Startups son empresas emergentes que, dependiendo del caso quedará incluida en alguna de las categorías de Pymes o incluso podría ser una gran empresa. Lo relevante en este concepto es que se trata de una empresa enfocada en el desarrollo de una idea innovadora.
Medidas técnicas y organizativas en startups
El responsable del tratamiento debe aplicarlas en cada caso:
- Aplicación de la política de protección de datos adoptada por el responsable del tratamiento. Se compone de diversos documentos que tienen por objeto los procedimientos a seguir y las medidas de seguridad a aplicar.
- Protección de datos desde el diseño y por defecto evaluando tanto los requisitos en materia de protección de datos (cuando se contratan servicios o se adquieren diferentes softwares). Y también adoptando medidas para garantizar el tratamiento lícito de los datos personales.
- Elegir únicamente a encargados del tratamiento con garantías suficientes.
- Registro de actividades del tratamiento.
- Seguridad del tratamiento.
- Notificación de violaciones de la seguridad de datos personales a la autoridad de control.
- Comunicación de violaciones de seguridad a los interesados, salvo que no sea necesario.
- Si el tratamiento de datos personales entraña un alto riesgo:
- realizar una evaluación de impacto
- evaluar el origen, la naturaleza, la particularidad y la gravedad del riesgo.
- si el resultado de la EIPD muestra un riesgo residual inaceptable debe realizar una consulta previa a la AEPD para verificar si es posible llevar a cabo este tratamiento.
- Designación del delegado de protección de datos, considerando la posibilidad de hacerlo de manera voluntaria y también la opción de que pueda ser sectorial o compartido con otras organizaciones.
Transferencia internacional de datos en startups
Debe asegurarse que, en caso de que se produzcan transferencias internacionales de datos, se llevan a cabo con garantías adecuadas conforme a los requisitos exigibles en virtud de la normativa aplicable.
Conservación y destrucción de los datos personales
Ha de garantizarse que los datos personales se conservan durante los plazos aplicables y, una vez transcurridos los mismos, los datos se destruyen o anonimizan de manera que se evite cualquier recuperación posterior de los mismos.
Revisión continua
Ha de atenderse a los riesgos y a los cambios en los mismos que puedan darse en todo momento en relación con el tratamiento de los datos personales.
Actualización
Se realizará conforme sea necesario en virtud de los resultados de la revisión continua, por cambios de la normativa.
Ciberseguridad
La ciberseguridad es también una cuestión esencial en relación con la protección de datos personales. Al respecto, el Instituto Nacional de Ciberseguridad (INCIBE) ofrece contenidos y herramientas dirigidas a este tipo de empresas accesibles a través del siguiente enlace. Estos contenidos pueden ser utilizados para el desarrollo de políticas, procedimientos y protocolos para el cumplimiento de la normativa.
Pidan presupuesto sin compromiso de implantación de la normativa vigente
