Entradas

¿Puedo grabar una excursión sin solicitar el consentimiento ni informar a los asistentes?

¿Puedo grabar una excursión sin solicitar el consentimiento ni informar a los asistentes?

Imagen de Pexels en Pixabay

Evidentemente no, por ello la AEPD atiende una reclamación en ese sentido y apercibe por doble infracción de protección de datos

Te apuntas a una excursión, la pagas y resulta que antes de la salida en el propio autobús te dicen verbalmente que será grabada y podrás tener una copia, previo pago, y si no quieres salir indiques que no quieres ser grabado y te pongas detrás de la cámara.

Pues resulta que luego alguien te denuncia ya que has vulnerado sus derechos, ya que la imagen es un dato de carácter personal, y la Agencia Española de Protección de Datos (AEPD) atiende dicha reclamación y te apercibe por una doble infracción:

  1. Artículo 13 RGPD, respecto al deber de información que debería haber facilitado de manera previa al inicio del reportaje
  2. Artículo 7 RGPD por falta de consentimiento, que en este caso sería la base legal que legitima la grabación.

El consentimiento en el RGPD:

Definido en el artículo 4 como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”.

Recordemos que para un caso como este, el consentimiento del excursionista debe de ser prestado válidamente, de forma expresa y afirmativamente, siendo evidente que la fórmula empleada por la empresa no fue la adecuada.

La propia AEPD señala en su resolución que “NO es válido alegar que se preguntó antes de empezar las grabaciones del reportaje” ya que recordemos la fórmula utilizada fue: “si alguien no está de acuerdo con que se le filme, que lo indique para no sacarle en el reportaje …”, ya que no acredita que se proporcionó toda la información sobre el tratamiento de datos personales conforme al artículo 13 del RGPD.

¿Qué información debió ser facilitada por la empresa antes de la grabación?

En este caso, si observamos la información facilitada por la empresa respecto a lo que el art. 13 del RGPD establece, vemos que el incumplimiento es evidente, ya que recordemos, de manera resumida es la siguiente:

  • la identidad y los datos de contacto del responsable;
  • los datos de contacto del delegado de protección de datos, en su caso;
  • los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  • los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  • en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional;
  • el plazo durante el cual se conservarán los datos;
  • derecho a solicitar al responsable del tratamiento el ejercicio de derechos: acceso, rectificación o supresión, oposición, etc.;
  • el derecho a presentar una reclamación ante una autoridad de control;
  • ……………
Acreditar el consentimiento

Respecto al consentimiento, recordemos que el responsable del tratamiento debe poder demostrar que el interesado ha dado su consentimiento y por tanto deberá poderlo acreditar.

Por tanto eso supone documentar quién, cómo y cuándo consintió, y qué información le fue facilitada, debiendo sopesar la manera de hacerlo cuando se hace de forma verbal (grabación), offline (firma y fecha) u online (acreditar la información a través del doble opt-in)

Finalidad informativa vs económica de una grabación

Aunque en el presente caso es evidente que existe una finalidad económica directa (pago del mismo) por la grabación, nunca informativa o pública, pero es curioso ver que entre las alegaciones, se indicase lo siguiente: “(…) Las grabaciones en calle públicas por parte de las televisiones no requieren dar autorización expresa de los viandantes solo si ven la cámara y no están de acuerdo con que se les grabé lo advierten al productor de igual manera en los eventos deportivos conciertos fútbol toros etcétera sacan al público sin la autorización previa (…)”

Conclusión de la resolución de la Agencia ante la denuncia planteada

La imagen es un dato de carácter personal y su tratamiento está sujeto a la normativa de protección de datos, entre otras, debe estar sustentado en una base de legitimación y cumplir con el deber de información, debiendo se capaz de acreditarlo.

Todo ello sin entrar en la regulación del derecho a la propia imagen, como derecho fundamental de carácter personal reconocido en el art. 18.1 de la Constitución, que se recoge en la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen (LO 1/1982)

Enlace a la resolución sancionadora de la AEPD publicada el 07/01/2021

https://www.aepd.es/es/documento/ps-00181-2020.pdf

La Agencia Española de Protección de datos impone al BBVA la mayor sanción en protección de datos hasta la fecha: ¡¡¡5 millones!!!

photo credit: David Feltkamp via photopin cc

La propuesta inicial de la Agencia era 6 millones a raíz de varias reclamaciones resueltas en un único procedimiento por infracción de los artículos 13 y 14 #RGPD (2 millones) y otros 3 por artículo 6 del RGPD

La importancia de la información ofrecida y el consentimiento obtenido al tratar datos personales

Básicamente la #AEPD sanciona el formulario en el que el banco da a conocer los términos aplicables a la protección de datos personales, que requiere el #consentimiento (específico, inequívoco e informado) de sus clientes. Dicha información recogida en su política de privacidad, no es adecuada respecto a la finalidad del tratamiento y la base jurídica que lo legitima (especialmente las basadas en el interés legítimo), e insuficiente información sobre sobre el tipo de perfiles que se van a realizar y los usos específicos a que se van a destinar.

La Agencia le requiere que en el plazo de 6 meses corrija sus formularios: “adecúe a la normativa de protección de datos personales las operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos deben prestar su consentimiento para la recogida y tratamiento de sus datos personales, con el alcance expresado en el Fundamento de Derecho X (detallado en la página 114)”

Seguramente habrá recurso del Banco, ya que entre otras cosas considera:

El BBVA declara no estar conforme y solicita la nulidad del procedimiento o la caducidad y subsidiariamente su archivo o, en su defecto, apercibimiento o una reducción significativa.

El BBVA declara reproducidas en su totalidad sus alegaciones al acuerdo de inicio, que, a su juicio, la propuesta de resolución no tiene en cuenta ni rebate; y formula las consideraciones siguientes, que reproducen básicamente aquellas alegaciones a la apertura del procedimiento (página 22 a 37)

El único objeto del procedimiento ha sido el formulario que da a conocer los términos aplicables a la protección de datos personales y requiere el #consentimiento de los interesados, dejando al margen otras cuestiones como: análisis sobre la seguridad de los datos de la EIPD, gestión de derechos, datos comunicados a empresas del “grupo BBVA” y la información ofrecida a través de cualquier otro canal o documento para la contratación de productos o de servicios que, por su especialidad, incluyeran sus propias cláusulas de protección de datos.

La resolución ha sido publicada por la Agencia con fecha 11 de diciembre de 2020.

¿Puede la empresa exponer en el tablón de anuncios el listado de productividad de cada empleado identificado mediante nº de matrícula conforme al RGPD?

Publicación de listado de productividad de empleados y protección de datos

Imagen de Gerd Altmann en Pixabay

¿Puede la empresa exponer en el tablón de anuncios el listado de productividad de cada empleado identificado mediante nº de matrícula conforme al RGPD?

Una empresa plantea a la AEPD una consulta ya que pretende publicar cada semana la productividad semanal individual de cada empleado que participa en una actividad que requiere conocer el rendimiento obtenido, en esta caso vinculado al deshueso y loncheado de jamones en sobres.

La consulta indica que el listado se ubicará en el tablón de anuncios de la sala donde los trabajadores hacen el trabajo y sin datos directos vinculados al empleado, solo con el dato del número de matrícula, que únicamente conoce el empleado y las personas del Departamento de Recursos Humanos que realizan el pago de una prima.

En base al rendimiento a final de mes la empresa paga una prima de productividad reflejada en su nómina, es decir, solo conocida por el trabajador.

Aspectos a contemplar: base de legitimación, ponderación y medidas de seguridad que garanticen el secreto y acceso a dichos datos

La AEPD, que ya se ha pronunciado con anterioridad al RGPD sobre la publicación de los datos de productividad, lo hace para dar traslado respecto al RGPD y a la base legitimadora del tratamiento de datos de la consulta, establecidas en el artículo 6.1 del RGPD y a la necesidad de la previa evaluación de ponderación de los derechos e intereses de los afectados.

La Agencia considera que en este caso, la publicación de los datos de productividad de los empleados está fundamentado en el artículo 6.1.f) del RGPD, es decir, si el mismo “es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales…”

La publicación responde a un interés legítimo de ambos:

Del empresario al generar competitividad sana entre sus empleados y la mejora de la productividad global de la empresa,

y también de los empleados quienes conocerán su propio rendimiento frente al resto de compañeros.

Además, el proceso garantiza la transparencia del dato al tener su correspondiente repercusión económica.

Eso sí, la empresa deberá de adoptar las medidas de seguridad organizativas y técnicas necesarias que garantice el secreto y acceso a dichos datos, y que no dé lugar a tratamientos posteriores, algo que considera se cumple “al limitarse la publicación al tablón de anuncios de la Sala en la que se desarrolla la actividad laboral” y al identificar a cada trabajador por su número de matrícula, dato solo conocido por el empleado y el personal del Departamento de Recursos Humanos.

Conclusión del informe de la AEPD:

La Agencia concluye: “Por todo ello, el tratamiento objeto de consulta, en cuanto fundamentado en el artículo 6.1.f) del RGPD y previa ponderación de los intereses y derechos afectados, habiéndose adoptado garantías adecuadas, se estima conforme a la normativa vigente sobre protección de datos de carácter personal.”

Enlace al informe completo publicado el 27/11/2020

Si tu web no cumple con RGPD y COOKIES ponte las pilas como esta empresa y evita una sanción

Imagen de Tumisu en Pixabay

Llevamos meses leyendo resoluciones de la Agencia Española de Protección de Datos (AEPD) en el ámbito de páginas web que no tienen adecuadas la información respecto a las cookies, o que las instalan sin cometimiento (las no necesarias) o de la inexistencia o inadecuadas políticas de privacidad y/o aviso legal.

En muchos casos terminan en sanciones o apercibimiento y aunque sabemos que las cuantías no son tan importantes como los 30.000€ de sanción impuesta a IBERIA y cuya resolución es de esta semana, concretamente del día 21/10/2020, si estamos ante un momento en el que la Agencia, una vez actualizada su guía de cookies, ha dado de plazo hasta el 31 de octubre para que adecuemos nuestras páginas web.

Una web denunciada pasa de ser propuesta para una sanción a que la Agencia archiva la denuncia. ¿Cómo lo logró?

Una de esas resoluciones de la AEPD en materia de cookies, es la que también se ha publicado esta semana. En este caso se archiva el procedimiento sancionador respecto a una web por inicialmente “carecer de la información preceptiva en una Política de Privacidad y en la instalación de cookies no ofrecer información clara y completa”.

Las alegaciones de la empresa dueña de la web fueron que se estaba trabajando “justamente en la actualización de los textos legales y por ese motivo no disponía de los avisos acorde al RGPD”.

La reclamada aportó los textos actualizados y la Agencia revisa la web pero le abre procedimiento sancionador al considerar que “no cumplía las condiciones que impone la normativa en vigor, por lo que procede la apertura de un procedimiento sancionador” al incumplir el art. 22.2 LSSI respecto a la política de cookies.

La empresa titular de la web “se puso las pilas” y modificó el banner siguiendo la “Guía sobre cookies” y así se lo hace saber a la AEPD que vuelve a revisarla y lo arhiva al entender que “no se contradice con lo estipulado en el artículo 22.2 LSSI”.

Moraleja, si no cumples pero te pones las pilas, quizás no tengas sanción de la Agencia Española de Protección de Datos.

¿Cumple tu web con el RGPD la LSSI y tienes bien configurado tu banner e información sobre las cookies?

Recuerda que tienes de plazo hasta el 31/10/2020.

También recuerda que hay más tareas que debes abordar para que tu actividad o negocio cumpla con la normativa de protección de datos, no solo se trata de aedecuar los textos legales de la página web.

En el siguiente enlace podrás ver la resolución completa finalmente archivda

Y en este otro la de 30.000€ de sanción impuesta a IBERIA

El uso correcto de las cámaras de #videovigilancia

En el canal de Youtube de la AEPD nos dan consejos sobre uso correcto de las cámaras de videovigilancia con respuestas a las dudas más frecuentes planteadas.

Puedes consultarnos cualquier duda y también dispones de más info en la web de la Agencia Española de Protección de Datos en Áreas actuación/videovigilancia

Responsabilidad proactiva y brechas de seguridad: La AEPD remarca las 5 medidas de seguridad principales de carácter técnico que debemos tener en cuenta

Responsabilidad proactiva y brechas de seguridad: La AEPD remarca las 5 medidas de seguridad principales de carácter técnico que debemos tener en cuenta

Responsabilidad proactiva y brechas de seguridad: La AEPD remarca las 5 medidas de seguridad principales de carácter técnico que debemos tener en cuenta

Hasta hace un mes, hablar de teletrabajo era algo casi residual, en auge, pero también en gran parte ocasional, es decir, cuando por motivos de trabajo realizábamos un viaje de negocios, nos desplazábamos a las oficinas del cliente o por motivos concretos y puntuales teníamos que conectarnos desde casa.

Si a esto le unimos el COVID-19 y el constante aumento del número de dispositivos móviles de uso personal en el ámbito laboral, es decir, la irrupción del BYOD, «Bring Your Own Device» o «trae tu propio dispositivo», estamos ante una nueva esfera en la que debemos ser más prudentes y reforzar nuestras políticas de seguridad para que la privacidad no se vea afectada por incidencias bien de confidencialidad, integridad y/o disponibilidad.

Teletrabajo y BYOD, aportan ventajas pero son beneficios ligados al incremento de las amenazas y riesgos que debemos tener muy presentes revisando nuestra gestión del riesgo y adoptando las medidas de seguridad necesarias y orientarlas a la protección de datos personales que tratemos, tal y como la Agencia Española de protección de datos nos señala en su blog y que vamos a resumir.

1. Reforzar la seguridad de las contraseñas y adoptar un segundo factor de autenticación:
  • No almacenar las contraseñas en los sistemas sin cifrar
  • Actualizarlas de forma periódica y obligada
  • No puedan ser reutilizarlas
  • Añadir, cuando menos, para los sistemas más críticos, un segundo factor de autenticación
2. Copias de seguridad:

Siempre hemos dicho, como en nuestro post de 2015 ¿Hacemos copias de seguridad por sentido común o por cumplir con la LOPD? que salvaguardar nuestro negocio es algo inherente al pensamiento empresarial, da igual si eres grande o pequeño, realizar copias de seguridad es una medida indispensable que garantizará la continuidad y mantendrá la confianza de nuestros clientes, en tiempos en los que el ransomware o secuestro de la información son cada vez más potentes y destructivos.

Hemos hablado de revisar nuestra gestión del riesgo y adoptar las medidas de seguridad necesarias ante la nueva esfera, sus soportes, espacios físicos, etc. y por tanto debemos definir pruebas periódicas para verificar la integridad y la efectiva recuperación de la información en esta nueva situación.

3. Sistemas actualizados
  • Establecer una rutina de actualizaciones periódicas aplicando parches y mejoras de seguridad según se detectan los problemas.
4. Exposición de servicios en internet: mantenimiento, pruebas o accesos puntuales
  • Soluciones puntuales que terminan siendo definitivas y por tanto deberán ser contempladas e incorporadas en nuestras políticas de seguridad y en la gestión del riesgo
  • Debemos habilitar un acceso remoto seguro que haga que el tráfico generado mantenga la integridad y confidencialidad de la información. La tecnología VPN o Red Privada Virtual permite extender la red local (LAN) sobre una red pública no segura como es Internet.
  • Establecer y comunicar, una política muy restrictiva de uso de wifis y redes externas que indicará a qué recursos se permitirá el acceso, con especial atención a los servicios críticos para la organización.
5. Cifrados de dispositivos y minimización de datos:

Cualquier dispositivo portátil: ordenadores, móviles, tabletas, memorias USB, discos duros externos, etc. puede extraviarse o ser objeto de un robo.

Nos encontraremos ante una posible brecha de seguridad que habrá que analizar y por tanto debemos anticiparnos tratando de minimizar su impacto aplicando medidas que garantice la confidencialidad de la información que puedan contener:

  • Dichos dispositivos deberán estar cifrados
  • Contener la menor cantidad de datos personales posibles y durante el tiempo imprescindible
Banco alega error de empleado en tratamiento de datos pero es sancionado con 40.001€ - Asesoría LOPD Madrid

Banco alega error de empleado en tratamiento de datos pero es sancionado con 40.001€

Banco alega error de empleado en tratamiento de datos pero es sancionado con 40.001€ - Asesoría LOPD Madrid

Imagen geralt en Pixabay

No es el primer caso ni será el último, en el que la actuación incorrecta, indebida, imprudente o como la queramos calificar de un empleado, suponga a la empresa para la que trabaja, una sanción en materia de protección de datos.

Cuestiones como si un “simple” comentario en el texto de un correo electrónico puede considerarse un tratamiento de datos, van a quedar disipadas en esta resolución, si bien nuestra impresión es que la Agencia  Española de Protección de Datos (AEPD), que normalmente se caracteriza por ser bastante coherente en sus resoluciones, en este caso creemos que no lo ha sido. Pero mejor, juzguen ustedes mismos

En definitiva, si queréis saber cómo puede un comentario desafortunado en un email de un empleado a otro, que luego éste se olvida de suprimir en la respuesta a una clienta, llega a suponer una sanción de 40.001€ para su empresa deberéis leer esta artículo hasta el final.

La denuncia:

Por parte de una clienta contra su Entidad Bancaria, manifestando que un empleado de la sucursal de la que es cliente ha comunicado datos de salud de su persona al Servicio Jurídico de la entidad con motivo de una solicitud de información realizada por la misma ante dicho servicio, información que fue remitida por correo electrónico sin su consentimiento.

En dicho email, el Servicio Jurídico y un empleado de la sucursal hacían referencia al modo de obtener y facilitar la información solicitada por la clienta, y en el último párrafo del correo el empleado afirmaba sobre la cliente: “Comentarte que esta mujer en los 2 últimos meses nos ha solicitado 3 ó 4 veces las claves de acceso y la tarjeta de claves porque dice perderlas o que las tiene su abogada, comentarte que al parecer tiene un trastorno de bipolaridad del que se trata.

Las respuestas de la entidad denunciada a la solicitud de información y alegaciones de la AEPD:

A lo largo del proceso, la AEPD solicitó a la entidad bancaria determinada información y que presentase alegaciones, pero básicamente en las tres ocasiones se manifestó en los mismos términos de manera reiterada y solicitando el archivo de las actuaciones, alegaciones que la Agencia no admitió y que fueron:

  • Inexistencia de Datos: Que no contaba con datos de salud de la denunciante y por tanto “La entidad no ha podido vulnerar la normativa de protección de datos al no haber obtenido de la denunciante o de terceros ni haber tratado nunca ni cedido datos de salud de la misma”.
  • Que el comentario que aparece en el correo electrónico entregado a la denunciante por error, fue un comentario desafortunado de un empleado, que “se trató de una mera y desafortunada e innecesaria conjetura del empleado, resultado de su trato previo en aquellos días con la afectada”.
  • Inexistencia de tratamiento e inexistencia de un fichero. no cabe decir, que además, es un dato susceptible de tratamiento ni que, de hecho, haya habido un tratamiento de ese dato ….. que tampoco habría habido en ningún caso cesión o comunicación a un tercero.”

La AEPD decide iniciar procedimiento sancionador por la presunta infracción del artículo 7.3 de la LOPD, tipificada como muy grave (de 300.001 a 600.000€)

Recordemos que el artículo 7.3  LOPD, en relación a los datos especialmente protegidos (en este caso datos de salud), señala que: “sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente”.

También hemos de recordar, sobre los datos especialmente protegidos, la exigencia de consentimiento expreso del afectado salvo que pueda acreditarse de otra manera y que corresponde siempre al responsable del tratamiento comprobar que tiene dicho consentimiento.

La AEPD inicia periodo de práctica de pruebas, solicitando a la entidad información sobre los datos de carácter personal de la denunciante que figuran en los ficheros de la entidad, que aclare si la denunciante ha facilitado información relativa a la afirmación realizada por el empleado “al parecer tiene un trastorno de bipolaridad del que se trata” y una “declaración testifical del empleado”.

De igual modo, la AEPD solicita a la denunciante que aporte información sobre si en algún momento ha manifestado a alguna persona vinculada a la entidad denunciada que padecía y se trataba de la patología a la que se refiere el correo electrónico referido al mencionado dato de salud.

Las respuestas a la AEPD fueron que mientras, la denunciante indicó que “en ningún momento manifestó a persona vinculada a la entidad denunciada cuestión alguna referente a su estado de salud o a circunstancias propias de su esfera personal e íntima”, la entidad bancaria reiteró sus alegaciones sobre que se trató de un comentario desafortunado de un empleado y de la inexistencia de dato, de un tratamiento y de un fichero.

La AEPD formuló propuesta de resolución de sanción de 40.001 por la comisión de una infracción del artículo 7.3 de la LOPD, tipificada como muy grave.

Ante la resolución, la entidad denunciada, presento nuevo escrito de alegaciones, que podéis leer en detalle en la resolución, reiterando los argumentos expuestos sobre la inaplicabilidad de la LOPD y adjuntando declaración firmada del empleado en la que manifiesta: “Que fue producto de una mera y desafortunada apreciación personal por mi parte, una simple suposición no basada en ninguna información médica ni de ningún otro tipo obtenida ni de la denunciante ni de ningún tercero”

La AEPD considera probado que en los correos electrónicos intercambiados además de mencionar “trastorno de bipolaridad del que se trata” también se hace otra mención a la salud de la denunciante al referirse a los “problemas de salud que pueda tener” y que dichos correos permiten vincular el nombre, apellidos y NIF de la denunciante, es decir, sus datos identificativos y que por lo tanto, se ha producido un tratamiento automatizado de datos personales de salud, sin que la entidad bancaria haya acreditada el consentimiento expreso de la denunciante.

También considera probado que los datos han sido incluidos en una cuenta corporativa del dominio de la entidad bancaria y por tanto implica que existe un tratamiento de datos en un fichero automatizado, remarcando la diligencia que la entidad bancaria no ha tenido.

La sanción no fue mayor ya que  la Agencia aplica los criterios de graduación de sanciones

Aunque la AEPD dicta en su resolución que existen agravantes, es decir, la mencionada diligencia que por su actividad no ha acreditado, si aprecia la concurrencia dos circunstancias recogidas en el Artículo 45.4 de la LOPD, que permiten dejar la sanción en 40.001€, en concreto:

  • Que el volumen de los tratamientos referidos se circunscribe a un único uso y
  • A que no hay constancia de la obtención de beneficios derivados de la infracción.

Conclusiones:

En definitiva, la Agencia pone de manifiesto que un comentario en un correo electrónico supone que existe un tratamiento de datos o fichero automatizado, no aceptando que se tratase de un “error” cometido y asumido por un empleado, fruto de su desafortunada apreciación personal.

Debemos informar y concienciar a nuestros empleados sobre este tipo de comentarios o anotaciones que se realizan sobre clientes, candidatos, evaluaciones de personal, etc. si bien entendemos que seguramente la entidad recurrirá ya que la misma nos parece un tanto desproporcionada.

Enlace a la resolución de la AEPD

En todo caso, quedamos a la espera de vuestros comentarios.

Otro año más, desearos Feliz Navidad y Feliz Privacidad 2018 | Eurovima Consulting S,L.

Otro año más, desearos Feliz Navidad y Feliz Privacidad 2018

Otro año más, desearos Feliz Navidad y Feliz Privacidad 2018 | Eurovima Consulting S,L.

Imagen elaborada a partir de MAGNIFIED SNOWFLAKE en Ifreepic

Al 2017 le quedan apenas 10 días y no sé si lo echaremos de menos, pero desde luego ya pensamos en el 2018 y en lo bueno que seguro nos deparará.

Por eso queremos una vez más aprovechar esta época para hacer llegar a clientes, proveedores colaboradores, lectores y a todos los amigos de EUROVIMA nuestros mejores deseos.

Respecto a nuestra querida privacidad, ha sido un año de transición hacia el nuevo Reglamento General de Protección de Datos (RGPD) de la Unión Europea, que sí, ya este nuevo año, desde el 25 mayo de 2018, por fin será de aplicación.

Recordemos que el Legislador ha buscado con la nueva regulación actualizar una normativa obsoleta y adaptarla a las nuevas circunstancias sociales y tecnológicas.

¿Estamos preparados para afrontar el paso al RGPD?

El nuevo marco regulatorio de la Unión Europea en materia de protección de datos de carácter personal, el RGPD, nos proporciona un marco jurídico homogéneo al que debemos incorporarnos cuanto antes, al igual que a la nueva Ley Orgánica de Protección de Datos.

El RGPD eleva el nivel de responsabilidad de las Empresas, Profesionales o Entidades que tratamos datos de las personas que por el motivo que sea nos han confiado su privacidad, así ofrecerá y concederá al ciudadano un mayor control sobre sus datos personales.

Ahora nos encontramos con una perspectiva que ya no será tan estática, y sí dinámica, en la que el RIESGO pasa a ser una palabra clave, en cuanto a las garantías de cumplimiento.

Datos personales más accesibles, fáciles de procesar y baratos de almacenar, hacen que su transmisión y flujos sean constantes y con carácter internacional, de manera que como usuarios estemos expuestos a un mayor riesgo para nuestros derechos y libertades derivados de dichos tratamientos.

Deberemos realizar un análisis de riesgo que permita conocer en qué estado se encuentra nuestra seguridad para determinar el nivel de protección adecuado y alinearlo con la realidad de las amenazas, que no dejan de evolucionar

Gracias por contar con nosotros.

Clientes, proveedores, compañeros de profesión, y especialmente a nuestro equipo humano y colaboradores, os queremos agradecer nuevamente vuestra comprensión, esfuerzo y dedicación. Gracias por compartir trabajo, conocimiento y experiencias.

En definitiva, desde EUROVIMA, queremos agradecer nuevamente a TODOS vuestras aportaciones y haceros llegar nuestros mejores deseos y el agradecimiento por seguir al otro lado y/o a nuestro lado.

Seguimos contando con vosotr@s!!!! Un fuerte abrazo,

El equipo de Eurovima

Por crear un grupo de WhastApp un restaurante es apercibido por la AEPD | Eurovima Consulting S,L.

La AEPD apercibe a un restaurante por crear y usar un grupo de WhatsApp

Y un buen día, WhatsApp se hizo presente en nuestro mundo, y el de las empresas.

Por crear un grupo de WhastApp un restaurante es apercibido por la AEPD | Eurovima Consulting S,L.

Imagen obtenida de Pixabay en Pexels

Desde que se popularizó su uso nos hemos acostumbrado, o resignado, a recibir miles de mensajes, muchos de ellos sin interés, otros tantos de mal gusto, y para colmo después vino la posibilidad de la creación de grupos de usuarios.

Grupos en los que seguramente todos habremos tenido una mala experiencia, amén de las susceptibilidades y el hartazgo que provocan o por el temor a abandonarlos por miedo a ser juzgados, y no hablamos solo de los temidos grupos de padres del colegio.

Además, de un tiempo a esta parte, muchas empresas lo están usando como servicio de atención al cliente, y en ocasiones para comunicaciones comerciales, a las que la Agencia Española de Protección de Datos (AEPD) ya ha sancionado por ello.

Se trata de la primera infracción que la Agencia Española de Protección de Datos (AEPD) ha dictado vinculada a la creación de un grupo de WhatsApp.

Es el caso de un restaurante que infringe dos artículos de la LOPD:

  • El artículo 6.1 de la LOPD (“el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”)
  • El artículo 10 de la LOPD (“El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que ……”.

El motivo de la denuncia fue la inclusión sin permiso en un grupo, del que se salió y fue nuevamente incluido:

En la resolución adjunta (ver enlace) se indica el desarrollo de los hechos: “Con fecha 8 de diciembre de 2016 realizó reserva para la cena del día 31 de diciembre de 2016 en el citado restaurante; varios días antes de la cena, se crea un grupo de whatsapp con las personas que participaban en dicha cena.

El denunciante salió del grupo pero fue incluido nuevamente por el administrador, recibiendo un mensaje privado, en el que le comunican que si sale del grupo se anulará la reserva. Asimismo, en el citado grupo se publicó una lista de los asistentes con nombres y apellidos, las mesa donde se sentarían y cuantas personas le acompañaran”.

La Subdirección General de Inspección de Datos de la AEPD, tras la denuncia procedió a abrir actuaciones previas de investigación para esclarecer los hechos denunciados, tratando de ponerse en contacto con la entidad denunciada, lográndolo con la supuesta dueña (así se identificó) pero siendo infructuosos los intentos posteriores de notificación alguna.

La resolución, pone de manifiesto los siguientes hechos probados:

  1. La realización de la reserva
  2. Que el responsable del restaurante creó un grupo de WhatsApp con las personas que participaban en dicha cena, enviando un listado con el nombre y apellidos de quien hizo la reserva, el número de personas que cenarían y un plano del restaurante con la ubicación de la mesa
  3. Que el denunciante salió del grupo pero fue incluido nuevamente por el administrador, recibiendo un mensaje privado, en el que le comunicaban que “si sale del grupo se anulará la reserva”.

Dos fueron los artículos infringidos.

La AEPD manifiesta que se infringió el artículo 6.1 de la LOPD (“el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”) al haberse acreditado que el restaurante fue el responsable de la creación de un grupo de whatsapp con las personas que cenarían en Nochevieja, insertando un listado de todos los comensales sin que hubiese consentido para el tratamiento de sus datos personales.

Al mismo tiempo, la AEPD señala que además del artículo 6.1, también se infringió el artículo 10, es decir, que se vulneró el deber de secreto, al haber posibilitado el acceso por terceros (el resto de comensales) a datos personales sin que el titular de los datos hubiese prestado su consentimiento para ello.

Al tratarse de un mismo hecho que deriva en dos infracciones, puesto que la comisión de una implica, necesariamente, la comisión de la otra, procede únicamente declarar la infracción más grave, en este caso la del artículo 6 de la LOPD.

Destacar que el restaurante no contaba con antecedentes de sanciones y apercibimientos precedentes.

La AEPD no procede a sancionar económicamente pero apercibe al restaurante, al concluir que se cumplen los requisitos recogidos establecidos en la Ley, es decir:

  • Se constata una cualificada disminución de la culpabilidad ante la no vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal
  • La ausencia de reincidencia
  • Y que no constan perjuicios causados a las personas interesadas.

Eso sí, la AEPD insta al restaurante a que no cree grupos de WhatsApp de comensales, salvo que cuente con el consentimiento de los mismos para la finalidad pretendida.

Como habitualmente indicamos a nuestros Clientes y a todos aquellos que nos consultan, tenemos que ser muy cuidadosos con el tema de gestión de las suscripciones a los boletines o newsletter, de las comunicaciones comerciales que hagamos, y de un tiempo a esta parte, con el uso general que las empresas le dan a la aplicación de WhatsApp (envío de partes de baja, vacaciones, comentarios varios….)

 

Un murmullo en espera de la “nueva” LOPD: La 9ª Sesión Anual Abierta de la Agencia Española de Protección de Datos | Eurovima Consulting

Un murmullo en espera de la “nueva” LOPD

La 9ª Sesión Anual Abierta de la Agencia Española de Protección de Datos

Un murmullo en espera de la “nueva” LOPD: La 9ª Sesión Anual Abierta de la Agencia Española de Protección de Datos | Eurovima ConsultingEl pasado jueves, 25 de mayo de 2017, ha tenido lugar en el centro de Conferencias Fundación Pablo VI de Madrid la 9ª Sesión Anual Abierta de la Agencia Española de Protección de Datos (AEPD).

Como cada año, y ya van 7 de las 9 sesiones anuales realizadas a las que hemos podido asistir, el aforo se completó de profesionales interesados en conocer de boca de la Agencia las últimas novedades referentes al RGPD. La expectación era máxima, prueba de ello es que el aforo se completó a las 4 horas de abrirse la inscripción.

La sesión se ha celebrado justo 365 días antes de que sea de aplicación el Reglamento General de protección de datos (RGPD), es decir, en mitad del periodo de transición hacia el nuevo marco normativo europeo.

Antes de nada, felicitar y dar la enhorabuena a los premiados por la labor que realizan en los ámbitos de la investigación y comunicación en materia de protección de datos, por sus trabajos y dedicación en aras de acercar el mundo de la privacidad a toda la sociedad.

En poco más de media hora, tiempo que duró la intervención de la Directora de la AEPD, las expectativas se tornaron en decepción:

Como sucede en otros ámbitos en este tipo de casos, lamentablemente lo expuesto no ha cubierto las expectativas ya que Mar España, directora de la Agencia, “informó” sobre el estado del anteproyecto de modificación de la LOPD (adaptación al Reglamento Europeo) indicando que esperaba estuviese disponible al público antes del verano (hace meses se indicó que esperaba fuese posible en el primer trimestre de 2017) y que no podía avanzar nada sobre el mismo por un tema de confidencialidad.

Nos contó que el borrador ya ha sido remitido al Ministerio de Justicia para que pueda comenzar el proceso de tramitación (que no es corto), esperando que su aprobación llegue a tiempo, es decir, antes del 25 mayo de 2018.

En definitiva, se generó un sonoro murmullo entre los asistentes al evento ante tal decepción.

Entramos, o mejor dicho continuamos, en el ámbito de la protección de datos personales, en un periodo de incertidumbre sobre si su aprobación llegará antes de que el Reglamento Europeo sea de aplicación y por tanto, a que el texto definitivo no sea conocido hasta casi el último momento, cuestión que entrañará una mayor dificultad a la hora de lograr la integración del nuevo marco normativo europeo “a la carrera”.

Nuevas herramientas del reglamento general de protección de datos:

En la presentación de nuevas herramientas del reglamento general de protección de datos, además de citar las guías ya publicadas, se mencionaron:

  • La que se publicó ese mismo día orientada al “Ciudadano”; ‘Protección de Datos: Guía para el Ciudadano’ que incorpora referencias al nuevo Reglamento Europeo, en aras de informar a los ciudadanos acerca de sus derechos en relación con el tratamiento de sus datos de carácter personal, el asesoramiento en la presentación de denuncias y reclamaciones, etc.
  • Se anunció la publicación de sendas guías para padres y colegios, ya que la formación en materia de seguridad en internet orientada a los menores es y ha sido una prioridad para la AEPD.
  • Herramienta de ayuda web “NanoPymes”. Disponible en junio en la web de la AEPD, pretende “facilitar”* el cumplimiento de las pymes siempre que traten datos con nivel de riesgo muy bajo, en base a los datos del tejido empresarial español y del tipo de tratamiento que realiza una pyme (72.5% del total de tratamiento son de nivel bajo). La AEPD incide en su presentación que es un programa de ayuda en general y los documentos generados serán válidos en la medida en que se ajusten las respuestas con la realidad y por supuesto, su uso no garantiza el cumplimiento del RGPD.

*Andrés Calvo (AEPD): la herramienta “NanoPymes” no reemplaza el asesoramiento de un profesional

Sobre otras cuestiones más destacadas o de relevancia, señalar lo siguiente:

Datos del avance de la memoria 2016: se han recibido unas 12.000 denuncias o tutelas de derechos ante la AEPD, con aplicación del 20% de reducción en cada vez más casos de sanción, sobre todo por pago espontaneo o reconocimiento.

Respecto a la necesidad de realizar una Evaluación de Impacto sobre la protección de datos (EIPD) parece que además del “alto riesgo”, en la lista creada por el Grupo de Trabajo del Artículo 29 encontraremos más consideraciones para su realización. Eso sí, invocando a la “diligencia” a la que la AEPD siempre se refiere, cuando dudes en hacerla o no, si puedes, hazla.

Sobre las certificaciones de profesionales (se encuentra en curso la elaboración del Esquema de Certificación) se reiteró que la certificación es instrumento de garantía de profesionalidad y de transparencia para responsables y encargados, pero no única vía de acceso.

Sobre las entidades que deberán tener un Delegado de Protección de Datos (DPD ó DPO), la Agencia ha dado un primer esbozo de lista que pueden consultar en la web de la AEPD (presentaciones 9 jornada)

La Agencia va a crear una unidad de atención a los responsables y profesionales en materia de privacidad, recomendando que las consultas se realicen a través de asociaciones profesionales.

En casos concretos, el interés legítimo permitirá consentimiento tácito obtenido antes de la aplicación del RGPD. Se podría permitir el consentimiento tácito para el envío de publicidad cuando exista un contrato con el interesado. En todo caso, son cuestiones a concretar….

Se pone fin a la excepción del artículo 2.2 RLOPD (Ámbito objetivo de aplicación: datos de “contacto”)

Finalmente recordar a la AEPD, que el análisis de las sentencias, informes y resoluciones más relevantes, fueron expuestas un año más, a toda pastilla. En menor medida los informes y sentencias relevantes, pero que en todo caso, las revisaremos con calma en los videos expuestos en la web de la Agencia, ya que en directo, es difícil sacar muchas conclusiones.

En definitiva, toca esperar para tener toda la información necesaria para hacer bien nuestro trabajo y mientras, sean DILIGENTES y respeten y cuiden su PRIVACIDAD (y la de los demás).