Ekateko ha pasado a pertenecer al Grupo Vadillo Asesores. En nuestra web Grupo Vadillo Asesores podrás ver todos nuestros servicios, incluyendo los relacionados con la Ley de Protección de Datos y Garantías de Derechos Digitales.
Lo primero
que encontramos en este informe es la diferencia entre las comunicaciones
comerciales realizadas por vía electrónica de aquellas, que tienen lugar por
otros medios, ya que la legitimación y la ley principal que se aplica será
diferente.
Las
comunicaciones realizadas por vía electrónica, deben regularse por lo dispuesto
en el art.21 de la LSSI, con lo que se convierte en ley especial sobre la norma
general del RGPD. En este caso, el envío de comunicaciones comerciales solo
podrá efectuarse con el consentimiento expreso del interesado o bien, cuando
haya existido una relación contractual previa y los datos se hayan obtenido de
forma lícita. Las comunicaciones tienen que referirse a productos o servicios
de la propia empresa y que sean similares a los que fueron adquiridos con
anterioridad.
Por otro lado, las comunicaciones comerciales realizadas por otros medios no electrónicos aplicarán el contenido del RGPD para el tratamiento de datos personales, así será el consentimiento expreso del interesado o bien el interés legítimo de la entidad, cuando no prevalezcan los intereses legítimos del interesado y exista una relación contractual previa.
La reclamante Dª.A.A.A.,
solicitó un mini préstamo por Internet a una empresa denominada “MARIA
DINERO.COM”, facilitándole sus datos personales, entre los cuáles se incluía su
correo electrónico personal, pero no el de la entidad para la cuál trabaja, “La
Universidad autónoma de Barcelona”.
En este último correo es donde la entidad sancionada, GESTION DE COBROS, le
envía una notificación con la finalidad de reclamar la deuda con el asunto de
Morosa. El correo electrónico utilizado tiene carácter corporativo, por lo
que todo el personal de la Universidad tiene acceso a su contenido, con lo cuál
se ha cometido una infracción muy grave de confidencialidad de los datos de la
reclamante.
La AEPD al tener constancia de la reclamación, inicia un periodo de investigación, a partir del cual solicita información de los hechos a la entidad MARIA DINERO, ésta actúa correctamente, ya que informó a su cliente con carácter previo, que si no devolvía en plazo la cantidad prestada, sus datos serían comunicados a GESTION DE COBROS para recuperarlo, siendo ésta entidad la que no actúa diligentemente, puesto que, al utilizar el email del lugar de trabajo de Dª.A.A.A infringe el art.5.f del RGPD, ya que permitir a terceros, el acceso a los datos personales de la reclamante, causándole daños y perjuicios morales.
El
término de brecha de seguridad se define en el art.4.12 del RGPD, como todo
incidente que ocasione la destrucción, pérdida o alteración accidental o
ilícita de datos personales, la conservación o tratamiento de forma ilícita,
así como la comunicación o el acceso no autorizado a los datos, para que sea
tenida en cuenta como brecha de seguridad, debe afectar a datos de carácter
personal.
¿Qué han de tener en cuenta el responsable y encargado del tratamiento ante una brecha de seguridad? Independientemente del tamaño de la entidad y de la gravedad y consecuencias del incidente, el responsable y encargado del tratamiento lo tienen que dejar documentado en el registro de incidencias, incluyendo entre otros datos, los hechos relacionados con el incidente, sus efectos y las medidas correctivas que se han adoptado. Así, por ejemplo, la pérdida de un ordenador portátil, el acceso de un empleado no autorizado a la base de datos y su borrado, el envío de un e_mail a un destinatario incorrecto, constituyen todas brechas de seguridad que deben documentarse. Este documento lo pondremos a disposición de la autoridad de control, cuando ésta nos lo requiera, y verificar así, que cumplimos con lo dispuesto en la norma.
El responsable y encargado del tratamiento deben ser proactivos y cumplir con la normativa de protección de datos, en este sentido una de las obligaciones que nos exige el reglamento es garantizar la seguridad de los datos personales. En el art.32 del RGPD se identifican algunas de las medidas técnicas y organizativas que el responsable y encargado del tratamiento deben aplicar para conseguir un nivel adecuado de seguridad, entre ellas: 32.1.d Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas. En este sentido, el Reglamento se está refiriendo a las auditorías como una de las medidas técnicas que se deben aplicar para salvaguardar la información. A lo largo del articulado del RGPD, también se pueden encontrar otras referencias a las auditorías, cuando nos indica, en el art. 28 del RGPD, que una de las cláusulas del contrato de acceso a datos por cuenta del responsable, el encargado del tratamiento permitirá y contribuirá a la realización de auditorías, incluidas las inspecciones por parte del responsable o incluso de otro auditor autorizado por dicho responsable. Así mismo en el art.24 del RGPD, se recoge que el responsable aplicará las medidas adecuadas, con el fin de garantizar y demostrar que el tratamiento es conforme con el RGPD, dichas medidas se revisarán y actualizarán cuando sea necesario.
La adecuación a la normativa de protección de datos conocida como
coste cero consiste en ofertar estos servicios a un precio muy bajo o incluso
de forma gratuita, abonando el pago de estos mediante los fondos de la empresa
destinados a los programas de formación para trabajadores, que son objeto de
bonificación por parte de la Seguridad Social.
La contratación del servicio de adecuación a la normativa de
protección de datos a coste cero, financiada con cargo a fondos públicos a
través de bonificaciones en las cuotas a la Seguridad Social para la formación
profesional para el empleo, puede derivar en infracciones que se
sancionarán, por la Inspección de Trabajo y Seguridad Social, con multas de 626
euros a 187.515 euros, sin perjuicio de considerar, en cada caso, una
infracción por cada empresa y por cada acción formativa, la solidaridad de los
distintos sujetos intervinientes en la organización y ejecución de la formación
en la devolución de las cantidades indebidamente obtenidas y las sanciones
accesorias que en cada caso procedan.
Además, en lo referente al cumplimiento de obligaciones tributarias
por parte de las empresas, tanto de quien oferta el servicio como de quien lo
contrata, las actividades formativas destinadas a los trabajadores están
exentas de tributación por el IVA, mientras que el tipo que corresponde a un
servicio de adecuación a una determinada legislación sería del 21%. De
enmascararse el servicio realmente llevado a cabo se puede estar cometiendo,
por tanto, una infracción tributaria, sancionable con multa pecuniaria
proporcional, del 50% en adelante, sobre la cuantía no ingresada.
La Agencia también advierte a pymes y autónomos, destinatarios fundamentales de este tipo de prácticas, que los servicios de adecuación a la normativa requieren de la realización de un estudio individual pormenorizado de la entidad, los tipos de tratamientos que se realizan, los sistemas informáticos y los sistemas de gestión documental, aplicando los principios de protección de datos en los procedimientos. Por tanto, es insuficiente un asesoramiento basado en documentos genéricos que no tengan en cuenta las características específicas de la actividad.
Una de
las consultas que se plantean es si resulta conforme a la normativa en
materia de protección de datos compartir información, entre distintos
profesionales de distintos ámbitos y administraciones, para realizar la labor
de seguimiento. En este sentido, la legitimación la encontramos en la ley
27/2003, reguladora de la orden de protección de las víctimas de violencia
doméstica, en la que se dice que: “en caso de adoptarse una orden de
protección por el Juez, las Administraciones públicas tomarán medidas que
garanticen la protección de seguridad o de asistencia social, jurídica,
sanitaria, psicológica y para ello se establecerá
un sistema integrado de coordinación administrativa, que garantice la agilidad
de las comunicaciones.
Otra de las cuestiones planteadas se refería al cumplimiento de los estándares de seguridad (nivel alto) en relación con el contenido y recorrido de los datos personales de las víctimas de violencia de género. En este caso, la AEPD indica que, en el RGPD, no se establece un elenco de medidas de seguridad específicas, sino que, en virtud del principio de responsabilidad activa, el responsable tendrá que determinar las medidas técnicas y organizativas concretas, en base al análisis de riesgos previamente realizado.
La reclamante DªAAA
presentó un escrito ante la AEPD para reclamar que había sido incluida de forma
indebida por YOIGO en un fichero de solvencia patrimonial y crédito Badexcug, a pesar de que el pago
que le reclamaban había sido satisfecho en el plazo de los 15 días concedido,
aportando en la reclamación el justificante de la transferencia de pago.
A la vista de los hechos
y documentos presentados, la AEPD inicia un periodo de investigación y realiza
un requerimiento informativo a YOIGO, el cual no contesta, con lo que se le
notifica el inicio del procedimiento sancionador, por infringir el principio de
exactitud del art.5.1.d del RGPD, puesto que no actuó con la debida diligencia,
al no verificar que la deuda informada al fichero de morosos era inexacta.
Las entidades que gestionan los ficheros de morosos suministran periódicamente,
las relaciones de las altas y bajas, a las empresas informantes que son las que
deciden la cancelación de los datos de sus clientes del fichero de morosidad.
En este caso YOIGO mantuvo la inscripción de la reclamante, después de haber realizado el pago de la deuda reclamada. La sanción impuesta por la AEPD, después de aplicar los criterios de graduación, asciende a la cantidad de 60.000 euros.
La
elaboración de perfiles se define en el art.4 del RGPD, como el tratamiento
automatizado de datos personales, con la finalidad de evaluar o analizar
aspectos personales que permitan predecir el rendimiento profesional, la
situación económica, la salud, preferencias o intereses personales, fiabilidad,
comportamiento y la ubicación o movimientos de una persona.
Cuando la elaboración de perfiles, sea
utilizada con la finalidad de tomar decisiones sobre una persona, basadas exclusivamente
en un tratamiento automatizado, el interesado deberá ser informado previamente
de la lógica aplicada y de la importancia de las consecuencias y efectos
jurídicos que se produzcan en base a esa decisión. Además, tendrá derecho
a oponerse a ese tratamiento, salvo que se den alguna de las siguientes
circunstancias:
1º
Que la decisión sea necesaria para la celebración o ejecución de un contrato
entre el interesado y el responsable.
2º
Esté autorizada por el Derecho de la Unión o los Estados miembros.
3º Que el interesado haya dado su consentimiento explícito.
El registro de la jornada laboral ha
sido recientemente introducido en las entidades con carácter de obligado
cumplimiento para todas ellas.
El
art.34.9 del Estatuto de los Trabajadores nos indica que: La empresa garantizará el registro diario de jornada, que deberá incluir el
horario concreto de inicio y finalización de la jornada de trabajo de cada
persona trabajadora, sin perjuicio de la flexibilidad horaria que se establece
en este artículo.
Los sistemas que pueden
utilizar las entidades para el cumplimiento de esta obligación legal podrán ser
muy variados, desde sistemas manuales, analógicos o digitales. En todos
ellos, la legitimación para el tratamiento de los datos personales no será el
consentimiento del personal, sino la obligación que le viene impuesta al
empleador por este artículo 34.9 del ET.
Si se utilizaran registros basados en sistemas de geolocalización o bien, sistemas en los que se recoge la huella digital, el responsable del tratamiento tiene el deber de informar previamente al personal antes de su incorporación, tal y como nos lo exige la LOPDPGDD en su art.90, que regula el Derecho a la intimidad ante la utilización de estos sistemas. Además, el responsable tendrá que garantizar unas medidas mínimas de seguridad y minimización de datos y realizar una evaluación de impacto en caso de ser necesaria.
(Madrid, 30 de mayo de 2019). La Agencia Española de Protección
de Datos (AEPD), ha publicado la Guía
‘Drones y Protección de Datos’, que analiza las operaciones que se efectúan
con drones distinguiendo entre las que no tratan datos, las que eventualmente
podrían captar información y aquellas cuyo fin implica un tratamiento de datos
personales, como en el caso de la videovigilancia o la grabación de eventos.
La Guía pone de manifiesto cómo se ha generalizado el uso de drones en
el ámbito civil y el crecimiento exponencial que está experimentando la
utilización de estas aeronaves no tripuladas. Estos equipos son susceptibles de
incorporar no sólo GPS y cámaras de vídeo sino también escáner 3D o sistemas de
detección de dispositivos móviles, y su empleo puede suponer un impacto en el
derecho a la protección de datos de las personas y, por extensión, una lesión
de sus derechos y libertades.
El artículo 26 del Real Decreto 1036/2017, de 15 de diciembre, por el
que se regula la utilización civil de las aeronaves pilotadas por control
remoto, establece la obligación de adoptar las medidas necesarias para
garantizar el cumplimiento de lo dispuesto en materia de protección de datos
personales y protección de la intimidad. La Guía publicada por la AEPD
proporciona orientaciones a los operadores de drones que registren o procesen
imágenes, vídeos, sonido, datos biométricos, de geolocalización o de
telecomunicaciones, entre otros, relacionados con personas identificadas o
identificables para cumplir con lo establecido en el Reglamento General de
Protección de Datos y la Ley Orgánica 3/2018.
El documento está dividido en cinco secciones. Las tres primeras están
dedicadas a los tipos de operaciones que se pueden llevar a cabo con drones,
clasificándolos según el tratamiento de datos. Así, distingue un primer tipo
que comprende operaciones con configuraciones muy básicas, que carecen o no
hacen uso de dispositivos de captación de imágenes, sonido o cualquier otro
tipo de información personal. En esta categoría podrían incluirse usos de
ámbito recreativo o deportivo.
Un segundo tipo comprende casos como el empleo de drones para la
inspección de infraestructuras, la confección de planos de terrenos u otros
servicios de vídeo para cine, televisión o publicidad, en los que se puede
producir una captura de datos personales de forma no intencionada. Una tercera
posibilidad es que la finalidad para la que se usa el dron implique un tratamiento
de datos personales de forma inherente.
Utilizamos cookies de terceros para ofrecerle un mejor servicio, analizando el uso del sitio web, de manera que podamos medir y mejorar el funcionamiento de la misma. Para más información visite nuestra política de cookies.
Este sitio web utiliza cookies para mejorar su experiencia mientras navega por el sitio web. De estas, las cookies que se clasifican como necesarias se almacenan en su navegador, ya que son esenciales para el funcionamiento de las funcionalidades básicas del sitio web. También utilizamos cookies de terceros que nos ayudan a analizar y comprender cómo utiliza este sitio web. Estas cookies se almacenarán en su navegador solo con su consentimiento. También tiene la opción de optar por no recibir estas cookies. Pero la exclusión voluntaria de algunas de estas cookies puede afectar su experiencia de navegación.
Las cookies necesarias son absolutamente esenciales para que el sitio web funcione correctamente. Esta categoría solo incluye cookies que garantizan funcionalidades básicas y características de seguridad del sitio web. Estas cookies no almacenan ninguna información personal.
Las cookies que pueden no ser particularmente necesarias para el funcionamiento del sitio web y que se utilizan específicamente para recopilar datos personales del usuario a través de análisis, anuncios y otros contenidos integrados se denominan cookies no necesarias. Es obligatorio obtener el consentimiento del usuario antes de ejecutar estas cookies en su sitio web.
