Fuente: AdslZone

La FUNDAE (Fundación Estatal para la Formación en el Empleo, antigua Fundación Tripartita) lleva desde 2010 vigilando de cerca a las empresas que se dedican a ofrecer la implantación de Protección de Datos a “coste cero” mediante subvenciones para la formación en el trabajo, a través de las cuales financian estos servicios con cargo a los créditos asignados para la formación bonificada.

El procedimiento que utilizan estas empresas fraudulentas consiste en llamar a las empresas pidiendo por el responsable para alertarlo sobre las posibles multas que comporta el incumplimiento del RGPD. A continuación, le ofrecen cursos a cargo de estos fondos y le obsequian con una presunta consultoría en Protección de Datos, que suele ser incompleta o inexistente. Sin embargo, la empresa víctima del fraude no sabe que en realidad están solicitando crédito a la FUNDAE para destinarlo a una formación que no aprovechará.

Ejemplo de conversación telefónica:

1. Buenos días, nos ha notificado la oficina de la Seguridad Social de que su empresa no está registrada en la Protección de Datos.
2. ¿Perdón, quién le ha notificado qué?
3. Su empresa no tiene hecha la Protección de Datos, según la Seguridad Social.
4. Ahh, pues, no entiendo lo que tiene que ver la Seguridad Social con esto, ni que exista registro.
5. Si, su CIF nos ha salido como pendiente de registro.
6. Oiga, Señorita, la Seguridad Social no tiene nada que ver con la Protección de Datos, ni existe registro para ello. Por lo tanto, ruego que eliminen nuestros datos de contacto y se abstengan a difundir mentiras. Me quedo con su número y el nombre de su empresa, porque en caso contrario nos veremos obligados a denunciar estos hechos.

Fraude sobre implantación de LOPD a través de la FUNDAE

¿Te ha pasado algo parecido? No existe relación entre la Protección de Datos de una organización y la Seguridad Social, ni existe ningún registro para ello. Es una de las muchas tácticas malintencionadas que usan algunas empresas para vender sus cursos de Protección de Datos a través de la FUNDAE.

Notificación de la FUNDAE por peligro de fraude sobre LOPD

Según puedes ver en este enlace:

https://www.fundae.es/actualidad/noticias/detallenoticia/2019/10/03/utilizaci%C3%B3n-de-bonificaciones-para-lopd—nota-informativa

no se pueden usar los créditos de formación para un servicio de la empresa. Los asesores laborales pueden confirmar que han tenido que lidiar con las devoluciones del crédito y multas debido al mal uso de la bonificación. Es una práctica todavía muy común pero no lícita.

Además, un curso de protección de datos no sustituye el principio de la responsabilidad proactiva para proteger los datos de forma permanente. En otras palabras, implica que si se quiere evitar sanciones económicas hay que cumplir con este principio, ya que no bastará con limitarse a cumplir la normativa. Es necesario demostrar que se están adoptando acciones para prevenir cualquier riesgo. La propia página de la Agencia esgrime una serie de pasos que podrían servir como ejemplos de que se está procediendo de forma diligente.

Consecuencias

Las empresas que contraten servicios de adecuación a la ley de protección de datos o al reglamento general de protección de datos o cualquier otro servicio similar con cargo a las bonificaciones de formación para empleados, estarán realizando un fraude a contra la Seguridad Social y contra la Agencia Tributaria.

• Multa de más de 180.000 euros por fraude a la Seguridad Social
• Multa de la Agencia Tributaria por fraude en el pago de IVA
• Devolución de las bonificaciones “ahorradas”
• Riesgo de un trabajo estándar que no cubra necesidades concretas

No contrates servicios de adecuación gratuitos, a ‘coste cero’ o ‘bonificados’ por subvenciones por fondos a la formación.

Hay que evitar dejarse seducir por falsos profesionales que ofrecen estos servicios y que están perjudicando a profesionales como los de Data Protect Plus que realizamos un trabajo honesto para que nuestros clientes reciban un asesoramiento de calidad. La reputación de su negocio está en juego.

La AEPD impuso una multa de 10.000 euros a los Hipermercados E. Leclerc por instalar cámaras de videovigilancia en una zona “reservada” en la que se cambiaban de ropa algunos trabajadores y donde almorzaban, sin haber sido consultados sobre el motivo de la presencia de las mismas.

La reclamada niega los hechos objeto de imputación, pero reconoce la presencia de cámaras con una doble finalidad: seguridad y control laboral, asumiendo ésta las funciones de responsable del tratamiento según pretende acreditar mediante contrato con el reclamante (sin aportar firmar por parte de este último).

Qué dice la ley sobre instalar cámaras de seguridad

La instalación de tales medios de videovigilancia en áreas de mayor expectativa de privacidad, como lugares de descanso o esparcimiento, vestuarios, aseos, comedores y análogos resulta lesiva en todo caso del derecho a la intimidad de los trabajadores (art. 89.2 LOPDGDD – LO 3/2018, 5 diciembre). “Artículo 89. Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo” , el cuál transcribirmos aquí:

1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida.

En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica.

2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos.

3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley.

Puedes ver aquí la resolución sobre la instalación de las cámaras de video vigilancia

La AEPD resuelve que concurre una vulneración del art. 5.1 c) del RGPD, que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (minimización de datos)”, no siendo proporcionada, por tanto, la instalación de cámaras en los indicados espacios.

Puedes encontrar la sanción y descargarla en el siguiente enlace:

https://www.aepd.es/es/documento/ps-00337-2021.pdf

Puedes asesorarte con nosotros sobre la correcta instalación de cámaras de seguridad

Contacta con Data Protect Plus, para toda información sobre protección de datos, en el teléfono 965 038 463 o en nuestra web 

La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de más de 2 millones de euros a CaixaBank, como sucesora de Bankia, por una actuación llevada a cabo por la entidad ahora absorbida que vinculó la exención del cobro de comisiones de determinados productos a que los clientes diesen su consentimiento para recibir publicidad por cualquier canal habilitado y que sus datos personales pudiesen ser cedidos a otras empresas del grupo.

Según recoge la AEPD en su resolución de expediente sancionador esto supone una vulneración de la normativa de protección de datos respecto de la recopilación del consentimiento de los clientes de Bankia. La investigación se inició a raíz de una primera reclamación que tuvo entrada en la Agencia en febrero de 2019. Un cliente de la cuenta ‘ON’ de Bankia comunicó a la AEPD que la entidad le exigía que aceptase todos los consentimientos de tratamientos de datos personales que aparecían ya premarcados o aceptados y que, si elegía que no se cediesen sus datos a terceras empresas, el banco le cobraba una tasa de 5 euros al mes para mantener su cuenta.

La Subdirección General de Inspección de Datos reclamó información a Bankia sobre la política de privacidad y publicidad de las cuentas y tarjetas ‘ON’, ‘ON Nómina’ y ‘Un & Dos’, de la que se desprendía que Bankia eximía del pago de comisiones de administración y mantenimiento de la cuenta y tarjetas asociadas si los clientes mantenían un “perfil digital”.

Para ostentar este “perfil digital”, los clientes debían, entre otras condiciones, haber facilitado a Bankia su número de teléfono móvil y correo electrónico y haber autorizado al banco al tratamiento de sus datos personales para el envío de comunicaciones comerciales por cualquier canal habilitado y a la cesión de sus datos personales a empresas de su grupo para el análisis de su perfil a efectos comerciales.

Esto motivó que los clientes de Bankia que no habían aceptado el envío de comunicaciones comerciales por cualquier canal o hubiesen rechazado ceder sus datos personales a empresas del grupo tuviesen que pagar comisiones por ello, al considerar la entidad que no cumplían con el “perfil digital” precisamente por esta negativa. Además del primer reclamante, hasta seis usuarios más se dirigieron a la Agencia Española de Protección de Datos para denunciar este cobro de comisiones.

Bankia argumentó ante la AEPD que los clientes no estaban obligados a aceptar ningún consentimiento sobre el tratamiento de datos personales en el proceso de contratación de la cuenta ‘ON’, pero en el caso de que lo hicieran y cumpliesen con el resto de condiciones del “perfil digital” se les podía eximir del pago de comisiones de ciertos productos. “El proceso de gestión de consentimientos por parte de los clientes, que permite no solo prestarlos libremente y a través de cualquiera de los canales de la entidad, sino también modificarlos en cualquier momento y tantas veces como el cliente quiera de manera ágil y sencilla, garantiza que dicho consentimiento se preste libremente”, defendió Bankia.

El banco eliminó las condiciones de aceptar la recepción de publicidad y la cesión de sus datos a terceros el 15 de diciembre de 2019 y añadió una relativa a tener aceptado y activado el servicio de mensajería ‘push’ a través de la app Bankia. Las nuevas condiciones se empezaron a aplicar a los clientes preexistentes dos meses después.

No puede considerarse que el consentimiento se otorga libremente

La Agencia de Protección de datos recuerda que el artículo 4.11 del Reglamento General de Protección de Datos (RGPD) define el consentimiento del interesado para el tratamiento de sus datos personales como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen“.

A su juicio, al vincular la exención de comisiones bancarias a la prestación del consentimiento para el envío de comunicaciones comerciales y la cesión de datos personales a las entidades del grupo Bankia, “no puede considerarse que el consentimiento se otorga libremente, en tanto que, si no se aceptan tales tratamientos o se revoca posteriormente el consentimiento así obtenido, se producen consecuencias negativas para el interesado que está sujeto, en tal caso, al abono de las comisiones fijadas por la entidad bancaria“.

CaixaBank, sucesora de Bankia, alegó que las comisiones no constituyen un gravamen, sino la contraprestación de los servicios prestados por el banco, configurándose como un elemento que debe incorporarse al contrato de cuenta corriente cuya finalidad es la remuneración de los servicios prestados, un razonamiento que la AEPD no comparte.

“Esta Agencia considera que, efectivamente, las comisiones pueden formar parte del contrato de cuenta corriente remunerando los servicios que se presten por la entidad bancaria, pero entiende que la vinculación de la exención de su cobro a la prestación del consentimiento para otros tratamientos de datos personales diferentes a los propios del contrato determina que el consentimiento no se preste en condiciones de libertad“, ha dictaminado.

Por todo ello, la directora de la Agencia Española de Protección de Datos, Mar España Martí, ha resuelto imponer a CaixaBank una multa de 2 millones de euros por una infracción del RGPD, en relación con la obtención del consentimiento para fines distintos a los propios del contrato condicionando su obtención a la exención de comisiones bancarias y una sanción de 100.000 euros en relación con la obtención del consentimiento a través de casillas premarcadas.

Contra la resolución, CaixaBank puede interponer recurso de reposición ante la directora de la Agencia Española de Protección de Datos en el plazo de un mes o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional.

Fuente: ElDiario.es

Los datos que las empresas tienen de todos nosotros son un material sensible que la Ley de Protección de Datos intenta proteger. Ahora, la Sala III del Tribunal Supremo ha concluido que la obligación de las empresas de garantizar la seguridad de los ficheros que contengan datos personales de sus clientes es de medios y no de resultado, aunque “es exigible la adopción e implantación de medidas técnicas y organizativas, que conforme al estado de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos personales en cuestión, permitan razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado”.

En sentencia de la que ha sido ponente el magistrado Diego Córdoba, la Sala confirma una sanción de 40.000 euros impuesta por la Agencia de Protección de Datos a una empresa distribuidora de productos de telefonía, como responsable de una infracción grave al permitir el acceso no autorizado por parte de terceros a, al menos, 14 solicitudes de financiación en la que figuraban datos personales de los clientes (nombre y apellidos, datos económicos, de domiciliación bancaria y firma).

La Audiencia Nacional confirmó la sanción, y el Supremo admitió el recurso de casación de la empresa para responder a la cuestión de si las infracciones de la Ley de Protección de Datos por fallos de las medidas de seguridad que puedan cometer los empleados de una persona jurídica deben examinarse en atención al resultado y, por lo tanto, imputarse a la persona jurídica de la que dependa el empleado, con independencia de los medios y medidas de prevención que hubiera podido adoptar.

La Sala contesta que la obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento.

Añade que “ no basta con diseñar los medios técnicos y organizativos necesarios, también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá (la empresa) por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso”.

En el supuesto examinado, el tribunal confirma la sanción a la empresa porque “el programa utilizado para la recogida de los datos de los clientes no contenía ninguna medida de seguridad que permitiese comprobar si la dirección de correo electrónico introducida era real o ficticia y si realmente pertenecía a la persona cuyos datos estaban siendo tratados y prestaba el consentimiento para ello. El estado de la técnica en el momento en el que se produjeron estos hechos permitía establecer medidas destinadas a comprobar la veracidad de la dirección de email, condicionando la continuación del proceso a que el usuario recibiese el contrato en la dirección proporcionada y solo desde ella prestase el consentimiento necesario para su recogida y tratamiento. Medidas que no se adoptaron en este caso”.

Es decir, que en el momento en que se produjeron estos hechos, existían medidas técnicas referidas al proceso de registro, que hubiesen evitado la filtración de datos personales producida. Ello implica que las medidas técnicas adoptadas incumplían las condiciones de seguridad en los términos exigidos.

Por último, la Sala señala que el hecho de que fuese la actuación negligente de una empleada la que provocó la brecha de seguridad no le exime de responsabilidad a la empresa en cuanto encargada de la correcta utilización de las medidas de seguridad que deberían haber garantizado la adecuada utilización del sistema de registro de datos diseñado.

Fuente: Diario de Sevilla

La Agencia Española de Protección de Datos (AEPD) ha advertido a las Comunidades Autónomas de que exigir el certificado COVID para entrar en establecimientos puede vulnerar derechos. El organismo ha enviado un requerimiento de información a Galicia y Canarias -las dos comunidades que por ahora han implantado la medida- para estudiar si se ajusta al ordenamiento jurídico nacional.

Según ha comunicado la Agencia, tras tener conocimiento de varias iniciativas públicas que generalizan “la utilización del certificado de vacunación“, ha decidido analizar si esta medida respeta el derecho fundamental de la ciudadanía a la protección de sus datos personales. La normativa europea recoge que la información relativa a la salud de los ciudadanos son datos especialmente sensibles, por lo que su tratamiento requiere mayores exigencias.

“Las autoridades europeas de protección de datos hemos expresado nuestra preocupación por la utilización de certificados dentro de los Estados para finalidades tales como el acceso a tiendas, restaurantes o gimnasios, así como su uso en otros contextos como el laboral”, ha indicado la AEPD en la nota de prensa.

También ha afirmado que se debe contar con una base legal apropiada y ajustada a los principios de “eficacia, necesidad y proporcionalidad” y teniendo en cuenta la existencia de otras medidas de protección menos invasivas.

Protección de Datos, además, ha incidido en que exigir este documento puede resultar “discriminatorio“, ya que la vacunación no es obligatoria en España y existen colectivos que, debido a razones médicas, no pueden recibir la vacuna. Además, el hecho de que el proceso de vacunación se rija por criterio es de priorización implica que parte de la población aún no haya podido recibir alguna o todas las dosis necesarias.

Ante la “indefinición y dudas legales” sobre el sistema de detección anticipada que la firma implantó a modo de prueba piloto en 48 tiendas

Mercadona ha decidido dar por finalizado el procedimiento abierto por la Agencia Española de Protección de Datos (AEPD) procediendo al pago de los 2,5 millones de euros de sanción propuesta por este organismo en relación con el proyecto piloto que fue testado durante varios meses en 48 de las 1.640 tiendas de las que dispone la compañía, según han informado fuentes de la firma de supermercados.

El sistema, con la correspondiente autorización judicial y tras contrastar científicamente, aplicaba un primer filtro tecnológico y una segunda verificación visual y establecía que la persona identificada tenía una orden de alejamiento vigente del establecimiento. Después procedía a notificarlo a las Fuerzas y Cuerpos de Seguridad, responsables de hacer cumplir la medida en vigor.

Según explican desde la compañía, no se guardaba ningún tipo de información del resto de personas, pues se eliminaba en su totalidad en 0,3 segundos, que es la duración de todo ese proceso (tiempo similar a un parpadeo), lo que imposibilitaba totalmente la posibilidad de identificar a las personas sobre las que no existía una prohibición judicial de acceso al establecimiento.

Para la implantación y puesta en marcha de esta medida, que perseguía reforzar la seguridad tanto del personal de la tienda como de los clientes, la compañía, desde el primer momento, mantuvo un contacto estrecho con las autoridades correspondientes. Asimismo, compartió con la AEPD todos los procedimientos de su Sistema de Detección Anticipada antes de iniciar la prueba.

Paralelamente, la compañía afirma que se aplicaron “los más estrictos estándares de transparencia”, con campañas de información tanto a través de los medios de comunicación como por medio de cartelería en estos 48 supermercados.

Además de ello, en todos y cada uno de los casos dispuso siempre de autorización judicial previa, sustentadas en más de treinta y siete sentencias firmes con orden de alejamiento del establecimiento en vigor que autorizaban el uso de dicha tecnología.

Mercadona, a pesar de todo ello y ante la indefinición y dudas legales puestas de manifiesto en lo actuado hasta el momento en el procedimiento sobre esta tecnología, considera que “ahora lo más responsable y riguroso es dar por finalizada esta prueba piloto”.

• El documento incorpora criterios e interpretaciones de la AEPD, el Comité Europeo de Protección de Datos y el Supervisor Europeo
• La Guía está dirigida a responsables, encargados de tratamientos y delegados de protección de datos, ayudando al cumplimiento de la normativa
• Es aplicable a cualquier tratamiento de datos personales y para los tratamientos de alto riesgo ofrece orientaciones para realizar una evaluación de impacto y, en su caso, la consulta previa a la autoridad de control
• La Agencia también ha presentado EVALÚA_RIESGO RGPD, un prototipo de herramienta que facilita la evaluación del nivel de riesgo de los tratamientos
• Guía de Gestión de riesgo y evaluación de impacto en tratamientos de datos personales

La Agencia Española de Protección de Datos (AEPD) ha presentado hoy la guía ‘Gestión del riesgo y evaluación de impacto en tratamientos de datos personales’, un documento que incorpora la experiencia acumulada en la aplicación de la gestión del riesgo en el ámbito de la protección de datos desde la aplicación del Reglamento General de Protección de Datos (RGPD) y añade las interpretaciones de la AEPD, el Comité Europeo de Protección de Datos y el Supervisor Europeo de Protección de Datos.

El documento, dirigido a responsables, encargados de tratamientos y delegados de protección de datos (DPD), ofrece una visión unificada de la gestión de riesgos y de las evaluaciones de impacto en protección de datos, y facilita la integración de la gestión de riesgos en los procesos de gestión y gobernanza de las entidades.

El RGPD establece que las organizaciones que tratan datos personales deben realizar una gestión del riesgo con el fin de establecer las medidas que sean necesarias para garantizar los derechos y libertades de las personas. Además, en aquellos casos en los que los tratamientos impliquen un riesgo alto para la protección de datos, el Reglamento dispone que esas organizaciones están obligadas a realizar una Evaluación de Impacto en Protección de Datos (EIPD) para mitigar esos riesgos.

La guía presentada hoy es aplicable a cualquier tratamiento, con independencia de su nivel de riesgo. Además, y para los casos de tratamientos de alto riesgo, incorpora las orientaciones necesarias para realizar la EIPD y, en su caso, la consulta previa a la que se refiere el artículo 36 del RGPD, que establece que el responsable debe consultar a la autoridad de control antes de proceder al tratamiento cuando una evaluación de impacto sigue ofreciendo un riesgo residual alto o muy alto tras haber tomado medidas.

La Guía consta de tres apartados: el primero contiene una descripción de los fundamentos de la gestión de riesgos para los derechos y libertades; el segundo incluye un desarrollo metodológico básico para la aplicación de la gestión del riesgo, y el último está enfocado en los casos en los sea preciso realizar una EIPD, con las orientaciones necesarias para llevarla a cabo.

EVALÚA_RIESGO RGPD

Además, la Agencia ha presentado EVALÚA_RIESGO RGPD, el prototipo de una nueva herramienta que ayuda a responsables y encargados a identificar los factores de riesgo para los derechos y libertades de los interesados presentes en el tratamiento; hacer una primera evaluación del riesgo intrínseco, incluyendo necesidad de realizar una EIPD, y estimar el riesgo residual si se utilizan medidas y garantías para mitigar los riesgos.

Los factores de riesgo desplegados en esta herramienta no tienen carácter exhaustivo, por lo que el responsable deberá identificar aquellos que sean específicos para el tratamiento e incluirlo en su evaluación. La valoración del nivel de riesgo para cada factor que efectúa la herramienta, así como el cálculo final de nivel de riesgo, tiene carácter general y supone una evaluación mínima que, en su caso, tendrá que ser ajustada por dicho responsable para determinar con precisión el nivel de riesgo del tratamiento.

Análisis, gestión de riesgos y EIPD

El análisis y la gestión de riesgos son procedimientos que permiten a las organizaciones identificar y poder anticiparse a los posibles efectos adversos o no previstos que el tratamiento pueda tener para los derechos y libertades de los interesados. Esta gestión debe permitir que el responsable tome las decisiones y acciones necesarias para conseguir que el tratamiento cumpla los requisitos del RGPD y la LOPDGDD, garantizando y pudiendo demostrar la protección de los derechos de los interesados.

Por su parte, el RGPD establece que cuando sea probable que un tipo de tratamiento entrañe un alto riesgo, el responsable debe realizar una evaluación del impacto, proceso que permite a las organizaciones identificar los riesgos que un sistema, producto o servicio puede implicar para los derechos y libertades de las personas y, tras haber realizado ese análisis, afrontar y gestionar esos peligros antes de que se materialicen.

La gestión del riesgo y la EIPD son procesos que se encuentran estrechamente vinculados, ya que la segunda es una especificidad dentro de la primera. Así, la EIPD no puede existir sin formar parte de la gestión de riesgos, por lo que mientras que la gestión del riesgo es obligatoria para todo tratamiento, las obligaciones concretas que se establecen para la EIPD lo son exclusivamente para tratamientos de alto riesgo.

La Agencia Española de Protección de Datos continúa investigando la aplicación lanzada por Sanidad para combatir el coronavirus

La Agencia Española de Protección de Datos (AEPD) ha abierto un procedimiento sancionador contra la Dirección General de Salud Pública, dependiente del Ministerio de Sanidad, y otro al Ministerio de Asuntos Económicos y Transformación Digital, dependiente del Ministerio de Economía, por presunta vulneración del Reglamento General de Protección de Datos (RGPD) en la aplicación Radar COVID, lanzada en septiembre del año pasado para combatir el coronavirus. Lo hace tras analizar dos reclamaciones interpuestas por Reclamadatos y Rights International.

Estas reclamaciones denunciaban que Radar Covid no cumplía con las directrices marcadas por el RGPD. La primera de ellas fue presentada en septiembre de 2020 por Pau Enseñat, CEO y fundador de la plataforma Reclamadatos, organización dedicada a descubrir y reclamar los datos de personas.

Enseñat pedía en su escrito que la AEPD analizase si Radar Covid “cumple con los principios de licitud, lealtad, transparencia y responsabilidad proactiva (Art.5 RGPD), ya que la SGAD (Secretaría General De Administración Digital) no ha publicado la Evaluación de Impacto sobre la Protección de Datos (EIPD), en contra de lo indicado expresamente por el Comité Europeo de Protección de Datos”.

La respuesta de la AEPD a las reclamaciones señala que “a tenor de la información preliminar de la que se dispone, se aprecian indicios racionales de una posible vulneración de la normativa en materia de protección de datos, sin perjuicio de lo que se determine en el curso de la tramitación. Por ello, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales”,

Protección de Datos y la reclamación de Rights International

La otra reclamación hecha pública, por la cual se ha iniciado el procedimiento sancionador contra Radar COVID, corrió a cargo de la asociación Rights International Spain, que estuvo meses solicitando la Evaluación de Impacto de la Protección de Datos de la aplicación al Gobierno. Se trata de un informe estándar que se hace antes del lanzamiento de una aplicación o servicio. En este análisis deben constar los riesgos en el ámbito de la seguridad y la privacidad que existen para los usuarios, poniendo el foco en la forma que se ha construido y desarrollado el servicio o aplicación.

La reclamación de Rights International Spain pedía, teniendo en cuenta que se había abierto una investigación a petición de Reclamadatos, que se incluyera en la misma “el uso de datos de localización y herramientas de rastreo de contactos en el contexto de la pandemia de covid-19 adoptadas el 21 de abril de 2020 y, en particular, los aspectos referentes a transparencia tanto del código como de las diferentes Evaluaciones de Impacto”.

El Ministerio de Economía acabó publicando finalmente en enero un documento con la información solicitada, pero desde Rights International alertaron de que la fecha del archivo no se correspondía con la prueba previa que, como decimos, ha de realizarse.

Por este motivo la asociación acudió al Consejo de Transparencia, donde puso una reclamación. Transparencia se pronunció poco después instando al Ministerio de Economía a que facilitase la primera prueba de impacto que debería haberse realizado y publicado antes del lanzamiento de Radar COVID, cosa que la cartera dirigida por Nadia Calviño finalmente realizó hace unos días.

Fuente: VOZPOPULI