Noticias y Actualidad

En un post anterior hablamos sobre el escándalo que salpicó a la red social Facebook en Reino Unido. La noticia se destapó en marzo de 2018. En esta fecha, la consultora Cambridge Analytica confirmó el uso de datos de más de 50 millones de usuarios de Facebook, sin que existiera consentimiento. El objetivo era influir en la intención de voto de estos en las elecciones de Estados Unidos de 2016, que venció el actual presidente Donald Trump. Hoy ya conocemos la sanción impuesta a Facebook por no tomar las medidas de seguridad necesarias. La Oficina del Comisionado de Información de Reino Unido, encargada de velar por la protección de datos en este país, multa con 565.000 euros a la red social. La máxima sanción posible para estos casos. Cuando se conoció el escándalo. El presidente de Facebook, Mark Zuckerberg reconoció que se habían cometido errores al no supervisar correctamente los datos de usuarios que recopilaban las aplicaciones de terceros. En su resolución, la agencia de protección de datos del Reino Unido remarca que “entre 2007 y 2014, Facebook procesó información personal de usuarios injustamente, al permitir que los que desarrollan aplicaciones accedieran a su información sin un suficiente consentimiento claro e informado”. La labor de Facebook en materia de protección de datos está constantemente en el ojo del huracán. Son muchas las organizaciones y gobiernos que exigen un mayor control, por parte de la compañía, para evitar que los datos de sus usuarios salten a la luz pública o sean robados y usados de forma ilegal. Decisión de Parlamento Europeo En la misma semana que se conoce la multa. El Parlamento Europeo ha votado a favor de que la red social permita a las autoridades europeas de protección de datos realizar una auditoría independiente. Con el fin de comprobar los fallos de seguridad y evitar que se vuelvan a repetir casos como los de Cambridge Analytica. En la resolución aprobada por el Parlamento, también se insta a solicitar estas auditorías independientes a otras compañías de Internet. Entre ellas Google o Twitter, que también han sufrido escándalos de un tratamiento incorrecto de datos de sus usuarios. Además el Parlamento Europeo, quiere que se establezcan medidas de seguridad. Con el objeto de  evitar que futuras elecciones estén libres de cualquier sospecha. El próximo mes de mayo habrá elecciones para renovar esta cámara europea. Se quiere evitar la manipulación de los datos, para impedir que se influya en el voto de los europeos. La compañía de Mark Zuckerberg aseguró en su día, tras conocerse el escándalo, que llevaría a cabo una auditoría interna. Quería obtener respuestas de lo sucedido y tomar las medidas correspondientes. Desde el Parlamento señalan que no se tiene constancia de que esta auditoría se haya realizado.

El Pleno del Congreso de los Diputados ha aprobado el dictamen elaborado por la comisión de Justicia sobre el proyecto de Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales, por lo que ahora el trámite legislativo pasa al Senado. El Título X de la citada norma, en los artículos 87 al 91, acomete la tarea de reconocer y garantizar un elenco de derechos digitales a los trabajadores, con el fin de afrontar las novedades tecnológicas y digitales que poco a poco nos invaden en el ámbito laboral, así como los nuevos modelos de negocio. Derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral. Derecho a la desconexión digital en el ámbito laboral. Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo. Derecho a la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboral. Intimidad y uso de dispositivos digitales en el ámbito laboral. Cada vez más, las empresas ponen a disposición de sus empleados dispositivos digitales al objeto de una mayor efectividad en el trabajo. En este sentido, la empresa podrá acceder a los contenidos derivados del uso de medios digitales facilitados a sus trabajadores a los solos efectos de controlar el cumplimiento de las obligaciones laborales y de garantizar la integridad de dichos dispositivos. Para ello, la empresa deberá elaborar protocolos para el uso de dichos dispositivos digitales, comunicándolo a los trabajadores. En ellos, deberán regular con precisión: los usos autorizados establecer las garantías para preservar la intimidad de los trabajadores determinación de los períodos en que los dispositivos podrán utilizarse para fines privados En todo caso, dicho protocolos tendrán que respetar los estándares mínimos de protección de intimidad de acuerdo con los usos sociales y los derechos reconocidos constitucional y legalmente. Desconexión digital en el ámbito laboral. Al objeto de evitar la fatiga informática derivada de las nuevas tecnologías y la flexibilidad laboral de los nuevos modelos de trabajo, los trabajadores tendrán derecho a la desconexión digital fuera del horario laboral legal, con el fin de garantizar el respeto de su tiempo de descanso, permisos y vacaciones, así como de su intimidad personal y familiar. Con este fin, la empresa elaborará una política interna en la que se definan las modalidades de ejercicio del derecho a la desconexión y las acciones de formación y de sensibilización sobre el uso razonable de las herramientas tecnológicas fuera del horario laboral. Intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo. En cumplimiento del artículo 20.3 del Estatuto de los Trabajadores, se podrá hacer uso de sistemas de videovigilancia para el ejercicio de las funciones de control de los trabajadores. Para ello, será requisito indispensable informar al empleado de forma expresa, clara y concisa. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores… En último lugar, para la grabación de sonidos habrá que efectuar un juicio de proporcionalidad, cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo, respetando el principio de intervención mínima. Derecho a la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboral. En el mismo sentido que el derecho anterior, la empresa podrá tratar los datos obtenidos a través de sistemas de  para el ejercicio de las funciones de control de los trabajadores, atendiendo a la proporcionalidad de la medida y a los límites que no resulten invasivos para la intimidad de los empleados. Igualmente, será requisito indispensable informar al empleado de forma expresa, clara y concisa.   Por último, los convenios colectivos podrán establecer garantías adicionales de los derechos y libertades relacionados con el tratamiento de los datos personales de los trabajadores y la salvaguarda de derechos digitales en el ámbito laboral.   Para efectuar una correcta regulación de los derechos y obligaciones del personal de nuestra empresa, resulta básica una correcta comunicación de los mismos a todos los implicados, mediante procedimientos, circulares informativas y cláusulas donde se describan las principales medidas para el cumplimiento de la política de protección de datos personales implantada. Le facilitamos el enlace para descargar el Proyecto de Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales   Desde Legitec, siempre y cuando no estemos en modo desconexión digital ;-),  podemos ayudarte a cumplir con todas las novedades que marca el Proyecto de Ley de Protección de Datos Personales y Garantía de los Derechos Digitales. Consúltanos sin compromiso.

La Agencia Española de Protección de Datos (AEPD) ha publicado los resultados de su informe sobre el cumplimiento del Reglamento Europeo de Protección de Datos (RGPD) en las políticas de privacidad online. Para elaborar el informe, la Agencia ha analizado las políticas de privacidad online de varias empresas. El fin es encontrar deficiencias y establecer recomendaciones para que estas políticas cumplan con el nuevo Reglamento, que entró en vigor el pasado mes de mayo. El informe que está disponible en este enlace: “Políticas de privacidad en Internet. Adaptación al RGPD”, hace hincapié en la falta de claridad y transparencia en la redacción y elaboración de las políticas de privacidad online. Destacan, en palabras de la Agencia, el uso de “expresiones ambiguas o demasiado genéricas”, que no clarifican ni facilitan el entendimiento al lector. Deficiencias y recomendaciones Ante esta falta de concreción y concisión. La Agencia recomienda a las empresas que revisen sus políticas de privacidad online para hacerlas más claras y comprensibles para el lector o usuario. “El informe recomienda la utilización de una primera capa en la que se proporcione información resumida y una segunda capa con información más detallada”, señala la AEPD. Otra de las deficiencias que ha encontrado en gran parte de las políticas revisadas, hace referencia a los apartados en los que se pide el consentimiento para tratar los datos personales. La Agencia recuerda que el nuevo Reglamento exige un consentimiento expreso e informado por parte del usuario. En consecuencia, “las casillas premarcadas o la inacción no constituyen un consentimiento válido”. Con la nueva norma ya no es válido el consentimiento tácito. Ahora debe ser expreso. Además tampoco son válidos los consentimientos de carácter general. Se debe pedir el consentimiento para cada uno de los fines que persigue el tratamiento de los datos personales. Por ello, desde la Agencia se recomienda no hacer uso de un consentimiento general del tipo “He leído y acepto la política de privacidad”. Deben agruparse los consentimientos en función de los propósitos afines. Otro punto en el que se observan grandes deficiencias es en el lenguaje. En muchos casos no es claro o es demasiado genérico. Es importante y recomendable aclarar aspectos. Entre ellos: el tiempo de conservación de los datos, la normativa aplicable y las bases legales que legitiman el tratamiento de los datos. Decálogo políticas de privacidad online en el RGPD Para facilitar el cumplimiento del RGPD en las políticas de privacidad online, la Agencia acompaña la publicación de este informe con un decálogo donde muestra diez consejos o recomendaciones para que estas políticas se adapten al nuevo reglamento. El Decálogo aclara ciertos puntos de la política de privacidad que deben quedar muy bien explicados: ¿Quién trata los datos? ¿Con qué finalidad se tratan los datos y cuál es la base que legitima el tratamiento? Consentimiento ¿Cuánto tiempo se conservan los datos? ¿Qué derechos existen y cómo ejercerlos? ¿A quién se ceden los datos? ¿Qué datos son obligatorios? ¿Se toman decisiones automatizadas? ¿Se realizan transferencias internacionales de datos? ¿Cómo presentar la información? Os recordamos que desde Legitec os podemos ayudar y asesorar para que vuestras políticas de privacidad online se adapten legítimamente al nuevo Reglamento Europeo. Pídenos un presupuesto sin compromiso.

Recientemente ha salido a la luz el Proyecto de Ley Orgánica de Protección de Datos de Carácter Personal (¡alabado sea!), con las modificaciones realizadas sobre el Anteproyecto de la misma ley. Una de las cuestiones que han llamado la atención, son las modificaciones realizadas sobre la figura del Delegado de Protección de Datos (DPD/ DPO). Vamos a echar un vistazo. Artículo 34 En el artículo 34, donde se nos habla de los distintos obligados a disponer de un DPD, se ha visto modificado en los siguientes aspectos: En el apartado L), donde se trata la obligatoriedad de disponer de DPD a “Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes» se ha incluido la exclusión (valga la no-redundancia) de aquellos profesionales sanitarios que ejerzan su actividad a título individual. Se crea un apartado ñ donde incluye como obligados a “Las empresas de seguridad privada”. Se crea un apartado O), donde se incluye como obligados a “Las federaciones deportivas cuando traten datos de menores de edad”. Por último, es incluido como “bonus track” el apartado 34.5: “En el cumplimiento de las obligaciones de este artículo los responsables y encargados del tratamiento podrán establecer la dedicación completa o a tiempo parcial del delegado, entre otros criterios, en función del volumen de los tratamientos, la categoría especial de los datos tratados o de los riesgos para los derechos o libertades de los interesados.” Lo que nos quiere decir este añadido es que, por si acaso no nos había quedado claro en el RGPD y el resto de la redacción de la ley, un DPD puede ser DPD a tiempo parcial, y no tiene por qué dedicarle toda su jornada y su ser a la función de DPD. Por si alguien lo dudaba.   Artículo 35 A continuación, seguimos con las modificaciones del artículo 35, sobre la cualificación del delegado de protección de datos. Al final de este artículo, nos hace una referencia muy particular: “que tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en el derecho y la práctica en materia de protección de datos”. El anterior anteproyecto, hacía referencia a una formación especializada, sin acotar el campo universitario. Ahora, aunque no nos obliga, si que nos dice que “se tendrá muy en cuenta”.  Suponemos que no se quieren pillar los dedos y que nadie se tire de los pelos por exigir un título de formación superior para un puesto que necesita especial formación y profundidad en el conocimiento de la protección de datos. Las pieles, que son muy finas.   Artículo 36 Entramos ahora en el artículo 36, el cual detalla la posición del delegado de protección de datos, dentro de la organización a la que pertenece. En el primer apartado de este artículo, se ha añadido la siguiente competencia: “El delegado podrá inspeccionar los procedimientos relacionados con el objeto de la presente ley orgánica y emitir recomendaciones en el ámbito de sus competencias”, con la que se afianza el rol de DPD como herramienta de inspección interna, así como asesoramiento. El apartado 36.2 “Se garantizará la independencia del delegado de protección de datos dentro de la organización, debiendo evitarse cualquier conflicto de intereses”, nos viene a recordar la importante de la independencia del DPD, la cual debe evitar ser “corrompida” con otros intereses que pueda tener el mismo, ya sea dentro de la organización a la que pertenece, o con otras organizaciones o particulares con los que interactúe dentro del ejercicio de su cargo. El apartado 36.3 , hace una pequeña modificación a nivel textual, pero con un significado no vacío de intención, ya que ahora “cuando el delegado de protección de datos aprecie la existencia de una vulneración relevante en materia de protección de datos lo documentará y lo comunicará inmediatamente a los órganos de administración y dirección del responsable o el encargado del tratamiento”. Mientras que el anterior anteproyecto no hacía alusión a ningún tipo de documentación que demostrara la vulneración de la protección de datos, en este artículo obliga al DPD a mostrar de una forma concreta de qué forma se ha violado la ley, de esta forma, evitando ambigüedades y posibles “malentendidos” sobre lo que ha sucedido.   Artículo 37 El artículo 37, el cual nos habla sobre la intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos, ha añadido el siguiente apartado 3: “El procedimiento ante la Agencia Española de Protección de Datos será el establecido en el Titulo VIII de esta ley orgánica y en sus normas de desarrollo. Asimismo, las Comunidades Autónomas regularán el procedimiento correspondiente ante sus autoridades autonómicas de protección de datos.” Esta aclaración se hace especialmente interesante, cuando la hilamos con el artículo 64 de dicho Título VIII, artículo donde se nos habla de la forma de iniciación del procedimiento y duración, y el cual no existía en el anterior anteproyecto de ley. Pero este artículo y su Título, dan para un análisis en concreto para ellos, por lo que podréis informaros de este y más, en próximas publicaciones.       En Legitec, estamos constantemente en estudio, desarrollo y por qué no decirlo, debate, de todas las nuevas cuestiones que surgen y surgirán en el mundo de la protección de datos, para teneros a todos siempre al tanto de vuestros derechos y a veces, obligaciones. Un saludo, hasta que nos volvamos a leer.  

La Agencia de Protección de Datos (AEPD) ha hecho pública una lista de diez consejos para aquellos profesionales o entidades que quieran obtener la certificación de Delegado de Protección de Datos (DPD). Una figura que establece el nuevo Reglamento Europeo de Protección de Datos (RGPD). El Delegado de Protección de Datos es una nueva figura que establece la normativa europea, que entró en vigor en mayo de 2018. Están obligados a contar con un DPD las organizaciones, empresas, administraciones que traten un gran volumen de datos personales y las que tratan datos considerados sensibles. Aunque no es obligado certificarse como DPD, la certificación, según señala la Agencia da un valor añadido. Ya que ofrece un valor de profesionalidad a la persona u organización que se certifica. Amén aporta seguridad y confianza en la realización de esta tarea. Para facilitar la certificación desde la Agencia han publicado una lista con diez consejos para certificarse como DPD. Los resumimos a continuación. Décalogo certificación DPD 1- Para facilitar la certificación, desde la Agencia se ha aprobado un Esquema de Certificación. De él os hablamos en un post anterior. Podéis ver más información en este enlace. 2- No es obligatorio certificarse para ejercer como DPD. Además, no solo es válido el esquema de certificación anterior, se puede obtener la certificación por otras vías. 3- La norma europea señala que el DPD “será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 39”. Por tanto, no es necesario certificarse para ejercer como tal. 4- Si se obtiene la certificación, el DPD sumará valor profesional y seguridad a su labor. 5- Si quieres certificarte mediante el Esquema de la Agencia, puedes pedir información y asesoramiento en las entidades acreditadas por ENAC que están disponibles en la web de esta entidad. 6- Consulta los requisitos para obtener la certificación y poder presentarte al examen, en el documento publicado sobre el esquema de certificación. 7- Debes justificar por alguna de las entidades anteriores que cumples con los prerrequisitos. También que has obtenido la formación y cuentas con los años de experiencia exigidos. 8- Si tienes 5 años de experiencia, no es necesario recibir formación, puedes presentarte directamente al examen. 9- Si quieres recibir formación, puedes hacerlo en cualquier academia que lo oferte. Asegúrate que el programa académico está acreditado por alguna de las entidades certificadas por ENAC. 10- Puedes ver más información sobre el Esquema de certificación en DPD en este enlace de la web de la Agencia. Te recordamos que desde Legitec te ofrecemos con todas las garantías la labor de Delegado de Protección de Datos. Consúltanos sin compromiso.

La Agencia Española de Protección de Datos ha convocado sus Premios Protección de Datos correspondientes a la edición de 2018. Estos galardones premian a las mejores iniciativas en distintos ámbitos de la Protección de Datos. Los interesados en acceder a estos Premios tienen de plazo hasta el próximo 30 de noviembre para presentar sus candidaturas. Pueden presentarse iniciativas tanto de particulares, como de organismos públicos y empresas privadas y trabajos desarrollados en grupo. Con estos galardones la AEPD pretende reconocer la labor de las empresas, organizaciones, administraciones, medios de comunicación, particulares en pro de defender el derecho a la privacidad, intimidad, a la protección de datos. En la edición de este año se entregarán galardones divididos en cuatro categorías: Buenas Prácticas sobre Iniciativas para adaptarse al nuevo Reglamento europeo, Comunicación, Buenas Prácticas Educativas para el uso seguro de Internet por los menores e Investigación Emilio Aced. Dentro de cada categoría se premian distintos temas. En el apartado de Buenas Prácticas para adaptarse al nuevo Reglamento hay dos subcategorías, las referentes a iniciativas del sector privado y las de iniciativa pública. Desde la Agencia se señala que tendrán especial consideración las que hagan referencia a datos considerados de alto riesgo. El galardón en este caso será la difusión de las buenas prácticas y una mención Honorífica. En la categoría de Comunicación, se premiará con 3.000 euros al trabajo o publicación que haya supuesto una labor concienzuda de promoción de la privacidad tanto en ciudadanos como en empresas y organizaciones. También se hará entrega de un un accésit de 1.500 euros. Se premiarán trabajos publicados entre el 1 de noviembre de 2017 y el 30 de noviembre de 2018. Se tendrá en especial estima los trabajos que hagan referencia a los cambios que supone la nueva normativa europea. En el caso del apartado de Buenas prácticas educativas para el uso seguro de Internet habrá dos galardones. Uno premiará con 3.000 euros en material escolar a centros educativos de Educación Primaria, Secundaria, Bachillerato y Formación Profesional, y el otro reconocerá con una mención honorífica a las instituciones o particulares que hayan realiza una importante labor de concienciación de un uso seguro de Internet por parte de los menores de edad. Por último, el Premio a la Investigación Emilio Aced está dotado con 3.000 euros y se valorarán sobre todo los trabajos científicos-técnicos de carácter prácticos que estén relacionados con el tratamiento de datos de alto riesgo y sean de gran complejidad e innovadores. Os dejamos los enlaces a las Bases de los Premios en cada una de las categorías. Premio a las Buenas prácticas sobre iniciativas para adaptarse al Reglamento. Bases. Premio Protección de Datos de Comunicación 2018. Bases. Premio a las Buenas prácticas educativas en privacidad y protección de datos para un uso seguro de internet. Bases. Premio de Investigación Emilio Aced. Bases.

En el post de hoy nos centramos en analizar cómo afecta el nuevo Reglamento Europeo de Protección de Datos (RGPD) al mundo de los drones. ¿Es aplicable la normativa a este tipo de aeronaves dirigidas por control remoto? En una respuesta rápida diremos que el nuevo RGPD es aplicable al uso de drones en el caso de que para su funcionamiento o para su uso se recogen datos de carácter personal. En este caso los encargados de tratamiento deben cumplir con lo estipulado en la normativa europea. Así, los drones con cámaras instaladas que recogen imágenes que posteriormente son procesadas y utilizadas para determinados fines, deben cumplir con la Ley de Protección de datos. En palabras de la Agencia Española de Protección de Datos (AEPD), “cualquier procedimiento utilizado para recoger imágenes, sonidos, datos de geolocalización o cualquier otra señal electromagnética relacionada con una persona física identificada o identificable llevada a cabo por el equipo a bordo de un dron determinará la existencia de un tratamiento de datos y en consecuencia la aplicación de la legislación de protección de datos”. En la web de la Agencia está accesible un informe jurídico sobre los drones y su implicación en el RGPD. Para todos aquellos que quieran consultarlo os dejamos el enlace. Entre los apartados más importantes que deben tenerse en cuenta para que los drones cumplan con la normativa europea destacamos los siguientes puntos. La operativa del dron habrá de cumplir con la normativa aplicable, entre ellas las normas sobre uso de drones que establece la normativa nacional de aviación. No se puede entender que la captación y tratamiento de datos es lícita si no se ha cumplido en su totalidad la legislación y regulación relativa a la utilización de los drones. Clarificar la situación entre el responsable y el encargado del tratamiento mediante el adecuado contrato de encargo. Evaluar el posible impacto en materia de protección de datos del tratamiento que se pretende mediante la realización de una evaluación de impacto de protección de datos, teniendo en cuenta tanto el tipo de dron a utilizar y la tecnología de captación de datos. Identificar igualmente la base legal para el tratamiento (artículo 6 del RGPD) en dicho estudio de impacto. Evitar captar o tratar datos innecesarios a la finalidad pretendida. Informar de la forma más apropiada y con carácter previo a los afectados, incluyendo una indicación clara de quién es el responsable y las finalidades del tratamiento, así como las indicaciones claras y específicas para el ejercicio de derechos. Establecer medidas de seguridad apropiadas para los riesgos que representan el tratamiento pretendido y los datos que han de ser protegidos. Borrar y/o anonimizar cualquier dato innecesario tan pronto como sea posible. Desde Legitec te podemos ayudar a cumplir con todas las obligaciones legales de la nueva normativa europea. Nuestros expertos te asesoran para que no tengas sobresaltos. No dudes en pedir un presupuesto.

Antes de marcharse de vacaciones, en el último Consejo de Ministros, el Gobierno aprobó un Real Decreto con el fin de adaptar la norma española al nuevo Reglamento Europeo de Protección de Datos (RGPD). La entrada en vigor el pasado 25 de mayo de la nueva norma europea ha supuesto cambios en la legislación española en materia de protección de datos. Estos cambios se han materializado con la aprobación de este Real Decreto que analizamos a continuación. El Real Decreto comprende catorce artículos estructurados en tres capítulos, dos disposiciones adicionales, dos transitorias, una derogatoria y una final. Su contenido afecta únicamente a cuestiones cuya inmediata incorporación al Derecho interno resulta imprescindible para la adecuada aplicación en España del Reglamento General de Protección de Datos y que no están excluidas del ámbito del legislador de urgencia por el artículo 86 de la Constitución Española. De momento estos cambios trasponen algunas de las modificaciones que supone para la Ley española el nuevo RGPD. La trasposición final se realizará con el proyecto de ley orgánica, que está en discusión parlamentaria, y que sustituirá a la actual Ley Orgánica 15/1999 de Protección de Datos (LOPD). Entre los aspectos más relevantes que dicta el nuevo Real Decreto destacan: la regulación del estatuto de las autoridades de control, la determinación del régimen aplicable a los inspectores de un tercer Estado que lleven a cabo actividades conjuntas de investigación o la designación de la autoridad que representará al Estado miembro en el Comité Europeo de Protección de Datos. El capítulo II está dedicado a las sanciones que marca el RGPD, que serán más elevadas que las de la anterior normativa. Con el Real Decreto se regulan cuestiones tan esenciales como los plazos de prescripción de dichas infracciones y la delimitación de los sujetos que pudieran incurrir en la responsabilidad derivada de la aplicación de dicho régimen sancionador. También regula el modo en que el Derecho interno de los Estados habrá de verse afectado como consecuencia de los trámites previstos en la propia norma europea para los procedimientos transfronterizos. Os dejamos un breve esquema del nuevo Real Decreto. CAPÍTULO I: Inspección en materia de protección de datos Artículo 1. Ámbito y personal competente para el ejercicio de la actividad de investigación de la AEPD. Artículo 2. Alcance de la actividad de investigación. CAPÍTULO II: Régimen sancionador en materia de protección de datos Artículo 3. Sujetos responsables. Artículo 4. Infracciones. Artículo 5. Prescripción de las infracciones. Artículo 6. Prescripción de las sanciones. CAPÍTULO III: Procedimientos en caso de posible vulneración de la normativa de protección de datos. Artículo 7. Régimen jurídico. Artículo 8. Forma de iniciación del procedimiento y duración. Artículo 9. Admisión a trámite de las reclamaciones. Artículo 10. Determinación del alcance territorial. Artículo 11. Actuaciones previas de investigación. Artículo 12. Acuerdo de inicio del procedimiento para el ejercicio de la potestad sancionadora. Artículo 13. Medidas provisionales. Artículo 14. Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes.

La Agencia Española de Protección de Datos (AEPD) ha multado con la cuantía de 1.500 euros a un gimnasio de Murcia por incumplir la Ley de Protección de Datos de Carácter Personal (LOPD), tras la denuncia presentada por uno de sus socios. En su denuncia, el socio exponía ante la AEPD que el gimnasio cambió el sistema de entrada al centro que anteriormente se realizaba mediante una pulsera con chip, por un sistema de huella dactilar, sin ofrecer otro medio alternativo. Según considera el denunciante, este medio es desproporcionado y asegura que no se le remitió un documento de conformidad para la recogida de sus datos biométricos. A su modo de ver, no se le puede obligar a proporcionar estos datos, por ser contrario a la LOPD. La Agencia al recibir la denuncia comenzó la investigación para determinar si hubo un incumplimiento de la LOPD. Para ello se puso en contacto con el gimnasio de Murcia para solicitarle documentación y consultar determinadas cuestiones: para qué actividades se emplean los datos biométricos, cómo se almacenan y cómo funciona el sistema. Como expone la resolución de la Agencia, que está disponible en este enlace, el gimnasio respondió que la finalidad del sistema es la de obtener una plantilla numérica basada en algoritmos que sirva como medio personal e intransferible para acceder a sus instalaciones a través de la comparación de patrones elaborados por el sistema partiendo de la huella digital. Señaló que el almacenamiento de los datos, es gestionado, custodiado y administrado por otra empresa que no los comparte con ellos. Respecto a la cuestión referente a la posibilidad de oponerse al tratamiento de la huella dactilar ofrecida a los socios y alternativas proporcionadas. Indica que previamente a la hoja de adhesión de socio, se informa al cliente de los derechos y de los datos biométricos que se recogen. El único modo de acceder es dar dichos datos, si no está de acuerdo no se recogen los datos y por tanto no se le inscribe como socio. En un primer momento la Agencia dictó una sanción de 5.000 euros al gimnasio murciano por incumplir el artículo 4.1 de la LOPD, que establece: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Tras las alegaciones presentadas por el denunciado, finalmente la sanción queda reducida a 1.500 euros. La Agencia considera que el tratamiento de los datos de reconocimiento de huella de usuarios de gimnasio para control de acceso por su titular y siendo el único medio de acceder, el gimnasio utiliza los datos de forma no proporcionada y excesiva en relación con el ámbito y las finalidades determinadas, incumpliendo así el citado artículo de la LOPD. Desde Legitec podemos ayudarte a que tu empresa cumpla con las normas en materia de Protección de Datos tanto a nivel nacional como internacional, con la adaptación de tu actividad a el nuevo Reglamento Europeo de Protección de Datos. Consúltanos sin compromiso.

La Agencia Española de Protección de Datos ha publicado una guía enfocada a adaptar los sistemas de videovigilancia al nuevo Reglamento Europeo de Protección de Datos que entró en vigor el pasado 25 de mayo. El documento titulado: Protección de datos: Guía sobre el uso de videocámaras para seguridad y otras finalidades, establece las disposiciones que incluye el Reglamento para estos sistemas. Cuenta con consejos sobre el uso de las videocámaras con “fines de seguridad de personas, bienes e instalaciones, usos diferentes como el control de la actividad laboral, las grabaciones de sesiones de órganos colegiados o la captación de imágenes en eventos escolares”, señala la Agencia. En la Guía que podéis consultar en este enlace vienen claramente delimitadas las disposiciones según el fin que persiguen las imágenes. Así se distingue: Tratamiento de imágenes con fines de seguridad: detalla los principios del RGPD que deben evaluarse al tratar imágenes captadas por videocámaras con fines de seguridad. “Entre esos principios se encuentra el de responsabilidad proactiva, en virtud del cual deben realizarse una serie de actuaciones, como valorar si las imágenes que se captan son proporcionales a la finalidad perseguida y adoptar medidas como, entre otras, llevar un registro de actividades de tratamiento o notificar las brechas de seguridad”, tal y como explica la AEPD. Dentro de este bloque, el documento incluye algunos supuestos específicos de tratamiento de imágenes, con el fin de delimitar más las especificaciones que establece el Reglamento. Va enfocado entre otros a las imágenes captadas por las Fuerzas y Cuerpos de Seguridad, entidades financieras, joyerías, detectives privados, comunidades de propietarios o ámbitos como el de las infraestructuras críticas, espectáculos deportivos o entornos escolares… Tratamiento de imágenes con fines diferentes a la seguridad: aquí se engloba el uso de cámaras para el control del tráfico, la grabación y toma de fotografías en eventos escolares, así como la grabación de reuniones que celebren los órganos colegiados de las Administraciones Públicas y las asambleas…, cuyo fin no es de seguridad. Tratamiento de imágenes a través de tecnologías emergentes: se centra sobre todo en el tratamiento de las imágenes obtenidas con sistemas de vídeo on board o drones, unos sistemas que cada vez son más utilizados. Se distingue entre las imágenes que se obtienen para uso doméstico y las que se toman para otros fines como el de obtención de pruebas en caso de accidentes o incidencias de tráfico. Además y para finalizar se señalan supuestos en los que no es de aplicación la normativa de protección de datos. Algunos de ellos son: imágenes en el ámbito exclusivamente personal y doméstico o el uso de cámaras simuladas. También el tratamiento de imágenes por los medios de comunicación y para la promoción turística y finalidades relacionadas a ello. Desde Legitec podemos ayudarte a cumplir con todas las disposiciones y obligaciones que marca el nuevo Reglamento Europeo de Protección de Datos. Pide presupuesto sin compromiso. Pincha aquí.