¿Qué es la LOPD y cómo afecta a un restaurante?

Ante un entorno cada vez más digitalizado, gestionar adecuadamente los datos personales se ha vuelto esencial para el funcionamiento de cualquier empresa de restauración. Debido al gran volumen de información que se recopila diariamente al desempeñar sus actividades. 

Es posible que ya estés familiarizado con la Ley Orgánica de Protección de Datos (LOPD), pero ¿realmente conoces en profundidad cómo afecta esta legislación a tu restaurante?

La verdad es que no existe sector que quede fuera del alcance de la aplicación de esta normativa, y por ende, el ámbito de aplicación de la LOPD en restauración también se ve implicado. 

“La presente ley orgánica se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”. Indica  la ley, en el artículo 2. Ámbito de aplicación.

A continuación, veremos un poco más sobre qué es esta ley, y cómo afecta al sector de restauración, y las formas de evitar posibles sanciones ante el incumplimiento de las normas.

¿Qué es la LOPD o Ley Orgánica de Protección de Datos?

Aunque muchos aún se refieren a la Ley de Protección de Datos como LOPD. Lo cierto es que el nombre completo de la ley actual es Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD). En este artículo utilizaremos las siglas LOPD y LOPDGDD indistintamente para referirnos a la ley actualmente entrada en vigor.

La ley tiene como objetivo adaptar la legislación Española a las regulaciones europeas, finalizadas por el Reglamento General de Protección de Datos (GDPR), con entrada en vigor en mayo de 2016. No obstante, se aplica desde el 25 de mayo de 2018 a todo el territorio europeo.

Al hablar de protección de datos en España, la ley LOPDGDD, establece los requisitos y responsabilidades para la protección de datos en las empresas y cómo proceder con la información personal bajo su custodia. De esta manera, es posible prevenir que los datos personales de clientes y usuarios se usen para violar su privacidad y otros derechos y libertades fundamentales.

Podría interesarle: El Parlamento Europeo prevé aprobar una ley para defenderse de los ciberataques en 2024

Es importante mencionar que el propósito de esta Ley es hacer que las empresas y organizaciones tengan un mayor compromiso respecto al tratamiento de datos personales y archivos recibidos de los usuarios y su protección.

¿A qué se considera datos personales?

Según la página oficial de la Unión Europea. “Los datos personales son cualquier información relacionada con una persona identificada o identificable. Como por ejemplo: nombre y apellidos, dirección, número de documento de identidad/pasaporte, ingresos, perfil cultural, dirección de protocolo internet (IP) datos en poder de hospitales o médicos (que identifican únicamente a una persona con fines sanitarios)”.

Hay datos que se consideran de menor riesgo, como el correo electrónico o el nombre de la persona; sin embargo, hay otros datos confidenciales de alto riesgo, como los datos sensibles relacionados con la salud o la religión.

Sin embargo, los datos que no permitan identificar a una persona no se considerarán datos de carácter personal. Por ejemplo, manuales de maquinaria, pronósticos meteorológicos o datos que se han vuelto anónimos y ya no se pueden vincular a nadie.

Diferencias entre LOPD y RGPD

En España, existen dos normativas que regulan el tratamiento de datos personales:

El Reglamento General de Protección de Datos (RGPD): Es el marco legal europeo para la protección de datos y de obligado cumplimiento en toda la UE y el EEE (Espacio Económico Europeo).

La Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD o LOPD): Adapta el Reglamento europeo al ordenamiento jurídico español, si bien añade y desarrolla algunos aspectos que la norma europea deja a disposición de los Estados miembros.

¿Cómo afecta la LOPD a los restaurantes?

Entre las categorías que pueden verse directamente afectadas ante la normativa vigente estarían: 

• Datos personales de los clientes: para gestionar reservas o pedidos a domicilio, se requiere recoger el nombre y la dirección de los clientes, motivo por el cual es imperativo adherirse a las regulaciones de vulneración de protección de datos.
• Información del terminal (TPV): el uso de una terminal TPV recoge detalles sobre las transacciones efectuadas, tales como la fecha, el método de pago y los productos adquiridos.
• Datos de empleados y proveedores: la gestión de datos personales de proveedores y empleados constituye una gran responsabilidad. 
• Personal para puestos de trabajo: a la hora de realizar una selección de personal en el área de hostelería y/o restauración, es común que las personas entreguen currículums para los puestos ofertados; en este contexto, también se están manejando datos personales. Por lo tanto, es esencial proceder con cautela y responsabilidad en el manejo de dicha información.
• Datos obtenidos de redes sociales y plataformas en línea: es esencial obtener el consentimiento de las personas que suministran su información, como su dirección de correo electrónico, para recibir actualizaciones o noticias. Además, es crucial garantizar la eliminación adecuada de estos datos cuando así se requiera por parte del usuario.
• Imágenes o videos de las cámaras de seguridad: las grabaciones de las cámaras de seguridad se consideran datos personales. Por ende, si el establecimiento cuenta con un sistema de vigilancia, es obligatorio informar a clientes y empleados mediante señalizaciones adecuadas que indiquen la adaptación del sistema a la normativa aplicable.

El incumplimiento de la LOPD en el ámbito de restauración puede resultar en sanciones económicas significativas, – las veremos en el último punto de este artículo – que no solo impactarían tu economía, sino que también podrían perjudicar la reputación de tu establecimiento.

¿Cómo cumplir con la LOPD en un negocio de restauración? 

Para que la protección de datos en restaurantes sea correcta y puedas evitar enfrentarte a sanciones elevadas, puedes tomar en cuenta los siguientes aspectos:

Evaluación de riesgos

Antes de cualquier tratamiento de datos, se debe ejecutar una evaluación de riesgos, la cual permitirá identificar la probabilidad de ocurrencia del riesgo y el nivel de impacto que podría tener sobre los afectados. 

Lea también: LA AEPD impone la primera sanción por la utilización de patrones oscuros en el diseño de la interfaz de usuario de una página web para configurar las opciones de privacidad

Por ejemplo, en un restaurante, si mantenemos una lista de clientes frecuentes con sus respectivos datos para aplicar descuentos o promociones especiales. Y además, si esta – o cualquier otra – información sensible está almacenada en un ordenador accesible para cualquier empleado porque no se manejan con contraseña, existe el riesgo de exposición o robo de estos datos para fines no deseados, como envío de spam o intentos de fraude. 

Gracias a la evaluación de riesgos, conoceremos las posibilidades de que esto suceda y qué medidas son las más apropiadas para prevenirlo, como establecer una contraseña, limitar el acceso de empleados a la computadora o cifrar la lista.

Registro de actividades de tratamiento de datos

Si en tu establecimiento se manejan datos personales de forma sistemática o a gran escala, si se han instalado cámaras de seguridad, o si cuentas con más de 250 empleados, es obligatorio mantener un registro de actividades de tratamiento de datos. Su elaboración es el primer paso para cumplir con la normativa vigente en materia de privacidad y protección de datos

Este registro documenta la información concerniente a los tratamientos de datos personales que se llevan a cabo en un restaurante, y debe contener la siguiente información:

• Identificación del responsable y, si aplica, del encargado del tratamiento de datos y del Delegado de Protección de Datos (DPO).
• Objetivo del tratamiento.
• Fundamento jurídico del tratamiento.
• Categorías de datos personales e interesados descritos.
• Destinatarios de los datos, si los hay o se prevén.
• Transferencias internacionales de datos, en caso de que ocurran.
• Periodo previsto de retención de los datos.
• Medidas de seguridad implementadas descritas.

Dicho registro de actividades de procesamiento debe estar constantemente actualizado y debe estar a disposición de la Agencia Española de Protección de Datos (AEPD) para su inspección en caso de que sea requerido.

Auditorías periódicas

Cabe destacar que las auditorías de protección de datos no son obligatorias, pero son altamente recomendables. El RGPD establece la necesidad de poder evidenciar el cumplimiento con la normativa de protección de la información de datos, por lo tanto, realizar revisiones regulares de la aplicación de la ley en tu restaurante facilitará la demostración de conformidad tanto con el RGPD como con la LOPDGDD.

Dichas auditorías examinarán las medidas y estándares de seguridad implementados, así como la adecuada gestión de los datos, basándose en su propósito y fundamento legal. A partir de estas auditorías, se generará un informe que nos permitirá identificar áreas de mejora en nuestras medidas de seguridad o la necesidad de implementar nuevas estrategias. 

Sistemas de videovigilancia

Si cuentas con cámaras de vigilancia, debes saber que estos sistemas representan otra forma de tratamiento de datos personales, en este caso, las imágenes de los individuos, por lo que se requiere realizar un registro de actividades específico para este fin.

Además, es obligatorio informar acerca de la existencia de dichas cámaras mediante la colocación de señalizaciones visibles. De igual manera, se prohíbe la grabación de espacios públicos o propiedades ajenas; en otras palabras, los sistemas de videovigilancia de tu establecimiento hostelero deben estar dirigidos únicamente hacia el interior del mismo.

Obligaciones para página web

En el sector de restauración, el tener una página web es cada vez más habitual. Puesto que no solo sirve para promocionar el establecimiento, sino que también ante la digitalización actual, poder facilitar y gestionar reservas a través de ella.

Tener una página web implica cumplir también con la Ley de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSI-CE). Por lo que es necesario cumplir con los siguientes textos legales:

• Política de privacidad (para cumplir con el deber de informar).
• Política de cookies y aviso de cookies (para informar sobre el uso de cookies y recabar el consentimiento para su uso, respectivamente).
• Aviso legal (para informar sobre la titularidad del negocio y otros aspectos relacionados con ello).
• Adaptar al RGPD y la LOPD cualquier formulario web que uses para recabar datos.

¿Qué pasa si un restaurante incumple la LOPD?

No cumplir con esta Lehy en restauración puede suponer la imposición de sanciones por parte de la AEPD. Sanciones que dependerán de la gravedad de la infracción cometida, que pueden ser graves o muy graves. Por lo tanto, si tu empresa trata con información de carácter personal, te recomendamos estar al tanto de los cambios y consideraciones, y tomarlos muy en serio.

Tipos de sanciones

Una infracción menor: por ejemplo, implica no estar registrado en el archivo de datos de privacidad del Registro General de Protección de Datos. Esta infracción puede ser sancionada con una multa de entre 900 euros y 40,000 euros.

Una infracción grave: por ejemplo, puede consistir en procesar información personal sin el consentimiento del usuario. Esta infracción puede implicar una multa financiera de entre 40,001 euros y 300,000 euros.

Una infracción muy grave: un ejemplo de infracción muy grave para la LOPD, consistiría en recopilar información personal de manera fraudulenta y engañosa. Este tipo de infracción se sancionaría con multas desde 300.001€ hasta 20.000.000€ o el 4% de la facturación anual.

El conocimiento y cumplimiento de la LOPD es un proceso continuo que requiere de actualización y revisión constantes para protección de la información personal personales y garantías de derecho a la protección de digital.

Ahora que conoces lo básico de la LOPD y su cumplimiento, ¿estás listo para implementarla en tu negocio de restauración lo antes posible?

FUENTE: Restauración News. »¿Qué es la LOPD y cómo afecta a un restaurante?» 26/10/2023. (https://restauracionnews.com/2023/10/que-es-la-lopd-y-como-afecta-a-un-restaurante/).