¿Puedo recibir una multa de la AEPD por escanear el pasaporte de un cliente?

Un hotel español acaba de recibir una multa de 30.000€ por la Agencia Española de Protección de Datos (AEPD). Todo, por escanear el pasaporte de un turista holandés. La situación ha trascendido en el sector, que se pregunta por las implicaciones a corto y largo plazo de esta manera de actuar. Sobre todo, porque podría afectar a la gestión de los alojamientos turísticos, incluyendo a los campings.

Desde la Confederación Española de Hoteles y Alojamientos Turísticos (CEHAT) han reaccionado con conmoción y desconcierto ante la noticia. Sobre todo, porque aseguran que lo que ha ocurrido se trata de un procedimiento habitual usado por los establecimientos para cumplir precisamente con las exigencias que marca el deber de información.

Al fin y al cabo, hoteles y campings necesitan tener un registro de viajeros. En este caso, aseguran que se trataba de una manera de verificar la identidad del viajero si en algún momento perdía la tarjeta de acceso a su cuarto. Pero es que, además, también es un paso necesario para acceder al resto de servicios que ofrecen en sus instalaciones.

Por tanto, la polémica está servida. En CEHAT han solicitado urgentemente a las administraciones turísticas que se creen otras normas que impidan que esto vuelva a repetirse. Para entender mejor lo que ha ocurrido, vayamos por partes. Así también podremos saber las implicaciones que podría tener este suceso en el futuro inmediato del sector viajes.

¿Por qué se ha producido la multa?

De acuerdo a Protección de Datos, el motivo es que el hotel Marins Playa ha utilizado la foto del pasaporte del cliente para elaborar una ficha digital. En ella, se incluían datos personales del huésped sin que este hubiese dado su permiso. Sin embargo, CEHAT insiste en que es una manera de prevenir el uso fraudulento de la tarjeta de acceso y para comprobar que el titular de la tarjeta de los consumos internos era el mismo cliente.

Este hecho ha sido considerado una infracción muy grave del artículo 6 del Reglamento General de Protección de Datos (RGPD. Por tanto, ha sido sancionada con la cuantía 30.000 euros, que es la mínima para un hecho de este nivel. No hay que olvidar que las sanciones muy graves pueden ascender hasta los 20 millones de euros o a un 4% de la facturación total del establecimiento, dependiendo de cuál sea la mayor de estas dos cantidades.

Lógicamente, habrá establecimientos a estas alturas preguntando cómo se han desencadenado los acontecimientos. En este caso todo surge en el momento en el que el ciudadano holandés pone una reclamación ante la Autoridad de Protección de Datos (AP) de Países Bajos. Según ha contado, el local puso la imagen a disposición de las tablets de los empleados para que verificaran su identidad sin que él hubiese tenido conocimiento previo de ello.

Desde allí luego se ha trasladado la demanda a la AEPD, que es quién ha dictado la sentencia. De no haber sido por la intervención inicial del huésped, es posible que la multa no se hubiese producido. Sin embargo, esto sigue planteando un dilema a los alojamientos, que se arriesgan a que ocurran de nuevo situaciones que podrían derivar en grandes pérdidas económicas y de confianza para campings y hoteles.

¿Cuál ha sido la defensa del hotel?

En base a este hecho, CEHAT denuncia que la decisión de la AEPD se suma a las permanentes quejas sobre la inseguridad jurídica. También han insistido en la sensación de persecución que los empresarios turísticos sienten en materias de protección de datos. Sobre todo, porque las normativas exigen elaborar y facilitar a las empresas turísticas información necesaria para el Ministerio del Interior.

La patronal considera que el sector siempre se ha mostrado abierto a colaborar. De ahí que, a partir de la tecnología, el mecanismo habitual y eficiente para cumplir este requerimiento era el escaneo del documento para que los datos fueran fidedignos. El propio hotel afectado aseguró al cliente holandés que el procedimiento de escaneo era necesario porque seguían las instrucciones de la policía.

De hecho, la AEPD en un primer momento llegó a considerar lícito el tratamiento legal de los datos. Sin embargo, la AP holandesa aseguró que no se estaban valorando bien todas las pruebas. Su argumentación es que el alojamiento podía haber utilizado métodos menos intrusivos para verificar la identidad del titular de la tarjeta del hotel. Por ejemplo, consideran que el apellido, el número de habitación o incluso la firma hubiesen sido buenas alternativas.

Sin embargo, el medio Confidencial Digital asegura que el hotel ha insistido en todo momento que todos estos métodos permiten una suplantación de identidad: si alguien escuchase la información, podría haberla usado en su nombre. Como no hacían alusión a estos métodos en la sección «Política de Privacidad» de su página web, finalmente la AP desestimó sus argumentaciones. En su comunicado oficial aseguran que no habían informado debidamente al huésped y, también, que el tratamiento de datos personales es innecesario y desproporcionado.

¿Entran en conflicto las leyes?

A pesar de todo, la Confederación apunta que esto entraña unos importantes riesgos por la inseguridad jurídica. Consideran que hay una falta de coherencia de interpretación entre lo solicitado por las Fuerzas y Cuerpos de Seguridad del Estado y las normas de protección de datos personales. No solo eso, es que además han manifestado su preocupación por la entrada en vigor del Real Decreto 933/2021 el próximo 28 de abril.

La nueva ley recopila las obligaciones de recogida y comunicación de datos. Sin embargo, todavía no existe un documento de desarrollo específico para hoteles que se ajuste a la tecnología de los sistemas informáticos habituales utilizados. Por eso CEHAT ha manifestado tanto al Ministerio de Turismo como al de Interior la imposibilidad de recoger los datos solicitados en este Real Decreto.

Bien sea porque campings y hoteles no tienen acceso a los mismos o porque están prohibidos por normativa española y europea, lo consideran inviable. Además, esta nueva normativa también contempla importantes sanciones, que podrían entrañar un riesgo. Al mismo tiempo, exige a los hoteleros datos de la transacción económica que son tratados por los proveedores de servicios de pago y plataformas, sin que los establecimientos tengan acceso a ellos por razones de seguridad.

Por su parte, los proveedores de medios de pago, por razones de seguridad y siguiendo protocolos aprobados por el Banco de España, los encriptan de manera que el hotel no tiene acceso a ellos. Es decir, que en los próximos meses podemos encontrarnos con una situación compleja a nivel de legalidad y recogida de datos en los hoteles.

¿Qué riesgos existen para campings y hoteles?

En base a todo lo que hemos comentado, los establecimientos se encuentran ante una disyuntiva. Aunque permanece vigente la obligación de rellenar y firmar el parte de entrada, la tecnología ha dejado anticuado este método de check-in tradicional. De hecho, CEHAT señala que otras tipologías de establecimiento de alojamiento que no sean campings y hoteles no disponen de servicios de recepción donde se pueda cumplimentar esta obligación.

Teniendo esto en cuenta, la patronal ha solicitado a las administraciones turísticas que se creen otras normas que impidan el actual desconcierto, o se posponga la entrada en vigor del Real Decreto hasta que haya una norma de desarrollo con posibilidades de cumplimiento. De lo contrario, creen que se podrían producir negativas de información para la seguridad del Estado.

«No es aceptable obligar a un establecimiento a proporcionar datos a mano en el año 2022, ya que mucha de la información solicitada en estas normativas excede los datos que aparecen en el documento digital de identidad del viajero», señala Ramón Estalella, secretario general de CEHAT.

Al final, desde la Confederación exponen que los campings y hoteles pueden encontrarse ante la tesitura de tener que elegir entre ser sancionados por incumplir o bien las normas de Registro de Viajeros o bien las de Protección de Datos. Por tanto, consideran que son necesarias nuevas herramientas tecnológicas que ayuden a solventar el problema de los alojamientos.

#AEPD #agenciaespañoladeprotecciondedatos #privacidaddedatos #usoinapropiadodeinformacion #multaAEPD

Fuente: Campingprofesional

Cámaras en la puerta de casa que pueden grabar a los vecinos: cómo hay que usarlas para cumplir la ley

Con el aumento de timbres conectados con cámara surge la duda de hasta qué punto son legales. Al fin y al cabo, dispositivos que pueden grabar a quien pasa por delante. ¿No se ven afectados los derechos de privacidad del resto de vecinos? ¿Cualquiera puede simplemente instalar un timbre con cámara en la puerta de su casa y hacer como si no pasara nada? No es tan fácil. Aquí os explicamos cuál es la posición de la Agencia Española de Protección de Datos (AEPD) y qué aspectos deberemos tener en cuenta para su uso correcto.

Los timbres con cámara son legales, pero hay letra pequeña. Si la mirilla digital no ofrece la posibilidad de grabar imágenes y solo se limita al momento en que la persona pica, entonces esas imágenes se consideran dentro del ámbito personal y privado. Sin embargo, si estos timbres conectados tienen cámara y pueden grabar imágenes en cualquier momento, entonces hay que vigilar con la Ley de Protección de Datos.

El uso de las cámaras en la puerta de casa está justificado por cuestiones de seguridad, pero se diferencian múltiples casos. Si la cámara de la mirilla únicamente graba nuestra propiedad y solo una parcela delante de la puerta, la AEPD expresa que es un ámbito privado y estas grabaciones quedan excluidas del tratamiento de imágenes. Por otro lado, si la cámara apunta a la calle, a una zona común de la comunidad o a la urbanización, entonces se deberán llevar a cabos una serie de medidas adicionales.

Es importante hacia dónde apunta la cámara. Estas cámaras solo deben apuntar hacia las zonas comunes y no podrán captarse imágenes de la vía pública, salvo que sea imprescindible, aunque como excepción se permite una franja mínima de los accesos. En caso de que la cámara sea orientable o tenga zoom, la AEPD también requiere que se instale una máscara de privacidad para evitar captar imágenes de la calle, terrenos colindantes u otras viviendas. Estos requisitos se aplican aunque el instalador sea un servicio contratado externo.

Se necesita el permiso de la Comunidad de Propietarios. Para instalar una cámara en zonas comunes se necesitará el acuerdo de la Junta de Propietarios y deberá quedar reflejado en el acta. Preferiblemente, la AEPD además explica que se recomienda que quede constancia del número de cámaras y una descripción del espacio que está siendo captado, además de intentar contar con el permiso de los vecinos más cercanos a tu puerta.

Si hay grabación, se requiere un aviso. Si hay tratamiento de imágenes, es decir, si se está grabando a los vecinos más allá de justo cuando pasan por delante, entonces hay que cumplir con una serie de requisitos adicionales. El primero es que el propietario deberá darse de alta como responsable, por ejemplo a través de la herramienta Facilita RGPD, y asegurar que se están tomando las medidas suficientes en protección de datos.

Además hará falta informar que la zona está videovigilada, con un cartel que indique quién es el responsable y la posibilidad de las personas de ejercer sus derechos. Un cartel de aviso muy habitual de ver en los hogares que tienen sistemas de alarmas y seguridad.

Estas imágenes grabadas, como máximo podrán ser conservadas durante un plazo de un mes, salvo que se utilicen como prueba para una denuncia.

En Reino Unido ya se ha empezado a multar. Un vecino de Oxfordshire fue demandado y condenado a pagar una multa de hasta 100.000 libras por no avisar que estaba grabando con su cámara de Ring. El propietario defendía que su única intención era evitar robots, pero se grabó vídeo y hasta audio, ya que antes de 2020 las cámaras de Ring también guardaban el sonido. La propia Ring de Amazon tiene una guía sobre cómo se debe proceder si vamos a instalar una cámara.

En España han habido algunas reclamaciones, pero se han archivado. La AEPD ha recibido algunas reclamaciones de vecinos, pero por el momento todas han sido archivadas. Un caso fue el de un vecino que denunció la instalación de una de estas mirillas digitales, pero al solo activarse cuando pasaba por delante no se consideró un tratamiento de datos.

"No podemos vivir de espaldas a los avances tecnológicos", han expresado desde la Agencia Española de Protección de Datos. "En particular en materia de cámaras, que prácticamente forman parte de nuestra vida cotidiana".

Fuente: Xataka

Cámaras para el coche: ¿son legales y pueden evitar multas?

Las redes sociales están llenas imágenes impactantes de la carretera tomadas desde el interior de un coche. Conducción temeraria, excesos de velocidad, adelantamientos imposibles, intentos de fraude al seguro… Vídeos grabados por particulares y muchas veces difundidos en las cuentas oficiales de Twitter laGuardia Civil o la Dirección General de Tráfico. Habitualmente, eso sí, con las matrículas difuminadas para proteger la identidad de los automovilistas.

Instalar una cámara en el parabrisas o sobre el salpicadero (su nombre en inglés es dash cam) puede ser una idea muy atrayente. Para hacer fotos o vídeos cortos al volante y para la seguridad: en caso de percance, la grabación puede ayudar a dirimir quién es el responsable. Pero aquí empiezan las dudas.

¿Qué dice la ley?

No existe en estos momentos ninguna normativa expresa sobre la posibilidad de llevar o no cámaras de grabación en vehículos privados. Así que, según la abogada de la aseguradora ARAG Míriam Montero, “se tendría que estudiar cada caso concreto para determinar la legislación que se debería cumplir”.

De hecho, desde la Agencia Española de Protección de Datos (AEPD) dan una serie de directrices para valorar en cada situación qué debemos hacer. Montero comenta que “la agencia valora que la cámara tenga una medida idónea, proporcional y equilibrada para la finalidad de la instalación”. Por regla general, eso sí, se necesita el consentimiento de una persona para grabarla.

En un informe jurídico emitido por la AEPD, se llega a la conclusión de que se pueden realizar dichas grabaciones, pero siempre con cautela y aplicando el principio de minimización. Por ejemplo: que solo se grabe en caso de producirse un hecho concreto, por activación manual o que únicamente se graben imágenes exteriores desde frontal del vehículo.

En definitiva, ¿es legal tener una cámara de grabación en tu coche? Y la respuesta no es clara: depende del tipo de grabación, para qué la utilices y cómo.

¿Podemos reclamar al seguro con una ‘dash cam’?

En caso de accidente, las imágenes se podrían utilizar, pero siempre se debe valorar cada caso. La última palabra, al final, la tiene el juez. Si son imágenes que muestran solo el momento del siniestro y se presentan únicamente como prueba documental del juicio para reclamar la culpabilidad del contrario, podrían ayudar en la defensa, argumentando el interés legítimo de la grabación y en el derecho a la tutela judicial efectiva.

¿Y en caso de infracción de tráfico?

Si se trata de una multa de tráfico, el caso es distinto y más delicado, ya que depende del tipo de grabación que se tenga y de cómo se haya obtenido. Por ejemplo, si es una grabación continuada de la carretera en la que, además de aparecer el vehículo propio, aparecen las matrículas de otros, podría vulnerarse la ley de protección de datos.

Esto se considera una sanción grave y el usuario podría llegar a pagar hasta 300.000 euros. ¿Se podría utilizar igualmente estas imágenes como defensa ante la infracción? Sí, pero con cuidado, porque un tercero podría llegar a interponer una denunciarte ante la AEPD.

El otro caso también es fronterizo: si solo se registran imágenes cuando el vehículo está en marcha, la situación jurídica queda en el aire. Si las grabaciones son con finalidad doméstica quedaría fuera del ámbito de protección de datos, pero si esas imágenes se publican en internet, deja de ser un ámbito doméstico y ahí sí se debería cumplir con la normativa de protección de datos.

La AEPD solo intervendría si se considera que la grabación ha violado el derecho del interesado y se tienen en cuenta su uso, su proporcionalidad y su justificación.

¿Por qué la Guardia Civil usa las imágenes?

Es importante tener en cuenta, indica la abogada de ARAG, que “la captación de imágenes de vía pública con fines de seguridad está reservada a las fuerzas y cuerpos de seguridad del Estado”. Así que ellos sí que podrán utilizarlas para sancionar o investigar un posible delito o infracción. Además, la ley prevé que los jueces y tribunales, así como el Ministerio Fiscal, pueden solicitarnos las imágenes para un procedimiento si lo consideran oportuno.

¿Se puede usar una ‘dash cam’ para las redes sociales?

Aunque parezca raro, la matrícula de un vehículo, al igual que la imagen, o la voz, es un dato personal. Así que es muy importante tener cuidado con la difusión de estos datos a través de redes sociales (sin consentimiento del interesado) y con los comentarios consiguientes.

Dependiendo del caso se podría estar hablando desde una vulneración del honor y la propia imagen a un delito de injurias o calumnias si en el comentario de la publicación se acusa a la persona de un delito, faltando a la verdad.

Además, podría constituir una vulneración de la ley de protección de datos. En el caso de las calumnias serán castigadas con penas de prisión de 6 meses a 2 años o multa de 12 a 24 meses, que dependerá de tus ingresos económicos.

¿Se puede manipular la cámara en el coche?

No. Como si se tratara de un navegador, la ley de tráfico entiende que si se disminuye la atención permanente en la conducción, como sería el caso, el conductor puede ser sancionado con 200 euros y 3 puntos.

Fuente: Motor.elpais

Colocar un cartel de advertencia al lado de una cámara no nos autoriza instalarla y grabar en cualquier sitio

Las cámaras de vigilancia suelen ser algo que suscita muchas dudas que hemos ido resolviendo poco a poco: dónde pueden colocarse, qué requisitos debo cumplir, si la puedo llevar en el coche, cuándo tengo que avisar y cuándo no, si las puedo instalar en viviendas vacacionales… En la mayoría de estos casos, uno de los requisitos fundamentales que especifica la ley si vamos a instalar aparatos de videovigilancia es la colocación de carteles que adviertan de la presencia de dicha cámara y que informen del tratamiento de los datos y de su responsable. Pero, ¿colocar el cartel por sí solo nos permite poner estas cámaras donde queramos?

Hay que diferenciar los dos tipos de espacios que existen: los públicos y los privados. Samuel Parra, abogado especializado en protección de datos en ePrivacidad, explica que “en los espacios públicos, como calles, aceras o carreteras” no podemos colocar cámaras a nuestro antojo que graben continuamente “porque es competencia exclusiva de los cuerpos y fuerzas de seguridad del Estado”. El especialista apunta que tampoco sería legal tener una cámara en el interior de una casa o un establecimiento apuntando hacia la calle, y que en la imagen se pudiera observar lo que sucede fuera.

El espacio público, como aceras o carreteras, no puede grabarse sin justificación

La Agencia Española de Protección de Datos (AEPD) se ha pronunciado al respecto en algunas ocasiones y multado a personas que habían instalado cámaras de videovigilancia en espacios públicos. Por ejemplo, impuso una multa de 2.000 euros a una persona en Granada porque estas estaban “orientadas palmariamente hacia espacio público, de manera que el denunciado controla todo el ancho de la acera pública de manera desproporcionada”. En otro caso, en Zaragoza, sancionó con el mismo importe a una empresa por actuar con “negligencia” al “captar ampliamente zona pública y zonas de la propiedad adyacente, sin haber adoptado medida alguna para enmascarar las imágenes”. 

Los espacios privados son otro cantar. “Nuestros hogares, tiendas, oficinas o espacios de trabajo son espacios privados, aunque en algunos como los establecimientos comerciales o las oficinas no los veamos así porque los compartimos con más gente”, añade Parra. Aunque parezca lo contrario, un bar o una tienda es un espacio privado, tal y como os explicamos en este artículo cuando hablábamos de la captación de imágenes o vídeos por parte de otros comensales en los que podríamos llegar a aparecer.

Incluso en estos espacios privados, hay diferencias: “Si estamos en nuestra casa, no habría problema en colocar las cámaras ni tampoco haría falta colocar un cartel”, explica el abogado. Al fin y al cabo, nuestra casa es un espacio privado por el que sólo pasamos nosotros y las personas que autoricemos.

Si el espacio doméstico se convierte en profesional, tiene que cumplir la normativa y avisar de la presencia de cámaras

Para este caso también hay excepciones: “Desde el momento en el que tenemos a una persona que viene a limpiar a nuestra casa, por ejemplo, deja de ser doméstico para convertirse en un espacio profesional y ahí sí que estamos obligados a avisar de la presencia de las cámaras a través de carteles”. El especialista también señala que “tenemos que adjuntar una hoja en el contrato [en el caso de un limpiador, por ejemplo] que recoja estas circunstancias y que especifique para qué se tratan los datos, quién es el responsable, cuándo se eliminan y demás requisitos legales”. 

Al tratarse de ámbitos profesionales, lo mismo sucede en el caso de que regentemos una tienda o bar o un restaurante, pero también si trabajamos presencialmente en las oficinas de nuestra empresa. Además de los carteles junto con las cámaras, los empleados, al igual que sucede con el ejemplo de nuestra casa, también tienen que firmar ese documento en el que se les informe de la grabación de imágenes y en el que se recoja toda la información sobre las cámaras y el tratamiento de los datos. 

El abogado recomienda “colocar un cartel al lado de cada cámara, bien visible, y no únicamente a la entrada del local o unas sí o en otras no, porque puede llevar a la confusión o al olvido de que estas cámaras existen”. 

Fuente: Maldita

La Agencia de Protección de Datos se pone seria: multa récord al BBVA de 5 millones de euros por el uso de datos sin consentimiento

La Agencia Española de Protección de Datos (AEPD) ha impuesto al BBVA una sanción de 5 millones de euros, la mayor multa de la agencia en su historia. Después de imponer multas como la de 600.000 euros a WhatsApp y la de 1,2 millones de euros a Facebook en 2017, la más alta hasta la fecha, ahora la AEPD da un salto importante con esta multa récord, dividida en dos infracciones.

En la resolución de la agencia se recogen cinco reclamaciones de distintos usuarios que recibieron llamadas telefónicas por parte del BBVA, pese a que habían denegado la cesión de sus datos con fines publicitarios.

Las agencias empiezan a ponerse serias con la aplicación del reglamento

La primera infracción del BBVA ha sido catalogado como “muy grave” por parte de la AEPD, por una infracción del artículo 6 del RGPD. La segunda de ellas, calificada como leve, se trata de una infracción de los artículos 13 y 14 del mismo reglamento. Respectivamente, estas infracciones han sido multadas con 3 y 2 millones de euros. Sanciones que por si solas representarían cantidades récord.

La sanción más grave está relacionada con el consentimiento del usuario, mientras que la segunda sanción está relacionada con que no se informó al usuario correctamente de cómo se recogerían sus datos.

Los argumentos esgrimidos por la AEPD son muy similares a los del procedimiento de la Agencia de Protección de Datos francesa, que esta misma semana multaba a Google y a Amazon por valor de 100 y 35 millones de euros en una resolución equivalente.

Para la AEPD, la política de privacidad del BBVA no ha sido suficiente clara. El banco daba por hecho que al no marcar una casilla, se ofrecía consentimiento para gestionar algunos datos personales. Algo que va en contra de lo establecido por el Reglamento General de Protección de Datos.

La sanción todavía puede ser recurrida por la vía judicial, algo que desde el BBVA ya han anunciado que realizarán. El banco considera que su actuación “ha sido correcta” y presentará recurso ante la Audiencia Nacional. Precisamente este mismo organismo anuló en mayo de 2019 una multa a Google por valor de 150.000 euros, en aquel caso por el derecho al olvido a los medios.

Fuente: Xataka

La Audiencia confirma la multa a la LaLiga por espiar a los bares con su app

La app oficial de La Liga Nacional de Fútbol Profesional espiaba de forma irregular a los bares para saber si pirateaban la retransmisión de los partidos. La Audiencia Nacional ha desestimado el recurso de apelación presentado por el organismo dirigido por Javier Tebas y confirma la multa de 250.000 euros que le impuso la Agencia Española de Protección de Datos (AEPD) en 2019.

La sanción de la AEPD se produjo después de que saliera a la luz que La Liga utilizaba su app oficial para espiar a los bares, sin habérselo comunicado debidamente a los millones de usuarios que la descargaron. La app era capaz de activar el micrófono del móvil en el que estuviera instalada y captar si el sonido ambiente coincide con el de un bar o establecimiento público.

Su objetivo era analizarlo para saber si se estaba proyectando un partido de fútbol sin pagar la tarifa establecida por las cadenas propietarias de los derechos de emisión. Posteriormente utilizaba los datos de geolocalización del teléfono para ubicar exactamente dónde se encuentra ese establecimiento.

“La señal que llega se convierte en un código binario que se compara con el código de la señal de la transmisión por un sistema automático que realiza la operación en menos de un segundo”, explicaron fuentes de LaLiga a este medio, que aseguraban que la señal no se graba ni se almacena: “Solo comprueba si el código coincide con el código original de la señal de emisión”.

La AEPD señaló que la gran recogida de datos personales que se producía cuando la app activa el micrófono y la ubicación del usuario requería que LaLiga contara con su consentimiento cada vez que lo hiciera. Es decir, la información sobre este uso no podría estar escondida en la política de privacidad que el propietario del teléfono debe aceptar para descargar la aplicación, sino que la app debía enviarle un aviso siempre que activara el micrófono para espiar a los bares.

LaLiga se quejó de que la AEPD no había “realizado el esfuerzo necesario para entender cómo funciona” el sistema y anunció que recurriría la sanción, que podía “provocar el temor del usuario de que estuviéramos escuchando algo, cuando esta tecnología no puede captar una conversación humana”. No obstante, la Audiencia Nacional ha desestimado su recurso.

Los magistrados zanjan que la AEPD tuvo en cuenta todas las explicaciones presentadas por LaLiga sobre su tecnología de escucha. “Analizan todas y cada una de las alegaciones de la demandante, similares a las formuladas en este recurso y, con base en las pruebas practicadas en el expediente, concluyen correctamente en la infracción del principio de transparencia en relación con la protección de los datos personales, tipificada y sancionada en el Reglamento General que ahora procede confirmar”, sentencian.

La Audiencia también ve correcto los 250.000 euros de multa que le impuso el organismo: “No concurren atenuantes y sí agravantes, la cifra de negocios de LaLiga en 2018 (1.754.301.000 euros) y el porcentaje que supone dentro de la horquilla de la cuantía que determina el RGPD (en torno a 1%), de modo que la cuantía impuesta se ajusta a los criterios legales y es proporcionada a la gravedad de la infracción por lo que procede confirmarla”.

La Audiencia ha decidido no imponer las costas judiciales a la organización que gestiona la principal competición futbolística española. LaLiga ha recurrido el fallo ante el Tribunal Supremo. Además, se muestra en desacuerdo con que este medio utilice “espiar” respecto a lo que podía hacer su app. La asociación dirigida por Tebas recalca que la falta de transparencia en la recogida de datos personales de los usuarios por la que ha sido sancionada por la AEPD y la Audiencia Nacional no puede asimilarse con una acción de espiar.

Fuente: Eldiario

Lo que no tienes que hacer a WhatsApp: Multas de hasta 4.000 euros

La Agencia Española de Protección de Datos (AEPD) alerta sobre una multa de 4.000 euros. ¿El motivo? Poner a una persona en un grupo de WhatsApp sin su consentimiento, ya que se está vulnerando su privacidad.

WhatsApp se ha convertido en una de las aplicaciones de mensajería instantánea preferida de todo el mundo, ya que es gratuita y muy fácil de utilizar. No obstante, hacer un mal uso de esta aplicación puede salir muy caro, tal como alerta la Agencia Española de Protección de Datos.

Los grupos de WhatsApp son una buena herramienta para organizar quedadas con amigos y familiares, ya que permiten una comunicación global entre todos los miembros, un hecho que facilita mucho los acontecimientos. No obstante, según la AEPD explica que poner a alguien en un grupo sin su consentimiento podría ser un hecho sancionado económicamente.

De hecho, esto mismo es lo que le ha pasado a un club deportivo de Córdoba, que ha sido sancionado por haber puesto una exsocia en un grupo de WhatsApp sin el consentimiento de esta.

La AEPD explica que este club, ha incumplido tres artículos del Reglamento General de Protección de Datos, ya que han guardado el número de la mujer más de 10 años sin que esta formara ya parte del club, no haberle pedido permiso utilizar su número y, finalmente, no haber guardado sus datos personales de manera segura; unos hechos por los cuales les ha caído una sanción de 4.000 euros.

WhatsApp tiene un truco para saber si cuando te envían una ubicación esta es real o no, ya que a veces algunos usuarios pueden enviar una localización para hacerte creer que están en un punto en concreto aunque en realidad están en otro.

Fuente: elcaso

Multa importante para Google y Vodafone: la AEPD les sanciona con 10 y 3,94 millones de euros por violar el RGPD

La Agencia Española de Protección de Datos (APED) ha dictado resolución en el procedimiento que inició contra Google LLC, y ha determinado que esta empresa deberá pagar una multa de 10 millones de euros por violar el Reglamento General de Protección de Datos. Vodafone ha recibido una multa por este mismo motivo, aunque de menor cuantía.

Ceder datos a terceros. Según la AEPD, Google ha cometido dos violaciones del RGPD. La primera, cediendo datos a terceros sin legitimación para ello, que corresponde al artículo 6 de ese Reglamento. En concreto ha enviado al Proyecto Lumen información de solicitudes que realizan los ciudadanos. Ese proyecto recoge peticiones de retirada de contenido, y la AEPD considera que incluir esa información (correo, datos identificativos) en una base de datos accesible al público "frustra la finalidad del ejercicio de derecho de supresión".

Derecho al olvido. La segunda violación es según la AEPD la de "obstaculizar el derecho de supresión de los ciudadanos", que hace compleja completar los formularios y que no indica claramente "si la solicitud se formula invocando la normativa de protección de datos personales". El sistema diseñado por Google LLC, explican en la Agencia, "puede provocar que este termine marcando una opción que se adapte a los motivos que considera apropiados a su interés". Con ello, Google  obstaculiza ese derecho y viola el artículo 17 del RGPD. La empresa logró evitar una multa por un problema similar en 19.

Sanción importante. Esas dos violaciones han provocado la imposición de una multa de 10 millones de euros, una multa muy superior a aquella que en 2017 impuso Francia por motivos similares, y que fue de 150.000 euros. La resolución de la AEPD se ha publicado en el BOE del 9 de mayo.

En Xataka hemos contactado con los responsables de Google y desde allí un portavoz nos dirige a su Centro de Ayuda para acceder a detalles sobre su colaboración con el Proyecto Lumen. Además explica que están "revisando la decisión" y añade que "hemos empezado a reevaluar y rediseñar nuestras prácticas de intercambio de datos con Lumen a la luz de las consideraciones de la AEPD".

Vodafone también se lleva multa. En la misma resolución la APED ha impuesto una multa de 3,94 millones de euros a Vodafone por vulnerar los artículos 5.1 y 5.2 del RGPD, que regulan las garantías para la confidencialidad e integridad de los datos personales. El año pasado este mismo organismo impuso una multa récord de 8 millones de euros a Vodafone por telemárketing sin consentimiento.

Fuente: Xataka

Multa por dejar una cámara en el coche para pillar a los que se lo rayan

La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 1.000 euros a un residente de A Coruña por dejar una cámara encendida en el interior de su vehículo, desde la que estaba grabando una zona pública. El sancionado ha alegado que el propósito del dispositivo era registrar y disuadir a los autores de repetidos "actos vandálicos" que ha sufrido el coche, lo que no ha servido para que el regulador de privacidad le libre de la multa.

De hecho, en su resolución la AEPD considera probado que la cámara funcionaba y que grababa la vía pública debido a que la persona sancionada ha enviado al organismo las imágenes que supuestamente muestran a esos terceros atacando su coche. "Consta acreditada la operatividad del dispositivo de grabación, aspecto este confirmado por el propio reclamado al usar las imágenes (datos personales) para acreditar la presunta autoría de actos vandálicos contra el vehículo", refleja.

Además de las imágenes, el sancionado ha enviado "informes" que demostrarían "su intención de resolver dicho incidente en varias ocasiones", lo que tampoco ha servido de atenuante. "No se aporta denuncia o documento alguno que acredite los daños y perjuicios sufridos en el vehículo, más allá de las meras manifestaciones del reclamado", contesta la AEPD.

La sanción llega tras una denuncia de la Policía Local de A Coruña, que retiró el coche y lo trasladó al depósito municipal tras comprobar que se estaba realizando una grabación desde su interior. Poner cámaras en el interior del vehículo está permitido siempre que estas graben solo lo que ocurre en su interior y no pongan en peligro la seguridad vial. En cambio, las normas de protección de datos no permiten orientarlas hacia el exterior, puesto que las imágenes de los transeúntes forman parte de su información personal. No pueden recogerse sin su consentimiento y un motivo justificado.

La única excepción es que el vehículo se encuentre en movimiento y el objetivo de las imágenes sea utilizarlas "en caso de colisión o accidente", explica el organismo. "Su almacenamiento solo está permitido con el vehículo en movimiento y en el caso puntual de accidente, cuestión que no se produce en los hechos descritos pues el vehículo estaba estacionado sin el conductor en su interior, continuando con el tratamiento de datos personales en una zona de tránsito público".

Con el coche parado, ni siquiera la excusa de que las imágenes no se suben a Internet ni se comparten con terceros exime de la prohibición. "Es indiferente que las mismas no se almacenen, pues la operatividad del mismo ha sido constatada, realizando el dispositivo en cuestión un tratamiento de datos en tiempo real sin causa justificada", zanja la AEPD: "La presencia de un dispositivo en el interior del vehículo del reclamado que obtiene imágenes (datos personales) de espacio público se considera excesivo".

"Proliferación latente" de las cámaras que graban las calles

La AEPD recuerda que la grabación de la vía pública con motivos de vigilancia "está reservada en exclusiva a las Fuerzas y Cuerpos de seguridad del Estado", aunque reconoce que "en los últimos tiempos" se está produciendo una "proliferación latente" de distintos tipos de dispositivos que graban las calles. Buena parte de sus resoluciones giran en torno a cámaras que graban zonas que no deberían registrar o no están adecuadamente señalizadas. "Como norma general, la legitimación para el uso de instalaciones de videovigilancia se ciñe a la protección de entornos privados", recuerda el organismo.

El principio que rige las normas de protección de datos es el de "minimizar" la información que se recoge. En el caso del multado de A Coruña, la AEPD recuerda que podría haber optado por "alguna medida de protección del vehículo menos restrictiva (vgr. alarma sonora, etc), dada la problemática que este tipo de dispositivos de obtención de imágenes pueden ocasionar, como lo acredita el hecho de la retirada del vehículo por las Fuerzas y Cuerpos de seguridad de la localidad".

Los 1.000 euros de sanción al residente de A Coruña se colocan en la parte inferior de la horquilla para este tipo de infracciones, explica el regulador, dado que este se comprometió a retirarla de inmediato y ha colaborado con la investigación de la Agencia.

Fuente: eldiario

No se pueden instalar cámaras de videovigilancia para grabar a los trabajadores en vestuarios y zonas de ocio

La Agencia Española de Protección de Datos (en adelante AEPD) ha impuesto una sanción de 10.000 euros a una empresa por instalar cámaras de videovigilancia en una zona “reservada” en la que se cambiaban de ropa y almorzaban algunos trabajadores así como en el cuarto en el que el denunciante prestaba sus servicios como personal de seguridad.

Nueva multa de la AEPD a Mercadona: 170.000 euros por no entregar a una clienta imágenes de las cámaras

Mercadona ha recibido una nueva multa de 170.000 euros de la Agencia Española de Protección de Datos (AEPD), que ya en julio de 2021 le impuso otra sanción de 2,5 millones. Si entonces fue por instalar aparatos de reconocimiento facial en algunos de sus establecimientos, esta vez ha sido por no entregarle a una clienta las imágenes de las cámaras de seguridad, que aquella había solicitado tras sufrir un accidente en uno de sus establecimientos.

Según informa El Confidencial Digital, una mujer que sufrió un accidente en una tienda de Mercadona, para reclamar por los daños sufridos, solicitó las imágenes de las cámaras de videovigilancia a los cuatro días del incidente, cumplimentando para ello un formulario situado en el apartado de Política de Privacidad de la página web de Mercadona. La mujer recibió un mensaje confirmando la recepción.

Tras más de un mes sin respuesta, la afectada remitió un correo al Delegado de Protección de Datos de Mercadona (DPD). Esta vez la respuesta era distinta: allí no habían recibido ninguna solicitud y, por tanto, las imágenes se habían eliminado.

Un fallo "involuntario"

Según la Instrucción 1/2006, que regula el plazo de conservación de las imágenes, los archivos se borran cuando pasa un mes desde su grabación si nadie los reclama.

Para entonces, la afectada ya había puesto en marcha una denuncia contra la firma, tenía en su posesión el número de referencia de la queja y las grabaciones eran la única prueba que ella tenía para presentar.

En su escrito de alegación, Mercadona se defendió explicando que, tras una investigación interna, se había detectado un "error humano" en la gestión de la reclamación civil presentada por la clienta. Un fallo "involuntario" que provocó que la gestión nunca llegara a conocimiento del DPD.

Dos multas por sendas infracciones

La empresa intentó llegar a un acuerdo por los daños y perjuicios sufridos y, también, por los derivados de no atender su derecho de acceder a sus datos personales. Además, Mercadona comunicó a la AEPD que se habían tomado medidas disciplinarias, técnicas y organizativas para evitar que este fallo volviera a ocurrir.

La AEPD, que considera insuficientes estos argumentos, precisa en la resolución sancionadora que la empresa no ha detallado cuál ha sido el error humano que condujo al borrado de las imágenes. Además, según el organismo, aunque la clienta hubiera desistido en su reclamación tras el acuerdo alcanzado, ello no implica el archivo del procedimiento sancionador porque, de hecho, se había vulnerado la normativa de protección de datos personales.

Por los motivos expuestos, la AEPD ha decidido sancionar a Mercadona con una multa de 170.000 euros por dos infracciones: una por vulnerar el artículo 12, relacionado con el número 15 del Reglamento General de Protección de Datos (RGPD), que se refiere a la transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado (70.000 euros). La otra (100.000 euros), por incumplir el el artículo 6 de dicho reglamento: la licitud del tratamiento de los datos del cliente.

No es la primera vez para Mercadona

El pasado 22 de febrero, el Boletín Oficial del Estado publicó una resolución de la AEPD en la que plasmó un listado de empresas que durante 2021 recibieron sanciones por más de un millón de euros.

Mercadona ocupa el cuarto lugar, por la ya citada multa de 2,5 millones impuesta por la AEPD a raíz de la colocación de cámaras de reconocimiento facial que, tras esa medida sancionadora, retiró de sus establecimientos. Junto a la empresa de distribución aparecen en el listado Vodafone, BBVA y EDP.

Fuente: Facua

Videovigilancia, una de las reclamaciones planteadas con mayor frecuencia ante la AEPD

La Agencia Española de Protección de Datos (AEPD) ha publicado su Memoria 2021, que recoge de forma exhaustiva las actividades realizadas, las cifras de gestión, los informes y procedimientos más relevantes del año, y un análisis de los retos presentes y futuros. La actividad de organismo en 2021 ha estado centrada de forma prioritaria en una doble vertiente: dar respuesta a los desafíos de protección de datos relacionados con la pandemia y seguir impulsando que aquellos que tratan datos se comprometan con la protección de la privacidad.

En el primer bloque, la Agencia ha continuado participando en articular garantías para proteger los datos personales en los tratamientos relacionados con las medidas contra la COVID-19, tanto en un plano nacional como en el europeo a través del Comité Europeo de Protección de Datos (CEPD). En el segundo, en 2021 se puso en marcha el Pacto Digital para la Protección de las Personas, una iniciativa que ya cuenta con casi 400 entidades adheridas y que promueve la privacidad y la ética digital como un activo que las organizaciones deben tener en cuenta a la hora de diseñar sus políticas y sus estrategias.

13.905 reclamaciones se presentaron ante AEPD en 2021

En cuanto a las cifras de gestión, en 2021 se han presentado ante la AEPD 13.905 reclamaciones, un aumento de un 35% respecto a 2020. Esta cifra asciende a las 14.571 incluyendo los casos transfronterizos, los casos en los que la Agencia actúa por iniciativa propia y las quiebras de seguridad trasladadas a inspección.

En 2021 las reclamaciones resueltas han aumentado un 35% (14.098) respecto al año anterior (10.443), una cifra muy destacable que ha permitido resolver reclamaciones pendientes de ejercicios anteriores sin que hayan aumentado significativamente los tiempos medios de resolución.

En esos tiempos de tramitación de las reclamaciones hay que hacer una referencia a los traslados, una previsión recogida por la LOPDGDD para facilitar la resolución rápida de las reclamaciones y que ha permitido que estas se resuelvan en menos de dos meses.

Durante el año 2021 se ha seguido trabajando en el Canal Prioritario para solicitar la retirada urgente de contenido sexual o violento publicado en internet sin el permiso de las personas que aparecen en ellos. Así, se han recibido 377 peticiones a través del Canal Prioritario, de las cuales 215 han entrado a través del canal de menores.

En cuanto a las reclamaciones ordinarias, las planteadas con mayor frecuencia por los ciudadanos en 2021 corresponden a servicios de internet (16%), videovigilancia (12%), recepción de publicidad (excepto spam) (11%) e inserción indebida en ficheros de morosidad (9%). En cuanto a los procedimientos sancionadores, se finalizaron 585, un 49% más que en 2021. Las áreas más frecuentes en los procedimientos sancionadores son videovigilancia (25%), servicios de internet (22%), y publicidad a través de correo electrónico o teléfono móvil (9%).

Se han realizado 264 resoluciones que han finalizado con la imposición de multa. Las seis áreas de actividad con mayor importe global de multas han sido la publicidad (8.659.200 euros), telecomunicaciones (6.500.000 euros), entidades financieras/ acreedoras (6.243.000 euros), ficheros de morosidad (4.209.000 euros), contratación fraudulenta (3.674.000 euros) y asuntos laborales (2.625.900 euros). Estas seis áreas suponen más del 90% del importe global de sanciones, que en 2021 ascendió a 35.074.800 euros.

En cuanto a los casos transfronterizos, la AEPD ha iniciado 16 en 2021 y se ha declarado autoridad interesada en más de 300. Asimismo, se han recibido 1.070 peticiones de otras autoridades europeas, solicitudes de asistencia y consulta, y proyectos de decisión.

En lo referente a las sentencias de la Audiencia Nacional recaídas en los recursos interpuestos contra resoluciones de la Agencia, de las 66 dictadas en 2021, 56 (el 85%) fueron desestimatorias o inadmitidas. Por su parte, el Tribunal Supremo ha dictado 4 sentencias, todas ellas favorables a la Agencia.

Ciberincidentes, filtrado de datos…

En cuanto a las notificaciones de brechas de datos personales realizadas ante la AEPD, estas son inicialmente recibidas por la División de Innovación Tecnológica (DIT), que realiza un primer análisis. La DIT ha recibido y analizado 1.647 notificaciones en 2021, de las que poco más del 4% (76) se han remitido a la Subdirección de Inspección por requerir de una investigación en profundidad. Las brechas de datos personales más frecuentes son las causadas por ciberincidentes de origen externo/malintencionado y, dentro de este tipo de incidentes, el ransomware es el más repetido. En paralelo, siguen en aumento los casos en los que el cifrado de los datos y/o los sistemas van precedidos de una filtración de información y su puesta a la venta en internet/darkweb.

En lo relativo a las cifras de delegados de protección de datos (DPD) notificados ante la Agencia, 2021 se cerró con 82.249 DPD frente a los 65.040 DPD de 2020. De la cifra del año pasado, 74.033 corresponden al sector privado y 8.396 al sector público. Por lo que respecta a los servicios de ayuda que presta la Agencia para la adaptación al Reglamento, se han recibido casi 670 consultas a través del Canal del DPD, que da respuesta a las consultas que plantean los Delegados de Protección de Datos previamente notificados a la Agencia.

Fuente: Cuadernosdeseguridad