Entradas

Si tu LOPD te la lleva otro, asegúrate de ello o te costará caro (6.500€ de multa)

En abril de 2011 la Policía Municipal de Madrid comunica a la Agencia Española de Protección de Datos (AEPD) una posible infracción de la LOPD motivada porque un “establecimiento” tiene 8 cámaras de vídeo-vigilancia instaladas y no cuentan con los oportunos carteles de zona vídeo-vigilada, ni con los formularios de acceso para los afectados.

La denuncia señala que las 8 cámaras, están conectadas a un monitor central receptor, no pudiendo comprobar el sistema de grabación empleado, observando que se encuentran conectadas a un vídeo y a un módem de una compañía telefónica.

photo credit: David Feltkamp via photopin cc

photo credit: David Feltkamp via photopin cc

Los Servicios de Inspección de la Agencia iniciaron actuaciones previas con objeto de determinar si el tratamiento de los datos personales, a través del citado sistema de vídeo-vigilancia, cumplían las condiciones que impone la normativa.

Es de suponer que el establecimiento, antes de la llegada de los Servicios de Inspección de la Agencia, colocaron los carteles preceptivos y editaron el formulario informativo que debe estar a disposición de los ciudadanos acorde a la Instrucción 1/2006, ya que la inspección constató su existencia, aunque por lo que se ve “olvidaron” registrar el fichero ante la AEPD.

La inspección, también constató que las cámaras grababan las imágenes en un grabador sin que se pudiese precisar durante cuánto tiempo, ya que el sistema había sido instalado por los anteriores propietarios y estaba protegido el acceso por una clave que los actuales propietarios decían desconocer y no podían saber (pues la empresa que instaló el sistema ya no existía).

El procedimiento de la AEPD señala que “se pone de manifiesto que las cámaras efectúan grabaciones, no constando que dicho fichero se encuentre inscrito en el Registro General de Protección de Datos de esta Agencia” y la AEPD decide APERCIBIR (A/00050/2012) al  establecimiento por infracción del artículo 26 de la LOPD (“Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la AEPD”), tipificada como leve por la LOPD.

En este caso, el establecimiento se “iba de rositas”, ya que simplemente debía inscribir en el plazo de un mes (marzo de 2012) dicho fichero, advirtiéndole la Agencia que en caso contrario se iniciaría la apertura de un procedimiento sancionador, como finalmente ha sido.

En éste tiempo, la Agencia por dos veces (mayo y septiembre de 2012) reitera al establecimiento, por medio del servicio de correos con acuse de recibo, lo requerido en el procedimiento de apercibimiento (inscripción de fichero con finalidad de vídeo-vigilancia) sin que se hayan adoptado las medidas correctoras solicitadas.

Por ello el 4 de febrero de 2013, el director de la AEPD acordó iniciar el procedimiento sancionador por presunta infracción del artículo 37.1.f) de la LOPD (“son funciones de la AEPD: f) Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”) tipificada como grave, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo a la LOPD.

Una vez notificado, el Establecimiento formuló alegaciones, entre otras y de manera textual las siguientes:

“…En cuanto tomamos conocimiento de dicha notificación nos pusimos en contacto telefónico con la Agencia Protectora de Datos, solicitando más información sobre el tema, allí muy amablemente la persona que se puso al habla no comunico bien de que iba todo el tema, y nos aclaró que ya hacía bastante tiempo que nos envían notificaciones si respuesta alguna de nuestra parte.

Allí fue nuestro asombro ya que todo lo referente a nuestro negocio en cuestiones de papeleos lo llevaba un gestor al cual nosotros le enviábamos las mismas para que solucionara todo tipo de gestión.

Esta persona por lo visto no les ha presentado ningún tipo de notificación haciendo quedar a la empresa como irresponsable, de todos modo con excusarnos en otra persona no queremos evitar alguna responsabilidad, sino todo lo contrario.

… Por lo expuesto reiteramos que no poseemos ningún Registro Fichero o algo que se le parezca, nuestro sistema es obsoleto y puede venir y corroborarlo ustedes mismos.”

En resumen que la culpa es del gestor (seguramente sea así) y como manifiestan “haciendo quedar a la empresa como irresponsable” aunque ellos insisten en su incomprensión ya que “reiteramos que no poseemos ningún Registro Fichero o algo que se le parezca, nuestro sistema es obsoleto y puede venir y corroborarlo ustedes mismos”.

Estamos seguros que no van a volver a corroborarlo y que ya no se irán de rositas, ya que se le ha impuesto una multa de 6.500€ por la infracción mencionada del artículo 37.1.f) de la LOPD.

Redes Sociales I; Aspectos Normativos

Redes-LOPDSabiendo que nos adentramos en temas de profundo calado o amplio espectro, o más bien de constante evolución, hemos considerado que vamos a abordar este tema por capítulos, aunque de momento no tengamos claro cuántos vamos a necesitar para comentarlo.

Podríamos enfocar el tema desde el punto de vista de las Redes Sociales más reconocidas, pero lo cierto es que el medio no tiene por qué ser determinante (o no es determinante).

Lo importante y que realmente tiene implicación para escribir este post, es la “finalidad”, el sentido o lo que perseguimos estando en una Red Social y qué pensamos hacer en la misma. Cuestiones que marcan aspectos en los que las LEYES, como la LOPD y/o la LSSI, van a estar presentes.

En este primer post, hablaremos del uso de los datos que hacen las empresas, de la finalidad (comercial o doméstica) para la que crean sus perfiles en redes sociales, para valorar sí estarán sometidas a la Normativa vigente y cómo.

Partiremos de la máxima de que todo Usuario personal o individual que se registra en una Red Social recibe y recopila información personal de los contactos que establece, pero lo hace en un entorno “doméstico”, que la LOPD establece como excepción, por tanto no sujeta a la LOPD. Pero cuando una empresa crea sus perfiles en redes sociales sí está sometida a su regulación, ya que su entorno no lo podemos calificar como “doméstico”, en su actividad interactúan personas jurídicas y/o físicas y a estas últimas le es de aplicación la LOPD.

Además hay que considerar el medio, es decir, que una Red Social se desarrolla en un medio que es un Servicio de la Sociedad  de la Información. Por ello a las empresas que tienen presencia en una Red Social les será de aplicación la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico o LSSICE. No obstante, en función de las acciones que emprenda esta afección será mayor o menor, entrando en juego un nuevo factor que llamaremos “riesgo”.

Este factor está marcado por la visibilidad que la empresa desea alcanzar y que irá acompañada de un riesgo mayor, a medida que su visibilidad y acciones, normalmente comerciales, le hagan estar cada vez más presente en la Red con el objetivo de garantizar la presencia de sus productos o servicios en Internet.

En el camino nos creamos lo que se conoce como identidad digital, que indefectiblemente viene acompañada de su reputación online, es decir, la valoración que el público hace de la Empresa en la Red, que puede provocar y provoca un impacto reputacional. Que sea negativo o no, dependerá de factores internos y externos . Estos últimos la propia Empresa no puede, y en ocasiones no sabe, controlar.

[pullquote]Pero cuando una empresa crea sus perfiles en redes sociales sí está sometida a su regulación, ya que su entorno no lo podemos calificar como “doméstico”, en su actividad interactúan personas jurídicas y/o físicas y a estas últimas le es de aplicación la LOPD.[/pullquote]

Las organizaciones difunden su imagen en Internet mediante su web corporativa, blogs empresariales, perfiles o en redes sociales y son los usuarios y clientes los que generan opinión sobre ellas, aunque  ni siquiera es necesario que la organización esté en Internet para que existan y se generen todo tipo de opiniones sobre ella.

Por tanto lo primero de lo que ha de ocuparse la Organización es de garantizar y hacer ver a sus potenciales clientes que cumple con las garantías legales establecidas, de tal manera que clientes, usuarios o seguidores, perciban las mismas garantías que si entrasen en contacto de manera presencial con nuestros productos o servicios.

En un próximo post hablaremos de cómo Internet genera por sí misma, situaciones de riesgo desde el punto de vista de la seguridad y privacidad que provocan un impacto reputacional y económico para la organización o de cómo las figuras emergentes, los llamados community manager, nos pueden ayudar o no.

NEWS 10/Octubre/2012

INTECO Publica Estudio sobre la protección de datos en las empresas españolas:

El INSTITUTO NACIONAL DE TECNOLOGÍAS DE LA COMUNICACIÓN acaba de publicar este estudio cuyo objeto es “establecer un diagnóstico de la percepción de cumplimiento de la normativa vigente en materia de protección de datos personales por parte de la pequeña y mediana empresa española en 2012” según se recoge en su resumen ejecutivo.

Del estudio cabe destacar lo siguiente:

Respecto al Conocimiento de la LOPD.- Casi todas las pequeñas y medianas empresas la conoce (86%). Siendo conscientes de estar sujetas a la misma cerca del 80%.

Sobre la existencia de ficheros.- 3 de cada 4 empresas trabajan habitualmente con ficheros con datos personales, siendo los más frecuentes los de clientes (94%) y proveedores (80%). Otros ficheros usados con menor frecuencia son: nóminas, los archivos para la seguridad social y de candidatos.

En cuanto a la percepción de adopción de las obligaciones sobre protección de datos:

  • La mitad de las pequeñas y medianas empresas dicen cumplir con todas las obligaciones de la LOPD. 
  • El 57% de las empresas afirma haber inscrito los ficheros (siendo la estimación de INTECO, que solo el 31,8% los han inscrito)

Percepción de adopción de medidas de seguridad:

  • La percepción es irregular entre las empresas españolas.
  • Un 57% de pequeñas y medianas con ficheros con datos personales manifiesta tener un Documento de Seguridad. 
  • El 48% de las empresas afirma haber organizado sesiones de formación específica sobre protección de datos.
  • Solo un 30% de las empresas dice disponer de un registro de incidencias.
  • casi el 62% de las empresas españolas afirma que realiza copias de respaldo con periodicidad semanal.

Finalmente el informe también establece una serie de recomendaciones y los perfiles de empresas según su cumplimiento de la normativa sobre protección de datos:

  1. Empresas despreocupadas-indiferentes
  2. Empresas previsoras-estratégicas
  3. Empresas desinformadas
  4. Empresas cumplidoras