La confidencialidad de datos es el principio que garantiza que los datos personales y otra información privada de la empresa no se hace pública o se divulga a terceros no autorizados.
En otras palabras, la confidencialidad de la información es uno de los principios de la seguridad de la información, que obliga a proteger la información intercambiada entre un emisor y un receptor frente a terceros no autorizados. Para ello, se deben adoptar las medidas de seguridad técnicas y organizativas que impidan que la información caiga en manos no autorizadas y, si lo hace, no se pueda conocer.
Garantizar la confidencialidad de los datos de sus clientes es una de las principales obligaciones legales para las empresas en materia de protección de datos. En las siguientes líneas explicamos cómo cumplir con el deber de confidencialidad en la empresa.
En este artículo hablamos de:
¿Qué datos se consideran datos confidenciales?
Se consideran datos confidenciales en una empresa:
- Datos personales de empleados, clientes, directivos y cualquier persona física de la que se posean datos en la empresa. Están protegidos, además, por la Ley de Protección de Datos y el derecho a la confidencialidad (o derecho a la privacidad), del que hablaremos más adelante.
- Contratos laborales.
- Acuerdos y negociaciones entre la empresa y sus clientes o socios, así como con sus proveedores o la administración. Esta confidencialidad se protege habitualmente a través de un acuerdo o contrato de confidencialidad.
- Know-how, patentes y proyectos en desarrollo.
Por lo tanto, cuando hablamos de garantizar la confidencialidad de la información, no solo nos referimos a cumplir con el deber de confidencialidad en protección de datos (que es lo que nos ocupa en el presente artículo sobre confidencialidad y protección de datos), sino a diferentes tipos de datos confidenciales más allá de los personales de los clientes o empleados, puesto que también abarcan los datos confidenciales de una empresa.
Cabe señalar que el concepto de confidencialidad de los datos se contrapone al de datos de acceso público, que son aquellos a los que se puede acceder libremente. Así, y en el contexto de la protección de datos, para proteger los datos personales de mis clientes es fundamental garantizar su confidencialidad.
El principio de confidencialidad de la información
El principio de confidencialidad de la información, recogido tanto el RGPD como en la LOPDGDD, establece la obligación de responsables y encargados del tratamiento de proteger la información personal que manejan en el desempeño de su actividad de accesos y divulgación a terceros no autorizados.
El artículo 5.1.f) del RGPD señala que los datos personales han de ser tratados de tal manera que se garantice una seguridad adecuada, lo que incluye tratamientos no autorizados o ilícitos, la pérdida de información, robo o destrucción accidental. La Ley señala que se han de adoptar las medidas técnicas y organizativas necesarias para garantizar la integridad y confidencialidad de la información.
Por su parte, el artículo 5 de la LOPDGDD señala que están sujetos al deber de confidencialidad tanto los responsables como los encargados del tratamiento, así como cualquier persona que intervenga en cualquiera de las fases de intercambio de información (lo que también determina cuándo puede una empresa dar mis datos a otra).
La LOPDGDD indica que se trata de un deber complementario al deber de secreto y que las obligaciones establecidas se mantendrán incluso cuando haya finalizado la relación entre los responsables o encargados del tratamiento y la persona física o jurídica que cede los datos.
Asimismo, la normativa exige que la confidencialidad de la información se adecue al principio de interés legítimo. A su vez, el tratamiento de datos se ha de realizar de forma proporcionada y de manera que se garantice la seguridad de la información y de la red.
No cumplir con el principio de confidencialidad de la información y divulgar o permitir el acceso a datos personales a terceros no autorizados o sin legitimidad para ello, supone incurrir en una infracción de la normativa de protección de datos, por la que la empresa puede ser sancionada económicamente.
Así mismo, si un empleado no cumple con el deber de confidencialidad, puede suponer una amonestación por parte de la empresa o incluso perder el puesto de trabajo (dentro del régimen disciplinario de la empresa, la revelación de información confidencial a terceros, especialmente si se trata de la competencia, podría castigarse con el despido).
Ejemplos de confidencialidad de la información
Para ilustrar el contenido de este artículo y ver cómo aplicar el principio de confidencialidad para garantizar la privacidad de los datos, vamos a ver tres ejemplos de confidencialidad de los datos en diferentes situaciones:
- Datos con fines estadísticos: La ley de confidencialidad de datos señala que el tratamiento de datos con fines estadísticos debe realizarse adoptando las medidas adecuadas para salvaguardar los derechos y libertades de los interesados, así como la confidencialidad estadística. Dicho de otro modo, se puede tratar la información con fines estadísticos, siempre y cuando los individuos objeto del estudio no sean identificables y se asegure su anonimato. Tienes más información en nuestro artículo sobre la confidencialidad en cuestionarios.
- Datos relativos a la salud: Del mismo modo, la Directiva 17ª de la LOPDGDD indica que los datos tratados con fines de investigación en el ámbito de la salud deberán exigir un compromiso de confidencialidad y la seguridad de que no se va a realizar ninguna actividad de reidentificación. Hay que tener en cuenta que los datos personales relativos a la salud están considerados como datos especialmente sensibles, por lo que el principio de confidencialidad cobra especial importancia.
- Datos en procesos judiciales: Existen casos en los que se puede anular la obligación de confidencialidad de la información. Por ejemplo, cuando dicha información sea requerida por las autoridades en un proceso judicial para el ejercicio de sus funciones. En este sentido, el acceso a la información personal ha de ser pertinente y proporcionada.
Así mismo, son ejemplos de información confidencial:
- Los números de tarjeta bancaria de los clientes.
- La historia clínica de una persona.
- La contraseña de las cuentas de usuario.
- La patente de una empresa.
¿Cómo asegurar la confidencialidad de los datos en la empresa?
Para asegurar la confidencialidad de los datos en la empresa, se requieren implantar y aplicar medidas técnicas y organizativas que impidan el acceso de terceros no autorizados a la información confidencial. Medidas como, por ejemplo:
- Establecer controles de acceso físicos (entradas a las instalaciones y diferentes departamentos, si es necesario) y controles de acceso lógico (cuentas de usuario y contraseñas).
- Crear roles para limitar el acceso a la información confidencial solo a aquellas personas que necesiten trabajar con ella.
- Cifrar la información, de manera que en caso de una filtración, esta no pueda ser accedida sin la correspondiente clave.
- Establecer protocolos de seguridad de la información y usar herramientas para evitar accesos no autorizados o exfiltración de la información (antivirus, firewall, sistemas de detección de intrusiones, monitorización de la red, seguridad endpoint, etc.).
- Firma de acuerdos de confidencialidad.
- Formar y concienciar a los empleados y directivos sobre la importancia de la confidencialidad de la información y las medidas que deben adoptar para mantenerla.
El Delegado Protección de Datos y el deber de confidencialidad
El Delegado de Protección de Datos tiene derechos especiales en los que se refiere a la confidencialidad de los datos de los clientes.
Por un lado, esta figura también está obligada a cumplir con el deber de confidencialidad o secreto durante el ejercicio de sus funciones.
Sin embargo, el DPO también tendrá acceso a aquellos datos personales y procesos del tratamiento, aunque sean de carácter confidencial. El responsable o encargado del tratamiento no se podrá oponer al acceso de dicha información por parte del DPO, aunque esté sujeta al principio de confidencialidad.
Es decir, el DPO puede acceder a información confidencial de los clientes, sin que el responsable o encargado del tratamiento puedan evitarlo, pero a su vez debe guardar secreto sobre la información confidencial a la que haya tenido acceso.
En definitiva, la confidencialidad de los datos es uno de los principios de la seguridad de la información y, en lo que respecta a la protección de datos, una obligación y un deber que deben cumplir responsables y encargados del tratamiento, así como cualquier personal a su cargo que tenga acceso a los datos personales de los clientes. La confidencialidad de los datos es fundamental para garantizar la privacidad, seguridad e integridad de la información.