por Vicente | May 23, 2018 | consentimiento, redes sociales
Hasta ahora, la ley de protección de datos afectaba a empresas y profesionales, pero no tenía ningún tipo de obligación para con los particulares.
Esa era la interpretación que se había hecho de la ley… Hasta ahora.
Un ciudadano grabó un altercado en el que había un policía que le pidió expresamente que no grabase.
No sólo lo grabó sino que lo difundió vía Whatsapp. El Ayuntamiento denunció a dicho ciudadano, y la resolución de la AGPD ha sido sancionar con 2000 euros al infractor.
La interpretación que ha hecho la AGPD ha sido que si las imágenes grabadas y difundidas no se refieren a su esfera más íntima, serán de aplicación las normas sobre protección de datos personales, tanto para la obtención de la imagen como para su difusión o publicación posterior.
Y puesto que las personas que aparecían en el video no formaban parte de su «esfera más intima», y no tenía el consentimiento de dichas personas, sí se le aplica la ley de protección de datos.
Así que, cuidadito con compartir fotos en redes sociales sin el consentimiento del afectado.
Leído en: http://www.abc.es/tecnologia/redes/abci-cuidado-grabas-llega-primera-multa-difundir-whatsapp-imagenes-policia-201805171509_noticia.html
por Vicente | May 18, 2018 | consentimiento, RGPD
Estos días estamos recibiendo un bombardeo de todo tipo de empresas (muchas de ellas muy grandes), en la que nos piden «renovar el consentimiento para poder mantener la relación«.
¿Por qué están haciendo esto? ¿Tenemos que hacerlo todos?
El artículo 6 RGPD establece las bases que legitiman un tratamiento de datos personales. Son las siguientes:
- Que el interesado haya prestado su consentimiento para fines específicos. (Ej: Consentimiento para recibir información o publicidad)
- Que el tratamiento sea necesario para la ejecución de un contrato del que el interesado es parte o para aplicar, a petición del interesado, medidas precontractuales. (Ej: Para hacer una compra en una tienda online, para completar el pedido, el vendedor necesita saber los datos del comprador)
- Que el tratamiento sea necesario para el cumplimiento de una obligación legal del responsable del tratamiento. (Ej: Las empresas están obligadas a comunicar a la AEAT aquellos clientes y proveedores con los que tienen un volumen de operaciones de más de 3000 euros anuales)
- Que el tratamiento sea necesario para proteger intereses vitales del interesado u otra persona física. (Ej: Un médico que necesita acceder al historial médico de una persona inconsciente para poder aplicarle un tratamiento e intentar salvarle la vida)
- Que el tratamiento sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.(Ej: Los Ayuntamientos están obligados a mantener un padrón municipal de los residentes)
- Que el tratamiento sea necesario para satisfacer un interés legítimo perseguido por el responsable del tratamiento o por un tercero, siempre que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado. (Por ejemplo el derecho de una empresa a instalar cámaras de videovigilancia)
Las primera base de legitimación (el consentimiento del interesado), CAMBIA con el nuevo RGPD. Dicho consentimiento ha de ser:
LIBRE: Prestado sin condicionantes como una rebaja en el precio, o a cambio una descarga de un ebook gratuito. Por ello si recabaste el consentimiento a cambio de descargar un ebook, se puede interpretar que no fue del todo libre, y como medida preventiva deberías renovar el consentimiento.
ESPECÍFICO: Si vamos a tratar los datos con varias finalidades, es conveniente tener una casilla específica para cada finalidad. Si recabaste los datos con una finalidad principal (ej: Atender la petición de un formulario de contacto o de una solicitud de oferta) y una secundaria (enviarle publicidad), ahora no puedes utilizarlos para la secundaria si no renuevas su consentimiento.
INFORMADO: Se tiene que haber informado a la persona de quién es el Responsable del tratamiento, la finalidad del mismo, y cuáles son sus derechos. Si no informaste de estos términos, tendrás que renovar el consentimiento.
INEQUÍVOCO: Fruto de una acción positiva, como marcar una casilla, pulsar un botón (ej: Acepto el uso de cookies) o entrar a un local que tiene bien visible el cartel de videovigilancia antes de acceder al recinto videovigilado (no me pueden grabar si no entro yo voluntariamente). Si obtuviste el consentimiento con una casilla «premarcada», o de forma tácita ( ej «si usted no se opone en el plazo de un mes, sus datos serán cedidos a …») has de renovar el consentimiento.
Si el consentimiento fue libre, específico, informado e inequívoco, no necesitas renovarlo.
El RGPD va a aplicarse a partir de ahora. Nos espera un tiempo de interpretación en que se irán aclarando dudas, a través informes de la AGPD (que irá publicando en los próximos años) y de la jurisprudencia que se irá creando. Hasta entonces, nuestro consejo es ser precavidos en la interpretación del RGPD.
por Vicente | Feb 11, 2018 | Internet de las cosas
Estados Unidos realizó un programa experimental para prevenir la obesidad entre sus soldados, entregándoles unos relojes deportivos con los que medir su actividad.
Los soldados los utilizan diariamente cuando se van a correr. El problema ha venido cuando muchos de ellos lo han conectado con una aplicación social que permite “compartir con el mundo” las rutas (aunque sea de manera anónima).
Los responsables de la app han elaborado un “mapa de calor” destacando las rutas “populares”. Esta funcionalidad ha permitido detectar algunas bases secretas de los Estados Unidos, precisamente porque muchos soldados convertían en “populares” las pistas de las bases secretas de Irak y Afganistán.
Es una de las primeras consecuencias del “internet de las cosas”: Cada vez hay más y más datos que no teclea ninguna persona, sino que se obtienen de los dispositivos conectados (relojes, pulseras, coches, routers, sensores industriales, sensores domésticos…) y que se utilizan con finalidades distintas a la que imaginaba el propietario del dispositivo.
Fuente del artículo: http://cadenaser.com/ser/2018/01/29/ciencia/1517211676_231203.html
por Vicente | Feb 1, 2018 | laboral, Reglamento Protección de Datos
¿Debería pagar una empresa por los actos de sus empleados?
Casos como este han ocurrido varias veces en los últimos años:
- Una clienta compra un producto a una tienda online en la que confía.
- La tienda online contrata el envío con una empresa de logística.
- Un empleado de la empresa de logística entrega el paquete a la clienta.
- Al poco tiempo después, el empleado utiliza los datos de la clienta para ponerse en contacto con ella vía whatsapp para «ligar con ella».
Este es un claro ejemplo de mal uso de los datos de carácter personal.
La clienta entregó sus datos a la tienda online con una finalidad: Comprar un producto que le interesaba.
La tienda online encargó el tratamiento de los datos de su clienta a una empresa de logística con una finalidad: Que le entregasen el producto que la clienta había comprado.
Si la clienta se siente molesta con el «empleado ligón» y denuncia estos hechos a la Agencia de Protección de Datos, el resultado previsto es el siguiente:
1) Si la empresa a la que la clienta compró (la tienda online) puede acreditar que tiene debidamente implantada la protección de datos, tendrá firmado un contrato de «Encargado del Tratamiento» con la empresa de logística, pudiendo derivar la responsabilidad hacia esta última. De no ser así la tienda online se enfrenta a una importante sanción.
2) Si la empresa de logística puede acreditar que tiene debidamente implantada la protección de datos, tendrá un documento de confidencialidad y tratamiento de datos firmado por el «empleado ligón» (y por todos los demás) y le podrá demostrar a la AGPD que el único responsable de esa acción es el «empleado ligón». La empresa deberá sancionarlo por la vía disciplinaria laboral (con amonestación o despido), pero la empresa no debería recibir ninguna sanción, puesto que ha tomado las medidas necesarias ANTES de que ocurriera. De no ser así, la empresa logística se enfrenta a una importante sanción.
Este tratamiento indebido de datos acabará mal para el infractor directo (el «empleado ligón»), y puede acabar mal también para otras dos empresas: Su empleador (la empresa de logística) y la tienda online donde la clienta realizó la compra, si no tienen bien implantado un sistema de gestión de la protección de datos.
Un buen sistema de gestión de la protección de datos es la única manera de poner cortafuegos ante las acciones de «empleados ligones», «empleados cotillas», «empleados desleales» y otras especies similares.
por Vicente | Ene 23, 2018 | PROTECCION DATOS
Esta semana han contactado con nosotros varios clientes preocupados porque han recibido una llamada como esta:
– Hola, le llamo del Centro de Estafas Formativas, para ver si ya tienen hecho el curso de Delegado de Protección de Datos.
– ¿Cómo? ¿De qué curso me habla?
– Este año entra en vigor el Nuevo Reglamento de Protección de Datos y todas las empresas han de formar a alguno de sus empleados para que sea el Delegado de Protección de Datos, y si no lo hacen serán sancionadas. Afortunadamente, le podemos vender un cursito bonificado que solucionará todos sus males, y le saldrá gratis….
Pues bien, lo que dice el artículo 37.1 del Reglamento Europeo de Protección de datos, es esto:
El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:
a) el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio e su función judicial;
b) las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, o
c) las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales con arreglo al artículo 9 y de datos relativos a condenas e infracciones penales a que se refiere el artículo 10.
¿Observación habitual y sistemática de interesados a gran escala?
¿Tratamiento a gran escala de categorías especiales de datos.. y de datos relativos a condenas e infracciones penales?
Menos del 1% de las empresas lo necesitarán.
Y los que lo necesiten, no podrán formar a cualquiera con un cursito bonificado. Tendrán que contratar un experto en plantilla, o contratar el servicio con una empresa especializada.
