Procesamiento Legal
El Reglamento General de Protección de Datos, o GDPR, establece reglas estrictas sobre cómo las empresas pueden llevar a cabo el procesamiento legal de la PII de individuos en la Unión Europea.
En el núcleo de estas reglas está el requisito de que todo procesamiento de datos personales debe tener una base legal. Hay seis bases legales para el procesamiento legal de datos bajo el GDPR.
Las empresas deben determinar la base legal adecuada antes de procesar datos personales.
¿Cuáles son las Seis Bases Legales para el Procesamiento de Datos Personales?
El GDPR establece seis razones legales para procesar datos personales:
- El sujeto de los datos ha dado su consentimiento para procesar sus datos para un propósito específico.
El procesamiento es necesario para:
- Cumplir un contrato con el sujeto de los datos.
- Cumplir con una obligación legal.
- Proteger los intereses vitales de alguien.
- Realizar una tarea de interés público.
- Intereses legítimos de la empresa, excepto cuando esos intereses sean superados por los derechos del sujeto de los datos.
Veamos un par de estas bases legales de procesamiento con más detalle. El consentimiento es una de las bases legales más comúnmente utilizadas.
Al confiar en el consentimiento, es crucial que sea específico, informado y sin ambigüedad. Las casillas pre-marcadas o el consentimiento implícito no son válidos bajo el GDPR.
Por ejemplo, si un sitio web desea usar cookies para rastrear el comportamiento del usuario con fines publicitarios, necesitaría obtener un consentimiento claro y afirmativo del usuario.
Un banner que diga “al usar este sitio, acepta cookies” no sería suficiente. En cambio, el usuario debe hacer clic en un botón de “Estoy de acuerdo”. Deben ser informados sobre qué información se recopilará y cómo se utilizará antes de que esto ocurra.
Otra base legal frecuentemente usada es el interés legítimo. Las empresas pueden usar datos personales sin permiso si tienen una razón válida. Esto es permitido siempre que no perjudique los derechos e intereses del individuo.
Los intereses legítimos podrían incluir cosas como marketing, prevención de fraude o seguridad TI. Sin embargo, las empresas deben equilibrar sus intereses con los intereses de la persona.
Los intereses legítimos no pueden usarse como la base legal si hay una forma menos intrusiva de lograr el mismo resultado.
Por ejemplo, una empresa podría argumentar que tiene un interés legítimo en analizar los datos de los clientes para el marketing directo.
Sin embargo, si un cliente ha objetado claramente recibir comunicaciones de marketing, los intereses legítimos de la empresa probablemente serían superados por el derecho del individuo a oponerse.
La empresa necesitaría encontrar una base diferente para este procesamiento legal, como el consentimiento, o cesar la manipulación por completo.
Eligiendo la Base Adecuada para el Procesamiento Legal
Identificar la legalidad de cada actividad de procesamiento es crucial para el cumplimiento del GDPR cumplimiento.
La base adecuada para el procesamiento legal dependerá de la situación específica y los propósitos del mismo. En algunos casos, la base puede ser obvia.
Un ejemplo es cuando un empleador necesita procesar los detalles bancarios de un empleado para pagos de salario. Esto se hace bajo la base legal de “necesario para el contrato”.
Otras situaciones pueden no ser tan claras. Considere una empresa que desea procesar información del cliente para marketing.
Podrían usar intereses legítimos como su base legal, argumentando que los clientes razonablemente esperarían este procesamiento y tiene un impacto mínimo en la privacidad.
Sin embargo, el consentimiento puede ser una opción más segura, especialmente si el marketing involucra temas sensibles o si los clientes no esperarían razonablemente que su información se use de esta manera.
Es importante que las empresas decidan sobre la base antes de comenzar el procesamiento legal, y deben documentar su decisión. No es aceptable buscar una legalidad después del hecho.
La legalidad del procesamiento también afecta los derechos de los individuos. Por ejemplo, si una empresa se basa en el consentimiento, los individuos tienen un derecho más fuerte para que se eliminen sus datos.
Categorías Especiales de Datos Personales
Vale la pena señalar que el GDPR tiene reglas especiales para ciertas categorías sensibles de recursos, conocidas como “datos de categorías especiales”.
Esto incluye información que revela origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, membresía sindical, datos genéticos, biométricos o de salud.
El GDPR prohíbe el procesamiento de estos datos a menos que se cumpla una de las condiciones específicas del Artículo 9 del GDPR.
Estas condiciones incluyen consentimiento explícito, necesario para la ley laboral, intereses vitales, interés público sustancial y más.
El umbral para manejar datos especiales es mucho más alto, y las empresas deben ser extremadamente cuidadosas al manejar este tipo de información sensible.
Por ejemplo, una aplicación de salud que recopila datos sobre las condiciones médicas de los usuarios estaría analizando datos de categorías especiales.
Deben obtener permiso de los usuarios y tener una razón legal sólida para analizar datos sensibles.
Errores Comunes al Determinar la Legalidad del Procesamiento
Un error común es pensar que manejar datos con fines comerciales automáticamente lo hace legal bajo el GDPR. Sin embargo, la necesidad por sí sola no es suficiente para la legalidad.
El procesamiento legal debe encajar en una de las seis bases establecidas en el GDPR.
Otro problema es cuando las empresas intentan confiar en una legalidad que no se aplica realmente.
Una empresa puede decir que el refinamiento es necesario para un contrato. Sin embargo, si el refinamiento no es crucial para proporcionar el servicio, la afirmación no es válida.
De manera similar, las empresas a veces intentan usar el consentimiento como una base legal “atrapa-todo”, incluso en casos donde el consentimiento no es dado libremente o donde otra base legal sería más apropiada.
Un tercer problema es no ser lo suficientemente específico sobre la legalidad. Las empresas deben vincular cada actividad de manejo específica a una legalidad.
Declaraciones amplias como “procesamos datos basados en intereses legítimos” no son suficientes. La empresa debe explicar cuál es el interés legítimo y cómo se aplica a cada tipo de manejo.
Mejores Prácticas para Garantizar el Procesamiento Legal
Para cumplir con las reglas del GDPR sobre legalidad, las empresas deben:
- Mapear cada una de sus actividades e identificar la base legal para cada una.
- Cuando se basen en el consentimiento, asegúrese de que los procedimientos para obtener el consentimiento cumplan con los estándares del GDPR.
- Cuando se basen en intereses legítimos, documentar cómo equilibraron sus intereses con los derechos de los individuos.
- Evitar declaraciones amplias sobre la legalidad y ser específicos para cada actividad de procesamiento distinta.
- Permitir que los individuos ejerzan sus derechos basados en la base legal aplicable.
- Revisar regularmente las actividades y bases legales para asegurar el cumplimiento continuo.
Documentación de Bases Legales
Documentar la legalidad de cada actividad es una parte clave del cumplimiento del GDPR. Esta documentación debe explicar:
- Qué PII se está procesando
- El propósito del análisis
- Qué base legal se aplica y por qué
- Cómo la empresa cumplirá con los derechos de los individuos basados en la legalidad
- La evaluación de intereses legítimos de la empresa (si aplica)
Mantener y actualizar esta documentación a lo largo del tiempo es necesario. Es una evidencia importante de cumplimiento que puede ser proporcionada a las autoridades de supervisión a solicitud.
La Importancia del Procesamiento Legal
Determinar la base para el procesamiento legal de la información es una piedra angular del cumplimiento del GDPR. Las empresas necesitan una base legal válida para evitar quejas, solicitudes de acceso, y multas de los reguladores.
Hacer bien la legalidad es esencial para generar confianza con los clientes y evitar daños a la reputación.
Además, establecer bases legales de procesamiento es simplemente una buena higiene de datos. Las empresas pueden mejorar cómo manejan la información al pensar críticamente sobre por qué la usan y seleccionar la mejor base legal. Este proceso implica considerar el propósito de la información y asegurar que se alinee con los requisitos legales.
Esto sienta las bases para obtener un mayor valor de los recursos mientras se respetan los derechos y expectativas de los individuos.
El impulso del GDPR para el procesamiento legal beneficia en última instancia tanto a consumidores como a empresas. Los consumidores ganan mayor transparencia y control sobre cómo se usa su información.
Y las empresas pueden operar con mayor certeza y generar confianza en los clientes. Las empresas que manejan datos de residentes de la UE deben priorizar el establecimiento de razones legales para procesar PII. Esto requiere invertir tiempo y esfuerzo.
