En el mundo empresarial, los detalles importan. Y cuando se trata de la protección de datos personales, un error puede costar muy caro. La reciente sanción de 70.000 euros a LVMH Iberia por añadir a una trabajadora a un grupo de WhatsApp de empresa usando su móvil personal sin consentimiento previo es un claro ejemplo.

El problema del uso de móviles personales en el trabajo

Muchas PYMEs, por falta de recursos o desconocimiento, recurren a los teléfonos personales de sus empleados para comunicaciones internas o con clientes. Esta práctica, aunque común, vulnera el Reglamento General de Protección de Datos (RGPD) y el derecho a la desconexión digital.

La sanción de la AEPD y sus consecuencias para empresas

La AEPD dejó claro que usar el número personal de un empleado sin consentimiento es un tratamiento ilícito de datos. Además, interrumpir sus vacaciones añadiéndolo a un grupo de WhatsApp laboral violó su derecho a la desconexión.

¿El resultado? Una sanción de 70.000 euros que, tras reducciones, quedó en 42.000 €. Un importe que podría poner en riesgo la estabilidad de muchas PYMEs.

Soluciones prácticas para cumplir con el RGPD

En DataProtectPlus ayudamos a tu PYME a evitar sanciones gracias a:

Auditorías de cumplimiento RGPD adaptadas a tu negocio.
Protocolos internos claros sobre el uso de dispositivos y canales de comunicación.
Formación a empleados para prevenir riesgos legales.
Soporte legal y técnico continuo para garantizar la tranquilidad de tu empresa.

Proteger los datos personales de tus empleados no es solo una obligación legal, es una forma de cuidar la confianza y la reputación de tu empresa.

¿Quieres blindar tu PYME frente a sanciones de la AEPD?

Añade valor a tu marca, para empleados y clientes:

Contacta con DataProtectPlus y evita que un simple grupo de WhatsApp se convierta en un problema de 70.000€.

CEO Data Protect Plus ®

Sylvia Fries

La entrada Sanción AEPD por WhatsApp en empresas: protege tu PYME se publicó primero en DataProtectPlus.

En el entorno actual, los despachos de servicios fiscales y laborales se enfrentan a la necesidad de garantizar la seguridad y privacidad de los datos personales de sus clientes. Una herramienta clave en este proceso es el uso de certificados digitales de personas físicas. Sin embargo, su implementación puede generar conflictos con el Reglamento General de Protección de Datos (RGPD). En esta entrada, exploraremos cómo se utilizan estos certificados y los desafíos que presentan en términos de cumplimiento normativo.

¿Qué son los Certificados Digitales de Personas Físicas?

Los certificados digitales de personas físicas son documentos electrónicos que permiten la identificación y autenticación de una persona en el entorno digital. Emitidos por autoridades de certificación reconocidas, estos certificados garantizan la integridad y confidencialidad de las transacciones electrónicas. El uso de Certificados Digitales de Personas Físicas en Despachos de Servicios Fiscales y Laborales se practica para firmar digitalmente documentos, acceder a plataformas gubernamentales y realizar trámites en línea de manera segura.

Beneficios del Uso de Certificados Digitales

1. Seguridad: Los certificados digitales aseguran que las transacciones electrónicas sean seguras y que la identidad del firmante sea auténtica.
2. Eficiencia: Facilitan la realización de trámites en línea, reduciendo el tiempo y los costos asociados a los procesos manuales.
3. Confidencialidad: Garantizan que la información transmitida esté protegida contra accesos no autorizados.

Conflictos con el RGPD

El RGPD establece estrictas normas sobre la protección de datos personales, y el uso de certificados digitales no está exento de estas regulaciones. Algunos de los principales conflictos incluyen:

1. Consentimiento y Transparencia: Es crucial que los clientes sean informados y den su consentimiento explícito para el uso de sus datos personales en la emisión y uso de certificados digitales.
2. Minimización de Datos: El principio de minimización de datos del RGPD exige que solo se recopilen los datos estrictamente necesarios. Los despachos deben asegurarse de que los certificados digitales no contengan información innecesaria.
3. Derechos de los Interesados: Los clientes tienen derecho a acceder, rectificar y eliminar sus datos personales. Los despachos deben implementar mecanismos para facilitar estos derechos en el contexto del uso de certificados digitales.

Buenas Prácticas para el Cumplimiento del RGPD

1. Evaluación de Impacto: Realizar evaluaciones de impacto sobre la protección de datos (DPIA) para identificar y mitigar riesgos asociados al uso de certificados digitales.
2. Políticas de Privacidad: Desarrollar y mantener políticas de privacidad claras y accesibles que expliquen el uso de certificados digitales y los derechos de los clientes.
3. Formación y Concienciación: Capacitar al personal sobre las obligaciones del RGPD y las mejores prácticas en el manejo de certificados digitales.

Conclusión

El uso de certificados digitales de personas físicas en despachos de servicios fiscales y laborales ofrece numerosos beneficios en términos de seguridad y eficiencia.

No obstante, es fundamental abordar los conflictos con el RGPD para garantizar el cumplimiento normativo y proteger los derechos de los clientes.

Adoptar buenas prácticas y mantenerse informado sobre las regulaciones vigentes es esencial para navegar este complejo panorama.

CEO de DATA PROTECT PLUS ®

Sylvia Fries

La entrada Uso de Certificados Digitales de Personas Físicas en Despachos de Profesionales: Conflictos con el RGPD se publicó primero en DataProtectPlus.

La Huella Dactilar en el Trabajo: ¿Qué dice el RGPD?

En la era digital, la ciberseguridad y la protección de datos son fundamentales para cualquier empresa, especialmente para las pequeñas y medianas empresas (PYME) que están en proceso de digitalización. Una de las tecnologías emergentes en el ámbito laboral es el uso de la huella dactilar para la identificación de trabajadores. Sin embargo, su implementación debe estar en estricta conformidad con el Reglamento General de Protección de Datos (RGPD).

Consentimiento y Transparencia: Pilares del Uso de Datos Biométricos como la huella

El RGPD establece directrices claras para el tratamiento de datos personales, y los datos biométricos, como las huellas dactilares, requieren una atención especial debido a su naturaleza sensible. Para que las PYME utilicen estas tecnologías de forma segura y legal, es esencial obtener el consentimiento explícito de los trabajadores y asegurarse de que exista una finalidad legítima para su uso.

Evaluación de Impacto en la Protección de Datos: Un Paso Crucial

Además, es crucial realizar una evaluación de impacto sobre la protección de datos para identificar posibles riesgos y establecer medidas de seguridad adecuadas. Estas medidas no solo protegen la información sensible de los empleados, sino que también salvaguardan la reputación de la empresa y evitan posibles sanciones legales.

Implementando Medidas de Seguridad Robustas para Datos Sensibles como huella dactilar, según regula la AEPD

La Agencia Española de Protección de Datos (AEPD) ha emitido resoluciones que clarifican cómo debe tratarse la huella dactilar en el entorno laboral. En una resolución, la AEPD enfatiza que la huella dactilar debe ser considerada como un dato biométrico. Por tanto, es una categoría especial según el RGPD. Esto implica que su tratamiento está sujeto a restricciones adicionales para garantizar la protección de los derechos de los individuos.

El Artículo 9.1 del RGPD: Este artículo prohíbe el tratamiento de datos personales que revelen datos biométricos dirigidos a identificar de manera unívoca a una persona física, a menos que se cumplan ciertas condiciones. Esto significa que las empresas deben tener una base legal sólida para procesar datos biométricos, como el consentimiento explícito y voluntario del trabajador.

La AEPD ha publicado una guía sobre protección de datos y relaciones laborales que ofrece orientación práctica para las organizaciones. Esta guía aborda temas como el registro de la jornada laboral y el uso de tecnologías de control, incluyendo la identificación biométrica. La guía también detalla los principios de minimización y los límites al tratamiento de datos en los procesos de selección y contratación de personal. Esta guía ha sido modificada, según la guía de control publicada en noviembre 2023.

Antes de implementar sistemas de identificación biométrica, las empresas deben realizar una evaluación de impacto sobre la protección de datos para identificar y mitigar los riesgos asociados al tratamiento de datos biométricos.

Es fundamental que las empresas implementen medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales, incluyendo los datos biométricos.

Derecho a la Información: El RGPD establece que los trabajadores tienen derecho a ser informados sobre el tratamiento de sus datos personales. En el caso de huella dactilar como medio de identificación de “categoría especial de información personal”, hay que tener muy claro dónde se guarda la información y qué tratamientos se realizan realmente, e informar al trabajador sobre ello para su consentimiento.

conclusión

Para poder utilizar la huella dactilar en tu empresa de acuerdo con el RGPD, debes tener en cuenta los siguientes términos y obligaciones:

1. Consentimiento de los interesados: Es necesario recabar el consentimiento expreso de los trabajadores para poder llevar a cabo el tratamiento de sus datos biométricos.
2. Base legitimadora: Si el consentimiento no es la base para el uso de la huella dactilar, se debe contar con alguna de las excepciones del artículo 6.1 y 9.2 del RGPD.
3. Deber de información: Debes proporcionar a los trabajadores toda la información relativa al tratamiento de sus datos personales, según lo establecido en los artículos 13 y 14 del RGPD y el artículo 11 de la LOPDGDD.
4. Cumplimiento de los principios de necesidad, idoneidad y proporcionalidad: La recogida de la huella dactilar debe ser para fines determinados, proporcionales y no excesivos. Además, estos datos no pueden utilizarse para realizar tratamientos distintos a aquellos para los que el interesado prestó su consentimiento.
5. Medidas de seguridad: Implementar medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales, incluyendo los datos biométricos.
6. Evaluación de impacto: Realizar una evaluación de impacto sobre la protección de datos para identificar y mitigar los riesgos asociados al tratamiento de datos biométricos.
7. Registro de actividades de tratamiento: Incluir el uso de la huella dactilar en el registro de actividades de tratamiento.

Es importante que sigas estos términos para asegurar que el uso de la huella dactilar en tu empresa cumple con la normativa vigente y protege los derechos de tus trabajadores. Para una implementación adecuada y conforme a la ley, se recomienda buscar asesoramiento legal profesional.

¿Está su PYME preparada para la era de la identificación biométrica? Contáctenos para una consultoría personalizada y asegúrese de que su empresa cumple con el RGPD.

La entrada El Uso de la Huella Dactilar y el RGPD se publicó primero en DataProtectPlus.

Así lo entiende la Agencia Española de Protección de Datos, quien junto a la Seguridad Social y la Agencia Tributaria, han realizado un documento que advierte sobre este fraude.

¿Coste cero para Protección de Datos en PYMEs?

Se le conoce como ‘coste cero’. Consiste en ofertar servicios para que las empresas se amolden a la normativa de protección de datos, a un precio muy bajo o de forma gratuita,. El truco o fraude es que se abonan mediante fondos destinados a formación para trabajadores. La Agencia Española de Protección de Datos (AEPD) alerta a pymes y autónomos de los riesgos de esta práctica. Tanto por incumplimiento de la norma como por sanciones que puedan recibir por utilizar esta metodología. Ya que esos fondos de formación no fueron creados para esta cuestión.

Por esta razón, las autoridades vigilan a PYMES y Autónomos y la AEPD advierte de que las ofertas que pueden entrañar un fraude habitualmente son emitidas por parte de consultorías y empresas. Según explican en un comunicado, se dirigen hacia las pymes y autónomos, empleando para ello el temor a las sanciones establecidas en el Reglamento General de Protección de Datos.

Suplantación de identidad frente a Pymes y Autónomos

En muchos casos se hace creer a pymes y autónomos que están obligadas a designar un delegado de protección de datos u ofrecer servicios innecesarios para los tratamientos que realiza la empresa.

Asimismo, hace referencia a otro tipo de prácticas agresivas como intentar suplantar la identidad de la Agencia en las comunicaciones que se realizan, para llevar a cabo prácticas comerciales en las que se coarte el poder de decisión de los destinatarios, mediante la referencia a sanciones por incumplir la normativa.

Para contrarrestar esta situación, la Agencia recuerda tanto a pymes como a autónomos que a la hora de contratar servicios para adecuarse a la normativa en materia de protección de datos, se aseguren de que éstos no incurren en las prácticas mencionadas con anterioridad.

Informar a los responsables

Por otro lado, la AEPD ha puesto a disposición de las pymes y autónomos una serie de canales para informar de este tipo de casos. En este sentido, detallan el Canal INFORMA, para dar cuenta de la situación a los responsables; y el de Atención al Ciudadano, para los ciudadanos.

Fuente: El País

Para más información y ayuda, contáctenos aquí.

La entrada LAS AUTORIDADES VIGILAN A PYMES Y AUTÓNOMOS POR EL USO DEL “COSTE CERO” se publicó primero en DataProtectPlus.

La medida más importante fue el Reglamento General de Protección de Datos (RGPD) que entró en vigor en mayo de 2016 y que desde el 25 de mayo del año pasado es de obligado cumplimiento en España. Su incumplimiento puede conllevar multas y sanciones que alcanzan los 20 millones de euros, en el peor de los casos.

La cuestión es importante y preocupa a los empresarios. “Las recientes multas impuestas y el daño continuo a la reputación como resultado del incumplimiento regulatorio respaldan la seriedad con la que se afrontan estos riesgos”, indican los responsables de la consultora multinacional Willis Towers Watson en su 6ª Encuesta de Responsabilidad de Directores.

Dos años de margen tuvieron entidades públicas, organizaciones y empresas para adaptarse a la nueva forma de gestión de la información, sin embargo aún hay rezagados que siguen sin aplicar las nuevas normas o no lo hacen correctamente. Resumamos lo que tiene que hacer y cómo hacerlo.

1. Cumplir con el deber de información

Debe informarse a los titulares de los datos de quién es el responsable del tratamiento, las finalidades que se persiguen, si existen cesiones a terceros y la dirección postal o electrónica donde el titular pueda solicitar sus derechos de acceso, rectificación, cancelación y oposición. Todas las empresas están obligadas a informar por cualquier canal a sus clientes de estos cambios.

2. Lograr el consentimiento explícito

El consentimiento para el tratamiento de datos deja de ser tácito. Ya no vale que se dé por hecho, debe de haber una clara acción afirmativa. De hecho, el responsable de los datos debe tener pruebas de ese consentimiento.

Si tienes dudas, consulta esta guía de la Agencia Española de Protección de Datos (AEPD).

 Registro de actividades de tratamiento

El RGDP obliga a informar, tanto a los propios usuarios como a la AEPD, sobre la recopilación de los datos y el objetivo de la misma. La antigua inscripción de ficheros (vigente con la anterior LOPD 15/1999) es ahora sustituida por el registro de actividades de tratamiento efectuadas por cada responsable y, en su caso, encargado del tratamiento de datos. Ese registro incluye, entre otra información, los fines, las categorías de destinatarios a quienes se comunicaron o comunicarán los datos, las transferencias de datos personales a un tercer país, etc.

4. Realizar un análisis de riesgos y adoptar medidas de seguridad

No es posible asegurar el derecho fundamental a la protección de datos si no se es capaz de garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales, así que lo primero es estudiar el nivel de peligrosidad que hay entorno al tratamiento y almacenamiento que haces de la información que manejas. Puedes hacerlo mediante la herramienta FACILITA-RGPD. En los primeros pasos de este procedimiento vía web encontrarás unas preguntas que te ayudarán a determinar el grado de riesgo.

5. Comunicar incidentes de seguridad

Con los ciberataques a la orden del día y las herramientas informáticas en constante evolución, ninguna empresa está a salvo de sufrir un incidente. Si eso ocurriera, el RGPD introduce la obligación de notificar a la autoridad competente, en este caso la AEPD, si se detecta una brecha de seguridad que afecte a datos personales. En determinados casos también hay que avisar a las personas cuyos datos personales se hayan visto afectados por la violación.

Aquí lo importante es tener establecidos de manera clara los mecanismos y procedimiento de notificación de quiebras de seguridad. El pasado mes de marzo hubo 113 notificaciones, tres de ellas se están investigando por si supusiera la existencia de riesgo alto para los derechos y libertades de los ciudadanos.

6. Valorar si los encargados de los datos ofrecen garantías

El RGPD define el tipo de contrato que debe vincular al responsable de los datos con el encargado de los mismos. En él se deben especificar la relación y las obligaciones de ambas partes ante la prestación del servicio acordado. Si existiera un contrato vigente previo a mayo de 2018, cuando entró en vigor el reglamento, es imprescindible incluir una cláusula al respecto que sea firmada por las partes.

Quizás sea este el momento de valorar si el organismo o empresa encargada del tratamiento de los datos de mi compañía es el más adecuado y aclarar situaciones en las que puede ser difícil distinguir cuándo estamos frente a un encargado o a un responsable del tratamiento.

7. Designar un delegado de protección de datos

No es una figura obligatoria en todas las empresas (consulta tu caso aquí), pero puede ser conveniente asumirla de manera voluntaria o en cualquier caso identificar a una persona responsable de coordinar la adaptación para el correcto cumplimiento de las medidas del reglamento.

8. Atender correctamente los derechos de los ciudadanos

Nos referimos al derecho de acceso (para conocer y obtener información sobre sus datos de carácter personal sometidos a tratamiento), de rectificación (el ciudadano puede solicitar la corrección de errores y la modificación de los datos que resulten ser inexactos o incompletos), de cancelación (cualquier persona puede solicitar que se supriman sus datos) y de oposición (puede negarse a que se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo).

Además, los datos personales que solicitemos deberán ser adecuados, veraces y no excesivos. Es decir, no hay que solicitar más datos de los necesarios, hay que mantenerlos actualizados y eliminarlos cuando ya no sean necesarios.

Fuente. https://elpais.com

La entrada PYMES Y PROTECCIÓN DE DATOS se publicó primero en DataProtectPlus.