por Vicente | Nov 30, 2023 | PROTECCION DATOS
Una empresa que necesita enviar mercancía a sus clientes o a sus colaboradores, utiliza habitualmente servicios de empresas de transporte.
Ahora bien, en el marco de la Ley de Protección de Datos, dicho transportista ¿debe considerarse responsable del tratamiento o encargado del tratamiento?
El criterio es el siguiente:
las empresas de mensajería registran los datos de remitente y destinatario en su base de datos, deciden sobre la manera de llevar a cabo el servicio y usan los datos para sus fines, por tanto, pasan a ser Responsables de tratamiento.
El criterio de la AEPD es que en las empresas de mensajería “no se produce una actuación del consultante como encargado del tratamiento, sino que incorpora los datos personales recabados para sus propios fines, y es él quien decide la forma de llevar a cabo el servicio de transporte encomendado. En definitiva, emplea la información obtenida para sus propios fines, integrándola finalmente en sus propias bases de datos, para la prestación del Servicio”
En cambio, si el servicio consiste en que el transportista recoge una mercancía y la lleva directamente al destino indicado sin que la mercancía baje del camión, debería considerarse encargado del tratamiento. Es caso es todavía más claro si el transportista es dueño de la cabeza tractora y se limita a enganchar la carga y llevarla al destino.
por Vicente | Nov 7, 2023 | PROTECCION DATOS
Una pregunta recurrente es si una empresa puede utilizar grupos de Whatsapp o Telegram para coordinar la actividad, obligando o solicitando el consentimiento de sus empleados para ello. Veamos los casos posibles:
CASO 1: Dispositivo y número de teléfono proporcionados por la empresa.
En este caso no hay ningún inconveniente. La empresa tiene la facultad de decidir qué herramientas organizativas utiliza, y puede establecer que los teléfonos de empresa deben tener instalado la aplicación Whatsapp y/o Telegram, y dar de alta los grupos que considere, para organizarse como quiera.
CASO 2: Dispositivo y/o número de teléfono proporcionados por el trabajador
Este caso es mucho más delicado.
La empresa no puede obligar al trabajador a utilizar ni su dispositivo ni su número de teléfono personal para actividades relacionadas con el trabajo.
El Estatuto de los Trabajadores establece que “la ajenidad propia del contrato de trabajo implica, entre otras cosas, la ajenidad en los medios, lo que implica que es el empleador el que tiene que proporcionar al trabajador los medios necesarios para el desenvolvimiento de su relación laboral”
El Comité Europeo de Protección de Datos en sus “Directrices 5/2020 sobre el consentimiento en el sentido del RGPD”, afirma que “con el artículo 7, apartado 4, en vigor, será más difícil que el responsable del tratamiento demuestre que el interesado ha dado su consentimiento libremente”.
En este caso, la única manera segura para la empresa es llegar a un pacto con el trabajador y financiar parte del coste que este soporta, en la línea de teléfono o en el dispositivo. Ejemplos:
- El trabajador paga el coste de la línea de teléfono y la empresa proporciona el dispositivo.
- La empresa paga una cantidad de entre 50 y 150 euros anuales al trabajador a cambio de que este utilice su número de teléfono y su dispositivo.
por Vicente | Ago 11, 2023 | COMUNIDAD DE PROPIETARIOS, VIDEOVIGILANCIA
En una comunidad de propietarios hay zonas privadas (como el interior de cada vivienda o local) pero también existen zonas comunes, como la entrada, pasillos, escaleras, zonas de garaje, ascensores, jardines, piscina, etc.
Una pregunta frecuente es si un propietario de una comunidad, puede instalar cámaras de videovigilancia en su propiedad que graben las zonas comunes de la comunidad.
La respuesta corta es NO. Las zonas comunes son propiedad de toda la comunidad, y la instalación de elementos de videovigilancia que graben estas zonas ha de estar previamente aprobada por acuerdo de la junta de propietarios de la comunidad. Será necesario acuerdo por mayoría simple de los asistentes.
En ese caso el responsable del tratamiento de videovigilancia será la propia comunidad de propietarios, que deberá adoptar todas las medidas de seguridad necesarias para garantizar el cumplimiento de la legislación: Actualizar su registro de tratamiento de datos, instalar adecuadamente las cámaras, firmar contratos de encargado del tratamiento con el proveedor que mantenga el sistema de videovigilancia, disponer de un procedimiento adecuado para ejercer los derechos de los interesados, etc.
Un propietario puede instalar cámaras de videovigilancia dentro de su propiedad, siempre y cuando dichas cámaras graben exclusivamente su propiedad privada.
Pero si un propietario decide instalar cámaras en su propiedad que graban las zonas comunes, estará invadiendo el derecho a la intimidad del resto de propietarios, y por tanto puede ser sancionado. Existen distintos precedentes en que la Agencia de Protección de Datos sanciona a un propietario por estas prácticas. Por ejemplo, ver procedimiento sancionador 00439-2022.
por Vicente | Jul 27, 2023 | VIDEOVIGILANCIA
Algunas empresas aprovechan la instalación de cámaras de videovigilancia no sólo para mejorar la seguridad del perímetro de la empresa, sino que instalan cámaras interiores para controlar el trabajo de sus empleados.
Esta circunstancia resulta especialmente molesta a algunos trabajadores a los que incomoda que su jefe les pueda vigilar durante toda su jornada laboral.
Ahora bien ¿es lícito instalar videocámaras para el control laboral o puede constituir una infracción contra la LOPD?
Algunos trabajadores han denunciado a su empresa por instalar estas cámaras de videovigilancia sin su consentimiento y la AGPD se ha pronunciado al respecto, concluyendo que cualquier empresa puede hacerlo siempre que:
1) Se haya informado fehacientemente a los trabajadores de que estas cámaras pueden utilizarse para el control laboral, además de para la vigilancia de seguridad, propiamente dicha. (Nótese que dice informar, no pedir permiso)
2) La empresa cumpla los requisitos establecidos en la LOPD siguiendo los pasos de la Guía de Videovigilancia que ha publicado la AEPD.
Ahora bien, ¿La empresa puede instalar cámaras ocultas sin informar a sus empleados?
En ciertas ocasiones la empresa puede instalar temporalmente cámaras ocultas para tratar de obtener pruebas de comportamiento desleal (ej: robo de mercaderías).
La finalidad era verificar las fundadas sospechas de la empresa sobre la conducta de los trabajadores, sospechas que efectivamente resultaron corroboradas por las grabaciones realizadas, así como tener una prueba fehaciente de la comisión de tales infracciones por si el trabajador impugnase la sanción de despido disciplinario impuesto por la empleadora.
Hay varias sentencias de los juzgados de lo social en las que legitiman este comportamiento: El objetivo de la instalación temporal de cámaras ocultas era obtener pruebas contra un empleado que estaba sustrayendo productos de la empresa. El Juzgado lo aceptó como medio válido de prueba para justificar el despido objetivo del trabajador.
¿El hecho de informar a los trabajadores protege completamente a la empresa?
Hasta cierto punto. Una vez cumplidos los requisitos formales que impone la LOPD, y de informar a los trabajadores, la empresa está blindada frente a denuncias por inclumplimento de la LOPD, pero no está exenta de ciertos riesgos:
El dueño de una farmacia decidió instalar cámaras para controlar la labor de los dependientes, observar sus quehaceres diarios y llamar en ocasiones para dar instrucciones a los mismos sobre su relación con los clientes.
Uno de sus empleados lo denunció ante el Juzgado de lo Social y tras varios recursos, concluyó en la sentencia del Tribunal Superior de Justicia de la Comunidad Valenciana, de 3 de mayo de 2012. (Ver aquí la sentencia)
En esta sentencia el magistrado interpreta que la instalación de cámaras de vigilancia que permita, con el único fin de controlar el trabajo, la grabación continuada e indiscriminada de la actividad productiva, implica la vulneración del derecho a la intimidad, ya que la mera utilidad o conveniencia para la empresa no legitima sin más la instalación de aparatos de grabación de imágenes, al existir otros medios para comprobar si los trabajadores cumplen adecuadamente con su deber de prestar servicios, como la utilización de medios automáticos de control de entrada y salida del centro de trabajo o de verificación de la venta de productos, etc.
De hecho el trabajador pudo dejar de ir a trabajar y solicitar la extinción de su contrato laboral con derecho a las indemnizaciones señaladas para el despido improcedente.
por Vicente | Abr 27, 2023 | PROTECCION DATOS, RGPD
La reciente publicación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, ha suscitado algunas preguntas entre nuestros clientes.
Esta ley aplica a las empresas que tengan más de 50 empleados y les obliga a establecer un canal de denuncias que garantice la privacidad y seguridad de las personas que informen sobre infracciones.
¿En qué afecta a la protección de datos si mi empresa necesita implantar un canal de denuncias?
1 Actualizar el Registro de Actividades de Tratamiento
El canal de denuncias es un tratamiento de datos específico a incluir en el Registro de Actividades de Tratamiento.
En las revisiones y auditorías anuales que realizamos a cada cliente, su consultor comprobará si la ley afecta a su empresa, y de ser así, añadirá este tratamiento a su Registro de Actividades de Tratamiento.
2 Contratos de encargado de tratamiento
Es frecuente colaborar con empresas externas para desarrollar el canal de denuncias. Por ejemplo:
- Con una empresa especializada en Compliance penal, para que gestionen integralmente todo el proceso.
- Con una empresa que proporciona un software como servicio para gestionar el canal.
- Con una empresa externa para realizar las investigaciones de cada denuncia.
- Con una empresa informática para desarrollar un canal propio
Contacta con nosotros si colaboras con cualquiera de estas empresas externas para que te preparemos el contrato de encargado de tratamiento que mejor se ajuste al servicio contratado.
3 Obligaciones en cuanto a la gestión del canal
Además de gestionar el canal de denuncias cumpliendo todos los requisitos de la Ley 2/2023, la empresa debe aplicar una serie de principios de tratamiento y medidas para garantizar la seguridad de los datos de las personas que se vean envueltas en estos procesos:
- Minimización: Es imprescindible limitar la recopilación de datos personales únicamente a aquellos que sean estrictamente necesarios para la investigación y resolución de la denuncia. Evitar recopilar información irrelevante o excesiva que no esté directamente relacionada con el caso.
- Confidencialidad: Mantener la denuncia y toda la información relacionada de forma estrictamente confidencial, estableciendo medidas de control de acceso que garanticen que sólo aquellas personas involucradas en el proceso de investigación tengan acceso a los datos pertinentes.
- Conservación: Los datos personales relativos a las informaciones recibidas y a las investigaciones internas solo se conservarán durante el período que sea necesario y proporcionado a efectos de cumplir con esta ley. En particular, se tendrá en cuenta lo previsto en los apartados 3 y 4 del artículo 32. En ningún caso podrán conservarse los datos por un período superior a diez años.
- Protección física: Si se llevan a cabo tratamientos de datos en formato físico, utilizar carpetas o archivos para almacenarlas y protegerlas de pérdidas, daños o robos y si es posible, guardarlas en áreas separadas etiquetándolas con códigos para facilitar su organización y búsqueda.
- Registros de acceso: En caso de que haya más de una persona autorizada, es aconsejable llevar un registro de accesos a las denuncias físicas que incluya información como la fecha, hora y motivo del acceso para hacer un seguimiento de quién ha consultado los registros en caso de detectarse alguna irregularidad
- Destrucción adecuada: Establecer procedimientos claros para la destrucción segura de las denuncias físicas cuando ya no sean necesarias o cuando se cumpla el plazo de retención legal. Podéis utilizar trituradoras de papel o servicios especializados en la destrucción de documentos confidenciales para asegurar de que la información sea irreparablemente eliminada
4 Participación del DPO
Si la empresa dispone de Delegado de Protección de Datos / Data Protection Officer (DPO), éste deberá participar en la definición y puesta en marcha de este nuevo tratamiento de datos personales.
Pero si la empresa no estaba obligada a nombrar DPO, implantar un canal de denuncias tampoco obliga a nombrarlo.
El borrador que circulaba antes de la publicación en el BOE de la ley, sí incluía esta obligación. Pero la publicación definitiva de la ley, deja claro en su artículo 34 que esta obligación se limita a la Autoridad Independiente de Protección del Informante, que nombrará el Gobierno en un futuro, y a otras Autoridades Independientes que en su caso se constituyan (si las Comunidades Autónomas deciden hacerlo)
Imagen gracias a Kristina Flour
por Vicente | Mar 6, 2023 | laboral
Un cliente nos plantea la posibilidad de instalar un software de control GPS en tiempo real en el teléfono móvil de empresa que proporciona a sus empleados.
La legislación laboral obliga a cada empresa a tratar datos de sus empleados: Para hacerles el contrato, para pagarles la nómina, parar presentar los seguros sociales, etc.
Ahora bien, el tratamiento de otro tipo de datos que no es obligatorio por ley, ha de tener una justificación distinta. Para aclarararlo, la AEPD publicó una Guía de la Protección de Datos en las relaciones laborales
Este tratamiento en concreto (Geolocalización) la AEPD lo aborda en la página 31 de esta guía.
Ahí podemos ver los requisitos para este tratamiento:
Geolocalización (art. 90)
– Tratamientos legitimados en el art .6.1.b RGPD, en relación con las facultades de control
reconocidas al empleador en el art.20.3 del ET
– Informar de forma previa, incluyendo a los representantes
– Minimización de datos: desactivación cuando sea necesario; horas de inicio y fin de la actividad
– Proporcionalidad: necesario por el tipo de actividad
– Informar del ejercicio derechos protección datos: Acceso, rectificación, limitación, supresión
– Requiere una evaluación de impacto sobre la protección de datos.
– Medios proporcionados por la empresa
Para asegurar la compatibilidad de la medida propuesta con el estricto cumplimiento de la legislación de protección de datos es necesario realizar una Evaluación de impacto sobre la protección de datos, que determine, qué puestos de trabajo deberían utilizarla, y en su caso, marque un protocolo de actuación para evitar el tratamiento excesivo de datos personales.
EJEMPLO: Puede ocurrir que un trabajador informe a la empresa que va al médico. Para justificar las horas deberá aportar un justificante médico de asistencia. En ese tiempo es importante que desactive la función de geolocalización, de otro modo, quedaría registrado que ha estado dos horas en el Instituto de Oncología, aportando datos excesivos que la empresa no necesita y no debería tratar.
por Vicente | Feb 17, 2023 | PROTECCION DATOS
Un auditor contratado por una empresa ¿es un encargado del tratamiento o un responsable del tratamiento? ¿Qué tipo de contrato es necesario para regular la relación?
Cuando una empresa necesita la participación de un proveedor para realizar un determinado trabajo que requiere el acceso a datos personales, la regla general es que, dado que el cliente es quien determina los fines y medios del tratamiento, el proveedor debe ser considerado encargado del tratamiento.
Ahora bien. Hay ciertas excepciones: Aquellas en las que la actuación del proveedor está sometida a alguna ley que le obliga a hacerse responsable de los datos.
Un auditor puede recibir el encargo de realizar un procedimiento de comprobación, definido por la empresa, y con un alcance exclusivamente interno. En ese caso sí debería firmar un contrato de Encargado.
Pero si el auditor va a realizar una auditoría de cuentas, que tenga validez frente a terceros, su actuación está sujeta a la Ley 22/2015 de Auditoría de Cuentas.
Esta ley, por ejemplo, en su artículo 30, establece el deber de custodia de los papeles de trabajo del auditor, que constituyan las pruebas, durante cinco años.
En cambio, si se tratase de un encargado del tratamiento, la empresa que contrata al auditor podría pedirle en cualquier momento la entrega o la destrucción de la documentación que obrase en su poder. Es por ello que cuando el encargo consiste en una auditoría de cuentas, sometida a la Ley 22/2015 de Auditoría de Cuentas, el auditor es Responsable del tratamiento y no encargado.
por Vicente | Ene 12, 2023 | consentimiento, publicidad
¿Quieres vender más a los que ya son tus clientes?
Te hablo de personas que ya te han comprado y de los que ya tienes sus datos (especialmente su dirección de correo electrónico).
- Clientes que han comprado en tu web.
- Clientes de tu negocio físico de los que tienes su correo porque se han inscrito en un programa de fidelización.
Google y Facebook funcionan con esta filosofía: Si te hacen ganar dinero, querrás poner anuncios en su plataforma y les pagarás gustosamente. Para ello disponen de herramientas impresionantes en las que apoyarte. Utilizan herramientas de big data para registrar todo lo que hacemos como usuarios de internet y eso les permite conocernos como si fueran nuestra madre.
Puedes pedirles que pongan un determinado anuncio a los que ya son tus clientes.
También puedes pedirles que pongan ese anuncio a los que no son todavía tus clientes, pero tienen un perfil de intereses similares a tus clientes. Tú no sabes quienes son, pero ellos sí.
Pero eso pasa por enviarle a Google y/o a Facebook tu lista de clientes (los correos electrónicos), y la LOPD y el RGPD no te dejan hacerlo sin un consentimiento de tus clientes. Dicho consentimiento ha de ser informado, explícito (no tácito) y revocable.
Para poder hacer esto, necesitas adaptar el formulario de compra o registro de tu web y además modificar tu política de privacidad añadiéndole un tratamiento de “Publicidad Segmentada”.
Hemos incorporado algunos ejemplos prácticos de estos textos para formularios en nuestra zona de clientes y si tienes alguna duda, estamos a tu disposición.
Foto de Vince Fleming en Unsplash
por Vicente | Dic 15, 2022 | PROTECCION DATOS
Un cliente, administrador de fincas profesional, nos presenta la siguiente duda:
El presidente de una comunidad de propietarios que administra, le ha pedido que le entregue una serie de documentación con datos personales de los propietarios, y el administrador duda de si debe o no hacerlo.
Comentamos nuestro planteamiento:
En una comunidad de propietarios, el representante legal es el presidente.
El presidente ha de ser uno de los propietarios. Generalmente se nombra por turno rotatorio y por periodos cortos de tiempo (habitualmente un año).
Estas circunstancias hacen que normalmente el cargo recaiga sobre personas que carecen de la formación necesaria en gestión, administración de fincas, o protección de datos.
Por ello la sabia decisión que adoptan muchas comunidades de propietarios es contratar un administrador de fincas profesional, que se encargue de toda la gestión de la comunidad, quedando la función del presidente a la mera supervisión del trabajo realizado por el administrador.
En materia de protección de datos de carácter personal, la forma más recomendable es que el administrador sea el único encargado de tratar los datos personales de la comunidad, ya que al ser un cargo profesional y remunerado, recae exclusivamente en él la responsabilidad y el trabajo administrativo, liberando de ambos al presidente.
En algunas ocasiones, el presidente solicita al administrador datos personales que custodia el administrador.
El presidente, es un representante que actúa por delegación. La responsabilidad de sus actuaciones recae directamente sobre la comunidad (que sería la que recibiría una sanción en caso de tratamiento indebido de datos personales).
Es por ello que nuestro criterio recomendado es que ante una solicitud de documentación del presidente, el administrador actúe siguiendo los mismos principios que si la solicitud la realizase cualquier otro propietario. Ya que la responsabilidad del administrador la tiene frente a toda la asamblea de propietarios que lo nombró, no sólo ante el presidente.
El artículo 20 e) de la Ley 49/1960, de 21 de julio, de Propiedad Horizontal, dispone que corresponde al administrador actuar, en su caso, como secretario de la Junta y custodiar a disposición de los titulares la documentación de la comunidad.
Ahora bien, el acceso de los titulares (propietarios) a la información de la comunidad no es libre ni directo, tal y como explica la Agencia Española de Protección de Datos en su consulta vinculante disponible en esta URL:
https://www.aepd.es/es/preguntas-frecuentes/9-comunidades-de-propietarios/FAQ-0906-puede-tener-acceso-un-propietario-a-los-gastos-de-su-comunidad
El administrador, habitualmente solicita nuestra asistencia como empresa especializada en protección de datos, para valorar cada solicitud de información a fin de determinar si el acceso a los documentos cumple el principio de proporcionalidad resultando idóneo, necesario y equilibrado para obtener la finalidad perseguida, según señala el Tribunal Constitucional. En otro caso, no procederá el acceso directo al documento.
En caso de que consideremos procedente proporcionar el acceso a la documentación solicitada, el receptor (presidente o propietario) deberá firmar un acuse de recibo en el que se le informe de sus obligaciones y en el que se comprometa a mantener indemne a la Comunidad en caso de incumplimiento de las mismas.
En Adelopd tenemos disponible para cada comunidad de propietarios los formatos recomendados para cada uno de estos procesos:
- Solicitud de información.
- Acuse de recibo de documentación
Podemos ser tus especialistas en protección de datos para administradores de fincas.
por Vicente | Nov 30, 2022 | PROTECCION DATOS
Un cliente autónomo nos pregunta si es obligatorio publicar su dirección fiscal en el aviso legal de su sitio web, o si basta con contratar y hacer público un apartado postal en su lugar.
Entendemos y compartimos su preocupación: Nuestro cliente tiene como domicilio fiscal el mismo domicilio particular en el que vive, y lógicamente, el hecho de incluirlo en el aviso legal, representa hacer público su domicilio particular ante cualquier persona que visite su web.
Si nos atenemos al literal de la ley. El contenido informativo mínimo que debe tener un sitio web está regulado en el artículo 10 de la LSSI (Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico), que dice así:
1. Sin perjuicio de los requisitos que en materia de información se establecen en la normativa vigente, el prestador de servicios de la sociedad de la información estará obligado a disponer de los medios que permitan, tanto a los destinatarios del servicio como a los órganos competentes, acceder por medios electrónicos, de forma permanente, fácil, directa y gratuita, a la siguiente información:
a) Su nombre o denominación social; su residencia o domicilio o, en su defecto, la dirección de uno de sus establecimientos permanentes en España; su dirección de correo electrónico y cualquier otro dato que permita establecer con él una comunicación directa y efectiva. […]
Así pues, si queremos cumplir el literal de la ley sí es necesario incluir un domicilio postal y no sirve un apartado postal.
Ahora bien, una solución que te permite salvaguardar tu privacidad es contratar el domicilio en un centro de negocios donde quizá no pongas jamás un pie. Seguramente podrás pactar con ellos que te reenvíen toda la correspondencia, o bien, que te avisen si llega algún correo certificado o burofax y que depositen en el contenedor del papel todo lo demás.
Este servicio es totalmente legal. Al fin y al cabo, el autónomo o la empresa decide si quiere trabajar muchas horas en el centro de negocios o si prefiere “teletrabajar” desde su domicilio el 99.999999% del tiempo.
Hay muchas empresas que ofrecen este servicio. Si buscas “domiciliación de sociedades” encontrarás que hay mucha competencia donde elegir.
