Privacidad – protección de datos

Cuando llega septiembre, los grupos de Whatsapp se multiplican sin control. Empezando por las escuelas que hacen grupos de padres (de clase, de natación, …) hasta los grupos deportivos para jugar a pádel o a fútbol, pasando por todo tipo de colectivos (una boda, por trabajo, etc.) de lo más variado, todo el mundo se anima a apuntarse y a apuntar otros a los grupos. Pero como todo, se tiene que hacer bien para no sufrir las consecuencias.

Incluir en un grupo a personas sin su consentimiento puede comportar sanciones económicas. Esto es el que le ha pasado a un Club deportivo el cual, en una reciente resolución de lo Agencia Española de Protección de Datos (AEPD), ha sido sancionado con una multa de 4.000€ por añadir el número de teléfono de una usuaria a un grupo de Whatsapp sin pedirle autorización.

Se trata de una infracción administrativa que puede ser sancionada con una multa de hasta 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% del volumen de negocio total anual global del ejercicio financiero anterior. Sin embargo, la AEPD considera graduar la sanción al entender que la acción ha estado negligente no intencional, pero significativa puesto que, a pesar de que la reclamante no es clienta desde hace más de 10 años, el Club todavía conservaba sus datos. El centro deportivo debería haber dado de baja los datos cuando dejó de ser socia.

Además, el Club ha tratado los datos personales de la reclamante sin su consentimiento. La ley determina que el tratamiento solo será lícito si el interesado ha dado su permiso para el tratamiento específico.

El Club también cometió dos infracciones más, contra la seguridad del tratamiento, por no garantizar la confidencialidad de los datos como consecuencia de unas medidas de seguridad (técnicas y organizativas) inadecuadas.

Por cada una de las infracciones, la AEPD impone una sanción de 1.000€ que suman un total de 4.000€.

Aprovechamos para recordar, y para ahorrar disgustos, que la normativa no se aplica al tratamiento de datos personales llevado a cabo por una persona física en el ejercicio de actividades exclusivamente personales o domésticas (por ejemplo, en un grupo de WhatsApp para celebrar un cumpleaños o una reunión de antiguos alumnos creado por un padre o un ex-alumno). Como las distinciones no son siempre claras, recomendamos, en caso de duda, realizar una consulta previa con un experto en la materia. Más vale prevenir que curar.

Y recomendar, como siempre, hacer las cosas bien y que tenemos que medir las consecuencias no tan solo en términos económicos, que también, sino en términos reputacionales, que siempre son más onerosos para el profesional o la empresa.

Cuidaos!

Ya hemos hablado en varias ocasiones del tema de las cookies. Hay que entender que a estas alturas ya sabemos como debe funcionar la solución que tenemos que implementar para que el usuario pueda hacer efectivo su derecho de conocer y elegir las cookies que quiere instalar en su ordenador. Pero, y el resto?

Pues sí, la solución de cookies para nuestra web es condición necesaria pero no suficiente. Y no lo es porque la web necesita otros textos legales para cumplir con la normativa de protección de datos y, muy importante, requiere que la empresa esté adecuada al RGPD y la LOPDGDD.

Es obvio que la web es la parte visible de la empresa y que los textos legales que aparecen se pueden ver y valorar por personas externas a la empresa. El primer colectivo que lo hace es el de clientes y usuarios. Y no es el único: empleados, accionistas, proveedores, competencia, administraciones públicas y todos los grupos de interés que rodean a la empresa también lo hacen. Y, naturalmente, las autoridades de control en protección de datos y del ámbito mercantil, entre otros, también ven y revisan nuestras páginas legales.

Aquí también, vuelve a ser condición necesaria pero no suficiente el disponer de los textos legales sin que la empresa esté adecuada. Es más, si la empresa no está adecuada, no se pueden generar los textos legales que, simplemente, estaríamos cometiendo un fraude.

Y esta situación de fraude es más frecuente de lo que parece. Desde copiar y pegar textos legales de otra empresa a generar textos con apariencia de legalidad, el abanico de soluciones fake que se utilizan son muy variadas.

El camino correcto, por tanto, es adecuar la empresa a la normativa de protección de datos (RGPD y LOPDGDD) para, a continuación, generar los textos legales, incluyendo aquellos que dependen de la LSSICE.

Y que hay que hacer para adecuar nuestra empresa a la normativa? Sin pretender hacer una lista exhaustiva de las tareas a realizar, deberíamos empezar por una Auditoría que valore la situación inicial (descubrimiento de datos, medidas de seguridad, análisis de riesgos, …). La segunda fase consistiría en definir el Registro de Actividades (RAT), establecer la Estructura técnica y organizativa, implementar las Medidas de Seguridad, diseñar los contratos con Intervinientes de tratamiento (empleados, terceros, …) y generar toda la Información y Comunicación de los tratamientos necesaria desde Cláusulas de Personal, Tratamiento o Internet -Textos legales- entre muchos otros, hasta la redacción de los Informes Reglamentarios, Protocolos de Actuación y de Tratamiento, sin olvidar la importante gestión del ejercicio de Derechos.

Y las ventajas? Ser más transparente, generar confianza y, por tanto, más negocio de calidad. Y, por supuesto, evitar sanciones económicas y, sobre todo, la pérdida de reputación que, en muchos casos, puede ser irreversible.

En todos los casos, la adecuación sólo conlleva beneficios. Y dejarlo en manos de profesionales nos permite poder centrarnos en lo importante: nuestro negocio. Y tener la satisfacción de hacer las cosas bien hechas.

Cuidaos!

Esta semana se han cumplido tres años desde que el Reglamento General de Protección de Datos entró en aplicación. Repasamos en este post algunos de los hitos más importantes y haremos un poco de balance que, como siempre, tendrá luces y sombras.

El RGPD entró en vigor el 2016 pero, gracias a una moratoria, su aplicación no empezó hasta mayo de 2018. La Protección de Datos personales no era una novedad en nuestro país, la LORTAD es de 1992 y la LOPD de 1999, pero no cabe duda que la entrada en vigor del RGPD supuso un cambio de paradigma en el tratamiento de los datos personales por parte de las empresas en España. Muchos descubrieron, a partir de aquel momento, el derecho fundamental a la privacidad o, lo que es lo mismo, garantizar a las personas el control sobre sus datos personales.

Ahora hablamos de un modelo preventivo (no reactivo por denuncias) con responsabilidad proactiva, donde se ha establecido la privacidad por defecto, desde el diseño, y todo el enfoque de las obligaciones de los responsables se tiene que hacer basado en el enfoque del riesgo.

Consentimiento reforzado, nuevas cláusulas informativas, nuevos contratos de encargado de tratamiento, medidas de seguridad (violaciones de seguridad), nuevos derechos de los interesados y figuras como el Delegado de Protección de Datos son algunas de las novedades que nos trajo el RGPD y que ahora nos resultan, además de familiares, imprescindibles en nuestro día a día en la materia.

Y las sanciones, no nos olvidamos, son considerables. España es el país que más sanciones ha puesto a Pymes en el marco europeo. Y, como siempre, al margen del importante coste económico, lo más preocupante tiene que ver con la pérdida de reputación de la empresa. Este es el intangible más apreciado y que tenemos que preservar a toda costa.

Este tiempo no ha estado exento de dificultades. Solo hay que recordar la anulación del Acuerdo Privacy Shield que daba cobertura jurídica a las transferencias de datos entre Europa y los Estados Unidos. O las modificaciones en la regulación de las cookies que, todavía hoy, incumplen muchas empresas.

Y no olvidemos la tecnología que avanza a pasos agigantados, mientras que la normativa le sigue al ritmo que puede. Con la pandemia hemos visto el auge de las videoconferencias y el teletrabajo con sus dificultades para preservar la privacidad. Y otros, como por ejemplo, el reconocimiento facial o de voz, la Inteligencia Artificial (IA), el Big Data o el Blockchain que empezaban a aparecer o directamente no existían cuando empezaron los trabajos del Grupo de Trabajo del artículo 29, allá por el 1996.  

Un balance, al fin, bastante positivo en general. Pero queda mucho camino por recorrer.

Cuidaos!