La normativa para la gestoría tiene una doble perspectiva. Por un lado, custodian, controlan y procesan los datos personales de sus clientes y empleados y, por tanto, son responsables del tratamiento. Por otro lado, funcionan como encargados del tratamiento para sus clientes cuando se encargan de la gestión de diferentes aspectos de su negocio (fiscal, contable, recursos humanos, etc.).
Como responsables del tratamiento
Cuando la gestoría opera como responsable del tratamiento, debe cumplir con estas obligaciones:
- Realizar un Registro de actividades de tratamiento.
- Elaborar un análisis de riesgos.
- Realizar una Evaluación de impacto, si procede.
- Elaborar los contratos con terceros.
- Elaborar los textos legales en la página web.
- Solicitar el consentimiento a los clientes.
- Facilitar los derechos de los usuarios.
- Firmar los contratos de confidencialidad con los empleados.
- Nombrar un DPD, si procede.
Como encargados del tratamiento
Como encargados del tratamiento, las gestorías tienen las siguientes obligaciones:
- Seguir las indicaciones del responsable del tratamiento.
- Respetar el deber de confidencialidad.
- Adoptar las medidas de seguridad pertinentes para garantizar la seguridad de los datos.
- Establecer el régimen de subcontratación.
- Facilitar el ejercicio de los derechos.
- Colaborar con el responsable del tratamiento para el cumplimiento de sus obligaciones.
- Proceder según lo pactado en el contrato con el responsable en lo que respecta al destino de los datos una vez que ha finalizado la prestación del servicio.
Si la gestoría tramita incapacidades de clientes…
Los datos relativos a la salud sí son de categorías especiales y tienen una protección mayor. Esto obliga a realizar una evaluación de impacto cuando se vaya a realizar un nuevo tratamiento de datos y establecer las medidas de seguridad adecuadas y efectivas para garantizar su integridad y custodia.
Evaluación de Impacto
Todos los tratamientos de datos implican cierto nivel de riesgo. Pero si del análisis de riesgos se desprende que el riesgo para los derechos y libertades de los interesados es alto, especialmente porque afecta a categorías de datos especiales, será obligatorio realizar una evaluación de impacto de protección de datos (EIPD).
¿Necesita tu gestoría un DPO?
Aplicando lo mismo que respecto a la EIPD y el registro de actividades de tratamiento, es posible que las asesorías y gestorías tengan que designar a un DPO.
