Entradas

Sanción AEPD: El Responsable del Fichero “también” responde del incumplimiento del Encargado de Tratamiento | Eurovima Consulting S.L.

Sanción AEPD: El Responsable del Fichero “también” responde del incumplimiento del Encargado

En esta ocasión queremos hablaros de una sanción que la Agencia Española de Protección de Datos (AEPD) ha impuesto a dos empresas, una que actuaba como responsable de fichero y otra como encargada de tratamiento de la anterior. El motivo de la sanción es el incumplimiento del deber de información regulado en el art. 5 de la Ley de Protección de datos (LOPD).

La primera de ellas, responsable del fichero, encomendó a la segunda, encargada de tratamiento, la gestión de los servicios de “Call Center” de ésta.

En su defensa inicial, el responsable del fichero y el encargado de tratamiento alegaron que la LOPD no les es aplicable porque tratan datos de entidades jurídicas, y en su caso, de las personas que trabajen para estas entidades, por lo que les sería de aplicación la excepción del art. 2.2 del Reglamento que desarrolla la LOPD (RDLOPD). Pero a lo largo del procedimiento se ha demostrado que se trataban datos de otras personas como familiares o cualquier persona que llamase al “Call Center” con motivo de la relación con la responsable del fichero y se atendían llamadas por personas interesadas en adquirir vehículos de ocasión, siendo desestimada dicha excepción del art. 2.2 del RDLOPD

El origen de la denuncia

Partió del representante sindical que denunció que si bien las llamadas recibidas por el “Call Center” se grababan por acuerdo entre las partes, posteriormente el encargado de tratamiento, y por su cuenta envió un correo electrónico a los coordinadores del servicio diciendo a sus empleados que no se debía informar a los llamantes de que las conversaciones eran grabadas.

La AEPD resuelve que existe corresponsabilidad de ambas entidades

La resolución pone de manifiesto que: “Es al responsable del fichero y tratamiento, a quien corresponde adoptar las cautelas para el cumplimiento de los mandatos de la LOPD y su inobservancia le hace responsable del tratamiento de datos objeto de de la denuncia, con independencia de la actuación del encargado del tratamiento” añadiendo que “no ha aportado elementos de juicio suficientes que permitan entender que dio instrucciones precisas al respecto y no había previsto ningún mecanismo ni establecido ningún control al respecto, ni una obligación cierta, expresa y determinada

Esta corresponsabilidad, viene marcada en la sentencia que establece: “Sobre este particular decir que interpreta el art. 12.4 de la LOPD la sentencia de 14/03/2007 Recurso 280/2005, que haciéndose eco de la anterior Sentencia de 13/04/2005 Rec.241/2003, establece que lo que determina la LOPD en el mismo es que si el encargado del tratamiento destina los datos a una finalidad distinta a la indicada, los comunica o los utiliza incumplido las estipulaciones del contrato “… “será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”.

“El término “también” deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del tratamiento no pierde su condición de tal, ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento, que incumpla lo estipulado, se le atribuya “también” la consideración de responsable del tratamiento…”

Pese al incumplimiento del encargo del Responsable del Fichero, ambos fueron sancionados con 2.300€

En definitiva, aunque el encargado de tratamiento por propia iniciativa es responsable de haber dado instrucciones específicas y expresas a sus trabajadores para que no informen sobre las grabaciones, el responsable del fichero o tratamiento responderá de las infracciones cometidos con motivo del encargo, aunque el encargado del tratamiento haya incumplido sus instrucciones, por no vigilar que esté cumpliendo con la normativa sobre protección de datos.

¿Qué conclusiones podemos extraer de todo lo expuesto?:

  • El deber de información del art. 5 de la LOPD, debe ofrecerse siempre, aunque se haga de forma telefónica, incluso teniendo el consentimiento del titular de los datos para tratar los mismos, por ejemplo por motivo de un contrato previo.
  • Cuando se traten datos de empresas o sus empleados, se hará siempre cumpliendo con la finalidad para los que se recabaron los mismos. Los datos de los empleados que están excluidos de la norma son nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales.
  • Debe existir siempre un contrato, entre el responsable de fichero y el encargado de tratamiento, conforme al 12 de la LOPD, que regule la situación del tratamiento de datos por cuenta del responsable del fichero, en el que se darán instrucciones precisas de cómo se debe actuar por parte del encargado de tratamiento.
  • El incumplimiento de dicho contrato, o de la normativa sobre protección de datos por parte del encargado de tratamiento, con motivo de esta relación, le convierte en responsable de tratamiento, y por tanto se le podrá sancionar. Pudiendo sancionar también al responsable del fichero por no vigilar que el encargado cumpliendo con la normativa sobre protección de datos.

Si queréis más información sobre este procedimiento lo podéis consultar en este enlace.

Desde Eurovima, recomendamos a las empresas regular muy bien las relaciones con los terceros con los que contratamos nuestros servicios y que traten/accedan a datos personales de los que somos responsables, como puedan ser asesores, hosting, informáticos, “Call Center”… y sobre todo que seamos “diligentes” a la hora de elegirlos, cuestión que genera controversia en materia LOPD, al ser un argumento que ha empleado en distintas ocasiones y sobre el que ya hemos hablado: “Nube” o Cloud Computing. Seamos diligentes…

LOPD: Derechos ARCO, 6.000€ de sanción por no cancelar sus datos

photo credit: David Feltkamp via photopin cc

photo credit: David Feltkamp via photopin cc

En la vida en muchas ocasiones hay que insistir, hacernos oír y luchar por lo que consideramos justo. Luego la justicia o el órgano competente dirá si tenemos o no razón, y en este caso, vemos como la Agencia Española de Protección de Datos (AEPD) atendió en segunda insistencia la denuncia de una persona que estimaba lesionados sus derechos respecto a la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD).

Este artículo es un ejemplo claro de aplicación sobre el que hace unos días escribimos: Cómo cancelar tus datos personales. Si te envían correos y no te hacen caso, mejor habla con el “primo de Zumosol”, en el que el papel del primo de Zumosol recae en la AEPD.

EL MOTIVO DE LA DENUNCIA

El denunciante se dio de alta como Usuario para un servicio concreto, solicitando información sobre productos y servicios de la entidad. Posteriormente mediante el envío de un email a la dirección de la página web del denunciado, les requirió que no habiendo recibido ningún servicio, cancelen todos mis datos personales y me comuniquen que dicha cancelación se ha producido”.

El denunciante continuó recibiendo llamadas comerciales en las que reiteró su solicitud de cancelación, no recibiendo en ningún caso comunicación sobre su solicitud, por lo que decidió presentar denuncia ante la AEPD solicitando su tutela.

LA AGENCIA NO ATENDIÓ INICIALMENTE SU PETICIÓN, NI EL RECURSO.

Aunque inicialmente la AEPD acordó la inadmisión a trámite de la reclamación de tutela de derechos, al considerar que “la solicitud de cancelación remitida por correo electrónico no permite acreditar su recepción por la entidad reclamada, y tampoco aceptó el recurso de reposición por los mismos motivos señalados, posteriormente en su resolución sí consideró que el medio empleado por el denunciante para dirigir su solicitud de cancelación de datos fue el adecuado ya que así lo establecía la entidad a través de su web, ordenando el inicio de las Actuaciones de investigación para esclarecer los hechos.

FINALMENTE: LA SANCIÓN

La sanción señala que “habiendo comprobado que la petición de información del denunciante no había sido atendida, en el momento en que éste ejercitó el derecho de cancelación, en lugar de atenderlo, plantearon recuperar la solicitud de información sobre los servicios de la entidad remitiendo los datos a otro concesionario o por otro medio, habiéndole realizado llamadas telefónicas con este fin en fechas posteriores al ejercicio del derecho, lo que supone un tratamiento de los datos del denunciante contrario a la disposición efectuada por éste y demuestra, en definitiva, que el derecho no fue atendido”.

Además indica, que se incumplió la obligación de contestar la solicitud de cancelación y no comunicarla a los cesionarios a los que se había remitido los datos, para que éstos, a su vez, procedieran a cancelarlos, lo que supuso una infracción del artículo 16 de la LOPD, conforme al derecho de cancelación ejercitado por el denunciante.

En definitiva, por no resolver sobre la petición de acceso en el plazo máximo de 10 días ni proceder al borrado físico de sus datos o a su bloqueo, volver a comunicarse para reactivar el servicio al Usuario y no comunicarlo a los cesionarios, le fue impuesta una sanción de 6.000€. La sanción no fue mayor, ya que la AEPD estimó que:

  1. El denunciado no había obtenido un beneficio de dicha acción
  2. No era reincidente
  3. No provocó perjuicios distintos derivados de la propia infracción y
  4. ha mostrado su disposición a mejorar sus procesos internos para atender dichos derechos (acreditando la elaboración de un nuevo proceso de ejercicio de derechos ARCO y su ofrecimiento para colaborar).

 Pueden consultar el procedimiento sancionador en este enlace

Como cancelar tus datos personales. Si te envían correos y no te hacen caso, mejor habla con el “primo de Zumosol”. | Eurovima Consulting | Asesoría Protección de Datos | LOPD | Madrid

Como cancelar tus datos personales. Si te envían correos y no te hacen caso, mejor habla con el “primo de Zumosol”.

Como cancelar tus datos personales. Si te envían correos y no te hacen caso, mejor habla con el “primo de Zumosol”. | Eurovima Consulting | Asesoría Protección de Datos | LOPD | MadridSuele ser muy habitual que nos llamen, envíen SMS o correos electrónicos de empresas/profesiones/asociaciones (vamos a llamarlas “entidades”) a las que no recordamos haberles facilitado nuestros datos, cuestión que ya puede ser una infracción de la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD), pero es que además aunque tratemos de que no lo vuelvan a hacer, en muchos casos lo siguen haciendo.

¿Qué podemos hacer para cancelar nuestros datos?

Como somos educados, lo primero es dirigirnos a la “entidad” para indicarles que no nos molesten más, aunque en ocasiones no tenemos una manera clara para comunicarnos (cuestión a la que están obligados por otra Ley; la LSSI).

Si hemos logrado contactar, esperamos que surta efecto, pero en caso de insistir en sus molestas comunicaciones, tenemos que saber que podemos acudir a la Agencia Española de Protección de Datos (AEPD) diciendo que estimamos lesionados nuestros derechos respecto a la LOPD y queremos ejercer la tutela de derechos, es decir, que sea la AEPD la que le pida explicaciones.

Qué derechos tenemos sobre el control de nuestros datos personales: Derechos ARCO; de Acceso, Rectificación, Cancelación y Oposición

Veamos, de manera resumida y clara, que significa cada derecho:

  • Derecho de Acceso. De obtener información sobre si están tratando nuestros datos, la finalidad del tratamiento y como los han obtenido.
  • Derecho de Rectificación. A que modifiquen nuestros datos si son inexactos o incompletos.
  • Derecho de Cancelación. A que los eliminen en caso de ser inadecuados o excesivos.
  • Derecho de Oposición. A que no traten nuestros datos de carácter personal o se cese en el mismo (por ejemplo en ficheros con fines publicitarios)

¿Cómo ejercitar los derechos ARCO?

Estos derechos sólo pueden ser ejercidos por el titular de los datos o un representante acreditado, es decir, su ejercicio es “personalísimo”.

Para poder ejercerlo, las entidades (responsables del fichero) deben facilitar medios sencillos y gratuitos, dando respuesta (siempre han de responder, aunque sea para decirnos que no tienen datos nuestros) en los plazos que la LOPD establece. Si creemos que nuestros derechos no son atendidos en tiempo y forma (motivada y detallada), podemos acudir al “primo de zumosol”, es decir, a la tutela de la Agencia Española de Protección de Datos (AEPD).

Algún ejemplo de sanción de la AEPD

La de un usuario que se dió de alta para un servicio, solicitando información sobre los productos de la entidad, requiriendo posteriormente mediante el envío de un email a la dirección de la página web del denunciado, que no habiendo recibido ningún servicio, “cancelen todos sus datos personales y le comuniquen que dicha cancelación se ha producido”.

Posteriormente recibió llamadas comerciales, en las que reiteró su solicitud de cancelación, no recibiendo en ningún caso comunicación sobre su solicitud, por lo que decidió presentar denuncia ante la AEPD, solicitando su tutela.

La AEPD en su resolución de 25-07-2014; PS-00088-2014 estimó infracción del artículo 16 de la LOPD, por no resolver sobre la petición de acceso en el plazo máximo de 10 días ni proceder al borrado físico de sus datos o a su bloqueo, volver a comunicarse para reactivar el servicio al Usuario y no comunicarlo a los cesionarios, le sancionó con 6.000€.

La sanción no fue mayor, ya que la AEPD no estimó dolo, ni beneficio y por ser diligente al revisar sus procedimientos del ejercicio de los derechos ARCO.

Como siempre a vuestra disposición si necesitáis ayuda para ejercer cualquiera de estos derechos y agradecemos los comentarios.

Para más información visita los siguientes enlaces a la AEPD:

 

Agencia Española de Protección de Datos | Eurovima Consulting S.L.

LOPD, MEMORIA AEPD: Las Sanciones en 2013 suben un 6% hasta 22,3 millones€

El pasado día 13 de octubre de 2014, la Agencia Española de Protección de Datos (AEPD) publicó su memoria anual, en la que se recogen las actuaciones más significativas, entre otras las relativas a las sanciones impuestas.

Pocos aspectos llaman la atención, para aquellos que venimos siguiendo la actividad diaria de la Agencia, pues la línea de actuación se mantiene, si bien a modo de resumen destacaremos algunos aspectos.

 

Mayor sensibilidad de ciudadanos y Organizaciones:

El conocimiento y la importancia que tanto ciudadanos como organizaciones manifiestan por el cumplimiento normativo sigue en aumento, cuestión que se refleja en el incremento de:

  • El número de consultas realizadas (en el que las relativas a la cesión de datos son las más realizadas).
  • Los Ficheros inscritos,
  • La solicitud de informes
  • Consolidación en el nº de denuncias y reclamaciones presentadas por los ciudadanos (por ejemplo, la demanda sobre la cancelación de datos de los ciudadanos ha crecido un 8%).
  • Se ha consolidado las reclamaciones sobre el llamado “derecho al olvido en Internet”, si bien, será en este 2014 cuando las cifras van a ser particularmente elevadas.

 

Las multas: cuantías, gravedad, normativa infringida y sectores más sancionados

Hay un dato muy curioso, y es que si bien el número de denuncias baja un 1,7%, la cuantía de las mismas sube el 6% y eso que en más del 80% de los casos, la AEPD aplicó los criterios de moderación y atenuación de sanciones previsto en la LOPD, aunque sí es cierto, que en el procedimiento contra Google se declararon 3 infracciones por una sanción de 900.000€ en total.

Según la gravedad, el 90,85% han sido infracciones leves, el 9,15% graves y no han existido infracciones muy graves.

Según la Ley infringida, el 93,9% de las infracciones corresponden a la LOPD, el 5,8% a la LSSI y apenas el 0,3% a la LGT.

Sectores más sancionados: Las denuncias siguen afectando en mayor medida a las empresas de los mismos sectores que en años anteriores, si bien se producen algunas variaciones que señalamos:

  1. Telecomunicaciones (15 millones€). Lo que supone un 67% del total frente al 73% del total en 2012
  2. Empresas del sector de suministro y comercialización de agua y energía (2,1 millones€). Sube hasta el 9% frente al 6% del 2012. Pasa de la tercera a la segunda posición.
  3. Entidades Financieras (1,8 millones€) Baja hasta el 8% desde el 13,5% del año 2012.

 

Otros datos de interés: Videovigilancia, apercibimiento y Administraciones Públicas

Destacar también el número de denuncias presentadas sobre la videovigilancia con 918 actuaciones de investigación (el 11,7% del total) que acapara el 60% de los procedimientos de apercibimiento.

Significativa es también el caso de las Administraciones Públicas, con un incremento del 52,6% en el número de infracciones declaradas, cuyo incremento es especialmente significativo en el ámbito Autonómico.

 Puede consultar la memoria completa en este enlace

Cómo aplicar el Derecho al olvido. Expertos de Google se reúnen en Madrid

2568436053_a9734f5d0d_zEl pasado día 9 de septiembre de 2014, en la Casa de América, de Madrid, tuvo lugar la primera de las 7 reuniones del Consejo Asesor de Google sobre derecho al olvido. Y nosotros estuvimos allí.

QUIÉN ASISTIÓ AL EVENTO

La sesión convocó a un gran número de autoridades y expertos en temas de derecho e internet. Allí  estuvo entre muchos otros el Presidente Ejecutivo de Google en España, el Vicepresidente Mundial de Google, el fundador de la Wikipedia, un relator especial de Naciones Unidas, el ex-director de la Agencia Española de Protección de Datos, magistrados, letrados, historiadores, profesores y doctores en derecho, y Asociaciones de usuarios. Una gran representación del mundo de internet.

La sesión se celebró a puerta cerrada, pero un limitado número de asistentes pudimos estar presente como espectadores, y participar en el evento con nuestras preguntas.

PORQUÉ SE CELEBRA ESTA REUNIÓN

Para ponernos en antecedentes, Google fue condenado en una Sentencia del Tribunal de Justicia la Unión Europea, de mayo de 2.014, a “desindexar” en sus buscadores los datos personales de personas concretas, de tal modo que sea imposible realizar búsquedas en atención a un nombre y apellido, y que se relacionen datos o hechos determinados a personas especificas.

Pero este derecho no resulta ilimitado, y para que Google elimine esos datos de la búsqueda se tienen que cumplir una serie de requisitos, que aun no están definidos claramente.

La Sentencia, aunque fundamentada jurídicamente, deja muchos cabos sueltos, de los que no se han contemplado solución. En parte porque no se preguntaron en el asunto judicial, o porque ni siquiera se contemplaron en ese momento.

Todo ello a petición de un usuario que no quería que lo encontrasen con la búsqueda de su nombre completo en Internet vinculado a una información de deudas pasadas, y saldadas, ya que su reputación, y solvencia se veía afectada.

Desde que se publicó la Sentencia Google ha recibido más de 100.000 peticiones de borrado (de las que ha admitido aproximadamente la mitad), habilitando un procedimiento para solicitar el mismo. Google está obligado, pero los criterios que debe seguir para aceptar o no las peticiones no están definidos.

Por ello desde Google y para sentar criterios se está haciendo una labor de recopilación de información, consejos, opiniones, y jurídica, que le ayude en la toma de decisiones para una correcta aplicación, demostrando su aparente interés en hacer las cosas bien.

El Consejo Asesor, se reunirá en más ciudades, y convocará a nuevos expertos en el tema, en búsqueda de una conclusión.

DE QUÉ SE HABLÓ EN ESTA SESIÓN

En esta sesión, se discutieron muchos temas de interés. Cada participante vertía su opinión sobre un tema, y en su caso proponía soluciones, o recomendaciones. Por su parte desde Google, se repreguntó sobre algunas cuestiones, para aclarar conceptos u opiniones.

Uno de los temas que me llamó la atención es la posición de partida de los buscadores.

¿Son meros enlazadores de datos?, y como consecuencia únicamente se encargan de poner en listas los enlaces a las distintas páginas donde se encuentra la información resultado de la búsqueda. ¿O además son Editores de contenido? Es el supuesto de que pueda decidir sobre el contenido de las páginas a las que enlaza.

Pero es que los buscadores además se podrían convertir en editores de contenido, puesto que al fijar criterios de búsqueda determinados, favorecen o obstaculizan la visibilidad de una página en concreto. Recordemos que se han creado profesiones que lo que pretenden es el posicionamiento de una Web atendiendo a los criterios que proponen los buscadores.

¿Es lo mismo desindexado que borrado?

No, el borrado de información, lo debería realizar el editor de datos o contenido, es decir la página web. La solicitud se debería dirigir a éste.

Por el contrario con la desindexación, el buscador, incluso el editor de la Web, puede utilizar unas herramientas informáticas llamadas “no robot.txt” que lo que hacen es que unas determinadas palabras no puedan ser reconocidas por los buscadores, y por lo tanto dificultaría su localización.

¿Se han convertido los buscadores en Jueces?

Al exigirles esta labor de desindexado, deberán decidir en qué supuestos deben conceder la petición al usuario y en cuáles no. Los criterios para realizar esta labor de decisión, en los estados democráticos, se deben fijar en normas por los legisladores, y en su caso los jueces son los que deciden finalmente entre la colisión de derechos, el derecho del usuario, el del buscador, o el del editor…

También los organismos reguladores, como La Agencia Española de Protección de Datos, tienen algo que decir, mediante la fijación de criterios, de interpretación.

Se planteó la posibilidad de regular la situación en el Nuevo Reglamento de protección de datos que se está discutiendo aún a nivel Europeo.

¿Qué se entiende por derecho al olvido?

No existe ninguna norma que regule este supuesto derecho. ¿Estamos hablando del derecho de cancelación de la LOPD? Cuyo bien jurídico protegido es el dato personal. ¿O se trata de ofensas al honor, intimidad o la imagen?

¿Se debe tener en cuenta el origen de la información?

La publicación de contenidos puede tener origen en diversos supuestos, de manera voluntaria, o por obligación legal, como consecuencia de la libertad de información…

¿Debe existir un daño, o se trata de un derecho de arrepentimiento?

Sería el usuario que podría borrar cualquier dato que él mismo publicó. Por ejemplo la foto de adolescentes borrachos en las fiestas de Ibiza, que ahora sale a la luz cuando buscas trabajo.

¿Debe existir autorización para la publicación en todos los casos?

La autorización debería venir dada por el propio usuario, o por una norma legal que regule un derecho en colisión, como pudiera ser el deber de información, libre disposición del empresario, u otros derechos…

¿Todos tenemos este derecho?

No deberían tener la misma consideración una persona física no conocida, que una pública. Y aun así ¿sería admisible la existencia de contenidos de una persona pública referidos a situaciones que se escapan de su condición pública? Es decir son de interés los datos del matrimonio del hijo de la cantante.

¿Consideramos que se deberían borrar los datos de la noticia del político corrupto? ¿O esos datos deberían poder ser consultados en cualquier momento?

Y las personas jurídicas, las empresas, asociaciones, comunidades… ¿tienen también este derecho?

En este caso se podría hacer una limpieza de cara de tal manera que sólo aparecerán las informaciones que nos favorezcan y se borrarán todas aquellas que nos causen perjuicio, o simplemente no nos gusten.

¿Cuánto tiempo debe ser localizable una información? ¿Se opone el derecho al olvido al derecho a la memoria histórica?

En el caso de la comisión de un delito, por el que ya se ha cumplido condena, y se han cancelado los antecedentes penales. ¿Resultaría lícito incluir los resultados de la búsqueda en Internet? Se ha cumplido ya suficientemente la condena. Pero puede existir un escarnio de por vida al existir esta posibilidad de encontrar la información. Pero y qué pasa con los violadores…

Si se retiran los contenidos, o se imposibilita su localización, ¿Se está afectando a la historia? Los buscadores han ahorrado mucho tiempo a los historiadores, en la búsqueda de información para poder contrastar. Si se borra dicha información quedará inaccesible a la historia.

Otra solución sería el borrado o desindexación temporal de la información, de tal manera que como ocurre con los documentos desclasificados de los gobiernos, transcurrido un tiempo se puedan consultar ciertos documentos.

NUESTRA CONCLUSIÓN

Esta es la primera de las reuniones planteadas. No existe una conclusión preliminar, sino una serie de cuestiones de las que existe diversidad de opiniones.

De momento Google, tiene la obligación y facultad de decisión, y lo que decida puede sentar un precedente, o llevarle a la asunción de una multa por incumplimiento de la Sentencia. Y todo ello sin tener unos criterios fijos, claros, y determinados. El camino que ha adoptado la empresa, me parece, como mínimo, favorable, puesto que demuestra un interés sobre el tema. Además con este tipo de reuniones se genera un debate en la red, que de otra forma, y con la petición de informes a estos expertos de forma privada, no generaría.

Nosotros, mientras tanto, estaremos pendientes de las novedades que resulten, para informaros puntualmente, sobre la manera en que se aplicará este “derecho al olvido”, y defender vuestros derechos.

¿LOPD y Videovigilancia: Puedo grabar la entrada de mi casa hacia el rellano de la escalera?

Hace unas cuantas semanas desde Facebook nos hacíamos eco de un informe publicado por la Agencia Española de Protección de Datos (AEPD) que hablaba sobre “la cesión de datos de las comunidades de vecinos a sus propietarios” y nos hacían la siguiente consulta:

¿LOPD y Videovigilancia: Puedo grabar la entrada de mi casa hacia el rellano de la escalera?

Cctv Camera In Front Of The Village, Residence Stock Photo by nipitphand in www.freedigitalphotos.net

“Puede un vecino colocar una cámara de videovigilancia en la puerta de su piso con intención de grabar supuestos “actos vandálicos” de otro vecino del edificio? Esto es, si quiero tener la certeza de que un vecino en concreto pone a su perro a hacer sus necesidades en mi felpudo, o quiero tener pruebas fehacientes de que es él quien, por ejemplo, me ralla la puerta, etc….puedo instalarla sin avisar a la comunidad, o es ésta la que debe autorizarlo?”

Bueno, pues hoy queremos tratar de dar respuesta a una situación que siendo lamentable debe tratarse y actuar conforme las leyes nos permitan y en este caso lo trataremos según lo establecido por la LOPD y para ello iremos por partes.

¿Aplica la LOPD aunque solo exista visualización y por tanto no concurra grabación?

Lo primero es aclarar que la imagen de una persona identificada o identificable es un dato de carácter personal y su tratamiento estará sujeto a la normativa de protección de datos, es decir:

  1. Por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD)
  2. Su Reglamento de desarrollo
  3. De manera particular por la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos (AEPD), sobre el tratamiento de datos personales con fines de videovigilancia a través de sistemas de cámaras o videocámaras.

[pullquote]Aunque no exista grabación, solo visualización, también le aplica la normativa, y si hay grabación, los datos serán cancelados en el plazo máximo de un mes desde su captación.[/pullquote]

Si la cámara es instalada por la comunidad, deberá:

  1. Notificar e inscribir un fichero en el Registro General de Protección de Datos.
  2. Respetar los plazos y procedimiento de almacenamiento de las imágenes grabadas, debiendo ser cancelados en el plazo máximo de un mes desde su captación.
  3. Adoptar las medidas de seguridad previstas en Reglamento de desarrollo de la LOPD.
  4. Atender los derechos de acceso, rectificación y cancelación.
  5. La instalación debe estar autorizada por la Comunidad.
  6. Respetar todos los requisitos establecidos en la Instrucción 1/2006, de 8 de noviembre.

La comunidad debe aprobar su instalación, en un acuerdo de junta de propietarios y aprobarlo por las 3/5 partes de los propietarios según establece la Ley de Propiedad Horizontal puesto que el tratamiento de datos de carácter personal a través de cámaras de videovigilancia se produce en una zona común.

¿Qué dice al respecto la Instrucción 1/2006, de 8 de noviembre, sobre sistemas de videovigilancia?

En concreto, el Artículo 3 obliga a que los responsables (la Comunidad) que cuenten con sistemas de videovigilancia cumplan con el deber de información previsto en el artículo 5 de la LOPD, debiendo:

  1. Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
  2. Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.

No aplica la normativa sobre protección de datos los tratamientos que tengan su origen en actividades exclusivamente personales o domésticas, por ejemplo, las cámaras que graban solo el interior de la vivienda particular, quedaría fuera de la LOPD.

En definitiva, ¿Puedo grabar la entrada de mi casa hacia el rellano de la escalera?

Pues lo cierto es que no. La instalación se debe hacer de forma que cuando un vecino abre la puerta de su casa la cámara no graba su interior si es colocada por la comunidad y si es propiedad del vecino, no debe grabar espacios comunes de la comunidad.

Cuando las cámaras graben espacios comunes de la comunidad de vecinos, nunca estaremos en un ámbito doméstico y si del ámbito de aplicación de la LOPD.

La LOPD establece que las cámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende (necesaria para satisfacer un interés legítimo) pero mucho nos tememos que en este caso difícilmente podremos justificar que sea imprescindible, si bien otras medidas no harán posible demostrar que se están produciendo dichos actos vandálicos.

Si lográsemos que la justicia aceptara dicho interés legítimo*, estaríamos hablando de otra cosa, pero de momento no nos consta que existen casos en los que se haya podido acreditar*.

Como de costumbre, esperamos vuestros comentarios y que nos consultéis cualquier duda sobre el tema, haciendo uso de nuestros servicios de Asesoría en protección de datos y comercio electrónico.

*15-07-14.- Actualización: Os dejamos el enlace a un artículo de David González Calleja, que aporta  más información sobre este aspecto

Protección de datos: Resumen y conclusiones de 6ª Sesión Anual Abierta de la AEPD

El pasado viernes 14 de marzo de 2014, en el marco incomparable del Teatro Real de Madrid, se ha celebrado la 6ª Sesión Anual Abierta de la Agencia Española de Protección de Datos (AEPD) con un aforo completo, como cada año, de unos 1.200 profesionales de la privacidad y la protección de datos.

La cita suele servir para escuchar de la propia AEPD los aspectos más relevantes que se han producido en el último año y que nos den su opinión sobre dichas cuestiones, por otra parte también esperamos que nos cuenten o adelanten alguna novedad, aunque la verdad es que hemos salido algo defraudados pues las novedades han sido escasas y lo expuesto ha sido una mera y rápida puesta en escena de la memoria que cada año publica la AEPD.

Abrió la jornada el Director de la AEPD, D. José L. Rodríguez Álvarez, de cuya intervención resaltamos:

  1. Que no se aprobará el Reglamento Europeo, cuando el año pasado el mensaje fue que “había voluntad política para que antes de que finalice la presente legislatura europea se aprobase”.
  2. Que la información personal adquiere cada vez un mayor valor económico por sí misma.
  3. El aumento en la desconfianza en el desarrollo de la actividad económica digital y la privacidad por los acontecimientos del último año solo pueden ser reparados con más garantías. El Director señaló que en principio la Agencia no tiene competencias, aunque han participado en las solicitudes de información presentada por el Grupo de trabajo del Artículo 29.
  4. Creación de una guía de evaluación de impacto (PIA), que califica como una metodología madura, si bien solicitan nuestra colaboración para completar su contenido.
  5. Que el internet de las cosas, Drones y Big Data son los 3 grandes retos venideros en privacidad.
  6. Sobre las Cookies, que hay 16 procedimientos abiertos de los 28 iniciados y habrá un nuevo régimen sancionador que incluirá el apercibimiento.

Del resto de exposiciones, además de los merecidos premios en materia de privacidad y de que en 7-8 meses solo se haya notificado una brecha de seguridad, de manera resumida destacamos lo siguiente:

COOKIES.- Además de desgranar la única sanción publicada, apenas se aportaron datos nuevos salvo:

  1. Que de momento solo se sanciona la falta de información.
  2. Que la agilidad a la hora de subsanar errores es tenida en cuenta por la Agencia.
  3. Se confirma el nuevo régimen sancionador.

REGLAMENTO EUROPEO DE PROTECCIÓN DE DATOS.- Que si bien hay avances, pues ya ha pasado por distintos trámites parlamentarios, el que se retrase es un secreto a voces, y el espionaje masivo aireado (que no descubierto) seguro que tiene mucho que ver como “causa-efecto” en la brecha de la desconfianza generada. 

PIAs.- Se anunció una guía para las evaluaciones de impacto en materia de privacidad, identificando y evaluando riesgos desde el inicio, es decir, desde el diseño. La intención es dar respuestas al qué/cómo/quién, con el respaldo de la dirección y con la participación de perfiles mixtos y actores internos/externos. Se partirá de un documento de mínimos que se completará con las aportaciones de la consulta pública.

INFORMES Y SENTENCIAS RELEVANTES.- Destacar el incremento en el número de informes y la detallada exposición de las sanciones a Google y sus expresiones condicionales del tipo: “podremos; podrá; es posible” incluidas en su política de privacidad. Además, la Agencia ha constatado que Gmail filtra correos y ficheros anexos para enviar publicidad.

CONSULTAS.- Aunque habrá que verlas en detalle cuando sean publicadas en la web de la Agencia, destacar que si publicas un video en tu perfil de una red social que al ejecutarse lleve a un tercero que instale cookies, deberás obtener el consentimiento informado para dicha instalación.


NUESTRAS CONCLUSIONES:

En un mundo TIC en constate evolución, el legislador se mueve muy lento y demasiado presionado, de manera que cuando llegue el ansiado Reglamento Europeo, este ya habrá quedado desfasado.

Con las COOKIES y la sanción a Google nos encontramos en el “día de la marmota”, una extensa exposición de algo de sobra conocido. No obstante, destacar sobre las cookies la consulta mencionada sobre la publicación de un video en red social ejecutado en plataforma de un tercero, que como diría el Maestro Luis Aragonés (si cambiamos la palabra ganar) la frase sería: “Informar, informar y volver a informar”.

Que estamos ante una guía de evaluación de impacto (PIA) versión 0.1, esperando que no se convierta en un mero informe interno más de la empresa, un informe que se moldee para que no se parezca mucho a la guía, y se guarde para mostrar ante una posible inspección. Como curiosidad, nos preguntamos si las aportaciones de la consulta pública tendrán el mismo eco publicitario sobre aquellas personas/organizaciones que hagan aportaciones significativas, como ya ha ocurrido con otras guías.

Sobre lo señalado en la exposición de las funciones de la SEDE ELECTRÓNICA de la Agencia, llegamos a la conclusión que según la AEPD el cumplimiento normativo es “gratis” ya que la Agencia en su página web pone a disposición toda la información y el material necesario para hacerlo. Que la intención de la Agencia siempre ha sido la de conjugar proximidad/accesibilidad con gratuidad, pero como dice el anuncio: para todo lo demás; EUROVIMA CONSULTING, o cualquiera de los profesionales en materia de asesoría de protección de datos (LOPD) que nos hemos citado en Madrid, o los repartidos por España.

PD.- No queriendo dar ideas, esperemos que siga siendo gratis, sobre todo sin aplicar tasas a las denuncias ante la AEPD.

En Protección de Datos, asumir la culpabilidad y alegar un error no indulta la sanción de AEPD (1.200€)

photo credit: David Feltkamp via photopin cc

photo credit: David Feltkamp via photopin cc

Hace poco, en concreto en diciembre de 2013, escribíamos un artículo titulado: “Si un Cliente es baja de tu newsletter, no le envíes más correo. Sanción de la AEPD y hoy nuevamente volvemos a escribir para incidir en una situación muy similar, que concluyó con una sanción de 1.200€ de la Agencia Española de Protección de Datos (AEPD).

Hablamos de la enésima sanción de la AEPD por el envío de correos comerciales no solicitados, lo que se conoce como “spam” (todo tipo de comunicación no solicitada, realizada por vía electrónica).

En este caso, queremos resaltar que por una parte el denunciado reconoció su culpabilidad y por otra los argumentos que el denunciado alegó para tratar de librarse de la multa. Pero antes de entrar a valorarlos, vayamos por partes.

La denuncia:

Nos encontramos ante el “típico” caso de una persona que recibió un par de correos electrónicos (comunicación comercial) de una empresa de la que nunca había sido cliente ni había mantenido contacto alguno, a la que posteriormente les notificó mediante un email que le diesen de baja de su base de datos e indicasen cuando les había autorizado para recibir su publicidad.

Según la denunciante, no obtuvo respuesta y siguió recibiendo sus emails (hay que recordar que la LSSI en su artículo 21 prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas).

La Agencia solicita información a la entidad, señalando que la dirección IP desde la que se enviaron los correos, estuvo asignada esos días y a esas horas a la denunciada (verificando lo indicado en la denuncia).

Las alegaciones de la Entidad denunciada:

Como respuesta a la solicitud de información del inspector de la AEPD, la empresa denunciada remitió un escrito en el que manifestaron, entre otras cuestiones, lo siguiente:

  • Que la dirección de correo electrónico de la denunciante se incluyó por error de un miembro de su personal en dos correos informativos que remiten frecuentemente a antiguos clientes, clientes que les solicitan información y empresas con las que tienen una relación habitual.
  • El origen del dato de la dirección de correo electrónico es una consulta realizada en Internet, aunque no disponen de acreditación del consentimiento prestado por el reclamante para la remisión de correos comerciales.
  • No han recibido solicitud alguna del reclamante solicitando el ejercicio de derechos ARCO.

Posteriormente la AEPD inició procedimiento sancionador por la presunta infracción del artículo 21 de la LSSI, tipificada como leve (cuya sanción puede llegar a los 30.000€), a la que la denunciada presentó alegaciones, reiterando y reconociendo que “por error de un miembro de nuestro personal la dirección de correo electrónico a la que se hace referencia se incluyó en dos de los correos informativos que remitimos frecuentemente a antiguos clientes, clientes que nos solicitan información …“  y que “ha existido un error puntual en el proceso de tratamiento de la información y rogamos tengan en consideración que no se ha actuado en ningún caso de mala fe. Así mismo esta empresa aumentará sus esfuerzos por controlar las actuaciones de nuestro personal en el cumplimiento de la normativa.…”.

Una vez la entidad denunciada reconoce los hechos, la agencia resuelve y le sanciona con 1.200€, aplicando una disminución en la cuantía de la sanción:

Al haber reconocido los hechos y la responsabilidad derivada,  y en aplicación del artículo 8.1 del Real Decreto 1398/93 que señala que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”, la Agencia resuelve desestimar su alegato sobre que “obtuvo la dirección de correo destinataria de la red internet….de una fuente accesible al público (la página web de la denunciante)”, ya que la AEPD considera que “ni tenía la autorización previa y expresa y tampoco una relación comercial previa y por tanto ha resultado probado que el denunciado envío dos comunicaciones comerciales por medios electrónicos incumpliendo lo dispuesto en el art. 21.1 de la LSSI”.

No obstante, la Agencia aplica los criterios de graduación de las sanciones ante la ausencia de intencionalidad, de perjuicios causados y de los beneficios obtenidos por la entidad denunciada imponiendo una sanción de 1.200 €.

En definitiva, asumir el error ha servido para que la Agencia simplificase el procedimiento, pero no para considerar las alegaciones de que se trató de un “error” cometido por un empleado o que tuviese legitimidad para el envío por el simple hecho de  que el origen del dato de la dirección de correo electrónico fuese una consulta realizada en Internet.

Una vez más, queremos recordar a nuestros lectores y Clientes, ser muy cuidadosos con la gestión de las suscripciones a los boletines o newsletter, al igual que en la atención de los derechos ARCO (acceso, rectificación, cancelación y oposición de datos). Hay que seguir los procedimientos previstos y recogidos en el documento de seguridad y sobre todo, que es mejor una consulta previa a nuestro servicio de asesoría para valorar las implicaciones normativas tanto de la LOPD como de la LSSI, respecto a cualquier acción o campaña de marketing que suponga una comunicación comercial.

 

Enlace a la Resolución de la AEPD: PS-00598-2013

 

Agencia Española de Protección de Datos | Eurovima Consulting S.L.

El 14 de marzo 2014 se celebrará la 6ª Sesión Anual Abierta de la AEPD. Abierto el plazo inscripción

AEPD-logoSegún ha publicado esta mañana la AEPD, el próximo día 14 de marzo de 2014 se celebrará la 6ª Sesión Anual Abierta de la Agencia Española de Protección de Datos, que tendrá lugar en el Teatro Real  de Madrid.

El equipo de EUROVOMA CONSULTING ya se ha inscrito. Para todos aquellos interesados, os dejamos información del programa previsto y el enlace a la inscripción, recordando que los hagáis pronto, pues el aforo en otros años se ha cubierto en 1-2 días.

En la primera parte de la sesión se abordarán las cuestiones relacionadas con la evaluación de impacto en la privacidad y se expondrá la organización y el funcionamiento de la Sede Electrónica de la AEPD así como de las herramientas disponibles para facilitar el cumplimiento de las obligaciones legales.

En la segunda parte, se analizarán las principales novedades en materia de protección de datos personales acaecidas durante el último año, tanto en el ámbito nacional como internacional.

La AEPD invita a los profesionales, empresarios, representantes de instituciones y ciudadanos interesados a una sesión pública, abierta y gratuita de carácter esencialmente práctico en la que la Agencia responderá las preguntas que deseen formularnos.

Con el fin de organizar la Sesión y controlar el aforo, en la página web sedeagpd.gob.es encontrará un formulario de inscripción para asistir a la jornada. En este mismo formulario podrá plantear la pregunta sobre la que desea obtener una respuesta en la Sesión Abierta. El equipo directivo de la AEPD analizará y contestará las principales cuestiones planteadas en la solicitud de inscripción.

La AEPD sanciona con 6.000€ a aseguradora por revelar datos del consorte al cónyuge

Antes de entrar a comentar la resolución de la AEPD (PS-00424-2013) que concluyó con una sanción de 6.000€, nos haremos la siguiente pregunta: ¿podría acceder un cónyuge a los datos de su pareja sobre los planes de pensiones o seguros contratados por el otro?.

Los hechos que motivaron la denuncia ante la AEPD

Una pareja casada, presentó sendas reclamaciones, cada uno por su lado, ante la compañía aseguradora con la que tenían contratado un plan de pensiones porque ésta no les informaba sobre la rentabilidad de los mismos. Se da la circunstancia que cada uno de ellos tenía como asegurado y como beneficiario al otro. Finalmente la aseguradora respondió a cada uno de ellos por separado, pero informando en cada una de las comunicaciones sobre la rentabilidad de los dos planes tal y como señala la resolución “no solo la información relativa a su Plan, sino también la relativa al Plan de su cónyuge”.

Esta acción que en principio pudiera parecer lógica, tiene una compleja y variada fundamentación legal.

Si repasamos el Código Civil, en su artículo 71 indica que ninguno de los cónyuges puede atribuirse la representación del otro sin que le hubiere sido conferida. Sin embargo y para el régimen económico matrimonial de la sociedad de gananciales, situación económica  en la que se encuentran gran mayoría de los Españoles, el artículo 1.375 indica que en defecto de pacto en capitulaciones, la gestión y disposiciones de los bienes gananciales corresponde conjuntamente a los cónyuges. Esto implica que un Cónyuge podría solicitar datos del otro siempre que los mismos puedan incluirse dentro de la administración de bienes gananciales, y con finalidad de gestionar los mismos. Pero es que además la misma norma en su artículo 1.346, apartado 5, indica que los bienes y derechos patrimoniales inherentes a la persona y los no transmisibles inter vivos se consideran bienes privativos.

Desde la perspectiva de la LOPD, ¿cuál ha sido el incumplimiento?.

En el artículo 10, la LOPD obliga al responsable del fichero a guardar secreto sobre los datos de los clientes que se están tratando y que el responsable del fichero (la empresa denunciada) o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no puede revelar ni dar a conocer su contenido teniendo el deber de guardarlos.

Además el artículo 9 obliga al responsable del fichero a adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado.

El incumplimiento lo encontramos claramente reflejado en la resolución: “Por tanto, no ha actuado con la diligencia debida al no comprobar correctamente los datos y documentos remitidos a cada uno de los denunciantes, por lo que debe considerarse que ha vulnerado el artículo 10 de la LOPD”, “al enviar a cada uno de los denunciantes carta en la que constaba no solo el nombre y apellidos del cónyuge, sino también el Certificado de Pago de Primas y la Información Trimestral de Plan de Previsión Asegurado contratado por cada uno de ellos, información que había sido solicitada individualizadamente por cada uno de ellos en reclamación de 29/08/2012, sin que hubiese obtenido el consentimiento o autorización de los denunciantes para la revelación de los mismos, conculcando el deber de secreto recogido en el citado artículo 10 de la LOPD, por lo que su actuación ha de ser merecedora de sanción.

Resolvamos la pregunta planteada al inicio: ¿podría acceder un cónyuge a los datos de su pareja sobre los planes de pensiones o seguros contratados por el otro?.

Atendiendo a las normas mencionadas, la respuesta es NO.

Con respecto a la legislación civil, el fundamento legal es que se trata de un derecho inherente a la persona, no transmisible inter vivos, del que no se tiene representación, por resultar un derecho privativo, y por tanto no entra dentro del régimen económico matrimonial de gananciales.

Con respecto a la LOPD, la sanción impuesta por la AEPD a la aseguradora, ha sido por el incumplimiento del mencionado deber de secreto, no obstante la Agencia ha considerado la peculiaridad del caso, aplicando una graduación (disminución) en la sanción, que finalmente ascendió a 6.000€, una vez valorados los criterios de graduación de las sanciones que la LOPD contempla, tanto favorables como adversos, que en este caso han sido los siguientes:

  1. Adverso.- La resolución señala que se “trata de una gran compañía aseguradora por cuota de mercado; todo ello, en vez de atenuar su responsabilidad, le impone un mayor deber de diligencia en su actuación”.
  2. Favorable.- Por otra parte la AEPD entiende que “concurre en el presente caso una cualificada disminución de la culpabilidad de la compañía aseguradora, pues si bien incluyó en la comunicación dirigida a cada uno de los denunciantes información del Plan del respectivo cónyuge, información que era absolutamente prescindible; sin embargo, los citados denunciantes son cónyuges, la reclamación de los mismos ante la oficina de Algeciras se realiza simultáneamente en la misma fecha, su contenido es prácticamente idéntico, tienen la misma dirección y son beneficiarios de los respectivos Planes”.

En conclusión podemos responder a la pregunta inicial y asegurar que sí que pueden existir secretillos en el matrimonio y que la próxima vez atiendas con mayor rapidez las solicitudes de información de tus clientes, o de lo contrario aprovecharán cualquier “error” para “ajustar” cuentas.

Como siempre, estaremos encantados de recibir vuestras opiniones.