Privacidad en peligro: sancionan a una inmobiliaria por espiar buzones sin consentimiento

Un extrabajador de ESTUDIO ALCAZAR DEL GENIL 2022, S.L denunció a la inmobiliaria ante la AEPD por haber sido obligado a tomar fotos de buzones de comunidades de vecinos para crear una base de datos de posibles clientes, sin permiso ni información previa a los afectados. Al negarse, fue despedido.


Durante la investigación, la AEPD confirmó que se recopilaron datos personales (nombres, direcciones, puertas y plantas) sin consentimiento y que se subieron a una base de datos utilizada con fines comerciales.


Fundamentos Jurídicos Clave


¿Qué se considera un dato personal?


Según el Reglamento General de Protección de Datos (RGPD), cualquier información que identifique o pueda identificar a una persona, como nombre, dirección o incluso datos de un buzón, se considera dato personal.


¿Qué se entiende como tratamiento de datos?


El tratamiento de datos implica cualquier acción sobre esos datos: recogerlos, almacenarlos, usarlos, etc.


¿Se puede hacer lo que hizo la empresa?


No. El artículo 6 del RGPD exige una base legal para tratar datos personales. Por ejemplo, el consentimiento del afectado, un contrato, una obligación legal o un interés legítimo que no dañe los derechos del ciudadano.


En este caso, la empresa no tenía ninguna base legal, ya que no pidió permiso ni informó a los vecinos, y tampoco se trataba de una fuente pública ni había otro motivo que lo justificara.


Infracción


La AEPD concluye que Estudio Alcázar cometió una infracción muy grave por tratar datos personales sin base legal (art. 6 RGPD), además de ser consciente de la infracción (art. 83.2.b) RGPD), pues la supervisora del extrabajador le reconoció que esta práctica formaba parte de la metodología implementada para la gestión de zonas.


Además, la inmobiliaria no informó a los titulares de los datos recabados ningún tipo de información sobre dicho tratamiento. Esto supone una vulneración del art. 14 RGPD, el cual establece la obligación del responsable del tratamiento de proporcionar información clara y accesible al interesado cuando los datos personales no han sido obtenidos directamente de él.


Sanción


La AEPD impuso una sanción de 20.000€, que, tras el reconocimiento de su responsabilidad y pago voluntario, quedó reducida a 12.000€.


Conclusión


Este caso pone en evidencia algo fundamental: el nombre del buzón es un dato protegido por ley. Nadie puede recopilar esa información sin el permiso del titular para usarla con fines comerciales. Las empresas tienen la obligación de respetar su privacidad y solo pueden usar sus datos cuando tienen una base legal clara. Si no es así, se enfrentan a sanciones como esta.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

Confidencialidad Vulnerada: La Importancia del Deber de Confidencialidad en Canales de Denuncias

La Agencia Española de Protección de Datos (AEPD) ha sancionado a SERVICIOS ESPECIALES, S.A. con 200.000€ por no cumplir con el deber de confidencialidad en las denuncias realizadas en el ámbito laboral.


La resolución se fundamenta en dos reclamaciones presentadas por trabajadores que denunciaron la vulneración de la confidencialidad en el tratamiento de datos personales durante un protocolo de acoso laboral. La empresa divulgó información sensible, incluyendo nombres y apellidos de los denunciantes y denunciados, lo cual generó consecuencias negativas para los afectados, como ataques de ansiedad y exposición pública en el entorno laboral.


Si bien todo inició con la activación del protocolo de acoso laboral, la Empresa finalizó el proceso adjuntando la resolución a cada uno de los denunciantes—5 en total—, lo cual destapaba la identidad de cada uno de los ellos (pues se exponían tanto sus nombres y apellidos como sus puestos de trabajo) y de los denunciados—10 en total—a los cuales también se reenvió la resolución.


Como consecuencia, uno de los denunciados, a través de un grupo de WhatsApp del trabajo y el mismo día del conocimiento de la resolución, envió un emoji de un beso y la frase: «Gracias por la denuncia». Este hecho le generó a una de las denunciantes un ataque de ansiedad, por el cual se acogió a la baja médica.


Por su parte, la empresa alegó que «todos sabían ya quiénes eran», por lo que el anonimato no fue solicitado expresamente y que, además, el Comité de Empresa que llevó a cabo el protocolo tampoco lo pidió.


Es necesario recordar que el artículo 5.1.f) del Reglamento General de Protección de Datos (RGPD) establece el principio de integridad y confidencialidad e indica que los datos personales deben ser tratados de manera que se garantice una seguridad adecuada, por lo cual debe evitarse el acceso no autorizado o ilícito y protegerse contra su pérdida o daño accidental.


En este caso, la empresa vulneró este principio al permitir el acceso a datos personales sensibles (identidades de denunciantes y denunciados) por parte de múltiples personas—15—, sin garantizar medidas técnicas u organizativas apropiadas.


Por todo lo expuesto, la AEPD impuso una sanción de 200.000€, la cual quedaría reducida a 120.000€ en caso de que la empresa reconociera su responsabilidad y procediera al pago voluntario.


Conclusión


La resolución evidencia una vulneración significativa del principio de confidencialidad establecido en el RGPD, la cual afectó directamente a los derechos fundamentales de los denunciantes, pues desprotegió sus identidades. Este caso resalta la necesidad de implementar medidas estrictas para garantizar la seguridad y privacidad en el tratamiento de datos personales en entornos laborales.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

El rompecabezas del tiempo efectivo: ¿qué cuenta como jornada laboral?

La Sentencia del Tribunal Superior de Justicia de Madrid nº962/2020 resuelve un conflicto laboral emblemático sobre el derecho a la desconexión digital y los límites de la formación obligatoria fuera de la jornada laboral. El caso enfrentó a un controlador aéreo de ENAIRE, quien fue sancionado por no completar cursos de formación online en sus días de descanso, y realizó algunas precisiones respecto al derecho a la desconexión digital.

Hechos

La empresa exigió a sus empleados realizar un curso formativo online—preceptivo, según la normativa europea y el convenio colectivo—de dos horas en sus periodos de descanso, sin alterar su horario laboral presencial, y destacó su obligación de realizar el curso «en los ciclos de descanso de tres días que de conformidad con el artículo 33 del convenio colectivo le son programados». Sin embargo, uno de los controladores aéreos rechazó realizar el curso fuera de su jornada laboral y exigió que se incluyera en su cuadrante de servicios (391 empleados realizaron el curso en plazo). Finalmente, lo completó fuera del plazo establecido, junto con otros 41 compañeros.

Debido a la falta de obediencia por parte de este empleado, la empresa le sancionó con 3 días de suspensión de empleo y sueldo, fundamentando su decisión en el artículo 95.2.i) EBEP, el cual tipifica como falta muy grave la «desobediencia abierta a órdenes de un superior».

En este sentido, el Tribunal razona que, si bien la orden de realizar formación en días de descanso aparentemente contravendría el derecho del trabajador a la intimidad personal y familiar del artículo 18 de la Constitución en su vertiente de desconexión digital, regulado en el artículo 88 de la LOPDGDD, las dos horas dedicadas a la realización del curso online por el trabajador son reconocidas por la empresa como tiempo de trabajo y, por tanto, no existe derecho a la desconexión digital dentro del tiempo de trabajo, sino solamente dentro del tiempo de descanso.

De esta manera, el Tribunal razona que la empresa puede ordenar la realización de trabajo retribuido fuera de horario laboral y, por ello, el período para realizar la formación a distancia computaría como horas extraordinarias de tiempo efectivo de trabajo, evidentemente, con las consecuencias legales derivadas.

Además, añade que el convenio colectivo, en su artículo 29.1.1.3, indica claramente que «la jornada programable no incluye el tiempo necesario para la formación que no tenga la consideración de actividad aeronáutica». Teniendo en cuenta que la formación era relativa a Recursos Humanos, la exigencia de que la formación online del artículo 227 del convenio se incluyera en la jornada programable carecería de fundamento jurídico.

El Tribunal argumenta que la falta de criterios establecidos por la empresa para garantizar el cumplimiento del número de horas de jornada exigido no implica la ilegalidad de la orden ni justifica la desobediencia de esta, pues hay que tener en cuenta el escaso número de horas de formación requerido y el largo período para realizarlo (hecho que permitía perfectamente el respeto de los descansos legales). Si bien podría cuestionarse la legalidad de la orden en relación con la ordenación del tiempo de trabajo y descansos, no implica la vulneración de un derecho fundamental, tal y como alega el trabajador.

Asimismo, el motivo por el que el trabajador se negó a cumplir la orden no fue su ignorancia sobre las normas aplicables a jornada y descansos para elegir correctamente el momento de su actividad formativa online, sino la exigencia de que se incluyese en la jornada programable de actividad aeronáutica, lo cual el Tribunal indica que carece de fundamentación jurídica.

Conclusión

Esta sentencia ofrece un razonamiento profundo sobre los límites entre trabajo y descanso. Si bien el derecho a la desconexión digital es esencial, hay matices que valorar, pues, como hemos indicado, no existe derecho a la desconexión digital dentro del tiempo de trabajo, sino solamente dentro del tiempo de descanso.

Puede leer la sentencia aquí

Como siempre, cuidad los datos y ¡cuidaos!

Protección de datos vs. mentiras en el CV: Cuando la empresa cruza la línea de la legalidad en su investigación

El 19 de abril de 2024, el TSJ de Castilla y León (STSJ CL 1540/2024) declara improcedente el despido disciplinario de una trabajadora por mentir en su CV. La empresa había detectado irregularidades, y por ello solicitó el informe de vida laboral a los trabajadores para contrastar dicha información con sus currículums. Así es cómo pudieron descubrir que en el de esta empleada había discrepancias. No obstante, el Tribunal ha declarado el despido como improcedente debido al uso ilícito de los datos personales.

Hechos

La empleada, que inició su relación laboral con la empresa en septiembre de 2020, aportó inicialmente un currículum en el que indicaba que había trabajado como operaria de cadena en el departamento de soldadura en Renault. Sin embargo, este dato no aparecía en el currículum que entregó en 2022; en su lugar, se indicó otra experiencia profesional como operaria de cadena que no se correspondía con lo expuesto en su día.

Ese mismo año, a raíz de un procedimiento interno de selección, la empresa solicitó a los trabajadores la remisión de su vida laboral y, al contrastar el currículum de la trabajadora con su vida laboral, se observó la incongruencia. 

Por ello, en marzo de 2022 la empresa procedió a notificarle su despido disciplinario, con efectos a partir del 24 de junio y fundamentado en su transgresión a la buena fe contractual (artículo 54.2.d) del Estatuto de los Trabajadores).

No obstante, la empleada impugnó el despido y alegó que se había vulnerado su derecho a la protección de datos, dado que la empresa empleó su informe de vida laboral para justificar su despido sin ningún tipo de base legítima para ello.

Si bien el tribunal de instancia declaró la procedencia del despido, la trabajadora recurrió al TSJ de Castilla y León, el cual ha declarado el despido como improcedente.

Este TSJ ha reconocido el uso ilícito de los datos personales cedidos por la trabajadora que realizó la empresa, dado que esta los utilizó para un fin distinto al que se suponía—la trabajadora había entregado el informe voluntariamente para procesos de selección, no para una investigación disciplinaria.

Asimismo, el Tribunal subraya la ilicitud del tratamiento, indicando que se ha vulnerado el derecho a la protección de datos de la trabajadora, el cual considera como un derecho fundamental protegido por el artículo 18.4 de la Constitución española

El Tribunal considera que esta vulneración es motivo suficiente para afirmar la improcedencia, dado que, en caso de prescindir de la información obtenida de la vida laboral de la empleada, el despido carecería de justificación. Además, destaca el defecto formal en la carta de despido, ya que esta no describía con claridad la conducta sancionada y que la falta alegada por la empresa había prescrito, pues, desde el conocimiento de la supuesta irregularidad en marzo de 2022 hasta el despido en junio de 2022, ya habían transcurrido más de 60 días, lo cual superaba el plazo legal para sancionar una falta muy grave.

El Tribunal Superior de Justicia de Castilla y León condenó a la empresa a readmitir a la trabajadora o abonarle una indemnización de 5.462’42€, además de una indemnización adicional por daños morales de 3.000€, debido a la vulneración de su derecho fundamental a la protección de datos.

Conclusión

La empresa no pudo acreditar un interés legítimo superior al derecho fundamental a la protección de datos de la trabajadora, por lo que la causa del despido quedó invalidada. Este fallo sienta un precedente sobre los límites de las empresas para verificar CVs, priorizando el cumplimiento del RGPD incluso en casos de presunta mala fe del trabajador.

Como siempre, cuidad los datos y ¡cuidaos!

Para leer la resolución, haga clic aquí.

¿Trabajas o te vigilan? La CNIL multa con 40.000€ a una empresa por controlar hasta el segundo de inactividad de sus empleados

El 19 de diciembre de 2024, la autoridad de protección de datos francesa (CNIL) impuso una sanción de 40.000€ a una empresa del sector inmobiliario por controlar a sus empleados sin informar, sin adoptar medidas de seguridad adecuadas y sin haber realizado una EIPD.

Hechos

A raíz de varias denuncias, la CNIL realizó una inspección en la que observó que la empresa filmaba constantemente a sus empleados y captaba la imagen y el sonido, además de medir su tiempo de trabajo y evaluar su rendimiento de forma muy precisa gracias al programa informático instalado en sus ordenadores.

El sistema de videovigilancia captaba constantemente imágenes y sonidos de los empleados del local, tanto en sus puestos de trabajo como en los espacios de descanso. Además, estas imágenes podían ser visualizadas por los supervisores mediante una aplicación móvil. Esta medida no fue justificada de ninguna manera, lo cual supone una clara vulneración excesiva de los derechos de los trabajadores, así como del principio de minimización de datos (art. 5.1.c) RGPD).

Por otro lado, en cuanto al software instalado en los ordenadores de los empleados para monitorear su actividad, la CNIL consideró que esta medida era totalmente desproporcionada y una vigilancia especialmente intrusiva. Este software permitía, además de contar las horas de trabajo, saber si el empleado no escribía en el teclado ni movía el ratón en un período de entre 3 y 15 minutos, en el cual también podían tomarse capturas de pantalla periódicas. En caso de detectar estos períodos de inactividad, si no se justificaban o compensaban, se aplicaba una deducción de salario.

La CNIL indicó que este programa no era fiable, dado que los períodos de aparente inactividad podían corresponder a tiempo de trabajo efectivo en el marco de sus funciones (como reuniones o llamadas telefónicas), por lo que no había una garantía de que el software cumpliese con su finalidad de forma correcta.

Además, el sistema, al permitir la captura de datos potencialmente privados (como correos electrónicos personales, conversaciones de mensajería instantánea o contraseñas confidenciales), constituía una vulneración desproporcionada de la privacidad, intereses y derechos fundamentales de los trabajadores, y el tratamiento de los datos carecía de fundamentación legal (art. 6 RGPD).

Asimismo, la empresa tampoco proporcionó información escrita suficiente sobre el tratamiento que realizaba el software de monitorización, ni en documentos de información internos de la empresa ni en los contratos de trabajo y de estudio de los empleados, lo que constituye una infracción del artículo 13 del RGPD.

En último lugar, la empresa tampoco realizó una evaluación de impacto sobre la protección de datos (EIPD) para el tratamiento que realizó al implementar el programa de monitorización, la cual era necesaria al haber un alto riesgo para los derechos y libertades de los empleados.

Conclusión

La monitorización excesiva y el control laboral sin tomar las medidas técnicas y organizativas necesarias transgreden los derechos de los empleados a niveles excesivos. Hay que recordar que siempre que se realiza un tratamiento de datos que afecta derechos sensibles, debe realizarse con cautela y actuando en el marco de la normativa de protección de datos.

Como siempre, cuidad los datos y ¡cuidaos!

Para leer la resolución, haga clic aquí.

Ley de Servicios Digitales (DSA) y marketing digital

La conocida como Ley de Servicios Digitales (DSA) de la Unión Europea (Reglamento UE), en vigor desde febrero de 2024, marca un antes y un después en el panorama del marketing digital. Esta normativa, diseñada para crear un entorno en línea más seguro y transparente, trae consigo cambios significativos que afectan directamente a las estrategias de marketing de empresas de todos los tamaños. En este artículo, exploraremos cómo la DSA está transformando el marketing digital y qué pueden hacer las empresas para adaptarse a este nuevo escenario.

Principales cambios introducidos por la DSA

Mayor transparencia en la publicidad

La DSA exige una mayor transparencia en la publicidad online. Esto implica:

  • Identificación clara de los anuncios y quién los patrocina
  • Explicación de por qué un usuario está viendo un anuncio específico
  • Prohibición de publicidad dirigida basada en datos sensibles

Estos cambios obligan a las empresas a repensar sus estrategias de segmentación y a ser más transparentes en sus prácticas publicitarias.

Restricciones en la publicidad dirigida a menores

Una de las medidas más significativas es la prohibición de la publicidad dirigida a menores basada en perfiles. Esto supone:

  • Necesidad de desarrollar estrategias de marketing alternativas para llegar al público joven
  • Mayor énfasis en el marketing de contenidos y la publicidad contextual

Control del usuario sobre las recomendaciones

La ley otorga a los usuarios más control sobre cómo se les muestran recomendaciones:

  • Opción de no recibir recomendaciones basadas en perfiles
  • Mayor transparencia sobre cómo funcionan los sistemas de recomendación

Esto implica que las empresas deberán adaptar sus estrategias de personalización y encontrar nuevas formas de ofrecer contenido relevante.

Adaptación de las estrategias de marketing

Enfoque en datos propios (first-party data)

Con las restricciones en el uso de datos de terceros, las empresas deben:

  • Fortalecer sus estrategias de recopilación de datos propios
  • Mejorar la calidad y el análisis de los datos recopilados directamente de los usuarios
  • Implementar sistemas robustos de gestión de consentimiento

Auge del marketing contextual

El marketing contextual gana relevancia como alternativa a la publicidad basada en perfiles:

  • Desarrollo de estrategias publicitarias basadas en el contexto del contenido
  • Mayor énfasis en la relevancia y calidad del contenido publicitario

Innovación en la medición y atribución

Las empresas necesitarán:

  • Desarrollar nuevos métodos de medición de la eficacia publicitaria
  • Implementar modelos de atribución alternativos que no dependan de cookies de terceros

Oportunidades emergentes

A pesar de los desafíos, la DSA también presenta oportunidades:

  • Mejora de la confianza del consumidor a través de prácticas más transparentes
  • Impulso a la innovación en tecnologías de marketing respetuosas con la privacidad
  • Posibilidad de destacar frente a la competencia mediante prácticas éticas y transparentes

Conclusión

La Ley de Servicios Digitales representa un cambio de paradigma en el marketing digital. Aunque plantea desafíos significativos, también ofrece la oportunidad de construir relaciones más sólidas y confiables con los consumidores. Las empresas que se adapten rápidamente a este nuevo entorno, priorizando la transparencia, la ética y la innovación, estarán mejor posicionadas para tener éxito en la era post-DSA.

¿Está tu estrategia de marketing preparada para la era DSA? No esperes más para adaptar tus prácticas y asegurar el cumplimiento normativo. Contacta con nuestro equipo de expertos en derecho digital para una evaluación personalizada y descubre cómo podemos ayudarte a navegar este nuevo panorama legal manteniendo la efectividad de tus campañas.

El diablo está en el detalle

En un mundo donde las promociones y sorteos son moneda corriente, el dicho anglosajón "El diablo está en el detalle" cobra un significado especial.

Esta historia gira en torno a un consumidor cuya ilusión por ganar una bicicleta eléctrica se convierte en una montaña rusa emocional. Es un relato que destaca la importancia que puede tener la letra pequeña o la falta de ella, la reacción empresarial ante errores y los derechos de los consumidores. Acompáñanos en este viaje de expectativas, frustraciones y soluciones, donde un simple correo puede tener el poder de cambiarlo todo.

Los hechos

Era un día cualquiera cuando nuestro protagonista, entusiasmado por la idea de una movilidad más sostenible, decidió comprar un producto participante en una promoción. El atractivo principal era el producto en sí pero también la oportunidad de entrar en el sorteo de una bicicleta eléctrica. Con los ojos brillantes de ilusión y un ticket de compra de tan solo 4,45€ en mano, se imaginaba ya recorriendo las calles de la ciudad en su nueva bicicleta.

Sin embargo, al abrir el paquete, su entusiasmo se desvaneció como un espejismo. La promoción había caducado. Y este detalle no se advertía en el envoltorio. Aquel pequeño detalle, no indicar –por error– la fecha fin de la promoción, transformó su mínima inversión en un desencadenante de frustración desproporcionada. Lo que parecía una simple compra se convirtió en un símbolo de esperanzas truncadas y promesas no cumplidas. La decepción era palpable, y con ella crecía un sentimiento de agravio. Este consumidor, con su ticket de escaso valor en mano, estaba a punto de embarcarse en una odisea de derechos y reclamaciones, subrayando cómo incluso la compra más pequeña puede desatar una crisis inesperada.

Primera respuesta de la empresa, rozando la catástrofe

La respuesta inicial de la empresa ante la queja de nuestro consumidor fue un claro ejemplo de cómo no manejar una situación delicada. En lugar de ofrecer una solución concreta o mostrar empatía genuina, la empresa recurrió a un repertorio de frases hechas y palabras vacías. "Valoramos a nuestros clientes", "Lamentamos las molestias ocasionadas", eran frases que resonaban sin sustancia. Esta aproximación genérica y despersonalizada solo sirvió para aumentar la frustración del consumidor, quien se sentía aún más desvalorizado e ignorado.

La situación estaba a punto de desembocar en una crisis de relaciones públicas. Lo que comenzó como una pequeña decepción por un ticket de 4,45€ estaba escalando a un descontento palpable, poniendo de manifiesto la importancia de una comunicación cuidadosa y considerada en el mundo empresarial.

Segunda respuesta de la empresa y la solución

Tras el descontento inicial, la empresa tomó un rumbo diferente en su segunda respuesta. Esta vez, reconocieron su error y adoptaron un enfoque más humano y comprensivo. Se comprometieron a devolver los 4,45€ del ticket y, en un gesto de buena voluntad, ofrecieron enviar un pequeño obsequio al consumidor como disculpa por las molestias causadas. Este cambio de actitud marcó un punto de inflexión en la experiencia del cliente.

El reconocimiento del error y la oferta de compensación transformaron la situación. Lo que había comenzado como una historia de frustración y decepción empezó a tomar un matiz de resolución y satisfacción. Este gesto, aunque pequeño, demostró que la empresa estaba dispuesta a escuchar y valorar a sus clientes, restableciendo así la confianza perdida. La reacción del consumidor fue positiva; aunque aún decepcionado por no participar en el sorteo, apreciaba el esfuerzo de la empresa para enmendar su error.

Derechos de los consumidores bajo la Ley española

Este incidente resalta la crucial importancia del cumplimiento de la ley en las prácticas comerciales, más allá de las estrategias de marketing. Bajo la legislación española, los consumidores tienen derechos que las empresas deben respetar. Esto incluye la veracidad en la publicidad y la obligación de informar claramente sobre las condiciones de las promociones. El caso de nuestro consumidor y la bicicleta eléctrica no es solo una cuestión de decepción; es un recordatorio de que las leyes están diseñadas para proteger al consumidor de prácticas engañosas o confusas (aunque sea por error, como en este caso), asegurando así una relación equitativa y transparente entre consumidores y empresas.

El poder de un buen correo en la resolución de crisis

La crisis surgida por la promoción caducada subraya una verdad universal: las personas detestan sentirse engañadas, incluso si es por error, y exigen que sus quejas sean atendidas adecuadamente. En este caso, el poder de un correo bien redactado fue crucial. Una comunicación directa, que reconoce el error y ofrece una solución concreta, puede transformar una situación adversa en una oportunidad para fortalecer la relación con el cliente. Este enfoque demuestra respeto y comprensión hacia el consumidor, elementos esenciales para restaurar la confianza y prevenir daños mayores a la reputación de la empresa. Y así fue en este caso.

Conclusión

La odisea de nuestro consumidor culmina con una nota de reconciliación y apertura hacia el futuro. A pesar de la inicial decepción y frustración, la respuesta final de la empresa logró suavizar las tensiones y abrir un camino hacia la restauración de la confianza. El consumidor, reconociendo el esfuerzo y la transparencia mostrada, no descarta la posibilidad de futuras interacciones con la empresa. Este desenlace resalta una lección valiosa: los errores ocurren, pero la forma en que una empresa los maneja puede convertir un cliente insatisfecho en uno leal. Al final, como suele suceder, el diablo estaba en los detalles, pero también lo estuvo la oportunidad de redención y crecimiento.

Y como siempre, confiad en la resolución de los conflictos por la vía amistosa y ¡cuidaos!

Google Chrome? No tan incógnito …

Google Chrome es, con diferencia, el buscador más utilizado por los usuarios que navegan por Internet. Muy por delante de Edge, Safari y los demás. Además, el servicio lo proporciona una gran compañía -grande en todos los sentidos- que hace que tengamos la percepción de que es un buen producto, merecedor de toda nuestra confianza. Pues bien, esto no debería ser exactamente así, por nuestra seguridad y privacidad.

Chrome, como otros navegadores, dispone de un método de navegación que denomina “incógnito”. La RAE, en la segunda acepción, define incógnito como "situación de un personaje público que actúa como persona privada". Es decir, persona que desea pasar por desconocida en su viaje virtual, en este caso, a la red. Y, sobre todo, sentirse seguro y protegido.

¿Qué es el modo incógnito?
En este modo, el navegador elimina los datos locales de la sesión de navegación en Internet. Quiere decir que se bloquean las cookies, no se registra el historial de navegación y cualquier otro rastreador, archivo temporal o barra de herramientas de tercero se desactivará. Y esto deja muchos datos a los que el modo incógnito no afecta para nada.

¿Es tan “incógnito”?
Pues no o al menos no es suficiente. Si inicias sesión en un sitio web, éste te identificará y podrá seguir tus actividades. No evitará que los sitios que visitas, tu centro educativo, tu empresa o proveedor de servicio de Internet puedan ver tu actividad y ubicación. Y tampoco evitará que los sitios web que visites publiquen anuncios basados ​​en tu actividad durante una sesión de incógnito.

El mensaje que destapa el asunto
Como siempre, el diablo está en detalles. La jefa de marketing de Goggle, Lorraine Twohill, envió un correo a Sundar Pichai (CEO) advirtiéndole de que los clientes estaban confundidos respecto al funcionamiento del modo incógnito y. "Haz que el modo incógnito sea realmente privado" escribió. Twohill lo envió después de que varios usuarios presentaran una demanda colectiva multimillonaria por supone seguimiento de los usuarios mientras utilizaban este modo.

Incluso los empleados avisaron
La cosa viene de lejos. Ya en 2018, un empleado compartió un informe que demostraba que los usuarios no entienden realmente cómo funciona y no saben que no protege su privacidad como ellos piensas. Para este empleado, "hay que dejar de llamarlo incógnito y de utilizar un icono con un espía" porque lleva a equivoco sobre sus características.

Recopila nuestros datos para mostrar publicidad
Google no se esconde y lo explica en un enlace pero nadie lo lee. ¿Le resulta familiar no leer las informaciones adicionales o los términos y condiciones de uso de las apps? Pues eso. Este enlace de “Más información” está bien visible en la página inicial y explica qué no hace el modo de incógnito.

En resumen
Al final, “business is business” y si fuera realmente incógnito, Google no haría negocio con nuestros datos que vende a los anunciantes. Por nuestra parte, podemos utilizarlo, como dice Google, por cuestiones inocentes como comprar un regalo por un familiar que comparte ordenador o por si salta el banner de cookies, como hacemos los profesionales de la privacidad. Por lo demás, es mejor utilizar DuckDuckGo para tener algo más de privacidad. Y queda pendiente por otro día hablar de Tor.

Como siempre, ¡cuidados!

Cosas que no puedes hacer cuando quieres contratar personas

Ya hemos hablado otras veces de lo que se puede hacer, y cómo, y de lo que no se puede hacer cuando quieres contratar a una persona para la empresa. Hay unas reglas del juego que, cuando no se siguen, dan paso a consecuencias no deseadas, como es el caso que hoy nos ocupa.

Podemos resumir el asunto explicando que una abogada optó a una vacante en una empresa a través de un portal de empleo. Poco después, la candidata averiguó que la empresa había hecho indagaciones sobre ella consultando sin autorización un fichero de morosos y presentó una reclamación ante la Agencia Española de Protección de Datos (AEPD) que ha procedido a sancionar a la empresa.

Según el procedimiento sancionador de la Agencia, la empresa Alquiler Seguro, SA ofrecía, a través de InfoJobs, una plaza de abogada. La reclamante se inscribió en dicha oferta. Y la empresa, antes de llamarla, hizo previamente una consulta a Asnef  (Asociación Nacional de Establecimientos Financieros de Crédito) para conocer su situación. Al no figurar en el registro, a continuación, la llamaron.

Semanas más tarde, a raíz de unas gestiones que la abogada hizo con Asnef, le remitieron un histórico de consultas en la que, para sorpresa de la reclamante, aparecía la consulta de la Alquiler Seguro, SA. Considera la abogada que estamos ante un acceso al fichero por una finalidad diferente a la prevista. La empresa lo ha hecho en el marco de un proceso de selección de personal y no para valorar su solvencia de cara a una futura relación comercial.

La AEPD imputa a la parte reclamada la comisión de una infracción por vulneración del Artículo 6.1 del RGPD, por falta de legitimación en el tratamiento ya que, a su entender la actuación de la empresa no se ajusta a ninguno de los supuestos previstos en la norma. La empresa, por su parte, alegó, entre otros, que esta situación podía haberse dado por un error humano porque a la hora de introducir el DNI de la candidata a "Asnef empresas" lo hizo al "Servicio Bureau Crédito".

Finalmente, la Agencia impone una sanción de 70.000€ que, con el reconocimiento de la responsabilidad manifestado en plazo y la reducción por pago voluntario de la sanción, queda en 42.000€. No es un importe pequeño. Aprovechamos para recordar que el reconocimiento de la responsabilidad que da pie a la reducción hace que, a efectos prácticos, acabe con la vía contenciosa de reclamación.

En resumen, la empresa hizo un tratamiento de datos no legitimado porque no contaba con el consentimiento (u otra base legitimadora) para hacerlo. Y eso, según la LOPDGDD, es una infracción muy grave. La contratación de personas en las empresas tiene que seguir, como con todo, unas reglas de juego. En el post citado al principio se recogen las principales.

Como siempre, ¡Cuidaos!

Revisión Textos Legales Web