Ricard Castellet

DNI vs RGPD: La prima línia entre identificació legal i vulneració de dades

per

El Document Nacional d'Identitat (DNI) no està classificat com a dada de categoria especial sota el RGPD (no inclou informació sobre salut, origen ètnic o orientació sexual). No obstant això, el seu tractament genera un debat legal i pràctic pel seu potencial per identificar inequívocament una persona i el seu ús massiu en processos empresarials. D' altra banda, les estafes, les suplantacions d' identitat i els perjudicis econòmics derivats de les dues situacions anteriors estan a l' ordre del dia, per la qual cosa realment es tracta d' una dada d' un risc i rellevància vital.

L'Agència Espanyola de Protecció de Dades (AEPD) s'ha pronunciat al respecte i indica que el DNI conté dades especialment sensibles i susceptibles d'un mal ús, sobretot amb la seva recopilació o emmagatzematge indegut, atès que un tercer que tingui accés a aquests pot suplantar la identitat del titular del DNI amb total facilitat i perpetrar conductes que suposin un alt risc per a la privacitat,  l' honor i el patrimoni del suplantat.

Així ho ha reflectit en sancionar amb 100.000€ una companyia per sol·licitar una fotocòpia del DNI per correu electrònic per acreditar la identitat d'una persona sense informar adequadament sobre el tractament de les seves dades (article 13. RGPD) i sense complir amb les mesures de seguretat adequades.

En aquest cas, l'AEPD qüestiona l'enviament del DNI per correu electrònic, ja que no ho considera una via segura per a la transmissió d'unes dades tan sensibles com les que figuren en el DNI.

Per la seva banda, la reclamada no va presentar l'anàlisi de riscos ni tenia implementades mesures de seguretat adequades per garantir que l'enviament d'aquesta informació fos segur, per la qual cosa l'AEPD ha decidit sancionar-la amb 50.000€ per l'absència de mesures de seguretat i altres 50.000€ per no facilitar informació sobre el tractament.

Conclusió

L'AEPD ha enviat un missatge contundent: gestionar el DNI amb negligència no només vulnera la privacitat, sinó que obre la porta a conseqüències legals i econòmiques. La pròxima vegada que sol·licites una còpia del DNI, recorda: identificar no és sinònim d'exposar.

Per llegir la resolució, feu clic aquí.

Com sempre, cuida les dades i ¡cuideu-vos!

Treballes o et vigilen? La CNIL multa amb 40.000€ una empresa per controlar fins al segon d’inactivitat dels seus empleats

per

El 19 de desembre de 2024, l'autoritat de protecció de dades francesa (CNIL) va imposar una sanció de 40.000€ a una empresa del sector immobiliari per controlar els seus empleats sense informar, sense adoptar mesures de seguretat adequades i sense haver realitzat una EIPD.

Fets

Arran de diverses denúncies, la CNIL va realitzar una inspecció en la qual va observar que l'empresa filmava constantment els seus empleats i captava la imatge i el so, a més de mesurar el seu temps de treball i avaluar el seu rendiment de forma molt precisa gràcies al programa informàtic instal·lat als seus ordinadors.

El sistema de videovigilància captava constantment imatges i sons dels empleats del local, tant en els seus llocs de treball com en els espais de descans. A més, aquestes imatges podien ser visualitzades pels supervisors mitjançant una aplicació mòbil. Aquesta mesura no va ser justificada de cap manera, la qual cosa suposa una clara vulneració excessiva dels drets dels treballadors, així com del principi de minimització de dades (art. 5.1.c) RGPD).

D'altra banda, pel que fa al programari instal·lat als ordinadors dels empleats per monitorar la seva activitat, la CNIL va considerar que aquesta mesura era totalment desproporcionada i una vigilància especialment intrusiva. Aquest programari permetia, a més de comptar les hores de treball, saber si l'empleat no escrivia al teclat ni movia el ratolí en un període d'entre 3 i 15 minuts, en el qual també podien prendre's captures de pantalla periòdiques. En cas de detectar aquests períodes d' inactivitat, si no es justificaven o compensaven, s' aplicava una deducció de salari.

La CNIL va indicar que aquest programa no era fiable, atès que els períodes d'aparent inactivitat podien correspondre a temps de treball efectiu en el marc de les seves funcions (com reunions o trucades telefòniques), per la qual cosa no hi havia una garantia que el programari complís amb la seva finalitat de forma correcta.

A més, el sistema, en permetre la captura de dades potencialment privades (com correus electrònics personals, converses de missatgeria instantània o contrasenyes confidencials), constituïa una vulneració desproporcionada de la privacitat, interessos i drets fonamentals dels treballadors, i el tractament de les dades mancava de fonamentació legal (art. 6 RGPD).

Així mateix, l' empresa tampoc va proporcionar informació escrita suficient sobre el tractament que realitzava el programari de monitoratge, ni en documents d' informació interns de l' empresa ni en els contractes de treball i d' estudi dels empleats, la qual cosa constitueix una infracció de l' article 13 del RGPD.

En últim lloc, l'empresa tampoc va realitzar una avaluació d'impacte sobre la protecció de dades (EIPD) per al tractament que va realitzar en implementar el programa de monitoratge, la qual era necessària en haver-hi un alt risc per als drets i llibertats dels empleats.

Conclusió

El monitoratge excessiu i el control laboral sense prendre les mesures tècniques i organitzatives necessàries transgredeixen els drets dels empleats a nivells excessius. Cal recordar que sempre que es realitza un tractament de dades que afecta drets sensibles, s' ha de realitzar amb cautela i actuant en el marc de la normativa de protecció de dades.

Com sempre, cuideu les dades i ¡cuideu-vos!

Per llegir la resolució, faci clic aquí.

Fora d’horari, fora de línia: El nou dret laboral que protegeix el teu temps el 2025

per

En un món cada vegada més connectat, la desconnexió digital emergeix com un dret fonamental que està redefinint les relacions laborals a Espanya. A partir del 2025, aquest dret no només serà una opció, sinó una obligació per a les empreses, marcant un abans i un després en la conciliació entre vida laboral i personal.

Aquesta nova mesura, que s'espera que entri en vigor al llarg d'aquest 2025, estableix que els treballadors tindran dret a «no estar localitzables» fora del seu horari laboral. Això significa que les empreses no podran contactar els seus empleats a través de dispositius digitals, correus electrònics o trucades fora del temps de treball establert. Aquest canvi radical busca protegir la salut mental dels treballadors, reduir l'estrès laboral i millorar la qualitat de vida.

La ministra de Treball, Yolanda Díaz, ha estat una ferma impulsora d'aquesta mesura, que ve acompanyada d'altres reformes significatives com la reducció de la jornada laboral a 37'5 hores setmanals. L'objectiu és clar: garantir un equilibri saludable entre el treball i la vida personal i reconèixer que la hiperconnectivitat pot conduir a l'estrès, l'ansietat i l'esgotament.

Però, què implica realment la desconnexió digital per a empreses i treballadors? En essència, significa respectar els períodes de descans, vacances i permisos dels empleats, sense distinció entre modalitats d'ocupació presencial i teletreball. Per això, les empreses hauran d' implementar polítiques clares i formar els seus empleats sobre l' ús responsable de les tecnologies.

Els beneficis d'aquesta mesura són múltiples. A més de reduir l'estrès, s'espera que millori la concentració i productivitat dels treballadors. En desconnectar, les persones poden estar més presents en les seves interaccions socials i enfortir les seves relacions interpersonals. En última instància, això podria traduir-se en una força laboral més motivada i eficient.

Tanmateix, la implementació d' aquest dret no està exempta de desafiaments. Les empreses hauran d' adaptar els seus processos interns i polítiques de recursos humans per complir amb la nova normativa. Si s' obligués un treballador a contestar fora del seu horari laboral, es computaria aquest temps com a hores extra. En aquest sentit, recordem que el màxim d'hores extra a l'any són 80. Per tant, atendre missatges del treball mitjançant canals digitals un cop la jornada laboral ordinària ha acabat no només implicaria la realització d' hores extra, sinó també la vulneració del dret del treballador a la desconnexió digital. En aquest cas, es podrien assolir multes de fins a 7.500 euros en  infringir l'article 7.5 de la LISOS. Si es considerés que la infracció és molt greu (a causa d'una actitud intimidatòria o discriminatòria per part de l'empresa), es podrien assolir quantitats de fins a 225.018 euros.

Si bé la desconnexió digital ja estava contemplada en la legislació espanyola (art. 20 bis ET i art. 88 LOPDGDD), aquesta nova mesura busca reforçar el seu compliment i fer-la irrenunciable. Es tracta d'un pas més en la protecció dels drets laborals en l'era digital, reconeixent que, tot i que la tecnologia ha transformat la forma en què treballem, no ho ha de fer a costa de la nostra salut i benestar.

En conclusió, la desconnexió digital es perfila com una revolució silenciosa en el món laboral espanyol. A mesura que ens acostem al 2025, tant empreses com treballadors s'hauran de preparar per a aquest canvi significatiu. La clau estarà a trobar l'equilibri adequat entre la productivitat i el benestar i assegurar que la tecnologia sigui una eina per millorar les nostres vides, no per dominar-les.

Com sempre, cuideu les dades i cuideu-vos!

Dia de la Protecció de Dades 2025: Protegint La nostra Privacitat a l’Era Digital

per

El 26 d'abril de 2006, el Consell d'Europa va decidir fixar el 28 de gener com el Dia de la Protecció de Dades, atès que va ser el 28 de gener de 1981 quan es va signar el Conveni per a la protecció de les persones pel que fa al tractament automatitzat de dades de caràcter personal (Conveni 108),  primer instrument jurídic internacional vinculant per protegir la privacitat en l'era digital.

Aquesta data ens hauria de recordar la importància de salvaguardar la nostra informació personal en un món cada vegada més connectat. Enguany, la commemoració adquireix especial rellevància davant els desafiaments i avenços en matèria de privacitat digital, en especial, en àrees com la Intel·ligència Artificial i neurociència.

Desafiaments que afrontar el 2025

El 2024 ha estat un any definitivament ple de decisions regulatòries i judicials que han transformat l'àmbit de la privacitat de les dades. Hem vist sancions a Meta, LinkedIn, Uniqlo, OpenAI, Netflix i altres empreses conegudes que mostren les conseqüències de la falta d'alineació amb el RGPD.

Així mateix, també hem viscut l'entrada en vigor del Reglament d'Intel·ligència Artificial, la qual és la primera llei a introduir certes directrius en relació amb l'ús d'aquestes tecnologies avançades.

Aquests successos evidencien la transformació digital que estem vivint i la necessitat d'imposar la privacitat de les nostres dades com una prioritat legal.

Aquest nou any planteja nous reptes per a les empreses, les quals s'han d'ajustar a normatives més estrictes en aquesta matèria, així com establir mesures de seguretat per protegir-se de les amenaces cibernètiques.

  • Reglament de Cibersolidaritat: aprovat el 19 de desembre de 2024 i amb efectes el febrer de 2025, preveu els mecanismes que ha de disposar la UE per augmentar la seva resiliència i la seva capacitat de reacció en cas de rebre ciberamenaces.
    Els seus objectius se centren en: donar suport a la detecció i la consciència d'amenaces i incidents de ciberseguretat significatius; reforçar la solidaritat a escala de la UE, gestionar de forma concertada les crisis i la capacitat de resposta a tots els Estats membres; i contribuir a garantir un entorn digital segur i protegit per als ciutadans i les empreses.
  • Llei de Resiliència Cibernètica (CRA, per les seves sigles en anglès): aprovada el 12 de març de 2024 i aplicable per complet a partir de l'11 de desembre de 2027, és la primera legislació que estableix requisits de ciberseguretat als productes digitals al llarg del seu cicle de vida. Les empreses s' han de preparar ja per complir amb els nous requisits. Entre les seves especificacions, es troben: requisits de ciberseguretat obligatoris, actualitzacions contínues per corregir les vulnerabilitats, notificació obligatòria de vulnerabilitats, supervisió de mercat i transparència per als consumidors.

Aquesta normativa (que complementa la NIS-2) s'aplica a tots els fabricants de productes digitals, independentment de si tenen base a la UE o fora d'ella, sempre que ofereixin productes al mercat europeu; afecta fabricants de maquinari, desenvolupadors de programari, distribuïdors i importadors.

  • Directiva NIS-2: Va entrar en vigor el 16 de gener de 2023 i aplicable des de finals de 2024, s'espera establir la llista d'entitats essencials i importants com a màxim fins al 17 d'abril de 2025. Aquesta norma revisa i amplia la Directiva NIS-1 de 2016, atès que aquesta ha quedat obsoleta en el context actual en què els incidents de ciberseguretat han anat in crescendo.
    Estableix obligacions en matèria de ciberseguretat per impulsar un nivell de ciberseguretat adequat i comú i busca protegir la infraestructura digital als Estats membres i harmonitzar els requisits de ciberseguretat a nivell europeu. Els seus àmbits d'intervenció són els següents: exigència d 'alts nivells de seguretat als Estats membres, creació d'un Grup de Cooperació entre Estats membres, obligacions de ciberseguretat a empreses públiques i privades en sectors «essencials» i «importants».
    A Espanya, s'ha aprovat recentment l 'Avantprojecte de Llei de Coordinació i Governança de la Ciberseguretat, la qual transposa a l'ordenament jurídic espanyol la Directiva NIS-2. Aquest avantprojecte dissenya l 'Estratègia Nacional de Ciberseguretat i crea el Centre Nacional de Ciberseguretat, que s'encarregarà de la gestió de les crisis de ciberseguretat.
  • Reglament DORA (Digital Operational Resilience Act): va entrar en vigor el 16 de gener de 2023 però es va establir un període de dos anys per desplegar els seus efectes per complet. S' aplica a totes les entitats financeres de la UE i busca crear un marc jurídic comú per a la gestió dels riscos digitals en el sector financer.
    A causa de l'augment global d'atacs cibernètics, es vol aconseguir la ciberresiliència en les entitats financeres per garantir l'estabilitat financera al continent, per la qual cosa els seus objectius se centren en: gestió de riscos en els sistemes, classificació i notificació d'incidents en ciberseguretat, proves de resiliència operativa digital, normativa per a l'intercanvi d'informació segura,  entre d' altres. 
  • Reglament de Dades de la UE: va entrar en vigor l'11 de gener de 2024 però serà aplicable a partir del 12 de setembre de 2025. Deriva de la necessitat que desperta l'auge de l'Internet de les Coses (IoT) i complementa el Reglament de Governança de Dades. Amb aquesta llei, els preus dels serveis postvenda i la reparació dels dispositius intel·ligents seran més baixos; hi haurà noves oportunitats per utilitzar serveis basats en l'accés a les dades; i s'establirà un millor accés a les dades recollides o produïdes per un dispositiu.

  • Reglament d'Intel·ligència Artificial: va entrar en vigor l'1 d'agost de 2024 i és la primera norma del món que regula la Intel·ligència Artificial. Desplega efectes per complet el 2 d'agost de 2026; no obstant això, algunes disposicions seran aplicables a partir del 2025. Per això, les empreses s' han de preparar per ajustar-se a la normativa com més aviat millor.
    Aquesta norma prohibeix certes aplicacions d'IA que afecten els drets fonamentals com els sistemes de categorització biomètrica, reconeixement facial, d' emocions...
    A més, estableix obligacions per promoure l ' alfabetització en IA, requisits de gestió de riscos i transparència i estructures de governança.

Com protegir les teves dades

En honor al dia d'avui, et recomanem el següent per poder protegir les teves dades:

  • Utilitza contrasenyes robustes i autenticació de dos factors.
  • Manté els teus dispositius i programari actualitzats.
  • Evita compartir informació sensible en xarxes públiques.
  • Sé cautelós amb els permisos que atorgues a les aplicacions.
  • Realitza còpies de seguretat de forma regular.

Per a les empreses

Les organitzacions han de:

  • Implementar polítiques de protecció de dades sòlides.
  • Formar els seus empleats en matèria de privacitat i seguretat. Invertir en formació en aquest àmbit pot prevenir de bretxes de seguretat o errors humans.
  • Designar un Delegat de Protecció de Dades quan sigui necessari.
  • Realitzar auditories periòdiques de compliment.

Recordem que la protecció de dades no és només una obligació legal, sinó una responsabilitat compartida que ens beneficia a tots.
Aquest Dia de la Protecció de Dades prenguem consciència i actuem per salvaguardar la nostra privacitat en el món digital.

Com sempre, cuideu les dades i cuideu-vos!

E-mails en periode de baixa: ¿intrusió digital o comunicació innòcua?

per

Què és el dret a la desconnexió digital?

Aquest dret està reconegut en l'article 88 de la nostra Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades i Garanties dels Drets Digitals (LOPDGDD) i es disposa com un requisit indispensable en una relació laboral per respectar el temps de descans, permisos i vacances, així com de la intimitat personal i familiar dels empleats.

Amb la incorporació del teletreball i les noves tecnologies, que no són més que eines que faciliten la comunicació a distància, els límits de la comunicació en l'àmbit laboral es tornen més difusos. Tanmateix, és important respectar l' horari laboral dels empleats i vetllar pel dret a la desconnexió digital.

Comentari de la STSJ de Madrid 534/2024, del 26 de juny de 2024

El passat 26 de juny, el Tribunal Superior de Justícia de Madrid va dictaminar que l'enviament de correus electrònics corporatius a una persona en situació d'incapacitat temporal no vulnera el dret a la desconnexió digital.

En aquest supòsit, el centre educatiu en el qual l' empleada estava de baixa li va enviar correus electrònics durant el seu període d' incapacitat temporal. Aquest fet planteja qüestions sobre el dret a la desconnexió digital dels treballadors, especialment durant períodes de baixa mèdica.

Cal destacar que la demandant va comunicar en reiterades ocasions que no contactessin amb ella i que, arran d'aquest fet, es van deixar d'enviar comunicacions. Per tant, el centre educatiu va respectar la sol·licitud de la treballadora de no ser contactada, en alineació amb el dret a la desconnexió digital.

En el seu recurs, la demandant va al·legar la vulneració de diversos articles relacionats amb la protecció de dades i el dret al descans, incloent-hi l'article 88 de la LOPDGDD i l 'article 18 de la Constitució Espanyola. Va argumentar que l'enviament d'emails durant la seva incapacitat temporal entorpia la seva recuperació i constituïa una intromissió en els seus drets.

La part demandada va al·legar que els correus electrònics van ser enviats  al compte corporatiu de la demandant com a membre de l'equip docent i que, a més, van ser enviats de manera automàtica en formar part del llistat de treballadors del centre, per la qual cosa la treballadora no tenia obligació d'obrir o llegir aquests correus durant el seu període d'incapacitat temporal.

A més, s'esmenta que, després de la sol·licitud de la demandant al juny de 2023, el seu compte va ser retirat dels grups de treball. Això indica una resposta positiva a la petició de desconnexió per part del centre educatiu.

Conclusió

La sentència distingeix entre els correus enviats des del compte del centre i els enviats per un individu des del seu compte personal. Això planteja qüestions sobre la responsabilitat institucional davant les accions individuals en matèria de desconnexió digital.

Aquest cas il·lustra la complexitat d'equilibrar la comunicació laboral amb el dret al descans i la desconnexió, especialment durant períodes d'incapacitat temporal. La sentència suggereix que, si bé inicialment hi va haver comunicacions no desitjades, el centre educatiu finalment va respectar la sol·licitud de desconnexió de la treballadora, per la qual cosa no hi va haver cap vulneració.

Podeu llegir la sentència aquí

Com sempre, cuideu les dades i cuideu-vos!

Xarxes socials: El miratge de la plaça pública al jardí privat

per

La Sentència del Tribunal Suprem nº593/2022, del 28 de juliol del 2022, aborda un cas paradigmàtic sobre l'ús d'imatges personals obtingudes de xarxes socials per part de mitjans de comunicació. Aquesta sentència destaca diversos punts crucials a tenir en compte especialment avui dia.   

El cas enfronta dos drets fonamentals: el dret a la imatge pròpia i el dret a la llibertat d'informació. Tot i que en aquest cas particular el Tribunal Suprem va considerar que prevalia el dret a la informació a causa de la rellevància pública del subjecte (implicat en un cas de narcotràfic) i l'interès informatiu de les imatges, no és la regla general, ja que cada cas s'ha d'avaluar individualment.   

D’igual manera, el Tribunal Suprem fa una ponderació entre els drets que s'han de respectar i realitza algunes precisions. 

Caràcter privat de les imatges a les xarxes socials 

És important subratllar que la publicació d'imatges a les xarxes socials no implica automàticament la pèrdua del seu caràcter privat. La sentència reconeix que els usuaris de xarxes socials segueixen sent titulars dels seus drets fonamentals del dret a la protecció de dades i a la pròpia imatge, fins i tot a l'entorn digital.  

És a dir, el fet que publiquem dades a les nostres xarxes socials no habilita a qualsevol a usar-les; les dades publicades no es converteixen en «públiques» ni el seu ús indegut eximeix a tercers de responsabilitats. 

En aquest sentit, doncs, el Tribunal estableix que el consentiment per publicar una imatge en xarxes socials no equival a un consentiment per utilitzar-lo en qualsevol altre context. És a dir, el consentiment ha de ser específic «a l’efecte» per al qual s'atorga i no s'estén automàticament a altres usos o finalitats. 

Necessitat de vigilància reforçada 

La sentència posa l'accent en la necessitat d'una «vigilància reforçada» davant dels nous mètodes d'obtenció d'informació a l'era digital. Això implica més responsabilitat per part dels mitjans de comunicació en utilitzar continguts de xarxes socials. 

Conclusió 

Aquesta resolució posa de manifest que, tot i que les xarxes socials han canviat la manera com compartim informació, els drets fonamentals continuen vigents a l'entorn digital i s'han de respectar de la mateixa manera.   

El fet que una imatge estigui disponible a xarxes socials no la converteix automàticament en pública per a qualsevol ús, i els mitjans de comunicació han de ser cautelosos, i tots hem de ser-ho, en utilitzar aquest tipus de contingut, respectant sempre els drets fonamentals dels individus.  

 Com sempre, cuideu les dades i cuideu-vos! 

Netflix: privadesa primer, si us plau!

per

Com deia Tim Cook, CEO d'Apple, en una declaració de 2018, "La nostra informació personal, des del quotidià fins al més íntim, s'ha convertit en una arma que s'utilitza contra nosaltres mateixos amb precisió militar. (...) Cada dia, es mouen milers de milions de dòlars i es prenen innombrables decisions sobre la base dels nostres gustos, amics i familiars, relacions i converses, desitjos i pors, esperances i somnis (...) Aquestes dades, inofensives per separat, són acuradament combinades, sintetitzades, analitzades, comercialitzades i venuts. Portat a l'extrem, aquest procés crea un perfil digital permanent de cadascun de nosaltres i permet a les empreses conèixer-nos millor de el que ens coneixem a nosaltres mateixos." (1)

Ja fa anys que es parla de l'economia de dades i dels nous models de negoci denominats "privacy-first", es a dir, aquells que avantposen la privacitat i que no requereixen de l'extracció de dades, ja que no monetitzen les dades personals. Ja sabem que no és fàcil per moltes empreses però no tenir molt present la privacitat té consequències.

La DDPA (Dutch Data Protection Authority), Agència neerlandesa de Protecció de Dades, ha proposat una sanció de 4'75M€ a Netflix a causa de la vulneració de certs principis del RGPD.

Arran d'una investigació iniciada el 2019 pel Centre Europeu per a Drets Digitals (NOYB, per les seves sigles en anglès de None Of Your Business), la DDPA ha conclòs que Netflix no oferia als clients informació suficient sobre el tractament de les seves dades personals entre el 2018 i el 2020 i la informació oferta no era transparent.

El Centre Europeu per a Drets Digitals, que és una organització sense ànim de lucre fundada a Viena el 2017, va ser el que va identificar les vulneracions del RGPD de Netflix—en especial, l'article 15—i va advertir l'Autoritat de Protecció de Dades austríaca, la qual va traslladar l'expedient a la neerlandesa, atès que Netflix té la seva seu europea a Països Baixos.

Segons l'Agència neerlandesa, la companyia de streaming no era prou clara en els següents punts:

  1. Base de legitimació per recollir i tractar les dades personals ( 6 RGPD).
  2. Comunicació de dades a tercers.
  3. Període de conservació de dades.
  4. Mesures de seguretat en transferències internacionals de dades.

D'altra banda, quan els usuaris es posaven en contacte amb Netflix per exercir els seus drets en l'àmbit de la protecció de dades, la companyia no oferia respostes clares al respecte.

Si bé la decisió de la DDPA ha estat celebrada per NOYB, Stefano Rosetti, advocat del Centre ha criticat el llarg període de temps—cinc anys—que ha transcorregut per adoptar una postura tenint en compte que «era un cas molt clar».

Netflix va actualitzar la seva política de privacitat el 2020 i ha ampliat la informació oferta als usuaris, però, s'ha oposat a la multa.

NOYB ha iniciat reclamacions similars contra Amazon, Apple Music, Spotify i Youtube. En el cas de Spotify, la IMY (Autoritat de Protecció de Dades sueca) va imposar una multa de 5M€ per vulnerar l'article 15 RGPD.

Per llegir la Resolució, feu clic aquí.

Recordeu, cuideu les dades i cuideu-vos!

(1)  Del Infome Digital Future Society. (2019). Privacy-first: un nuevo modelo de negocio para la era digital. Barcelona, España.

Límits del control empresarial: Quan registrar un despatx es converteix en delicte

per

El Tribunal Superior de Justícia de Madrid declara que el registre del despatx d' un treballador acomiadat, sense la seva presència ni la de representants legals ni notari, constitueix una vulneració dels drets fonamentals a la intimitat i a la dignitat.

En la STSJM 383/2024, el Tribunal considera que l'empresa va realitzar un registre del despatx de la treballadora sense les degudes garanties, començant pel fet que es va dur a terme el 22 de desembre de 2022, mateix dia del seu acomiadament.

Si bé l' empresa va oferir a la treballadora la devolució dels seus objectes personals, el mateix dia va procedir al registre del seu despatx, sense esperar-se a la seva resposta i sense cerciorar-se que la treballadora hagués rebut la carta d' acomiadament. A més, a banda de realitzar-se sense la presència de la treballadora ni de cap membre del comitè d'empresa ni d'un altre empleat que pogués actuar com a testimoni, es va forçar un armari tancat amb clau i es va accedir a la calaixera de la taula de l'escriptori, en la qual hi havia estris personals i material de treball.

La part demandada al·lega que «l'accés al despatx de la demandant va ser idoni, necessari i proporcionat, per recuperar la documentació confidencial que la treballadora hi deia guardava». El Tribunal, però, indica que «aquesta afirmació no es correspon amb les afirmacions declarades provades, com afirmar que la demandada guardava documentació confidencial i jurídica de la seva propietat al despatx de la treballadora».

El Tribunal recorda que, si bé en l' art. 20.3 ET s' atribueix a l' empresari la facultat d' adoptar les mesures que estimi més oportunes de vigilància i control per verificar el compliment pel treballador de les seves obligacions i deures laborals, guardant en la seva adopció i aplicació la consideració deguda a la seva dignitat humana, cal tenir en compte que,  en aplicació d'aquesta necessària adaptabilitat dels drets del treballador als raonables requeriments de l'organització productiva en què s'integra, s'ha afirmat que manifestacions de l'exercici d'aquells que en un altre context serien legítimes, no ho són quan el seu exercici es valora en el marc de la relació laboral.»

En conseqüència, el Tribunal Superior donarà suport a la valoració de la jutjadora d' Instància i dictamina que aquestes accions no superen el test de proporcionalitat ni idoneïtat exigit per la doctrina del Tribunal Constitucional.

Conclusió

El Tribunal Superior de Justícia de Madrid confirma la sentència d'instància que va declarar la vulneració del dret a la intimitat personal de la treballadora i manté la indemnització de 8.000€ que l'empresa li ha d'abonar per aquesta vulneració. Aquesta decisió subratlla la importància de respectar els procediments adequats i les garanties legals en realitzar registres en els espais de treball dels empleats, especialment en situacions sensibles com un acomiadament.

Pot llegir la sentència aquí.

Com sempre, cuideu les dades i cuideu-vos!

Entre likes i difamacions: El delicat equilibri de l’honor en l’era digital

per

Les xarxes socials han esdevingut un fòrum públic amb gran presència en la nostra societat, en el qual freqüentment es produeixen intromissions que poden vulnerar el dret a l' honor d' individus i organitzacions. Aquest escenari planteja un desafiament legal i ètic en l'era digital, en què l'equilibri entre la llibertat d'expressió i la protecció de la reputació es torna cada vegada més complex.

El dret a l'honor està protegit a Espanya per la Llei Orgànica 1/1982, de 5 de maig, de protecció civil del dret a l'honor, a la intimitat personal i familiar i a la pròpia imatge. Aquesta llei defineix la intromissió il·legítima com aquella que afecta la reputació, fama o estimació social d'una persona, considerant la gravetat del dany produït i la difusió o potencial audiència del mitjà emprat.

En el context de les xarxes socials, la vulneració del dret a l' honor pot ocórrer a través de publicacions difamatòries. No obstant això, no qualsevol contingut és considerat una vulneració; ha de tenir un impacte quantificable en termes de visualitzacions, «m'agrada» o compartits.

La jurisprudència ha establert criteris per avaluar aquestes situacions. El Tribunal Suprem, en la seva Sentència nº 476/2018, de 20 de juliol, va ponderar el dret a la llibertat d'expressió davant el dret a l'honor. La sentència va establir la inexistència d'intromissió il·legítima en el dret a l'honor quan es tracta d'opinions i comentaris sarcàstics sobre fets veraços que presenten un cert interès general, sempre que no s'emprin expressions insultants o vexatòries.

No obstant això, la mateixa sentència va reconèixer que pot existir una intromissió il·legítima en el dret a la intimitat quan es difon informació sobre situacions personals, com una baixa laboral, especialment si aquesta informació s'obté a través de l'activitat professional.

És important destacar que el Tribunal Suprem ha descartat l'admissió del «dret a l'insult», excloent les expressions vexatòries i les crítiques excessivament ofensives. Això estableix un límit clar a la llibertat d'expressió a les xarxes socials.

D'altra banda, la Sentència nº747/2022, del 3 de novembre de 2022, va subratllar que les expressions han de ser valorades en el seu context, no de forma aïllada. Si bé aquest criteri contradiu les resolucions d'instàncies inferiors, el Tribunal Suprem va concloure que hi ha situacions en què, una vegada analitzades en la seva totalitat, no s'aprecia intromissió il·legítima a l'honor realment.

En el cas de les persones jurídiques, també es reconeix el seu dret a l' honor en l' ordenament jurídic espanyol. La via civil es considera la més efectiva per a la seva protecció, ja que el dret penal en aquest àmbit s' aplica com a última ràtio.

Així mateix, la responsabilitat de les plataformes de xarxes socials en la protecció del dret a l' honor és un tema de creixent importància. La Llei de Serveis de la Societat de la Informació i de Comerç Electrònic (LSSI) i la Llei de Serveis Digitals de la Unió Europea (DSA) aborden la responsabilitat dels intermediaris en aquests casos.

En conclusió, la protecció del dret a l' honor a les xarxes socials requereix una acurada ponderació entre la llibertat d' expressió i el dret a la reputació. Els tribunals han establert criteris per avaluar cada cas, considerant factors com la veracitat de la informació, l' interès públic i l' absència d' expressions insultants.

Tant individus com organitzacions han de ser conscients d' aquests límits en expressar-se a les xarxes socials, mentre que les plataformes tenen una creixent responsabilitat en la moderació de continguts potencialment difamatoris.

Com sempre, cuideu les dades i cuideu-vos!

Revisió Texts legals web