Entradas

En protección de datos acreditar y cumplir procedimientos es clave para evitar sanciones RGPD, como en el caso de un concesionario

Recordemos que siempre, y tras una reclamación deberemos poder acreditar que “hemos cumplido” y que el personal siga los procedimientos establecidos para la gestión y el tratamiento de datos personales es clave para lograr acreditarlo.

El envío de comunicaciones comerciales sin consentimiento (SPAM) sancionado 1.500€ y 12.000€ a 2 empresas por misma infracción LSSI

La LSSI prohíbe las comunicaciones comerciales para la promoción directa o indirecta de los bienes o servicios sin consentimiento expreso del destinatario, salvo cuando exista una relación contractual previa y se cumplan otros requisitos. En este artículo te contamos qué es lo que debemos tener presentes en el envío de comunicaciones comerciales por medios electrónicos y la diferencia entre 2 situaciones idénticas de envíos de comunicaciones comerciales no consentidas, sancionadas con 1.500€-12.000€

¿Puedo grabar una excursión sin solicitar el consentimiento ni informar a los asistentes?

¿Puedo grabar una excursión sin solicitar el consentimiento ni informar a los asistentes?

Imagen de Pexels en Pixabay

Evidentemente no, por ello la AEPD atiende una reclamación en ese sentido y apercibe por doble infracción de protección de datos

Te apuntas a una excursión, la pagas y resulta que antes de la salida en el propio autobús te dicen verbalmente que será grabada y podrás tener una copia, previo pago, y si no quieres salir indiques que no quieres ser grabado y te pongas detrás de la cámara.

Pues resulta que luego alguien te denuncia ya que has vulnerado sus derechos, ya que la imagen es un dato de carácter personal, y la Agencia Española de Protección de Datos (AEPD) atiende dicha reclamación y te apercibe por una doble infracción:

  1. Artículo 13 RGPD, respecto al deber de información que debería haber facilitado de manera previa al inicio del reportaje
  2. Artículo 7 RGPD por falta de consentimiento, que en este caso sería la base legal que legitima la grabación.

El consentimiento en el RGPD:

Definido en el artículo 4 como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”.

Recordemos que para un caso como este, el consentimiento del excursionista debe de ser prestado válidamente, de forma expresa y afirmativamente, siendo evidente que la fórmula empleada por la empresa no fue la adecuada.

La propia AEPD señala en su resolución que “NO es válido alegar que se preguntó antes de empezar las grabaciones del reportaje” ya que recordemos la fórmula utilizada fue: “si alguien no está de acuerdo con que se le filme, que lo indique para no sacarle en el reportaje …”, ya que no acredita que se proporcionó toda la información sobre el tratamiento de datos personales conforme al artículo 13 del RGPD.

¿Qué información debió ser facilitada por la empresa antes de la grabación?

En este caso, si observamos la información facilitada por la empresa respecto a lo que el art. 13 del RGPD establece, vemos que el incumplimiento es evidente, ya que recordemos, de manera resumida es la siguiente:

  • la identidad y los datos de contacto del responsable;
  • los datos de contacto del delegado de protección de datos, en su caso;
  • los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  • los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  • en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional;
  • el plazo durante el cual se conservarán los datos;
  • derecho a solicitar al responsable del tratamiento el ejercicio de derechos: acceso, rectificación o supresión, oposición, etc.;
  • el derecho a presentar una reclamación ante una autoridad de control;
  • ……………
Acreditar el consentimiento

Respecto al consentimiento, recordemos que el responsable del tratamiento debe poder demostrar que el interesado ha dado su consentimiento y por tanto deberá poderlo acreditar.

Por tanto eso supone documentar quién, cómo y cuándo consintió, y qué información le fue facilitada, debiendo sopesar la manera de hacerlo cuando se hace de forma verbal (grabación), offline (firma y fecha) u online (acreditar la información a través del doble opt-in)

Finalidad informativa vs económica de una grabación

Aunque en el presente caso es evidente que existe una finalidad económica directa (pago del mismo) por la grabación, nunca informativa o pública, pero es curioso ver que entre las alegaciones, se indicase lo siguiente: “(…) Las grabaciones en calle públicas por parte de las televisiones no requieren dar autorización expresa de los viandantes solo si ven la cámara y no están de acuerdo con que se les grabé lo advierten al productor de igual manera en los eventos deportivos conciertos fútbol toros etcétera sacan al público sin la autorización previa (…)”

Conclusión de la resolución de la Agencia ante la denuncia planteada

La imagen es un dato de carácter personal y su tratamiento está sujeto a la normativa de protección de datos, entre otras, debe estar sustentado en una base de legitimación y cumplir con el deber de información, debiendo se capaz de acreditarlo.

Todo ello sin entrar en la regulación del derecho a la propia imagen, como derecho fundamental de carácter personal reconocido en el art. 18.1 de la Constitución, que se recoge en la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen (LO 1/1982)

Enlace a la resolución sancionadora de la AEPD publicada el 07/01/2021

https://www.aepd.es/es/documento/ps-00181-2020.pdf

La Agencia Española de Protección de datos impone al BBVA la mayor sanción en protección de datos hasta la fecha: ¡¡¡5 millones!!!

photo credit: David Feltkamp via photopin cc

La propuesta inicial de la Agencia era 6 millones a raíz de varias reclamaciones resueltas en un único procedimiento por infracción de los artículos 13 y 14 #RGPD (2 millones) y otros 3 por artículo 6 del RGPD

La importancia de la información ofrecida y el consentimiento obtenido al tratar datos personales

Básicamente la #AEPD sanciona el formulario en el que el banco da a conocer los términos aplicables a la protección de datos personales, que requiere el #consentimiento (específico, inequívoco e informado) de sus clientes. Dicha información recogida en su política de privacidad, no es adecuada respecto a la finalidad del tratamiento y la base jurídica que lo legitima (especialmente las basadas en el interés legítimo), e insuficiente información sobre sobre el tipo de perfiles que se van a realizar y los usos específicos a que se van a destinar.

La Agencia le requiere que en el plazo de 6 meses corrija sus formularios: “adecúe a la normativa de protección de datos personales las operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos deben prestar su consentimiento para la recogida y tratamiento de sus datos personales, con el alcance expresado en el Fundamento de Derecho X (detallado en la página 114)»

Seguramente habrá recurso del Banco, ya que entre otras cosas considera:

El BBVA declara no estar conforme y solicita la nulidad del procedimiento o la caducidad y subsidiariamente su archivo o, en su defecto, apercibimiento o una reducción significativa.

El BBVA declara reproducidas en su totalidad sus alegaciones al acuerdo de inicio, que, a su juicio, la propuesta de resolución no tiene en cuenta ni rebate; y formula las consideraciones siguientes, que reproducen básicamente aquellas alegaciones a la apertura del procedimiento (página 22 a 37)

El único objeto del procedimiento ha sido el formulario que da a conocer los términos aplicables a la protección de datos personales y requiere el #consentimiento de los interesados, dejando al margen otras cuestiones como: análisis sobre la seguridad de los datos de la EIPD, gestión de derechos, datos comunicados a empresas del “grupo BBVA” y la información ofrecida a través de cualquier otro canal o documento para la contratación de productos o de servicios que, por su especialidad, incluyeran sus propias cláusulas de protección de datos.

La resolución ha sido publicada por la Agencia con fecha 11 de diciembre de 2020.

¿Puede la empresa exponer en el tablón de anuncios el listado de productividad de cada empleado identificado mediante nº de matrícula conforme al RGPD?

Publicación de listado de productividad de empleados y protección de datos

Imagen de Gerd Altmann en Pixabay

¿Puede la empresa exponer en el tablón de anuncios el listado de productividad de cada empleado identificado mediante nº de matrícula conforme al RGPD?

Una empresa plantea a la AEPD una consulta ya que pretende publicar cada semana la productividad semanal individual de cada empleado que participa en una actividad que requiere conocer el rendimiento obtenido, en esta caso vinculado al deshueso y loncheado de jamones en sobres.

La consulta indica que el listado se ubicará en el tablón de anuncios de la sala donde los trabajadores hacen el trabajo y sin datos directos vinculados al empleado, solo con el dato del número de matrícula, que únicamente conoce el empleado y las personas del Departamento de Recursos Humanos que realizan el pago de una prima.

En base al rendimiento a final de mes la empresa paga una prima de productividad reflejada en su nómina, es decir, solo conocida por el trabajador.

Aspectos a contemplar: base de legitimación, ponderación y medidas de seguridad que garanticen el secreto y acceso a dichos datos

La AEPD, que ya se ha pronunciado con anterioridad al RGPD sobre la publicación de los datos de productividad, lo hace para dar traslado respecto al RGPD y a la base legitimadora del tratamiento de datos de la consulta, establecidas en el artículo 6.1 del RGPD y a la necesidad de la previa evaluación de ponderación de los derechos e intereses de los afectados.

La Agencia considera que en este caso, la publicación de los datos de productividad de los empleados está fundamentado en el artículo 6.1.f) del RGPD, es decir, si el mismo “es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales…”

La publicación responde a un interés legítimo de ambos:

Del empresario al generar competitividad sana entre sus empleados y la mejora de la productividad global de la empresa,

y también de los empleados quienes conocerán su propio rendimiento frente al resto de compañeros.

Además, el proceso garantiza la transparencia del dato al tener su correspondiente repercusión económica.

Eso sí, la empresa deberá de adoptar las medidas de seguridad organizativas y técnicas necesarias que garantice el secreto y acceso a dichos datos, y que no dé lugar a tratamientos posteriores, algo que considera se cumple “al limitarse la publicación al tablón de anuncios de la Sala en la que se desarrolla la actividad laboral” y al identificar a cada trabajador por su número de matrícula, dato solo conocido por el empleado y el personal del Departamento de Recursos Humanos.

Conclusión del informe de la AEPD:

La Agencia concluye: “Por todo ello, el tratamiento objeto de consulta, en cuanto fundamentado en el artículo 6.1.f) del RGPD y previa ponderación de los intereses y derechos afectados, habiéndose adoptado garantías adecuadas, se estima conforme a la normativa vigente sobre protección de datos de carácter personal.”

Enlace al informe completo publicado el 27/11/2020