Las reclamaciones presentadas ante la Agencia Española de Protección de Datos (AEPD) durante 2018 se incrementaron un 32,8% hasta alcanzar las 14.146. En cuanto a la temática de las mismas, corresponden a inserción indebida en ficheros de morosidad, videovigilancia , servicios de Internet, reclamación de deudas, Administración Pública, sanidad , publicidad , comercios, transporte y hostelería, entidades financieras y publicidad a través de e-mail o teléfono móvil.

Respecto a los plazos de resolución, la mitad de las reclamaciones admitidas en la Agencia se resuelven en una media de 100 días, sin tener que esperar los más de 200 días de media del modelo anterior.  Además hay que tener en cuenta que el traslado de la reclamación al responsable o DPD no conlleva necesariamente que no se vayan a realizar actuaciones inspectoras a posteriori, ya que la Agencia tiene potestad para investigar los mecanismos establecidos por la empresa.

En 2018 se han dictado 907 resoluciones sancionadoras (434 con sanción económica, 96 con resolución de infracción a Administraciones Públicas y 377 apercibimientos). En lo referente a la temática de los procedimientos sancionadores, destacan, por este orden: Contratación fraudulenta, inserción indebida en ficheros de morosidad, videovigilancia, spam (LSSI), publicidad (excepto spam), servicios de Internet, reclamación de deudas, telecomunicaciones, Administración Pública y sanidad.

En el caso de las dos principales (morosidad y contratación fraudulenta), representan, respectivamente, 3.770.803 euros (29%) y 4.979.200 euros (38%) sobre el total del volumen de sanciones (12.824.454 euros). Con respecto al año anterior, crecen las reclamaciones por contratación fraudulenta y descienden levemente las de morosidad.

Las consultas más usuales a la AEPD son las relativas a la obligatoriedad de nombrar un DPD (Delegado de Protección de Datos), cuestiones sobre videovigilancia o la utilización de la huella y datos biométricos como medidas de control de acceso y horario del trabajo.

En cualquier caso, y analizando estos datos se desprende el hecho de que tras la vorágine inicial provocada por la aplicación del reglamento y sus muchas novedades; y el celo de las empresas en dar cumplimiento ante el temor de sanciones, parece que ha habido cierta relajación en los últimos meses, lo cual podría ser el motivo de este aumento de las denuncias.

Fuente: Economist&Jurist

La normativa de protección de datos RGPD-LOPDGDD ha hecho que muchos bares tengan dudas sobre cómo deben proceder. ¿Deben hacer algún cambio para cumplir con el RGPD? ¿Es suficiente si cumplían la antigua Ley Orgánica de Protección de Datos? Si tienes un bar te recomendamos que leas el siguiente artículo para despejar tus dudas.

Para saber si tu bar tiene que cumplir el RGPD o no tienes que hacerte una pregunta: ¿tratas datos de personas físicas? Si la respuesta es que sí, entonces tendrás que cumplir con lo que indica el Reglamento General de Protección de Datos y la nueva Ley Orgánica de Protección de Datos.

En el caso de los bares NO es necesario contratar un delegado de protección de datos (DPD), aunque sí cumplir con el Reglamento General de Protección de Datos (GDPR).

¿Cómo puedo saber si mi bar trata datos personales?

Si no te dedicas a este tema puede ser complicado saber si tu bar se encuentra tratando datos personales o no. Pero no te preocupes, ya que a continuación te vamos a dar pistas que te van a ayudar a saber si te afecta o no el RGPD.

– Si tienes empleados: si dispones de empleados estarás tratando sus datos personales y, por tanto, tendrás que cumplir el RGPD. No sólo se tratan tantos de los camareros para la confección de las nóminas, sino también para contactar con ellos cuando hay una emergencia (su teléfono), para hacer los cuadres de horarios, etc. Si tienes camareros, trabajadores de limpieza, cocineros, etc. tendrás que cumplir el RGPD.

– Si tienes cámaras de seguridad: las cámaras de seguridad captan imágenes personales tanto de los clientes como de tus empleados. Por esta razón, independientemente de otra normativa que también les puede afectar, tu bar tendrá que adaptarse al Reglamento General de Protección de Datos.

– Si tienes información de contacto personal de tus proveedores. En este caso (suele suceder, sobre todo, en el caso de los comerciales, que te dan información de contacto personal) tendrás que adaptarte también al RGPD. Antiguamente la información relacionada con el trabajo no se regía por la Ley de Protección de Datos, pero el nuevo reglamento europeo hace esta distinción de manera tácita.

– Si tienes información de contacto de tus clientes. Si tu bar tiene, por ejemplo, un grupo de whatsapp (donde tienes los números de teléfono de tus clientes, que es información personal), o bien correos electrónicos, deberás adecuar tu negocio al nuevo reglamento.

– Si tienes una página web donde recabas datos de tus clientes. En este caso, que suele ser habitual en bares que han desarrollado una web donde ponen sus menús, servicios, fotos, etc. (¿no tienes web? Contacta con nosotros, tenemos algo que te puede interesar), necesitaremos también cumplir con la normativa de protección de datos.

Mi bar tiene un grupo de Whatsapp, ¿tengo que hacer algo?

Como hemos comentado, el haber creado un grupo de Whatsapp para tu bar recopila los teléfonos de los clientes. Esta información forma parte de los datos personales protegidos por el reglamento. Si no cumplimos con el mismo nos arriesgaremos a sufrir una sanción por parte de la Agencia Española de Protección de Datos.

¿Cuánto me pueden multar si mi bar no cumple el RGPD? ¿Qué sanciones hay para bares?

El Reglamento General de Protección de Datos reconoce varios tipos de sanciones en función de qué parte del reglamento se incumpla. Estas pueden llegar a alcanzar los 20 millones de euros en los casos más graves, aunque no se han dado caso todavía de multas tan elevadas para bares.

En cualquier caso cumplir con el RGPD es sencillo a priori en el caso de los bares, y desde luego, la reducción del riesgo de sanción que puedes sufrir merece la pena.

¿Tengo que hacer algo si mi bar ya cumplía la anterior Ley Orgánica de Protección de Datos?

En el caso de que tu bar ya haya invertido para cumplir la anterior normativa de Protección de Datos es posible que tengas que hacer pocos cambios. Aún así, teniendo en cuenta que la norma es sensiblemente diferente, hay que revisar lo que existe para actualizarlo. De esta manera reduciremos la posibilidad de que suframos una sanción.

Fuente: reduce.es

El Instituto Municipal de Consumo de Madrid interpuso reclamación ante la Agencia Española de Protección de Datos, contra Cerrajeros Open Door (CERRAJEROSMADRID-OD.COM).

La reclamación se fundamentaba en la recogida de datos por parte de la empresa denunciada sin esta cumplir debidamente con el deber de información, según menciona el art.13 del RGPD.

La AEPD ha resuelto que la denunciada incurrió en una infracción del artículo 13 del RGPD en relación con los artículos 5 y 6 de dicho texto legal, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento.

Además, ha requerido que en un plazo de un mes a partir de la notificación acredite la adopción de medidas para actualizar su “Política de Privacidad” a la normativa vigente en materia de protección de datos personales, y que garanticen en concreto lo siguiente: “la adopción de las medidas necesarias para actualizar su “Política de Privacidad” a la normativa vigente en materia de protección de datos personales, -Reglamento (UE) 2016/679 (RGPD)-, adecuando la información ofrecida a las exigencias contempladas en el artículo 13 del RGPD, debiendo facilitar a los usuarios, con carácter previo a la recogida de los datos personales de los mismos, toda la información exigida en el citado precepto, para lo cual deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento, así como lo indicado en el artículo 5 del RGPD en lo relativo a la finalidad del tratamiento y plazo de conservación de los datos.”

AEPD PS/00352/2019: https://www.aepd.es/es/documento/ps-00352-2019.pdf

Fuente: AEPD, Edora

Aviso a navegantes. La Agencia Española de Protección de Datos (AEPD) ha impuesto a Vueling una sanción de 30.000 euros por instalar cookies en los equipos de los usuarios de su página web sin su consentimiento. La multa, no obstante, se ha visto posteriormente reducida a 18.000 euros después de que la compañía reconociera su responsabilidad y procediera al pago voluntario de la cuantía. Según consta en la resolución, la aerolínea no permitía que se denegara su instalación si no se hacía a través de las opciones del navegador; asimismo, tampoco daba la opción de retirar el consentimiento anteriormente prestado.

La multa es relevante porque la falta de opciones para configurar la política de cookies es uno de los defectos de los que aún adolecen muchas webs en materia de privacidad. Una conducta que infringe el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información (LSSI) de “los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos”. Una infracción que la misma norma califica como leve.

Según la resolución de la AEPD, en la página web inspeccionada se apreciaban dos capas de información sobre las cookies. En la primera, el aviso de las mismas informaba de que estas se utilizaban “para recordar tus preferencias, elaborar estadísticas de uso y ofrecerte publicidad basada en tus hábitos de navegación. Si continúas navegando, consideramos que aceptas su uso. Puedes obtener más información al respecto consultando nuestra Política de Cookies“, con un enlace a la misma e incorporando la opción “Aceptar y continuar navegando”.

En la segunda capa (dentro de la política de cookies) se informa sobre qué son las cookies y cuáles se usaban. También se comunicaba que la empresa podía utilizar “por sí misma o a través de terceras webs: beacons, Pixel tags y Local storage, para realizar evaluaciones y cálculos estadísticos sobre datos anónimos, así como para garantizar la continuidad del servicio o para realizar mejoras en sus sitios web”. Además indicaba que “dicha información no será utilizada para ninguna otra finalidad” así como que, “puede utilizar cookies de análisis de terceros”.

Consentimiento implícito

Es decir, como explica la resolución, “si se accede a la segunda capa, el consentimiento a que se cedan datos a terceros a través de cookies es implícito, ya que en ningún momento da la opción de poder oponerse a la instalación de estas en el dispositivo o de cualquier otra cookies”. Por el contrario de remite a la configuración de los navegadores para eliminarlas o bloquearlas, “no ofreciendo la posibilidad de denegar el consentimiento para el uso de cookies o de retirar el prestado, si no es a través de las opciones del navegador”. Una aceptación tácita que el organismo considera que contraviene la LSSI y la nueva normativa de privacidad.

Por todo ello, la AEPD determina que la aerolínea “no facilita un sistema de gestión o panel de configuración de cookies que permita al usuario eliminarlas de forma granular”. Para facilitar esta selección, resalta el organismo, el panel podría habilitar un mecanismo o botón para rechazar todas las cookies, otro para habilitar todas las cookies o hacerlo de forma granular para poder administrar preferencias. A este respecto se considera que la información ofrecida sobre las herramientas proporcionadas por varios navegadores para configurar las cookies sería complementaria a la anterior, pero insuficiente para el fin pretendido de permitir configurar las preferencias en forma granular o selectiva.

Fuente: El País

La entrada en vigor el nuevo Reglamento General de Protección de Datos (RGPD) está transformando la forma en la que las pequeñas y medianas empresas manejan los datos de sus clientes, proveedores y empleados. Especialmente en sectores con información más sensible. Profundizamos ahora en un concepto difuso y que trata de salvaguardar las mejores actuaciones posibles sobre la información que los usuarios facilitan a las corporaciones. Pero, a su vez, genera ciertas complicaciones a las compañías.

El principio de responsabilidad proactiva

El principio de responsabilidad proactiva es un concepto vinculado a la figura del responsable del tratamiento de datos personales, a través del cual se establece que son aquellos quienes, además de aplicar las medidas para cumplir la normativa, deben preocuparse por garantizar y demostrar que, en efecto, las aplican y cumplen.

De este modo, la implicación de estos responsables deberá estar patente, como parte del cumplimiento del reglamento.Según recoge la página web de la Agencia Española de Protección de Datos, debe ser explícito este interés por aplicar las medidas que se prevén en el Reglamento. Hasta el punto de que es exigible, por este principio, demostr

ar ante las autoridades que, efectivamente, hay una actitud proactiva y diligente para proteger los datos.

¿Y qué significa esto?

En otras palabras, implica que si se quiere evitar sanciones económicas hay que cumplir con este principio, ya que no bastará con limitarse a cumplir la normativa.Es necesario demostrar que se están adoptando acciones para prevenir cualquier riesgo. La propia página de la Agencia esgrime una serie de pasos que podrían servir como ejemplos de que se está procediendo de forma diligente.

Entre ellas, establecer un adecuado registro de actividades en el tratamiento de los datos que se recaban en la organización empresarial. También medidas para proteger la información por defecto, así como un análisis de riesgos que pueden derivar en pérdidas de datos o una mala utilización de los mismos por cualquiera de las personas de la empresa que acceden a ellos. Y, por supuesto, frente a cualquier agresión externa. Adoptando las medidas de seguridad oportunas, y notificando a las autoridades pertinentes cualquier ataque, fallo o vulneración de la seguridad establecida.

Las evaluaciones constantes y la adhesión de los responsables del tratamiento a códigos éticos de conducta, certificaciones o cualquier otro mecanismo para corroborar la capacidad adecuada para la gestión segura de la información también entrarán dentro de las medidas de responsabilidad proactiva que exige la normativa.

Por eso contar con un servicio de consultoría en protección de datos es la mejor manera de demostrar que se cumple con este principio de responsabilidad proactiva y con el resto de medidas que pide la ley.

Fuente: El País

“Muévete rápido y rompe cosas”

No contento con controlar casi todo lo que uno hace en Internet, ahora Facebook también quiere leer nuestra mente. El gigante de las redes sociales ha dado a conocer no hace mucho un avance en su plan para crear un dispositivo que lea las ondas cerebrales de la gente y le permita escribir con solo pensarlo. Y Elon Musk quiere ir aún más allá. Otra de las empresas del jefe de Tesla, Neuralink, está diseñando un implante cerebral para conectar la mente de la gente directamente a un ordenador.

Musk reconoce que se inspira en la ciencia ficción y que quiere asegurarse de que los humanos pueden “seguirle el ritmo” a la inteligencia artificial. Parece que se ha perdido la parte de la ciencia ficción que advierte de las repercusiones de la tecnología.

Estos sistemas para leer la mente podrían afectar nuestra privacidad, seguridad, identidad, igualdad y protección personal. ¿De verdad queremos que todo eso dependa de empresas con filosofías como la del antiguo mantra de Facebook “muévete rápido y rompe cosas”?

Aunque suenan futuristas, las tecnologías necesarias para fabricar dispositivos que lean las ondas cerebrales no son tan diferentes de las herramientas corrientes para las Imágenes por Resonancia Magnética (IRM) y la Electroencefalografía (EEG) que utiliza la neurociencia en hospitales de todo el mundo. Ya se puede adquirir un equipo para controlar un dron con la mente, así que, en cierto modo, utilizar uno para escribir palabras, no es un paso tan grande. El avance probablemente estará en el uso del aprendizaje de las máquinas para rebuscar entre enormes cantidades de datos recabados por nuestro cerebro y encontrar patrones en la actividad neuronal que unan los pensamientos con palabras específicas.

Estos sistemas para leer la mente podrían afectar nuestra privacidad, seguridad, identidad, igualdad y protección personal

Es probable que se tarde mucho más en desarrollar un implante cerebral y es importante separar los verdaderos logros de Neuralink del bombo y la promoción en los medios. Pero Neuralink ha conseguido avances simultáneos en materiales para electrodos y en la cirugía asistida por robot necesaria para implantarlos, y ha empaquetado diligentemente la tecnología para que se pueda leer con un USB.

Puede que los planes de Facebook y Neuralink se desarrollen a partir de la práctica médica existente. Pero cuando las empresas recopilan pensamientos directamente de nuestros cerebros, los problemas éticos son muy diferentes.

Cualquier sistema que pueda recabar datos directamente de nuestros cerebros supone un claro riesgo para nuestra privacidad. La privacidad se basa en el consentimiento. Pero es muy difícil dar un consentimiento como es debido si alguien está pinchando directamente nuestros pensamientos. Las empresas de Silicon Valley (y los Gobiernos) ya reúnen subrepticiamente todos los datos que pueden sobre nosotros y los utilizan de formas que preferiríamos que no utilizasen. ¿Hasta qué punto podemos estar seguros de que nuestros pensamientos aleatorios y personales no serán captados y estudiados juntos con las instrucciones que queremos dar a la tecnología?

Discriminación y manipulación

Uno de los problemas éticos que tiene en la actualidad la recopilación de datos es la discriminación basada en atributos como el género o la raza que se pueden deducir de los datos. Crear una ventana al interior de la mente humana podría hacer más fácil determinar otros factores que podrían dar lugar a prejuicios, como la sexualidad o la ideología política, o incluso diferentes formas de pensar que podrían incluir cosas como el autismo.

Con un sistema que pincha directamente nuestro cerebro, no solo podrían robarnos nuestros pensamientos, sino que también es posible que además pudieran manipularlos. Ya se está desarrollando la estimulación cerebral para ayudar a tratar el Trastorno por Estrés Postraumático (TEPT) y reducir la violencia. Incluso hay afirmaciones sensacionalistas según las cuales se puede usar para transmitir conocimientos directamente como en la película Matrix.

Un paso previsible sería combinar las tecnologías “internas” y “externas” en una interfaz bidireccional cerebro-ordenador. Las posibilidades que tendrían los Gobiernos para volvernos más conformes, para que quienes nos contratan nos obliguen a trabajar más duro, o para que las empresas nos hagan querer más productos suyos subrayan hasta qué punto deberíamos tomarnos esta tecnología en serio.

Elon Musk ha declarado que el enorme préstamo necesario para financiar la cirugía de Neuralink se vería contrarrestado por las posibles ganancias para los “mejorados”. La sola idea de que la gente se vea presionada para asumir enormes deudas con el fin de hacerse la cirugía para mantener su empleo procede directamente de una distopía de ciencia ficción.

Por si fuera poco, existe la amenaza física más directa de tener sistemas que invadan físicamente nuestro cerebro. Aunque puede que algunas personas quieran modificar su cerebro con la interfaz de un ordenador (ya hay muchos biohackers experimentales), desarrollar esto a gran escala exigiría una experimentación masiva e intensa.

Dada la reputación que tiene Silicon Valley de romper cosas (y la tendencia a hacerlo) en lugar de pararse a pensar en ellas, estos sistemas necesitarán una regulación minuciosa y una revisión ética antes de que empiecen las pruebas. De lo contrario, se arriesga a crear cobayas humanos mutilados.

Pese a todo, podría haber enormes ventajas en continuar la investigación en esta área, especialmente en el caso de quienes sufren parálisis o discapacidad sensorial. Pero Silicon Valley no debería poder dictar la manera en que se desarrollan y se utilizan estas tecnologías. Si lo hace, puede que reconfigure radicalmente la forma en que nos identificamos como humanos.

Fuente: El País

Los ciudadanos españoles han remitido en los últimos cinco años casi 77.000 peticiones de derecho al olvido, tras la sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 2014 que permite solicitar que su información personal no aparezca indexada en los buscadores cuando esta no sea pertinente o esté obsoleta.

A nivel europeo, España es el quinto país que mayor número de reclamaciones ha emitido a grandes buscadores de Internet, como por ejemplo Google o Bing, según los datos recogidos por el grupo de abogados DAS Seguros.

Desde la sentencia de 2014 y hasta el pasado mayo Google ha recibido 802.259 solicitudes de ciudadanos europeos. De ellas, un total de 76.893 peticiones de derecho al olvido han sido emitidas por ciudadanos españoles, realizadas sobre 249.359 páginas de Internet.

A escala global, los europeos han solicitado la retirada de datos que afectaban a 3.146.435 de URL, de las que se han suprimido 1.199.955 -el 44,5% de las peticiones.

En total, el 88,6% de las solicitudes de derecho al olvido las habían iniciado ciudadanos particulares, mientras que el resto afectaban a menores de edad, empresas, políticos o personas públicas.

Cómo ejercerlo

Para poder ejercer el derecho al olvido, se recomienda presentar una solicitud al buscador a través del formulario para solicitar la retirada de información personal que Google ofrece en Internet, y también a aquella página de un tercero que haya publicado la información.

En el caso de no obtener respuesta o de que esta no sea adecuada, se podrá reclamar ante la Agencia Española de Protección de Datos, concluye el grupo de abogados.

Fuente: El Periódico

Adecuarse a la normativa de Protección de Datos a coste cero es posible. Pero, probablemente, ilegal. Por esta razón, las autoridades vigilan tanto a PYMES como Autónomos.

Así lo entiende la Agencia Española de Protección de Datos, quien junto a la Seguridad Social y la Agencia Tributaria, han realizado un documento que advierte sobre este fraude.

¿Coste cero para Protección de Datos en PYMEs?

Se le conoce como ‘coste cero’. Consiste en ofertar servicios para que las empresas se amolden a la normativa de protección de datos, a un precio muy bajo o de forma gratuita,. El truco o fraude es que se abonan mediante fondos destinados a formación para trabajadores. La Agencia Española de Protección de Datos (AEPD) alerta a pymes y autónomos de los riesgos de esta práctica. Tanto por incumplimiento de la norma como por sanciones que puedan recibir por utilizar esta metodología. Ya que esos fondos de formación no fueron creados para esta cuestión.

Por esta razón, las autoridades vigilan a PYMES y Autónomos y la AEPD advierte de que las ofertas que pueden entrañar un fraude habitualmente son emitidas por parte de consultorías y empresas. Según explican en un comunicado, se dirigen hacia las pymes y autónomos, empleando para ello el temor a las sanciones establecidas en el Reglamento General de Protección de Datos.

Suplantación de identidad frente a Pymes y Autónomos

En muchos casos se hace creer a pymes y autónomos que están obligadas a designar un delegado de protección de datos u ofrecer servicios innecesarios para los tratamientos que realiza la empresa.

Asimismo, hace referencia a otro tipo de prácticas agresivas como intentar suplantar la identidad de la Agencia en las comunicaciones que se realizan, para llevar a cabo prácticas comerciales en las que se coarte el poder de decisión de los destinatarios, mediante la referencia a sanciones por incumplir la normativa.

Para contrarrestar esta situación, la Agencia recuerda tanto a pymes como a autónomos que a la hora de contratar servicios para adecuarse a la normativa en materia de protección de datos, se aseguren de que éstos no incurren en las prácticas mencionadas con anterioridad.

Informar a los responsables

Por otro lado, la AEPD ha puesto a disposición de las pymes y autónomos una serie de canales para informar de este tipo de casos. En este sentido, detallan el Canal INFORMA, para dar cuenta de la situación a los responsables; y el de Atención al Ciudadano, para los ciudadanos.

Fuente: El País

Para más información y ayuda, contáctenos aquí.

La justicia rechaza que, de forma general, la empresa pueda acceder al historial de navegación del ordenador de sus empleados para controlar su desempeño laboral. En una reciente sentencia, el Tribunal Superior de Justicia (TSJ) de Andalucía establece que el listado de páginas web consultadas por el trabajador se encuentra protegido por el derecho a la protección de datos. En consecuencia, declara nula la prueba obtenida por una compañía que extrajo de la computadora las webs visitadas, información sobre la que sustentó el despido del afectado.

Según se relata en la resolución, tras constatar una reducción muy notable del rendimiento del empleado (la dirección aseguró que su producción había disminuido al 10%), el empresario consultó el historial de navegación del ordenador del taller en el que trabajaba. La investigación interna reveló una media de 130 accesos diarios a webs que nada tenían que ver con el trabajo, como páginas de contenido sexual, decodificadores de canales de pago o casas de apuestas online, datos que la compañía expuso en la carta de despido.

El juzgado de primera instancia declaró el cese procedente por “abuso de confianza y transgresión de la buena fe contractual”. Sin embargo, el TSJ andaluz rechaza dichos argumentos y estima que se ha producido la vulneración de los derechos del trabajador.

Según recuerdan los magistrados, el Tribunal Supremo rechazó en litigios anteriores que las compañías pudieran acceder a los archivos personales guardados en los ordenadores de trabajo o al email de los empleados. En este sentido, en relación con el uso privado los medios electrónicos en el ámbito del trabajo, explican, existe una “expectativa razonable de confidencialidad” que solo puede decaer si la empresa informa al trabajador de que puede acceder a ellos para controlar su actividad.

En este caso, concluye la sentencia, al no haberse establecido una prohibición expresa en el contrato de trabajo o en el convenio colectivo regulador, ni tampoco existir una comunicación al empleado informándole de que la empresa podía acceder al historial de navegación, dicha expectativa de confidencialidad permanecía intacta. Por lo tanto, el TSJ entiende vulnerado el derecho a la protección de datos (18.4 de la Constitución), por lo que la prueba debe ser declarada nula y debe repetirse el juicio en la instancia anterior teniendo en cuenta esta circunstancia.

Nueva LOPD

La sentencia del tribunal andaluz no desconoce la nueva Ley Orgánica de Protección de Datos, en vigor desde el 7 de diciembre, pero que no resulta de aplicación a este caso por tratarse de hechos anteriores. Sin embargo, la resolución del caso, a la vista del artículo 87 de la nueva norma (Derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral), no hubiera sido muy distinta.

Dicho precepto determina que “el empleador podrá acceder a los contenidos derivados del uso de medios digitales facilitados a los trabajadores a los solos efectos de controlar el cumplimiento de las obligaciones laborales o estatutarias y de garantizar la integridad de dichos dispositivos”. Para ello, la empresa deberá establecer criterios de utilización de los dispositivos digitales respetando, en todo caso, los estándares mínimos de protección de su intimidad de acuerdo con los usos sociales y los derechos reconocidos constitucional y legalmente. Asimismo, “el acceso por el empleador al contenido de dispositivos digitales respecto de los que haya admitido su uso con fines privados requerirá que se especifiquen de modo preciso los usos autorizados y se establezcan garantías para preservar la intimidad de los trabajadores, tales como, en su caso, la determinación de los períodos en que los dispositivos podrán utilizarse para fines privados. Los trabajadores deberán ser informados de los criterios de utilización a los que se refiere este apartado”.

Una reciente resolución de la Agencia Española de Protección de Datos (AEPD) ha sancionado a un bar  en Madrid (Tetuán) por contar con un sistema de videovigilancia y no estar adaptado a la normativa en protección de datos 679/2016 RGPD.

La inspección fue llevada a cabo por miembros de la Policía Municipal del Ayuntamiento de Madrid, los cuales requirieron la documentación pertinente.

Dicha documentación no fue aportada, iniciándose a posteriori un procedimiento por parte de la autoridad de control (AEPD) para determinar si se cumplían o no las medidas técnicas y organizativas para cumplir con la protección de datos.

La AEPD ha determinado una sanción de apercibimiento a la empresa responsable, requiriéndoles además a:

1. Colocar en las zonas videovigiladas, al menos, un distintivo informativo ubicado en lugar visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. De haber varios accesos al espacio videovigilado, el reseñado distintivo deberá colocarse en cada uno de los mismos.
2. El distintivo de zona videovigilada deberá informar, al menos, sobre la existencia del tratamiento de videovigilancia, la identidad y datos de contacto del responsable del tratamiento o del sistema de videovigilancia y la posibilidad de ejercitar los derechos reconocidos en los artículos 15 a 22 del RGPD. Dicha información también podrá incluirse mediante un código de conexión o dirección de internet que dirija a la misma.
3. Mantener a disposición de los interesados el resto de la información que debe facilitarse a los afectados en cumplimiento del derecho de información regulado en el Reglamento (UE) 2016/679, de 27 de abril de 2016.

Cada vez son más las empresas cumplen con la normativa en protección de datos y el deber de informar que pide la ley, pero aún quedan algunas rezagadas que, vistos los precedentes, están muy expuestas a fuertes sanciones por parte de la AEPD.

Si tienes una empresa, tratas datos personales y aún no te has adaptado, ponte en contacto con nosotros y te asesoramos.

Haz click aquí para ver la resolución completa.

Fuente: AEPD