Una reciente resolución de la Agencia Española de Protección de Datos (AEPD) ha sancionado a un bar  en Madrid (Tetuán) por contar con un sistema de videovigilancia y no estar adaptado a la normativa en protección de datos 679/2016 RGPD.

La inspección fue llevada a cabo por miembros de la Policía Municipal del Ayuntamiento de Madrid, los cuales requirieron la documentación pertinente.

Dicha documentación no fue aportada, iniciándose a posteriori un procedimiento por parte de la autoridad de control (AEPD) para determinar si se cumplían o no las medidas técnicas y organizativas para cumplir con la protección de datos.

La AEPD ha determinado una sanción de apercibimiento a la empresa responsable, requiriéndoles además a:

1. Colocar en las zonas videovigiladas, al menos, un distintivo informativo ubicado en lugar visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. De haber varios accesos al espacio videovigilado, el reseñado distintivo deberá colocarse en cada uno de los mismos.
2. El distintivo de zona videovigilada deberá informar, al menos, sobre la existencia del tratamiento de videovigilancia, la identidad y datos de contacto del responsable del tratamiento o del sistema de videovigilancia y la posibilidad de ejercitar los derechos reconocidos en los artículos 15 a 22 del RGPD. Dicha información también podrá incluirse mediante un código de conexión o dirección de internet que dirija a la misma.
3. Mantener a disposición de los interesados el resto de la información que debe facilitarse a los afectados en cumplimiento del derecho de información regulado en el Reglamento (UE) 2016/679, de 27 de abril de 2016.

Cada vez son más las empresas cumplen con la normativa en protección de datos y el deber de informar que pide la ley, pero aún quedan algunas rezagadas que, vistos los precedentes, están muy expuestas a fuertes sanciones por parte de la AEPD.

Si tienes una empresa, tratas datos personales y aún no te has adaptado, ponte en contacto con nosotros y te asesoramos.

Haz click aquí para ver la resolución completa.

Fuente: AEPD

Los datos se han convertido en un gran activo para los negocios. Tanto es así que llegó un momento en que era tal el número de compañías que disponían de nuestro teléfono, nombre, dirección o conocían nuestros gustos, preferencias o nivel adquisitivo que la UE decidió tomar cartas en el asunto. En los últimos años se han puesto en marcha diversas normativas para limitar el uso de nuestros datos y hacer que podamos saber en todo momento quién tiene acceso a ellos, para qué puede usarlos y cómo los ha conseguido.

La medida más importante fue el Reglamento General de Protección de Datos (RGPD) que entró en vigor en mayo de 2016 y que desde el 25 de mayo del año pasado es de obligado cumplimiento en España. Su incumplimiento puede conllevar multas y sanciones que alcanzan los 20 millones de euros, en el peor de los casos.

La cuestión es importante y preocupa a los empresarios. “Las recientes multas impuestas y el daño continuo a la reputación como resultado del incumplimiento regulatorio respaldan la seriedad con la que se afrontan estos riesgos”, indican los responsables de la consultora multinacional Willis Towers Watson en su 6ª Encuesta de Responsabilidad de Directores.

Dos años de margen tuvieron entidades públicas, organizaciones y empresas para adaptarse a la nueva forma de gestión de la información, sin embargo aún hay rezagados que siguen sin aplicar las nuevas normas o no lo hacen correctamente. Resumamos lo que tiene que hacer y cómo hacerlo.

1. Cumplir con el deber de información

Debe informarse a los titulares de los datos de quién es el responsable del tratamiento, las finalidades que se persiguen, si existen cesiones a terceros y la dirección postal o electrónica donde el titular pueda solicitar sus derechos de acceso, rectificación, cancelación y oposición. Todas las empresas están obligadas a informar por cualquier canal a sus clientes de estos cambios.

2. Lograr el consentimiento explícito

El consentimiento para el tratamiento de datos deja de ser tácito. Ya no vale que se dé por hecho, debe de haber una clara acción afirmativa. De hecho, el responsable de los datos debe tener pruebas de ese consentimiento.

Si tienes dudas, consulta esta guía de la Agencia Española de Protección de Datos (AEPD).

 Registro de actividades de tratamiento

El RGDP obliga a informar, tanto a los propios usuarios como a la AEPD, sobre la recopilación de los datos y el objetivo de la misma. La antigua inscripción de ficheros (vigente con la anterior LOPD 15/1999) es ahora sustituida por el registro de actividades de tratamiento efectuadas por cada responsable y, en su caso, encargado del tratamiento de datos. Ese registro incluye, entre otra información, los fines, las categorías de destinatarios a quienes se comunicaron o comunicarán los datos, las transferencias de datos personales a un tercer país, etc.

4. Realizar un análisis de riesgos y adoptar medidas de seguridad

No es posible asegurar el derecho fundamental a la protección de datos si no se es capaz de garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales, así que lo primero es estudiar el nivel de peligrosidad que hay entorno al tratamiento y almacenamiento que haces de la información que manejas. Puedes hacerlo mediante la herramienta FACILITA-RGPD. En los primeros pasos de este procedimiento vía web encontrarás unas preguntas que te ayudarán a determinar el grado de riesgo.

5. Comunicar incidentes de seguridad

Con los ciberataques a la orden del día y las herramientas informáticas en constante evolución, ninguna empresa está a salvo de sufrir un incidente. Si eso ocurriera, el RGPD introduce la obligación de notificar a la autoridad competente, en este caso la AEPD, si se detecta una brecha de seguridad que afecte a datos personales. En determinados casos también hay que avisar a las personas cuyos datos personales se hayan visto afectados por la violación.

Aquí lo importante es tener establecidos de manera clara los mecanismos y procedimiento de notificación de quiebras de seguridad. El pasado mes de marzo hubo 113 notificaciones, tres de ellas se están investigando por si supusiera la existencia de riesgo alto para los derechos y libertades de los ciudadanos.

6. Valorar si los encargados de los datos ofrecen garantías

El RGPD define el tipo de contrato que debe vincular al responsable de los datos con el encargado de los mismos. En él se deben especificar la relación y las obligaciones de ambas partes ante la prestación del servicio acordado. Si existiera un contrato vigente previo a mayo de 2018, cuando entró en vigor el reglamento, es imprescindible incluir una cláusula al respecto que sea firmada por las partes.

Quizás sea este el momento de valorar si el organismo o empresa encargada del tratamiento de los datos de mi compañía es el más adecuado y aclarar situaciones en las que puede ser difícil distinguir cuándo estamos frente a un encargado o a un responsable del tratamiento.

7. Designar un delegado de protección de datos

No es una figura obligatoria en todas las empresas (consulta tu caso aquí), pero puede ser conveniente asumirla de manera voluntaria o en cualquier caso identificar a una persona responsable de coordinar la adaptación para el correcto cumplimiento de las medidas del reglamento.

8. Atender correctamente los derechos de los ciudadanos

Nos referimos al derecho de acceso (para conocer y obtener información sobre sus datos de carácter personal sometidos a tratamiento), de rectificación (el ciudadano puede solicitar la corrección de errores y la modificación de los datos que resulten ser inexactos o incompletos), de cancelación (cualquier persona puede solicitar que se supriman sus datos) y de oposición (puede negarse a que se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo).

Además, los datos personales que solicitemos deberán ser adecuados, veraces y no excesivos. Es decir, no hay que solicitar más datos de los necesarios, hay que mantenerlos actualizados y eliminarlos cuando ya no sean necesarios.

Fuente. https://elpais.com