Noticias y Actualidad

El Tribunal de Justicia de la Unión Europea (TJUE) invalida el escudo de privacidad Privacy Shield, el mecanismo legal para realizar transferencias internacionales de datos entre la UE y los Estados Unidos.   ¿Qué es y qué significaba para los usuarios el Privacy Shield?  El escudo de privacidad UE-EEUU o EU-US Privacy Shield se trataba de un acuerdo firmado entre los EE.UU. y la Unión Europea en materia de privacidad, que sustituía al antiguo marco de Puerto Seguro (o Safe Harbor), vigente hasta 2015.  Este acuerdo tenía por finalidad que las empresas norteamericanas que recopilaran datos de usuarios europeos garantizaran el cumplimiento de la normativa europea de protección de datos, aunque en la práctica, el Privacy Shield no garantizaba la protección de los ciudadanos europeos, especialmente porque EE.UU no cumplió con las exigencias de dicho acuerdo.  ¿Por qué el Tribunal de Justicia de la Unión Europea ha invalidado del escudo Privacy Shield?  Los motivos alegados por el TJUE para invalidar el acuerdo Privacy Shield se fundamentan, por un lado, en que los considerandos 67 al 135 del acuerdo se permitían el acceso a los datos personales transferidos en el marco del Escudo de Privacidad UE-EE.UU y la utilización de esos datos por las autoridades públicas estadounidenses a efectos de seguridad nacional y otros fines de interés general. Es más, el considerando 140 se expresaba de la siguiente forma:   “las injerencias de los poderes públicos de los Estados Unidos en los derechos fundamentales de las personas cuyos datos se transfieran desde la Unión a dicho país en el marco del Escudo de la privacidad a efectos de seguridad nacional, aplicación de la ley u otros fines de interés público, y las consiguientes restricciones impuestas a las entidades autocertificadas con respecto a su adhesión a los principios de privacidad, se limitarán a lo estrictamente necesario para alcanzar el objetivo legítimo perseguido, y que existe una tutela judicial efectiva frente a tales injerencias”  Está claro que la comunicación de datos de carácter personal a un tercero ya sea o no autoridad pública constituye una injerencia en los derechos fundamentales consagrados en el Reglamento General de Protección de datos en los artículos 7 y 8 de la Carta.  Y, por otro lado el siguiente motivo versa sobre la garantía del mecanismo del Defensor del Pueblo contemplado en el acuerdo marco del Escudo de Privacidad UE-EE.UU ya que éste no proporciona ninguna vía de recurso ante un órgano que ofrezca a las personas cuyos datos se transfieren a los Estados Unidos garantías sustancialmente equivalentes a las exigidas en el artículo 47 de la Carta, por lo que se desprende que el artículo 1 del Escudo de Privacidad UE-EE.UU es incompatible con el artículo 45, apartado 1, del RGPD, interpretado a la luz de los artículo 7, 8 y 47 de la Carta, y que es, por ello, inválido.  Conclusión sobre la invalidación del Escudo de Privacidad UE-EE.UU  En general, la opinión generalizada del Privacy Shield es que se queda corto a la hora de proteger los datos de los ciudadanos europeos, especialmente porque EE.UU. no ha cumplido completamente con las exigencias del propio acuerdo, y que este no es muy distinto al Safe Harbor que ya tumbó el Tribunal Europeo.  Esta sentencia nos ha dejado claro que para las empresas norteamericanas autocertificadas en el Privacy Shield ya no va a ser una herramienta para garantizar el cumplimiento de la normativa protección de datos europea, mucho más exigente en materias como el consentimiento expreso de los usuarios para el tratamiento de sus datos personales o la transferencia internacional de datos personales. Aunque es cierto que todavía sigue siendo un tema controvertido con un marco legal difuso, más exigente para las empresas europeas que para las estadounidenses.  La otra conclusión que emana de esta resolución es que se considera que Estados Unidos no es un país que pueda garantizar el cumplimiento de la normativa europea, cuestión que tiene muchas más consecuencias que la simple invalidez del Privacy Shield.  ¿Qué consecuencias va a tener la invalidación del Escudo de Privacidad UE-EE.UU y su declaración como país no garantista?  La principal consecuencia, resultará en que la certificación de Privacy Shield ya no es una garantía de cumplimiento de la normativa europea de protección de datos, por lo tanto, tendríamos que recurrir a cualquiera de las otras garantías que establece el artículo 46 del RGPD.  Sin embargo y como hemos mencionado, esto no se queda ahí. El TJUE ha ido más allá, y ha declarado que, ni siquiera recurriendo a las medidas garantizadoras de privacidad del artículo 46, se podría considerar que el tratamiento de datos en EEUU respeta la normativa europea. Por lo tanto, ningún tipo de transferencia a dicho país se va a considerar segura y se tendrá que estar en lo dispuesto en el artículo 49 del RGPD para establecer las excepciones para situaciones específicas. ¿Y esto en qué se traduce en la práctica? Pues que, en la mayoría de las ocasiones, tendremos que recurrir al consentimiento expreso del interesado para realizar una transferencia de sus datos a entidades de EEUU. Este consentimiento deberá de informar que el país donde se transferirán los datos es un país que no garantiza que sus datos sean tratados conforme a la normativa de la Unión Europea, tal y como estable el artículo 49.1, apartado a). Estamos hablando de empresas que realicen hosting, copias de seguridad, gestores de correo… muchas de las que utilizamos habitualmente en el mundo empresarial.  Desde Legitec, hemos visto esta situación en otras ocasiones, como sucedió ya con el Safe Harbor, y no dudamos de que en un futuro haya otro acuerdo similar entre la UE y EEUU. Sin embargo y mientras tanto, tendremos que ajustarnos a la normativa y a las declaraciones que puedan hacer desde nuestra Agencia Española de Protección de Datos. No dudes en consultarnos si tienes alguna situación como la que mencionamos en este post. 

¿Qué es la biometría? La biometría son las medidas biológicas o características físicas, que se pueden utilizar para identificar a las personas, algunos ejemplos son las huellas dactilares y reconocimiento facial, pero también la forma de los orejas1, las venas de las manos o incluso los contornos faciales pueden ser identificables.  Aunque esta tecnología parezca futurista ya forma parte de nuestro día a día. Por ejemplo, la tecnología de reconocimiento facial del iPhoneX de Apple proyecta 30.000 puntos infrarrojos sobre el rostro del usuario para realizar una autentificación por coincidencia de patrones, el nuevo Smartphone LGV30 combina reconocimiento facial y voz con el análisis de huellas dactilares…Incluso hay sistemas de reconocimiento facial para detectar personas inculpadas bajo sentencia firme y orden de alejamiento, como el que ha implantado como medida la cadena de supermercados Mercadona, pero… ¿qué base de legitimación tienen? ¿Afectan a nuestra privacidad? ¿Qué tan fiables son estas medidas?  ¿Qué base de legitimación tienen?  A este respecto, la Agencia Española de Protección de Datos emitió el pasado 28 de mayo, un informe sobre el uso de sistemas de reconocimiento facial dirigido a la seguridad privada y vigilancia en el que se declara que el tratamiento de datos biométricos es considerado por el Reglamento General de Protección de Datos (RGPD) como categoría de datos especiales. Una de las excepciones para legitimar ese tratamiento es que exista un “interés público esencial” que requiere, por tanto, una norma con rango de ley que justifique esta medida. En la actualidad dicha norma no existe y en el caso de que existiera tendría que justificar específicamente en qué medida y en qué supuestos la utilización de dichos sistemas respondería a un interés público esencial, cumplir con el principio de proporcionalidad y superar el principio de necesidad en el sentido de que no exista otra medida más moderada con la que se consiguiera el mismo propósito con igual eficacia, por ejemplo con el empleo de sistemas de videovigilancia que solo captan y graban imágenes y que son menos intrusivas que el reconocimiento fácil.  Si la legitimidad del tratamiento la establece de otra forma no lo conocemos en este momento. ¿Afectan a nuestra privacidad?  Teniendo en cuenta estas observaciones, la instalación de sistemas de reconocimiento facial propuesta por el supermercado Mercadona para detectar personas con “sentencia firme de orden de alejamiento del establecimiento dictada por un juzgado, con la idea de reforzar la seguridad de sus clientes y trabajadores” resulta demasiado intrusiva ya que la medida no está legitimada pero también se nos plantean otras dudas por ejemplo, cómo Mercadona va a adquirir todas la imágenes de los delincuentes cuando no es  un cuerpo de seguridad del Estado y qué es lo que va a pasar con el resto de personas analizadas, según los comunicados de Mercadona alegan que “no hay tratamiento porque las imágenes captadas se eliminan a las 0.3 segundos durante todo el proceso de identificación y descarte”, este fundamento no parece ser muy sólido, es por eso que la Agencia Española de Protección de Datos, el pasado 6 de Julio ha iniciado una investigación de oficio a Mercadona por implantar un sistema de reconocimiento facial en unos 40 supermercados de Mallorca, Zaragoza y Valencia.

Son tiempos de innovar para seguir creciendo, la situación vivida durante estos meses nos empuja a fortalecernos y ampliar horizontes con el gran equipo que contamos. Después de haber cumplido Legitec la mayoría de edad, era necesario transmitir la consolidación de nuestra marca, por ello tenemos el gusto de presentar la nueva imagen y web. Agradecemos a delefant el trabajo realizado, han sabido escuchar y atender todas nuestras demandas, estamos muy contentos con el resultado. La nueva imagen corporativa mantiene muchos de los valores e identidad de la anterior, como los colores. Sin embargo, hemos actualizado a una tipografía más moderna y simplificado el isotipo, quedando más acorde a los tiempos que corren. También hemos incluido nuevos servicios, opiniones de clientes, un calendario con nuestra oferta formativa, y una sección de Ciberseguridad. NUEVA WEB: https://legitec.com ¿Qué os parece el resultado?

El Tribunal Supremo confirma una sanción de 40.000 euros a Mutua Madrileña por enviar publicidad a un cliente que no quería recibirla Te comentamos la última sentencia del Tribunal Supremo, en la que se condena a Mutua Madrileña Automovilística por obstaculizar el ejercicio del derecho de oposición y confirma la multa de 40.000€. El derechos de oposición consiste en la facultad que tienen los interesados de oponerse, previa petición y sin gastos, al tratamiento de sus datos personales procediendo por parte de las organizaciones a la cancelación de éstos. Este derecho se hace particularmente significativo en el ámbito publicitario, donde muchas organizaciones envían de forma masiva correos ofertando sus productos o servicios. En este territorio se desarrolla esta sentencia, el conflicto se genera cuando un cliente de la Mutua Madrileña de Automóviles ejerce su derecho de oposición al tratamiento de sus datos personales con fines publicitarios, prospección comercial, segmentaciones, estudios de Marketing, campañas publicitarias, comunicación ni cesión de sus datos. Tras esta primera comunicación la Mutua sigue manteniendo los datos del interesado en su fichero. El 8 de Enero de 2013, Mutua Madrileña contrata con un tercero (Datono) una campaña de marketing por correo electrónico, y de acuerdo con el contrato, Datono asume plenamente el cumplimiento de todos los aspectos derivados de la protección de datos de carácter personal, cláusula que pretendía desplazar la responsabilidad de la Mutua Madrileña. A este respecto, el Alto Tribunal rechaza la eficacia de esta cláusula aludiendo a las responsabilidades de Mutua Madrileña por ser el responsable del tratamiento y, por lo tanto, “está obligada a procurar la efectividad de la oposición al tratamiento de datos manifestando por su cliente, aún en el supuesto de externalización de su actividad publicitaria”. Además, las medidas para asegurar la efectividad del derecho de oposición “subsisten aunque las campañas publicitarias no se realicen a partir de los datos de sus propios ficheros, sino con bases de datos de otras compañías contratadas por Mutua Madrileña, y en este caso quedó acreditado que la recurrente no comunicó a las empresas con las que contrató la realización de servicios de publicidad la oposición del denunciante a recibir publicidad de la Mutua, ni en definitiva adoptó previsión alguna para asegurar la exclusión de su cliente de los envíos publicitarios contratados con terceras entidades”. CONCLUSION: La entidad responsable del tratamiento de datos personales, ante la que se ha ejercitado el derecho de oposición, externalice o no su servicio, está obligada a adoptar las cautelas y medidas razonables para garantizar la efectividad del derecho de oposición; y una de dichas medidas puede consistir en la comunicación de los datos excluidos de tratamiento publicitario a la empresa con la que contrate la prestación de servicios publicitarios. Autor: Lucía Contreras

Tras la crisis sanitaria provocada por la Covid-19, se están llevando a cabo ciertas prácticas en el ámbito de la contratación laboral en las que se solicita como requisito a los candidatos de un proceso de selección, información sobre si han pasado la Covid-19 y como consecuencia desarrollado anticuerpos. En este sentido la Agencia Española de Protección de Datos (AEPD) se ha pronunciado para advertir de que estas prácticas constituyen una “vulneración de la normativa de protección de datos aplicable”  y como consecuencia las empresas pueden enfrentarse a graves sanciones. Realizar cualquier pregunta sobre una condición personal al candidato para el puesto de trabajo supone una discriminación que tanto la Constitución como el Estatuto de los Trabajadores prohíbe ya que atenta contra nuestra intimidad. Más concretamente en este caso, la información sobre si se ha padecido el coronavirus es un dato personal relativo a salud que el Reglamento General de Protección de Datos (RGPD) califica de categoría especial en su artículo 9, por lo que su recogida y utilización por la posible empresa empleadora está sujeta a la normativa de protección de datos. Entre las bases jurídicas que podrían fundamentar dicho tratamiento por la empresa empleadora estaría el consentimiento del interesado o el tratamiento necesario para la ejecución de un contrato en el que el candidato es parte. Sin embargo, ninguna de estas bases jurídicas podría ser aplicable en el presente caso. Veamos porqué. ¿SE PROPORCIONARÍA ESA INFORMACIÓN POR PARTE DEL CANDIDATO DE UNA FORMA LIBRE Y VOLUNTARIA A LA EMPRESA EMPLEADORA? Para que se entienda que el consentimiento es válido, debe ser una manifestación de voluntad libre, específica, informada e inequívoca. El RGPD ha dejado bien claro que el consentimiento no debe considerarse libremente prestado cuando no se goza de verdadera o libre elección o no se puede denegar o retirar su consentimiento sin sufrir perjuicio alguno. Asimismo, en el contexto que estamos tratando del proceso de selección del empleo, se puede producir un desequilibrio de poder dada la dependencia que resulta de la relación entre las partes y no es probable que la persona candidata pueda negar a la empresa el consentimiento para el tratamiento de datos sin experimentar temor o riesgo real de que su negativa produzca efectos perjudiciales para la selección del empleo. Es por tanto que el consentimiento bajo estas circunstancias no se entenderá libre. ¿SE PODRÍA SOLICITAR ESA INFORMACIÓN AL CANDIDATO A FIN DE QUE LA EMPRESA EMPLEADORA CUMPLA CON SUS OBLIGACIONES EN EL ÁMBITO LABORAL? En este contexto, solicitar información sobre el estado de inmunidad al Covid 19 por parte del empleador al candidato va más allá de las obligaciones y derechos específicos que impone a la empresa la legislación de Derecho laboral y de la seguridad y protección social, concretamente del deber de proteger a los trabajadores frente a los riesgos laborales previstos en la Ley 31/1995 de 8 de noviembre de prevención de riesgos laborales. Por un lado porque la persona interesada aún no es empleada y por ello, la empresa no tiene obligaciones o derechos específicos frente a ella en este sentido. Por otro lado, la información que pueda recabarse de estas preguntas sobre una posible inmunidad a la enfermedad, no contribuye en gran medida a la protección del resto de empleados y empleadas o de la propia persona ya que, los protocolos de prevención de riesgos laborales adoptados por las autoridades sanitarias y laborales se aplican a todo el personal por igual sin establecer excepciones a las personas que ya hayan pasado la enfermedad, orientándose en cualquier caso, a los casos sospechosos de tener la infección. No es por tanto este motivo justificado para que el empleador solicite esta información al candidato en este sentido. CONCLUSIÓN Por tanto, y una vez expuesto todo lo anterior, SI LA EMPRESA EMPLEADORA REALIZARA ESTAS PREGUNTAS EN UNA ENTREVISTA DE TRABAJO, ¿CÓMO DEBE REACCIONAR EL CANDIDATO? En todo caso, el candidato al puesto de trabajo puede y debe negarse a responder porque se trata de información innecesaria para el puesto de trabajo que se ofrece por parte de la empresa y durante la misma solo se podrían realizar preguntas que tengan relación con el puesto de trabajo que se recoge en la oferta. Si eres una empresa que va a realizar un proceso de selección es importante tener en cuenta todos estos aspectos y poder así evitar posible sanciones. Ahora más que nunca es muy importante contar con un buen asesoramiento y desde Legitec estamos a tu entera disposición para poder ayudarte en esta y otras cuestiones que precises acerca de protección de datos. ¡No lo dudes y contáctanos!

Ayer martes 9 de junio la Agencia Española de Protección de Datos nos volvió a recordar la importancia que tiene para las empresas el nombramiento de un Delegado de Protección de Datos. Y nos lo recordó de la forma que más ruido hace: a través de una sanción de 25.000 €. La empresa penalizada en cuestión ha sido Glovo, la famosa compañía que realiza envíos a domicilio. Para quien no la conozca, Glovo es una APP mediante la cual los usuarios pueden encargar a sus repartidores que le lleven a domicilio cualquier cosa: desde un pedido de comida en un restaurante a pedidos más personalizados. La empresa es denunciada por dos particulares porque no tiene nombrado y declarado un Delegado de Protección de Datos. Glovo, según la Agencia, tiene la obligación de tener nombrado un Delegado ya que maneja datos a gran escala. Aunque la Agencia no se pronuncia de una forma más detallada, se entiende a que se refiere con “gran escala” al gran nivel de usuarios que maneja ya que es una APP instaurada a nivel nacional y tiene un gran número de usuarios y empleados. Pese a que Glovo había creado previamente una Comisión de Protección de Datos en su organización para velar por una tutela de estos derechos en su organización, la Agencia no lo considera suficiente ya que objetivamente la encuentra encuadrada en la obligación de nombrar a un Delegado de Protección de Datos por tratar datos a gran escala. Es por eso que es muy importante que, si tienes una APP o una e-commerce, debes de al menos analizar y considerar si tu organización necesita tener un DPD. Porque, aunque actualmente no manejes una gran cifra de usuarios, sólo por estar abierta al ámbito nacional (incluso más, si es internacional) al tener potencialmente un gran número de usuarios probablemente te aplicará el criterio de “gran escala”. El Ayuntamiento de Huercal, apercibido. Fuera de este ámbito, pero no abandonando a los Delegados de Protección de Datos, hace unos días la Agencia Española de Protección de Datos abrió un procedimiento sancionador al Ayuntamiento de Huercal, en Almería. De igual forma que contra Glovo, un particular denunció al Ayuntamiento por no tener nombrado a un Delegado de Protección de Datos, además de otros asuntos como que los concejales del equipo de gobierno pueden acceder libremente a los datos del padrón y que personas que no tienen ningún tipo de relación laboral con el ayuntamiento tienen acceso a información relativa a datos sensibles (en concreto, en el departamento de servicios sociales). El Delegado de Protección de Datos es de obligado nombramiento para todos los Ayuntamientos y cada vez más se está viendo reflejado en las denuncias y resoluciones en la Agencia Española de Protección de Datos. No olvidemos que esta figura no se puede nombrar de cualquier forma, sino que tiene que ser una persona o empresa con una experiencia probada en protección de datos, y que pueda mantener una posición de independencia e integridad frente a la organización. Si un Delegado de Protección de Datos no cumpliese con estas características, es denunciable. Por lo que es igualmente importante que las organizaciones cumplan con estos requisitos al ir a elegir y nombrar al DPD. Desde Legitec hemos reseñado siempre la importancia de esta figura que cada día es más trascendente en las organizaciones que manejan datos personales y tenemos una gran experiencia en la implantación de esta figura en todo tipo de organizaciones. Puedes consultar con nosotros sin compromiso tu necesidad de nombrar un Delegado de Protección de Datos, estamos disponibles siempre para ayudarte. Descargar sentencia completa

La COVID-19 está generando situaciones excepcionales en todos los ámbitos de nuestra vida, tanto personal, como laboral. Las empresas estudian como afrontar las implicaciones en su día a día, para garantizar la seguridad del personal, la protección de los datos en el teletrabajo y al mismo tiempo, garantizar la continuidad de la actividad y la supervivencia de la compañía. En ese contexto, cabe preguntarse si las normas ISO pueden ayudarnos a afrontar esta situación. Efectivamente, muchas normas ISO incluyen herramientas que pueden ayudarnos a enfrentarnos a esta situación, como por ejemplo los Planes de continuidad de negocio de la ISO 27001, que se ha convertido en una herramienta potente para enfrentarse a los retos relacionados con la seguridad de la información y la protección de los datos en el contexto actual de teletrabajo, la ISO 45001 que garantiza el cumplimiento de la normativa de seguridad y salud, o el análisis de riesgos y oportunidades de ISO 9001.Vamos a centrarnos en esta última. Hay varios aspectos de esta norma que pueden ayudar a la empresa a gestionar la situación actual generada por el Coronavirus. Uno de los aspectos principales, procede de la propia idiosincrasia de la norma, que es un estándar de gestión por procesos que nos obliga a definir y sistematizar los procesos de nuestra organización, lo que permite que cualquiera pueda llevarlos a cabo independientemente del lugar desde el que trabaje, o bien, regresar a la actividad de una manera rápida y con el menor impacto posible. Siguiendo el orden de los puntos de la norma, es evidente que el análisis del contexto de la organización y la comprensión de las necesidades y expectativas de las partes interesadas (puntos 4.1 y 4.2. de la norma), nos pueden ayudar en la gestión de la crisis, ya que nos ofrecen herramientas para identificar a qué amenazas concretas nos enfrentamos y qué esperan las partes interesadas pertinentes de nuestra organización que hagamos al respecto. Una vez identificadas estas amenazas, y también las oportunidades, (o si no que se lo digan a los fabricantes de mascarillas o geles hidroalcohólicos), el punto 6.1 de la norma nos ayudará a planificar acciones concretas para abordar estos riesgos y oportunidades.  Además, el punto 6.3. garantiza que la empresa disponga de mecanismos para la gestión del cambio que se requieren en una contingencia como la actual, y que son imprescindibles por ejemplo, para aquellas empresas que han reconvertido su actividad habitual de producción para confeccionar mascarillas y otros productos con alta demanda en la pandemia, mecanismos que incluyen el análisis de la disponibilidad de recursos y la reasignación de responsabilidades, manteniendo la integridad del sistema de gestión en todo momento. También se ha revelado estos días como un aspecto importante, la necesidad de tener establecidos mecanismos de comunicación eficaces (punto 7.4. de la norma), lo cual es una ventaja para las empresas certificadas en ISO 9001, que disponen de procesos de comunicación tanto interna como externa que les permiten agilizar este aspecto en una coyuntura en la que es imprescindible mantener informados tanto a los propios trabajadores como a clientes, proveedores y otras partes interesadas. Otros aspectos a considerar en esta crisis dentro del punto 7, sería la gestión de la infraestructura, especialmente de tecnología asociada al teletrabajo, y la competencia del personal, que en muchos casos, deberá adquirir nuevas competencias relacionadas con la actual situación. Finalmente, los puntos 9 y 10 de la norma nos pueden proporcionar herramientas de seguimiento y análisis para evaluar el impacto de la crisis en la actividad, y herramientas de mejora como las no conformidades y acciones correctivas, nos permitirán corregir las posibles incidencias lo antes posible y evitar que vuelvan a ocurrir, disminuyendo los tiempos de adaptación a las nuevas formas de trabajar durante esta coyuntura. Es evidente que las empresas que tengan un sistema de gestión bien implantado y mantenido, tendrán una ventaja competitiva en esta crisis frente a las que “utilizan” esta herramienta sólo una vez al año cuando llega la auditoría. Si conseguimos tener un sistema eficaz, este será un valioso apoyo ante nuevas contingencias en vez de una carga.

ENAE confía en LEGITEC para impartir un seminario sobre Ciberseguridad y Privacidad de la información. En este webinar nuestro director, Manuel Moreno, hablará de la importancia de definir protocolos de seguridad de la información y establecer herramientas que faciliten el cumplimiento de las obligaciones en materia de privacidad, así como la concienciación en ciberseguridad para disminuir riesgos. PROTECCIÓN DE DATOS: Privacidad en la organización. Contexto del tratamiento de datos personales. ¿Qué aporta a la organización establecer protocolos de protección? La figura de Delegado de Protección de Datos. Funciones y obligaciones. SEGURIDAD DE LA INFORMACIÓN: Reputación, brechas de seguridad, infracciones y sanciones. Valoración de los riesgos en ciberseguridad. Soluciones simples y eficaces para una mejora sustancial de la seguridad. Más información e inscripciones aquí

En la situación actual en la que nos encontramos y debido a las medidas de prevención contra el COVID-19, muchos negocios se han visto obligados a cerrar de manera temporal o reducir su actividad.  Entre las medidas más empleadas se encuentran los Expedientes de Regulación de Empleo Temporal (ERTE) que implican una suspensión del contrato de forma temporal o una reducción de la jornada durante un periodo determinado. A consecuencia de estos ERTEs, muchas empresas se preguntan si es posible, acceder al correo electrónico de aquellos empleados que se encuentran en un estado de suspensión temporal del contrato. Para responder a esta cuestión debemos de detenernos en la normativa reguladora, más concretamente en el artículo 87 de la Ley 3/2018 de 5 de Diciembre, de Protección de Datos Personales y garantías de los derechos digitales, dicho precepto alude al derecho del empleador para acceder a los contenidos derivados del uso de medios digitales facilitados a los trabajadores a efectos de controlar el cumplimiento de las obligaciones laborales o estatutarias, siempre y cuando se especifiquen, de modo preciso, los usos autorizados y garantías para preservar la intimidad de los trabajadores. Como bien ha apuntado la jurisprudencia en sentencias como la del 26 de septiembre de 2007 emitida por el Tribunal Supremo, el empresario debe establecer las reglas de uso de esos medios, por ejemplo, establecer los periodos en los que los dispositivos puedan utilizarse para fines privados y los criterios específicos de utilización. Pero la apreciación más importante es la relativa a la perspectiva de confidencialidad, es decir el trabajador debe ser consciente de que el uso de esos medios digitales no es privado pero…. ¿CÓMO PUEDEN LAS EMPRESAS EVITAR ESA EXPECTATIVA DE PRIVACIDAD? En este sentido, podemos buscar en el Convenio Colectivo aplicable al caso concreto para comprobar si existe alguna referencia, o bien, podemos analizar si en los compromisos de confidencialidad existe alguna referencia. Ahora bien, la forma más efectiva de evitar esa percepción de privacidad por parte del trabajador sería estableciendo protocolos que establezcan, por escrito, en qué circunstancias y cómo se podría acceder o redireccionar el correo de un trabajador, dejando claro que el correo electrónico se considera una herramienta de trabajo, prohibiendo su uso para fines particulares, y, como tal, podrá ser revisado en caso de incidencias o, en los casos de ausencia o baja del trabajador, dicho correo podrá ser desviado al jefe del departamento, a su responsable directo o a otro compañero, con la finalidad de no dejar las tareas desentendidas.  EN CONCLUSIÓN: En la situación actual y debido a la multitud de ERTEs que se han solicitado en los últimos meses, la empresa podrá acceder al correo electrónico del trabajador siempre y cuando se le haya informado correctamente y prohibido el uso de correo corporativo en el ámbito personal o privado, de esta forma el trabajador no podrá adquirir esa expectativa de privacidad respecto al correo electrónico o cualquier otro dispositivo o medio digital facilitado por la empresa. Si eres una organización y tienes dudas sobre cómo protocolarizar el acceso al correo electrónico u otros dispositivos de tus empleados, consulta con el Equipo Legitec, nosotros te asesoramos.

Cuando se decretó el 14 de marzo el primer estado de alarma con motivo de la pandemia, debo confesar que pensé que la actividad de LEGITEC iba a ser nula, ¿a quién le va a importar la protección de datos o la seguridad de la información en esta situación ?…Tuvo que pasar muy poco tiempo para darme cuenta que estaba completamente equivocado, sin duda nuestros servicios eran esenciales en este contexto. Teletrabajo De la noche a la mañana las organizaciones tenían que poner a sus plantillas a trabajar desde sus casas, y para ello era necesario establecer unos protocolos de teletrabajo que no pusieran en riesgo la seguridad de la información y la privacidad de los trabajadores ¿Cómo conectarme al servidor? ¿Mi red domestica es segura? ¿Estoy obligado a tener un antivirus? ¿Soy responsable de hacer copias de seguridad? ¿Qué medios de control puedo establecer para asegurar que los empleados están cumpliendo su horario laboral sin invadir su privacidad?. Sin duda LEGITEC aquí tenía mucho que decir y nos pusimos manos a la obra para generar a nuestros clientes los protocolos que necesitaban para regular esta nueva forma de trabajar. Videoconferencias Pasados los primeros días de estado de alarma, muchas empresas y profesionales, aunque no lo habían hecho nunca empezaron a plantearse la prestación de servicios online. Psicólogos, gimnasios, centros de enseñanza, consultores, asesores,…,no tardaron en hacer de las videoconferencias su día a día. Pero fruto de esta nueva forma de prestar servicio surgieron cuestiones como ¿Son seguras las herramientas de videoconferencia? ¿Es seguro compartir pantalla con mi interlocutor? ¿Puedo grabar a mi interlocutor? ¿En el caso de menores necesito el consentimiento previo de sus padres? ¿Puedo publicar un webinar sin el consentimiento de los asistentes? De nuevo la privacidad y seguridad se ponían de manifiesto y LEGITEC tuvo que dar respuesta a todas estas cuestiones generando políticas e informes al respecto. Comercio electrónico. El confinamiento propiciaba el despunte del comercio electrónico, muchas empresas que nunca se lo habían planteado vieron la necesidad urgente de lanzar sus plataformas de venta online. De nuevo surgían cuestiones relacionadas de manera directa con nuestra actividad. ¿Debo firmar un contrato de encargado de tratamiento con la empresa que me está desarrollando y manteniendo la tienda online? ¿Puedo hacer uso de mi base de datos de clientes para hacer mailings comerciales? ¿Qué política de privacidad debo tener en mi web? ¿Qué son las políticas de cookies? ¿Qué medidas de seguridad debo tener en mi tienda online?. ERTEs También esta pandemia ha supuesto que muchas empresas se hayan visto obligadas a recurrir a ERTES. Esta circunstancia ha suscitado una serie de cuestiones claves en materia de protección de datos, ¿Se puede redirigir o consultar el correo electrónico de un trabajador en ERTE? ¿Es lícito hacer uso del teléfono personal o el correo electrónico personal de los trabajadores en el contexto del ERTE? ¿Es necesario el consentimiento del trabajador afectado por el ERTE para comunicar sus datos personales al SEPE?. Además de resolver estos interrogantes, muchos clientes han caído en la importancia de contar con políticas que aporten seguridad jurídica para tratar la información de sus trabajadores. Educación y formación. También nos estamos aproximando a la recta final del curso académico y con ello el periodo de exámenes, que debido a las circunstancias deben hacerse online. En este sentido los centros educativos nos plantean las implicaciones de grabar exámenes y de implantar mecanismos basados en la biométrica para evitar fraudes. Cualquier decisión en este sentido requiere de un estudio pormenorizado del caso concreto, y en caso de llevar a cabo estos mecanismos de control realizarlos aplicando la mayor diligencia posible, para minimizar el impacto en la vida privada del alumno. Desescalada. Por fin ya estamos en fase de “Desescalada”, en este escenario de incertidumbre, y de maximizar las precauciones para evitar un repunte de contagios, surgen multitud de sistemas de control poblacional como son la geolocalización de movimientos de los ciudadanos, las aplicaciones móviles de rastreo de contagios, pasaporte inmunológico e incluso la toma de temperatura para acceder a ciertos lugares, todas estas medidas deben regularse bien para no vulnerar derechos fundamentales de los ciudadanos. De nuevo es necesario el papel de los profesionales de la privacidad para hacer un análisis de proporcionalidad de cada caso y establecer las condiciones y legitimación del tratamiento. Espíritu Legitec. Después de hacer un repaso a la actividad que hemos tenido durante estos tres meses de pandemia, creo que a nadie se le escapa que la protección de datos y la seguridad de la información es una materia transversal que afecta a todas las esferas de nuestra vida, y el papel que desempeñamos en la sociedad es esencial sin lugar a dudas. Por ello, como responsable de LEGITEC quiero dar la enhorabuena a todos los miembros del equipo por su dedicación, esfuerzo y entrega, ya que han sido semanas muy complicadas pero el grado de compromiso y servicio al cliente ha sido digno de elogio. Desconocemos lo que está por venir, pero podemos afirmar de manera rotunda que vamos a seguir estando ahí, aportando soluciones y seguridad, sin perder la esperanza y el optimismo de una vuelta a la normalidad e incluso mejorada. A todos los clientes, colaboradores y amigos queremos agradecerles su confianza y hacerles partícipes del #espiritulegitec .