Ricard Castellet

Competencia desleal, ¡cuidado que vienen curvas!

por

Poco a poco, sin prisa pero sin pausa, la legislación se va poniendo a tono en cuanto a Internet. Ante nuevos retos, el legislador, a pesar de que con retraso, va ajustando el derecho a las conductas que necesitan regulación. Y este es el caso con el nuevo Real decreto ley 24/2021 que, entre otras cosas, introduce nuevas medidas para prohibir la publicidad encubierta en redes sociales y evitar las reseñas falsas en los bienes o servicios en la venta a través de Internet.

El Decreto, que traspone varias directivas de la Unión Europea, modifica tanto la Ley General por la Defensa de los Consumidores y Usuarios como la Ley 3/1991, de 10 de enero, de Competencia Desleal. Las modificaciones entrarán en vigor el 28 de mayo de 2022, a excepción del apartado decimosexto del artículo 82 relativo a los datos personales del consumidor o usuario, la entrada en vigor del cual está prevista para el 1 de enero de 2022.

En cuanto a la primera, defensa de consumidores y usuarios, se añaden dos nuevos apartados en el artículo 20, relativo a la Información necesaria en la oferta comercial de bienes y servicios. El primero hace referencia a nuevos requisitos de transparencia en los motores de investigación puesto que será obligado facilitar los criterios que se han tenido en cuenta para posicionar los resultados y su relevancia. La información tiene que mostrarse junto a los propios resultados.

El segundo se refiere a las reseñas e indica que se tendrá que informar al consumidor si se garantiza que han sido hechas por compradores validados del producto y hay que explicar cómo se procesan.

Por lo que se refiere a las modificaciones en la Ley de Competencia Desleal se reforma el artículo 26 que hace referencia a las Prácticas comerciales encubiertas. A partir de ahora lo serán aquellas que no especifiquen que se trata de un contenido publicitario las informaciones destinadas a promocionar un producto o servicio pagando el empresario o el profesional encargado de la promoción. Y en el artículo siguiente, se añaden como prácticas engañosas añadir reseñas de consumidores y usuarios sin garantizar que son reales o contratar a terceros para incluir valoraciones de consumidores falsas con el fin de promocionar productos o servicios.

En definitiva, más medidas de seguridad para aumentar la protección del consumidor en Internet. Muchas veces, por prisas o porque tomamos decisiones viendo la información en el móvil, los consumidores y usuarios están desamparados y se equivocan con consecuencias imprevisibles. Y a las empresas y a los profesionales de la promoción enviarlos el mensaje de que, además de cumplir con la legislación vigente, conviene que vayan desestimando prácticas que contradicen la buena fe imprescindible para el tráfico comercial próspero.

Como siempre, ¡Cuidaos!

Registro de Jornada y Datos biométricos, una relación difícil

por

El tratamiento de datos biométricos siempre comporta una dificultad añadida cómo es la de realizar la obligatoria Evaluación de Impacto (EIPD). La identificación biométrica implica el tratamiento de categorías especiales de datos para las cuales el Reglamento requiere garantías reforzadas. Las identificaciones más comunes de este tipo son la facial y la huella digital. De esta última y de las consecuencias de hacerlo mal hablamos en este post.

Y es que la AEPD acaba de sancionar a una empresa por implantar indebidamente un registro de jornada laboral mediante la huella digital. En la resolución se imputa a la reclamada que, al tratarse de datos de categoría especial y existiendo la obligación  de hacer una Evaluación de Impacto, incumplió el artículo 35 RGPD. Este artículo dice que cuando sea probable que el tratamiento, en especial si se usan nuevas tecnologías, puede comportar un alto riesgo para los derechos y libertades de las personas físicas, el responsable realizará, antes del tratamiento, una Evaluación de Impacto de las operaciones de tratamiento en la protección de datos personales.

En la Resolución, la AEPD considera que la empresa trataba datos de categoría especial, datos biométricos, pero la empresa insiste en que la tecnología empleada es la de verificación / autenticación biométrica que no entra en la categoría especial de datos y, en consecuencia, no exigiría la realización de EIPD. Los datos de identificación biométrica que permiten identificar de manera unívoca a una persona física serían las que obligarían a realizar la Evaluación, como es el caso que nos ocupa.

También señala la Resolución que existen medios menos intrusivos para mantener este tipo de registros y que la tecnología empleada no superaba el necesario juicio de proporcionalidad que se tenía que haber hecho y que hay sistemas alternativos como, por ejemplo, tarjetas identificativas.

Desde el punto de vista laboral, la Agencia considera que las empresas no tendrían que ampararse en el consentimiento como base legitimadora del tratamiento, salvo que se trate de casos excepcionales. Esto es porque no se parte de una posición de equilibrio entre las partes ya que en la relación laboral hay una relación de subordinación. El consentimiento solo puede ser válido si el interesado puede realmente elegir y no existe un elemento de compulsión, presión o incapacidad para ejercer la libre voluntad. Además, tiene que ser posible retirarlo en cualquier momento, sin coste ni desventaja para el interesado, y se tienen que ofrecer alternativas. Por último, los interesados tienen derecho a la supresión de los datos cuando el consentimiento se ha retirado.

Como conclusión, decir que la tecnología de reconocimiento biométrico es muy invasiva, que hay que distinguir entre identificación biométrica (requiere Evaluación de Impacto) y autenticación biométrica, menos intrusiva, y que hay sistemas más proporcionados para llevar el control de la jornada horaria de los trabajadores. Importante tener esto en cuenta, porque la sanción asciende a 20.000 € para este caso concreto.

Como siempre, cuidaos!

Octubre: Mes Europeo de la Ciberseguridad (2021)

por

A punto de dejar atrás el proclamado Mes Europeo de la Ciberseguridad (2021), aprovechamos para hacer algunas consideraciones respecto a un tema que, a pesar de las evidencias que tenemos día a día, no acaba de arraigar en la conciencia de los usuarios, de las empresas ni incluso de la Administración Pública.

El lema de la campaña de este año es “Antes de hacer clic, piensa”. Es un eslogan simple pero, precisamente por eso, fácil de recordar y cargado de sentido. La seguridad empieza por conocer todas las consecuencias que puede tener un clic a un enlace que de primeras nos puede parecer inofensivo. A partir de aquí, tenemos que ser conscientes de que la seguridad empieza por un mismo.

“Los ciberataques ponen en riesgo nuestros negocios, nuestras infraestructuras críticas, nuestros datos y el funcionamiento de nuestras democracias”, asegura el Vicepresidente europeo por la Promoción de nuestro Modo de Vida Europeo.

Estamos abocados, cada vez mes, a vivir en un mundo digital (otro día hablaremos de los “metaversos”, entornos donde se interactua social y económicamente con unos avatares, a través de un apoyo lógico en un ciberespacio; al paso que vamos, las películas de ciencia ficción que hemos visto hasta ahora se quedarán muy cortas en sus expectativas) y los ciberdelincuentes aprovechan cualquier vulnerabilidad de nuestro entorno digital para aprovecharse.

Según el último informe de la aseguradora HISCOX, la proporción de víctimas de un ciberataque aumentó del 38% al 43%; una de cada seis empresas víctimas de un ciberataque dicen que su supervivencia está amenazada; los presupuestos de TIC dedicados a la ciberseguridad han subido un 63% y el ransomware se ha convertido en una cosa frecuente: más del 50% de las empresas afectadas pagaron un rescate.

La pandemia ha hecho aumentar los riesgos exponencialmente. El teletrabajo, llevado a cabo de forma precaria obligados por las circunstancias, ha supuesto la exposición de vulnerabilidades de las empresas. Falta de protocolos, de cultura de la ciberseguridad y de recursos TIC han llevado al límite a muchos autónomos, empresas e, incluso, a la Administración Pública (recordamos el ataque al SEPE del marzo pasado que se repitió el junio).

Y todavía tenemos que ser más cautelosos que nunca con el teléfono móvil dado que ya son la principal vía de entrada de ciberataques corporativos en España (aproximadamente el 41% del total de los producidos en el 2021).

Los ataques son de diversa naturaleza: desde el clásico virus informático hasta el cada vez más presente ransomware, pasando para comprometer el mail corporativo, ataques DDoS y pérdidas de datos. Y el phishing continúa siendo la estrella.

En España, INCIBE, el CCN (Centro Criptològico Nacional), la OSI (Oficina de Seguridad del Internauta) y is4k (Internet Segura for KIDS) son los principales recursos públicos en materia de ciberseguridad. En Cataluña, además, disponemos de la Agencia de Ciberseguridad de Cataluña.

Como siempre, y ahora más que nunca, cuidaos!

Fotos y Redes sociales, amistades peligrosas

por

No hace falta recordar la implantación de las redes sociales en nuestra sociedad, con tasas de penetración entre los internautas superiores al 80% en Whatsapp o Facebook, y de la facilidad que nos ofrece la tecnología para hacer fotografías (o copiarlas) para subirlas en las redes y distribuirlas en segundos a millones de usuarios. Lejos queda aquella fotografía analógica que quizás tenía más “glamur” pero, por supuesto, no tenía las ventajas de las fotografías digitales. Pero estas ventajas, si no somos cuidadosos, nos pueden complicar mucho la vida.

Y esto viene a cuenta por la alerta de la Fiscalía de Delitos Informáticos de Barcelona sobre el aumento, coincidiendo con la pandemia, de denuncias ante la policía por la captación de fotos que las adolescentes, principalmente chicas entre 12 y 18 años, cuelgan en las redes sociales para utilizarlas como reclamo en portales pornográficos de pago a Internet.

Habéis leído bien. Las adolescentes -desde los 12 años- suben fotos con poca ropa o en bikini y en posturas más o menos explícitas, para atraer más seguidores. Y las web pornográficas usan estas imágenes para promocionar sus propias páginas, aprovechándose incluso, de la popularidad que estas chicas pueden tener como “influencers”.

A pesar de ser llamativa esta utilización injusta de las fotografías como anzuelo, no es ni de lejos la única amistad peligrosa que podemos encontrar en el binomio fotos y redes. Aquí recogemos algunos.

Menores. Los progenitores, independientemente de su estado civil, son los responsables de que se respeten el derecho a la imagen, al honor y a la intimidad del menor. Y son los que tienen que autorizar que se compartan imágenes de sus hijos. A partir de los 14 años pero, según la Ley Orgánica 3/2018 (LOPD), es el menor quien tiene que autorizar la publicación.

Derechos de autor. Partiendo de la Ley de Propiedad intelectual, tenemos que tomar precauciones para respetar los derechos de autor. Tenemos que recordar que los derechos de explotación de las fotografías pertenecen en exclusiva a su autor. Para compartir fotografías en las redes sociales, tenemos que contar con una autorización exprés del autor. Otro día profundizaremos más en este tema.

Ámbito laboral. El uso indebido de las redes sociales en horario laboral puede ser un agravante en caso de despido disciplinario. A tal ejemplo, fotografiarse conduciendo el vehículo de empresa en horario laboral sobrepasando el límite de velocidad o publicar una foto en Facebook, identificándose cómo trabajador de la empresa, recomendando a sus seguidores no comprar en esta empresa.

Delitos. Subir fotografías en la red puede ser constitutivo de delito en determinados casos. Los más conocidos son el Cyberbullying (acoso), Stalking (persecución), Grooming (pederastas en Internet) o Sextorsión (chantaje sexual). Por parte de las víctimas existen comportamientos que, a pesar de ser inocentes, ponen en peligro su intimidad y pueden dar pie a ser atacados. Hablan de Oversharing (sobreexposición), Sharenting (sobrecompartició) o Sexting (enviar/recibir fotografías más o menos explícitas).

Consecuencias del uso indebido. En función de la naturaleza de la conducta, la gravedad y su encaje penal, nos podemos encontrar desde una multa hasta una condena a prisión. Por eso hay que estar muy atento a estas “amistades peligrosas.

Como siempre, ¡cuidaos!

Whatsapp: el coste de las cosas mal hechas

por

Cuando llega septiembre, los grupos de Whatsapp se multiplican sin control. Empezando por las escuelas que hacen grupos de padres (de clase, de natación, ...) hasta los grupos deportivos para jugar a pádel o a fútbol, pasando por todo tipo de colectivos (una boda, por trabajo, etc.) de lo más variado, todo el mundo se anima a apuntarse y a apuntar otros a los grupos. Pero como todo, se tiene que hacer bien para no sufrir las consecuencias.

Incluir en un grupo a personas sin su consentimiento puede comportar sanciones económicas. Esto es el que le ha pasado a un Club deportivo el cual, en una reciente resolución de lo Agencia Española de Protección de Datos (AEPD), ha sido sancionado con una multa de 4.000€ por añadir el número de teléfono de una usuaria a un grupo de Whatsapp sin pedirle autorización.

Se trata de una infracción administrativa que puede ser sancionada con una multa de hasta 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% del volumen de negocio total anual global del ejercicio financiero anterior. Sin embargo, la AEPD considera graduar la sanción al entender que la acción ha estado negligente no intencional, pero significativa puesto que, a pesar de que la reclamante no es clienta desde hace más de 10 años, el Club todavía conservaba sus datos. El centro deportivo debería haber dado de baja los datos cuando dejó de ser socia.

Además, el Club ha tratado los datos personales de la reclamante sin su consentimiento. La ley determina que el tratamiento solo será lícito si el interesado ha dado su permiso para el tratamiento específico.

El Club también cometió dos infracciones más, contra la seguridad del tratamiento, por no garantizar la confidencialidad de los datos como consecuencia de unas medidas de seguridad (técnicas y organizativas) inadecuadas.

Por cada una de las infracciones, la AEPD impone una sanción de 1.000€ que suman un total de 4.000€.

Aprovechamos para recordar, y para ahorrar disgustos, que la normativa no se aplica al tratamiento de datos personales llevado a cabo por una persona física en el ejercicio de actividades exclusivamente personales o domésticas (por ejemplo, en un grupo de WhatsApp para celebrar un cumpleaños o una reunión de antiguos alumnos creado por un padre o un ex-alumno). Como las distinciones no son siempre claras, recomendamos, en caso de duda, realizar una consulta previa con un experto en la materia. Más vale prevenir que curar.

Y recomendar, como siempre, hacer las cosas bien y que tenemos que medir las consecuencias no tan solo en términos económicos, que también, sino en términos reputacionales, que siempre son más onerosos para el profesional o la empresa.

Cuidaos!

¿Facebook? ¿Qué sorpresa?

por

Frances Haugen, de 37 años, que trabajaba como responsable de producto en el equipo de integridad cívica de Facebook (FB), fue entrevistada domingo por CBS. Dijo que los documentos que filtró demostraban que Facebook priorizaba repetidamente el "crecimiento por encima de la seguridad". Facebook dijo que las filtraciones eran engañosas y que habían pasado por alto las investigaciones positivas realizadas por la compañía.

Cómo dice el titular, ¡qué sorpresa! Ya hace muchos años que FB es fuente de controversia por sus prácticas que se pueden calificar, como poco, de oscuras o de delictivas directamente. Recordamos el famoso escándalo de Cambridge Analytica con el uso de información de millones de usuarios sin su consentimiento para comercializarlos ilegalmente con terceros. Desde tratar a las personalidades de manera diferente según sesgos interesados hasta ser acusado de dar una respuesta “débil” a las preocupaciones de sus trabajadores sobre el tráfico de personas, pasando por afrontar demandas de sus propios accionistas o hacerse autopublicidad a través de los feeds de noticias de los usuarios para mejorar su imagen. Todo son ejemplos de mala praxis como poco. Whatsapp, compartiendo información de los usuarios con FB, y Instagram acusada por las adolescentes de hacerlas sentir mal con su cuerpo, tampoco se libran. 

Y, mientras tanto, el penúltimo susto lo hemos sufrido esta misma semana con la caída simultánea de toda la red de FB (además de FB, cayeron Whatsapp, Instagram, Messenger y Oculus) y la interrupción de los servicios que ha afectado a millones de usuarios. Incluso a trabajadores de FB que no se podían comunicar entre ellos y que tuvieron que usar herramientas alternativas de la competencia. Está claro que esto deber una cuestión del karma. No hay otra.

Y decía penúltimo susto porque, y todavía no ha acabado la semana, ayer se publicaban informaciones que aseguran que están a la venta datos personales de más de 1.500 millones de usuarios de FB en foros de hackers. Si la noticia se confirma, ya que siempre conviene ser cauteloso con este tipo de información, definitivamente, esta no es la semana de Marck Zuckerberg.

A propósito de todo esto, podemos hacer un par de reflexiones sobre la marcha. La primera, obvia, es que el modelo de negocio de FB necesita regularse. Parece evidente que la autoregulación por parte de las big-tech (no hablamos solo de FB) no funciona. Estas compañías han experimentado, en veinte años, unos crecimiento exponenciales que se los ha proporcionado unos poderes y una influencia (sobre usuarios, empresas y, incluso, gobiernos) extraordinarios, sustentados con unos rendimientos económicos fabulosos. No había estado nunca al alcance de nadie poder dirigirse simultánea e instantáneamente a miles de millones de habitantes con cualquier mensaje sin ninguna traba. Y, además, poder hacer con los datos personales, literalmente, lo que les interese en cada momento.

La segunda reflexión, también obvia, es que, en este estado de la cuestión y a modo individual, tenemos que poner nuestros medios para preservar nuestra privacidad. Conductas adecuadas, protocolos, herramientas y todo aquello que esté a nuestro alcance lo tenemos que poner en marcha por nuestra cuenta.

Como siempre, cuidaos!

Candidatos, curriculums y empresas

por

Pasado el verano empieza un nuevo curso académico, político, judicial, deportivo y, en general, en todas aquellas áreas sociales que aprovechan las vacaciones para descansar. Y, en el entorno laboral, a las empresas y personas candidatas se los gira bastante trabajo. Unas, porque quieren contratar talento y las otras porque quieren fichar por la mejor empresa posible. En cualquier caso, es una época de prisas y nervios pero también de ilusión, que, a menudo, nos hace cometer errores. A unos y a otros.

Todo esto viene por un par de noticias que afectan a las empresas y a los candidatos.

La primera, muy reciente, hace referencia a la sanción impuesta por la AEPD a una empresa por no responder a los candidatos que se inscriben a una oferta de trabajo ni informarlo del tratamiento que tendrán sus datos personales. Lo hablamos días atrás.

El otro, de hace más tiempo, recogía el caso de una candidata que mintió en su currículum para conseguir un trabajo en Australia. Tuvo que pagar una indemnización y, después, entró en prisión. Otro día nos ocuparemos de este tema.

Las dos noticias juntas ponen de manifiesto que empresas y candidatos tienen que observar unas reglas del juego básicas para no infringir la normativa y entender que no hacerlo puede tener consecuencias graves. Por eso hoy recogemos, a modo de recordatorio, algunas otras conductas a observar en el proceso de selección y contratación de personas en las empresas.

Consentimiento. En la fase de selección no es necesario el consentimiento de la persona candidata. La empresa está legitimada porque el tratamiento es necesario por la ejecución de un contrato en el que el candidato es parte o por la aplicación, a petición de este, de medidas precontractuales (arte. 6.1.b) RGPD).

Información. La empresa, en cambio, tiene el deber de informar del tratamiento, el que constituye una garantía para la persona candidata. Y lo tiene que hacer de una manera concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo.

Vida laboral. La empresa, acreditando un interés legítimo, puede solicitar un informe de vida laboral para comprobar la veracidad y experiencia del currículum.

Oferta de trabajo. Las ofertas de trabajo se tienen que redactar en términos neutros (no pedir sexo, edad, raza, creencias políticas o religiosas, etc.) y recordar que las funciones especificadas son vinculantes. Y si se incluye la alternativa de teletrabajo, el candidato lo puede reclamar posteriormente sino se le proporciona.

Entrevista de trabajo. En la entrevista de trabajo, las respuestas no equivalen a un consentimiento y si hacemos preguntas sobre datos de categoría especial (salud, orientación sexual, opiniones políticas, afiliación sindical, datos genéticos, etc.) se tendrán que tomar medidas adicionales. Evitamos anotar juicios de valor y vigilamos si los datos recogidos pueden dar lugar a discriminaciones contrarías al principio constitucional de igualdad. Supondría una infracción administrativa grave.

Redes sociales. Los candidatos no están obligados a permitir la investigación del empleador en los perfiles de las redes sociales, exceptuando supuestos específicos y siempre que el candidato sea informado.

Conservación y eliminación. Acabado el proceso de selección, si la persona no es contratada será necesario su consentimiento para un futuro tratamiento, salvo que el empleador pueda demostrar interés legítimo (base de legitimación). Si no, eliminará el currículum con toda la documentación asociada.

Medidas de seguridad. La empresa tiene que garantizar la confidencialidad y el secreto profesional, incluso, cuando haya acabado la relación. Por eso tiene que tener implementadas las medidas de seguridad que garantizan, además, la disponibilidad y la integridad de los datos.

Naturalmente, hemos recogido aquí algunas de las situaciones más comunes que se pueden dar en el tratamiento de datos durante el proceso de selección de candidatos. Como siempre, es importando un buen asesoramiento profesional que impida cometer errores que nos pueden dar sorpresas desagradables.

Cuidaos!

Nota: el contenido del post no puede sustituir en ningún caso el asesoramiento profesional que podéis pedir aquí.

Videovigilancia, despido y protección de datos

por

En una reciente sentencia, el Tribunal Supremo ha admitido que un despido se pruebe con un video que vulnera la protección de datos. El Supremo afirma que la grabación puede ser admisible en un procedimiento laboral aunque en otro procedimiento se establezca que atenta contra la normativa de privacidad. Esta diferenciación tiene importantes consecuencias, como veremos a continuación.

El caso se dio cuando una empresa de seguridad despidió a un guardia de seguridad por transgresión de la buena fe contractual, fraude, abuso de confianza y deslealtad al no llevar a cabo las tareas encomendadas (revisión de vehículos en la entrada del recinto) por la empresa y firmar y librar los registros diarios como que efectivamente se habían hecho.

Según la resolución conocida días atrás, lo relevante es que el trabajador conocía la existencia del sistema de videovigilancia y que la grabación es válida como prueba, sin perjuicio que la empresa pueda tener otras responsabilidades en el ámbito de la normativa de protección de datos. En consecuencia, el Supremo obliga a repetir el juicio en el que las imágenes no fueron admitidas como prueba.

La Sala de lo Social del Supremo recuerda que el artículo 89.1 de la Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) establece que, en el supuesto de comisión flagrante de un acto ilícito por parte del trabajador, y siguiendo la sentencia del TEDH conocida cómo López Ribalda II, se entenderá cumplido el deber de informar cuando exista un dispositivo informativo con datos pertinentes y claramente visible. No es obligado especificar “la finalidad exacta que se ha asignado al control en cuestión”.

Al empresario, pero, es a quien le corresponde aportar las pruebas necesarias para demostrar la veracidad de los hechos imputados a la carta de despido. En esta línea, el Supremo añade que, de acuerdo con el artículo 24.2 de la Constitución, el empresario tiene derecho a utilizar “los medios de prueba pertinentes para su defensa”.

Dice también la sentencia que el hecho de que las cámaras fueran de Ifema y no de Securitas puede ser relevante desde el punto de vista de la protección de datos pero no tiene que llevar a impedir que Securitas aporte en un juicio laboral unas grabaciones que pueden ser necesarias para satisfacer la carga de la prueba que sobre ella recae.

En este caso, el Supremo entiende que la prueba era “una medida justificada, idónea, necesaria y proporcionada al fin perseguido” satisfaciendo así las exigencias de proporcionalidad que imponen la jurisprudencia del constitucional y el TEDH.

Por todo el expuesto, el Supremo admite el recurso de casación planteado por la empresa y devuelve el asunto al juzgado de lo Social que resolvió en primera instancia, mandando que celebre un nuevo juicio admitiendo las grabaciones como prueba.

Esta resolución abre una puerta interesante cuando asegura que “nuestro examen se ha de ceñir a si la prueba debió o no admitirse, sin que deba extenderse a si se cumplieron todos los requerimientos de la legislación de protección de datos, tanto desde la perspectiva de la relación de la empresa con el trabajador despedido, como de la relación entre Securitas e Ifema”.

Como siempre, cuidaos!

¿Es obligatorio contestar a las demandas de empleo?

por

Estamos en unas circunstancias económicas que hace que las demandas de empleo sean bastante elevadas. Las empresas reciben un número creciente de currículums, muchos de ellos no solicitados, que se tienen que gestionar, entre otros, desde el punto de vista de la Protección de Datos. A raíz de una resolución de la AEPD, hoy nos ocupamos de uno de ellos: la obligatoriedad de la empresa de informar sobre que hará con el CV.

Hasta ahora, no responder a los candidatos que se inscriben a una oferta de trabajo ni informarle del tratamiento que tendrán sus datos personales es un práctica habitual en las empresas por diferentes razones: falta de protocolos, de información, desinterés o, simplemente, saturación de trabajo.

Pero esta situación puede cambiar radicalmente porque la Agencia Española de Protección de Datos (AEPD) acaba de sancionar a una empresa con 2.000€ de multa por no identificar de forma apropiada al responsable del tratamiento, ni comunicar al candidato la posibilidad de ejercer sus derechos ante el responsable del tratamiento, ni el destino que iban a tener sus datos. Además, la entidad reclamada no disponía de Delegado de Protección de Datos (DPD).

El trámite se efectuó por WhatsApp, lo cual nos pone en alerta porque cuando abrimos un canal de comunicación nuevo, como puede ser un sistema de mensajería frente al convencional correo electrónico, tenemos que ser cuidadosos e implantar un protocolo en la empresa que tenga en cuenta las particularidades y especificaciones del canal para evitar sorpresas posteriores. En el presente caso, el candidato contactó por teléfono y remitió el CV por WhatsApp, sin recibir acuse de recibo.

El candidato remitió a la AEPD los pantallazos con los mensajes intercambiados por WhatsApp, en las que no aparece ninguna información relativa al tratamiento de los datos. La empresa reclamada no procedió a presentar alegaciones ni pruebas en el plazo de audiencia por lo cual la Agencia continuó con el procedimiento.

La AEPD considera que se ha infringido el artículo 13 del RGPD que hace referencia a la información sobre el tratamiento que se tiene que facilitar a los interesados cuando los datos personales provienen de él mismo, así como el resto de información necesaria para garantizar un tratamiento de datos leal y transparente.

Otro día hablaremos del resto de obligaciones que tenemos hacia los candidatos como la manera y el tiempo de conservación de los currículums y de los protocolos que la empresa tiene que tener implantados para dar respuesta a las candidaturas. Pero lo que nos tiene que quedar claro es que tenemos que estar bien asesorados y cumplir con nuestras obligaciones. De otro manera, podemos ser sancionados y, lo que es peor, sufrir una pérdida reputacional que puede costar mucho de recuperar.

Mientras tanto, ¡cuidaos!

Revisión Textos Legales Web