No creo que haya que hacer una labor fuerte en ese convencimiento. Se va a ver pronto que es necesario adaptarse. La abogacía es un sector que tiende a tardar un poco en asumir los avances tecnológicos, pero es indudable que llega un momento en el que hay que adaptarse.

Estamos ante un camino de ida, aunque no sabemos muy bien donde nos llevará. A nivel de privacidad, el abogado tendrá que hacer un mayor esfuerzo en proteger sus datos y los de sus clientes como de considerar incorporarlo como servicio, porque ahora esta muy demandada esta actividad.

Por @LuisjaSanchez, Periodista Jurídico

La entrada “Hay que formarse muy bien para desempeñar con garantías las funciones de un Delegado de Protección de Datos”// Entrevista a Elena Gil Gonzalez, jurista e investigadora en privacidad se publicó primero en LexGoApp Blog.

Madrid fue este jueves la capital de los Delegados de Protección de Datos. Una figura cada vez más necesaria en las empresas para gestionar la privacidad de cualquier compañía. En un evento organizado por Wolters Kluwer España se reunieron en el auditorium de Cecabank cerca de doscientos profesionales que compartieron sus experiencias prácticas.

Para el CEO de Wolters Kluwer España y Portugal, Vicente Sánchez, “los Delegados de Protección de Datos deben liderar junto a la Agencia Española de Protección de Datos (AEPD) la generación de una cultura sólida en este ámbito, que garantice la seguridad jurídica, la protección de los derechos de los interesados y la prosperidad de los negocios”

En la primera mesa redonda de la jornada (‘Funciones y Responsabilidades del DPO’) el abogado y consultor Borja Adsuara comentó que “la actual normativa es muy compleja y no está pensada para el ciudadano, que no la entiende. La primera obligación del DPO –ha sostenido- es explicar un lenguaje que nadie entiende”, tras lo cual ha abogado por la creación de la figura del “Mediador de Protección de Datos” como instancia extra-administrativa de resolución de conflictos.

Por su parte, Cecilia Álvarez, presidenta de la Asociación Española de Profesionales de la Privacidad (APEP), declaraba que “es necesario ser humilde, bajar de la atalaya legal y entender el funcionamiento de la empresa; no podemos atenernos exclusivamente a la letra de la Ley, sino tratar de entender también el espíritu de la norma”.

José López Calvo, DPO del Centro Superior de Investigaciones Científicas, explicó que “el DPO en un organismo como el CSIC es el punto de referencia para miles de especialistas en todas las ramas científicas. Elabora el criterio del organismo, asesora, soluciona y establece los límites del ‘dataísmo’ vs humanismo”, y Agustín Puente, socio en Broseta Abogados, ha defendido la figura del DPO externo “que intervenga muy directamente en el desarrollo de la cultura de PD, como si fuera parte de la organización y en contacto permanente con el negocio”.

La segunda mesa, moderada por Miguel Ángel Davara, se ha enfocado a la formación y certificación del DPO. Los demás ponentes coincidieron  Belén Durán, responsable de Cumplimiento Regulatorio en la Fundación de Seguridad de la Información de Cataluña, en que “la formación ideal para el DPO debe ser multidisciplinar e incluir un componente tecnológico”.

En su intervención Jorge Garcia, experto en privacidad y miembro de la comunidad de expertos Secuoya Group destacó que “El DPO debe tener conocimientos de derechos fundamentales, protección del consumidor y de Derecho de la Competencia, además de capacidad de comunicación con los tecnólogos”. Por su parte,  Paloma Llaneza, CEO de Razona Legal destacó  que “para ser DPO hay que ser exigentes con la formación y adquirir tanto competencias como conocimientos”.

¿Qué hace un DPO en el sector legal?

Al hablar de ‘El rol del DPO en el sector legal’ los ponentes no se han puesto de acuerdo en la necesidad o no de crear un estatuto jurídico específico para esta nueva figura. Por otra parte,  David Gracia, abogado y DPO en la Agencia Notarial de Certificación, reconocía que “hay que concienciarse de que el DPO es un colaborador de la AEPD” y el Letrado y DPO del Consejo de Estado, Moisés Barrio, ha defendido la actitud proactiva de este organismo desde hace muchos años en materia de protección de datos, transparencia y digitalización.

Por su parte, José Luis Piñar, DPO de Wolters Kluwer y del CGAE destacaba  la complejidad que suscita la doble naturaleza pública y privada del Consejo, y ha defendido que “en cualquier organización el DPO nunca es externo; siempre es interno porque representa ante la AEPD al responsable del tratamiento”. Finalmente, el moderador Javier Álvarez, DPO de varios Colegios de Abogados, indicó que   “ser DPO de un Colegio de Abogados exige labor de diplomacia porque se discute de una materia sobre la que todas las partes tienen cierto conocimiento”.

El debate sobre el rol del DPO en las Administraciones Públicas moderado por Nacho Alamillo contó con Camino García, DPO en el Ayuntamiento de Frigiliana, Miguel Ángel del Barrio, DPO en la diputación de Segovia y Josep Matas, DPO de la diputación de Gerona y otras corporaciones municipales.

Tras analizar la complejidad que entraña esta materia en este ámbito concreto, Alamillo comentba  el reto que suponen las ciudades inteligentes en materia de PD, en particular en el ámbito de las evaluaciones de impacto. “La Administración Pública va muy por detrás del sector privado” ha reconocido del Barrio. “El DPO en el ámbito rural es un superman; para afrontar el reto de la Protección de Datos tendrá que acudir a soluciones de economía colaborativa”, ha concluido.

La última mesa de la mañana, sobre ‘El rol del DPO en el sector de la tecnología y Big Data estuvo moderada  por Alejandro de la Granja, director de Innotec (Grupo Entelgy), y tuvo como ponentes  con Elena Gil, abogada e investigadora de la universidad de Amsterdam, tambien miembro de Secuoya Group,  Eva Pané, DPO de Lleida.net, y Ricard Martínez, director de Privacidad  y Transformación Digital en la universidad de Valencia, que se ha conectado en remoto a la sesión al padecer una gripe.

Martínez reconoció  la complejidad normativa transnacional y ha destacado que “en el mundo de la universidad y la investigación hay dos elementos estratégicos en materia de cumplimiento: la cultura corporativa (un sustrato capaz de acoger la norma) y la planificación estratégica”. Por su parte, Elena Gil recomendó  que “hay que aprender a comunicar de forma que el mensaje llegue. El personal técnico tiene que tener unas nociones jurídicas básicas para detectar los problemas y evitar riesgos”.

La jornada siguió  por la tarde con mesas sobre el rol del DPO en los sectores de la publicidad y el marketing, la banca y las aseguradoras, donde se explicó cual es el papel de estos profesionales en sectores que manejan tantos datos personales, incluso de forma masiva.

El punto final lo puso José Amérigo Alonso, secretario general del Ministerio de Justicia, quien explicó como se gestó la nueva LOPD y comento los nuevos derechos digitales, titulo X, de los que ya te hemos hablado en LexGoAPP. Para este experto resulta fundamental que las empresas tengan, bien de forma externa o más internamente una figura como la del Delegado de Protección de Datos que cuide de su privacidad y mantenga una relación con la AEPD.

Por @LuisjaSanchez, Periodista Jurídico

La entrada Delegados de Protección de Datos se reúnen en Madrid para estudiar su problemática derivada del RGPD y de la LOPD se publicó primero en LexGoApp Blog.