Los despachos profesionales, tales como Notarios, como otras muchas empresas y negocios, también tratan con los datos personales de sus clientes, por lo que están obligados a cumplir con la normativa vigente. En esta guía vamos a explicar los aspectos y obligaciones fundamentales de la protección de datos para notarios.
- ¿Qué tipos de datos personales se tratan habitualmente en los despachos de notarios?
- Protección de datos para notarios
- Ventajas que consigue un notario que adapta su actividad a la normativa vigente
- Pasos para que un despacho de notarios cumpla adecuadamente con la protección de datos
- 1. Registro de actividades de tratamiento
- 2. Análisis de riesgos
- 3. Evaluación de impacto
- 4. Contratos con Encargados de tratamiento
- 5. Consentimiento de clientes
- 6. Acuerdos de confidencialidad de los empleados
- 7. Si tienes una Página web
- 8. Notificación de posibles violaciones de seguridad
- 9. Designación de un Delegado de Protección de Datos
- 10. Elaboración del documento de Seguridad
- Sanciones a las que se expone si no se ajusta debidamente a ley
- ¿Necesitas ayuda?
¿Qué tipos de datos personales se tratan habitualmente en los despachos de notarios?
Los despachos de notarios pueden tratar con una amplia variedad de datos personales de sus clientes, en función de la especialización o áreas sobre las que ofrezcan sus servicios.
Entre estos estarían: información de Testamentos, Herencias, Declaración de herederos abintestato, Capitulaciones matrimoniales, Bodas, separaciones y divorcios, Poderes, Actas, Compraventa de propiedades, Préstamos hipotecarios, Préstamos personales, Donaciones, Constitución de sociedades mercantiles, Pólizas, Protesto, Reclamación de deudas, Conciliaciones,..etc.
Alguna de estos datos están especialmente protegidos, tales como los datos penales de los clientes o afectados, así como los relativos a la salud, de orientación sexual, origen étnico, etc.
- Clientes
- Empleados
- Proveedores
- Contabilidad
- Videovigilancia, en su caso
- Expedientes de los clientes
- Candidatos
- Contacto Web y Redes Sociales
Por este motivo, es fundamental que los notarios cumplan con la Ley de Protección de Datos y observen todas las obligaciones recogidas en ella.
Protección de datos para notarios
Como hemos dicho, el Reglamento Europeo de Protección de datos es el reglamento europeo de protección de datos, creado para tener un marco legal armonizado en toda la UE y en el EEE (Espacio Económico Europeo).
El Reglamento Europeo de Protección de datos introdujo varias novedades, como el consentimiento expreso, el registro de actividades, el análisis de riesgo y la evaluación de impacto o la figura del Delegado de Protección de Datos (DPD), entre otras. Así como endureció el régimen sancionador, elevando las cuantías de las multas por infracciones en materia de protección de datos.
El RGPD también es el que estableció las dos categorías de datos personales actuales: generales y especialmente protegidos.
Ventajas que consigue un notario que adapta su actividad a la normativa vigente
Al cumplir con la normativa de protección de datos, un notario consigue las siguientes ventajas:
- Evitar recibir sanciones por parte de la Agencia Española de Protección de Datos
- Mejora en la reputación de su despacho
- Una mejor gestión de los flujos de información
Pasos para que un despacho de notarios cumpla adecuadamente con la protección de datos
Debes saber que para cumplir con la normativa vigente de protección de datos los despachos de notarios (y en realidad, cualquier empresa o profesional que trate con datos personales de otros) deben llevar a cabo una serie de actuaciones principales:
- Realizar un Registro de actividades de tratamiento
- Realizar un Análisis de riesgos
- Evaluación de Impacto
- Firmar los contratos con terceros
- Firmar las cláusulas legales con los empleados
- Solicitar el consentimiento a los clientes
- Incluir los textos legales en la página web
- Notificar brechas de seguridad
- Elaboración del documento de seguridad
Veamos en detalle algunas de estas actuaciones, para despejar todas tus dudas.
1. Registro de actividades de tratamiento
El Reglamento de protección de datos introdujo la obligación de elaborar un registro de actividades de tratamiento, donde se deben recoger todos los tratamientos de datos personales realizados por una entidad.
El registro de actividades de tratamiento debe ofrecer la siguiente información concisa, pero detallada:
- Nombre y datos de contacto del responsable del tratamiento y, en su caso, del encargado del tratamiento y del DPO
- Descripción de las categorías de datos personales e interesados
- Descripción de las categorías de destinatarios de los datos (existentes y previstos)
- Legitimación del tratamiento
- Plazos de conservación de los datos
- Descripción de las medidas de seguridad implantadas
- Fines del tratamiento
- Si se producirán transferencias internacionales de datos fuera de la UE
El registro de actividades de tratamiento es un documento interno, que siempre debe estar actualizado, y que puede mantenerse tanto en formato impreso como en formato digital. En caso de que la Agencia Española de Protección de Datos lo solicite, hay que facilitarlo.
2. Análisis de riesgos
La normativa de protección de datos obliga al despacho de notarios a llevar a cabo un análisis de riesgos.
Este análisis de riesgos debe realizarlo el responsable del tratamiento (que es el propio despacho de notarios) y sirve para evaluar los riesgos que pueden derivarse de los tratamientos de datos personales para los derechos y libertades de los interesados. Es decir, sirve para determinar las posibilidades de que una amenaza se materialice y el impacto negativo que pueda tener sobre los interesados.
De sus conclusiones, se pueden determinar las medidas o soluciones de seguridad que es necesario implantar para minimizar o eliminar la posibilidad de que ocurra el riesgo o, en caso de producirse, reducir su impacto y consecuencias.
3. Evaluación de impacto
Cuando del análisis de riesgos del punto anterior se concluye que puede existir un nivel de riesgo alto para los derechos y libertades de los interesados, es necesario realizar una evaluación de impacto.
La evaluación de impacto es un nuevo análisis de riesgos, pero más centrado en el impacto negativo que el tratamiento de datos personales puede tener sobre las libertades y derechos de los interesados. El objetivo sigue siendo minimizar las posibilidades de que un riesgo se materialice, para lo que se deberán determinar las medidas de seguridad que ayuden a ello y a garantizar la confidencialidad de la información.
4. Contratos con Encargados de tratamiento
Cuando se van a ceder datos de carácter personal a terceros, es necesario firmar un contrato de encargo de tratamiento. Esto ocurre, por ejemplo, cuando el notario recurre a un perito, y cuando se tiene contratado un servicio de prevención de riesgos laborales y vigilancia de la salud, puesto que tendrán acceso a datos personales de los empleados. También ocurre cuando se contrata externamente a una asesoría fiscal y laboral, para la gestión contable y las nóminas de los trabajadores.
Es necesario que por cada cesión de datos a terceros, el responsable del tratamiento firme un contrato con el encargado del tratamiento (en el primer ejemplo anterior, es el perito, si es un profesional por cuenta propia, o la empresa en la que trabaje).
En el contrato de encargo se especificarán todas las obligaciones en materia de protección de datos que debe contemplar el encargado del tratamiento.
5. Consentimiento de clientes
Para cumplir con la normativa de protección de datos, el notario o el despacho debe recabar siempre el consentimiento expreso de sus clientes para recabar y tratar sus datos personales.
Este consentimiento siempre debe darse mediante una acción afirmativa, puede ser la firma del documento en el que se informa sobre el tratamiento de sus datos o mediante un botón «acepto» en un formulario en línea, siempre que cuenta con un enlace a la información correspondiente sobre el tratamiento de los datos.
Cuando se solicite el consentimiento, se debe informar a los interesados de:
- Quién es el responsable del tratamiento
- Si sus datos se ceden a terceros
- Cómo y dónde ejercer sus derechos ARCO, de portabilidad y olvido
- Finalidad del tratamiento
6. Acuerdos de confidencialidad de los empleados
Con aquellos empleados, incluidos los pasantes, del despacho de notarios que puedan acceder a la información personal de los clientes, será necesario firmar un acuerdo de confidencialidad o incluir unas cláusulas de confidencialidad en sus concretos, para evitar que esa información sea revelada a personas no autorizadas. En él se establecerán las consecuencias de infringirlas.
Los empleados también deben cumplir las medidas de seguridad que se hayan establecido, para garantizar en el despacho de notarios la protección de los datos personales.
7. Si tienes una Página web
Si el despacho de notarios cuenta con página web, esta debe tener enlazados los correspondientes textos legales:
- Política de privacidad (es toda la información referente a la protección de datos):
- Existencia de un tratamiento de los datos que se están solicitando
- Finalidad
- Destinatario o destinatarios de aquella información
- Identidad y dirección del responsable del tratamiento de los datos
- Posibilidad de ejercer sus derechos
- Aviso legal (donde se identifica al propietario de la página web):
- Nombre del propietario
- NIF
- Dirección
- N.º de colegiado
- Política de cookies (se informa de las cookies que se generan en la web, su finalidad, duración y si pertenecen a terceros)
8. Notificación de posibles violaciones de seguridad
La actual normativa de protección de datos obliga a las entidades que hayan sufrido brechas de seguridad, a notificar a la autoridad competente de las mismas.
El plazo para comunicar las brechas de seguridad que pueda poner en riesgo los datos personales de sus clientes, tendrá un plazo de 72 horas máximo para informar a la Agencia Española de Protección de Datos. Además, también deberá notificar el hecho a todos los interesados cuyos datos hayan podido verse afectados.
No notificar de una brecha de seguridad que haya expuesto los datos personales de los usuarios, es motivo de sanción.
9. Designación de un Delegado de Protección de Datos
Con carácter general, un notario o despacho de notarios no va a necesitar contratar un DPD. Pero puede ser necesario que, si tratan un gran volumen de datos, tengan que designar a un profesional con la cualificación necesaria en esta materia para que salvaguarde los procesos y políticas internas del tratamiento de datos personales. Este profesional será el Delegado de Protección de Datos (DPD/DPO).
Además, para cumplir con el principio de información del RGPD, la designación del DPO y sus datos de contacto deben publicarse y comunicarse a la Agencia Española de Protección de Datos. El Delegado de Protección de Datos podrá ser tanto una persona en plantilla de la empresa como una externa y el cargo podrá ser desempeñado también por una empresa que ofrezca el servicio.
Hay que destacar que los Colegios profesionales, en este caso los Colegios de Notarios, sí tienen obligación de nombrar un Delegado de Protección de Datos.
10. Elaboración del documento de Seguridad
Nuestra entidad redactará un documento de seguridad, en el que se incluya toda la información aquí indicada en la guía. Es decir, las actividades de tratamiento, el análisis de riesgos, las evaluaciones de impacto, las medidas técnicas y organizativas, las cláusulas legales para los clientes, proveedores, trabajadores, páginas webs, los contratos con terceros, etc.
Sanciones a las que se expone si no se ajusta debidamente a ley
Los despachos de notarios que no se adapten de la manera debida a la normativa de protección de datos pueden enfrentar sanciones económicas importantes.
El RGPD contempla una sanción de hasta 10 millones de euros o el 2% de la facturación anual del despacho o profesional (la cuantía que sea mayor) para las infracciones graves.
Y una sanción de hasta 20 millones de euros o el 4% de la facturación anual para las infracciones muy graves.
La normativa española concreta un poco más, recogiendo en su articulado qué infracciones se consideran leves, graves y muy graves, pero la horquilla de cuantías para las sanciones en la LOPD es la misma que se recoge en el RGPD.
¿Necesitas ayuda?
Escríbenos a info@legalglobal.es
Más información de nuestros servicios en materia de la Ley Orgánica de Protección de Datos y de Garantía de Derechos Digitales (LOPDGDD): https://www.legalglobal.es/proteccion-de-datos/