Blog

Protección de datos en vacaciones

Fuente: https://www.aepd.es/blog/2019-07-24.html

Con la llegada de las vacaciones de verano cambiamos muchas de nuestras rutinas, viajamos, salimos más, visitamos lugares nuevos y disfrutamos de nuestro tiempo libre junto a familiares y amigos. En esta entrega de nuestro blog os presentamos algunos consejos sobre cómo afrontar situaciones de riesgo para la protección de nuestros datos personales en época estival.

Piensa dos veces antes de compartir una foto o vídeo

La actividad estival hace que la cámara de nuestro teléfono móvil tenga más trabajo del habitual: detalles de los lugares que hemos visitado, gente con la que hemos estado, fiestas a las que hemos asistido, etc. Compartir parte de esas fotografías (o todas) en una red social es algo habitual para algunas personas y entraña algunos riesgos.

Según datos del e Investigaciones Sociológicas (CIS), una de cada cuatro personas (24.5%) se ha arrepentido alguna vez de haber colgado algo en una red social. Te recomendamos que pienses en quién podrá ver tus fotos antes de pulsar el botón de compartir en tus redes sociales. Si tu perfil es accesible para los buscadores, ten en cuenta que cualquiera podrá ver, por ejemplo, las fotos, vídeos o comentarios que publicas. La Agencia dispone de una serie de vídeo tutoriales explicativos elaborados junto a INCIBE en  los que explica cómo accceder a la configuración de privacidad y seguridad de algunos de los servicios más populares en Internet para que tu perfil no se muestre cuando, por ejemplo, introduzcan tu nombre en un buscador.

Una vez que tu perfil ya no sea accesible para los buscadores, piensa también en que las personas a las que das acceso a tu información eligen a su vez quien puede tener acceso a su perfil: amigos, amigos de amigos o todo el mundo. Si compartes una foto con tus seguidores o amigos en una red social y uno de ellos indica que algo le gusta, un amigo de amigo, al que no tienes por qué conocer, puede terminar viendo esa imagen. Y es posible que haya situaciones que quizás no quieres compartir con desconocidos.

Siguiendo con los datos del CIS, un 12.2% de los encuestados afirma haber tenido problemas por contenidos que otros han colgado en una red social. Debemos recordar que necesitamos consentimiento de las personas que aparecen en las fotos que tomamos antes de compartirlas en Internet o de sus padres o tutores en el caso en que aparezcan menores.

¿Se pueden enviar comunicaciones comerciales electrónicas a los clientes sin su consentimiento?

La AEPD da respuesta en este informe https://www.aepd.es/media/informes/2018-0173-comunicaciones-comerciales.pdf  a la consulta planteada por una entidad, en relación con el tratamiento de los datos de sus clientes con fines de mercadotecnia, publicidad y comunicaciones comerciales.

Lo primero que encontramos en este informe es la diferencia entre las comunicaciones comerciales realizadas por vía electrónica de aquellas, que tienen lugar por otros medios, ya que la legitimación y la ley principal que se aplica será diferente.

Las comunicaciones realizadas por vía electrónica, deben regularse por lo dispuesto en el art.21 de la LSSI, con lo que se convierte en ley especial sobre la norma general del RGPD. En este caso, el envío de comunicaciones comerciales solo podrá efectuarse con el consentimiento expreso del interesado o bien, cuando haya existido una relación contractual previa y los datos se hayan obtenido de forma lícita. Las comunicaciones tienen que referirse a productos o servicios de la propia empresa y que sean similares a los que fueron adquiridos con anterioridad.

Por otro lado, las comunicaciones comerciales realizadas por otros medios no electrónicos aplicarán el contenido del RGPD para el tratamiento de datos personales, así será el consentimiento expreso del interesado o bien el interés legítimo de la entidad, cuando no prevalezcan los intereses legítimos del interesado y exista una relación contractual previa.

GESTION DE COBROS, S.L. sancionada con 60.000 euros de multa por infringir la confidencialidad de los datos

La AEPD sanciona ala entidad GESTION DE COBROS,https://www.aepd.es/resoluciones/PS-00121-2019_ORI.pdf

La reclamante Dª.A.A.A., solicitó un mini préstamo por Internet a una empresa denominada “MARIA DINERO.COM”, facilitándole sus datos personales, entre los cuáles se incluía su correo electrónico personal, pero no el de la entidad para la cuál trabaja, “La Universidad autónoma de Barcelona”. En este último correo es donde la entidad sancionada, GESTION DE COBROS, le envía una notificación con la finalidad de reclamar la deuda con el asunto de Morosa. El correo electrónico utilizado tiene carácter corporativo, por lo que todo el personal de la Universidad tiene acceso a su contenido, con lo cuál se ha cometido una infracción muy grave de confidencialidad de los datos de la reclamante.

La AEPD al tener constancia de la reclamación, inicia un periodo de investigación, a partir del cual solicita información de los hechos  a la entidad MARIA DINERO, ésta actúa correctamente, ya que informó a su cliente con carácter previo, que si no devolvía en plazo la cantidad prestada, sus datos serían comunicados a GESTION DE COBROS para recuperarlo, siendo ésta entidad la que no actúa diligentemente, puesto que, al utilizar el email del lugar de trabajo de Dª.A.A.A infringe el art.5.f del RGPD, ya que permitir a terceros, el acceso a los datos personales de la reclamante, causándole daños y perjuicios morales.

¿Qué son Las brechas de seguridad?

El término de brecha de seguridad se define en el art.4.12 del RGPD, como todo incidente que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, la conservación o tratamiento de forma ilícita, así como la comunicación o el acceso no autorizado a los datos, para que sea tenida en cuenta como brecha de seguridad, debe afectar a datos de carácter personal.

¿Qué han de tener en cuenta el responsable y encargado del tratamiento ante una brecha de seguridad?  Independientemente del tamaño de la entidad y de la gravedad y consecuencias del incidente, el responsable y encargado del tratamiento lo tienen que dejar documentado en el registro de incidencias, incluyendo entre otros datos, los hechos relacionados con el incidente, sus efectos y las medidas correctivas que se han adoptado. Así, por ejemplo, la pérdida de un ordenador portátil, el acceso de un empleado no autorizado a la base de datos y su borrado, el envío de un e_mail a un destinatario incorrecto, constituyen todas brechas de seguridad que deben documentarse. Este documento lo pondremos a disposición de la autoridad de control, cuando ésta nos lo requiera, y verificar así, que cumplimos con lo dispuesto en la norma.

¿Se tienen que realizar auditorías de seguridad y cumplimiento de la normativa de protección de datos?

El responsable y encargado del tratamiento deben ser proactivos y cumplir con la normativa de protección de datos, en este sentido una de las obligaciones que nos exige el reglamento es garantizar la seguridad de los datos personales.
En el art.32 del RGPD se identifican algunas de las medidas técnicas y organizativas que el responsable y encargado del tratamiento deben aplicar para conseguir un nivel adecuado de seguridad, entre ellas:
32.1.d Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas.
En este sentido, el Reglamento se está refiriendo a las auditorías como una de las medidas técnicas que se deben aplicar para salvaguardar la información.
A lo largo del articulado del RGPD, también se pueden encontrar otras referencias a las auditorías, cuando nos indica, en el art. 28 del RGPD, que una de las cláusulas del contrato de acceso a datos por cuenta del responsable, el encargado del tratamiento permitirá y contribuirá a la realización de auditorías, incluidas las inspecciones por parte del responsable o incluso de otro auditor autorizado por dicho responsable.
Así mismo en el art.24 del RGPD, se recoge que el responsable aplicará las medidas adecuadas, con el fin de garantizar y demostrar que el tratamiento es conforme con el RGPD, dichas medidas se revisarán y actualizarán cuando sea necesario.

La AEPD alerta a pymes y autónomos de los riesgos de contratar servicios de adecuación a la normativa a ‘coste cero’

Fuente: https://www.aepd.es/prensa/2019-07-04.html

(3 de julio de 2019). La Agencia Española de Protección de Datos (AEPD) ha publicado un documento informativo en el que alerta a pymes y autónomos de los riesgos de contratar los servicios de adecuación a la normativa de protección de datos a empresas que la ofrecen a ‘coste cero’. El documento, que ha sido elaborado con la colaboración de la Inspección de Trabajo y Seguridad Social y la Agencia Tributaria, también recoge otras prácticas fraudulentas que suelen estar asociadas a este tipo de servicios.

 La adecuación a la normativa de protección de datos conocida como coste cero consiste en ofertar estos servicios a un precio muy bajo o incluso de forma gratuita, abonando el pago de estos mediante los fondos de la empresa destinados a los programas de formación para trabajadores, que son objeto de bonificación por parte de la Seguridad Social.

 La contratación del servicio de adecuación a la normativa de protección de datos a coste cero, financiada con cargo a fondos públicos a través de bonificaciones en las cuotas a la Seguridad Social para la formación profesional para el empleo, puede derivar en infracciones que se sancionarán, por la Inspección de Trabajo y Seguridad Social, con multas de 626 euros a 187.515 euros, sin perjuicio de considerar, en cada caso, una infracción por cada empresa y por cada acción formativa, la solidaridad de los distintos sujetos intervinientes en la organización y ejecución de la formación en la devolución de las cantidades indebidamente obtenidas y las sanciones accesorias que en cada caso procedan.

 Además, en lo referente al cumplimiento de obligaciones tributarias por parte de las empresas, tanto de quien oferta el servicio como de quien lo contrata, las actividades formativas destinadas a los trabajadores están exentas de tributación por el IVA, mientras que el tipo que corresponde a un servicio de adecuación a una determinada legislación sería del 21%. De enmascararse el servicio realmente llevado a cabo se puede estar cometiendo, por tanto, una infracción tributaria, sancionable con multa pecuniaria proporcional, del 50% en adelante, sobre la cuantía no ingresada.

 La Agencia también advierte a pymes y autónomos, destinatarios fundamentales de este tipo de prácticas, que los servicios de adecuación a la normativa requieren de la realización de un estudio individual pormenorizado de la entidad, los tipos de tratamientos que se realizan, los sistemas informáticos y los sistemas de gestión documental, aplicando los principios de protección de datos en los procedimientos. Por tanto, es insuficiente un asesoramiento basado en documentos genéricos que no tengan en cuenta las características específicas de la actividad.

Puede ver más información en el siguiente enlace:

Adecuación a la normativa a coste cero y otras prácticas fraudulentas.

https://www.aepd.es/media/estudios/coste-cero.pdf

¿Se puede compartir información entre profesionales de distintos ámbitos y administraciones?

La AEPD en su informe da respuesta a varias consultas con un mismo hilo conductor, la protección de datos personales relativos a violencia de género. https://www.aepd.es/media/informes/2018-0070-violencia-de-genero.pdf

Una de las consultas que se plantean es si resulta conforme a la normativa en materia de protección de datos compartir información, entre distintos profesionales de distintos ámbitos y administraciones, para realizar la labor de seguimiento. En este sentido, la legitimación la encontramos en la ley 27/2003, reguladora de la orden de protección de las víctimas de violencia doméstica, en la que se dice que: “en caso de adoptarse una orden de protección por el Juez, las Administraciones públicas tomarán medidas que garanticen la protección de seguridad o de asistencia social, jurídica, sanitaria, psicológica y para ello se  establecerá un sistema integrado de coordinación administrativa, que garantice la agilidad de las comunicaciones.

Otra de las cuestiones planteadas se refería al cumplimiento de los estándares de seguridad (nivel alto) en relación con el contenido y recorrido de los datos personales de las víctimas de violencia de género. En este caso, la AEPD indica que, en el RGPD, no se establece un elenco de medidas de seguridad específicas, sino que, en virtud del principio de responsabilidad activa, el responsable tendrá que determinar las medidas técnicas y organizativas concretas, en base al análisis de riesgos previamente realizado.

Sanción YOIGO por incluir de forma indebida a un cliente en un fichero de morosos

La AEPD ha dictado recientemente una resolución sancionando a la entidad YOIGO https://www.aepd.es/resoluciones/PS-00011-2019_ORI.pdf.

La reclamante DªAAA presentó un escrito ante la AEPD para reclamar que había sido incluida de forma indebida por YOIGO en un fichero de solvencia patrimonial y crédito Badexcug, a pesar de que el pago que le reclamaban había sido satisfecho en el plazo de los 15 días concedido, aportando en la reclamación el justificante de la transferencia de pago.

A la vista de los hechos y documentos presentados, la AEPD inicia un periodo de investigación y realiza un requerimiento informativo a YOIGO, el cual no contesta, con lo que se le notifica el inicio del procedimiento sancionador, por infringir el principio de exactitud del art.5.1.d del RGPD, puesto que no actuó con la debida diligencia, al no verificar que la deuda informada al fichero de morosos era inexacta. Las entidades que gestionan los ficheros de morosos suministran periódicamente, las relaciones de las altas y bajas, a las empresas informantes que son las que deciden la cancelación de los datos de sus clientes del fichero de morosidad.

En este caso YOIGO mantuvo la inscripción de la reclamante, después de haber realizado el pago de la deuda reclamada. La sanción impuesta por la AEPD, después de aplicar los criterios de graduación, asciende a la cantidad de 60.000 euros.

Elaboración de perfiles y toma de decisiones automatizada

La elaboración de perfiles se define en el art.4 del RGPD, como el tratamiento automatizado de datos personales, con la finalidad de evaluar o analizar aspectos personales que permitan predecir el rendimiento profesional, la situación económica, la salud, preferencias o intereses personales, fiabilidad, comportamiento y la ubicación o movimientos de una persona.

Cuando la elaboración de perfiles, sea utilizada con la finalidad de tomar decisiones sobre una persona, basadas exclusivamente en un tratamiento automatizado, el interesado deberá ser informado previamente de la lógica aplicada y de la importancia de las consecuencias y efectos jurídicos que se produzcan en base a esa decisión. Además, tendrá derecho a oponerse a ese tratamiento, salvo que se den alguna de las siguientes circunstancias:

1º Que la decisión sea necesaria para la celebración o ejecución de un contrato entre el interesado y el responsable.

2º Esté autorizada por el Derecho de la Unión o los Estados miembros.

3º Que el interesado haya dado su consentimiento explícito.

¿Cómo incorporar el registro de jornada laboral y cumplir con la normativa de protección de datos?

El registro de la jornada laboral ha sido recientemente introducido en las entidades con carácter de obligado cumplimiento para todas ellas.

El art.34.9 del Estatuto de los Trabajadores nos indica que: La empresa garantizará el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora, sin perjuicio de la flexibilidad horaria que se establece en este artículo.

Los sistemas que pueden utilizar las entidades para el cumplimiento de esta obligación legal podrán ser muy variados, desde sistemas manuales, analógicos o digitales. En todos ellos, la legitimación para el tratamiento de los datos personales no será el consentimiento del personal, sino la obligación que le viene impuesta al empleador por este artículo 34.9 del ET.

Si se utilizaran registros basados en sistemas de geolocalización o bien, sistemas en los que se recoge la huella digital, el responsable del tratamiento tiene el deber de informar previamente al personal antes de su incorporación, tal y como nos lo exige la LOPDPGDD en su art.90, que regula el Derecho a la intimidad ante la utilización de estos sistemas. Además, el responsable tendrá que garantizar unas medidas mínimas de seguridad y minimización de datos y realizar una evaluación de impacto en caso de ser necesaria.