Cada vez son más las empresas que se conciencian de la relevancia de cumplir con el Reglamento Europeo y la normativa nacional en materia de protección de datos. Son numerosas y de gran cuantía las sanciones impuestas a las empresas por las distintas autoridades competentes. La autoridad competente en nuestro país, que vela por el cumplimiento de la normativa y, en consecuencia, por la protección de los datos de carácter personal es la Agencia Española de Protección de Datos quien ostenta el liderazgo en cuanto a número de sanciones impuestas. Según datos de la propia Agencia en este año las sanciones impuestas suman un total de 32 millones de euros.

Entre las obligaciones que establece la normativa nos encontramos con la responsabilidad proactiva de los responsables y encargados del tratamiento de datos. De esta obligación se deriva que deben tomarse las medidas necesarias para asegurar y garantizar el adecuado tratamiento de datos de carácter personal. Y entre estas medidas, con este pequeño artículo damos respuesta a las principales cuestiones que las empresas se plantean a la hora de valorar si ofrecer o no formación a sus trabajadores en materia de protección de datos


¿Quiénes están obligados a cumplir con el RGPD?

Toda empresa, entidad pública o profesionales que manejen datos personales de terceros están obligados a cumplir con el Reglamento General de Protección de Datos (RGPD), así como con la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD), norma que ha adaptado el Reglamento europeo al Ordenamiento Jurídico Español.

¿Es obligatorio para las empresas formar a sus empleados en materia de protección de datos?

El cumplimiento del RGPD pasa indirectamente por la formación de los trabajadores.  No hay un artículo en la normativa aplicable que específicamente obligue a la empresa a ofrecer esta formación, pero sí de modo indirecto se les exige informar y formar a sus trabajadores:

1)      El artículo 5.1 (f) del RGPD y artículo 5 de la LOPDGDD, disponen que todo responsable o encargado del tratamiento debe asegurar la confidencialidad de los datos personales que maneja y para ello es necesario trasladar esta obligación a los trabajadores que acceden a estos datos. Por tanto, los empresarios deben de ser capaces de transmitir los conocimientos necesarios de privacidad y concienciar de la importancia de esta a todos los trabajadores de su compañía.
2)      El artículo 28.3 del RGPD, respecto de las obligaciones del Encargado del tratamiento, dispone que deben garantizar que han comprometido la confidencialidad de las personas autorizadas para el tratamiento de los datos personales.
3)      El artículo 32 del RGPD, afirma que  las empresas están obligadas a establecer controles y medidas técnicas y organizativas con el fin de mitigar riesgos en el tratamiento de datos. Y en su apartado 4, afirma que El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable.
4)      El artículo 39 del RGPD enumera como una de las funciones mínimas del Delegado de Protección de Datos la de informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros.

¿Qué ventajas tiene impartir formación a los trabajadores?

La concienciación y sensibilización de los trabajadores respecto de la importancia y trascendencia de la protección de datos son la clave para proteger a las empresas. Con una formación adecuada, las empresas pueden evitar cuantiosas sanciones por parte de las autoridades competentes, ya que el desconocimiento es muchas veces el origen de filtraciones de datos o de tratamientos inadecuados. Son los empleados y trabajadores quienes entran en contacto, regularmente, con datos personales en el desarrollo de sus funciones, de ahí la importancia de que sean informados y formados de cómo tratar los datos, qué herramientas deben tener en cuenta para prevenir una brecha de seguridad o, en su caso, cómo reaccionar ante un incidente en la seguridad de estos datos.

La formación de los empleados demuestra la diligencia y  la proactividad de la empresa ante la Agencia Española de Protección de Datos (AEPD), en materia de cumplimiento del RGPD así como de la toma de medidas y garantías para minimizar posibles riesgos. En consecuencia, ante una posible inspección por parte de la AEPD, por una violación de la protección de datos, esta actuación repercutirá en la cuantía de la potencial sanción económica, pudiendo mitigar su importe.