VENEZUELA
1. OBJETIVO
El Código de Conducta global de Boehringer Ingelheim consagra el pleno respeto hacia la privacidad y los datos personales de todos los interesados, entre ellos, los colaboradores de Boehringer Ingelheim en Venezuela (en adelante, “BIVE”), los pacientes, los médicos, socios de negocio, y cualesquiera otros interesados. Además, BIVE sólo gestiona datos personales en aquellos casos en los que existe una necesidad empresarial específica y definida, y siempre lo hace cumpliendo con las leyes y regulaciones aplicables.
En este contexto, este procedimiento define el compromiso de BIVE de cumplir con las leyes y con la normativa interna en materia de protección de datos de carácter personal, y para ello define principios de actuación de cumplimiento obligatorio para todos los colaboradores, a efectos de gestionar adecuadamente los datos personales.
Es importante tener en cuenta que este procedimiento no regula la protección de la información. Aunque todo dato personal constituye siempre “información”, esta última categoría es más amplia, y existen normas internas que regulan cómo ésta se protege en BIVE.
2. ALCANCE
Este procedimiento se aplica a todas las empresas de Boehringer Ingelheim en Venezuela, y a todos sus colaboradores, en sentido amplio, tanto internos como externos.
3. RESPONSABILIDADES
3.1 Dirección:
Es responsabilidad de la Dirección de BIVE:
poner a disposición los medios organizativos y materiales necesarios que permitan asegurar el cumplimiento de la legislación y las normas internas de aplicación en esta materia y velar por el cumplimiento de este procedimiento.
3.2 Comité de Compliance
El Comité de Compliance es responsable de:
Aprobar las normas internas, en materia de protección de datos personales.
Designar a la persona que ocupa la posición del Data Protection Officer.
Decidir sobre el resultado de las investigaciones iniciadas en materia de posibles incumplimientos en esta materia.
3.3 Data Protection Officer
Es el responsable de la protección de datos y lidera la implementación del Programa de Compliance para el ámbito normativo de la “protección de datos personales”. Para este fin, impulsará el ciclo de vida del cumplimiento normativo:
Análisis de riesgos y controles:
Procurar que, periódicamente, los riesgos de cumplimiento en esta materia sean identificados, evaluados y gestionados de acuerdo con los procedimientos de BI a nivel global, regional y local.
Generación de normas internas:
Redactar los instructivos en la materia para la implementación de este procedimiento que contendrán los controles adecuados y asegurar que este procedimiento esté debidamente comunicado, publicado y actualizado.
Comunicación y formación:
Diseñar y ejecutar las acciones de formación y concienciación sobre esta materia y brindar asesoramiento.
Rendición de cuentas periódica y reporting a grupos de interés:
Rendir cuentas al Comité de Compliance sobre la implementación del Programa de Compliance en los aspectos de protección de datos personales.
Monitoreo y auditoría:
Monitorear el cumplimiento de lo dispuesto en este procedimiento y las normas de BI globales, regionales, y locales aplicables.
Liderar las auditorías e inspecciones focalizadas en protección de datos personales.
Gestión de incumplimientos:
Liderar las investigaciones internas sobre presuntos incumplimientos en materia de protección de datos personales;
Proponer al Comité de Compliance las acciones correctivas y preventivas que considere adecuadas.
3.4 Departamento de Tecnología de la Información
Es responsabilidad del Departamento de Tecnología de la Información, entre otras:
asegurar el establecimiento de medidas de seguridad necesarias y suficientes, aplicables a los sistemas de información y comunicación que den soporte a bases de datos o sistemas de tratamiento automatizados de datos personales;
listar y mantener actualizados los sistemas de aplicaciones, infraestructuras y equipos que contengan, transporten o accedan a datos de carácter personal.
3.5 Gerencia de Departamento
Es responsabilidad de la Gerencia de cada Departamento de BIVE:
asegurar el cumplimiento de las obligaciones establecidas en esta materia por parte de todos los colaboradores en su ámbito de responsabilidad;
asegurar que cualquier actividad del tratamiento en su ámbito de responsabilidad se gestiona de forma adecuada, siguiendo el procedimiento de desarrollo de este procedimiento;
asegurar que se revisa de forma periódica el registro de actividades del tratamiento de su Departamento, con arreglo a la norma(s) de desarrollo de este procedimiento.
3.6 Colaboradores
Es obligación de todo el personal, interno y/o externo, que acceda o de cualquier modo trate datos de carácter personal en soporte informático, en papel o en cualquier otro soporte:
cumplir con este procedimiento e instrucciones impartidas al respecto;
mantener la confidencialidad sobre cualquier dato de carácter personal que conozca,
aplicando las medidas de seguridad, técnicas y organizativas establecidas;
Comunicar de acuerdo con las instrucciones relativas a este procedimiento, toda brecha de seguridad sobre datos personales de la que conozca, con independencia de quién sea el responsable Interno de los datos personales objeto de la brecha;
notificar el inicio de cualquier inspección de la Autoridad de Control que le sea comunicado accidentalmente, al Data Protection Officer.
4. PROCEDIMIENTO
BIVE y todos y cada uno de sus colaboradores (en adelante, también referidos como “nosotros”) que traten datos personales tienen que cumplir estas reglas.
Estas reglas sólo proporcionan pautas obligatorias básicas para el tratamiento de los datos personales. BIVE como entidad respetuosa de la privacidad de las personas reconoce que el Titular de los datos personales tiene derecho a contar con elementos adecuados que garanticen la misma, teniendo en todo caso para ello en cuenta sus responsabilidades, derechos y obligaciones.
Si surgen dudas durante la consulta de este procedimiento, deberá dirigirlas al Data Protection Officer.
4.1 Cumplir las leyes de protección de datos personales.
Nosotros debemos respetar todas las leyes vigentes sobre protección de datos. De acuerdo con el artículo 28 de la Constitución de la República Bolivariana de Venezuela, BIVE como Responsable del Tratamiento ha elaborado un formato de “Autorización para el Tratamiento de Datos Personales” y ha adoptado procedimientos para solicitarle, a más tardar en el momento de la recolección de sus Datos Personales, su autorización para el Tratamiento de los mismos e informarle cuáles son los Datos Personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene su consentimiento.
Los Datos Personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, pueden ser tratados por BIVE sin haber obtenido previamente el consentimiento del Titular, siempre y cuando, por su naturaleza, sean Datos Públicos.
4.2 La finalidad del Tratamiento de datos.
Debemos estar en condiciones de comunicar con certeza y claridad el propósito que tenemos al tratar datos personales. Que esa finalidad debe ser legitima de acuerdo con la constitución y la ley, la cual debe ser informada al titular. La recolección de datos deberá limitarse a aquellos datos que son pertinentes y adecuados para la finalidad por la cual fueron recolectados o requeridos conforme a la normatividad vigente.
En virtud de la relación que se ha establecido o se establezca entre el Titular de los Datos Personales y BIVE, es importante que éste conozca que BIVE recolecta, registra, almacena, usa los Datos Personales de los Titulares, para su propio uso con los propósitos que fueron solicitados o por requerimientos de las entidades públicas.
4.3 Recoger y procesar los datos necesarios para el propósito específico que motivó la obtención de la información.
El tratamiento de los datos solo podrá recolectar, almacenar, usar o circular los datos personales durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el tratamiento de dichos datos. Una vez cumplida las finalidades del tratamiento se deberá a proceder a la suspensión de los datos personales en su posesión, sin perjuicio de lo anterior los datos deberán ser conservados cuando así se requiera para el cumplimiento de una obligación legal o contractual.
4.4 El acceso y circulación restringida de los datos:
El manejo de los datos está sujeta a limites que se derivan de la naturaleza de los datos personales y en disposiciones en las normas venezolanas. Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley.
4.5 En el caso de postulaciones laborales, debemos respetar los requisitos exigidos por las leyes de protección de datos personales venezolanas. Por favor manténganse en contacto con el Departamento de Recursos Humanos durante el tratamiento de la solicitud, incluso para buscar respuesta a las preguntas sobre protección de datos.
Es necesario obtener el consentimiento del solicitante para guardar sus datos personales en esta circunstancia.
En caso de que haya datos personales protegidos por el secreto médico sólo deberían ser conservados por el personal obligado por este secreto y guardarse separadamente de todos los demás datos personales.
Por favor manténganse en contacto con el Departamento de Recursos Humanos durante el tratamiento de la solicitud de trabajo para buscar respuesta sobre la ley de protección de datos.
4.6 Cómo debemos procesar datos personales sensibles
Se debe dar mayor protección a los datos personales sensibles que a los “comunes” (datos personales no sensibles), los datos sensibles son aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación. Al igual que con los datos personales “comunes” es necesario obtener el consentimiento por escrito del sujeto antes de procesar esos datos sensibles. A su vez, el consentimiento es válido si se otorga discrecionalmente y basándose en información suficiente.
Para procesar datos personales sensibles, se debe estar en las excepciones que menciona le ley, por ejemplo, como cuando esto tenga una finalidad histórica, estadística o científica.
En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible, BIVE cumplirá con las siguientes obligaciones: .
Informar al Titular que por tratarse de Datos Sensibles no está obligado a autorizar su Tratamiento.
Informar al Titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad de su Tratamiento, y además obtener su consentimiento expreso.
Ninguna de las actividades que realiza BIVE está ni estará condicionada a que el titular suministre sus datos personales sensibles.
4.7 Los deberes de quien obtiene los datos personales de las personas empiezan a ser responsable del tratamiento y deberá cumplir los deberes sin perjuicio a las demás disposiciones de la ley.
Para garantizar un buen tratamiento de datos el responsable deberá garantizar al titular en todo el tiempo el derecho de habeas data, informarle al titular la finalidad de la recolección y los derechos que tiene por la autorización que otorgue, conservar la información bajo condiciones de seguridad necesarias e impedir de adulteración, pérdida, consulta, o uso no autorizado; e informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y la existencia de riesgos en la administración de los datos.
En su calidad de responsable del tratamiento de Datos Personales, BIVE comprende la importancia de dar cumplimiento a lo dispuesto en el artículo 28 de la Constitución de la República Bolivariana de Venezuela. En razón a lo anterior, BOEHRINGER ha implementado medidas y/o políticas internas apropiadas y efectivas para dar cumplimiento a la normativa aplicable en materia de protección de datos personales:
La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la normativa aplicable.
La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación.
La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento de sus Datos Personales.
Así las cosas, en consideración a su estructura administrativa, BIVE ha procedido con la implementación de medidas efectivas a fin de poder poner en conocimiento de su Personal, la protección preventiva -más no reactiva- de Datos Personales.
BIVE ha desarrollado mecanismos internos que incluyen el entrenamiento en cuanto al cumplimiento de la norma de protección de Datos Personales, así como la puesta a disposición del material que sirva para la correcta recolección y tratamiento de Datos Personales.
4.8 Siempre debemos guardar datos personales correcto, actualizados y bajo la seguridad necesaria.
Para la actividad comercial de la compañía es importante que los datos personales sean correctos y estén siempre actualizados. Esto se puede lograr pidiendo a los empleados, clientes y otros terceros, cuyos datos personales se hayan recogido, que nos informen cada vez que se produce una modificación en sus datos. Una vez recibida la información, es nuestra tarea actualizarlos.
Bajo este entendido se establecen algunos lineamientos y recomendaciones para implementar internamente los mecanismos para rendir informes y realizar los reportes de los eventuales incidentes de seguridad que comprometan datos personales de cualquier grupo de interés de BIVE, a la autoridad correspondiente, así como a los Titulares de información personal, según corresponda.
El equipo de TI de BIVE ha desarrollado la Política General de Tecnología Informática (TI), cuyo contenido y mandatos deben ser estrictamente observados por el Personal de BIVE.
Debemos observar las disposiciones legales en materia de investigación y desarrollo farmacéutico.
Antes de procesar y usar datos personales con fines de investigación y desarrollo farmacéutico, por ejemplo, cuando se trate con tejido humano, ensayos clínicos, datos clínicos o del paciente, bases de datos y datos personales compartidos con otras instituciones, por favor comuníquese con la Persona de Contacto Local para Protección de Datos porque puede haber otras disposiciones legales obligatorias en el marco de este tipo de actividad.
4.9 La transferencia de los datos personales a terceros países
Es importante administrar los datos personales en forma segura, y está prohibido realizar transferencia de los datos a cualquier país que no proporcione los niveles adecuados de protección de datos. Aunque no podemos dejar atrás las excepciones a esta norma como cuando el titular de los datos lo haya prohibido de manera expresa.
4.10 Siempre debemos guardar datos personales correctos y actualizados.
Para la actividad comercial de la compañía es importante que los datos personales sean correctos y estén siempre actualizados. Esto se puede lograr pidiendo a los empleados, clientes y otros terceros, cuyos datos personales se hayan recogido, que nos informen cada vez que se produce una modificación en sus datos. Una vez recibida la información, es nuestra tarea actualizarlos.
4.11 Debemos cerciorarnos de que los clientes y contactos tengan la posibilidad de optar por ser retirados de la base de datos.
De acuerdo con el artículo 28 de la Constitución Política de la República Bolivariana de Venezuela, BIVE ha dispuesto un mecanismo gratuito y ágil a través del cual el Titular puede en todo momento, y siempre que no medie un deber legal o contractual que así lo impida, solicitar a BIVE la supresión de los Datos Personales y/o revocar la autorización que ha otorgado para el Tratamiento de estos, mediante la presentación de una solicitud.
Si vencido el término legal respectivo, BIVE no elimina de las Bases de Datos los Datos Personales del Titular que lo solicitó, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales.
4.12 Parámetros de Conducta y Prohibiciones del personal de BIVE.
Como parte del compromiso de la gerencia de BIVE se han adoptado ciertas reglas en cuanto al uso de Datos Personales y bases de datos de propiedad de la empresa por parte de sus empleados y contratistas. Así las cosas, y con el interés principal de transmitir un mensaje claro e integral bajo el cual se compromete BIVE a garantizar una cultura de privacidad, se han diseñado y puesto en marcha los siguientes parámetros que deben observarse respecto del tratamiento de Datos Personales.
Estos parámetros deben ser seguidos por todos los empleados y contratistas de BIVE sin importar su rango o la labor que desempeñen en la empresa. El incumplimiento de cualquiera de las reglas aquí planteadas puede dar lugar a la terminación del vínculo laboral/contractual o de otra naturaleza con BIVE con justa causa, razón por la cual invitamos a todo el Personal de BIVE a leer detenidamente la siguiente información:
Los Datos Personales y bases de datos constituidas por los mismos sean de clientes, empleados, contratistas, entre otros, son propiedad exclusiva de BOEHRINGER.
El Personal sólo está autorizado al acceso y uso de estos en la medida en que sea necesario para el cumplimiento de la labor para la cual fue contratado.
La Información de clientes (dirección electrónica, física, teléfono, nombre, hábitos de consumo, intereses que hagan identificable al cliente) o cualquier otra información que haga identificable a esa persona natural es propiedad de BIVE, por lo cual el empleado sólo está autorizado para usarla bajo las instrucciones que previamente le imparta la empresa.
El Personal no está autorizado para usar Datos Personales de clientes de BIVE para el ofrecimiento de servicios o productos que sean ajenos al giro ordinario de las actividades de la empresa o a los asuntos inherentes a la misma.
Los Datos Personales y bases de datos de la empresa deben ser protegidos por el Personal de BIVE bajo medidas de confidencialidad, por lo cual deben abstenerse de compartirlos con terceros ajenos a labores de la empresa o ajenos a gestiones para los cuales el Titular haya autorizado su tratamiento.
El área de TI ha procedido con la organización del acceso permitido a los Datos Personales y bases de datos compuestas por los mismos, por lo cual el Personal debe acceder a las Bases de Datos de acuerdo con lo establecido al respecto.
Si usted como Empleado de BIVE tiene preguntas o no está seguro de cual Tratamiento debe darle a ciertos Datos Personales o bases de datos, le solicitamos enviar su consulta al Oficial de Protección de Datos quien deberá dar instrucciones al respecto con el apoyo del Comité de Privacidad y Seguridad de la Información.
5. DEFINICIONES
5.1 Autorización: es el consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales.
5.2 Base de datos: es el conjunto organizado de datos personales referentes a una persona identificada o identificable, el cual va a hacer objeto de tratamiento.
5.3 Datos personales: se refiere a cualquier información sobre persona física o jurídica identificada o susceptible de identificación, por ejemplo, datos de empleados, socios, clientes, pacientes, etc., tales como nombre, dirección, teléfono, correo electrónico, fotos, currículum vitae (CV), número de cuenta bancaria, etc.
5.4 Datos personales sensibles: son aquellos que refieren a los datos que revelan la raza o etnia, la tendencia política, las creencias religiosas y filosóficas, la pertenencia a sindicatos, el estado de salud y la elección sexual.
5.5 Encargado del Tratamiento: La persona natural o jurídica, pública o privada que por sí misma o en asociación con otros, realice el tratamiento de datos personales por cuenta de BIVE.
5.6 Titular o Interesado: es la persona física titular de los datos personales que sean objeto de la actividad de tratamiento.
5.7 Transferencia: Comunicación de datos por parte del responsable y/o encargado del tratamiento, quienes se encuentren ubicados en Venezuela, a un receptor que a su vez es responsable del tratamiento y que se encuentre dentro o fuera del país.
5.8 Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, y datos sensibles, tales como la recolección, transferencia, almacenamiento, uso, circulación o supresión.
5.9 Transmisión: Tratamiento de datos personales que implica la comunicación de estos dentro o fuera del territorio de Venezuela, cuando tenga por objeto la realización de un Tratamiento por el encargado por su cuenta del responsable.