El Instituto Municipal de Consumo de Madrid interpuso reclamación ante la Agencia Española de Protección de Datos, contra Cerrajeros Open Door (CERRAJEROSMADRID-OD.COM).

La reclamación se fundamentaba en la recogida de datos por parte de la empresa denunciada sin esta cumplir debidamente con el deber de información, según menciona el art.13 del RGPD.

La AEPD ha resuelto que la denunciada incurrió en una infracción del artículo 13 del RGPD en relación con los artículos 5 y 6 de dicho texto legal, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento.

Además, ha requerido que en un plazo de un mes a partir de la notificación acredite la adopción de medidas para actualizar su “Política de Privacidad” a la normativa vigente en materia de protección de datos personales, y que garanticen en concreto lo siguiente: “la adopción de las medidas necesarias para actualizar su “Política de Privacidad” a la normativa vigente en materia de protección de datos personales, -Reglamento (UE) 2016/679 (RGPD)-, adecuando la información ofrecida a las exigencias contempladas en el artículo 13 del RGPD, debiendo facilitar a los usuarios, con carácter previo a la recogida de los datos personales de los mismos, toda la información exigida en el citado precepto, para lo cual deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento, así como lo indicado en el artículo 5 del RGPD en lo relativo a la finalidad del tratamiento y plazo de conservación de los datos.”

AEPD PS/00352/2019: https://www.aepd.es/es/documento/ps-00352-2019.pdf

Fuente: AEPD, Edora

Aviso a navegantes. La Agencia Española de Protección de Datos (AEPD) ha impuesto a Vueling una sanción de 30.000 euros por instalar cookies en los equipos de los usuarios de su página web sin su consentimiento. La multa, no obstante, se ha visto posteriormente reducida a 18.000 euros después de que la compañía reconociera su responsabilidad y procediera al pago voluntario de la cuantía. Según consta en la resolución, la aerolínea no permitía que se denegara su instalación si no se hacía a través de las opciones del navegador; asimismo, tampoco daba la opción de retirar el consentimiento anteriormente prestado.

La multa es relevante porque la falta de opciones para configurar la política de cookies es uno de los defectos de los que aún adolecen muchas webs en materia de privacidad. Una conducta que infringe el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información (LSSI) de “los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos”. Una infracción que la misma norma califica como leve.

Según la resolución de la AEPD, en la página web inspeccionada se apreciaban dos capas de información sobre las cookies. En la primera, el aviso de las mismas informaba de que estas se utilizaban “para recordar tus preferencias, elaborar estadísticas de uso y ofrecerte publicidad basada en tus hábitos de navegación. Si continúas navegando, consideramos que aceptas su uso. Puedes obtener más información al respecto consultando nuestra Política de Cookies“, con un enlace a la misma e incorporando la opción “Aceptar y continuar navegando”.

En la segunda capa (dentro de la política de cookies) se informa sobre qué son las cookies y cuáles se usaban. También se comunicaba que la empresa podía utilizar “por sí misma o a través de terceras webs: beacons, Pixel tags y Local storage, para realizar evaluaciones y cálculos estadísticos sobre datos anónimos, así como para garantizar la continuidad del servicio o para realizar mejoras en sus sitios web”. Además indicaba que “dicha información no será utilizada para ninguna otra finalidad” así como que, “puede utilizar cookies de análisis de terceros”.

Consentimiento implícito

Es decir, como explica la resolución, “si se accede a la segunda capa, el consentimiento a que se cedan datos a terceros a través de cookies es implícito, ya que en ningún momento da la opción de poder oponerse a la instalación de estas en el dispositivo o de cualquier otra cookies”. Por el contrario de remite a la configuración de los navegadores para eliminarlas o bloquearlas, “no ofreciendo la posibilidad de denegar el consentimiento para el uso de cookies o de retirar el prestado, si no es a través de las opciones del navegador”. Una aceptación tácita que el organismo considera que contraviene la LSSI y la nueva normativa de privacidad.

Por todo ello, la AEPD determina que la aerolínea “no facilita un sistema de gestión o panel de configuración de cookies que permita al usuario eliminarlas de forma granular”. Para facilitar esta selección, resalta el organismo, el panel podría habilitar un mecanismo o botón para rechazar todas las cookies, otro para habilitar todas las cookies o hacerlo de forma granular para poder administrar preferencias. A este respecto se considera que la información ofrecida sobre las herramientas proporcionadas por varios navegadores para configurar las cookies sería complementaria a la anterior, pero insuficiente para el fin pretendido de permitir configurar las preferencias en forma granular o selectiva.

Fuente: El País

La entrada en vigor el nuevo Reglamento General de Protección de Datos (RGPD) está transformando la forma en la que las pequeñas y medianas empresas manejan los datos de sus clientes, proveedores y empleados. Especialmente en sectores con información más sensible. Profundizamos ahora en un concepto difuso y que trata de salvaguardar las mejores actuaciones posibles sobre la información que los usuarios facilitan a las corporaciones. Pero, a su vez, genera ciertas complicaciones a las compañías.

El principio de responsabilidad proactiva

El principio de responsabilidad proactiva es un concepto vinculado a la figura del responsable del tratamiento de datos personales, a través del cual se establece que son aquellos quienes, además de aplicar las medidas para cumplir la normativa, deben preocuparse por garantizar y demostrar que, en efecto, las aplican y cumplen.

De este modo, la implicación de estos responsables deberá estar patente, como parte del cumplimiento del reglamento.Según recoge la página web de la Agencia Española de Protección de Datos, debe ser explícito este interés por aplicar las medidas que se prevén en el Reglamento. Hasta el punto de que es exigible, por este principio, demostr

ar ante las autoridades que, efectivamente, hay una actitud proactiva y diligente para proteger los datos.

¿Y qué significa esto?

En otras palabras, implica que si se quiere evitar sanciones económicas hay que cumplir con este principio, ya que no bastará con limitarse a cumplir la normativa.Es necesario demostrar que se están adoptando acciones para prevenir cualquier riesgo. La propia página de la Agencia esgrime una serie de pasos que podrían servir como ejemplos de que se está procediendo de forma diligente.

Entre ellas, establecer un adecuado registro de actividades en el tratamiento de los datos que se recaban en la organización empresarial. También medidas para proteger la información por defecto, así como un análisis de riesgos que pueden derivar en pérdidas de datos o una mala utilización de los mismos por cualquiera de las personas de la empresa que acceden a ellos. Y, por supuesto, frente a cualquier agresión externa. Adoptando las medidas de seguridad oportunas, y notificando a las autoridades pertinentes cualquier ataque, fallo o vulneración de la seguridad establecida.

Las evaluaciones constantes y la adhesión de los responsables del tratamiento a códigos éticos de conducta, certificaciones o cualquier otro mecanismo para corroborar la capacidad adecuada para la gestión segura de la información también entrarán dentro de las medidas de responsabilidad proactiva que exige la normativa.

Por eso contar con un servicio de consultoría en protección de datos es la mejor manera de demostrar que se cumple con este principio de responsabilidad proactiva y con el resto de medidas que pide la ley.

Fuente: El País

“Muévete rápido y rompe cosas”

No contento con controlar casi todo lo que uno hace en Internet, ahora Facebook también quiere leer nuestra mente. El gigante de las redes sociales ha dado a conocer no hace mucho un avance en su plan para crear un dispositivo que lea las ondas cerebrales de la gente y le permita escribir con solo pensarlo. Y Elon Musk quiere ir aún más allá. Otra de las empresas del jefe de Tesla, Neuralink, está diseñando un implante cerebral para conectar la mente de la gente directamente a un ordenador.

Musk reconoce que se inspira en la ciencia ficción y que quiere asegurarse de que los humanos pueden “seguirle el ritmo” a la inteligencia artificial. Parece que se ha perdido la parte de la ciencia ficción que advierte de las repercusiones de la tecnología.

Estos sistemas para leer la mente podrían afectar nuestra privacidad, seguridad, identidad, igualdad y protección personal. ¿De verdad queremos que todo eso dependa de empresas con filosofías como la del antiguo mantra de Facebook “muévete rápido y rompe cosas”?

Aunque suenan futuristas, las tecnologías necesarias para fabricar dispositivos que lean las ondas cerebrales no son tan diferentes de las herramientas corrientes para las Imágenes por Resonancia Magnética (IRM) y la Electroencefalografía (EEG) que utiliza la neurociencia en hospitales de todo el mundo. Ya se puede adquirir un equipo para controlar un dron con la mente, así que, en cierto modo, utilizar uno para escribir palabras, no es un paso tan grande. El avance probablemente estará en el uso del aprendizaje de las máquinas para rebuscar entre enormes cantidades de datos recabados por nuestro cerebro y encontrar patrones en la actividad neuronal que unan los pensamientos con palabras específicas.

Estos sistemas para leer la mente podrían afectar nuestra privacidad, seguridad, identidad, igualdad y protección personal

Es probable que se tarde mucho más en desarrollar un implante cerebral y es importante separar los verdaderos logros de Neuralink del bombo y la promoción en los medios. Pero Neuralink ha conseguido avances simultáneos en materiales para electrodos y en la cirugía asistida por robot necesaria para implantarlos, y ha empaquetado diligentemente la tecnología para que se pueda leer con un USB.

Puede que los planes de Facebook y Neuralink se desarrollen a partir de la práctica médica existente. Pero cuando las empresas recopilan pensamientos directamente de nuestros cerebros, los problemas éticos son muy diferentes.

Cualquier sistema que pueda recabar datos directamente de nuestros cerebros supone un claro riesgo para nuestra privacidad. La privacidad se basa en el consentimiento. Pero es muy difícil dar un consentimiento como es debido si alguien está pinchando directamente nuestros pensamientos. Las empresas de Silicon Valley (y los Gobiernos) ya reúnen subrepticiamente todos los datos que pueden sobre nosotros y los utilizan de formas que preferiríamos que no utilizasen. ¿Hasta qué punto podemos estar seguros de que nuestros pensamientos aleatorios y personales no serán captados y estudiados juntos con las instrucciones que queremos dar a la tecnología?

Discriminación y manipulación

Uno de los problemas éticos que tiene en la actualidad la recopilación de datos es la discriminación basada en atributos como el género o la raza que se pueden deducir de los datos. Crear una ventana al interior de la mente humana podría hacer más fácil determinar otros factores que podrían dar lugar a prejuicios, como la sexualidad o la ideología política, o incluso diferentes formas de pensar que podrían incluir cosas como el autismo.

Con un sistema que pincha directamente nuestro cerebro, no solo podrían robarnos nuestros pensamientos, sino que también es posible que además pudieran manipularlos. Ya se está desarrollando la estimulación cerebral para ayudar a tratar el Trastorno por Estrés Postraumático (TEPT) y reducir la violencia. Incluso hay afirmaciones sensacionalistas según las cuales se puede usar para transmitir conocimientos directamente como en la película Matrix.

Un paso previsible sería combinar las tecnologías “internas” y “externas” en una interfaz bidireccional cerebro-ordenador. Las posibilidades que tendrían los Gobiernos para volvernos más conformes, para que quienes nos contratan nos obliguen a trabajar más duro, o para que las empresas nos hagan querer más productos suyos subrayan hasta qué punto deberíamos tomarnos esta tecnología en serio.

Elon Musk ha declarado que el enorme préstamo necesario para financiar la cirugía de Neuralink se vería contrarrestado por las posibles ganancias para los “mejorados”. La sola idea de que la gente se vea presionada para asumir enormes deudas con el fin de hacerse la cirugía para mantener su empleo procede directamente de una distopía de ciencia ficción.

Por si fuera poco, existe la amenaza física más directa de tener sistemas que invadan físicamente nuestro cerebro. Aunque puede que algunas personas quieran modificar su cerebro con la interfaz de un ordenador (ya hay muchos biohackers experimentales), desarrollar esto a gran escala exigiría una experimentación masiva e intensa.

Dada la reputación que tiene Silicon Valley de romper cosas (y la tendencia a hacerlo) en lugar de pararse a pensar en ellas, estos sistemas necesitarán una regulación minuciosa y una revisión ética antes de que empiecen las pruebas. De lo contrario, se arriesga a crear cobayas humanos mutilados.

Pese a todo, podría haber enormes ventajas en continuar la investigación en esta área, especialmente en el caso de quienes sufren parálisis o discapacidad sensorial. Pero Silicon Valley no debería poder dictar la manera en que se desarrollan y se utilizan estas tecnologías. Si lo hace, puede que reconfigure radicalmente la forma en que nos identificamos como humanos.

Fuente: El País

Los ciudadanos españoles han remitido en los últimos cinco años casi 77.000 peticiones de derecho al olvido, tras la sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 2014 que permite solicitar que su información personal no aparezca indexada en los buscadores cuando esta no sea pertinente o esté obsoleta.

A nivel europeo, España es el quinto país que mayor número de reclamaciones ha emitido a grandes buscadores de Internet, como por ejemplo Google o Bing, según los datos recogidos por el grupo de abogados DAS Seguros.

Desde la sentencia de 2014 y hasta el pasado mayo Google ha recibido 802.259 solicitudes de ciudadanos europeos. De ellas, un total de 76.893 peticiones de derecho al olvido han sido emitidas por ciudadanos españoles, realizadas sobre 249.359 páginas de Internet.

A escala global, los europeos han solicitado la retirada de datos que afectaban a 3.146.435 de URL, de las que se han suprimido 1.199.955 -el 44,5% de las peticiones.

En total, el 88,6% de las solicitudes de derecho al olvido las habían iniciado ciudadanos particulares, mientras que el resto afectaban a menores de edad, empresas, políticos o personas públicas.

Cómo ejercerlo

Para poder ejercer el derecho al olvido, se recomienda presentar una solicitud al buscador a través del formulario para solicitar la retirada de información personal que Google ofrece en Internet, y también a aquella página de un tercero que haya publicado la información.

En el caso de no obtener respuesta o de que esta no sea adecuada, se podrá reclamar ante la Agencia Española de Protección de Datos, concluye el grupo de abogados.

Fuente: El Periódico

Adecuarse a la normativa de Protección de Datos a coste cero es posible. Pero, probablemente, ilegal. Por esta razón, las autoridades vigilan tanto a PYMES como Autónomos.

Así lo entiende la Agencia Española de Protección de Datos, quien junto a la Seguridad Social y la Agencia Tributaria, han realizado un documento que advierte sobre este fraude.

¿Coste cero para Protección de Datos en PYMEs?

Se le conoce como ‘coste cero’. Consiste en ofertar servicios para que las empresas se amolden a la normativa de protección de datos, a un precio muy bajo o de forma gratuita,. El truco o fraude es que se abonan mediante fondos destinados a formación para trabajadores. La Agencia Española de Protección de Datos (AEPD) alerta a pymes y autónomos de los riesgos de esta práctica. Tanto por incumplimiento de la norma como por sanciones que puedan recibir por utilizar esta metodología. Ya que esos fondos de formación no fueron creados para esta cuestión.

Por esta razón, las autoridades vigilan a PYMES y Autónomos y la AEPD advierte de que las ofertas que pueden entrañar un fraude habitualmente son emitidas por parte de consultorías y empresas. Según explican en un comunicado, se dirigen hacia las pymes y autónomos, empleando para ello el temor a las sanciones establecidas en el Reglamento General de Protección de Datos.

Suplantación de identidad frente a Pymes y Autónomos

En muchos casos se hace creer a pymes y autónomos que están obligadas a designar un delegado de protección de datos u ofrecer servicios innecesarios para los tratamientos que realiza la empresa.

Asimismo, hace referencia a otro tipo de prácticas agresivas como intentar suplantar la identidad de la Agencia en las comunicaciones que se realizan, para llevar a cabo prácticas comerciales en las que se coarte el poder de decisión de los destinatarios, mediante la referencia a sanciones por incumplir la normativa.

Para contrarrestar esta situación, la Agencia recuerda tanto a pymes como a autónomos que a la hora de contratar servicios para adecuarse a la normativa en materia de protección de datos, se aseguren de que éstos no incurren en las prácticas mencionadas con anterioridad.

Informar a los responsables

Por otro lado, la AEPD ha puesto a disposición de las pymes y autónomos una serie de canales para informar de este tipo de casos. En este sentido, detallan el Canal INFORMA, para dar cuenta de la situación a los responsables; y el de Atención al Ciudadano, para los ciudadanos.

Fuente: El País

Para más información y ayuda, contáctenos aquí.

La justicia rechaza que, de forma general, la empresa pueda acceder al historial de navegación del ordenador de sus empleados para controlar su desempeño laboral. En una reciente sentencia, el Tribunal Superior de Justicia (TSJ) de Andalucía establece que el listado de páginas web consultadas por el trabajador se encuentra protegido por el derecho a la protección de datos. En consecuencia, declara nula la prueba obtenida por una compañía que extrajo de la computadora las webs visitadas, información sobre la que sustentó el despido del afectado.

Según se relata en la resolución, tras constatar una reducción muy notable del rendimiento del empleado (la dirección aseguró que su producción había disminuido al 10%), el empresario consultó el historial de navegación del ordenador del taller en el que trabajaba. La investigación interna reveló una media de 130 accesos diarios a webs que nada tenían que ver con el trabajo, como páginas de contenido sexual, decodificadores de canales de pago o casas de apuestas online, datos que la compañía expuso en la carta de despido.

El juzgado de primera instancia declaró el cese procedente por “abuso de confianza y transgresión de la buena fe contractual”. Sin embargo, el TSJ andaluz rechaza dichos argumentos y estima que se ha producido la vulneración de los derechos del trabajador.

Según recuerdan los magistrados, el Tribunal Supremo rechazó en litigios anteriores que las compañías pudieran acceder a los archivos personales guardados en los ordenadores de trabajo o al email de los empleados. En este sentido, en relación con el uso privado los medios electrónicos en el ámbito del trabajo, explican, existe una “expectativa razonable de confidencialidad” que solo puede decaer si la empresa informa al trabajador de que puede acceder a ellos para controlar su actividad.

En este caso, concluye la sentencia, al no haberse establecido una prohibición expresa en el contrato de trabajo o en el convenio colectivo regulador, ni tampoco existir una comunicación al empleado informándole de que la empresa podía acceder al historial de navegación, dicha expectativa de confidencialidad permanecía intacta. Por lo tanto, el TSJ entiende vulnerado el derecho a la protección de datos (18.4 de la Constitución), por lo que la prueba debe ser declarada nula y debe repetirse el juicio en la instancia anterior teniendo en cuenta esta circunstancia.

Nueva LOPD

La sentencia del tribunal andaluz no desconoce la nueva Ley Orgánica de Protección de Datos, en vigor desde el 7 de diciembre, pero que no resulta de aplicación a este caso por tratarse de hechos anteriores. Sin embargo, la resolución del caso, a la vista del artículo 87 de la nueva norma (Derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral), no hubiera sido muy distinta.

Dicho precepto determina que “el empleador podrá acceder a los contenidos derivados del uso de medios digitales facilitados a los trabajadores a los solos efectos de controlar el cumplimiento de las obligaciones laborales o estatutarias y de garantizar la integridad de dichos dispositivos”. Para ello, la empresa deberá establecer criterios de utilización de los dispositivos digitales respetando, en todo caso, los estándares mínimos de protección de su intimidad de acuerdo con los usos sociales y los derechos reconocidos constitucional y legalmente. Asimismo, “el acceso por el empleador al contenido de dispositivos digitales respecto de los que haya admitido su uso con fines privados requerirá que se especifiquen de modo preciso los usos autorizados y se establezcan garantías para preservar la intimidad de los trabajadores, tales como, en su caso, la determinación de los períodos en que los dispositivos podrán utilizarse para fines privados. Los trabajadores deberán ser informados de los criterios de utilización a los que se refiere este apartado”.

Una reciente resolución de la Agencia Española de Protección de Datos (AEPD) ha sancionado a un bar  en Madrid (Tetuán) por contar con un sistema de videovigilancia y no estar adaptado a la normativa en protección de datos 679/2016 RGPD.

La inspección fue llevada a cabo por miembros de la Policía Municipal del Ayuntamiento de Madrid, los cuales requirieron la documentación pertinente.

Dicha documentación no fue aportada, iniciándose a posteriori un procedimiento por parte de la autoridad de control (AEPD) para determinar si se cumplían o no las medidas técnicas y organizativas para cumplir con la protección de datos.

La AEPD ha determinado una sanción de apercibimiento a la empresa responsable, requiriéndoles además a:

1. Colocar en las zonas videovigiladas, al menos, un distintivo informativo ubicado en lugar visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. De haber varios accesos al espacio videovigilado, el reseñado distintivo deberá colocarse en cada uno de los mismos.
2. El distintivo de zona videovigilada deberá informar, al menos, sobre la existencia del tratamiento de videovigilancia, la identidad y datos de contacto del responsable del tratamiento o del sistema de videovigilancia y la posibilidad de ejercitar los derechos reconocidos en los artículos 15 a 22 del RGPD. Dicha información también podrá incluirse mediante un código de conexión o dirección de internet que dirija a la misma.
3. Mantener a disposición de los interesados el resto de la información que debe facilitarse a los afectados en cumplimiento del derecho de información regulado en el Reglamento (UE) 2016/679, de 27 de abril de 2016.

Cada vez son más las empresas cumplen con la normativa en protección de datos y el deber de informar que pide la ley, pero aún quedan algunas rezagadas que, vistos los precedentes, están muy expuestas a fuertes sanciones por parte de la AEPD.

Si tienes una empresa, tratas datos personales y aún no te has adaptado, ponte en contacto con nosotros y te asesoramos.

Haz click aquí para ver la resolución completa.

Fuente: AEPD

Los datos se han convertido en un gran activo para los negocios. Tanto es así que llegó un momento en que era tal el número de compañías que disponían de nuestro teléfono, nombre, dirección o conocían nuestros gustos, preferencias o nivel adquisitivo que la UE decidió tomar cartas en el asunto. En los últimos años se han puesto en marcha diversas normativas para limitar el uso de nuestros datos y hacer que podamos saber en todo momento quién tiene acceso a ellos, para qué puede usarlos y cómo los ha conseguido.

La medida más importante fue el Reglamento General de Protección de Datos (RGPD) que entró en vigor en mayo de 2016 y que desde el 25 de mayo del año pasado es de obligado cumplimiento en España. Su incumplimiento puede conllevar multas y sanciones que alcanzan los 20 millones de euros, en el peor de los casos.

La cuestión es importante y preocupa a los empresarios. “Las recientes multas impuestas y el daño continuo a la reputación como resultado del incumplimiento regulatorio respaldan la seriedad con la que se afrontan estos riesgos”, indican los responsables de la consultora multinacional Willis Towers Watson en su 6ª Encuesta de Responsabilidad de Directores.

Dos años de margen tuvieron entidades públicas, organizaciones y empresas para adaptarse a la nueva forma de gestión de la información, sin embargo aún hay rezagados que siguen sin aplicar las nuevas normas o no lo hacen correctamente. Resumamos lo que tiene que hacer y cómo hacerlo.

1. Cumplir con el deber de información

Debe informarse a los titulares de los datos de quién es el responsable del tratamiento, las finalidades que se persiguen, si existen cesiones a terceros y la dirección postal o electrónica donde el titular pueda solicitar sus derechos de acceso, rectificación, cancelación y oposición. Todas las empresas están obligadas a informar por cualquier canal a sus clientes de estos cambios.

2. Lograr el consentimiento explícito

El consentimiento para el tratamiento de datos deja de ser tácito. Ya no vale que se dé por hecho, debe de haber una clara acción afirmativa. De hecho, el responsable de los datos debe tener pruebas de ese consentimiento.

Si tienes dudas, consulta esta guía de la Agencia Española de Protección de Datos (AEPD).

 Registro de actividades de tratamiento

El RGDP obliga a informar, tanto a los propios usuarios como a la AEPD, sobre la recopilación de los datos y el objetivo de la misma. La antigua inscripción de ficheros (vigente con la anterior LOPD 15/1999) es ahora sustituida por el registro de actividades de tratamiento efectuadas por cada responsable y, en su caso, encargado del tratamiento de datos. Ese registro incluye, entre otra información, los fines, las categorías de destinatarios a quienes se comunicaron o comunicarán los datos, las transferencias de datos personales a un tercer país, etc.

4. Realizar un análisis de riesgos y adoptar medidas de seguridad

No es posible asegurar el derecho fundamental a la protección de datos si no se es capaz de garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales, así que lo primero es estudiar el nivel de peligrosidad que hay entorno al tratamiento y almacenamiento que haces de la información que manejas. Puedes hacerlo mediante la herramienta FACILITA-RGPD. En los primeros pasos de este procedimiento vía web encontrarás unas preguntas que te ayudarán a determinar el grado de riesgo.

5. Comunicar incidentes de seguridad

Con los ciberataques a la orden del día y las herramientas informáticas en constante evolución, ninguna empresa está a salvo de sufrir un incidente. Si eso ocurriera, el RGPD introduce la obligación de notificar a la autoridad competente, en este caso la AEPD, si se detecta una brecha de seguridad que afecte a datos personales. En determinados casos también hay que avisar a las personas cuyos datos personales se hayan visto afectados por la violación.

Aquí lo importante es tener establecidos de manera clara los mecanismos y procedimiento de notificación de quiebras de seguridad. El pasado mes de marzo hubo 113 notificaciones, tres de ellas se están investigando por si supusiera la existencia de riesgo alto para los derechos y libertades de los ciudadanos.

6. Valorar si los encargados de los datos ofrecen garantías

El RGPD define el tipo de contrato que debe vincular al responsable de los datos con el encargado de los mismos. En él se deben especificar la relación y las obligaciones de ambas partes ante la prestación del servicio acordado. Si existiera un contrato vigente previo a mayo de 2018, cuando entró en vigor el reglamento, es imprescindible incluir una cláusula al respecto que sea firmada por las partes.

Quizás sea este el momento de valorar si el organismo o empresa encargada del tratamiento de los datos de mi compañía es el más adecuado y aclarar situaciones en las que puede ser difícil distinguir cuándo estamos frente a un encargado o a un responsable del tratamiento.

7. Designar un delegado de protección de datos

No es una figura obligatoria en todas las empresas (consulta tu caso aquí), pero puede ser conveniente asumirla de manera voluntaria o en cualquier caso identificar a una persona responsable de coordinar la adaptación para el correcto cumplimiento de las medidas del reglamento.

8. Atender correctamente los derechos de los ciudadanos

Nos referimos al derecho de acceso (para conocer y obtener información sobre sus datos de carácter personal sometidos a tratamiento), de rectificación (el ciudadano puede solicitar la corrección de errores y la modificación de los datos que resulten ser inexactos o incompletos), de cancelación (cualquier persona puede solicitar que se supriman sus datos) y de oposición (puede negarse a que se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo).

Además, los datos personales que solicitemos deberán ser adecuados, veraces y no excesivos. Es decir, no hay que solicitar más datos de los necesarios, hay que mantenerlos actualizados y eliminarlos cuando ya no sean necesarios.

Fuente. https://elpais.com

Uno de los ámbitos en el que la irrupción de las nuevas tecnologías está provocando mayor litigiosidad es el de las relaciones laborales, con especial incidencia, en los límites del control que el empresario puede ejercer sobre la actividad de los trabajadores. A este respecto, en los últimos años ha resultado especialmente conflictiva la videovigilancia de los trabajadores en el seno de las empresas. Tanto es así, que la nueva Ley Orgánica de Protección de Datos (alumbrada a la luz del Reglamento europeo), en vigor desde diciembre, regula expresamente cómo debe llevarse a cabo esta práctica en su artículo 89. Hace unos días, un juzgado de Pamplona dictó la primera sentencia (que puede consultar aquí) que se apoya en la nueva normativa.

En el caso enjuiciado se analiza el despido disciplinario de un empleado que es captado por las cámaras de seguridad peleándose con otro en el parking de la empresa. El trabajador impugnó la prueba basada en las imágenes, argumentando que la compañía no había informado sobre la finalidad del sistema de grabación, alegación que el juez acepta, declarando nulos los vídeos. Sin embargo, al existir testigos que acreditaban la disputa, declaró válido el cese.

¿Qué requisitos debe cumplir un sistema de videovigilancia para que pueda ser legalmente empleado para controlar a los trabajadores? Recogiendo la doctrina del Tribunal Europeo de Derechos Humanos (TEDH), la nueva ley orgánica determina que los empleadores “habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores” de dos circunstancias. La primera, de la propia instalación de las cámaras de seguridad; y, la segunda,  que las imágenes que estas capten pueden ser utilizadas para el control laboral. El deber de información, por tanto, es doble y no se entiende satisfecho si la empresa se limita a colocar junto al circuito un cartel informativo genérico, sino que, además, debe advertir a la plantilla de la grabación puede dar lugar a acciones disciplinarias.

Ricardo Fortún, abogado de Ejaso ETL Global, señala que este es el punto en el que suelen flaquear las compañías. “Es frecuente que, cuando instalan las cámaras, no se planteen que pueden ser usadas para controlar y sancionar a los empleados”; por tanto, al no haber advertido a los trabajadores, la prueba obtenida por la misma no es válida y no puede sustentar un proceso disciplinario.

Ambos letrados insisten en que la compañía debe informar personalmente a cada trabajador, así como a los representantes sindicales, por medios que acrediten la recepción de dicha comunicación.

Controversia

Existe un punto especialmente controvertido con relación a la videovigilancia en el trabajo que la nueva ley orgánica no solo no resuelve sino que alimenta: ¿qué pasa si lo que captan las cámaras es un delito (el robo de material de la empresa, por ejemplo)? ¿se mantienen en este caso las mismas exigencias relativas a la información que debe haberse dado a los empleados?

En 2017, el Tribunal Supremo declaró que, en caso de delito, bastaba, para que la prueba fuera válida, que el trabajador conociera la instalación de las cámaras. La nueva ley orgánica parece sumarse a esta tesis al aseverar que si se ha captado “la comisión flagrante de un acto ilícito” (ni siquiera lo circunscribe a delitos), el deber de informar se entiende cumplido si hay aviso de la existencia de la videovigilancia.

El juzgado de Pamplona, sin embargo, rechaza que sea admisible esa rebaja de las garantías. “Conviene no confundir la legitimidad del fin con la constitucionalidad del medio para su consecución”, advierte, en defensa de los derechos fundamentales.