En estos momentos especiales suele ser típico que las empresas y/o profesionales realicemos envíos de felicitaciones navideñas, las cuales nos ayudan a dar una imagen mucho más humana y cercana para con clientes.
Sin embargo, no debemos olvidar que la dirección de correo electrónico es un dato de carácter personal, que se encuentra protegido por la siguiente normativa:

-Reglamento Europeo de Protección de Datos (RGPD).

-La reciente Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales, LO 3/2018 (LOPD).

-Así como la Ley 34/2002, de Servicios de la Sociedad de la Información y comercio electrónico (LSSI), la cual tiene por objeto la regulación del régimen jurídico de los servicios de la sociedad de la información y de la contratación por vía electrónica, objeto que podemos encontrar reflejado en su propio artículo 1, a lo que debemos dejar claro que las comunicaciones comerciales por correo electrónico son un servicio de la sociedad de la información.

La LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, par-tiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera:
1. f) "Comunicación comercial: toda forma de comunicación dirigida a la promoción, direc-ta o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional."


De aquí podemos deducir que el envío por parte de una empresa o profesional de una felicitación navideña no podría escapar de esta definición, puesto que se considera como un evidente acto de promoción de la imagen. Pero pasemos a desarrollarlo:
En primer lugar, aclararemos por qué el correo electrónico se considera como un dato de carácter personal, esto es así dado que en la mayoría de los casos el correo electrónico tiene información acerca de su titular, o permite proceder a la identificación de este.


Por lo tanto, una vez que tenemos conocimiento de esto, deberemos estar muy atentos y contar con la solicitud previa o el consentimiento expreso del destinatario (artículo 21.1 LSSI):
1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo elec-trónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.”
Debemos de aplicar esto, a pesar de que resulte algo muy tentador y a la vez muy cómodo a la hora de enviar, ya que su coste es muy bajo y además con solo un “clic” estaremos enviando a toda nuestra lista de contactos.


Debemos de tener siempre en mente que sólo podremos utilizar el correo electrónico como medio para el envío de felicitaciones de Navidad a aquellos usuarios de los que dispon-gamos de un previo consentimiento para la recepción de comunicaciones comerciales.

Un punto para destacar de la LSSI en este ámbito es el siguiente:

Publicado en Blog

La Agencia Española de Protección de Datos (en adelante AEPD) ha procedido a sancionar a un médico por importe de 5.000€,sanción que deriva de la pérdida de un video se grabó el 14 de octubre de 2014, cuando la paciente afectada se sometió a una intervención quirúrgica en un hospital privado de Madrid, video que fue grabado con el fin de captar la técnica para futuros usos científicos y docentes.

En el momento en el que la paciente solicitó las imágenes grabadas al doctor, con la intención de poder contrastar opiniones de distintos facultativos sobre la operación que se le había realizado, fue cuando se encontró con una respuesta vía e-mail que ni mucho menos se esperaba, en la cual el médico le decía textualmente lo siguiente;

“Como te he comentado lamento no haber podido encontrar las imágenes de tu cirugía, pero los niños me perdieron varios pendrives y es posible que en ellos se fuera tu intervención”

Fue a partir de este momento cuando la afectada decidió denunciar al facultativo, entendiendo que este había actuado con una grave falta de diligencia y dejando en manos de la AEPD la valoración de la tipología de falta cometida, cabe en este punto traer a colación los tipos de infracciones que encontramos reguladas en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (en adelante LOPD) , dedica en concreto en su artículo 44 la regulación de los Tipos de infracciones, refiriéndose en su punto 1º a que estas pueden ser de distintos tipos dependiendo de lo acaecido en cada caso concreto:

“Las infracciones se calificarán como leves, graves o muy graves”

Respecto a esto, la AEPD determinó en el Acuerdo de Inicio del expediente sancionador que los hechos enjuiciados fueron calificados como una infracción del artículo 9.1 LOPD:

“El responsable del fichero, y, en su caso, el encargado del tratamiento deberá adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.”

Se hace en relación con el artículo 102 del RLOPD 1720/2007, sobre las copias de respaldo y recuperación. Ampliándose con el artículo 106 del RLOPD sobre los criterios de archivo, que dice deberán, entre otras cosas, posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación.
Esto supone una infracción grave, como ya hemos adelantado anteriormente en referencia a la LOPD, y que trae aparejadas consigo multas que van de los 40.001 a los 300.000 euros.

Para intentar evitar esta sanción el médico formuló una serie de alegaciones, entre las cuales nos gustaría destacar las siguientes:

Publicado en Blog

 

Para finalizar el estudio y análisis de la guía publicada por la Agencia Española de Protección de Datos (en adelante AEPD) el pasado mes de junio sobre el uso de videocámaras para seguridad y otras finalidades, en el presente artículo vamos a proceder a comentar las dos últimas cuestiones que aborda la AEPD en relación al tratamiento de imágenes a través de las tecnologías emergentes, mediante las denominadas cámaras “on board” y mediante el uso de drones; así como aquellos supuestos donde, a pesar de producirse un tratamiento de imágenes, la normativa de protección de datos no sería de aplicación.

Respecto del tratamiento de imágenes a través de las tecnologías emergentes, se procede a un breve análisis de los tratamientos de las cámaras “On board” y del uso de drones, remitiendo la Guía a una serie de informes jurídicos que permiten ampliar la información de ambos supuestos.

  • Las llamadas cámaras on “board”, son aquellas que se encuentran instaladas en el interior de los vehículos, o bien en el casco del conductor, y cuya finalidad reside en ir grabando el recorrido realizado. Señala la guía una serie de supuestos a los que debemos atender:

    - Cuando éstas se utilizan con finalidades domésticas, se encontrarían excluidas del ámbito de aplicación del Reglamento General de Protección de Datos (en adelante RGPD), salvo que tales grabaciones fueran difundidas en las redes sociales, supuesto donde el Reglamento pasaría a ser de plena aplicación.

    - La Guía hace una especial mención a las grabaciones y captaciones de imágenes en el exterior de los vehículos cuando la finalidad sea la obtención de algún tipo de prueba, a fin de denunciar alguna posible infracción de tráfico. El informe jurídico que se recoge en la Guía da respuesta a esta cuestión, planteando asimismo si tales tratamientos serían o no conformes al RGPD.
    Los sistemas de videovigilancia, al considerarse un tratamiento de datos personales en virtud de los artículos 1.1 y 1.2 del RGPD, han de contar con una fuente de legitimación que ampare dicho tratamiento, previa realización de un juicio de ponderación en aras de determinar qué derecho ha de prevalecer sobre el otro. El interés legítimo, recogido en el art. 6 apartado f) RGPD podría operar siempre y cuando traiga cobertura del derecho de la tutela judicial efectiva.
    Si bien es cierto que la LO 4/1994, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de seguridad en lugares públicos les atribuye competencia exclusiva para la instalación de videocámaras en lugares públicos, podría legitimarse dicho tratamiento de captación de imágenes siempre y cuando se garanticen los principios de limitación y minimización de datos, recogidos en el RGPD. en virtud del art. 5 RGPD .

A pesar de encontrarse dicho tratamiento amparado por el principio de la tutela judicial efectiva, debemos puntualizar que este derecho ha de concretarse de algún modo. El informe de la AEPD de 13 de abril de 2015 expone algunos supuestos :

Publicado en Blog

Ante el retraso en la tramitación parlamentaria del Proyecto de la nueva Ley Orgánica de Protección de Datos, el 27/7/2018 el consejo de ministros aprobó un Real Decreto-Ley que deroga el régimen sancionador de la Ley Orgánica 15/1999, adaptando la legislación española al régimen sancionador del RGPD.

El Real Decreto-ley ha sido publicado en el BOE el 30/7/2018, con entrada en vigor al día siguiente. En todo caso, el RDL establece que los procedimientos iniciados con anterioridad a su entrada en vigor se regirán por la normativa anterior, salvo aquellas disposiciones más favorables para el interesado.

El RDL regula aspectos como el funcionamiento de los procedimientos de la Agencia Española de Protección de Datos, la tramitación de las reclamaciones, y la remisión de la reclamación a otra Autoridad de control si la Agencia Española considerara que no tiene la condición de autoridad de control principal.

Publicado en Blog

Actualmente internet nos permite encontrar y conocer a la mayoría de las empresas o entidades, que hacen de su página web su primera pantalla de presentación, y en la que es fundamental proporcionar una información, clara, precisa y sencilla que reforzará la imagen de la empresa ante los potenciales clientes.

Pero, ¿qué textos legales ha de incluir una página web?

En gran cantidad de portales web podemos ver, habitualmente anclados en su parte inferior, un Aviso Legal, Política de Privacidad y Política de Cookies.

Si bien es cierto que acostumbramos a ver estos tres textos juntos, es importante saber que la adecuación legal de una página web deriva por una parte de la normativa aplicable en materia de protección de datos, y por otra parte de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI).

Normativa en materia de protección de datos.

Respecto de esta materia, es necesario centrar nuestra atención en la obligación de informar a los interesados cuando se recaben sus datos de carácter personal.

Ya la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), establecía en su artículo 5 las obligaciones respecto de la información que se ha de facilitar a los interesados en el momento en que se soliciten sus datos:

 La existencia del fichero o tratamiento, su finalidad y destinatarios.
 El carácter obligatorio o no de la respuesta, así como de sus consecuencias.
 La posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
 La identidad y datos de contacto del responsable del tratamiento.

Sin embargo, ya ha sido objeto de análisis en este Blog (ver aquí), que el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante RGPD), añade requisitos adicionales en cuanto a la necesidad de informar a las personas interesadas, incorporando, en líneas generales, los siguientes detalles:

 Los datos de contacto del Delegado de Protección de Datos, en su caso.
 La base jurídica o legitimación para el tratamiento.
 El plazo o los criterios de conservación de la información.
 La existencia de decisiones automatizadas o elaboración de perfiles.
 La previsión de transferencias a Terceros Países.
 El derecho a presentar una reclamación ante las Autoridades de Control.

Ahora bien, ¿cómo se puede facilitar toda esta información al interesado?

Publicado en Blog

¿Alguna vez te has preguntado como tratar los datos que aparecen reflejados en la tarjeta de contacto facilitada por un profesional?.

La consideración como datos de carácter personal de los, por todos conocidos, datos de contacto profesionales ha ido variando a lo largo de las diferentes regulaciones españolas en materia de protección de datos de carácter personal. Pongámonos en situación:

1. Situación actual en la Ley Orgánica de Protección de datos 15/1999 (en adelante, LOPD) y el Real Decreto 1720/2007 (en adelante RDLOPD) que la desarrolla.

El artículo 2.1 de la LOPD, establece que dicha ley será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, (…) entendiendo como datos de carácter personal cualquier información concerniente a personas físicas identificadas o identificables (artículo 3 LOPD).

Esta consideración fue igualmente recogida por el RDLOPD al establecer, en su artículo 2, que la LOPD sólo aplica al tratamiento de datos realizado respecto de personas físicas.

Sin embargo, nos encontramos con determinados datos de carácter personal relativos a personas físicas identificadas o identificables, cuyo tratamiento queda fuera del ámbito de aplicación de la normativa actual (artículo 2.2 RDLOPD):

1. Personas físicas que presten sus servicios en entidades jurídicas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales, es decir los datos que podemos encontrar en una tarjeta de visita.

2. Empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o naviero.

En consecuencia, resulta clara la exención del régimen de protección de datos de la LOPD y el RDLOPD los datos de contacto profesionales.

Así lo ha venido ratificando la Agencia Española de Protección de Datos, en sus diversas resoluciones como por ejemplo la resolución de fecha 27 de febrero de 2001. e informes jurídicos de entre los que destacamos: Informes 0038/2010 y 0443/2008.

Pero, ¿cuál será el régimen de protección que tendrán los datos de contacto de profesionales, una vez comience a ser plenamente exigible el Reglamento General de Protección de Datos (en adelante, RGPD)?

Publicado en Blog

¿Alguna vez te han incluido en un fichero de morosos, o te has preguntado qué requisitos tienen que darse para que puedan hacerlo?

Este tipo de registros pueden ser un recurso asequible para las empresas a la hora de valorar la relación con un posible cliente, sin embargo, no siempre se sigue el procedimiento adecuado al incluir una deuda en estas listas, cuestión que puede generar consecuencias negativas para la intimidad y el honor de la persona señalada como deudor.

Precisamente en el caso presente, el TS dictó sentencia el pasado 23 de abril condenando a una empresa de recobro a indemnizar con una cuantía de 10.000 euros por daños morales causados a una exclienta de Vodafone, cuyos datos incluyó en dos registros de morosos de forma ilícita por una deuda de 200 euros (STS 174/2018).

La sentencia relata que Vodafone cedió a la empresa de recobro Sierra Capital 2012, S.L. (en adelante Sierra Capital), un crédito que afirmaba tener frente a su exclienta, parte demandante en este asunto. Posteriormente, Sierra Capital remitió comunicación a la afectada informando de la cesión de crédito y reclamando el pago de la cuantía indicada, con la advertencia de que en caso de impago, procedería a la inclusión de sus datos en un registro de morosos.

Ante esta comunicación, la demandante realizó el pago parcial de la cantidad reclamada por no estar conforme con las penalizaciones que se le pretendían cobrar, por lo que Sierra Capital comunicó los datos de la demandante a dos ficheros de datos de solvencia patrimonial, por una deuda de 200 euros. La afectada tuvo conocimiento de que la habían incluido en un fichero de morosos cuando al solicitar una tarjeta de crédito, esta le fue denegada.

Actualmente es la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD) en su artículo 29, y los artículos 37 a 44 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante RLOPD) la normativa que regula el tratamiento de datos de carácter personal en los ficheros de información sobre solvencia patrimonial y crédito.

En concreto, el artículo 38 del RLOPD establece algunos de los requisitos para que la inclusión de una deuda sea lícita:

Publicado en Blog

Cada vez más, los gigantes tecnológicos como Google o Facebook, se convierten en el foco de atención, entre otras cuestiones, con motivo del tratamiento de datos que realizan respecto de sus millones de usuarios y la forma en que lo llevan a cabo.

A este respecto, ha tenido gran repercusión mediática la resolución del procedimiento sancionador iniciado de oficio en septiembre de 2017 por la Agencia Española de Protección de Datos (en adelante AEPD), en la que la autoridad de control española impone a Whatsapp y a Facebook una multa de 300.000 € a cada una de las entidades: a Whatsapp por comunicar datos a Facebook sin haber obtenido un consentimiento válido de los usuarios y otra a Facebook por tratar esos datos para sus propios fines sin consentimiento.

Esta no es la primera vez que la AEPD analiza la comunicación de datos entre Whatsapp y Facebook, pues hemos de recordar que como analizamos en otro artículo de este Blog, en agosto de 2017 la AEPD archivó las actuaciones iniciadas a este respecto mediante expediente Nº E/04948/2016, entendiendo en aquel momento que no se vulneraba lo establecido en la normativa de protección de datos.

¿Por qué en esta ocasión la AEPD sí ha sancionado a ambas entidades?

Para poder analizar la resolución y las consideraciones de la AEPD, debemos comenzar recordando que en el año 2014 Whatsapp fue adquirida por Facebook Inc., y en agosto de 2016 la primera entidad actualizó los términos de su servicio y la política de privacidad, introduciendo cambios como el hecho de compartir información de los usuarios de Whatsapp con Facebook.

Publicado en Blog

Recientemente, una de las autoridades de control de protección de datos en España, la Autoridad Catalana de Protección de Datos (en adelante ACPD), se ha pronunciado, a través de una resolución a su procedimiento sancionador 22/2017, poniendo en jaque una práctica altamente extendida en nuestra sociedad: la anotación de contraseñas de acceso a nuestra información, en un soporte físico a la vista de terceros.

En una era de los medios digitales como la actual, en la cual las contraseñas de acceso a la información almacenada en nuestros ordenadores, correos electrónicos y otros servicios, configuran nuestro llavero virtual y cuando la confianza en nuestra memoria entra en juego, ¿quién no ha optado, en alguna ocasión, por un “cómodo” almacenamiento escrito de las contraseñas en aras de evitar hacer uso del molesto “¿Ha olvidado su contraseña?”.

Por todos es sabido que este método de almacenamiento de las contraseñas no es el más adecuado en lo que a seguridad de los datos de carácter personal se refiere. Sin embargo, la ACPD va un paso más allá, al considerar que esta práctica supone un acto de vulneración de una de las medidas de seguridad contempladas en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica de Protección de datos (en adelante, RDLOPD y LOPD).

En concreto, supondría la vulneración de la medida de seguridad prevista en el capítulo III, artículo 93.3 del RDLOPD: “Identificación y autenticación” que se pronuncia en los siguientes términos: "3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas, debe haber un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad

Publicado en Blog

Todo comenzó con motivo de una cena de navidad, el denunciante a principios de diciembre de 2016 realizó una reserva para cenar en el restaurante denunciado, para un día tan señalada como el 31 de diciembre. Tal y como se describe en los antecedentes de la Resolución AEPD /02302/2017 el restaurante denunciado y días previos a la cena creó un grupo de Whatsapp con la identidad de los asistentes, las mesas donde se iban a sentar cada uno y las personas que le acompañaban. Ante este hecho, el denunciante decidió salir de forma voluntaria del grupo al que había sido incluido. Aunque de nada le sirvió, pues fue incluido nuevamente por el administrador y además recibió un mensaje privado donde le indicaban que si salía del grupo se anularía su reserva. 

Recibida la denuncia la AEPD procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, pro todos los intentos de comunicación con el restaurante infractor o sus responsables fueron fallidos. La AEPD siguiendo el procedimiento, acordó someter a trámite de audiencia previa un procedimiento de apercibimiento, tras comprobar que la entidad denunciada no tenía antecedentes de sanciones y apercibimientos precedentes.

¿Qué fundamentos de derecho se dan en el presente supuesto expuesto?

Publicado en Blog
Página 1 de 10

Nuestros Servicios

lopd

Protección de Datos

ver más +
Adec. web

Web, Apps, e-commerce

ver más +
compliance

Compliance

ver más +
mantenimiento

Seguridad de la información

ver más +
formacion

Formación

ver más +
play

prodat securityperson

DPD/DPO EXTERNALIZADO PRODAT EXTERNALIZACION DE LA FIGURA DEL DELEGADO DE PROTECIÓN DE DATOS

Prodat pone a su disposición el servicio de “DPO externalizado”. Prodat DPO realiza todas las funciones de obligado cumplimiento en algunas organizaciones públicas y privadas para que puedan concentrase en su negocio , con la tranquilidad de un servicio especializado...

prodatnou

NUEVA PLATAFORMA DE GESTION DE LA PRIVACIDAD PRODAT PRIVACY COREBOS

Como evolución natural de su anterior plataforma software de privacidad , surge para cumplir con las nuevas exigencias del RGPD Europeo
Con tecnología CoreBos y adaptada a las ventajas de los servicios en la nube. Esta herramienta constituye desde hace más de una década el corazón tecnológico de Prodat...

prodat securityformation

FORMACIÓN LA MEJOR HERRAMIENTA DE CUMPLIMIENTO RGPD

La finalidad esencial de la FORMACIÓN RGPD-PRODAT es difundir entre el personal de su organización la puesta en práctica de las reglas y procedimientos necesarios para el cumplimiento de lo establecido por la legislación vigente en materia de protección de datos principalmente adaptado a su sector de actividad...

Delegación  Galicia Delegación  Asturias Delegación Cantabria Delegación Euskadi Delegación Navarra Delegación  La Rioja Delegación Aragon Delegación Cataluña Delegación  Valencia Delegación Alicante Delegación Baleares Delegación Murcia Delegación  Castilla y León Delegación  Madrid Delegación  Castilla la Mancha Delegación  Extremadura Delegación Huelva Delegación  Cádiz Delegación Sevilla Delegación Málaga Delegación de Tenerife Delegación Las Palmas Delegación Portugal