¿Es obligatorio que los trabajadores realicen formaciones en materia de protección de datos?
Desde la llegada del Reglamento (UE) 679/2016 de Protección de Datos, las empresas deben de cumplir con las normativas de protección de datos y al mismo tiempo garantizar que sus trabajadores estén preparados para enfrentarse a posibles riesgos en materia de protección de datos. Pero surge la duda: ¿es obligatorio que los trabajadores reciban formación en protección de datos? Desde Bufete Escura queremos aclarar sobre esta cuestión que nos plantean a menudo nuestros clientes.
La respuesta corta es no, no hay una obligación expresa en el Reglamento General de Protección de Datos (RGPD) ni en la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que diga textualmente «toda empresa debe formar a sus empleados en esta materia». Sin embargo, como suele pasar en el ámbito legal, la cosa no es tan sencilla.
En el RGPD establece que las empresas deben actuar de forma proactiva adoptando medidas técnicas y organizativas adecuadas para garantizar el cumplimiento de la normativa (art.5 RGPD accountability). ¿Y qué incluye esto? Pues, entre otras cosas, asegurarse de que las personas que tratan datos personales –es decir, los trabajadores– sepan cómo hacerlo de forma correcta y segura.
Por lo contrario, si el personal no está formado y el simple envío de un correo electrónico sin el debido cifrado o el hecho de compartir información sensible en una plataforma no segura puede derivar a una brecha de seguridad. La Agencia Española de Protección de Datos (AEPD) no solo mirará si la empresa tenía un protocolo de brechas de seguridad, sino si realmente tomó medidas efectivas para evitarlo. Y aquí, la falta de formación a los trabajadores de la empresa puede ser un punto débil para la empresa.
De esta manera, aunque no haya una norma que diga expresamente “formación obligatoria si o si” es una medidas prácticamente necesaria e imprescindible y cumplir con el RGPD y la LOPDGDD. Además, no olvidemos que las sanciones por incumplimiento pueden llegar a ser millonarias (hasta 20 millones de euros o el 4% de la facturación anual global, según el RGPD).
Desde nuestra experiencia en el despacho, siempre recomendamos a las empresas que incluyan formación en protección de datos como parte de su estrategia de cumplimiento. No tiene que ser algo tedioso ni excesivamente técnico: basta con sesiones prácticas, adaptadas al día a día de los trabajadores, donde se explique cómo gestionar correos, identificar riesgos o responder a solicitudes de derechos de los interesados.
© La presente información es propiedad de Escura, abogados y economistas, quedando prohibida su reproducción sin permiso expreso.
