El Consejo de Ministros ha dado luz verde al Real Decreto Ley que regulará el trabajo a distancia, una norma fruto del acuerdo del Diálogo Social, cuyo protagonismo se ha revelado esencial durante la crisis económica y social provocada por la pandemia de la Covid 19.

El Real Decreto Ley otorga a las personas trabajadoras a distancia los mismos derechos que las que ejercen sus actividades en los locales de la empresa y se fundamenta en la voluntariedad y el acuerdo de personas trabajadoras y personas empleadoras.

Se entenderá como trabajo a distancia regular aquel que se preste, en un periodo de referencia de tres meses, un mínimo del 30% de la jornada o el porcentaje proporcional equivalente en función de la duración del contrato de trabajo.

El Real Decreto Ley se basa en la “voluntariedad” para la persona trabajadora y para la empleadora y requerirá la firma del acuerdo de trabajo a distancia, que deberá formalizarse por escrito, registrarse en la oficina de empleo y entregarse a la representación legal de las personas trabajadoras.

A lo largo de la norma, el papel de la negociación colectiva se refuerza, con remisiones expresas tan importantes como la regulación del ejercicio de la reversibilidad (vuelta al trabajo presencial tras acordar el trabajo a distancia) por las partes, el derecho a la desconexión, la identificación de los puestos de trabajo y funciones susceptibles de ser realizados a través del trabajo a distancia, las condiciones de acceso y desarrollo de la actividad laboral mediante este modelo organizativo, una duración máxima del trabajo a distancia, así como contenidos adicionales en el acuerdo de trabajo a distancia.

Se regula, así mismo, el derecho al registro horario adecuado, que deberá incluir el momento de inicio y finalización de la jornada; y el derecho a la prevención de riesgos laborales, una evaluación de riesgos que deberá tener en cuenta los riesgos característicos de esta modalidad de trabajo, en especial factores psicosociales, ergonómicos y organizativos.

La utilización de los medios telemáticos y el control de la prestación laboral mediante dispositivos automáticos garantizará derecho a la intimidad y a la protección de datos, así como el derecho a la desconexión digital fuera de su horario de trabajo.

Implantar el teletrabajo en la empresa no es una cuestión que se realice rápidamente porque se deben valorar diferentes escenarios y configuraciones. Una implementación demasiado rápida del teletrabajo, sin respetar las recomendaciones de seguridad, puede suponer la apertura de la puerta de la empresa a los ciberdelincuentes o el vernos envueltos en una brecha de información accidental. Un incidente de seguridad ocasionado por habilitar el teletrabajo de una manera insegura puede provocar unas pérdidas económicas y reputacionales mucho peores que no permitirlo y dejar de trabajar unos días.

Desde Data Protect Plus os ayudamos a que vuestro teletrabajo sea seguro para que no haya problemas en el acceso a los sistemas de información de la empresa, qué tipos de dispositivos son más recomendables, qué herramientas colaborativas en la nube o qué tipo de precauciones tienes que tomar al realizar una videollamada.

El 80% de los españoles desconoce el uso que se hace de sus datos personales

La protección de datos y de los derechos de los usuarios en Internet sigue siendo una asignatura pendiente en nuestro país. Un reciente estudio apunta que solo el 30% de los españoles conoce el RGPD.

Más de cuatro años después de la entrada en vigor del RGPD, y más de dos después de su obligatoriedad para todos los estados miembro de la UE, en España sigue siendo una asignatura pendiente el conocimiento de este Reglamento y los derechos en protección de datos de los usuarios.

Un reciente estudio realizado por OpenText apunta que solo un 30% de los españoles conoce el RGPD. Sin embargo, un dato llamativo es que casi el 80% desconoce cuántas organizaciones usan, almacenan o acceden a sus datos personales.

Esto pone de manifiesto la falta de conocimiento acerca de la privacidad y del uso que se hace de los datos personales, así como de la legislación y la responsabilidad de su protección acorde a ese Reglamento. Sin duda, una cifra que hay que mejorar atendiendo que España se sitúa muy por detrás de la media europea. Y es que, en países como Reino Unido y Alemania se sitúa en un 50% y 41%, respectivamente.

Invertir más en seguridad

Otro de los datos relevantes de este estudio señala que un 39% de los españoles no confía en que terceras empresas puedan proteger sus datos de hackeos u otras ciberamenazas. No obstante, un 36% estaría dispuesto a pagar más para que se le garantizar la protección de su información.

La nota optimista es que más de la mitad de los usuarios españoles considera que sabe cómo proteger sus datos privados en aplicaciones, redes sociales y cuentas de correo electrónico. A pesar de esto, aún queda un largo camino en la concienciación de la seguridad y protección de los datos.

Desde Data Protect Plus siempre advertimos de la necesidad de tener protegidos los datos de tu empresa. Te ayudamos a conseguirlo.

www.dataprotectplus.com

Un estudio de Finbold revela que España está a la cabeza en número de sanciones por incumplimiento del RGPD en 2020.

GDPR son las siglas del General Data Protection Regulation, o en español, el Reglamento General de Protección de Datos que también verás escrito como RGPD. Se trata de la nueva normativa de la Unión Europea que desde el 25 de mayo de 2018 es de obligada aplicación en todos los estados miembros.

La nueva normativa afecta a todas las empresas e instituciones que manejen y utilicen datos de cualquier persona física de la Unión Europea. El reglamento de protección de datos amplía el ámbito de su aplicación a empresas no europeas que tengan su residencia en cualquier parte del mundo, siempre que procesen datos de residentes de la UE. Es decir, la norma afecta por igual a una pequeña empresa española que a un gigante como Facebook o Google en cuanto al tratamiento de datos de personas físicas de la UE.

De forma muy resumida, podríamos indicar que el RGPD clasifica las infracciones en dos categorías (art. 83): las menos graves, que se sancionan con hasta 10 millones de euros o el 2% del volumen de facturación anual de la empresa (la más alta de las dos); y las más graves, que se sancionan con multas que pueden alcanzar hasta 20 millones de euros o el 4% del volumen de facturación anual de la empresa (la más alta de las dos).

Con 76 multas y un importe total de 1.952.810 €, no hay otro Estado miembro que supere a España en el parámetro referente al número total de multas. Eso sí, también es cierto que, si atendemos a otras medidas, como por ejemplo el importe o valor total abonado por la suma de todas las multas asumidas por las personas físicas o jurídicas en un mismo país, España ocuparía la cuarta plaza. Países Bajos con 2.080.000 €, Suecia con 7.031.800 € e Italia con la singular cifra de 45.609.000 € en lo que llevamos de año, superan a España en cantidad.

Número de multas e importe por incumplir el RGPD en la UE

La cantidad a pagar por multas desde el 1 de enero hasta el 17 de agosto de 2020 en los países de la UE superó los 60 millones de dólares. El incumplimiento del RGPD más repetido fue la insuficiente base legal para procesar datos.

Para muchas empresas, pequeñas y autónomos, no es sencillo de cumplir este reglamento de protección de datos, pero es una normativa obligada para devolver el control de los datos a los usuarios. Por esta dificultad, desde Data Protect Plus, estamos preparados para resolver todas tus dudas y te ayudamos a implementar la protección de datos en tu empresa.

www.dataprotectplus.com

6 recomendaciones sobre teletrabajo y protección de datos

La Agencia Española de Protección de Datos (AEPD) ha emitido una serie de recomendaciones para proteger los datos personales en situaciones de movilidad y teletrabajo.

La organización, como responsable del tratamiento, puede tomar la decisión de que determinadas actividades de su empresa se ejecuten en situaciones de movilidad y teletrabajo.

Dicha decisión puede formar parte de la estrategia de gestión, general o parcial para determinadas áreas o actividades (por ejemplo, personal que viaja con frecuencia) o puede ser motivada por situaciones excepcionales e incluso de fuerza mayor.

Primer caso. Estrategia general: En este caso hay que realizar una planificación previa.

Segundo caso. Por circunstancias excepcionales o fuerza mayor. En este caso, como ha sucedido con el Covid-19, las circunstancias de urgencia pueden obligar a poner en marcha soluciones con carácter provisional.

Cuando esto sucede, advierten desde la AEPD en esta Nota Técnica, es obligatorio, en paralelo y sobre todo cuando la situación se prolonga, realizar una reflexión y una adecuación de la implementación del teletrabajo.

En definitiva, la empresa y los empleados que están teletrabajando deben tener en cuenta las siguientes recomendaciones.

RECOMENDACIONES DIRIGIDAS A RESPONSABLES DEL TRATAMIENTO

El responsable del tratamiento tendrá que adecuar estas recomendaciones a la situación concreta de su objeto de negocio:

1. Definir una política de protección de la información para situaciones de movilidad

Basada en la política de protección de datos y seguridad de la información de la entidad, y formando parte de ella, es necesario definir una política específica para situaciones de movilidad que contemple las necesidades concretas y los riesgos particulares introducidos por el acceso a los recursos corporativos desde espacios que no están bajo el control de la organización.

En dicha política hay que determinar qué formas de acceso remoto se permiten, qué tipo de dispositivos son válidos para cada forma de acceso y el nivel de acceso permitido en función de los perfiles de movilidad definidos. También deben definirse las responsabilidades y obligaciones que asumen las personas empleadas.

Es necesario proporcionar guías funcionales adaptadas a formar a las personas empleadas, derivadas de dichas políticas.

El personal también ha de estar informado de las principales amenazas por las que pueden verse afectados al trabajar desde fuera de la organización y las posibles consecuencias que pueden materializarse si se quebrantan dichas directrices, tanto para los sujetos de los datos como para la persona trabajadora

En dichas guías se debe identificar un punto de contacto para comunicar cualquier incidente que afecte a datos de carácter personal, así como los canales y formatos adecuados para realizar dicha comunicación.

El personal ha de firmar un acuerdo de teletrabajo que incluya los compromisos adquiridos al desempeñar sus tareas en situación de movilidad.

2. Elegir soluciones y prestadores de servicio confiables y con garantías

Hay que evitar utilizar aplicaciones y soluciones de teletrabajo que no ofrezcan garantías y que puedan dar lugar a la exposición de los datos personales del personal, interesados y servicios corporativos de la organización, en particular, a través de los servicios de correo y mensajería.

Hay que recurrir a proveedores y encargados que ofrezcan soluciones probadas y garantías suficientes que, en el mismo sentido, eviten la exposición de los datos personales del personal, interesados y servicios corporativos de la organización

Si estos acceden a datos de carácter personal, tendrán la consideración de encargados de tratamiento y la relación se regirá por un contrato u otro acto jurídico que vincule al encargado respecto del responsable.

Este contrato debe establecer el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable, de acuerdo con los términos establecidos en el artículo 28.3 del RGPD.

3. Restringir el acceso a la información

Los perfiles o niveles de acceso a los recursos y a la información tienen que configurarse en función de los roles de cada persona empleada, de una forma incluso más restrictiva respecto de los concedidos en los accesos desde la red interna.

A su vez, hay que aplicar restricciones de acceso adicionales en función del tipo de dispositivo desde el que se acceda a la información (equipos portátiles corporativos securizados, equipos personales externos y dispositivos móviles como smartphones o tablets) y también dependiendo de la ubicación desde la que se accede.

4. Configurar periódicamente los equipos y dispositivos utilizados en las situaciones de movilidad 

Los servidores de acceso remoto han de ser revisados y hay que asegurar que están correctamente actualizados y configurados para garantizar el cumplimiento de la política de protección de la información para situaciones de movilidad establecida por la organización, así como el control de los perfiles de acceso definidos.

Los equipos corporativos utilizados como clientes tienen que: o estar actualizados a nivel de aplicación y sistema operativo, o tener deshabilitados los servicios que no sean necesarios.

Si se permite el uso de dispositivos personales de las personas empleadas, al suponer un mayor riesgo por no incorporar los mismos controles de los equipos corporativos, hay que exigir unos requisitos mínimos para poder utilizarlos en el establecimiento de conexiones remotas (por ejemplo, contar con un sistema operativo y software original y actualizado).

Unido a lo anterior, también hay que valorar la posibilidad de restringir la conexión a una red segregada que únicamente proporcione un acceso limitado a aquellos recursos que se hayan identificado como menos críticos y sometidos a menor nivel de riesgo.

5. Monitorizar los accesos realizados a la red corporativa desde el exterior

Entre otras recomendaciones, hay que establecer sistemas de monitorización encaminados a identificar patrones anormales de comportamiento en el tráfico de red cursado en el marco de la solución de acceso remoto y movilidad con el objetivo de evitar la propagación de malware por la red corporativa y el acceso y uso no autorizado de recursos.

Además, la AEPD recuerda que las brechas de seguridad que afecten a datos personales han de comunicarse a la Autoridad de Control y/o a los interesados, con el propósito de crear un entorno de teletrabajo resiliente.

6. Gestionar racionalmente la protección de datos y la seguridad

Las medidas y garantías establecidas en las políticas definidas tienen que establecerse a partir de un análisis de riesgos en el que se evalúe la proporcionalidad entre los beneficios a obtener de un acceso a distancia y el impacto potencial de ver comprometido el acceso a la información de carácter personal.

En la política deben contemplarse los procedimientos internos para provisionar y auditar los dispositivos clientes de acceso remoto, los procedimientos de administración y monitorización de la infraestructura, los servicios proporcionados por encargados y la forma en que la política es revisada y actualizada a los riesgos existentes.

Los recursos que pueden ser accedidos se han de limitar en función de la valoración del riesgo que represente una pérdida del dispositivo cliente y la exposición o acceso no autorizado a la información manejada.

Hay que planificar y evaluar la aplicaciones y soluciones de acceso remoto teniendo en cuenta los principios de privacidad desde el diseño y por defecto a lo largo de todas las etapas de despliegue de la solución: desde la definición de los requisitos y necesidades hasta la retirada de la misma o de alguno de sus componentes.

Desde Data Protect Plus podemos encontrar todas las soluciones que tu negocio necesita relativas al teletrabajo de tus empleados.

www.dataprotectplus.com

Tanto el RGPD como la Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos personales y garantía de los derechos digitales regulan de forma detallada las funciones del Delegado de Protección de Datos, estableciendo, en el caso del RGPD, una serie de supuestos de designación obligatoria por parte de los responsables y encargados cuando:

• El tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial.
• Las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, o
• Las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales y de datos relativos a condenas e infracciones penales.

Por su parte, la Ley Orgánica 3/2018 especifica las entidades y organismos que deberán proceder a esta designación con carácter obligatorio:

• Los colegios profesionales y sus consejos generales.
• Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.
• Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.
• Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
• Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.
• Los establecimientos financieros de crédito.
• Las entidades aseguradoras y reaseguradoras.
• Las empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.
• Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.
• Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
• Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
• Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.
• Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.
• Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
• Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego.
• Las empresas de seguridad privada.
• Las federaciones deportivas cuando traten datos de menores de edad.

A continuación, unos ejemplos claros de empresas que necesitan nombrar un DPD.

1. Despachos de abogados que manejan datos penales, temas de incapacidades o accidentes o temas fiscales.
2. Clínica dental con varios trabajadores y profesionales autónomos que le prestan servicios.
3. Todo tipo de Administración pública: Ayuntamientos, Diputaciones, Comunidades autónomas, etc.
4. Guardería infantil
5. Centros de enseñanza
6. Universidades
7. Hospitales y centros médicos
8. Centros de fisioterapia
9. Sindicatos
10. Hermandades y Cofradías
11. Laboratorios y empresas de investigación médica
12. Consultora financiera
13. Centros de psicología
14. Detectives privados
15. Empresas de trabajo temporal
16. Partidos políticos
17. Iglesias
18. Aseguradoras
19. Empresas dedicadas a la instalación de cámaras de videovigilancia y tratamiento de las imágenes
20. Mutuas de accidentes de trabajo y enfermedades profesionales
21. Empresas de prevención de riesgos laborales
22. Empresas que prestan servicios de hosting o de almacenamiento en la nube
23. Entidades dedicadas a apuestas y juegos de azar
24. Medios de comunicación

Las empresas que no tienen obligación de nombrar un DPD.

1. Comercios físicos y online
2. Peluquerías y centros de estética
3. Bares y restaurantes
4. Hoteles
5. Gimnasios y centros deportivos
6. Agencias de viajes
7. Asesorías
8. Arquitectos e Ingenieros
9. Empresas de construcción
10. Fotógrafos
11. Electricistas y fontaneros
12. Empresas de ocio y tiempo libre
13. Inmobiliarias
14. Editoriales e imprentas
15. Talleres
16. Clínicas veterinarias
17. Empresas de transporte
18. Comunidades de vecinos
19. Empresas agrícolas o ganaderas
20. Entidades de logística y distribución
21. Empresas de diseño web

Además, los responsables o encargados del tratamiento no incluidos en el párrafo anterior podrán designar de manera voluntaria un delegado de protección de datos que quedará sometido al régimen establecido en el Reglamento (UE) 2016/679 y en la citada ley orgánica.

Finalmente, los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria.

Las funciones del Delegado de Protección de Datos, que serán de información, asesoramiento y supervisión, se encuentran especificadas en el artículo 39 del RGPD y 34 y siguientes de la Ley Orgánica 3/2018.

Puedes consultarnos cualquier duda respecto al nombramiento de un delegado de protección de datos para tu empresa o entidad.

Data Protect Plus

Según el Ministerio de Asuntos Económicos y Transformación Digital, la app Radar COVID ya está activa en fase de pruebas en Andalucía, Cantabria, Aragón, Canarias, Extremadura y Castilla y León

En la actualidad, la aplicación cuenta con unos dos millones de descargas en sus versiones para los sistemas operativos Android e iOS pero no es posible conocer esas descargas por territorios porque «se ha querido preservar la identidad de los usuarios que se descargan la aplicación y que sus datos sean anónimos. Por ello no existe geolocalización y la aplicación funciona por bluetooth».

Desde Data Protect Plus tenemos algunas dudas respecto a la privacidad con esta aplicación porque aunque no existe una localización GPS explícita, al ser por bluetooth, podemos entender que sí existe una geolocalización implícita. Además, los protocolos de criptografía son bastantes frágiles y es más fácil el hackeo.

Nos genera intranquilidad que la Agencia Española de Protección de Datos pidiera información al Gobierno sobre la seguridad de esta app y aún no ha recibido respuesta al respecto. Es importante haber realizado un estudio sobre los problemas o dificultades que pudiera presentar la aplicación.

El Comité Europeo de Protección de Datos exige una evaluación de impacto a quien desarrolla la app, en este caso al Gobierno de España, para evaluar los riesgos que supone implementar este tratamiento de datos, implementar la aplicación en el uso por parte de los ciudadanos, que tampoco se ha realizado

Una app de rastreo de contactos como ésta debería permitir rastrear usuarios e identificar sus contactos de forma anónima y segura para evitar falsos positivos. Debe gestionarlo de forma descentralizada, siguiendo las recomendaciones europeas, para evitar crear una base de datos que quede bajo el control de gobiernos o empresas.

El verdadero riesgo es que Radar COVID obliga a tener el Bluetooth conectado todo el tiempo. ¿A qué nos exponemos exactamente? Encabezando la lista nos encontramos con el bluesnarfing, es decir, la capacidad del criminal de conectarse a nuestro dispositivo sin que lo sepamos, robando o comprometiendo la información que tenemos en nuestro teléfono móvil. No es solo un problema en sí de la propia aplicación.

¿Compensa el riesgo y, sobre todo, compensa considerando que las Administraciones no están haciendo el esfuerzo de disponer de suficientes rastreadores que son mucho más efectivos e importantes que estas apps?

Veremos cómo se presenta esta app cuando todas las Comunidades Autónomas estén utilizándola y esté a pleno rendimiento.

Un nuevo fallo en Alexa, revelado recientemente por un grupo de investigadores de ciberseguridad, demostró que los delincuentes informáticos han sido capaces de dirigirse a individuos específicos y obtener acceso no autorizado a su biblioteca de voz y a la información de sus cuentas.

«Los altavoces inteligentes y los asistentes virtuales son tan comunes que es fácil pasar por alto cuántos datos personales tienen y su papel en el control de otros dispositivos inteligentes en nuestros hogares».

Oded Vanunu, jefe de investigación de vulnerabilidades de productos en Check Point Research.

La vulnerabilidad, ahora parcheada por Amazon, no solo podría haber dado acceso a los ciberdelincuentes a tu información privada, sino que incluso se podrían haber instalado nuevas habilidades en el dispositivo. La noticia supone un nuevo golpe para los asistentes de voz, que han demostrado tener problemas de seguridad y privacidad desde su lanzamiento. Aún así, Amazon ha negado que haya habido casos conocidos de individuos que hayan sido el blanco de los piratas informáticos a través de esta técnica en particular.

¿Por qué los piratas informáticos quieren robar tu historial de voz?

Si logran obtener suficientes grabaciones de voz, resultaría fácil para un ciberdelincuente forzar a un dispositivo como Alexa a hacer algo que el dispositivo no debería hacer. Por ejemplo, podrían hacer que el dispositivo acceda a un sitio web malicioso o incluso a una cuenta bancaria conectada. Tu voz también puede ser usada para pasar los sistemas de verificación de voz.

Además, las grabaciones de Alexa podrían ser usadas para chantajearte. Aunque aprovechar tantas vulnerabilidades al mismo tiempo no es algo que un hacker promedio pueda hacer, el hecho de que esto haya sido posible durante un tiempo no revelado es, sin duda, aterrador.

El historial de voz también podría ser usado para falsificar audios. Aunque esto no suele ser una preocupación para la gente común, los software de IA inteligente podrían ser capaz de explorar cómo hablas y usar la voz para crear una conversación que nunca existió, una práctica conocida como deep fake. En el mundo actual de las noticias politizadas y falsas, una deep fake puede causar un daño significativo a cualquiera, incluso si más tarde se demuestra que es falsa. Las fake news a veces terminan siendo vistas millones de veces antes de que los administradores de las redes sociales puedan reaccionar y eliminarlas. Estos contenidos suelen ser reproducidos y reutilizados de nuevo, lo que dificulta que que se contengan su difusión.

En estos tiempos de teletrabajo, se escucharán en tu casa conversaciones privadas, así que, como primera medida, te recomendamos desenchufar el altavoz inteligente mientras estés en tu horario laboral.

Fuente: Panda Security

Desde Data Protect Plus, estamos observando la proliferación de “profesionales” en la protección de datos que están iniciando reclamaciones a empresas con la finalidad de llegar a acuerdos extrajudiciales, para obtener un beneficio económico,bajo el supuesto de que sus datos han sido utilizados indebidamente o que han solicitado la supresión de los mismos y no han obtenido respuesta.

Sabíamos que esto podía ocurrir, desde la implantación de la nueva normativa, ante los instrumentos de protección con los que cuentan las personas físicas ante los abusos en materia de protección de datos.

Uno de nuestros clientes, ha sido objeto de una reclamación de este tipo.

Un individuo, acude a la Oficina de información al consumidor y presenta un escrito con una reclamación solicitando la mediación civil del organismo dependiente de un Ayuntamiento. Este señor, que no ha tenido ninguna relación comercial, ni aparecen sus datos personales en los archivos de la empresa, solicita la supresión de estos mediante el supuesto envío de un email para comunicarlo.

Como no ha recibido respuesta alguna, utiliza el artículo 82.1 del Reglamento General de Protección de Datos (UE 2016/679), “1.Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos.”

Con este artículo y con el argumento del colapso de los juzgados, emplaza a la empresa a llegar a un acuerdo “amistoso” que ponga fin al litigio. Además, recuerda que si la empresa no tiene un delegado de protección de datos, se enfrenta a una sanción de 10 millones de euros.

La reacción de cualquier profesional que tiene una empresa y realiza correctamente el tratamiento de sus datos es la de un temor manifiesto, pese a todo.

En estas situaciones, la empresa o el autónomo, deben saber que para reclamarles una indemnización, según la Comisión Europea, el denunciante debe haber sufrido daños materiales (como pérdidas económicas) o daños inmateriales (como ansiedad o pérdida de reputación).

Por ejemplo, una persona hace un pedido en un sitio web. El sitio sufre un ciberataque, porque no cuenta con la seguridad adecuada. La información sobre su tarjeta de crédito se ha transmitido a otro sitio web y se ha utilizado para comprar artículos que no pidió. Puede reclamar una indemnización al sitio web por los daños económicos, puesto que han violado el Reglamento de protección de datos por no haber proporcionado la seguridad adecuada al tratar los datos.

Por tanto, esta reclamación recibida debe acreditar fehacientemente el daño sufrido por el reclamante, algo que parece muy poco probable que pueda acreditarlo.

Es muy importante tener los datos bien tratados en tu empresa o negocio, para evitar sorpresas de aquellos que juegan con sus conocimientos para buscar un beneficio económico.

Desde Data Protect Plus, realizamos el servicio continuo y proactivo que requiere la normativa para asegurar que nuestros clientes cumplan en todo momento y no tengan ninguna sorpresa.

¿Qué se puede denunciar ante la AEPD?

Solo cuestiones relacionadas con nuestros datos personales, no con nuestro derecho al honor o a la intimidad, por ejemplo, ya que esos casos se tramitan directamente ante la Justicia.

Un ejemplo sería interponer una denuncia porque alguien ha colgado tus datos, como tu dirección o tu DNI, sin tu consentimiento en Internet. Otro sería que una empresa usase tus datos para algo que no estaba contemplado cuando los diste: por ejemplo, que des tus datos a una discoteca por la COVID-19 y luego te contacten para un concurso, sin relación con el virus.

¿Cuál es el procedimiento?

Para hacerlo a través de Internet, debes acceder al menú “Trámites” y una vez ahí seleccionar la opción que se ajuste al motivo de tu reclamación:  denunciar que estás recibiendo información comercial de una empresa cuando has pedido que no usen tus datos para ello o que te hayan grabado con una cámara de videovigilancia sin tú saber para qué, por ejemplo.

Recuerda que para hacer trámites de este tipo online, necesitarás contar con alguna forma de autenticación, como la Cl@ve Pin. Si prefieres presentarlo de forma física (con soporte en papel) deberás hacerlo en una oficina autorizada y junto a una serie de datos que puedes encontrar en este enlace. A través del menú “Trámites” obtendrás el justificante de tu reclamación, que deberás presentar junto al resto de información.

A la hora de hacer una denuncia ante la AEPD hay que tener en cuenta que se deben presentar bastantes documentos relacionados con ella, sobre todo relativos a la información que hayamos podido recopilar sobre la situación que queramos denunciar.

A medida que avancemos en el formulario electrónico (al veremos que no nos piden solo nuestros datos, sino información en detalle de lo ocurrido. Todas las pruebas que tengas disponibles sobre el caso deberán ser presentadas (documentación, imágenes, mensajes, etc.), especialmente si hemos tenido comunicaciones con la empresa o entidad con la que hemos tenido problemas por un uso indebido de nuestros datos.

Por eso, si por ejemplo acudes a la AEPD porque una compañía telefónica no para de llamarte cuando ya has pedido que no lo hagan, te pedirán que antes trates de ejercer tus derechos relacionados con los datos personales: de acceso, rectificación, oposición o cancelación. En este caso, especialmente el último tiene que ver, ya que puedes pedir a las empresas que borren y dejen de utilizar tus datos. En este enlace, la Agencia da más información sobre ellos y cómo ejercitarlos.

Con qué no puede ayudarte la AEPD

Por último pero no menos importante, te dejamos este enlace en el que puedes ver todo aquello con lo que la AEPD no puede ayudarte (por ejemplo, a pelearte con tu operadora porque no ha respetado el contrato que firmasteis).

Fuente: Maldita.es