Privacitat – protecció de dades

Com dèiem el passat juliol (veure post), l ’Agència Espanyola de Protecció de Dades (AEPD), va donar un termini per implementar els nous criteris pel que fa a les cookies (petites informacions que ens envien els llocs web per, entre altres, donar-nos servei i rastrejar la nostra activitat a Internet). Aquest termini s’acaba demà 31/10/2020).

Com és natural, aquest seguiment que permeten les cookies té moltes implicacions en matèria de protecció de dades. A tots ens ha passat anar a veure unes sabates a un botiga online i, a partir d’aquell moment, els anuncis de sabates ens perseguiran per tota la web, vagis on vagis. I aquesta és una de les funcions més innòcues de les cookies. Estem immersos, cada dia més, en una economia de les dades. I nosaltres som això: dades. Dades de comportament, de preferències, d’hàbits, etc. I quan naveguem anem deixant un rastre que és una mina per les empreses que tracten dades i, en general, per totes que les aprofiten. Google o Facebook són els paradigmes més coneguts però hi ha milers d’altres.

Estan així les coses, el Comitè Europeu de Protecció de Dades (CEPD) el maig passat va modificar les Directrius sobre la prestació del consentiment per part de l’usuari en matèria de cookies. Les noves directrius es basen en la interpretació dels principis de transparència en la informació i la lliure prestació del consentiment del usuari.

En aquest sentit, les modificacions principals van ser:

• És necessària una clara afirmació afirmativa per part de l’usuari. L’opció “seguir navegant” ja no és vàlida. No es podrà activar cap cookie (excepte les tècniques) si no hi ha acceptació expressa.
• No es podran fer servir els “murs de cookies” que condicionen l’accés de l’usuari a l’acceptació de cookies, tret que se l’informi i ofereixi una alternativa.
• L’usuari ha de poder acceptar o no les cookies, de manera senzilla i de forma granular. Per exemple, agrupades per finalitat (analítiques, publicitàries, etc.)
• Si s’inclouen cookies de tercers, cal detallar com s’oferirà la informació, l’obtenció del consentiment i els mitjans per revocar-lo.

I per acabar, dos coses: els titulars de les pàgines web que no s’hagin adaptat a les noves exigències s’exposen a ser sancionades amb multes fins a 30.000 € per incompliment lleu de la Llei 34/2002, d’11 de juliol, de Serveis de la Societat de la Informació i de Comerç Electrònic (LSSICE).

I, dos, sense perjudici que, en la mesura que la instal·lació de cookies afecti al tractament de dades personals dels usuaris, el RGPD contempla sancions que poden ser força altes per les infraccions més greus.

Segons recull el diari Cinco Días, l’enviament d’emails fora de la jornada de treball pot comportar multes de fins a 6.250€. Des de la Inspecció de Treball veuen els correus sancionables si l’empresa no aclareix que s’han de respondre en horari laboral.

Primer de tot, fem memòria de què és la Desconnexió Digital. El dret a la desconnexió digital fora de l’horari de treball es conceptua com la limitació a l’ús de les tecnologies de la comunicació per garantir el temps de descans i vacances dels treballadors. I aquest Dret ve recollit en el Títol X de la Llei Orgànica de Protecció de Dades i Garantia dels drets digitals (LOPDGDD).

Durant la pandèmia hi ha hagut un considerable augment del teletreball. I ho hem fet sense estar preparats tècnicament, ni culturalment, ni, per suposat, laboralment. Amb videoconferències a totes hores (sí, aquelles amb camisa i pijama), la bústia plena fins dalt de correus amb infinitat d’annexes i tots preguntant-nos com omplir o signar un pdf (i buscant a corre cuita una signatura digital).

I tot això fent més hores que un rellotge. La falta de preparació i de mitjans, un sumatori de ineficiències elevat al infinit, es compensava en temps de dedicació laboral. Horaris extensos, caps de setmana, festes, sacrificant el descans, la família, … Lluny queda el temps en que el divendres la migdia tancaves el despatx fins dilluns. Ara el despatx i moltes feines (en especial en el sector serveis) estan obertes 24/7.

Per què, qui no mira el correu fora d’hores de feina? O ens estimem més arribar dilluns i trobar-nos la safata d’entrada plena fins dalt amb temes que podíem haver avançat durant el cap de setmana?

Desconnexió digital per a tothom o no? La desconnexió digital és, al meu parer, imprescindible per a tothom. I les empreses faran bé de complir la norma. Però, més enllà del compliment, el que necessitem és aprendre a fer servir les diferents eines de comunicació i informació per sobreviure en la frenètica societat d’avui. Entre tots hem de posar límits.

Mentrestant, recordem que si volem enviar un correu a un treballador, podem fer-ho en qualsevol moment però, això sí, complint amb la normativa que, en aquest cas, exigeix  indicar clarament que s’ha de respondre en horari laboral. I això val per trucades, whatsapp i altres eines de comunicació. I entendre que, si es divendres tarda, no podem demanar un informe per dilluns a primera hora. Tan simple com això.

Imatge Pixabay

L’AEPD multa a una advocada per reutilitzar documents amb dades de clients en el revers. La lletrada, que afronta una sanció de 2.000 euros, va aprofitar paper usat que contenia informació personal d’altres clients.

Sempre és bo reutilitzar i reciclar qualsevol consumible i el paper és, encara, un dels més importants en aquest aspecte. Tradicionalment, a més, en els despatxos d’advocats s’ha fet servir molt paper per raons òbvies – escrits de tota mena, comunicats dels jutjats, còpies per totes les parts, etc.– Per raó de la professió l’advocat necessita molt paper i és pràctica habitual reciclar tot el paper possible.

Però les coses estan canviant. La transformació digital, que ha avançant molt durant la pandèmia, és una revolució imparable. Però fins que no estigui implantada completament hem d’anar en compte i observar curosament la legislació vigent, en aquest cas, el Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d’abril de 2016 (RGPD).

L’AEPD considera  que l’actuació de la lletrada suposa, precisament, una vulneració de l’article 32 d’aquest Reglament. La norma en qüestió obliga als responsables de tractament de dades a “aplicar mesures tècniques i organitzatives per garantir el nivell de seguretat adequat. Per això ha fixat una sanció de 2.000 euros.

Segons recull la resolució, l’advocada va fer servir paper que contenia informació personal de clients anteriors, fins i tot un menor d’edat, per convocar una reunió de llogaters. Paper que en el revers apareixien dades de tercers referides a procediments anteriors, el que suposava fer accessible aquestes dades a tercers, sense consentiment dels titulars.

L’article 32 del RGPD, en el marc de la Seguretat de les dades personals, apunta les mesures a prendre per garantir un nivell de seguretat adequat al risc com, per exemple, la seudonimització i el xifrat, garantir la confidencialitat, integritat, disponibilitat i resiliència dels sistemes, la capacitat de restaurar les dades i l’accés a la informació en cas d’incident i un procés de verificació i avaluació de l’eficàcia de les mesures implementades. Aplicant aquestes mesures minimitzarem els riscos i evitarem les sancions.

Perquè 2.000 euros és una sanció relativament petita. L’equivalent, aproximadament a 625 paquets de 500 fulls DIN A4. I es poden recuperar en el proper assumpte que ens encarreguin. Però el pitjor, com sempre, és la reputació. Confiaríem els nostres assumptes més importants a un professional que no té cura de les dades personals i de la privacitat dels seus clients? És més, confiaríem en un advocat que no compleix la llei en la seva activitat?

Imatge Pixabay

L’anunciant és responsable de la publicitat encara que l‘hagi externalitzat. La sala tercera del contenciós administratiu estima que encara que es subcontracti a una empresa externa per a les campanyes publicitàries això no elimina la responsabilitat de l’anunciant.

Ho ha dictaminat el Tribunal Suprem. L’externalització de la publicitat no eximeix a les empreses de l’obligació que tenen de d’excloure als clients que no la volen rebre. Confirma així una multa de 40.000€ a Mutua Madrileña per enviar anuncis a un client que expressament havia rebutjat l’ús de les seves dades.

Diu la Sala Tercera que encari que es subcontracti a una empresa externa per les campanyes publicitàries, no s’elimina la responsabilitat de l’empresa anunciant.

El client, que tenia tres pòlisses d’assegurança en la Mútua, comptava amb dos comptes de correu electrònic inscrites en la Llista Robinson (servei d’exclusió publicitària) des de gener de 2012. Segons els fets provats en el plet, el 20 de desembre de 2011 va exercir el seu dret d’oposició al tractament de les seves dades personals davant Mutua Madrileña, en una comunicació en la qual només autoritzava a la companyia a que utilitzés les seves dades personals en el que resultés imprescindible per al desenvolupament de la relació contractual, excloent “tractaments amb fins publicitaris o de prospecció comercial, “la realització de segmentacions”, “estudis de màrqueting” o “campanyes publicitàries”. A pesar d’això, el denunciant va continuar rebent comunicacions comercials.

Mutua Madrileña, en recurs, va al·legar que haver facilitat  a l’empresa de publicitat un fitxer d’exclusió amb clients que no volien publicitat hagués  suposat una cessió consentida de dades. I que l’empresa contractista assumia com propi el compliment de les obligacions en matèria de protecció de dades.

El Tribunal rebutja els arguments perquè MM no va adoptar cap mesura cautelar per evitar l’enviament de publicitat i que segons la normativa de protecció de dades, l’anunciant està obligat a comunicar les sol·licituds del dret d’oposició que s’hagin exercit a l’empresa que fa la campanya publicitària.

En resum, les empreses han d’estar atentes a l’exercici de drets per part de l’usuari (per la qual cosa han de tenir els corresponents protocols) i fer-los efectius. I per la seva part, les empreses de publicitat, en els contractes de tractament de dades, han de tenir present circumstàncies con la recollida aquí i estar vigilants  perquè, encara que no acabi en sanció, la seva reputació es pot veure perjudicada.

Han començat a aparèixer ofertes de treball en les que es demana als candidats informació sobre si han passat el coronavirus i desenvolupat anticossos com requisit per accedir al lloc de treball proposat. L’Agència Espanyola de Protecció de Dades (AEPD) ja ha sortir al pas amb un comunicat en el que adverteix, com no pot ser d’altre manera, que aquestes pràctiques constitueixen una vulneració de la normativa de protecció de dades aplicable.

Segons explica l’AEPD,  la informació d’haver patit el coronavirus i desenvolupat anticossos d’aquesta malaltia és una dada personal relativa a la salut, que el Reglament General de Protecció de Dades (RGPD) qualifica de categoria especial en el seu article 9, pel que la seva recollida i utilització per la possible empresa ocupadora està subjecta a la normativa de protecció de dades, fonamentalment el citat RGPD i la Llei Orgànica de protecció de dades personals i garantia dels drets digitals (LOPDPGDD), que resulten plenament aplicables.

Per que es pugui dur a terme el tractament, el RGPD exigeix fonamentar-lo en el consentiment de l’interessat. Aquest consentiment ha de consistir en una manifestació de voluntat lliure, específica, informada i inequívoca. Però en el cas que ens ocupa, l’Agència entén que no hi ha veritable o lliure elecció o no es pot denegar o retirar el consentiment sense patir un perjudici o quan hi hagi un desequilibri clar entre les parts, com seria en aquest cas. Quan una persona va a buscar feina, la majoria de vegades es troba en un situació de inferioritat i vulnerabilitat que impedeix el consentiment lliure que exigeix la normativa.

A més de no existir base lícita, la finalitat tampoc seria legítima perquè la informació sobre la immunitat a la COVID-19 donaria lloc a una diferència de tracte que no obeeix a una justificació objectiva i raonable.

Per últim, l’Agència afirma que aquesta informació no s’ha d’incloure en el currículum perquè l’empresa destinatària tindria que suprimir-la per no infringir la normativa de protecció, el que podria suposar la destrucció del currículum.

Sembla clar que els efectes del coronavirus s’estendran durant mesos i ens donaran moltes sorpreses. I la majoria desagradables. Haurem de desempolsar els nostre particular manual de resiliència aplicada per superar-los.

Imatge Pixabay