¿Qué son los Datos Personales (DPA) y cuál es su importancia?

Todas las organizaciones que trabajan con el procesamiento de datos de terceros deben tener en cuenta los lineamientos de la Unión Europea establecidos en el RGPD. ¡Aquí te lo contamos todo!

Un acuerdo de procesamiento de datos es un documento legal, que puede ser físico o electrónico, el cual brinda información sobre el motivo y la forma en el que se recopilan los datos de las personas. Es un contrato que vincula a una empresa o persona y un tercero que procesa los datos personales. Su finalidad es regular la privacidad de los datos y las obligaciones legales.

Este acuerdo debe ser firmado para asegurar que el procesador cumplirá con los lineamientos establecidos. El contrato es válido tanto por escrito como digitalizado.

Pero para poder comprender la definición del DPA y su importancia, debemos conocer sus orígenes. Para esto es imprescindible hablar del Reglamento General de Protección de Datos (RGPD) vigente desde mayo del 2018.

¿Qué establece el RGPD?

El RGPD es una ley de protección de datos aplicable y seguridad implementada por la Unión Europea a través de la cual se establecen estándares de responsabilidad en lo que respecta al tratamiento de los datos personales y a su libre circulación. Pretende garantizar la protección de las personas físicas, asegurando el cumplimiento de los derechos de los ciudadanos de la Unión Europea respecto a los datos personales y su uso.

El reglamento, y las mismas obligaciones, aplican tanto a todas las organizaciones establecidas en la Unión Europea como a las organizaciones por fuera de la misma que ofrecen servicios a la UE o monitorea el comportamiento de individuos dentro de la UE. 

En conclusión, todas las empresas que tienen manejo de datos personales de la UE deben cumplir obligatoriamente con el Reglamento General de Protección de Datos. Para esto, es necesario implementar un acuerdo de procesamiento de datos (DPA), el cual asegura que el tratamiento de los datos será realizado bajo los lineamientos del RGPD.

Un DPA contiene instrucciones escritas de cómo será cada parte del procesamiento de los datos personales. Incluye detalles sobre las actividades de procesamiento de los datos, la duración, el tipo de datos, la devolución o eliminación de la información procesada.

¿Entre quiénes se establece el DPA?

Este acuerdo se da entre un controlador de datos y un procesador de datos. Para que puedas comprender las partes involucradas en un acuerdo de procesamiento de datos, explicaremos brevemente el rol de cada uno.

El controlador de datos es la persona o empresa dueña de la información, la cual le otorga acceso a un tercero para su procesamiento. Es el encargado de determinar las condiciones de procesamiento de datos personales. A su vez, es la autoridad supervisora y responsable de los datos que posee.

El procesador de datos, por su parte, es el tercero encargado de procesar los datos en nombre del controlador. El procesador debe atenerse al contrato y no puede hacer más de lo establecido en el acuerdo firmado por el controlador de datos. 

¿Por qué es importante un DPA?

Si tú o tu empresa brindan servicios a personas u otras compañías que forman parte de la Unión Europea o trabajan con datos personales provenientes de dicha entidad, debes firmar obligatoriamente un DPA. Si bien en los países de la UE el cumplimiento del DPA es legalmente requerido, es recomendable implementar un acuerdo de procesamiento de datos también en otros países para evitar violación de datos personales. 

Estos son los motivos por los cuales es importante contar con un acuerdo de procesamiento de datos, sin importar el país donde te encuentres ni para el cual brindes tus servicios.

1. Protege los intereses de tu negocio

El establecimiento de un DPA permite que tanto el controlador como el procesador de datos comprendan sus respectivas responsabilidades sobre la información personal, protegiendo a ambos. De esta forma, evitarás posibles malentendidos o conflictos, cuidando los intereses de tu negocio.

2. Los datos son los activos más valiosos de las empresas

Actualmente, los datos personales constituyen uno de los activos más valiosos de las compañías y son de gran importancia para hacer negocios. 

Debes garantizar a las empresas las medidas de seguridad necesarias para el procesamiento de los datos a través de la firma de un acuerdo de procesamiento de datos. Así, las mismas deben prevenir el abuso o incumplimiento del tratamiento de la información personal, así como la violación de la seguridad.

3. Ofrece claridad a la persona de cómo será tratada su información personal

Un DPA le brinda información detallada y cláusulas contractuales a la persona o empresa de cómo y por qué se procesan sus datos, le asegura a quien ofrece los datos que no quedará nada por fuera del acuerdo. 

El DPA especifica las medidas de seguridad que se tendrán en cuenta en el procesamiento de los datos. A través del acuerdo, quien proporciona la información queda al tanto de qué se hará con los datos provistos; cuál es el propósito de su procesamiento; las obligaciones que tendrá el encargado de su tratamiento; y si existen otros organismos que tendrán acceso a los mismos.

4. Brinda transparencia

Contar con un acuerdo de procesamiento de datos permite lograr una transparencia entre las empresas o personas dueñas de la información y quien será el encargado de procesarla. 

A través de la firma de este acuerdo, el procesador de datos declara que será capaz de garantizar la seguridad y prevenir cualquier incidente en el procesamiento de la información recibida. 

El DPA debe ser establecido según los parámetros de la ley RGPD y quedar a disposición del controlador de datos para que pueda acceder al mismo siempre que lo desee. Además, debe ser escrito con claridad de manera que el usuario pueda comprender todos sus puntos.

5. Garantiza la confiabilidad del procesador de datos

Un DPA permite asegurar la confiabilidad del procesador de datos, lo cual es de suma importancia ya que las empresas necesitan saber que sus datos son privados y serán protegidos de forma adecuada y tendrán un tratamiento de datos personales según lo implica la ley. 

La confianza permitirá que ambas partes puedan mantener relaciones a largo plazo, lo cual es positivo para los negocios y para mantener la reputación del procesador de los datos.

6. Mantiene a los consumidores protegidos y conformes

Un acuerdo de procesamiento de datos detalla los derechos y obligaciones referidos al procesamiento de datos. La existencia de este documento asegura el cumplimiento de las medidas allí especificadas, asegurando la protección de los dueños de la información.

El DPA brinda tranquilidad a los consumidores, ya que están al tanto de cada paso que se dará sobre sus datos personales.

7. Permite unificar los principios de protección de datos

La RGPD nace con el objetivo principal de unificar las medidas de protección de datos dentro de la Unión Europea. Sin embargo su alcance es mayor. Las compañías de los distintos países del mundo han adoptado medidas basadas en este Reglamento para establecer su acuerdo de procesamiento de datos. Esto hace que se mantenga cierta uniformidad en cuanto a las medidas de protección de los datos personales que establecen las empresas a nivel mundial. 

8. Elimina los obstáculos a la circulación de datos personales

La implementación de un acuerdo de procesamiento de datos elimina los obstáculos que pudieran presentarse a la circulación de información personal. 

Al dejar sentadas todas las medidas de seguridad y detalles sobre el procesamiento de los datos, otorga libertad al procesador en cuanto al tratamiento de los datos personales, mientras garantice el cumplimiento del DPA. Y, por otro lado, se le garantiza el cumplimiento de los derechos de las personas físicas.

9. Trasciende fronteras

El RGPD que establece la implementación de un acuerdo de procesamiento de datos, no rige únicamente en el territorio europeo.

A partir de la sanción de la ley en la Unión Europea, grandes grupos como Meta o Alphabet han comenzado a prestar atención en lo que refiere al tratamiento de los datos. Como has leído en los párrafos anteriores, la normativa es adoptada por distintos países de manera que permita la transferencia de datos personales de forma global.

10. Los usuarios pueden denunciarte

Ante el público conocimiento de la existencia del Reglamento General de Protección de Datos, los usuarios están atentos al cumplimiento de la implementación de un DPA. Estos están en total libertad de realizar denuncias a quienes no cumplan con el acuerdo y las sanciones serán aplicadas a tu compañía. 

Actualmente existen sitios web que recogen multas aplicadas a diferentes empresas de los países de la Unión Europea que han incumplido las medidas del acuerdo de procesamiento de datos, indicando país, fecha, motivo de la sanción y demás información. Esto es de público conocimiento y queda a disposición de cualquier usuario de Internet.

Partes que componen un DPA

Un acuerdo de procesamiento de datos está compuesto por:

• Las definiciones de los términos que se utilizarán a lo largo del documento
• Los subprocesadores a quienes el procesador le otorgará la información, en caso de haberlos
• Las responsabilidades del cliente o usuario
• Las obligaciones del procesador
• Las medidas de seguridad que tomará quien realice el procesamiento de los datos
• Transferencias internacionales, en caso de que la información fuera a ser transferida a otros países bajo el cumplimiento del DPA
• Detalles del procesamiento de la información (propósito, duración, tipo de datos y categorías)
• Disposiciones adicionales

¿Qué ocurre ante un incumplimiento del DPA?

En caso de que ocurra una filtración en la seguridad de los datos, se deberán tomar medidas de inmediato y notificar a las autoridades dentro de las 72 horas de ocurrido el incidente.

Si tu empresa cuenta con protocolos ante estos riesgos de incidentes de seguridad, no es necesario notificar a las personas afectadas. En caso de que no se puedan mitigar los efectos y las personas involucradas se vean perjudicadas, se les deberá avisar sobre lo ocurrido.

Las sanciones ante un incumplimiento grave del acuerdo de procesamiento de datos en la Unión Europea pueden consistir en una prohibición temporal o permanente del procesamiento de datos o una sanción de hasta 20 millones de euros o el 4 % del volumen de ventas mundial del ejercicio fiscal anterior.

El caso WhatsApp

¿Recuerdas lo que pasó con WhatsApp y los cambios que implementó en sus políticas de privacidad el año pasado?

La compañía debió dar explicaciones a la Unión Europea sobre qué hace con los datos del cliente. Este organismo busca garantizar que la aplicación cumpla con las reglas establecidas en cuanto a la protección de datos y que los usuarios sean notificados sobre el uso que la compañía hace de los mismos. 

WhatsApp se vio obligado a agregar a su política de privacidad: cómo recopilan y utilizan los datos de los usuarios, sus operaciones internacionales y las bases jurídicas para el tratamiento de la información. 

Este es el ejemplo más conocido sobre el cual puedes investigar un poco más para evitar cometer errores y disconformidades con terceros que puedan dejarte mal posicionado. Puedes buscar otros ejemplos de acuerdos de procesamiento de datos si todavía tienes dudas. 

¿Necesitas ayuda con la implementación de un DPA?

Ya sabes lo que es un acuerdo de procesamiento de datos y ahora notaste la importancia de la legislación aplicable e implementarlo con tus clientes o usuarios. 

Cada vez que transfieres información de un tercero para ser procesada, debes firmar un DPA con la compañía o persona con la cual estás colaborando para que éstos confíen en tí y en tu trabajo o el de tu compañía.

Si brindas u obtienes servicios en distintas partes del mundo, es importante que encuentres el asesoramiento y el acompañamiento profesional necesario para crear y adaptar el DPA a las leyes y requisitos legales específicos de cada país.

Para esto, hay una solución. Deel da a las empresas y trabajadores remotos, recursos de conocimiento profundos que ofrecen orientación sobre los procesos a distancia y cuestiones legales. Nos encargamos de que cumplas con las leyes de privacidad del lugar para el cual brindes servicio y así evitar penalizaciones y clientes disconformes. Te enviamos un acuerdo DPA que cubre las leyes de privacidad de todo el mundo. Conoce más sobre nuestro equipo legal aquí.  

¿Cómo funcionan los servicios de Deel?

Deel actúa como tu Employer of Record (EoR), permitiéndote trabajar legalmente con colaboradores de un país extranjero, sin tener que crear una entidad legal a nivel local. Uno de los motivos por los que deberías considerar tenernos como aliados lo has descubierto en la lectura de este artículo.

Lee más sobre el compliance y como lo resolvemos con el EOR:

• Qué es un acuerdo de trabajador independiente: guía completa
• 5 razones para utilizar Employer Of Record (EOR) en tu compañía