Cookies y RGPD

La Agencia Española de Protección de Datos (AEPD) acaba de publicar una versión actualizada de la «GUIA DE COOKIES» junto con varias asociaciones del sector de la publicidad.
La tenemos disponible aquí: Guía de Cookies (versión nov. 2019)

La entrada en vigor del RGPD  (y la nueva LOPD) ha supuesto un cambio en la doctrina relativa al uso de cookies. Por ese motivo, la  AEPD ha publicado su guía actualizada.

La novedad más importante de la Guía es que obliga a los sitios web a obtener el CONSENTIMIENTO EXPRESO del usuario ANTES DE GRABAR NINGUNA COOKIE QUE NO SEA IMPRESCINDIBLE en su dispositivo.

La forma de obtener el consentimiento expreso es mediante fórmulas como hacer clic en un apartado que indique “consiento”, “acepto”, u otros términos similares.
En ningún caso la mera inactividad del usuario será válida como consentimiento (porque el consentimiento «tácito» aceptable antes del RGPD ya no es válido). La frase «si continuas navegando es que aceptas su uso» no es aceptable, ya que seguir navegando no se considera una forma válida de prestar el consentimiento, cuando hay alternativas tecnológicas más adecuadas

EJEMPLOS DE AVISOS VÁLIDOS (OK) E ILEGALES:

Utilizamos cookies propias y de terceros para analizar nuestros servicios y mostrarte publicidad relacionada con tus preferencias en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas). Puedes obtener más información y configurar tus preferencias AQUÍ. ACEPTAR  RECHAZAR
Utilizamos cookies propias y de terceros para fines analíticos y para mostrarte publicidad personalizada en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas). Clica AQUÍ para más información. Puedes aceptar todas las cookies pulsando el botón “Aceptar” o configurarlas o rechazar su uso clicando AQUÍ

ACEPTAR

Utilizamos cookies propias y de terceros para analizar nuestros servicios y mostrarte publicidad relacionada con tus preferencias. Si continuas navegando entendemos que aceptas su uso. Haz click AQUÍ para más información.

La guía también especifica cómo se debe mostrar información en la segunda capa, (agrupados por tipos de cookies), y que no se debe gestionar el consentimiento cookie a cookie (por lo farragoso que resulta) sino por tipos de cookies (Por ejemplo, puedes aceptar las cookies analíticas, pero rechazar las de publicidad comportamental).

¿Qué pasa si no adapto mi web?

Hasta ahora, la mayoría de expedientes sancionadores, han terminado en un apercibimiento sin sanción económica, y la concesión del plazo de un mes para corregir los defectos. EJEMPLOS: Agromillora Catalana, Idearium 3.0 SL, ISGF informes comerciales SL, etc.
También hemos conocido una sanción en firme de 30.000 euros a la empresa VUELING AIRLINES, por disponer el antiguo aviso de cookies, y grabar cookies sin consentimiento expreso del usuario en su web vueling.com. Es accesible desde aquí: Sanción 30.000 euros AEPD por cookies a Vueling

La medida más importantes es NO grabar cookies en el navegador antes de que el usuario haya hecho click en algún botón de «aceptar»
¿Cómo saber si tu web cumple este requisito? Échale un vistazo a cómo se hace con el navegador GOOGLE CHROME

 

Cookies EXENTAS

La guía menciona algunas cookies que pueden utilizarse sin necesidad de recabar el consentimiento. Son las siguientes:

Cookies de «entrada del usuario»: por ejemplo, las que guardan el «carrito de compra» en una tienda online. Relacionan ese dispositivo con ese carrito de compra, pero no con ningún usuario. O la cookie que recuerda que el usuario ha dado su consentimiento al uso de ciertas cookies.
Cookies de autenticación o identificación de usuario (únicamente si son cookies de sesión).
Cookies de seguridad del usuario, por ejemplo las destinadas a detectar y limitar el intento reiterado de acceso a un servicio protegido por contraseña.
Cookies de sesión de reproductor multimedia (permiten saber si el usuario ha apretado pausa, cuánto tiempo de reproducción lleva)
Cookies de sesión para equilibrar la carga. Es una cookie técnica y de sesión, para que una web que dispone de un balanceador de carga y varios servidores, sepa que esa sesión se debe redirigir a uno de sus servidores.
Cookies de personalización de la interfaz de usuario: Por ejemplo permite recordar si el usuario prefiere el idioma español o inglés.
Determinadas cookies de complemento (plug-in) para intercambiar contenidos sociales. Estas son las que permiten integrar en una página web recursos de redes sociales para identificar a los miembros que tengan la sesión abierta en la red social, y facilitar el que pongan comentarios o compartan contenido con sus amigos. OJO: El criterio de la AEPD respecto a estas cookies está definido en este informe. En resumen: para que estas cookies «de complemento» tengan la consideración de exentas, han de ser EXCLUSIVAMENTE cookies de sesión. Si se trata de cookies persistentes sí requerirán el consentimiento expreso del usuario.

¿Es necesario renovar el servicio de protección de datos todos los años?

Una duda frecuente que suelen tener las empresas es si la adecuación a la legislación de protección de datos (nueva LOPD + RGPD) es un trabajo puntual, que se contrata una sola vez, o si es un trabajo recurrente que necesitan renovar.

El Reglamento General de Protección de Datos (RGPD) en su artículo quinto ya establece obligaciones para que cada Responsable del Tratamiento de Datos Personales: «… garantice una seguridad adecuada incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas» y que «El Responsable del Tratamiento … será capaz de demostrar el cumplimiento (responsabilidad proactiva)»

El problema desde un punto de vista práctico viene a la hora de decidir cuáles son las medidas técnicas y organizativas ADECUADAS, ya que en el antiguo reglamento estaban incluidas y en el nuevo reglamento se han dejado fuera a propósito.
¿Por qué no han publicado un reglamento tan concreto como el anterior? Básicamente porque se han dado cuenta que la tecnología corre más que los reglamentos. Y el anterior Reglamento publicado en 2007, se quedó obsoleto a los pocos meses de su entrada en vigor.
Entre 2007 y 2018 una empresa se podía permitir tener una «carpeta LOPD» en la que adaptaba a su empresa las medidas de seguridad «publicadas en el BOE». Si tenía datos de nivel básico, con eso «cubría el expediente».

¿Qué debe hacer ahora una empresa para cumplir la legislación de protección de datos?
La clave nos la da la disposición adicional decimoctava de la nueva LOPD: «Criterios de Seguridad: La Agencia Española de Protección de Datos desarrollará, con la colaboración, cuando sea precisa, de todos los actores implicados, las herramientas, guías, directrices y orientaciones que resulten precisas para dotar a los profesionales, microempresas y pequeñas y medianas empresas de pautas adecuadas para el cumplimiento de las obligaciones de responsabilidad activa»

Así pues, la obligación que tiene una empresa es estar pendiente de todas las publicaciones de la AEPD y adaptar aquellas que sean adecuadas a su sector y a su forma de trabajo y esto puede hacerlo de dos maneras.
– Con un empleado en plantilla que asuma esta función.
– Contratando este servicio con una empresa especializada.

De un modo u otro, tenga claro que para cumplir la actual legislación de protección de datos no basta con tener una «carpeta LOPD» en una estantería.  Cada empresa tiene que monitorizar, de manera interna o contratando con un experto externo, todas las publicaciones de la AEPD y trasladar lo que le sea de aplicación a sus protocolos de trabajo, y a las medidas de seguridad, y tenerlo todo documentado para poder demostrar el cumplimiento.

Qué hacer si un empleado se niega a firmar el compromiso de confidencialidad

Una de las obligaciones que tiene una empresa cuando implanta la gestión de la protección de datos es la de que todos sus trabajadores firmen el compromiso de confidencialidad.

Este documento suele ser diferente si el trabajador trata datos (como todos los que tienen equipos informáticos) o no debe tratarlos, pero por su trabajo puede tener acceso (por ejemplo, los mozos de almacén que no manejan ordenador pero sí ven las etiquetas de envío con el nombre y dirección de los clientes).

La Ley Orgánica 3/2018 de Protección de Datos de Carácter Personal y Garantía de Derechos Digitales obliga a las empresas en su artículo 5:

Artículo 5. Deber de confidencialidad.
1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable.
3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.

¿Qué hacer si un trabajador se niega a firmar el compromiso de confidencialidad? ¿Se le puede obligar?

Sí. Y hay precedentes legales de despido de un trabajador por negarse a firmar el compromiso de confidencialidad. El Tribunal Superior de Justicia de Madrid, en esta sentencia, avala el despido de una trabajadora por negarse a firmar dicho documento.

Registro de la Jornada laboral y Protección de Datos

El día 12 entra en vigor la obligación del Registro de la Jornada Laboral, obligatorio para todas las empresas en virtud del Real Decreto-ley 8/2019, de 8 de marzo.
La legitimación de este tratamiento es la obligación legal derivada del citado Real Decreto. Por ese motivo no es necesario recabar el consentimiento de tus empleados. Pero sí debes informarles de la obligación del tratamiento y de las consecuencias derivadas del mismo.

¿Qué implicaciones tiene respecto a la legislación de protección de datos?
Va a depender de cómo tengas previsto gestionar esta obligación en tu empresa. Las opciones más frecuentes son estas:

Registro en soporte papel.
Cada empleado debe rellenar una hoja de registro (lo más razonable parece una hoja al mes) que deberás archivar durante cuatro años.
Nosotros te proponemos este modelo en pdf y esta hoja de cálculo en excel.
Te adjuntamos también una hoja de cálculo para que puedas comprobar si un empleado se pasa o no de horas.

Registro en aplicación móvil o PC.
Una manera alternativa, eliminando todo el papeleo, consiste en contratar un servicio, que generalmente se implementa mediante aplicación en el teléfono móvil del empleado.
Si quieres implantar un sistema de este tipo en tu empresa, informa a tu consultor para que gestionemos el contrato de encargado del tratamiento con el proveedor que vayas a contratar o que hayas contratado.

Sistema de control de accesos, mediante código, tarjeta, huella dactilar o reconocimiento facial.
Si utilizas un sistema basado en código o en tarjeta, no tienes que recabar ningún consentimiento.
Ahora bien, si utilizas un control de accesos basado en huella dactilar o reconocimiento facial (ambos considerados datos biométricos) necesitas poder acreditar el consentimiento expreso del trabajador (ver Artículo 9 del Reglamento UE 679/2016). Si este es tu caso, coméntaselo a tu consultor y te facilitará un modelo para que tus empleados puedan darte su consentimiento.
Ten en cuenta que dependiendo del software que utilices para gestionar este control de accesos, también será necesario un contrato de encargado del tratamiento con la empresa proveedora.