Aunque es recurrente que la AEPD sancione a entidades que no informan de manera adecuada al RGPD en la recogida de datos personales, es poco habitual ver resoluciones de la Agencia en la que la entidad sancionada por ese motivo sea una Inmobiliaria, sector en el que el incumplimiento normativo de protección de datos es poco habitual.
El día 19 de octubre de 2021, leíamos 2 resoluciones sancionadoras de la AEPD en las que se desestiman alegaciones sobre que el email no es un dato de carácter personal.
Este post también se podría titular: ¿Cuándo es obligado nombrar un Delegado de Protección de Datos?
Ya que en realidad esa es la cuestión que muchas empresas o entidades que tratan datos personales se preguntan, pero algunas no, y otras tantas lo ignoran.
La LSSI prohíbe las comunicaciones comerciales para la promoción directa o indirecta de los bienes o servicios sin consentimiento expreso del destinatario, salvo cuando exista una relación contractual previa y se cumplan otros requisitos. En este artículo te contamos qué es lo que debemos tener presentes en el envío de comunicaciones comerciales por medios electrónicos y la diferencia entre 2 situaciones idénticas de envíos de comunicaciones comerciales no consentidas, sancionadas con 1.500€-12.000€
¿Qué debemos saber antes de instalar cámaras de videovigilancia conforme normativa protección datos? | Eurovima Consulting | Asesoría Protección de Datos Madrid
Te apuntas a una excursión, la pagas y resulta que antes de la salida en el propio autobús te dicen verbalmente que será grabada y podrás tener una copia, previo pago, y si no quieres salir indiques que no quieres ser grabado y te pongas detrás de la cámara.
Pues resulta que luego alguien te denuncia ya que has vulnerado sus derechos, ya que la imagen es un dato de carácter personal, y la Agencia Española de Protección de Datos (AEPD) atiende dicha reclamación y te apercibe por una doble infracción:
Definido en el artículo 4 como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”.
Recordemos que para un caso como este, el consentimiento del excursionista debe de ser prestado válidamente, de forma expresa y afirmativamente, siendo evidente que la fórmula empleada por la empresa no fue la adecuada.
La propia AEPD señala en su resolución que “NO es válido alegar que se preguntó antes de empezar las grabaciones del reportaje” ya que recordemos la fórmula utilizada fue: “si alguien no está de acuerdo con que se le filme, que lo indique para no sacarle en el reportaje …”, ya que no acredita que se proporcionó toda la información sobre el tratamiento de datos personales conforme al artículo 13 del RGPD.
En este caso, si observamos la información facilitada por la empresa respecto a lo que el art. 13 del RGPD establece, vemos que el incumplimiento es evidente, ya que recordemos, de manera resumida es la siguiente:
Respecto al consentimiento, recordemos que el responsable del tratamiento debe poder demostrar que el interesado ha dado su consentimiento y por tanto deberá poderlo acreditar.
Por tanto eso supone documentar quién, cómo y cuándo consintió, y qué información le fue facilitada, debiendo sopesar la manera de hacerlo cuando se hace de forma verbal (grabación), offline (firma y fecha) u online (acreditar la información a través del doble opt-in)
Aunque en el presente caso es evidente que existe una finalidad económica directa (pago del mismo) por la grabación, nunca informativa o pública, pero es curioso ver que entre las alegaciones, se indicase lo siguiente: “(…) Las grabaciones en calle públicas por parte de las televisiones no requieren dar autorización expresa de los viandantes solo si ven la cámara y no están de acuerdo con que se les grabé lo advierten al productor de igual manera en los eventos deportivos conciertos fútbol toros etcétera sacan al público sin la autorización previa (…)”
La imagen es un dato de carácter personal y su tratamiento está sujeto a la normativa de protección de datos, entre otras, debe estar sustentado en una base de legitimación y cumplir con el deber de información, debiendo se capaz de acreditarlo.
Todo ello sin entrar en la regulación del derecho a la propia imagen, como derecho fundamental de carácter personal reconocido en el art. 18.1 de la Constitución, que se recoge en la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen (LO 1/1982)
Enlace a la resolución sancionadora de la AEPD publicada el 07/01/2021
