La crisis sanitaria provocada por la COVID-19 ha puesto de manifiesto ciertas prácticas en el ámbito de la contratación laboral que consisten en solicitar a los candidatos a un puesto de trabajo información de si han pasado la COVID-19 y desarrollado anticuerpos como requisito para acceder al puesto de trabajo ofertado.

La crisis sanitaria provocada por la COVID-19 ha puesto de manifiesto ciertas prácticas en el ámbito de la contratación laboral que consisten en solicitar a los candidatos a un puesto de trabajo información de si han pasado la COVID-19 y desarrollado anticuerpos como requisito para acceder al puesto de trabajo ofertado.

La Agencia Española de Protección de Datos considera necesario advertir que estas prácticas constituyen una vulneración de la normativa de protección de datos aplicable.

La información de haber padecido el coronavirus y desarrollado anticuerpos de esta enfermedad es un dato personal relativo a la salud, que el Reglamento General de Protección de Datos (RGPD) califica de categoría especial en su artículo 9, por lo que su recogida y utilización por la posible empresa empleadora está sujeta a la normativa de protección de datos, fundamentalmente el citado RGPD y la Ley Orgánica de protección de datos personales y garantía de los derechos digitales (LOPDPGDD), que resultan plenamente aplicables.

El RGPD requiere para el tratamiento de datos personales la existencia en todo caso de una base jurídica de las previstas en su artículo 6.1, y cuando se traten categorías especiales de datos personales, como son los datos relativos a la salud, es necesaria también la concurrencia de una de las excepciones previstas en el artículo 9.2 del RGPD que permiten levantar la prohibición de su tratamiento.

Entre las bases jurídicas que en principio podrían fundamentar dicho tratamiento por la empresa empleadora estarían el consentimiento del interesado, conforme al artículo 6.1.a) del RGPD, o la prevista en su artículo 6.1.b), relativa al tratamiento necesario para la ejecución de un contrato en el que la persona candidata es parte o para la aplicación a petición de esta de medidas precontractuales. Sin embargo, ni una ni otra base serían aplicables en el presente caso.

Consentimiento libre

Para que el consentimiento sea válido debe consistir en una manifestación de voluntad libre, específica, informada e inequívoca. El RGPD ha dejado bien claro que el consentimiento no debe considerarse libremente prestado cuando no se goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno (considerando 42), o cuando exista un desequilibro claro entre las partes (considerando 43), como sucedería en el presente caso, en el que el consentimiento estaría condicionado por la necesidad o la voluntad de acceder a un puesto de trabajo, lo que anularía la libertad de la persona.

En ese sentido, el Comité Europeo de Protección de Datos ha ratificado las “Directrices sobre el consentimiento en el sentido del Reglamento (UE) 2016/679”, adoptadas el 28 de noviembre de 2017 por el Grupo de Trabajo del Artículo 29 y revisadas por última vez el 10 de abril de 2018 (WP259), que consideran que en el contexto del empleo se produce un desequilibrio de poder dada la dependencia que resulta de la relación entre las partes, y no es probable que la persona candidata pueda negar a la empresa el consentimiento para el tratamiento de datos sin experimentar temor o riesgo real de que su negativa produzca efectos perjudiciales; y, por tanto, considera problemático que la empresa realice el tratamiento de datos personales de empleados y empleadas actuales o futuros sobre la base del consentimiento, ya que no es probable que éste se otorgue libremente.

En consecuencia, no sería lícito un tratamiento de datos de salud como el expuesto por parte de la empresa basándose en el consentimiento de la persona candidata, por no ser este un consentimiento libre.

Del mismo modo, tampoco podría considerarse aplicable la base jurídica del artículo 6.1.b) del RGPD (ejecución de un contrato), por cuanto la solicitud de dicho dato de salud no sería necesaria para la ejecución o formalización del contrato de trabajo y, por lo tanto, dicho tratamiento sería excesivo y contravendría el principio de minimización de datos fijado en el artículo 5.1.c) del RGPD, en relación con lo que se dispone en el artículo 7.4.

Desde el punto de vista de las excepciones que levantarían la prohibición de tratar estos datos sensibles, el consentimiento, que para funcionar como excepción debiera ser, además, explícito, no sería válido, por las mismas razones que se han indicado al analizarlo como base jurídica.

Cabría analizar si alguna otra de las excepciones previstas en el artículo 9.2 del RGPD, podría ser aplicable. En concreto cuando el tratamiento es necesario para atender a las obligaciones y el ejercicio de derechos específicos del responsable o del interesado en el ámbito del derecho laboral, de acuerdo con lo previsto por el derecho de la Unión o de los Estados Miembros.

En este contexto, solicitar información sobre el estado de inmunidad frente a la COVID-19 iría más allá de las obligaciones y derechos específicos que impone a la empresa la legislación de Derecho laboral y de la seguridad y protección social, en particular del deber de proteger a los trabajadores frente a los riesgos laborales previsto en la Ley 31/1995, de 8 de noviembre, de prevención de riesgos laborales.

En primer lugar, porque la persona interesada aún no es empleada y la empresa no tiene por tanto obligaciones o derechos específicos frente a ella. En segundo lugar, porque la información sobre una posible inmunidad frente a la enfermedad no contribuye significativamente a la protección del resto del personal o de la propia persona, en la medida en que los protocolos de prevención de riesgos adoptados por las autoridades sanitarias y laborales se aplican por igual a todo el personal, orientándose por lo que se refiere a la presencia de infección a los casos sospechosos. Estos protocolos no establecen excepción alguna para personas que ya hayan padecido la enfermedad. Finalmente, porque la misma consideración habría de atribuirse a la COVID-19 que a cualquier otro tipo de enfermedad que pudiera conllevar un riesgo de infección, sin que se plantee esta cuestión en la actualidad sobre otras enfermedades que pudieran resultar de declaración obligatoria a las autoridades sanitarias conforme al Real Decreto 2210/1995, de 28 de diciembre, por el que se crea la red nacional de vigilancia epidemiológica.

Finalidad del tratamiento

Además de no existir base jurídica lícita para su tratamiento, la finalidad del tratamiento tampoco sería legítima.

Todo tratamiento de datos debe cumplir con los principios establecidos en el artículo 5 del RGPD, en particular ser tratados de manera lícita y que su recogida obedezca a finalidades legítimas. La solicitud de información sobre la inmunidad a la COVID-19, como requisito para acceder a un puesto de trabajo, daría lugar a una diferencia de trato que no obedece a una justificación objetiva y razonable.

Situación que el RGPD tiene en cuenta, pues parte de que hay que proteger los derechos fundamentales y la dignidad de las personas en los tratamientos que se produzcan en el ámbito laboral, en particular, a efectos de contratación de personal, pudiendo los Estados miembros establecer disposiciones más específicas que las previstas para los tratamientos de datos personales con carácter general “para preservar la dignidad humana de los interesados así como sus intereses legítimos y sus derechos fundamentales, prestando especial atención a la transparencia del tratamiento…” (artículo 88 y considerando 155 del RGPD).

En definitiva, dicho dato de salud no puede ser objeto de tratamiento por la empresa ni, en consecuencia, solicitado a los candidatos a un empleo.

Inclusión del dato en el currículum

En relación con el acceso al empleo, también se ha observado la práctica de reflejar en los currículums de quienes buscan un empleo, que envían a empresas, información de ser inmune a la COVID-19 por haber generado anticuerpos frente a dicha enfermedad.

Por las razones ya expuestas, no se debe incluir la información de ser inmune a la COVID-19 en un currículum. El potencial destinatario del mismo no puede utilizar esa información que por lo demás requeriría de una verificación que, como se ha señalado, sería ilícita, por lo que la empresa deberá proceder a suprimirla para no infringir la normativa de protección de datos, lo que podría llegar a implicar la destrucción del currículum cuando no fuera posible asegurar que el dato de la inmunidad no va a influir en la decisión que finalmente se adopte, y la eliminación del candidato del proceso selectivo.

La difusión de datos de salud, al estar considerados éstos como una categoría especial de datos personales, cuyo tratamiento implica la exigencia de garantías reforzadas, supone un riesgo para la privacidad y los derechos y libertades de los interesados. El RGPD, en su considerando 75, recoge que los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse entre otros al tratamiento de datos relativos a la salud, como sería un tratamiento de los datos sobre la inmunidad frente a la COVID-19.

La Agencia Española de Protección de Datos (AEPD) sienta un precedente en la utilización de datos personales para publicidad por parte de empresas.El principal organismo estatal independiente, creado para proteger la privacidad de los ciudadanos, ha desestimado una reclamación presentada por un consumidor contra Ryanair por el envío de mensajes comerciales.

Así lo ha hecho tras considerar que la Ley de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSI) permite dirigir publicidad a un usuario que haya contratado productos parecidos a los promocionados.

En dicha protesta el reclamante exponía que una vez comprados los billetes la aerolínea solicitaba activar una casilla de verificación para no recibir publicidad, en vez de venir desactivada por defecto y necesitar verificarla para recibir la información comercial. El mensaje en cuestión decía lo siguiente “Nuestros suscriptores reciben las mejores ofertas de Ryanair y Lauda por correo electrónico, SMS, notificaciones PUSH, teléfono. Si no deseas recibir ofertas, marca esta casilla”.

La dirección de Protección de datos acordó admitir a trámite la reclamación, pero tras consultar el artículo 21 de la LSSI consideró que la empresa podía seguir enviado comunicaciones con fines comerciales a clientes por medios electrónicos siempre que se les facilite un mecanismo para oponerse en el momento de la recogida de datos.

Por ello, concluía que “Ryanair podría enviarle publicidad de sus productos por SMS, correo electrónico o notificación PUSH sin necesidad de solicitar su consentimiento ya que ha realizado la compra de billetes”. Una condición admitida en este caso porque en el momento de comprar los billetes le había dado la posibilidad de rechazar el tratamiento de su información personal.

A este mensaje se le conoce como opt-out, el cual se dejó de usar a raíz de la aplicación del Reglamento General de Protección de Datos (RGPD) por creer que no se ajustaba a la normativa. Sin embargo lo cierto es que sí está permitido dentro de unos límites, aunque lo habitual es que el mensaje se oriente a solicitar el consentimiento para recibir mensajes publicitarios y no al revés, como en este caso.

Fuente: Dircomfidencial

El Supremo avala la sanción a la propietaria de Juasapp por infringir la ley de protección de datos

El Tribunal Supremo ha confirmado la multa de 7.500 euros impuesta a la aplicación de bromas telefónicas por encargo Juasapp por infringir la Ley de Protección de Datos de carácter personal, ya que grababa a los receptores de las bromas sin su consentimiento y permitía al amigo descargarse el audio.

En una sentencia dictada por la sala de lo contencioso-administrativo queda así ratificada la multa impuesta por la Agencia Española de Protección de Datos a la empresa Miraclia Telecomunicaciones, titular de la aplicación, en relación con cuatro bromas realizadas en abril y mayo de 2016.

La aplicación ofrece un listado de archivos de audio y, si se facilita el teléfono de una persona, ésta recibe una llamada con la broma elegida; quien gasta la broma recibe después un enlace con la grabación.

La empresa alegó que la ley excluye de la protección de datos actividades personales o domésticas, como las bromas, pero el Supremo recuerda que quien realiza el tratamiento de datos en este caso no la persona que encarga la broma, sino una empresa que desarrolla una actividad de prestación de servicios como una actividad comercial que le reporta beneficios económicos.

La grabación de voz, según la sentencia, también está protegida por la ley al estar asociada a otros datos, como el número de teléfono, y al permitir la empresa que llegue a terceras personas que puedan identificar al propietario de la misma.

Sólo tras gastar la broma y grabarla se informaba a la persona de que tenía derecho a borrar sus datos del fichero de la empresa., apunta Efe.

Para el Supremo, esa solicitud de autorización “tras escuchar una grabación que, sólo al final, el sujeto comprende que ha sido una broma y que le ha podido hacer gracia, pero también le ha podido originar dudas, sorpresa o alarma, difícilmente puede considerarse un consentimiento que cumpla con los requisitos estipulados en la Ley de Protección de Datos”.

La sanción partió de varias denuncias por bromas que los receptores malinterpretaron o consideraron de mal gusto.

En una de ellas, según se reseña en la sentencia de la Audiencia Nacional que ahora confirma el Supremo, se trató de la broma “Su hijo ha mordido en el cole” y el receptor llegó a pensar que un desconocido se había llevado a su hijo. También fueron objeto de denuncias bromas en las que se acusaba a la persona de “robar la luz a Endesa” o se le ofrecía un servicio de asesoría jurídica tras una multa de tráfico.

Los ataques a las empresas se han incrementado desde el crecimiento del comercio “online” y el desarrollo de las nuevas tecnologías y, frente a la creencia de que los ataques cibernéticos solo se centran en grandes empresas con grandes bases de datos, la realidad lo desmiente ya que los ciberdelincuentes se aprovechan de la vulnerabilidad de las pequeñas y medianas empresas que no disponen de las medidas de protección adecuadas.

Esta realidad hace que las empresas deban adaptarse a las nuevas circunstancias y protegerse de tales riesgos mediante la contratación de una póliza de ciberseguridad que te ayudará a guardar tus espaldas ante un posible ataque de los piratas informáticos. Una solución que te ahorrará más de un disgusto. En 2019, el 67% de las empresas había sufrido ciberataques, un dato importante que nos indica la importancia de la contratación de estas pólizas.

En Data Protect Plus ofrecemos este tipo de servicio para que nuestros clientes estén tranquilos con esta amenaza y eviten disgustos contratando una póliza de seguro que haga frente a los problemas ocasionados por los ataques.

Con este seguro

• Se protege y asiste a tu empresa frente a:

– Daños o pérdida de datos en los sistemas informáticos

– Robo de datos

– Denegación del servicio

• Sea cual sea la vía de entrada del ciberataque, como por ejemplo:

– Malware
– Actos de terceros
– Error humano
– Infidelidad de empleados

• Y si el ciber ataque, ocasiona daños a un tercero, se cubren las reclamaciones y sanciones que puedas sufrir.

• Para paliar los daños sufridos se cuenta con los siguientes servicios atendidos por especialistas en ataques ciber:

– Se cubren los gastos de notificación a los afectados y de recuperación de imagen.
– Ayudan a paliar el daño reputacional en redes sociales
– Protección de identidad en internet

Además, en todo momento, contarás con el soporte técnico informático para:

• Borrado de huella digital

Borrado de la información pública en Internet que afecte reputacionalmente a la marca/empresa, tanto de los buscadores como de las redes sociales y prensa escrita.

• Restauración de sistemas de acceso

Restablecimiento de los accesos digitales en caso de que robo de password, bloqueo de aplicaciones de empresa, cuentas en redes sociales, blogs…

• Reparación de equipos dañados

Se intentará dejar el equipo dañado, en el estado previo a dicho ataque, siempre que disponga de copias de seguridad.

• Recuperación de datos borrados

En el caso de que no disponga de copias de seguridad previas al ataque.

• Descontaminación de virus

En caso de recibir un ciberataque relacionado con virus o malware, se eliminará el software ajeno a los sistemas.

• Gestión de Crisis e Interrupción de negocio

Además, si el ataque paraliza tu negocio te ayudamos a restaurar la actividad con la garantía de Gestión de Crisis e Interrupción de negocio.

Si estás interesado en esta póliza, que te recomendamos, te pondremos en contacto con un profesional para que te informes y puedas contratar las opciones que más se adapten a tu negocio.

Data Protect Plus

La Agencia Española de Protección de Datos sanciona a la compañía tecnológica pese a que ya contaba con un comité de tratamiento de datos en el momento en el que fue denunciada. Se trata de la primera multa a una empresa por este motivo en España.

Glovo acumula una nueva sanción y esta vez nada tiene que ver con los riders. La Agencia Española de Protección de Datos (AEPD) ha multado a la compañía tecnológica con 25.000 euros por no contar con un delegado de protección de datos (DPO).

Con esta resolución, Glovo se lleva el dudoso honor de ser la primera empresa en España que es sancionada por este motivo. “Antes de esta multa, la AEPD apercibió al Ayuntamiento de Valencia por no contar con un delegado de protección de datos”, explica Salvador Silvestre, socio de Ecija.

La resolución está motivada por una denuncia que dos particulares presentaron contra Glovo en julio de 2019. En este momento, la empresa de reparto ya contaba con un comité de protección de datos, que realizaba todas las gestiones encargadas al delegado. Precisamente, esto fue lo que alegó la compañías en el momento en el que se le anunció que estaba siendo investigada.

Sin embargo, la Agencia, al entrar en la web de Glovo vio que efectivamente existía este comité, pero no tenía nombrado a nadie como DPO. “Muchas veces, las compañías, por el tipo de actividad que realizan, no saben bien si deben nombrar a un responsable de este tipo o no”, asegura Silvestre.

En este sentido, a finales de enero de 2020, la compañía sí que nombró a un responsable de protección de datos, pero ya era tarde y el movimiento no evitó la sanción.

En la resolución la AEPD señala que la app realiza un tratamiento de datos personales a gran escala y se encuentran afectados indicadores básicos. Esto último tiene que ver con la geolocalización de los usuarios en la plataforma. Lo que genera más dudas es el criterio que la Agencia sigue para señalar un tratamiento como de gran escala.

“Ni en la resolución ni en el reglamento de protección de datos ni en ninguna norma se establece un número de usuarios por los que sea gran escala. En otros países como en Estonia sí que se marca un límite en 5.000 usuarios para ser considerado como tratamiento masivo, pero en España no”, explica el socio de Ecija sobre uno de los motivos por los que considera que Glovo recurrirá esta sanción.

Otros países

En España es la primera vez que se sanciona a una empresa por no tener designado a un delegado de protección. Sin embargo, en nuestro entorno, países como Bélgica, Austria y Alemania han dictado resoluciones en este sentido. Precisamente, el 1 de diciembre de 2019, la Comisión para la Protección de Datos de Hamburgo impuso la sanción más dura a nivel europeo con una multa de 51.000 euros a Facebook con 51.000 euros por no contar con un DPO.

Previa a la resolución española, la más reciente se había puesto en Bélgica, cuyas autoridades para la protección de datos sancionaron a Proximus con 50.000 euros por el mismo motivo.

La respuesta de Glovo

Glovo, compañía que ha sido objeto de la sanción, recuerda que la resolución no es firme y que cabe recurso de reposición y recurso contencioso-administrativo ante la Audiencia Nacional. En este sentido, la entidad afirma que ” va a agotar todas las instancias judiciales para acreditar que actuó en todo momento de acuerdo con lo establecido en la normativa de protección de datos”.

Asimismo, Glovo afirma que sus clientes” siempre han tenido plenas garantías de que sus derechos estaban protegidos, a través primero de un órgano colegiado que era el máximo garante de los derechos de los interesados y del cumplimiento de la normativa de protección de datos, y mediante el posterior nombramiento de un DPO, cuando el número de clientes lo requirió”.

Fuente: Expansión

El 95% de las empresas sufren interrupciones del servicio no programadas. La protección de datos debe avanzar más allá de las soluciones tradicionales y anticuadas y pasar a un nivel superior de inteligencia para poder anticipar las necesidades y hacer frente a las demandas cambiantes del cliente.

La Agencia Española de Protección de Datos (AEPD) ha publicado el ‘Plan de Inspección de oficio de la atención sociosanitaria’, que analiza por primera vez los tratamientos que se llevan a cabo en este ámbito e investiga su adecuación a la normativa de protección de datos.

Las inspecciones de oficio que realiza la Agencia en distintos sectores o áreas específicas no tienen carácter sancionador sino preventivo y se llevan a cabo para obtener una visión integral que permita detectar deficiencias y realizar las oportunas recomendaciones. La finalidad de estas inspecciones es elevar el nivel de protección de los ciudadanos a través del análisis de los datos que manejan las organizaciones.

El plan contiene conclusiones respecto del cumplimiento del Reglamento General de Protección de Datos (RGPD) y de la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD), así como recomendaciones dirigidas a organismos públicos, empresas e instituciones titulares de centros sociosanitarios, que inciden en actuaciones necesarias para una correcta aplicación de la normativa. También incluye un decálogo que resume las principales conclusiones y un grupo de preguntas y respuestas frecuentes con las dudas recogidas durante su ejecución.

Entre las conclusiones más relevantes se encuentran las referidas a la información que se debe ofrecer al usuario de estos servicios, que preferiblemente será por capas, concisa y con un lenguaje claro, de acuerdo con la capacidad de comprensión del destinatario de la información. Por ejemplo, la primera capa deberían ser carteles informativos sencillos ubicados en zonas de acceso a los centros, en los que se podrían incluir referencias a otras capas de información más detallada.

Durante las auditorías se detectaron problemas relacionados con la identificación por parte de los responsables de las bases jurídicas que amparan los tratamientos, por lo que la Agencia recuerda que para cada actividad de tratamiento realizada hay que identificar su base jurídica.

El apartado de preguntas frecuentes da respuesta a otras dudas surgidas en el contexto de la actividad de la atención sociosanitaria, por ejemplo, si es posible cancelar determinados datos de un usuario a petición suya, llevar a cabo tratamientos con fines de investigación médica en un centro, o si es obligatorio facilitar datos personales de los usuarios del centro si lo solicitan las fuerzas de seguridad.

Por otra parte, se ofrecen recomendaciones relativas a la seguridad de los datos debido a que se trata de categorías especiales, como minimizar la compartición de datos personales entre profesionales a lo estrictamente necesario; elaborar perfiles de acceso que consideren las necesidades de información de cada profesional; realizar auditorías de los accesos; que los empleados que traten datos personales de los usuarios suscriban un compromiso de confidencialidad, o evitar la utilización de usuarios genéricos cuya utilización se comparte entre varios empleados, entre otras.

También se apreciaron dudas sobre si los centros podían facilitar información sobre la estancia, ubicación o estado de salud de un usuario a solicitud de los familiares. En este sentido, la AEPD observa que debe recabarse el consentimiento del usuario. No obstante, en casos de urgencia vital o si la presencia de personas vinculadas al usuario por razones familiares o de hecho pudiera ser esencial para la debida atención del usuario, siempre que el paciente no se haya opuesto a que dicha información sea facilitada, el centro puede informar si la persona se encuentra ingresada y su ubicación, sin indicar datos de categorías especiales o sobre la atención prestada.

Otras recomendaciones se refieren, por ejemplo, a que los contratos de encargado de tratamiento especifiquen todas las obligaciones estipuladas por el RGPD; que las políticas de seguridad se basen en el análisis de riesgos y que se realicen Evaluaciones de Impacto relativas a la Protección de los Datos para los nuevos tratamientos de los centros sociosanitarios.

El ‘Plan de Inspección de oficio de la atención sociosanitaria’ se enmarca dentro de las actuaciones previstas en el Plan Estratégico de la AEPD. En concreto tiene su origen en la actuación 1.3.2, cuyo objetivo es detectar los tratamientos y cesiones de datos que se llevan a cabo entre ambos sectores, social y sanitario, buscando su adecuación a la legislación de protección de datos.