Entradas

¿Qué sucede si no nombro ante AEPD un Delegado de Protección de Datos (DPD) y estoy obligado?

Este post también se podría titular: ¿Cuándo es obligado nombrar un Delegado de Protección de Datos?
Ya que en realidad esa es la cuestión que muchas empresas o entidades que tratan datos personales se preguntan, pero algunas no, y otras tantas lo ignoran.

Un ejemplo de como descuidar las cookies de tu web te puede costar caro

Las resoluciones sancionadoras de la Agencia Española de Protección de Datos (AEPD) respecto a páginas web que no se encuentran adecuadas a la normativa, tanto de protección de datos como de la LSSI (generalmente respecto a las cookies) son cada vez más habituales.

El envío de comunicaciones comerciales sin consentimiento (SPAM) sancionado 1.500€ y 12.000€ a 2 empresas por misma infracción LSSI

La LSSI prohíbe las comunicaciones comerciales para la promoción directa o indirecta de los bienes o servicios sin consentimiento expreso del destinatario, salvo cuando exista una relación contractual previa y se cumplan otros requisitos. En este artículo te contamos qué es lo que debemos tener presentes en el envío de comunicaciones comerciales por medios electrónicos y la diferencia entre 2 situaciones idénticas de envíos de comunicaciones comerciales no consentidas, sancionadas con 1.500€-12.000€

¿Qué espacio de la calle puedo grabar con una cámara de videovigilancia, conforme a la normativa de protección de datos, para evitar robos en mi propiedad o zonas comunes?

¿Qué debemos saber antes de instalar cámaras de videovigilancia conforme normativa protección datos? | Eurovima Consulting | Asesoría Protección de Datos Madrid

¿Puedo grabar una excursión sin solicitar el consentimiento ni informar a los asistentes?

¿Puedo grabar una excursión sin solicitar el consentimiento ni informar a los asistentes?

Imagen de Pexels en Pixabay

Evidentemente no, por ello la AEPD atiende una reclamación en ese sentido y apercibe por doble infracción de protección de datos

Te apuntas a una excursión, la pagas y resulta que antes de la salida en el propio autobús te dicen verbalmente que será grabada y podrás tener una copia, previo pago, y si no quieres salir indiques que no quieres ser grabado y te pongas detrás de la cámara.

Pues resulta que luego alguien te denuncia ya que has vulnerado sus derechos, ya que la imagen es un dato de carácter personal, y la Agencia Española de Protección de Datos (AEPD) atiende dicha reclamación y te apercibe por una doble infracción:

  1. Artículo 13 RGPD, respecto al deber de información que debería haber facilitado de manera previa al inicio del reportaje
  2. Artículo 7 RGPD por falta de consentimiento, que en este caso sería la base legal que legitima la grabación.

El consentimiento en el RGPD:

Definido en el artículo 4 como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”.

Recordemos que para un caso como este, el consentimiento del excursionista debe de ser prestado válidamente, de forma expresa y afirmativamente, siendo evidente que la fórmula empleada por la empresa no fue la adecuada.

La propia AEPD señala en su resolución que “NO es válido alegar que se preguntó antes de empezar las grabaciones del reportaje” ya que recordemos la fórmula utilizada fue: “si alguien no está de acuerdo con que se le filme, que lo indique para no sacarle en el reportaje …”, ya que no acredita que se proporcionó toda la información sobre el tratamiento de datos personales conforme al artículo 13 del RGPD.

¿Qué información debió ser facilitada por la empresa antes de la grabación?

En este caso, si observamos la información facilitada por la empresa respecto a lo que el art. 13 del RGPD establece, vemos que el incumplimiento es evidente, ya que recordemos, de manera resumida es la siguiente:

  • la identidad y los datos de contacto del responsable;
  • los datos de contacto del delegado de protección de datos, en su caso;
  • los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  • los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  • en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional;
  • el plazo durante el cual se conservarán los datos;
  • derecho a solicitar al responsable del tratamiento el ejercicio de derechos: acceso, rectificación o supresión, oposición, etc.;
  • el derecho a presentar una reclamación ante una autoridad de control;
  • ……………
Acreditar el consentimiento

Respecto al consentimiento, recordemos que el responsable del tratamiento debe poder demostrar que el interesado ha dado su consentimiento y por tanto deberá poderlo acreditar.

Por tanto eso supone documentar quién, cómo y cuándo consintió, y qué información le fue facilitada, debiendo sopesar la manera de hacerlo cuando se hace de forma verbal (grabación), offline (firma y fecha) u online (acreditar la información a través del doble opt-in)

Finalidad informativa vs económica de una grabación

Aunque en el presente caso es evidente que existe una finalidad económica directa (pago del mismo) por la grabación, nunca informativa o pública, pero es curioso ver que entre las alegaciones, se indicase lo siguiente: “(…) Las grabaciones en calle públicas por parte de las televisiones no requieren dar autorización expresa de los viandantes solo si ven la cámara y no están de acuerdo con que se les grabé lo advierten al productor de igual manera en los eventos deportivos conciertos fútbol toros etcétera sacan al público sin la autorización previa (…)”

Conclusión de la resolución de la Agencia ante la denuncia planteada

La imagen es un dato de carácter personal y su tratamiento está sujeto a la normativa de protección de datos, entre otras, debe estar sustentado en una base de legitimación y cumplir con el deber de información, debiendo se capaz de acreditarlo.

Todo ello sin entrar en la regulación del derecho a la propia imagen, como derecho fundamental de carácter personal reconocido en el art. 18.1 de la Constitución, que se recoge en la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen (LO 1/1982)

Enlace a la resolución sancionadora de la AEPD publicada el 07/01/2021

https://www.aepd.es/es/documento/ps-00181-2020.pdf

La Agencia Española de Protección de datos impone al BBVA la mayor sanción en protección de datos hasta la fecha: ¡¡¡5 millones!!!

photo credit: David Feltkamp via photopin cc

La propuesta inicial de la Agencia era 6 millones a raíz de varias reclamaciones resueltas en un único procedimiento por infracción de los artículos 13 y 14 #RGPD (2 millones) y otros 3 por artículo 6 del RGPD

La importancia de la información ofrecida y el consentimiento obtenido al tratar datos personales

Básicamente la #AEPD sanciona el formulario en el que el banco da a conocer los términos aplicables a la protección de datos personales, que requiere el #consentimiento (específico, inequívoco e informado) de sus clientes. Dicha información recogida en su política de privacidad, no es adecuada respecto a la finalidad del tratamiento y la base jurídica que lo legitima (especialmente las basadas en el interés legítimo), e insuficiente información sobre sobre el tipo de perfiles que se van a realizar y los usos específicos a que se van a destinar.

La Agencia le requiere que en el plazo de 6 meses corrija sus formularios: “adecúe a la normativa de protección de datos personales las operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos deben prestar su consentimiento para la recogida y tratamiento de sus datos personales, con el alcance expresado en el Fundamento de Derecho X (detallado en la página 114)»

Seguramente habrá recurso del Banco, ya que entre otras cosas considera:

El BBVA declara no estar conforme y solicita la nulidad del procedimiento o la caducidad y subsidiariamente su archivo o, en su defecto, apercibimiento o una reducción significativa.

El BBVA declara reproducidas en su totalidad sus alegaciones al acuerdo de inicio, que, a su juicio, la propuesta de resolución no tiene en cuenta ni rebate; y formula las consideraciones siguientes, que reproducen básicamente aquellas alegaciones a la apertura del procedimiento (página 22 a 37)

El único objeto del procedimiento ha sido el formulario que da a conocer los términos aplicables a la protección de datos personales y requiere el #consentimiento de los interesados, dejando al margen otras cuestiones como: análisis sobre la seguridad de los datos de la EIPD, gestión de derechos, datos comunicados a empresas del “grupo BBVA” y la información ofrecida a través de cualquier otro canal o documento para la contratación de productos o de servicios que, por su especialidad, incluyeran sus propias cláusulas de protección de datos.

La resolución ha sido publicada por la Agencia con fecha 11 de diciembre de 2020.

¿Puede la empresa exponer en el tablón de anuncios el listado de productividad de cada empleado identificado mediante nº de matrícula conforme al RGPD?

Publicación de listado de productividad de empleados y protección de datos

Imagen de Gerd Altmann en Pixabay

¿Puede la empresa exponer en el tablón de anuncios el listado de productividad de cada empleado identificado mediante nº de matrícula conforme al RGPD?

Una empresa plantea a la AEPD una consulta ya que pretende publicar cada semana la productividad semanal individual de cada empleado que participa en una actividad que requiere conocer el rendimiento obtenido, en esta caso vinculado al deshueso y loncheado de jamones en sobres.

La consulta indica que el listado se ubicará en el tablón de anuncios de la sala donde los trabajadores hacen el trabajo y sin datos directos vinculados al empleado, solo con el dato del número de matrícula, que únicamente conoce el empleado y las personas del Departamento de Recursos Humanos que realizan el pago de una prima.

En base al rendimiento a final de mes la empresa paga una prima de productividad reflejada en su nómina, es decir, solo conocida por el trabajador.

Aspectos a contemplar: base de legitimación, ponderación y medidas de seguridad que garanticen el secreto y acceso a dichos datos

La AEPD, que ya se ha pronunciado con anterioridad al RGPD sobre la publicación de los datos de productividad, lo hace para dar traslado respecto al RGPD y a la base legitimadora del tratamiento de datos de la consulta, establecidas en el artículo 6.1 del RGPD y a la necesidad de la previa evaluación de ponderación de los derechos e intereses de los afectados.

La Agencia considera que en este caso, la publicación de los datos de productividad de los empleados está fundamentado en el artículo 6.1.f) del RGPD, es decir, si el mismo “es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales…”

La publicación responde a un interés legítimo de ambos:

Del empresario al generar competitividad sana entre sus empleados y la mejora de la productividad global de la empresa,

y también de los empleados quienes conocerán su propio rendimiento frente al resto de compañeros.

Además, el proceso garantiza la transparencia del dato al tener su correspondiente repercusión económica.

Eso sí, la empresa deberá de adoptar las medidas de seguridad organizativas y técnicas necesarias que garantice el secreto y acceso a dichos datos, y que no dé lugar a tratamientos posteriores, algo que considera se cumple “al limitarse la publicación al tablón de anuncios de la Sala en la que se desarrolla la actividad laboral” y al identificar a cada trabajador por su número de matrícula, dato solo conocido por el empleado y el personal del Departamento de Recursos Humanos.

Conclusión del informe de la AEPD:

La Agencia concluye: “Por todo ello, el tratamiento objeto de consulta, en cuanto fundamentado en el artículo 6.1.f) del RGPD y previa ponderación de los intereses y derechos afectados, habiéndose adoptado garantías adecuadas, se estima conforme a la normativa vigente sobre protección de datos de carácter personal.”

Enlace al informe completo publicado el 27/11/2020

Si tu web no cumple con RGPD y COOKIES ponte las pilas como esta empresa y evita una sanción

Imagen de Tumisu en Pixabay

Llevamos meses leyendo resoluciones de la Agencia Española de Protección de Datos (AEPD) en el ámbito de páginas web que no tienen adecuadas la información respecto a las cookies, o que las instalan sin cometimiento (las no necesarias) o de la inexistencia o inadecuadas políticas de privacidad y/o aviso legal.

En muchos casos terminan en sanciones o apercibimiento y aunque sabemos que las cuantías no son tan importantes como los 30.000€ de sanción impuesta a IBERIA y cuya resolución es de esta semana, concretamente del día 21/10/2020, si estamos ante un momento en el que la Agencia, una vez actualizada su guía de cookies, ha dado de plazo hasta el 31 de octubre para que adecuemos nuestras páginas web.

Una web denunciada pasa de ser propuesta para una sanción a que la Agencia archiva la denuncia. ¿Cómo lo logró?

Una de esas resoluciones de la AEPD en materia de cookies, es la que también se ha publicado esta semana. En este caso se archiva el procedimiento sancionador respecto a una web por inicialmente “carecer de la información preceptiva en una Política de Privacidad y en la instalación de cookies no ofrecer información clara y completa”.

Las alegaciones de la empresa dueña de la web fueron que se estaba trabajando “justamente en la actualización de los textos legales y por ese motivo no disponía de los avisos acorde al RGPD”.

La reclamada aportó los textos actualizados y la Agencia revisa la web pero le abre procedimiento sancionador al considerar que “no cumplía las condiciones que impone la normativa en vigor, por lo que procede la apertura de un procedimiento sancionador” al incumplir el art. 22.2 LSSI respecto a la política de cookies.

La empresa titular de la web “se puso las pilas” y modificó el banner siguiendo la “Guía sobre cookies” y así se lo hace saber a la AEPD que vuelve a revisarla y lo arhiva al entender que “no se contradice con lo estipulado en el artículo 22.2 LSSI”.

Moraleja, si no cumples pero te pones las pilas, quizás no tengas sanción de la Agencia Española de Protección de Datos.

¿Cumple tu web con el RGPD la LSSI y tienes bien configurado tu banner e información sobre las cookies?

Recuerda que tienes de plazo hasta el 31/10/2020.

También recuerda que hay más tareas que debes abordar para que tu actividad o negocio cumpla con la normativa de protección de datos, no solo se trata de aedecuar los textos legales de la página web.

En el siguiente enlace podrás ver la resolución completa finalmente archivda

Y en este otro la de 30.000€ de sanción impuesta a IBERIA

El uso correcto de las cámaras de #videovigilancia

En el canal de Youtube de la AEPD nos dan consejos sobre uso correcto de las cámaras de videovigilancia con respuestas a las dudas más frecuentes planteadas.

Puedes consultarnos cualquier duda y también dispones de más info en la web de la Agencia Española de Protección de Datos en Áreas actuación/videovigilancia

Responsabilidad proactiva y brechas de seguridad: La AEPD remarca las 5 medidas de seguridad principales de carácter técnico que debemos tener en cuenta

Responsabilidad proactiva y brechas de seguridad: La AEPD remarca las 5 medidas de seguridad principales de carácter técnico que debemos tener en cuenta

Responsabilidad proactiva y brechas de seguridad: La AEPD remarca las 5 medidas de seguridad principales de carácter técnico que debemos tener en cuenta

Hasta hace un mes, hablar de teletrabajo era algo casi residual, en auge, pero también en gran parte ocasional, es decir, cuando por motivos de trabajo realizábamos un viaje de negocios, nos desplazábamos a las oficinas del cliente o por motivos concretos y puntuales teníamos que conectarnos desde casa.

Si a esto le unimos el COVID-19 y el constante aumento del número de dispositivos móviles de uso personal en el ámbito laboral, es decir, la irrupción del BYOD, «Bring Your Own Device» o «trae tu propio dispositivo», estamos ante una nueva esfera en la que debemos ser más prudentes y reforzar nuestras políticas de seguridad para que la privacidad no se vea afectada por incidencias bien de confidencialidad, integridad y/o disponibilidad.

Teletrabajo y BYOD, aportan ventajas pero son beneficios ligados al incremento de las amenazas y riesgos que debemos tener muy presentes revisando nuestra gestión del riesgo y adoptando las medidas de seguridad necesarias y orientarlas a la protección de datos personales que tratemos, tal y como la Agencia Española de protección de datos nos señala en su blog y que vamos a resumir.

1. Reforzar la seguridad de las contraseñas y adoptar un segundo factor de autenticación:
  • No almacenar las contraseñas en los sistemas sin cifrar
  • Actualizarlas de forma periódica y obligada
  • No puedan ser reutilizarlas
  • Añadir, cuando menos, para los sistemas más críticos, un segundo factor de autenticación
2. Copias de seguridad:

Siempre hemos dicho, como en nuestro post de 2015 ¿Hacemos copias de seguridad por sentido común o por cumplir con la LOPD? que salvaguardar nuestro negocio es algo inherente al pensamiento empresarial, da igual si eres grande o pequeño, realizar copias de seguridad es una medida indispensable que garantizará la continuidad y mantendrá la confianza de nuestros clientes, en tiempos en los que el ransomware o secuestro de la información son cada vez más potentes y destructivos.

Hemos hablado de revisar nuestra gestión del riesgo y adoptar las medidas de seguridad necesarias ante la nueva esfera, sus soportes, espacios físicos, etc. y por tanto debemos definir pruebas periódicas para verificar la integridad y la efectiva recuperación de la información en esta nueva situación.

3. Sistemas actualizados
  • Establecer una rutina de actualizaciones periódicas aplicando parches y mejoras de seguridad según se detectan los problemas.
4. Exposición de servicios en internet: mantenimiento, pruebas o accesos puntuales
  • Soluciones puntuales que terminan siendo definitivas y por tanto deberán ser contempladas e incorporadas en nuestras políticas de seguridad y en la gestión del riesgo
  • Debemos habilitar un acceso remoto seguro que haga que el tráfico generado mantenga la integridad y confidencialidad de la información. La tecnología VPN o Red Privada Virtual permite extender la red local (LAN) sobre una red pública no segura como es Internet.
  • Establecer y comunicar, una política muy restrictiva de uso de wifis y redes externas que indicará a qué recursos se permitirá el acceso, con especial atención a los servicios críticos para la organización.
5. Cifrados de dispositivos y minimización de datos:

Cualquier dispositivo portátil: ordenadores, móviles, tabletas, memorias USB, discos duros externos, etc. puede extraviarse o ser objeto de un robo.

Nos encontraremos ante una posible brecha de seguridad que habrá que analizar y por tanto debemos anticiparnos tratando de minimizar su impacto aplicando medidas que garantice la confidencialidad de la información que puedan contener:

  • Dichos dispositivos deberán estar cifrados
  • Contener la menor cantidad de datos personales posibles y durante el tiempo imprescindible