Formación RGPD empleados: responder a peticiones reales

Una formación RGPD para empleados debe prepararlos para las situaciones reales. Eso incluye la solicitud de acceso recibida por teléfono, el llamante que reclama información sobre un tercero y la identidad que hay que verificar sin ofender. Respuesta corta: el empleado reconoce la solicitud, verifica la identidad de forma proporcionada, no da nada sobre un tercero y la transmite a la persona adecuada.

El reglamento no se juega solo en el departamento jurídico. Se juega en el mostrador, en la recepción, en el servicio de atención al cliente, en la conversación. Este artículo presenta las reglas útiles y después un método para entrenarlas en voz alta.

¿Qué debe saber un empleado del RGPD en su día a día?

Un empleado no necesita recitar el Reglamento (UE) 2016/679. Debe retener unas pocas referencias que activen el reflejo adecuado.

• Una solicitud de derecho de acceso puede llegar por cualquier vía. Por correo electrónico, carta, formulario, pero también de forma oral. El texto del artículo 12 no prevé ninguna formalidad particular.
• El plazo es corto. Según el artículo 12, apartado 3, el responsable del tratamiento responde como máximo en un mes desde la recepción. Este plazo puede prorrogarse dos meses más si la complejidad o el número de solicitudes lo exigen. En ese caso, debe informarse a la persona dentro del primer mes.
• La identidad se verifica en caso de duda. El artículo 12, apartado 6, permite pedir información adicional cuando existen dudas razonables sobre la identidad del solicitante.
• Los terceros están protegidos. El derecho a obtener una copia no debe afectar negativamente a los derechos y libertades de otros (artículo 15, apartado 4).

El reglamento encomienda además al delegado de protección de datos la sensibilización y la formación del personal (artículo 39, apartado 1, letra b). La formación de los empleados forma parte, pues, del gobierno de la organización.

¿Cómo reaccionar ante una solicitud de acceso recibida por teléfono?

La CNIL, la autoridad francesa de protección de datos, detalla en su web la respuesta a una solicitud de derecho de acceso, sin tratar específicamente el caso del teléfono. Menciona la solicitud presencial, la escrita y la electrónica. En lo oral, lo importante es no dejar que la solicitud se pierda.

Este es un esquema en cinco pasos.

1. Reconocer la solicitud. «Si lo he entendido bien, usted desea obtener una copia de los datos que tenemos sobre usted.»
2. Tomarla en cuenta. «La registro ahora mismo. Recibirá una respuesta en el plazo de un mes.»
3. Verificar la identidad de forma proporcionada. Véase la sección siguiente.
4. Orientar hacia el procedimiento interno. «Paso su solicitud al equipo encargado de estas peticiones, que se pondrá en contacto con usted.»
5. Dejar constancia. Fecha de la llamada, naturaleza de la solicitud, persona que la ha transmitido. El plazo se cuenta desde la recepción.

El empleado no comunica él mismo los datos por teléfono. Tampoco dice «no tenemos nada sobre usted» sin verificar. El circuito de respuesta corresponde al equipo designado, que conoce los sistemas y las excepciones.

Verificar la identidad de quien llama sin excederse

La CNIL recuerda que no es necesario pedir un documento de identidad por principio. La identidad puede acreditarse por cualquier medio, por ejemplo un número de cliente. En caso de duda razonable, es posible pedir un justificante. El nivel de verificación depende de la naturaleza de la solicitud y de la sensibilidad de los datos.

Por teléfono, el empleado no ve a su interlocutor y no siempre dispone de un espacio autenticado. Este contexto puede justificar una verificación más exigente para datos sensibles. Debe seguir siendo proporcionada, sin recoger más datos de los necesarios.

Frases utilizables:

«Para proteger sus datos, debo asegurarme de que hablo con la persona interesada. ¿Puede darme su número de cliente?»

«No puedo comunicar esa información por teléfono. Le devuelvo la llamada al número que figura en su expediente.»

La devolución de la llamada sigue la lógica explicada en el artículo sobre el procedimiento de devolución de llamada por un canal independiente. Las preguntas de verificación de identidad tienen sus límites: algunos datos son públicos. El artículo sobre la verificación de la identidad de quien llama los detalla.

¿Qué responder a quien llama y quiere información sobre otra persona?

Es la situación de mayor riesgo. Un cónyuge, un allegado, un «compañero de la persona», un supuesto servicio oficial piden una dirección, un número o una situación. La CNIL cita el ejemplo del cónyuge o del compañero al tratar la verificación de los derechos de terceros.

Un malintencionado puede utilizar este canal para preparar una estafa: cuantos más detalles obtiene sobre una persona, más creíble será la llamada siguiente. Imaginemos a un llamante que se presenta como el asesor de un cliente. Pide «solo» una fecha de nacimiento para «cerrar un expediente».

La respuesta cabe en tres frases.

«No puedo comunicar información sobre otra persona.»

«Si esa persona lo desea, puede ponerse en contacto con nosotros directamente.»

«Le indico el procedimiento para las solicitudes oficiales.»

El empleado no tiene que debatir ni explicar por qué se niega. Cuanto más se justifica, más agarradero da a la insistencia. Véase nuestro artículo sobre decir no por teléfono bajo presión.

Los errores frecuentes de los empleados

• Responder al instante por amabilidad. Dar una información «solo para echar una mano» es precisamente el caso que hay que evitar.
• Ignorar la solicitud por falta de formulario. Una solicitud oral existe. El plazo corre aunque nadie la haya anotado.
• Exigir sistemáticamente un documento de identidad. La CNIL indica que no es necesario sin duda razonable.
• Confirmar o negar que una persona es cliente. Incluso esa información revela un dato sobre un tercero.
• No comunicar una divulgación por error. Una información dada al interlocutor equivocado debe comunicarse de inmediato al servicio competente. Una violación de datos puede imponer una notificación a la autoridad de control en 72 horas, desde que el organismo tiene conocimiento de ella.

Entrenar a los empleados con el juego de rol

Saber que hay que verificar la identidad no dice cómo hacerlo en voz alta, ante alguien irritado. El e-learning transmite el marco. Deja de lado la incomodidad de la negativa, la tentación de ayudar y la insistencia de quien llama. Son, sin embargo, estas tres fuerzas las que hacen ceder. Nuestra página sobre las formaciones obligatorias de cumplimiento explica por qué este desfase es general. El artículo sobre la finalización y la competencia lo confirma.

Un escenario de práctica RGPD dura unos minutos. El personaje, interpretado por una IA, es un llamante con prisa que pide información sobre su antiguo socio. El formador regula su nivel de insistencia. El alumno debe negarse, orientar y no confirmar nada.

Con Face Up, los formadores escriben sus escenarios a partir de sus propios casos, ayudados por un asistente de diseño. El alumno habla, por voz o en vídeo. Su informe de evaluación indica los objetivos logrados, los puntos fuertes y los puntos a mejorar. Contiene también un plan de acción y citas. Puede volver a jugar.

Organizar el circuito interno para que el empleado no esté solo

Una formación lograda no basta si el empleado no sabe a quién transmitir. Antes de entrenar las conversaciones, compruebe que el circuito existe y que es conocido.

• Un punto de entrada identificado. Una dirección, un formulario o un contacto con nombre para las solicitudes de derechos.
• Una regla clara para lo oral. Quién anota la llamada, en qué herramienta, con qué información.
• Un mensaje tipo. Una frase de transmisión que cualquier empleado pueda decir sin improvisar.
• Un canal de comunicación de incidentes. Para notificar una información dada por error, sin miedo a ser sancionado.

El empleado en primera línea se siente entonces respaldado. Puede negarse con aplomo, porque sabe que lo que sigue está cubierto. El control de los derechos de terceros, la redacción de la respuesta y la eventual negativa motivada siguen siendo competencia del equipo designado.

Tabla para el informe de evaluación

• ¿Ha reconocido la solicitud de acceso y ha anunciado el plazo?
• ¿Ha verificado la identidad de forma proporcionada?
• ¿Ha rechazado toda información sobre un tercero, sin confirmarla ni negarla?
• ¿Ha orientado hacia el procedimiento interno?
• ¿Ha evitado justificarse largamente?
• ¿Ha pensado en dejar constancia de la llamada?

Preguntas frecuentes

¿Es válida una solicitud de acceso por teléfono?

El artículo 12 del RGPD no prevé ninguna formalidad particular para la solicitud. Lo más prudente es tratarla como recibida desde la llamada y dejar constancia. Su delegado de protección de datos puede fijar una regla interna, por ejemplo una confirmación por escrito.

¿Hay que pedir siempre un documento de identidad?

No. Según la CNIL, la identidad puede acreditarse por cualquier medio, y solo se pide un documento en caso de duda razonable. El nivel de control depende de la sensibilidad de los datos solicitados.

¿Cuál es el plazo de respuesta?

Un mes desde la recepción, según el artículo 12, apartado 3, prorrogable dos meses si la solicitud es compleja o numerosa. Debe informarse a la persona de la prórroga dentro del primer mes.

Para entrenar a sus equipos en estas conversaciones sobre sus casos reales, reserve una demostración. También puede leer nuestro artículo sobre la formación LCB-FT, que trata otra conversación sometida a una obligación reglamentaria.