018 | Protección de datos personales: Guía breve sobre la Ley 152‑FZ para empresas

En el mundo digital moderno, los datos no son solo información, son una responsabilidad.
La Ley Federal Nº 152-ФЗ “Sobre los datos personales” es la piedra angular de la legislación rusa en este ámbito.
Obliga a toda empresa y a los empresarios individuales que trabajen con datos personales a cumplir estrictas normas.

Ignorar estas normas puede acarrear multas severas 💸 y pérdidas reputacionales 🚫.

¿Qué es la 152-ФЗ y para qué sirve? ❓

La Ley Federal Nº 152-ФЗ “Sobre los datos personales” regula las relaciones relacionadas con el tratamiento (recopilación, almacenamiento, uso, transferencia, etc.) de los datos personales de las personas físicas.

Su objetivo principal es la protección de los derechos y libertades de la persona y del ciudadano en el tratamiento de sus datos personales, incluido el derecho a la intimidad, al secreto personal y familiar. 🏠

👉 En pocas palabras:
Si usted recopila, almacena o utiliza cualquier información sobre personas (nombre completo, teléfono, correo electrónico, dirección, fecha de nacimiento, etc.), está obligado a hacerlo de acuerdo con esta ley.

¿Quién es el “operador” y a quién afecta la ley? 👩‍💻

La ley afecta a prácticamente todos los que tratan datos personales.

Usted es un operador de datos personales si:

• tiene un sitio web con un formulario de contacto donde los usuarios dejan sus nombres y correo electrónico;
• recopila números de teléfono de clientes para envíos o llamadas;
• tiene empleados y lleva su registro de personal (apellido, nombre, patronímico, datos del pasaporte, ИНН, СНИЛС);
• mantiene una base de datos de clientes o proveedores;
• utiliza un sistema CRM donde se almacena información sobre sus clientes.

Incluso si su negocio es muy pequeño, y usted es el único empleado, pero recopila contactos a través de su sitio web, ya entra en el ámbito de aplicación de la 152-ФЗ.

Requisitos clave y principios de la 152-ФЗ 🏛️

La ley se basa en varios principios fundamentales:

• Legalidad y equidad
  El tratamiento de los datos debe ser legal y no debe violar los derechos del sujeto de los datos.

• Obtención del consentimiento
  En la mayoría de los casos debe obtener el consentimiento del sujeto de los datos personales para su tratamiento.
  El consentimiento debe ser concreto, informado y consciente (a menudo es una casilla en el formulario).

• Finalidad del tratamiento
  Debe definir claramente para qué finalidad concreta se recopilan los datos.
  No se pueden recopilar datos “por si acaso”.

• Minimización de datos
  Recopile solo los datos que sean necesarios para la finalidad declarada.
  Por ejemplo, si hace envíos, probablemente no necesite el número de pasaporte del cliente.

• Exactitud y actualidad
  Los datos deben ser exactos y actuales.

• Limitación del almacenamiento
  Almacene los datos no más tiempo del necesario para las finalidades de su tratamiento.
  Cuando la finalidad se haya alcanzado, los datos deben ser eliminados o anonimizados.

• Garantía de seguridad 🔐
  Debe adoptar las medidas legales, organizativas y técnicas necesarias para proteger los datos personales contra:

  • acceso no autorizado o accidental,
  • destrucción,
  • modificación,
  • bloqueo,
  • copia,
  • difusión.

  Esto incluye:

  • nombrar a un responsable del tratamiento de DP;
  • elaborar documentos internos (política de privacidad, normas sobre el tratamiento de DP);
  • usar canales de comunicación seguros (certificado SSL para el sitio);
  • restringir el acceso a los datos.

• Localización de los datos 🇷🇺
  ¡Punto muy importante!
  Los datos personales de los ciudadanos de la Federación de Rusia deben almacenarse y tratarse en el territorio de la Federación de Rusia.

  Esto significa que si utiliza un servicio en la nube o hosting, sus servidores deben estar en Rusia.

¿Qué se considera “datos personales”? 🤔

Los datos personales (DP) son cualquier información relacionada con una persona física directa o indirectamente identificada o identificable (sujeto de datos personales).

Ejemplos de DP:

• Apellido, nombre, patronímico
• Fecha y lugar de nacimiento
• Dirección de residencia
• Número de teléfono
• Dirección de correo electrónico
• Datos del pasaporte, ИНН, СНИЛС
• Lugar de trabajo, cargo
• Dirección IP (en determinados casos)
• Cookies (si permiten identificar al usuario)

Consecuencias de no cumplir la 152-ФЗ ⚠️

El incumplimiento de los requisitos de la 152-ФЗ puede acarrear:

• Sanciones administrativas 💸
  Multas significativas para personas jurídicas y empresarios individuales (hasta varios cientos de miles de rublos por cada infracción, y en caso de reincidencia — hasta millones).

• Bloqueo de recursos 🚫
  Por decisión judicial se puede bloquear el acceso al sitio o a sistemas de información.

• Responsabilidad penal
  En casos especialmente graves.

• Pérdidas reputacionales
  Una fuga de datos o el incumplimiento de la ley pueden minar la confianza de los clientes.

Pasos prácticos para pequeñas empresas y emprendedores 📝

¡No se asuste por la magnitud de la ley! 🚀
Comience con pasos básicos:

1. Determine qué DP recopila
   Haga un “inventario” de todos los datos sobre personas físicas.

2. Elabore una Política de privacidad
   Publíquela en su sitio.
   Debe ser clara y contener toda la información necesaria (finalidades, plazos, medidas de protección).

3. Obtenga el consentimiento
   Asegúrese de que en todos los formularios de recopilación de datos (contacto, suscripción, registro) haya una casilla:
   “Estoy de acuerdo con la Política de privacidad/el tratamiento de datos personales”
   ⚠️ No debe estar marcada por defecto.

4. Compruebe la localización
   Asegúrese de que su hosting, CRM y otros servicios donde se almacenan DP de ciudadanos de la RF estén en el territorio de Rusia.

5. Garantice la seguridad

   • Use certificados SSL para el sitio
   • Contraseñas seguras
   • Restringa el acceso a los datos solo a quienes lo necesiten

6. Notificación a Роскомнадзор
   Si trata DP, debe notificar a Роскомнадзор sobre el inicio de dicho tratamiento.
   Para las pequeñas empresas a menudo son adecuadas formas simplificadas de notificación. Consulte la sección “Situaciones tipo” en el sitio de Роскомнадзор.

Cumplir la 152-ФЗ no es un capricho, sino una obligación y una inversión en la seguridad de su negocio y en la confianza de los clientes. 🤝

Comience a implementar estos principios hoy, para asegurar un desarrollo estable y legal de su proyecto. 🚀