¿Cómo afecta la accesibilidad digital al tratamiento de datos personales?

La accesibilidad digital ha dejado de ser únicamente una cuestión técnica para convertirse en un factor con impacto directo en la forma en que se tratan los datos personales.

Esta situación se produce cuando el tratamiento tiene lugar a través de interfaces digitales, como aplicaciones o plataformas web, documentación electrónica, herramientas SaaS, portales de empleados o intranets. En estos supuestos, puede existir una obligación legal de accesibilidad que conviene abordar desde el inicio de la relación contractual.

¿Qué son las directrices WCAG 2.1 AA y la norma UNE-EN 301 549?

En el marco de la accesibilidad digital existen dos referencias fundamentales:

• Las directrices WCAG 2.1 AA establecen los niveles de cumplimiento definidos por las Directrices de Accesibilidad al Contenido Web. Así pues, estandarizan internacionalmente la accesibilidad web en relación con aspectos como el diseño, el contenido, la interacción o la navegación.
• La UNE-EN 301 549 es la norma europea de estandarización de la accesibilidad de productos y servicios TIC, aplicable tanto al sector público como, en muchos casos, al privado. Por tanto, su cumplimiento debe estar presente en sitios web, aplicaciones, documentos digitales o plataformas, entre otros.

¿Cuál es su impacto a nivel de protección de datos?

Las normas de accesibilidad digital producen un impacto en materia de protección de datos en lo relativo a los contratos con encargados de tratamiento, ya que cuando un proveedor trata datos personales mediante un sistema digital, este debe ser accesible. 

Cabe señalar que, según el artículo 28 del RGPD, el encargado de tratamiento debe ofrecer garantías suficientes en la aplicación de medidas técnicas y organizativas de cara a proteger los derechos de los interesados. 

¿Qué cláusulas pueden incluirse en el contrato de encargado de tratamiento?

En un contrato de encargado de tratamiento pueden incluirse una serie de cláusulas relacionadas con la accesibilidad digital. Dichas cláusulas, si bien no constituyen una obligación expresa del RGPD, forman parte de nuestras recomendaciones aplicadas desde un enfoque preventivo y una cultura de cumplimiento proactivo, y se resumen, esencialmente, en las siguientes.

Responsabilidad técnica del encargado

En el supuesto de que el tratamiento de datos por parte del encargado se ejecute a través de interfaces digitales, la accesibilidad puede tener una gran relevancia en cuanto a cómo se presta el servicio, especialmente a la hora de que el encargado de tratamiento garantice que las herramientas digitales utilizadas cumplen con los criterios de accesibilidad. 

Lo anterior incluye tanto las directrices WCAG 2.1 AA como la norma UNE-EN 301 549 en los supuestos en los que la normativa lo exija o cuando se haya establecido como requisito contractual por parte del responsable. Con una cláusula de garantía de accesibilidad aplicable al servicio se evitará el riesgo de que el responsable asuma, por sí solo, un incumplimiento que en realidad deriva de una plataforma de terceros o de que el proveedor alegue no estar en el ámbito de aplicación de la norma.

Mantenimiento, evolución y corrección

La accesibilidad no es un elemento estático. Por tanto, en el contrato de encargado de tratamiento puede resultar recomendable incluir la exigencia de aspectos como:

• Mantenimiento del nivel objetivo (AA) en las actualizaciones.
• Validaciones periódicas, a través de auditorías internas y externas.
• Corrección de barreras detectadas.

Penalizaciones o niveles de servicio (SLAs)

En los casos en los que la accesibilidad es una obligación legal, como en las Administraciones Públicas, conviene que el contrato de encargado de tratamiento prevea incumplimientos. Por ejemplo, un régimen de penalizaciones, resolución por incumplimiento material o el establecimiento de la obligación de aportar evidencias, como informes de auditoría.

Subencargados

Del mismo modo, podría ser beneficioso incluir una cláusula en la que se especifique que si el encargado de tratamiento utiliza terceros para la ejecución del contrato, los requisitos de accesibilidad serán igualmente exigibles a dichos subencargados.

¿Supone el incumplimiento de los criterios de accesibilidad una vulneración del RGPD?

La accesibilidad digital no es una exigencia regulada de forma expresa en el RGPD; sin embargo, está estrechamente relacionada con principios que sí se regulan en él. Por eso, tener en cuenta la accesibilidad digital como requisito complementario al RGPD constituye una mayor garantía de cumplimiento de la normativa vigente de protección de datos.

En particular, se debe destacar la privacidad desde el diseño y por defecto (privacy by design), ya que, por ejemplo, si en el diseño de una interfaz un interesado no puede ejercer sus derechos por falta de accesibilidad, existirán riesgos legales tanto para el responsable de tratamiento como para el encargado. Otro ejemplo de incumplimiento del RGPD podría darse si, en dicho diseño, no se previera que una persona con discapacidad pueda acceder a información sobre sus derechos en materia de privacidad.

Los aspectos señalados se encuentran del mismo modo relacionados con la obligación de información al interesado y con la transparencia, regulados en los artículos 12 a 14 del RGPD.

En Daxia, nos preocupamos por el cumplimiento normativo de forma transversal. Acompañamos a nuestros clientes y aplicamos el enfoque preventivo orientado a la anticipación de riesgos contractuales y reputacionales en un entorno normativo cada vez más exigente.