Canal de denuncias y LOPD

Canal de denuncias y LOPD

La reciente publicación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, ha suscitado algunas preguntas entre nuestros clientes.

Esta ley aplica a las empresas que tengan más de 50 empleados y les obliga a establecer un canal de denuncias que garantice la privacidad y seguridad de las personas que informen sobre infracciones.

¿Han de nombrar Delegado de Protección de Datos las empresas que implanten el canal de denuncias?

NO.

El borrador que circulaba antes de la publicación en el BOE de la ley, sí incluía esta obligación. Pero la publicación definitiva de la ley, deja claro en su artículo 34 que esta obligación se limita a la Autoridad Independiente de Protección del Informante, que nombrará el Gobierno en un futuro, y a otras Autoridades Independientes que en su caso se constituyan (si las Comunidades Autónomas deciden hacerlo)

Las empresas no están obligadas.

¿El canal de denuncias es un tratamiento de datos específico a incluir en el Registro de Actividades de Tratamiento?

Entendemos que sí.
En las revisiones y auditorías anuales que realizamos a cada cliente, su consultor comprobará si la ley afecta a su empresa, y de ser así, añadirá este tratamiento a su Registro de Actividades de Tratamiento.

Imagen gracias a Kristina Flour

Geolocalización GPS de empleados

Un cliente nos plantea la posibilidad de instalar un software de control GPS en tiempo real en el teléfono móvil de empresa que proporciona a sus empleados.

La legislación laboral obliga a cada empresa a tratar datos de sus empleados: Para hacerles el contrato, para pagarles la nómina, parar presentar los seguros sociales, etc.

Ahora bien, el tratamiento de otro tipo de datos que no es obligatorio por ley, ha de tener una justificación distinta. Para aclarararlo, la AEPD publicó una Guía de la Protección de Datos en las relaciones laborales

Este tratamiento en concreto (Geolocalización) la AEPD lo aborda en la página 31 de esta guía.

Ahí podemos ver los requisitos para este tratamiento:

Geolocalización (art. 90)
– Tratamientos legitimados en el art .6.1.b RGPD, en relación con las facultades de control
reconocidas al empleador en el art.20.3 del ET
– Informar de forma previa, incluyendo a los representantes
– Minimización de datos: desactivación cuando sea necesario; horas de inicio y fin de la actividad
– Proporcionalidad: necesario por el tipo de actividad
– Informar del ejercicio derechos protección datos: Acceso, rectificación, limitación, supresión
– Requiere una evaluación de impacto sobre la protección de datos.
– Medios proporcionados por la empresa

Para asegurar la compatibilidad de la medida propuesta con el estricto cumplimiento de la legislación de protección de datos es necesario realizar una Evaluación de impacto sobre la protección de datos, que determine, qué puestos de trabajo deberían utilizarla, y en su caso, marque un protocolo de actuación para evitar el tratamiento excesivo de datos personales.

EJEMPLO: Puede ocurrir que un trabajador informe a la empresa que va al médico. Para justificar las horas deberá aportar un justificante médico de asistencia. En ese tiempo es importante que desactive la función de geolocalización, de otro modo, quedaría registrado que ha estado dos horas en el Instituto de Oncología, aportando datos excesivos que la empresa no necesita y no debería tratar.

Auditor de cuentas es responsable del tratamiento

Un auditor contratado por una empresa ¿es un encargado del tratamiento o un responsable del tratamiento? ¿Qué tipo de contrato es necesario para regular la relación?

Cuando una empresa necesita la participación de un proveedor para realizar un determinado trabajo que requiere el acceso a datos personales, la regla general es que, dado que el cliente es quien determina los fines y medios del tratamiento, el proveedor debe ser considerado encargado del tratamiento.

Ahora bien. Hay ciertas excepciones: Aquellas en las que la actuación del proveedor está sometida a alguna ley que le obliga a hacerse responsable de los datos.

Un auditor puede recibir el encargo de realizar un procedimiento de comprobación, definido por la empresa, y con un alcance exclusivamente interno. En ese caso sí debería firmar un contrato de Encargado.

Pero si el auditor va a realizar una auditoría de cuentas, que tenga validez frente a terceros, su actuación está sujeta a la Ley 22/2015 de Auditoría de Cuentas.
Esta ley, por ejemplo, en su artículo 30, establece el deber de custodia de los papeles de trabajo del auditor, que constituyan las pruebas, durante cinco años.

En cambio, si se tratase de un encargado del tratamiento, la empresa que contrata al auditor podría pedirle en cualquier momento la entrega o la destrucción de la documentación que obrase en su poder. Es por ello que cuando el encargo consiste en una auditoría de cuentas, sometida a la Ley 22/2015 de Auditoría de Cuentas, el auditor es Responsable del tratamiento y no encargado.

Publicidad en Google o Facebook para tus clientes

Publicidad en Google o Facebook para tus clientes

¿Quieres vender más a los que ya son tus clientes?

Te hablo de personas que ya te han comprado y de los que ya tienes sus datos (especialmente su dirección de correo electrónico).

  • Clientes que han comprado en tu web.
  • Clientes de tu negocio físico de los que tienes su correo porque se han inscrito en un programa de fidelización.

Google y Facebook funcionan con esta filosofía: Si te hacen ganar dinero, querrás poner anuncios en su plataforma y les pagarás gustosamente. Para ello disponen de herramientas impresionantes en las que apoyarte. Utilizan herramientas de big data para registrar todo lo que hacemos como usuarios de internet y eso les permite conocernos como si fueran nuestra madre.

Puedes pedirles que pongan un determinado anuncio a los que ya son tus clientes.

También puedes pedirles que pongan ese anuncio a los que no son todavía tus clientes, pero tienen un perfil de intereses similares a tus clientes. Tú no sabes quienes son, pero ellos sí.

Pero eso pasa por enviarle a Google y/o a Facebook tu lista de clientes (los correos electrónicos), y la LOPD y el RGPD no te dejan hacerlo sin un consentimiento de tus clientes. Dicho consentimiento ha de ser informado, explícito (no tácito) y revocable.

Para poder hacer esto, necesitas adaptar el formulario de compra o registro de tu web y además modificar tu política de privacidad añadiéndole un tratamiento de “Publicidad Segmentada”.

Hemos incorporado algunos ejemplos prácticos de estos textos para formularios en nuestra zona de clientes y si tienes alguna duda, estamos a tu disposición.

Foto de Vince Fleming en Unsplash

Entrega de información al presidente de la comunidad de propietarios

Un cliente, administrador de fincas profesional, nos presenta la siguiente duda:

El presidente de una comunidad de propietarios que administra, le ha pedido que le entregue una serie de documentación con datos personales de los propietarios, y el administrador duda de si debe o no hacerlo.

Comentamos nuestro planteamiento:

En una comunidad de propietarios, el representante legal es el presidente.

El presidente ha de ser uno de los propietarios. Generalmente se nombra por turno rotatorio y por periodos cortos de tiempo (habitualmente un año).

Estas circunstancias hacen que normalmente el cargo recaiga sobre personas que carecen de la formación necesaria en gestión, administración de fincas, o protección de datos.

Por ello la sabia decisión que adoptan muchas comunidades de propietarios es contratar un administrador de fincas profesional, que se encargue de toda la gestión de la comunidad, quedando la función del presidente a la mera supervisión del trabajo realizado por el administrador.

En materia de protección de datos de carácter personal, la forma más recomendable es que el administrador sea el único encargado de tratar los datos personales de la comunidad, ya que al ser un cargo profesional y remunerado, recae exclusivamente en él la responsabilidad y el trabajo administrativo, liberando de ambos al presidente.

En algunas ocasiones, el presidente solicita al administrador datos personales que custodia el administrador.

El presidente, es un representante que actúa por delegación. La responsabilidad de sus actuaciones recae directamente sobre la comunidad (que sería la que recibiría una sanción en caso de tratamiento indebido de datos personales).

Es por ello que nuestro criterio recomendado es que ante una solicitud de documentación del presidente, el administrador actúe siguiendo los mismos principios que si la solicitud la realizase cualquier otro propietario. Ya que la responsabilidad del administrador la tiene frente a toda la asamblea de propietarios que lo nombró, no sólo ante el presidente.

El artículo 20 e) de la Ley 49/1960, de 21 de julio, de Propiedad Horizontal, dispone que corresponde al administrador actuar, en su caso, como secretario de la Junta y custodiar a disposición de los titulares la documentación de la comunidad.

Ahora bien, el acceso de los titulares (propietarios) a la información de la comunidad no es libre ni directo, tal y como explica la Agencia Española de Protección de Datos en su consulta vinculante disponible en esta URL:

https://www.aepd.es/es/preguntas-frecuentes/9-comunidades-de-propietarios/FAQ-0906-puede-tener-acceso-un-propietario-a-los-gastos-de-su-comunidad

El administrador, habitualmente solicita nuestra asistencia como empresa especializada en protección de datos, para valorar cada solicitud de información a fin de determinar si el acceso a los documentos cumple el principio de proporcionalidad resultando idóneo, necesario y equilibrado para obtener la finalidad perseguida, según señala el Tribunal Constitucional. En otro caso, no procederá el acceso directo al documento.

En caso de que consideremos procedente proporcionar el acceso a la documentación solicitada, el receptor (presidente o propietario) deberá firmar un acuse de recibo en el que se le informe de sus obligaciones y en el que se comprometa a mantener indemne a la Comunidad en caso de incumplimiento de las mismas.

En Adelopd tenemos disponible para cada comunidad de propietarios los formatos recomendados para cada uno de estos procesos:

  • Solicitud de información.
  • Acuse de recibo de documentación

Podemos ser tus especialistas en protección de datos para administradores de fincas.