Entradas

Inmobiliarias sancionadas por AEPD al no informar a clientes sobre el tratamiento de sus datos

Aunque es recurrente que la AEPD sancione a entidades que no informan de manera adecuada al RGPD en la recogida de datos personales, es poco habitual ver resoluciones de la Agencia en la que la entidad sancionada por ese motivo sea una Inmobiliaria, sector en el que el incumplimiento normativo de protección de datos es poco habitual.

¿Es una dirección de email un dato de carácter personal?

El día 19 de octubre de 2021, leíamos 2 resoluciones sancionadoras de la AEPD en las que se desestiman alegaciones sobre que el email no es un dato de carácter personal.

¿Qué sucede si no nombro ante AEPD un Delegado de Protección de Datos (DPD) y estoy obligado?

Este post también se podría titular: ¿Cuándo es obligado nombrar un Delegado de Protección de Datos?
Ya que en realidad esa es la cuestión que muchas empresas o entidades que tratan datos personales se preguntan, pero algunas no, y otras tantas lo ignoran.

El envío de comunicaciones comerciales sin consentimiento (SPAM) sancionado 1.500€ y 12.000€ a 2 empresas por misma infracción LSSI

La LSSI prohíbe las comunicaciones comerciales para la promoción directa o indirecta de los bienes o servicios sin consentimiento expreso del destinatario, salvo cuando exista una relación contractual previa y se cumplan otros requisitos. En este artículo te contamos qué es lo que debemos tener presentes en el envío de comunicaciones comerciales por medios electrónicos y la diferencia entre 2 situaciones idénticas de envíos de comunicaciones comerciales no consentidas, sancionadas con 1.500€-12.000€

¿Qué espacio de la calle puedo grabar con una cámara de videovigilancia, conforme a la normativa de protección de datos, para evitar robos en mi propiedad o zonas comunes?

¿Qué debemos saber antes de instalar cámaras de videovigilancia conforme normativa protección datos? | Eurovima Consulting | Asesoría Protección de Datos Madrid

¿Puedo grabar una excursión sin solicitar el consentimiento ni informar a los asistentes?

¿Puedo grabar una excursión sin solicitar el consentimiento ni informar a los asistentes?

Imagen de Pexels en Pixabay

Evidentemente no, por ello la AEPD atiende una reclamación en ese sentido y apercibe por doble infracción de protección de datos

Te apuntas a una excursión, la pagas y resulta que antes de la salida en el propio autobús te dicen verbalmente que será grabada y podrás tener una copia, previo pago, y si no quieres salir indiques que no quieres ser grabado y te pongas detrás de la cámara.

Pues resulta que luego alguien te denuncia ya que has vulnerado sus derechos, ya que la imagen es un dato de carácter personal, y la Agencia Española de Protección de Datos (AEPD) atiende dicha reclamación y te apercibe por una doble infracción:

  1. Artículo 13 RGPD, respecto al deber de información que debería haber facilitado de manera previa al inicio del reportaje
  2. Artículo 7 RGPD por falta de consentimiento, que en este caso sería la base legal que legitima la grabación.

El consentimiento en el RGPD:

Definido en el artículo 4 como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”.

Recordemos que para un caso como este, el consentimiento del excursionista debe de ser prestado válidamente, de forma expresa y afirmativamente, siendo evidente que la fórmula empleada por la empresa no fue la adecuada.

La propia AEPD señala en su resolución que “NO es válido alegar que se preguntó antes de empezar las grabaciones del reportaje” ya que recordemos la fórmula utilizada fue: “si alguien no está de acuerdo con que se le filme, que lo indique para no sacarle en el reportaje …”, ya que no acredita que se proporcionó toda la información sobre el tratamiento de datos personales conforme al artículo 13 del RGPD.

¿Qué información debió ser facilitada por la empresa antes de la grabación?

En este caso, si observamos la información facilitada por la empresa respecto a lo que el art. 13 del RGPD establece, vemos que el incumplimiento es evidente, ya que recordemos, de manera resumida es la siguiente:

  • la identidad y los datos de contacto del responsable;
  • los datos de contacto del delegado de protección de datos, en su caso;
  • los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  • los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  • en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional;
  • el plazo durante el cual se conservarán los datos;
  • derecho a solicitar al responsable del tratamiento el ejercicio de derechos: acceso, rectificación o supresión, oposición, etc.;
  • el derecho a presentar una reclamación ante una autoridad de control;
  • ……………
Acreditar el consentimiento

Respecto al consentimiento, recordemos que el responsable del tratamiento debe poder demostrar que el interesado ha dado su consentimiento y por tanto deberá poderlo acreditar.

Por tanto eso supone documentar quién, cómo y cuándo consintió, y qué información le fue facilitada, debiendo sopesar la manera de hacerlo cuando se hace de forma verbal (grabación), offline (firma y fecha) u online (acreditar la información a través del doble opt-in)

Finalidad informativa vs económica de una grabación

Aunque en el presente caso es evidente que existe una finalidad económica directa (pago del mismo) por la grabación, nunca informativa o pública, pero es curioso ver que entre las alegaciones, se indicase lo siguiente: “(…) Las grabaciones en calle públicas por parte de las televisiones no requieren dar autorización expresa de los viandantes solo si ven la cámara y no están de acuerdo con que se les grabé lo advierten al productor de igual manera en los eventos deportivos conciertos fútbol toros etcétera sacan al público sin la autorización previa (…)”

Conclusión de la resolución de la Agencia ante la denuncia planteada

La imagen es un dato de carácter personal y su tratamiento está sujeto a la normativa de protección de datos, entre otras, debe estar sustentado en una base de legitimación y cumplir con el deber de información, debiendo se capaz de acreditarlo.

Todo ello sin entrar en la regulación del derecho a la propia imagen, como derecho fundamental de carácter personal reconocido en el art. 18.1 de la Constitución, que se recoge en la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen (LO 1/1982)

Enlace a la resolución sancionadora de la AEPD publicada el 07/01/2021

https://www.aepd.es/es/documento/ps-00181-2020.pdf