La protección de datos personales y fiscalización de empresas

La Autoridad Nacional de Protección de Datos Personales (ANPD) sancionó en marzo de este año a una empresa del rubro de seguros por no realizar un control diligente de las actividades del call center que contrató para el tratamiento de datos personales.

En el expediente 158-2020-JUS/DPDP-PAS, la autoridad concluyó que la empresa fiscalizada, pese ha haber contratado los servicios de un call center para contactar a potenciales afiliados, brindándole sus propias bases de datos, era la principal obligada para preservar la licitud del tratamiento de datos personales.

“Conforme a este criterio, era la empresa aseguradora quien debía ejercer diligentemente el control de las actividades del call center, especialmente cuando los usuarios mostraban su negativa a ser contactados”,explica Carol Quiroz, socia del Estudio Olaechea.

Por no atender ello, la ANPD impuso una multa de 24.75 UIT – aproximadamente, S/122,500 – a la aseguradora, que era la empresa responsable del tratamiento de datos. Se le llama así a la que decide sobre el fin y el uso del tratamiento de los datos personales, y que tiene la facultad de encargar a otra empresa – en este caso el call center – o a personas el tratamiento de dichos datos.

De acuerdo con Quiroz, el caso ha establecido un criterio de jurisprudencia sobre el principio de responsabilidad proactiva y demostrada para todas las empresas que contraten los servicios de proveedores para el tratamiento de datos.

“Las empresas responsables del tratamiento de datos personales tienen la obligación de realizar las acciones de control necesarias para que el encargado del tratamiento de datos y/o los terceros que este subcontrate cumplan con lo pactado y con las disposiciones legales y reglamentarias a lo largo de todo el proceso. Pero además de ello debe demostrar dicho control”, comentó.

Entre las acciones de control que las empresas pueden realizar, la experta citó, por ejemplo, instruir en cuanto a las formas de establecer contacto con clientes, establecer canales de atención para que los titulares de datos personales ejerzan sus derechos, exigir a los encargados la revisión de listas de consentimiento, o definir políticas institucionales de protección de datos o de seguridad de la información, entre otras.

“En especial, los responsables del tratamiento de datos personales deben demostrar que cuentan con la capacidad permanente de comprobar la obtención del consentimiento y, en caso de denegatoria, la actuación diligente que implica la restricción del tratamiento no consentido”, comentó.

Mayor fiscalización y multas más severas

Quiroz remarcó que a partir de este caso habrá una mayor fiscalización y multas más severas, las cuales oscilan entre 5 y 50 UIT, es decir, entre S/ 24,750 y S/ 247,500.

“Si el responsable del tratamiento de datos personales no ejerció diligentemente su rol de control sobre el encargado del tratamiento y/o los subcontratistas, deberá responder por la infracción. Por el contrario, si sustenta que ha realizado los controles correspondientes no le serán imputables los hechos ilícitos o dañosos”, remarcó.

La experta agregó que el encargado del tratamiento de datos o sus subcontratistas tendrán responsabilidad, en tanto hayan efectuado acciones distintas a las estipuladas en los respectivos contratos o en las capacitaciones realizadas.