La mayoría de las pequeñas empresas tratan más datos personales de lo que creen: empleados y nóminas, clientes y facturas, un formulario de contacto en la web, una cámara en la entrada. El RGPD se aplica a todo ello, sea cual sea el tamaño del negocio, y Bulgaria añade algunas normas propias a través de su Ley de Protección de Datos Personales. La buena noticia es que, para una pequeña empresa típica, el cumplimiento se reduce a una lista corta.
Los documentos básicos
- Avisos de privacidad: uno para clientes y visitantes de la web y otro para empleados; qué recoge, para qué, con qué base jurídica, durante cuánto tiempo y quién lo recibe.
- Un registro de actividades de tratamiento. Las empresas de menos de 250 empleados solo están exentas si el tratamiento es ocasional, y las nóminas no lo son, así que casi todo empleador necesita al menos un registro breve.
- Contratos con los encargados del tratamiento: su gestoría o proveedor de nóminas, el soporte informático, los servicios en la nube y el alojamiento web, con las cláusulas que exige el artículo 28 del RGPD.
- Un calendario de conservación: cuánto tiempo se guarda cada categoría de datos y cuándo se suprime.
- Un procedimiento para brechas: quién decide, quién notifica a la KZLD y a los afectados y cómo se registran los incidentes.
Normas búlgaras además del RGPD
- Candidatos a un empleo. Los datos de los candidatos no seleccionados pueden conservarse como máximo seis meses desde el final del proceso, salvo que el candidato acepte un plazo mayor. Tampoco deben conservarse más allá de ese plazo las copias de los documentos que acreditan su cualificación.
- Copias de documentos de identidad. No puede copiar el documento de identidad o el pasaporte de un cliente o empleado, salvo que una ley lo prevea. Anote los datos que necesite en lugar de fotocopiar el documento.
- Control de los empleados. Los sistemas de control de acceso, registro de jornada y canales internos de denuncia necesitan normas internas que fijen su alcance y el uso de los datos, y la plantilla debe conocerlas.
- Menores. En los servicios en línea ofrecidos directamente a menores, el menor puede consentir a partir de los 14 años; por debajo de esa edad, debe consentir un progenitor o tutor.
- Otras leyes prevalecen. Según la Ley de Contabilidad búlgara, las nóminas se conservan 50 años y los registros contables y las cuentas anuales, 10. El RGPD no acorta esos plazos.
Videovigilancia
La videovigilancia de los locales de una empresa es habitual y lícita cuando tiene una finalidad clara —la seguridad de las personas y los bienes— y es proporcionada. Coloque carteles antes de que las personas entren en el campo de la cámara, no grabe nunca zonas como aseos y vestuarios, no grabe la calle ni a los vecinos más de lo necesario, conserve las grabaciones solo durante un tiempo limitado y restrinja quién puede verlas. Si se graba a empleados, regúlelo en las normas internas.
Web y cookies
Las cookies analíticas y publicitarias requieren el consentimiento previo del visitante; las estrictamente necesarias, no. Los formularios de contacto deben enlazar al aviso de privacidad y pedir solo lo necesario. Si sus herramientas envían datos fuera del Espacio Económico Europeo —como hacen muchos servicios estadounidenses—, compruebe la base de la transferencia, como el Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo.
Cuando algo sale mal
Contener
Detenga la fuga: cambie contraseñas, recupere el correo, bloquee la cuenta.
Evaluar
Qué datos, cuántas personas y qué riesgo para ellas.
Notificar
Si hay riesgo para los derechos de las personas, notifique a la KZLD en 72 horas; si el riesgo es alto, informe también a los afectados.
Registrar
Anote cada brecha, incluidas las que decidió no notificar, con su razonamiento.
Preguntas de nuestros clientes
¿Necesitamos un delegado de protección de datos?
Normalmente no. El delegado es obligatorio para los organismos públicos y para las organizaciones cuya actividad principal consista en la observación de personas a gran escala o en el tratamiento a gran escala de datos sensibles, como los de salud. Una pequeña empresa comercial o de servicios rara vez cumple esos criterios, pero alguien debe seguir siendo responsable de la protección de datos. Nuestra área de protección de datos puede valorarlo para su negocio.
¿Podemos pedir sin más a los empleados que consientan todo?
No. El consentimiento entre empresa y empleado rara vez es libre, así que es una base jurídica débil. La mayor parte del tratamiento de personal se basa en el contrato de trabajo y en obligaciones legales; el consentimiento es para cosas de verdad opcionales, como las fotos de la plantilla en la web.
Las nóminas las lleva una gestoría. ¿Quién es responsable?
Usted, como responsable del tratamiento. La gestoría trata los datos siguiendo sus instrucciones, así que necesita un contrato de encargo con ella y debe comprobar que protege bien los datos. Cuando contrate a su primer empleado, déjelo resuelto desde el principio.
Este contenido es información general sobre el derecho búlgaro y no constituye asesoramiento jurídico para un caso concreto. Los términos desconocidos se explican en nuestro glosario.
