Entradas

Mitos, mentiras y exageraciones sobre el RGPD – GDPR

, ,

Los mitos sobre el RGPD (GDPR, si preferís sus siglas en inglés), rayos, truenos y centellas, no dejan de aparecer a medida que se acerca el 25 de mayo. Muchos de nuestros clientes nos llaman asustados por lo que un comercial, de dudosa ética le ha dicho para intentar venderle -bajo amenaza de multas millonarias- un producto/servicio que no necesita o que ya ha contratado.

También hay muchos bulos, noticias sueltas y no contrastadas, mesías de la LOPD que publican verdades a medias, medias mentiras, y otras veces exageraciones o vaguedades. Pese a que hay muy buenos artículos y muy buenos abogados, asesores, consultores, etc. que publican información clara, vemos necesario aclarar dudas, confusiones, y desechar mentiras.

Esperamos que este post ayude a que tengáis información más clara, así como fuentes a las que acudir en caso de duda.

Mito 1. El RGPD entró en vigor el 25 de mayo de 2018.

¡Falso! el Reglamento entró en vigor el 25 de mayo del año 2016, sí, como lo lee, del año 2016. Ahora bien, será exigible, y aplicable a partir del 25/05/2016 (Aquí mini resumen de los puntos clave del RGPD). Esto significa que ha estado en vigor todo este tiempo, aunque se aplazó la exigencia de su cumplimiento 2 años.

Entonces, ¿En qué nos afectará en realidad la llegada del 25/05/2018? Fácil, que a partir de ese día, todos los sujetos obligados al cumplimiento del RGPD, deben cumplirlo. No hay periodo de carencia, no hay unos meses después de esa fecha para adecuarse, el tiempo para adecuarse ha sido el transcurrido desde su aprobación hasta ahora.

Mentira 2. El GDPR obliga a todo el mundo a tener un Delegado de Protección de Datos

Otra vez, ¡Falso! El Reglamento no obliga que todos los Responsables o Encargados de tratamiento de los datos, nombren un Delegado de Protección de Datos – DPD (Más conocido como DPO por sus siglas en inglés).  Deben asignar un delegado de protección de datos, aquellos que cumplan, como mínimo, una de las siguientes opciones:

Artículo 37 RGPD:

1. El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:
a) el tratamiento lo lleve a cabo una autoridad u organismo público…
b) las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, o
c) las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales.

Eso dice el Reglamento, aunque es cierto que el proyecto de Ley Orgánica de Protección de Datos 2018 (Aquí resumen de los puntos clave), trae supuestos más directos y desglozados. Ahora bien, hasta que no esté aprobado y publicado el texto íntegro de la Nueva Ley de Protección de Datos, los supuestos son los que dice el RGPD, ni más, ni menos.

En caso de duda se pueden consultar los artículos de la Agencia Española de Protección de Datos sobre el tema (aquí), o sus preguntas frecuentes (aquí) o las directrices del Grupo del Artículo 29 (aquí).

Pregunta del millón ¿Una farmacia necesita Delegado de Protección de Datos? ¡Pues depende! ¿De qué? Del volumen de datos, número de afectados o del alcance geográfico. Por ejemplo, no es lo mismo la única farmacia del pueblo, que una de 20 en un mismo pueblo.

Mentira 3. Todo el mundo debe llevar un “Registro de Actividades de Tratamiento”

¡Falso! Pues oiga, tampoco. Al igual que el punto anterior, y sin perjuicio de lo que exija la futura LOPD 2018, este registro solo deben realizarlo una serie de Responsables o Encargados.

No deberán llevar un Registro de actividades de tratamiento, aquellos a los que aplique la siguiente excepción establecida en el art. 30 del RGPD:

Artículo 30 RGPD

5. Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.

Exageración 4. El RGPD hace que todos los Estados miembros de la UE exijan lo mismo en protección de datos.

Lamentablemente, ¡Falso!. Ya nos gustaría que ese principio y objetivo de la UE se hubiera alcanzado. No hubo consenso en todo el contenido del RGPD, y se dejó margen a los Estados para que regulasen internamente algunos puntos conflictivos, o muy “de país”.

Según Alejandro Padin (Garrigues), durante su comparecencia en el Congreso -en relación con el proyecto de Ley de Protección de datos 2018-, El RGPD obliga a los Estados a regular a nivel nacional entre 15 y 20 puntos, pero “permite” que regulen, o que se aplique el derecho nacional -si existe- hasta en 36 puntos más. Osea que podrían haber hasta más o menos 56 puntos de diferencia en la normativa de protección de datos de los Estados miembros de la UE.  Por lo que se ve en las leyes ya aprobadas (Francia y Alemania) y los proyectos de Ley en proceso, definitivamente no habrá homogeneidad.

Un ejemplo claro es lo relativo a la edad del consentimiento de los menores en el ámbito de la sociedad de la información. El RGPD establece la edad necesaria para consentir, en ese ámbito, en los 16 años, pero permite a los Estados poner una distinta -mínimo 13 años-. En España actualmente la edad para que los menores presten consentimiento son los 14 años, pero el proyecto de Ley de la nueva LOPD 2018, rebaja esa edad a 13 años (a ver cómo queda). El resto de Estados:

  • 13 años: Chipre, Letonia, Dinamarca, Suecia, Irlanda, Polonia, Noruega y Reino Unido.
  • 14 años: Austría y Bulgaría.
  • 15 años: Croacia.
  • 16 años: Alemanía, Hungría, Francia, Lituania, Luxemburgo, Reino Unido, Estonia, Holanda.

Mito 5. El 25 de mayo de 2018, dejará de aplicarse la LOPD 15/1999.

Sí, y no. Todo aquello en lo que la LOPD 15/99, sea contraría al RGPD, dejará de ser exigible y aplicará el RGPD. Ahora bien, todo aquello que no contravenga al RGPD, será en relación al Reglamento, «derecho del Estado», y en tal caso aplicará de forma complementaría.

Retomando el ejemplo de la edad del consentimiento de los menores, en caso de que la nueva Ley de protección de datos, no esté en vigor el 25/05/2018, la edad del consentimiento de los menores, en el ámbito de la Sociedad de la información, en España será 14 años, conforme nuestra LOPD 15/1999, y no de 16 años como establece el RGPD. Esta aclaración la hizo Agustín Fuentes, de la Agencia Española de Protección de Datos, durante su comparecencia en el Congreso con motivo de la tramitación de la nueva LOPD. La AEPD interpreta en sentido amplio la remisión del RGPD a «LEYES nacionales», y aunque la edad de 14 años se estableció mediante un Real Decreto será la que se aplique. 

En fin, que salvo que haya una nueva Ley de Protección de Datos, la actual no morirá el próximo 25/05/2018. Seguirá estando vigente en todo cuanto no contravenga al Reglamento Europeo de Protección de Datos.

Muchos mitos, pocas nueces

Las información está clara como el agua en el contenido del RGPD. No hay que creer inventos de vende humos, en caso de duda, hay que acudir a la fuente.

Si quiere información clara, acuda página del Grupo del artículo 29 -futuro Consejo UE de Protección de Datos-; a la página de la Agencia Española de Protección de Datos. En ellas encontrará información clara, concisa y apropiada. También, existen grandes profesionales, y empresas especializadas, que le podrán ayudar con la tarea de enfrentarse al RGPD.

Para más información, visite nuestros post relacionados:

1. Claves del Anteproyecto de Ley Orgánica de Protección de Datos (futura LOPD 2018)

2. Reglamento General de Protección de Datos ¿Qué es?, puntos más importantes a tener en cuenta.

3. Resumen1. 9AEPD. Primera parte de la sesión anual de la AEPD, especial sobre el RGPD.

4. Resumen2. 9AEPD. Segunda parte de la sesión anual de la AEPD 2017, especialmente dedicado al RGPD.

/0 Comentarios/por

WhatsApp, LOPD y empresas. 5 Claves para cumplir

, ,

WhatsApp es la aplicación de mensajería instantánea que ha revolucionado las comunicaciones en la era de internet. Nació en el 2009,  y desde entonces, se ha hecho parte de nuestra vida. Sus funcionalidades, usos y usuarios crecen día a día, así como la cantidad de datos personales que se tratan a través de ella.

Usarla con fines laborales o dentro de las empresas es un dulce harto apetecible para muchos, y para otros parte de su día a día. Este post nació con el fin de acercar las reglas que «rigen»/»regirían» el uso de la aplicación a nivel empresarial. Como más adelante decimos, no la recomendamos, pero si la va a usar, por lo menos tenga en cuenta unas cuantas «cosillas».

[Nota actualización 22/03/2018] El  pasado 15/03/18 conocimos que la AEPD sancionó a Facebook y a WhatsApp con 300.000 c/u, porque se comunicaron datos mutuamente sin el consentimiento “libre, específico e informado” de los usuarios. A raíz de esto tenemos muchas consultas de nuestros clientes, y no clientes, y hemos decidido actualizar este post. Verá los cambios marcados con [Act 22/03/18] 

¿Porqué hay que tener en cuenta la LOPD al usar WhatsApp?

WhatsApp fue concebida para uso personal. Pese a lo anterior, cada día hay más empresas, profesionales y comercios, que hacen uso de ella para tratar con sus clientes, comunicarse con el personal, etc.

Por otro lado tenemos la opción de crear grupos, y todo sea dicho, a esta función la carga el diablo. Muchas veces los integrantes del grupo no se conocen entre ellos, otras, no han dado su consentimiento para ser incluidos en el grupo, entre otras más vías de complicaciones.

Finalmente está lo más obvio, pero no menos importante ¡la información!. Los datos que se comparten, la tipología, el consentimiento para transmitirlos por esa vía, o incluso, si se ha informado o no de dicha posibilidad.

¿Usar o no usar whatsapp a nivel empresarial?

Hasta ahora habíamos recomendado no usar WhatsApp en las empresas –aún lo hacemos. [Act 22/03/18] No, no es recomendable usar whatsapp a nivel empresa, o para comunicarse con clientes, empleados padres, etc.– pero, ya no podemos decir que está absolutamente prohibido.

Básicamente no podemos decir que está prohibido por varias razones. La primera es que la Agencia Española de Protección de Datos empezó a usar esta App en el canal joven. [Act 22/03/18] Es más, la menciona en su «Guía centros educativos» pág. 26, y da recomendaciones para su uso; la segunda, que en sus sanciones e informes, no la prohíbe sino que habla de la protección de los principios de la protección de datos durante su uso; la tercera  es que el cifrado end to end, da una cierta -no del todo- apariencia de seguridad; y ya la última  y la guinda, que  actualmente está en pruebas la versión para empresas, y seguramente cuando esté disponible muchas empresas se subirán al carro de whatsapp.

Total, que por lo dicho antes, no nos queda de otra, más que dar algunas directrices para que ya que se usa o se va a usar, se use de la forma más correcta y cumplidora posible.

La clave de las 5 claves: cumplir con los principios de la protección de datos

Si pretende usar WhatsApp en su empresa, institución o negocio, tenga en cuenta que debe cumplir los principios de la protección de datos. Hablamos del principio de calidad, información, consentimiento, confidencialidad, seguridad de los datos, entre otros.

Los principios de la protección de datos son críticos para que nuestro uso de whatsapp con fines laborales o comerciales sea relativamente correcto. Hablamos de los principios de calidad, información, consentimiento, datos especialmente protegidos, confidencialidad y seguridad de los datos. Hay más, y por esa razón no se debería usar para estos fines, pues por ahora no son fáciles de cumplir, en especial el relativo la firma del contrato de protección de datos con whatsapp. Hablamos de este contrato, aquí.  

Clave 1. Informe a los usuarios que usará con ellos esa aplicación.

Antes de usar whatsapp para tratar datos personales de una persona, debe informarle de las finalidades de dicho tratamiento. El tratamiento en este caso puede ser, comercial, informativo, de confirmación de citas, de vía de comunicación, o de envío de datos. En cualquier caso, el titular de los datos debe saber del uso de esta herramienta y del fin para el cuál se prevé.

Clave 2. Pedir el consentimiento para tratar los datos por esa vía

Uno de los principios que más quebraderos de cabeza da a las empresas, es el consentimiento. Salvo excepciones, es necesario el consentimiento del cliente. Osea, que para tratar los datos del cliente por ese medio, hay que informar y pedir consentimiento.

Especialmente aquí haremos hincapié en la finalidad comercial. Para remitir información comercial, es necesario conforme al artículo 22 de la LSSI, solicitar el consentimiento expreso del afectado. El consentimiento expreso no es otra cosa que una acción clara afirmativa, informada, libre e inequívoca de que sí, quiere recibir publicidad. Por ese medio. Si no tenéis ese consentimiento, no enviéis publicidad por whatsapp.

Preguntas orientadoras sobre su cumplimiento. Si una o todas es no, !póngase manos a la obra!

  1. ¿En caso de envío de publicidad. Tiene el consentimiento expreso de las personas?
  2. Pide consentimiento a los interesados antes de incluirles en un grupo?
  3. Solicita consentimiento para enviar información personal por esa vía?

Clave 3. Cuide la confidencialidad de los datos que trata en whatsapp

La confidencialidad es uno de los requisitos más especiales que se exigen a una empresa, negocio u organización. Debe garantizarse que esos datos que nos han facilitado, se mantienen a salvaguarda y confidenciales. Que solo los trata el personal autorizado y que no acceden a ellos terceras personas.

Preguntas orientadoras sobre su cumplimiento. Si la respuesta a una o todas, es no, revise y actualice su cumplimiento.

  1. ¿Controla el uso profesional de esta app por parte de su personal?
  2. ¿Ha comprobado que el whatsapp desde el que se comunica su personal con el cliente es de la empresa y no desde su número personal?
  3. ¿Ha informado a su personal que en los grupos con clientes deben evitar compartir datos personales?
  4. ¿Tiene una política de tratamiento de datos vía online? en ella se debería describir las reglas de uso de estas y otras aplicaciones en el ámbito de la empresa.

Clave 4. Ponga medidas de seguridad para proteger los datos enviados o almacenados.

En este caso lo que se puede hacer es limitado, ya que la seguridad de la aplicación como tal, corresponde a WhatsApp. Eso sí, siempre podemos poner medidas de seguridad asociadas al procedimiento de custodia de los dispositivos, que almacenan los datos; del control del uso de la aplicación, etc.. También podrá hacerse a través de medidas de gestión asociadas a una política de uso de la aplicación y protección de los datos personales.

Estás preguntas le darán una idea de las opciones. No las eche en saco roto.

  1. ¿Usa la aplicación para remitir datos de carácter personal? Es mejor no  hacerlo.
  2. ¿Ha dado instrucciones a su personal sobre el tipo de datos que pueden o no remitir a través de esta vía?
  3. ¿El número de whatsapp que se usa para comunicar con clientes, personal, u otros interesados es de la empresa, o de un empleado?
  4. ¿Ha dado instrucciones para no crear grupos sin consentimiento de la dirección?
  5. ¿Elimina el contenido de las comunicaciones cuando han dejado de ser necesarias?
  6. ¿Conoce de forma clara quién y qué grupos de trabajo, o comunicación con clientes hay creados en su empresa?

Sanciones y apercibimientos puestos por la AEPD por el uso de whatsapp

En principio como dijimos antes, la agencia todavía no ha sancionado por el hecho en sí de usar whatsapp. Lo que ha hecho hasta ahora ha sido en relación con los principios de la normativa de protección de datos, y del cumplimiento del artículo 22 de la LSSI, Ley de Servicios de la Sociedad de la información y comercio electrónico.

Primera sanción (Enero 2016). Incumplimiento del artículo 22 de la LSSI. Envío de publicidad sin consentimiento expreso del afectado. 600€.

Primer apercibimiento (octubre 2017). Inclusión en un grupo de whatsapp de un cliente, sin el consentimiento del mismo, incluso en su contra.

[Actualización 31/12/17] Declaración de infracción de AAPP (Noviembre 2017) Creación de un grupo de whatsapp por parte de un Ayuntamiento. En el grupo incluyó al denunciante y a todo el pueblo… Sin consentimiento, usando datos recabados para otros fines.

Actualizaciones importantes por hechos noticiosos

1ª. [Actualización 31/12/2017 con motivo de los apercibimientos y declaraciones de infracción por creación de grupos de whatsapp]

[1] En caso dado, no sería delito, sino una infracción de la normativa de #ProtecciónDeDatos
[2] Es una infracción de: (1) deber del secreto: en el grupo todos ven los datos de todos. Para añadir correctamente a alguien, se le deberá pedir el #Consentimiento, así no hay vulneracion del deber del secreto, ni del principio de #información y consentimiento.
[3] Esta infracción es exigible cuando el grupo NO entra en la EXCEPCIÓN doméstica. Es decir, si es un grupo personal, familiar, NO «salvo cosas raras» no sería sancionable.
[4] La LOPD y el RGPD/GDPR son exigibles a las empresas, negocios, profesionales, y demás tratamientos de datos, comerciales, filantrópicos, etc. que no tengan fines domésticos.]

2ª. [Actualización 22/03/18, con motivo de las noticias que hablan de no usar whatsapp en la empresa, debido a la sanción a Facebook y Whatsapp]

[1] Ya mencionamos más arriba algunas indicaciones dentro del texto

[2]Cuando hablamos de las otras razones por las que no es recomendable usar whatsapp, y mencionamos el contrato de protección de datos, ahí, dábamos en la diana de lo se menciona en muchos de los artículos que han estado saliendo estos días. Whatsapp no cumple con la normativa de protección de datos, no se reconoce como prestador de servicio, y no sigue instrucciones de ningún responsable de fichero. Y, aunque firmara el contrato lo estaría incumpliendo al dar los datos a Facebook, sin consentimiento de la empresa, ni de los usuarios.

[3] Ah sí, al usar whatsapp estamos haciendo una transferencia internacional de datos… otra cosa es que no se transmitan datos personales… depende de cómo y para qué se use.

Conclusiones

Usar las herramientas que trae la evolución de la tecnología está muy bien, pero debe hacerse con precaución. Con la actual LOPD parece que la AEPD, no está siendo especialmente exigente en cuanto al uso de whatsapp, pero, ¿será igual cuando inicie la aplicación del RGPD, Reglamento General de Protección de Datos? No lo sabemos.

La recomendación principal es que siempre, siempre, siempre, se cumpla con los principios de la normativa de protección de datos. Que se proteja el derecho del usuario, y se prime este por encima de todo. A partir de ahí, se debe crear una política de uso de estas herramientas, darlas a conocer al personal, y poner medios para su cumplimiento.

[Act 22/03/18] Esto puede ser un cambio claro de línea por parte de la AEPD. Así que si ha decidido usar whatsapp en su negocio/empresa, pregúntese la razón que le lleva a ello y  si realmente es tan necesario; incluso puede buscar otras opciones menos «comprometidas»

Programa de radio asociado a este tema

El 16/10/2017, en el espacio «Internet en Familia» del Hoy por Hoy Tenerife, de Radio Club ser Tenerife, tratamos este tema. Os dejamos el audio, ya que ha algunas pinceladas que mencionamos durante el programa, y para no extener este post, aquí no las hemos tocado. Por ejemplo las implicaciones en protección de datos, del uso de whatsapp por parte de particulares… hay dato curioso, ¡avisamos!

/0 Comentarios/por

Control laboral de recursos informáticos empresariales

, , , ,

Comentario sobre la ST TEDH caso Barbulescu. Matices de la potestad de control laboral de recursos empresariales -informáticos o telemáticos-  por parte del empresario.

El pasado martes 5 de septiembre se publicó una Sentencia de la Gran Sala del Tribunal Europeo de Derechos Humanos, más conocido como TEDH. Hablamos del Caso Barbulescu VS Rumanía, que ya el año pasado, en enero del 2016, dio de sí muchos titulares.

En la Sentencia vemos la posición de la Gran Sala, luego de que en Abril del año pasado, el aplicante -Barbulescu- solicitára la revisión de la sentencia dictada por una de las salas del TEDH. La sentencia recurrida daba la razón al empleador que había despedido a Barbulescu por hacer uso de recursos informáticos de la empresa -el ordenador- para fines personales durante la jornada laboral.

Resumen. Consideraciones especiales del caso.

Distancia de los hechos y diferencias temporales

Tal como decía Xavier Rivas en una de sus publicaciones, hay que tener en cuenta que los hechos que suscitaron el pleito sucedieron en el año 2007. Hace 10 años, antes de que saliera el primer iPhone, antes de los dispositivos móviles casii ordenadores que tenemos hoy en día. Esta aclaración es importante debido a que entonces era mucho más difícil para un trabajador no hacer uso de los dispositivos de empresa para ver su correo, o para tener una conversación de chat. Hoy en día todos tenemos un móvil con conexión a internet, y con capacidad de lo antes dicho y mucho más. Con esto queremos decir que bueno, era una situación distinta.

El caso surgió por una cuenta de msn, no de correo electrónico

La mayoría de titulares que han comentado la noticia hablan del correo electrónico. Pero, el correo electrónico no es el único recurso de la empresa que es susceptible de ser usado para fines personales por parte de un empleado. También, y entre otros, entran ordenadores, móviles, tablets, impresoras, teléfono fijo, internet -sí, la wifi-, etc.

En este caso fue una cuenta de Yahoo msn personal, a la que el usuario accedió desde los dispositivos de la empresa. Por desgracia, debido a la monitorizacion de los sistemas informáticos que realizaba la empresa, como medida de controlar el absentismo presencial, esa última tuvo conocimiento de las conversaciones privadas del empleado. Y justo, ese carácter confidencial de las conversaciones a las que accedió la empresa es lo que suscito todo el lío.

Novedades a destacar sobre lo que ya se hacía en España

No hay muchas, salvo la de aclarar mejor el alcance en cuanto a recursos afectados, formas de monitorización y alcance de la misma. Por lo demás, en las sentencias que han venido saliendo de nuestro Tribunal Constitucional y del Tribunal Supremo queda claro que la ponderación de derechos, el juicio de proporcionaldiad, idoneidad, interés legítimo, etc. son requisitos indispensables.

Qué debemos tener en cuenta a la hora de aplicar el control laboral en el uso de recursos empresariales.

Diferenciación de dispositivos

La capacidad de control laboral referida a la monitorizacion, se refiere a los dispositivos y recursos de la empresa. No a los privativos de los trabajadores. Recursos tales, como correo electrónico, cuentas de mensajería, dispositivos móviles, ordenadores, impresoras, wifi, etc.

¿Cuándo podría verse afectado el trabajador?

Cuando utilice los dispositivos o recursos de la empresa con fines personales, sin consentimiento del empleador. Puede darse la situación que debido al cargo o las funciones del empleado, la empresa le permita el uso personal de los recursos. En esos casos la empresa debe marcar claramente el alcance y las excepciones de dicho control; o los permisos concedidos, da igual la formula. En situaciones de autorización, si hay monitorización de la actividad, es recomendable para el empleado usar carpetas identificadas como «Personal» para procurar su privacidad.

Requisitos antes para un correcto control laboral de recursos empresariales

Antes de poner en práctica una medida de control laboral o de uso de los recursos empresariales, se deben realizar una serie de juicios. Evaluaciones previas a la puesta en marcha de la medida. Se debe procurar de forma expresa la garantía de los derechos y libertades de los trabajadores; se debe evaluar la idoneidad, proporcionalidad, y mitigar al máximo posible las expectativas de privacidad del trabajador.

Cuando hablamos de expectativa de privacidad no nos referimos a matar derechos, sino a ser transparentes. Si el trabajador conoce los controles realizados por la empresa, también pondrá de su parte medidas para proteger su intimidad y privacidad. Concienciación, la llaman.

Juicios a realizar antes de poner en marcha una medida

  1. Derechos de los trabajadores. Es necesario conocer los derechos de los trabajadores, que podrían verse afectados con dicha medida. Valorar el nivel de afectación.
  2. Proporcionalidad. A partir del punto anterior, identificar si es proporcional realizar la medida prevista.
  3. Idoneidad. Si es idóneo, o si pudiera realizarse, una (punto siguiente)
  4. Búsqueda de medidas menos intrusivas, que garanticen la ponderación de los derechos del trabajador y las del empleador.
  5. Interés legitimo. Es necesario realizar un juicio de la identificación del interés en base al cual se toma la medida de control laboral. Especialmente de su correspondencia con la garantía de los derechos de los empleados.
  6. Modos de información previa. Pasados todos los juicios anteriores, habrá que identificar la forma idónea de informar a los trabajadores. Informar, formar y evitar las expectativas de privacidad son las claves de una correcta información a los usuarios. Cualquier modo encubierto podría dar problemas.

 Se debe informar:

  1. De la medida de control laboral de recursos empresariales que se realizará.
  2. El alcance concreto de la medida.
  3. Si existe monitorización de actividades, la forma en que se realizará, los contenidos, medios y recursos afectados.
  4. La base jurídica en el que se basa la realización de la medida. Hay que tener en cuenta, de forma especial lo relativo al artículo 20 del Estatuto de los Trabajadores.

¿Mi empresa puede ver mi correo electrónico?

Pues tal como aparece en una de nuestras preguntas frecuentes, sí. Al fin y al cabo es un correo de empresa, si te vas en muchos casos lo seguirá gestionando un compañero, o se redirigirán las comunicaciones a uno.

Bueno es aclarar que en la mayoría de los casos no hay alguien cotilleando todo el tiempo lo que hacemos, sino, que eventualmente podrían hacerlo. Es una de las facultades derivadas de la potestad de control que tiene la empresa. También por cuestiones de privacidad, protección de datos, y compliance.

Siempre que se informe adecuadamente, se lleve a cabo de forma ordenada, y no se vulneren los derechos, sí, lo pueden hacer. Eso sí, hablamos del correo de empresa, ese recurso tan valioso que te pueden asignar de forma personalizada, o genérica.

Finalmente

Estamos en cambio y evolución constante, la tecnología es lo que tiene. Avanza y avanza como si no hubiera mañana. En nuestras manos está proteger nuestra privacidad e intimidad. Conozcamos las reglas de nuestras empresas, enterémonos de nuestras limitaciones, y según sea el caso, si tenemos un móvil personal, manejemos desde ahí nuestras cosas personales.

Os recordamos que todos los lunes, siempre que no hayan cosas extraordinarias, estaremos al aire en Radio Club Ser Tenerife, hablando de internet, tecnología, privacidad, derechos, protección de datos, riesgos, ciberseguridad, consumo, compliance, reglamento europeo de protección de datos, LOPD, RGPD, GDPR, entre otros.

Comentario y explicación en la radio

Debido a la cercanía de las fechas, este contenido lo desarrollamos el pasado lunes 12/09/2017, en el inicio del curso escolar, de la radio. Por cierto, sí, volvemos a colaborar en una nueva temporada de Hoy por Hoy Tenerife, de Radio Club Ser Tenerife. En nuestro espacio de los lunes, Internet en Familia.

Os dejamos el audio, en el que comentamos con Juan Carlos Castañeda, lo relativo a la sentencia; también damos recomendaciones básicas para empresas, y claro, para los trabajadores.

 

/0 Comentarios/por

Protección de datos de menores

En los últimos meses, hemos recibido varias consultas de padres, sobre protección de datos de menores. Todas las consultas tenían 3 puntos en común, datos de menores, internet y una institución o negocio que publica datos sin consentimiento.

No hay necesidad de contar cuales son las situaciones exactas. Pero os podéis imaginar,  que todas terminan con unos padres enfadados, y con un titular de ficheros, pidiendo disculpas, o lavándose las manos. Esperamos que con este artículo, quede claro cuáles son las obligaciones de las empresas, instituciones y/o profesionales; también que los padres sepan cómo pueden actuar, y qué derechos pueden ejercitar en defensa de sus hijos.

Normativa de protección de datos, aplicada a datos de menores

La normativa de protección de datos, reconoce derechos a las personas e impone obligaciones a los titulares de los ficheros (empresas, instituciones, profesionales). Todas las obligaciones de la Ley Orgánica 15/1999, de Protección de Datos Personales – LOPD,, así como su Reglamento de Desarrollo, el RD 120/2007, son directamente aplicables al tratamiento de datos de los menores. No podía ser de otra manera.

Lo primordial es respetar y garantizar este derecho, cumplimento con los principios de la protección de datos: calidad de los datos, información, consentimiento, seguridad de los datos, confidencialidad, entre otros. Está claro que por la especial vulnerabilidad, de los menores, algunos de estos principios se aplican de forma distinta, adaptándolos a su entorno, edad, capacidad de decisión, etc., de modo que se garantice, de verdad, su derecho a la protección de datos.

Principios a tener en cuenta

Como mencionamos antes, todos los principios de la normativa de protección de datos – LOPD 15/1999, y su reglamento de desarrollo, el RD 1220/2007, son aplicables también al tratamiento de datos de menores. En este apartado nos centraremos en los que tienen un desarrollo específico, relacionado con los menores.

El desarrollo específico, asociado al tratamiento de datos de los menores, lo encontramos en el artículo 13, del RD 1720/2007 

Artículo 13. Consentimiento para el tratamiento de datos
de menores de edad.

En este artículo vemos con claridad, como el principio de información, consentimiento y calidad de los datos, juegan un papel especial. En el caso de los menores, se adaptan para defender y garantizar el derecho a la protección de datos de los menores.

Información

En el caso de los menores, el principio de información se adapta a su edad, conocimientos del medio, y demás factores que hacen de los menores un colectivo vulnerable; se exige que toda información que vaya con destino a los menores, sea sencilla, clara y fácil de comprender por ellos.

Artículo 13. RD 1720/2007,

3. Cuando el tratamiento se refiera a datos de menores de edad, la información dirigida a los mismos deberá expresarse en un lenguaje que sea fácilmente comprensible por ellos.

Consentimiento

El consentimiento suele ser la piedra angular en el tratamiento de datos. También lo es, cuando los datos son de menores. En el caso de los menores, el consentimiento podrá ser prestado por ellos mismos, o por sus padres; depende de la edad del menor y del tratamiento que se quiera realizar.

Artículo 13. RD 1720/2007,

1. Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento; salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores.

Calidad – Proporcionalidad

Como a todo tipo de tratamiento de datos personales, el principio de calidad deberá aplicarse de forma rigurosa. Ahora bien, debido a la vulnerabilidad, inocencia y desconocimiento de los menores, se hace especial hincapié en lo siguiente:

Artículo 13. RD 1720/2007,

2. En ningún caso podrán recabarse del menor datos que permitan obtener información sobre los demás miembros del grupo familiar.

Podrán recabarse los datos de identidad y dirección del padre, madre o tutor con la única finalidad de recabar la autorización.

Consultas sobre el consentimiento

Al iniciar el artículo os contamos, que el mismo, nació a colación de varias consultas recibidas, por parte de padres y madres. Así, que con permiso de los consultantes, aquí esperamos, poder aclarar algunas de sus situaciones:

¿Cuándo se debe solicitar el consentimiento de los padres

Es necesario, siempre que se trate de un menor de 14 años, con discapacidad intelectual, o en un caso de necesario ejercicio de la patria potestad o tutela.

¿De uno de ellos, o de los dos? En caso de padres separados o divorciados, siempre de los dos. Si solo uno de ellos, ostenta la patria potestad, este es quien debe dar el consentimiento.

¿Quién obtiene/recibe el consentimiento?

El consentimiento, en caso de prestarse, es para el titular de los ficheros. Es decir, la empresa, institución, o profesional, que decide sobre la creación y finalidad del fichero; No se da al director del colegio, ni a los profesores, ni dinamizadores del campamento, etc. 

  • ¿Puede un profesor del colegio publicar las fotos de mi hijo en sus redes sociales, personales? No, no puede. El consentimiento fue otorgado al colegio, no al profesor. En estos casos hablamos de un incumplimiento claro, por el que puede ser sancionado el colegio, e incluso el propio profesor. Hay varias sentencias al respecto.
  • ¿Si una empresa o profesional hace una actividad contratado por el colegio, puede tomar fotos y publicarlas en su web o redes sociales? No, si no ha solicitado el consentimiento de los padres. Al tratarse de un titular de fichero independiente al original, deberá recabar los consentimientos de los padres. El consentimiento dado al colegio, es solo para el tratamiento de los datos en el ámbito del msimo; no puede utilizarlo para ceder los datos, ni  puede extenderlo para que lo usen sus prestadores de servicios.
Alcance del consentimiento

Otra de las grandes dudas, de varios de nuestros consultantes  fue ¿Cuál es el límite del consentimiento que he prestado, luego pueden hacer lo que quieran? Sobra decir, que en algunos de los casos consultados, el titular de los ficheros se había extralimitado.

  1. Solo pueden tratar los datos de los menores, con las finalidades descritas en la información facilitada. Para nada más.
  2. Si un padre no autoriza la publicación de los datos de su hijo en internet, esto incluye, la web del colegio. Los datos subidos a las zonas privadas de la web, deben estar bloqueados para evitar su indexación por los motores de búsqueda. En caso contrarío, estarían realizando una comunicación de datos no consentida.
  3. El consentimiento es solo para la entidad, organización o profesional titular de los ficheros. No para sus empleados, colaboradores, o proveedores. Salvo en casos previstos en la legislación vigente, los terceros deberán solicitar el consentimiento para el tratamiento de los menores, fuera del desarrollo normal de la prestación de servicios.
  4. Si el padre se ha negado a la subida de fotografías del menor a internet, se entiende que se refiere a cualquier tipo de datos del mismo. No vale subir una foto, pixelar el rostro y luego poner el nombre completo del menor. 

    Si hay dudas sobre un consentimiento, debe solicitarse de nuevo.

 Y, si pese a no dar consentimiento para publicar datos del niño, lo hacen, ¿qué puedo hacer?

En estos casos, hablamos de una comunicación de datos no consentida. El padre, madre o tutor, puede dirigirse a la Agencia Española de Protección de Datos – AEPD, y poner en su conocimiento los hechos. En la mayoría de casos hablamos de denuncias, que deberán ir acompañadas de sus respectivas pruebas, y descripción de los hechos. Las denuncias son gratuitas, y se pueden hacer, incluso a través de la sede electrónica de la agencia.

Está claro, que si se prefiere, antes de denunciar, pueden ponerse en contacto con quien ha publicado los datos, y solicitar el cese de dicha comunicación. Hay que ver que en algunos casos, es posible resolver el tema por la vía amistosa, y otras, no. También, en función de la afectación del derecho, es mejor denunciar directamente. Caso a caso, hay que ver, cada caso.

En resumen

Las empresas o instituciones, o profesionales, que traten datos de menores, deben implementar las obligaciones que exige la LOPD, 15/1999; y las de su reglamento de desarrollo, el RD. 1720/2007. Si bien es cierto, que a la hora de tratar los datos de menores, deben adaptar algunos de los principios.

Los padres no tienen que sentirse culpables, por defender el derecho a la protección de datos de sus hijos. Ni tampoco, pensar que esto pueda perjudicar al menor, al contrario. Los colegios, institutos, y demás empresas, profesionales, organizaciones, etc. deben colaborar en este sentido. Sin excusas, ni dilaciones. Proteger los datos de los menores, es una obligación de todos. 

 

Ya para terminar, os dejamos el audio del programa de radio Internet en Familia, en el que colaboramos todos los lunes con Radio Club SER Tenerife. Justamente el pasado 27/03/2017, hablamos de este tema. Esperamos que os sea de utilidad.

Podéis escucharnos a partir  del punto, 1.37:50

Os invitamos a escuchar nuestra participación de todos los lunes, en esta emisora de Tenerife, en la que hablamos de internet, seguridad, privacidad, intimidad, protección de datos, comercio electrónico, propiedad intelectual, entre otros.

/2 Comentarios/por

¿Fotos de perfil? Siempre con Consentimiento de su Titular

, ,

Hablamos de fotos de perfil en las que aparece el titular del perfil, su familia, o amigos. Sujetos protegidos por el derecho a la protección de datos, al honor, la propia imagen, intimidad personal y familiar. Para usar la foto, es obligatorio tener el consentimiento del titular, salvo en algunas, pocas, excepciones.

Este post nace a colación de la STS 363/2017. En ella vemos dos cosas, la primera, que el periódico actuó correctamente en el ámbito del derecho a la información. La segunda, que se olvidó del derecho a la intimidad personal y familiar, y a la propia imagen del afectado.

¿De verdad es tan nuevo que no se puedan usar fotos de perfil sin consentimiento?

No, no lo es. Pero se armó una polvareda ya que muchos medios sacan imágenes de las redes sociales, ilustran con ellas sus noticias, y al no tener una resistencia férrea, siguen haciéndolo. Pues bien, la sentencia viene a recordar lo que pocas veces llega a tan alta esfera de los tribunales. Hay que pedir consentimiento para usar la imagen de una persona en una publicación.

Luego, si no es nuevo, ¿dónde está la justificación para no poder usar las fotos de  perfil en una red social que se supone pública? Es sencillo, está en los derechos fundamentales que amparan a su titular.

Derechos de la persona que aparece en una fotografía

 

Derecho a la intimidad familiar, personal y a la propia imagen

Aprovecharemos parte del contenido de la sentencia para aclarar de qué va esté derecho:

El derecho a la intimidad personal y familiar garantiza a la persona un ámbito reservado de su vida personal y familiar, vinculado con el respeto de su dignidad como persona, frente a la acción y el conocimiento de los demás, sean estos poderes públicos o particulares. Este derecho atribuye a su titular el poder de resguardar ese ámbito reservado, tanto personal como familiar, frente a la divulgación del mismo por terceros y frente a la publicidad no consentida. Así lo ha declarado tanto el Tribunal Constitucional (entre las más recientes, sentencia 176/2013, de 21 de octubre ) y esta sala (sentencia 478/2014, de 2 de octubre )

Derecho a la protección de datos personales

Para ser precisos, usaremos el fundamento 7º de la ST. 292/2000 de 30/11/2000

Es un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de éstos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles este tercero puede recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión y usos.

El derecho fundamental a protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal.

 

Según la ST. 292/2000 de 30/11/2000 estos dos derechos comparten.

el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar

 

Pero, ¿las fotos de perfil no son públicas?

En realidad depende de lo que entendamos por público. Es pública, accesible a todos, en el ámbito de la red social en la que fue publicada. Ahora bien, aunque se vea desde un buscador, fuera de la red social, no se entiende de dominio público. La propia sentencia indica,

Que en la cuenta abierta en una red social en Internet, el titular del perfil haya «subido» una fotografía suya que sea accesible al público en general, no autoriza a un tercero a reproducirla en un medio de comunicación sin el consentimiento del titular

La finalidad de una cuenta abierta en una red social en Internet es la comunicación de su titular con terceros y la posibilidad de que esos terceros puedan tener acceso al contenido de esa cuenta e interactuar con su titular, pero no que pueda publicarse la imagen del titular de la cuenta en un medio de comunicación.

Por lo tanto, no es publica, de uso común y sin limitaciones del mismo, por cualquiera que tenga acceso a directo o indirecto a ella. Esto es así pese a que al estar visible en internet podamos llegar a tener esa sensación.

A este respecto, hay que aclarar que Internet no es una fuente accesible al público. Ver lista de fuentes en la LOPD 15/1999.

Excepciones

Hay excepciones, las fotos de personas con relevancia pública, en su esfera pública. También está el caso del material audiovisual del lugar de la noticia.

¿Subir una foto a internet, es consentir que los demás la usen?

Subir un contenido a internet, no es un consentimiento para que cualquiera lo use. Es así como en la sentencia encontramos un recordatorio al respecto.

Que una persona suba contenido y esté sea público,

«[…] esto no equivaldría a un consentimiento que […] tiene que ser expreso y, además, revocable en cualquier momento». sentencia 746/2016, de 21 de diciembre

En resumen

Es necesario contar con el consentimiento del titular de las fotos de perfil, o de las personas que en ella aparezcan, antes de publicarlas en un medio.

Lo que publiquemos en las redes sociales solo se puede usar en su ámbito, y en teoría, con la finalidad que lo hicimos. Esto último ya es otro jardín, para otro día, u otra sentencia.

 

En breve este tema lo mencionaremos en la colaboración que tenemos con Radio Club Tenerife, en el espacio Internet en familia, en el que participamos cada semana donde siempre tratamos  temas sobre internet, seguridad, privacidad, LOPD, protección de datos, comercio electrónico y otros de interés general para la familia.

Actualización 27.03.2017. Os dejamos el audio de la participación que tuvimos en Radio Club SER Tenerife, el pasado 13.03.2017. En el enlace, a partir del minuto 29.54, podréis escuchar el desarrollo de este tema.

/0 Comentarios/por

Suplantación de identidad para la contratación de servicios de Telecomunicaciones

La suplantación de identidad para contratar servicios de telecomunicaciones (contratar líneas telefónicas, servicios de televisión por cable o incluso compra de móviles y tablets) es cada vez más habitual, tanto que en marzo de este año la Agencia Española de Protección de Datos –en adelante AEPD-, ha firmado un acuerdo con las asociaciones de consumidores con el fin de concienciar e informar a los usuarios sobre sus derechos y acciones para defenderlos.

Este acuerdo se entiende aún mejor cuando echamos un vistazo a la memoria de la AEPD correspondiente al año 2015 y que fue presentada finales del mes de junio (2016). En esta memoria vemos como las denuncias y consultas que recibió la citada agencia por este motivo, se incrementaron de forma notable.

En la nota de prensa que publicó aquí (https://www.agpd.es/portalwebAGPD/revista_prensa/revista_prensa/2016/notas_prensa/news/2016_06_20-ides-idphp.php ) destacamos “…Uno de cada tres afectados denunció ante la AEPD cuestiones relacionadas con el ámbito de la morosidad, en particular la inclusión en ficheros comunes, la reclamación de deudas impagadas o la contratación irregular en servicios ofrecidos por operadores de telecomunicaciones, entidades financieras o compañías energéticas…”.

En este post nos gustaría ampliar la información de los lectores sobre la suplantación de identidad como tal, qué es, cómo lo hacen y qué podemos hacer si somos victimas de este tipo de delitos.

 

¿Qué es suplantar la identidad de otro?

En primer lugar hay que definir qué es realmente la suplantación de identidad, y para ello podemos usar la jurisprudencia sentada por el Tribunal Supremo en distintas ocasiones en la que pone como requisito indispensable no solo apropiarse del nombre y datos de una persona, sino usar esos datos para hacerse pasar por esa persona y suplantar su estado civil y familiar, y disfrutar con ello de sus derechos y beneficios.

La última parte es justamente la clave “La suplantación se debe llevar a cabo con el fin de disfrutar y usar los derechos de la persona sustituida”

 

¿De dónde se sacan los datos para hacerlo?

Los datos necesarios para contratar a distancia un servicio en nuestro nombre, son los básicos: Nombre, dirección, DNI, cuenta bancaria. Es fácil conseguirlas si no somos cuidadosos.

En primer lugar, de terceros con los que tenemos una relación comercial, laboral, social, etc. Hoy en día nuestros datos están en muchas manos – proveedores de servicios/productos, EL trabajo, el colegio de los niños, la peluquería, el abogado, etc.- y si una de ellas no cumple su deber de protegerlos pues los “interesados” podrán hacerse con ellos muy fácilmente.

En segundo lugar, y quizá la forma más habitual en que un estafador o un ciberdelincuente consiga nuestros datos es a través de nosotros mismos. En este sentido, las formas típicas son:

  1. Publicación de datos en internet. Los usuarios no somos conscientes de la cantidad ingente de datos que subimos a internet, y de lo mucho que nos exponemos. Por ejemplo, cuando alguien publica una foto de su pasaporte nuevo, o de una entrada a un evento que tiene nuestros datos, una foto de una carta que tiene nuestros dato.
  2. Cuando no destruimos documentos que contienen nuestros datos antes de tirarlos a la basura, por ejemplo los extractos bancarios, cartas, publicidad personalizada, etc.
  3. Cuando nos llaman al teléfono y sin confirmar la identidad del llamante le damos nuestros datos.
  4. Cuándo perdemos la cartera, un documento, etc. (Hay que denunciar enseguida, por si alguien hace uso de esos documentos poder demostrar que no fuimos nosotros)

 

¿Cómo alguien puede suplantarme en la contratación de estos servicios?

En el caso particular de los servicios de telefónica y asociados, para contratar a distancia (online y telefónicamente) solo se requieren los datos básicos de la persona: nombre, DNI, una dirección y una cuenta bancaria. Muchas veces ni siquiera piden datos adicionales de contacto.

Las operadoras tienen la obligación de confirmar la identidad de las personas, cada uno es titular de sus datos y del derecho a la protección de datos, así que antes de tratar los datos de un usuario debe tener su consentimiento, aquí es donde entra en juego la AEPD y por lo que los afectados acuden a ella.

 

¿Qué consecuencias tiene para la persona suplantada?

A partir de la contratación irregular, salvo que al empresa que ofrece el servicio se movilice de forma correcta para confirmar los datos aportados por el contratante irregular, la persona que ha sufrido la usurpación de identidad se verá envuelta en un bucle de cobros indebidos y reclamaciones de deuda que pueden terminar en su inclusión en ficheros de morosidad (solvencia patrimonial y crédito).

 

¿Qué hago si alguien me ha suplantado para este fin?

Si se encuentra que han suplantado su identidad para realizar la contratación irregular de un servicio, los pasos a seguir están claros:

  1. Denunciar ante la Policía Nacional o la Guardia Civil.
  2. Llamar a la empresa prestadora del servicio, indicar su posición y facilitar la información referente a la denuncia.
  3. Si como consecuencia de la suplantación la empresa en cuestión le reclama el pago de una deuda, el afectado puede reclamar ante: las Juntas Arbitrales de Consumo, Autoridades de consumo autonómicas, y/o a la Oficina de Atención al Usuario de Telecomunicaciones.
  4.  En caso de haber sido incluido en un fichero de solvencia patrimonial y crédito (morosos) bien porque se ha negado a pagar la deuda reclamada por este motivo, o bien porque ni siquiera tuvo constancia de la misma, deberá contactar con la empresa que le reclama la deuda y solicitar el derecho de cancelación.
  5.  En caso de que pese a la insistencia la empresa mantenga el registro en el fichero de morosidad, puede dirigirse al responsable del fichero y facilitar la documentación relativa a los puntos 1, 2 y 3.
  6. También es posible acudir a la AEPD y denunciar la suplantación de su identidad. Deberá presentar todos los datos relativos al caso.

Recuerde

  1. Guardar los datos y referencias de las reclamaciones, sean telefónicas, por correo o a través de chat.
  2. Adjuntar copia de las facturas objeto de la denuncia o reclamación.

 

¿Esa suplantación es un delito? Cómo está tipificado y qué consecuencias tiene?

La suplantación de identidad, con ese nombre como tal no está en el código penal español, pero claro que es delito y se encuentra en el artículo 401, como: “El que usurpare el estado civil de otro será castigado con la pena de prisión de seis meses a tres años”

A modo de resumen hay que destacar que hacer una llamada telefónica y contratar un servicio es muy fácil y los estafadores lo saben. Está en nuestra mano ponérselo difícil cuidando nuestra información y manteniéndonos alerta para identificar en el menor tiempo posible cualquier evento que pueda afectarnos.

 

Escúchanos en la Radio

Este fue el tema que tratamos en el espacio “Internet en familia” en el Hoy por Hoy Tenerife de la emisora Radio Club SER Tenerife, el pasado 11 de abril de 2016. En el siguiente enlace, a partir del minuto 31:47 podréis escuchar nuestra participación. Escuchadla, estamos seguros que os resultarán de mucha utilidad.

 

 

/0 Comentarios/por