por Vicente | May 10, 2019 | PROTECCION DATOS
El día 12 entra en vigor la obligación del Registro de la Jornada Laboral, obligatorio para todas las empresas en virtud del Real Decreto-ley 8/2019, de 8 de marzo.
La legitimación de este tratamiento es la obligación legal derivada del citado Real Decreto. Por ese motivo no es necesario recabar el consentimiento de tus empleados. Pero sí debes informarles de la obligación del tratamiento y de las consecuencias derivadas del mismo.
¿Qué implicaciones tiene respecto a la legislación de protección de datos?
Va a depender de cómo tengas previsto gestionar esta obligación en tu empresa. Las opciones más frecuentes son estas:
Registro en soporte papel.
Cada empleado debe rellenar una hoja de registro (lo más razonable parece una hoja al mes) que deberás archivar durante cuatro años.
Nosotros te proponemos este modelo en pdf y esta hoja de cálculo en excel.
Te adjuntamos también una hoja de cálculo para que puedas comprobar si un empleado se pasa o no de horas.
Registro en aplicación móvil o PC.
Una manera alternativa, eliminando todo el papeleo, consiste en contratar un servicio, que generalmente se implementa mediante aplicación en el teléfono móvil del empleado.
Si quieres implantar un sistema de este tipo en tu empresa, informa a tu consultor para que gestionemos el contrato de encargado del tratamiento con el proveedor que vayas a contratar o que hayas contratado.
Sistema de control de accesos, mediante código, tarjeta, huella dactilar o reconocimiento facial.
Si utilizas un sistema basado en código o en tarjeta, no tienes que recabar ningún consentimiento.
Ahora bien, si utilizas un control de accesos basado en huella dactilar o reconocimiento facial (ambos considerados datos biométricos) necesitas poder acreditar el consentimiento expreso del trabajador (ver Artículo 9 del Reglamento UE 679/2016). Si este es tu caso, coméntaselo a tu consultor y te facilitará un modelo para que tus empleados puedan darte su consentimiento.
Ten en cuenta que dependiendo del software que utilices para gestionar este control de accesos, también será necesario un contrato de encargado del tratamiento con la empresa proveedora.
por Vicente | Dic 7, 2018 | PROTECCION DATOS
Ayer, 6 de diciembre de 2018, día de la Constitución Española, se publicó en el BOE la nueva Ley Orgánica de Protección de Datos, que viene a actualizar la ley de 1999, y a complementar el Reglamento General de Protección de Datos (RGPD)
La LOPD se pone al día para desarrollar los contenidos del RGPD, por lo que todos los trabajos de adaptación al RGPD realizados por las empresas siguen siendo válidos. No obstante sí incide en determinados aspectos que van a suponer cambios en el día a día de las empresas. De los muchos cambios que incorpora, y que iremos analizando en los próximos meses, en el día de su estreno queremos destacar varios de ellos:
- Modifica el texto refundido de la Ley del Estatuto de los Trabajadores para reforzar los derechos de los trabajadores añadiendo al artículo 14 el punto j bis) A la intimidad en el uso de dispositivos digitales puestos a su disposición y frente al uso de dispositivos de videovigilancia y geolocalización, así como a la desconexión digital en los términos establecidos en la legislación vigente en materia de protección de datos personales y garantía de los derechos digitales.<
Ahora las empresas tendrán que revisar las normas internas de uso de teléfonos móviles, aplicaciones de geoposicionamiento, videovigilancia, etc.
- El artículo 5 de la LOPD refuerza la obligación de las empresas en cuanto a confidencialidad (y secreto profesional si se aplica a la profesión). Esto clarifica un tanto la necesidad que tienen las empresas de exigir la confidencialidad de sus trabajadores. No sólo de los que tratan datos (comerciales, administración…) sino también de los que pueden tener acceso (personal de almacén que sabe qué envía a qué cliente).
- El artículo 22 es específico de tratamiento de Videovigilancia, haciendo referencia a los nuevos modelos de carteles informativos, donde la información de la «segunda capa» propuesta por la AEPD se realizará mediante el enlace a una dirección de internet. Es importante que las empresas que tienen tratamiento de videovigilancia sustituyan los carteles antiguos por los nuevos y que elaboren una página de internet con toda la información exigible.
- La disposición adicional decimosexta modifica la ley Ley 3/1991, de 10 de enero, de Competencia Desleal y pasan a considerarse prácticas agresivas (desleales y sancionables) las siguientes:
a) Actuar con intención de suplantar la identidad de la Agencia Española de Protección de Datos o de una autoridad autonómica de protección de datos en la realización de cualquier comunicación a los responsables y encargados de los tratamientos o a los interesados.
b) Generar la apariencia de que se está actuando en nombre, por cuenta o en colaboración con la Agencia Española de Protección de Datos o una autoridad autonómica de protección de datos en la realización de cualquier comunicación a los responsables y encargados de los tratamientos en que la remitente ofrezca sus productos o servicios.
c) Realizar prácticas comerciales en las que se coarte el poder de decisión de los destinatarios mediante la referencia a la posible imposición de sanciones por incumplimiento de la normativa de protección de datos personales.Así que a partir de ahora, las empresas que se dedican a asustar a otras mediante llamadas telefónicas del tipo «Hemos visto que su empresa no cumple la ley de protección de datos, y si quiere evitar una sanción es imprescindible que nos compre…» podrán ser denunciadas.
- La disposición adicional decimooctava establece que la Agencia Española de Protección de Datos desarrollará, con la colaboración, cuando sea precisa, de todos los actores implicados, las herramientas, guías, directrices y orientaciones que resulten precisas para dotar a los profesionales, microempresas y pequeñas y medianas empresas de pautas adecuadas para el cumplimiento de las obligaciones de responsabilidad activa. Así que, a partir de ahora es imprescindible estar pendiente de las publicaciones de la AEPD para trasladar sus recomendaciones a los sistemas de las empresas.
En ADELOPD seguimos trabajando en la actualización continua de nuestro sistema informatizado de gestión de la protección de datos, para que en combinación con la experiencia de nuestros consultores, nuestros clientes puedan tener la seguridad de que les estamos ayudando a gestionar todas estas novedades, haciendo que les resulte más sencillo cumplir en todo momento la legislación de protección de datos.
por Vicente | Sep 26, 2018 | email marketing, PROTECCION DATOS, RGPD, Whatsapp
El Whatsapp es un canal estupendo para entablar conversación con un cliente potencial. Muy útil para que un cliente potencial pueda recibir una propuesta comercial personalizada de manera rápida y ágil.
Si en la propia conversación el cliente nos confirma su interés en nuestro servicio, genial, pero si al terminar la conversación, no se hace cliente, no disponemos del consentimiento de la persona para utilizar sus datos para otra finalidad. (Enviarle ofertas comerciales a posteriori)
¿Cómo añadimos a este contacto a nuestra lista de suscriptores para email marketing?
Una buena manera de solucionarlo es terminar la conversación con una invitación del tipo:
Si el precio que tenemos hoy no le encaja, tenga en cuenta que a veces tenemos unas promociones geniales pero sólo para suscriptores. Le recomiendo que se apunte aquí:
https://www.adelopd.com/ofertas-privadas/
Este texto de arriba se puede enviar por whatsapp para cerrar una conversación, y el cliente sólo tiene que poner su email y darle al botón «Enviar», con este sistema lo habremos podido añadir a nuestro tratamiento de Marketing, con todos los elementos que recomienda la Agencia de Protección de Datos.
por Vicente | Sep 21, 2018 | menores, PROTECCION DATOS, RGPD
¿Cuándo se alcanza la mayoría de edad en protección de datos?
Este es un criterio muy importante, ya que cualquier empresa que recabe datos de interesados (por ejemplo una academia) ha de tener claro si la ficha de inscripción necesita la firma del padre o basta con la del alumno.
El RGPD permite a los estados miembros establecer una edad inferior para otorgar el consentimiento, siempre que no sea menor de 13 años.
En el caso de España, el Reglamento de Desarrollo de la LOPD fija la edad a partir de la que el consentimiento de los menores es válido en los 14 años con carácter general.
Será la nueva ley orgánica de protección de datos, norma que todavía está en tramitación parlamentaria, la que fije dicha edad. Hasta que se apruebe la misma, y en base al considerando 41 del RGPD, seguirá siendo aplicable lo dispuesto en el Reglamento de desarrollo de la LOPD, es decir, 14 años.
Fuente: Consulta vinculante de la Agencia Española de Protección de Datos.
por Vicente | Sep 19, 2018 | seguridad informatica
Para proteger aquella información más sensible, bien por reglamento o bien por decisión empresarial, es recomendable CIFRAR el soporte que la va a contener.
Hay muchas alternativas para cifrar el contenido de una carpeta o un dispositivo:
Cifrado nativo del sistema operativo
- En sistemas Windows la herramienta de cifrado se llama Bitlocker, y sólo está disponible en las versiones profesionales de Windows (no en las versiones home)
- En sistemas de Apple (Mac OSX), utilizar el programa FileVault para cifrar todo el disco o crear una partición cifrada
- En sistemas Linux hay varias opciones. Desde cifrar una partición (la que contiene los datos) o sólo la carpeta personal de cada usuario
Otra opción es
Utilizar un programa de cifrado
Una solución para crear volúmenes (unidades) virtuales cifradas es VERACRYPT. Un software libre (open source) con versiones para Windows, Linux y Mac OSX.
Puede descargarse de este enlace: https://www.veracrypt.fr/en/
Recomendamos ver el tutorial en castellano: https://securityinabox.org/es/guide/veracrypt/windows/
o este video tutorial: https://www.youtube.com/watch?v=rpH1ieuzyQE
por Vicente | Jun 3, 2018 | Derechos, RGPD
El nuevo RGPD nos otorga a los ciudadanos un conjunto de derechos más extenso y concreto que la anterior legislación.
La Agencia Española de Protección de Datos ha preparado una infografía con el resumen de estos derechos y que os reproducimos aquí: (más…)
por Vicente | May 28, 2018 | consentimiento, email marketing, RGPD, SPAM
¿Es necesario el consentimiento para enviarles informacíon comercial a quienes ya son clientes?
La asociación de banca envió una consulta a la Agencia Española de Protección de Datos en el que le preguntó, entre otras cuestiones, si utilizando como base del tratamiento el interés legítimo del proveedor era legal enviar información comercial a alguien que ya era cliente.
La AGPD evacuó un informe en que respondía a estas cuestiones, y aparentemente sí: https://www.aepd.es/media/informes/2017-0195-interes-legitimo-portabilidad-y-blanqueo.pdf
En la página 4 de dicho informe, cita literalmente: «el tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo»
En la página 5 ahonda sobre este concepto, matizando que para no incumplir la LSSI, será válido siempre y cuando sean comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente.
También aclara que: «En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija«.
Así pues, siempre que informemos (al recabar sus datos y/oen la política de privacidad) con una frase que especifique que una de las finalidades del tratamiento de clientes es el envío de información comercial relativa a productos y servicios similares a los que tenga contratados, y que puede oponerse al envío de estas comunicaciones comerciales, sí es legítimo enviarle correos comerciales a los clientes aún cuando no tengamos su consentimiento expreso (y siempre y cuando se trate de productos similares a los que ya haya adquirido el cliente).
por Vicente | May 23, 2018 | consentimiento, redes sociales
Hasta ahora, la ley de protección de datos afectaba a empresas y profesionales, pero no tenía ningún tipo de obligación para con los particulares.
Esa era la interpretación que se había hecho de la ley… Hasta ahora.
Un ciudadano grabó un altercado en el que había un policía que le pidió expresamente que no grabase.
No sólo lo grabó sino que lo difundió vía Whatsapp. El Ayuntamiento denunció a dicho ciudadano, y la resolución de la AGPD ha sido sancionar con 2000 euros al infractor.
La interpretación que ha hecho la AGPD ha sido que si las imágenes grabadas y difundidas no se refieren a su esfera más íntima, serán de aplicación las normas sobre protección de datos personales, tanto para la obtención de la imagen como para su difusión o publicación posterior.
Y puesto que las personas que aparecían en el video no formaban parte de su «esfera más intima», y no tenía el consentimiento de dichas personas, sí se le aplica la ley de protección de datos.
Así que, cuidadito con compartir fotos en redes sociales sin el consentimiento del afectado.
Leído en: http://www.abc.es/tecnologia/redes/abci-cuidado-grabas-llega-primera-multa-difundir-whatsapp-imagenes-policia-201805171509_noticia.html
por Vicente | May 18, 2018 | consentimiento, RGPD
Estos días estamos recibiendo un bombardeo de todo tipo de empresas (muchas de ellas muy grandes), en la que nos piden «renovar el consentimiento para poder mantener la relación«.
¿Por qué están haciendo esto? ¿Tenemos que hacerlo todos?
El artículo 6 RGPD establece las bases que legitiman un tratamiento de datos personales. Son las siguientes:
- Que el interesado haya prestado su consentimiento para fines específicos. (Ej: Consentimiento para recibir información o publicidad)
- Que el tratamiento sea necesario para la ejecución de un contrato del que el interesado es parte o para aplicar, a petición del interesado, medidas precontractuales. (Ej: Para hacer una compra en una tienda online, para completar el pedido, el vendedor necesita saber los datos del comprador)
- Que el tratamiento sea necesario para el cumplimiento de una obligación legal del responsable del tratamiento. (Ej: Las empresas están obligadas a comunicar a la AEAT aquellos clientes y proveedores con los que tienen un volumen de operaciones de más de 3000 euros anuales)
- Que el tratamiento sea necesario para proteger intereses vitales del interesado u otra persona física. (Ej: Un médico que necesita acceder al historial médico de una persona inconsciente para poder aplicarle un tratamiento e intentar salvarle la vida)
- Que el tratamiento sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.(Ej: Los Ayuntamientos están obligados a mantener un padrón municipal de los residentes)
- Que el tratamiento sea necesario para satisfacer un interés legítimo perseguido por el responsable del tratamiento o por un tercero, siempre que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado. (Por ejemplo el derecho de una empresa a instalar cámaras de videovigilancia)
Las primera base de legitimación (el consentimiento del interesado), CAMBIA con el nuevo RGPD. Dicho consentimiento ha de ser:
LIBRE: Prestado sin condicionantes como una rebaja en el precio, o a cambio una descarga de un ebook gratuito. Por ello si recabaste el consentimiento a cambio de descargar un ebook, se puede interpretar que no fue del todo libre, y como medida preventiva deberías renovar el consentimiento.
ESPECÍFICO: Si vamos a tratar los datos con varias finalidades, es conveniente tener una casilla específica para cada finalidad. Si recabaste los datos con una finalidad principal (ej: Atender la petición de un formulario de contacto o de una solicitud de oferta) y una secundaria (enviarle publicidad), ahora no puedes utilizarlos para la secundaria si no renuevas su consentimiento.
INFORMADO: Se tiene que haber informado a la persona de quién es el Responsable del tratamiento, la finalidad del mismo, y cuáles son sus derechos. Si no informaste de estos términos, tendrás que renovar el consentimiento.
INEQUÍVOCO: Fruto de una acción positiva, como marcar una casilla, pulsar un botón (ej: Acepto el uso de cookies) o entrar a un local que tiene bien visible el cartel de videovigilancia antes de acceder al recinto videovigilado (no me pueden grabar si no entro yo voluntariamente). Si obtuviste el consentimiento con una casilla «premarcada», o de forma tácita ( ej «si usted no se opone en el plazo de un mes, sus datos serán cedidos a …») has de renovar el consentimiento.
Si el consentimiento fue libre, específico, informado e inequívoco, no necesitas renovarlo.
El RGPD va a aplicarse a partir de ahora. Nos espera un tiempo de interpretación en que se irán aclarando dudas, a través informes de la AGPD (que irá publicando en los próximos años) y de la jurisprudencia que se irá creando. Hasta entonces, nuestro consejo es ser precavidos en la interpretación del RGPD.
por Vicente | Feb 11, 2018 | Internet de las cosas
Estados Unidos realizó un programa experimental para prevenir la obesidad entre sus soldados, entregándoles unos relojes deportivos con los que medir su actividad.
Los soldados los utilizan diariamente cuando se van a correr. El problema ha venido cuando muchos de ellos lo han conectado con una aplicación social que permite “compartir con el mundo” las rutas (aunque sea de manera anónima).
Los responsables de la app han elaborado un “mapa de calor” destacando las rutas “populares”. Esta funcionalidad ha permitido detectar algunas bases secretas de los Estados Unidos, precisamente porque muchos soldados convertían en “populares” las pistas de las bases secretas de Irak y Afganistán.
Es una de las primeras consecuencias del “internet de las cosas”: Cada vez hay más y más datos que no teclea ninguna persona, sino que se obtienen de los dispositivos conectados (relojes, pulseras, coches, routers, sensores industriales, sensores domésticos…) y que se utilizan con finalidades distintas a la que imaginaba el propietario del dispositivo.
Fuente del artículo: http://cadenaser.com/ser/2018/01/29/ciencia/1517211676_231203.html
