Las infracciones a la Ley de Protección de Datos Personales pueden originar multas de hasta 430,000 soles
¿Alguna vez has contratado un servicio bancario y, tiempo después, ha recibido una llamada de otra empresa del mismo grupo económico tratando de venderte un seguro? Según la Autoridad Nacional de Protección de Datos Personales, los sectores financiero, de seguros y telecomunicaciones son los que más denuncias han recibido por infringir la Ley de Protección de Datos.
El uso de información personal sin consentimiento es solo una de las infracciones a esa ley. También se incumple la normativa al no tener adecuadas medidas de seguridad para proteger la información de un banco de datos personales, quebrar la obligación de la confidencialidad o no informar adecuadamente la condiciones del tratamiento de datos personales.
Las sanciones por no manejar adecuadamente los datos personales de clientes, proveedores o usuarios pueden sumar desde 0,5 UIT (2, 150 soles) a 100 UIT (430,000 soles).
Registro y cuidado de bancos de datos
«Velamos porque las entidades que albergan datos de las personas en sus servidores cumplan con una serie de medidas de seguridad que establece la ley y su reglamento: que haya trazabilidad (un registro de interacción, de quién hace cada operación en el sistema), que no estén habilitados los puertos USB, ambientes físicos especialmente reservados, entre otras acciones», señaló Eduardo Luna, director de la Autoridad Nacional de Protección de Datos Personales.
El registro del banco de datos personales es el primer paso. «Es el primer acercamiento de la entidad para ordenar cómo tienen los datos personales. Hay entidades que no saben qué tienen, para qué lo tienen, ni para qué lo usan porque a veces se piden datos por costumbre, edad, estado civil, y no los necesitan. Y uno de los principios de la ley es que solo se deben pedir los datos que realmente se necesitan», refiere María Gonzáles, directora de la Dirección de Protección de Datos Personales.
Filtración de datos sensibles
En enero de 2019, por ejemplo, un laboratorio fue sancionado por revelar la condición de VIH de un paciente a una compañía de viajes que, a su vez, fue sancionada por solicitar este tipo de pruebas para un puesto de trabajo que no guardaba relación con la condición señalada.
También existen otras situaciones, como cuando se filtra información sensible debido a vulnerabilidades de seguridad de empresas como los casos ocurridos en el Perú con un banco y una cadena de cines.
Si la empresa sufre un ciberataque, la Autoridad investigará si la fuga de información fue ocasionada por negligencia y medidas de seguridad inadecuadas o no y, según la evaluación de los fiscalizadores, se iniciará un proceso sancionador.
Términos y condiciones de servicios en línea
Luna confirmó a la Agencia Andina que actualmente existe en curso un proceso contra la red social Facebook. Las grandes transnacionales como buscadores o redes sociales, así como aplicativos móviles, también pueden ser objeto de sanciones y multas, señala. Por el momento, no se puede revelar el origen de la investigación vigente.
El funcionario recomienda tener cuidado con los términos y condiciones que los usuarios aceptan en internet, como en el caso de la aplicación FaceApp que agrega efectos como envejecimiento a fotos.
«Lo que puede parecer un juego finalmente es una captación de datos biométricos de la persona», dice. El funcionario aseguró que el desarrollo de estas apps está disponible si la persona está informada sobre el procedimiento y acepta las condiciones de uso. «El problema viene cuando las políticas de privacidad no están claras o cuando esa finalidad no es explícita y no puede ser conocida por la persona que marca aceptar. Ahí entramos nosotros», agrega.
¿Cómo denunciar faltas a la Ley de Protección de Datos Personales?
Cualquier persona que haya constatado alguna contravención de la normativa de protección de datos personales puede denunciar el caso al correo electrónico [email protected] o descargando, a modo de guía, el formulario disponible en este enlace.
En los casos de tutela (cuando, por ejemplo, se desea que el nombre de la persona afectada no esté asociado a una noticia negativa disponible en internet o a ciertos resultados de una búsqueda en Google), se recomienda acercarse a la entidad involucrada o al medio de comunicación que publicó el contenido y solicitar el retiro de la información.
«La empresa tendrá que responder en un plazo de diez días. Si no responde o la respuesta no es satisfactoria, puede venir aquí», indica Gonzáles. Luego, la Autoridad realizará una evaluación de cada caso y determinará si lo solicitado es viable o no en el marco de la normativa vigente.
