Privacidad – protección de datos

Con efecto a partir del próximo 12 de mayo de 2019, el Real Decreto-ley 8/2019, de 8 de marzo, de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo, modifica el art. 34 del Estatuto de los Trabajadores, instaurando el deber de la empresa de garantizar el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora, sin perjuicio de la flexibilidad horaria existente.

El objetivo es, por una parte, computar las horas extraordinarias de los trabajadores mediante el registro de las horas realizadas cada día y, por otra, controlar el tiempo de trabajo de los trabajadores a tiempo parcial.

Como es natural, los especialistas en Derecho laboral nos darán las pautas a seguir desde su punto de vista. Lo que a nosotros nos preocupa, como no, son las vulnerabilidades en materia de protección de datos que la nueva obligación plantea.

Y lo hace, al menos, en tres aspectos.

1. La forma de registro
2. La conservación de la información
3. La disponibilidad de los registros.

1. La forma de registro queda a discreción de la empresa (previa consulta a los trabajadores). Y puede ser desde una simple hoja de Excel hasta un sofisticado sistema de geolocalización, pasando por controles biométricos (Art. 9.1.a) RGPD[1]) u otros. En este aspecto, el peligro proviene de utilizar medios invasivos o claramente desproporcionados como, por ejemplo, el control por huella digital o reconocimiento facial o la monitorización constante mediante sistemas de geolocalización.

2. La conservación de la información es el segundo aspecto a tener en cuenta. Aunque los datos no sean de categoría especial (se recogen habitualmente el nombre, la fotografía, número de empleado, etc.), debemos conservarlos adecuadamente (como con todos los datos personales). Si guardamos datos biométricos o similares, la conservación debe ser especialmente segura. Hay que tener en cuenta que la norma exige su conservación por el plazo de cuatro años.

3. La disponibilidad de los registros es el último. Dice la normativa que estos deben permanecer a disposición del trabajador, sus representantes y la Inspección de Trabajo y Seguridad Social. Esta disponibilidad conlleva ciertamente peligros desde la óptica de la protección de datos como son el acceso a los registros por personas no autorizadas o la distribución de forma inadecuada.

Para concluir, unas recomendaciones generales, entendiendo que cada empresa es un mundo y que no es lo mismo, por ejemplo, una empresa de servicios que una empresa industrial.  Por lo que respecta al registro, buscar un sistema mínimamente invasivo, que no haga uso de datos biométricos. Siguiendo el Reglamento, usar los datos mínimos imprescindibles. En cuanto a la conservación –y la disponibilidad–, es recomendable utilizar medios tecnológicos contrastados (descartamos el papel y la hoja de Excel), que permitan demostrar el cálculo de horas sin posible manipulación y que se puedan facilitar, a terceros, sin poner en peligro la información (distribución seudonimizada). Una app en la nube podría ser la mejor solución. Pero solo es una opinión.

Como consultores en Derecho Digital, estamos al servicio de la empresa. Podéis contactar con nosotros en info@tecnolawyer.com. Estaremos encantados de prestaros ayuda.

[1] Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD)

Si nadie, ni siquiera los abogados*, leemos los Términos y Condiciones, ¿qué sentido tiene ponerlos? Porque no solo hay que leerlos, sino entenderlos. Y solo en el supuesto que estés de acuerdo podrás instalar la app o acceder a la web.

Según un estudio de la Carnegie Mellon, la extensión media de las políticas de privacidad es de unas 2.500 palabras. Se estima que un lector medio puede leer alrededor de 250 palabras por minuto de promedio. Es decir, necesitamos 10 minutos para leer la política. Teniendo en cuenta que visitamos de promedio unas 1.400 webs y apps al año, necesitamos, en términos de jornadas laborales de 8 horas, unos 76 días de trabajo para completar la tarea. Si lo trasladamos a términos económicos, según la universidad, el coste de oportunidad de leer las políticas de privacidad en USA estaría alrededor de 800.000 millones de dólares.

Estamos ya en la economía del dato y nuestras actividades en el entorno digital pueden revelar información nuestra de formas insospechadas. Las empresas pueden conocer datos nuestros pero también datos de otras personas de nuestro entorno que no han aceptado siquiera los términos y condiciones. Roomba podría mapear nuestro hogar y esa información ser compartida con, por ejemplo, fabricantes de muebles o compañías de seguros. O Uber que podría modificar el precio del trayecto en función del nivel de batería de nuestro teléfono. Y solo son dos ejemplos.

Los ciudadanos no podemos defendernos solos ni estar gobernados por los términos y condiciones de las grandes, y no tan grandes, empresas y corporaciones. Por eso Europa lidera, a nivel mundial, el camino con el RGPD (y en España además con la LOPDGDD), en defensa de nuestros datos estableciendo unas garantías básicas que nos permitan vivir sin tener que leer, entender y aceptar toda la jerga legal de los términos y condiciones.

*Exceptuando a Jorge Morell Ramos de terminosycondiciones.es.

La Unión Europea ha informado que, desde la entrada en vigor del Reglamento General de Protección de Datos (RGPD) el 25 de mayo de 2018, las brechas de datos no han parado de crecer en las empresas europeas, alcanzando casi los 60.000 casos.

Los incumplimientos van desde errores de menor calado hasta importantes ataques cibernéticos que han sido denunciados por organizaciones públicas y privadas de los 26 países de la Unión Europea

En el primer semestre de 2018 las brechas de datos afectaron a 4,5 millones de registros, según Gemalto Breach Level Index, lo que significa un 78% más que en el mismo periodo del año anterior.

Holanda es el país con mayor cantidad de brechas de datos por habitante, con un 89,8% por cada 100 habitantes. Liechtenstein, Islandia y Chipre son los países con una menor incidencia.

La UE ha dictado 91 multas relacionadas con brechas de datos, siendo la mayor de ellas la impuesta por el regulador francés a Google por valor de 50 millones de euros al haber infringido las normas de la UE sobre protección de datos de los consumidores.

En el Reino Unido el valor promedio de las multas impuestas por el regulador de datos británico fue de 166.650 euros en 2018, el doble que en el año anterior.

El impacto de las brechas de datos va más allá de las posibles multas, afectando no sólo a la tesorería sino también a la reputación de la empresa y, en muchos casos, a la pérdida de usuarios o clientes y las caída de las cotizaciones.

La Comisión Europea adoptó el pasado 23 de enero una decisión de adecuación para Japón, creando el mayor espacio de flujo de datos seguros del mundo. Esto significa que los datos personales fluirán libremente entre las dos economías sobre la base de garantías sólidas de protección.

Los elementos esenciales de la decisión de adecuación son, primero, un conjunto de normas adicionales que permitirán reducir algunas diferencias entre los dos sistemas de protección de datos, en particular, en materia de datos sensibles, ejercicio de derechos individuales y las condiciones de transferencia a terceros países. En segundo lugar, un mecanismo de tramitación de reclamaciones con el que se puedan investigar y resolver las reclamaciones de los ciudadanos europeos.

Vĕra Jourová, comisaria de Justicia, Consumidores e Igualdad de Género, declaró: «Esta decisión de adecuación crea la mayor área mundial de flujos de datos seguros. Los datos de los europeos se beneficiarán de unas normas de privacidad estrictas cuando sus datos se transfieran a Japón. Nuestras empresas también se beneficiarán de un acceso privilegiado a un mercado de 127 millones de consumidores. La inversión en la protección de la vida privada es rentable; este acuerdo servirá de ejemplo para las futuras asociaciones en este ámbito clave y ayudará a establecer normas mundiales.» 

Esta decisión de adecuación para Japón es relevante por tres motivos: el elevado número de consumidores de ambas economías, la potencia económica que representa Japón (PIB superior a los 4 billones de €) y el alto grado de penetración de la tecnología en su población. Estas tres variables hacen que para la UE esta iniciativa suponga una apuesta de confianza por el país asiático y por sus autoridades de protección de datos.