Cuando hablamos de protección de datos personales, es habitual pensar en ciberseguridad, contraseñas, correos electrónicos, bases de datos o sistemas informáticos. Sin embargo, la privacidad también puede verse comprometida en situaciones mucho más cotidianas y analógicas.
Una conversación mantenida en voz alta en un mostrador, una pantalla que puede ser vista por otras personas o una llamada por el nombre completo en una sala de espera pueden revelar información personal sin que exista ningún ataque informático ni una brecha de seguridad digital.
La privacidad, por tanto, no termina en la pantalla. También debe protegerse en salas de espera, consultas, oficinas, mostradores de atención al público y cualquier espacio físico en el que se traten datos personales.
La protección de datos también existe fuera del entorno digital
El Reglamento General de Protección de Datos (RGPD) no limita su aplicación a los tratamientos realizados mediante sistemas informáticos. El concepto de dato personal es amplio y comprende cualquier información relativa a una persona física identificada o identificable.
Del mismo modo, un tratamiento de datos no tiene por qué producirse exclusivamente a través de un programa informático. La información puede transmitirse mediante una conversación, un documento, una pantalla, un listado o incluso mediante la propia organización física de un espacio.
Esto significa que confirmar en voz alta una determinada enfermedad, comentar la situación económica de una persona delante de terceros o dejar visible documentación con información personal son situaciones que pueden comprometer la confidencialidad.
El problema puede ser especialmente relevante cuando se manejan datos de salud, información económica, circunstancias familiares, datos laborales o cualquier otra información que pueda afectar a la intimidad de las personas.
Una sala de espera también puede convertirse en un riesgo para la privacidad
La forma en la que está organizada una oficina o un punto de atención puede determinar hasta qué punto los datos personales quedan expuestos.
Por ejemplo, llamar a una persona utilizando su nombre completo delante de otras personas, mantener una conversación sobre su situación personal en un mostrador abierto o colocar una pantalla de manera que pueda ser observada por quienes esperan pueden generar una exposición innecesaria de información.
También puede ocurrir que la distancia entre los puestos de atención sea insuficiente, que no existan espacios reservados para conversaciones sensibles o que el personal tenga que elevar la voz para poder comunicarse correctamente.
Son situaciones que pueden parecer menores, pero que adquieren especial importancia cuando afectan a información especialmente sensible o a personas en situación de vulnerabilidad.
La privacidad debe protegerse desde el diseño
Uno de los principios fundamentales del RGPD es la protección de datos desde el diseño y por defecto, recogida en su artículo 25. Este principio suele asociarse a aplicaciones, páginas web, bases de datos o sistemas tecnológicos, pero su lógica puede aplicarse también a los espacios físicos.
Si una organización sabe que en un determinado puesto se van a tratar datos personales, debería plantearse desde el principio cómo evitar que esa información pueda ser escuchada, vista o conocida por personas que no necesitan acceder a ella.
Esto implica que la privacidad debe formar parte de la planificación de los procesos y no convertirse en una medida que se adopta únicamente después de que se produzca un incidente o una reclamación.
¿Tu organización protege correctamente los datos personales?
Una correcta adaptación al RGPD no consiste únicamente en disponer de documentos y políticas de privacidad. También implica analizar cómo se recogen, utilizan, comunican y almacenan los datos en las actividades cotidianas de la organización.
Solicita una auditoría de protección de datos y descubre qué aspectos pueden mejorarse para reducir los riesgos y reforzar el cumplimiento del RGPD.
Qué medidas pueden reducir la exposición de datos personales
La protección de la privacidad en espacios físicos no requiere necesariamente grandes inversiones o reformas. En muchos casos, pequeños cambios organizativos pueden reducir considerablemente el riesgo.
Una primera medida consiste en revisar la forma en que se identifica a las personas cuando esperan ser atendidas. En determinadas situaciones puede resultar más adecuado utilizar números de turno, códigos u otros sistemas que eviten revelar innecesariamente la identidad de quienes esperan.
También es recomendable disponer de espacios reservados para aquellas conversaciones que puedan contener información sensible. Esto puede ser especialmente importante en sectores como la sanidad, los servicios sociales, la asesoría laboral, la atención jurídica o los servicios financieros.
Otro aspecto fundamental es la formación del personal. Las personas que atienden al público deben conocer la importancia de mantener la confidencialidad y saber cómo actuar cuando una conversación puede implicar información personal que no debería ser escuchada por terceros.
La organización del mobiliario también puede contribuir a mejorar la privacidad. La orientación de las pantallas, la separación entre puestos, la utilización de elementos que impidan la visualización de documentos o la existencia de una distancia suficiente entre usuarios pueden marcar una diferencia importante.
La responsabilidad no termina en disponer de una política de privacidad
Uno de los errores más habituales en materia de protección de datos es considerar que el cumplimiento se limita a disponer de cláusulas informativas, contratos, registros de actividades o políticas internas.
Estos elementos son importantes, pero deben formar parte de un sistema más amplio de responsabilidad proactiva. El responsable del tratamiento debe ser capaz de demostrar que ha identificado los riesgos asociados a sus tratamientos y que ha implantado medidas adecuadas para reducirlos.
En este contexto, la privacidad física también debería formar parte del análisis. ¿Quién puede escuchar una conversación? ¿Quién puede ver una pantalla? ¿Dónde se almacenan temporalmente los documentos? ¿Cómo se llama a los usuarios? ¿Existen espacios adecuados para tratar información especialmente sensible?
Responder a estas preguntas permite detectar situaciones de riesgo que pueden pasar inadvertidas cuando el análisis de protección de datos se centra exclusivamente en los sistemas tecnológicos.
Especial atención a los datos especialmente sensibles
No todas las situaciones tienen el mismo nivel de riesgo. La exposición accidental de información relacionada con la salud, discapacidad, situación económica, circunstancias familiares o determinadas condiciones personales puede tener consecuencias especialmente graves para la persona afectada.
Por este motivo, las organizaciones deberían prestar una atención especial a los procedimientos presenciales en los que se manejan este tipo de datos y valorar si existen alternativas que permitan reducir su exposición.
La privacidad adquiere todavía mayor importancia cuando las personas se encuentran en situaciones de vulnerabilidad. En estos casos, una organización debería evitar que el acceso a un servicio implique revelar públicamente circunstancias que forman parte de la esfera privada de la persona.
La privacidad también forma parte de la confianza
Proteger los datos personales no es únicamente una obligación jurídica. También es una cuestión de confianza y respeto hacia las personas.
Cuando alguien acude a un centro sanitario, una asesoría, una entidad financiera, una administración o cualquier otro servicio y tiene que explicar información personal delante de terceros, puede percibir que su intimidad no está suficientemente protegida.
Por el contrario, una organización que incorpora la privacidad a sus procesos transmite una mayor sensación de seguridad y profesionalidad.
La protección de datos debe entenderse, por tanto, como un concepto transversal que abarca tanto las herramientas digitales como los procedimientos, las instalaciones y la actuación diaria de las personas que intervienen en el tratamiento.
La privacidad empieza antes de introducir un dato en un ordenador
Una de las principales enseñanzas que podemos extraer de este tipo de situaciones es que la seguridad y la privacidad de la información comienzan en el momento en que se produce la interacción con la persona.
Antes de que un dato sea registrado en una base de datos, puede haber sido pronunciado en voz alta, mostrado en una pantalla o escrito en un documento que otra persona ha podido consultar.
Por eso, la adaptación al RGPD debe contemplar también estos escenarios. Una organización realmente comprometida con la privacidad debe analizar todo el ciclo del tratamiento, desde la recogida de la información hasta su conservación, utilización y eliminación.
Proteger los datos también significa proteger los espacios
La protección de datos no termina cuando cerramos un navegador o bloqueamos la pantalla del ordenador. La privacidad también se puede perder en una sala de espera, en un mostrador o durante una conversación presencial.
Evitar estas situaciones requiere combinar medidas organizativas, formación, procedimientos adecuados y un diseño de los espacios que tenga en cuenta la confidencialidad.
La aplicación efectiva del RGPD exige ir más allá de la documentación y analizar cómo se tratan realmente los datos en el día a día. Porque una organización puede contar con sistemas informáticos seguros y, al mismo tiempo, estar exponiendo información personal en su propia recepción.
Haz de la privacidad una parte real de tu organización
En FORLOPD te ayudamos a identificar riesgos, adaptar tus tratamientos al RGPD y establecer las medidas necesarias para proteger los datos personales tanto en el entorno digital como en los procesos cotidianos.
Contacta con nosotros y solicita asesoramiento en protección de datos.
Fuente: Laboratorio AEPD
