El colegio no puede publicar fotos de alumnos si los padres no lo consienten

La Agencia Española de Protección de Datos (APED) ha apercibido (en una resolución que advierte de una infracción leve pero no impone sanción) a un colegio de Bilbao por el tratamiento inconsentido de fotografías de sus alumnos (menores de edad) en la página web del centro.
Los hechos constitutivos de la infracción fueron los siguientes: el colegio solicitó de los padres de sus alumnos autorización para incorporar fotografías de éstos a su página web y a otros soportes (por ejemplo, un CD en el que aparecían todos los estudiantes). Los padres denunciantes no prestaron ese consentimiento, a pesar de lo cual sus hijos aparecieron en el CD con la cara difuminada (“oculta por una mancha naranja”) y aparecieron posteriormente, también, en la web. La AEPD considera que existe infracción en ambos casos, incluso en aquél en que la cara del menor no era identificable, porque sí aparecía por ejemplo su nombre. En este sentido, recuerda que el “concepto de dato personal no puede ser más amplio”, por lo que la mera presencia de algún dato (aunque no todos) es suficiente para la identificación y, por tanto, supone un tratamiento de datos. Asimismo, la mera toma de la fotografía –aunque después no sea objeto de publicación– también supone un tratamiento de datos, por lo que resultan aplicables las prevenciones y exigencias de la Ley de Protección de Datos Personales (LOPD).
En el caso de la publicación de las fotografías en la web, se produce un tratamiento que expresamente era contrario a la voluntad de la madre del menor, por lo que concluye la AEPD que el colegio “no disponía del consentimiento de la representante legal de los menores afectados para el tratamiento de datos realizado, consistente en la utilización de sus imágenes en la citada Web.”A pesar del tratamiento inconsentido, la AEPD no ha impuesto ninguna sanción al colegio porque éste disponía de mecanismos preventivos, como las solicitudes de consentimiento paterno o la herramienta para difuminar la cara de los menores.

Descárguese este artículo, en formato pdf, con nuestra Newsletter de noviembre de 2011: http://www.forolegal-abogados.com/newsletters/newslette-noviembre-2011.pdf

No informar de la existencia de cámaras de seguridad conlleva sanciones

La Agencia Española de Protección de Datos (AEPD) ha sancionado con una multa de 2.500 € a una empresa de Madrid que disponía de ocho cámaras de videovigilancia en su local y no advertía de ello a sus posibles clientes.
La grabación de imágenes de una persona se considera tratamiento de datos personales, por lo que es necesario informar de dicho tratamiento y, también, de los derechos de acceso, rectificación y cancelación que asisten a cualquier persona cuyas imágenes se hayan tomado a través de estas cámaras. Para ello, es preciso que el local disponga de carteles que anuncien de forma adecuada la toma de imágenes y, también, los derechos correspondientes. En este caso, sin embargo, la empresa no disponía de los mismos, por lo que entendió la AEPD que dicha empresa actuó “sin contar con legitimación para el tratamiento de los datos personales captados por dichas cámaras”.
Las sanciones por la falta de advertencia de sistemas de videovigilancia pueden alcanzar los 300.506,05 €, en caso de ser consideradas como infracciones graves. No obstante, la AEPD aplicó la sanción de forma atenuada, por entender que no concurrían en el caso circunstancias de especial gravedad. En cualquier caso, es conveniente evitar el riesgo de cualquier sanción mediante los oportunos avisos.

Descárguese este artículo, en formato pdf, con nuestra Newsletter de junio de 2011: http://www.forolegal-abogados.com/newsletters/newsletter-junio2011.pdf

Cesión de correos de trabajadores a los delegados sindicales

La Agencia Española de Protección de Datos (AEPD) recomienda el uso de listas de distribución para facilitar el ejercicio de los derechos sindicales de los trabajadores, ante el conflicto de normas entre la protección de datos de carácter personal (que obliga a proteger datos como los correos electrónicos de los trabajadores) y la libertad sindical (que habilita a los sindicatos a comunicarse con esos mismos trabajadores).
La AEPD empieza señalando que el correo electrónico constituye siempre un dato de carácter personal, resolviendo de este modo una cuestión previa: no sólo se trata de un dato personal cuando contenga el nombre y apellidos de su titular, sino también cuando se trate de un correo formado por palabras que nada tengan que ver con su titular. El motivo para ello es que ese correo siempre acaba vinculado a una persona concreta en los ficheros de la empresa para la que trabaja, por lo que existe en todos los casos la obligación de protegerlo.
Puesto que la empresa está obligada a facilitar a los delegados sindicales mecanismos para que puedan dirigirse a los trabajadores, debería en un principio atender favorablemente la petición de dichos delegados de obtener esos correos electrónicos, pero eso vulneraría la protección de los datos personales.
La solución para ello son las llamadas listas de distribución, mediante el envío del correo a una dirección genérica o institucional, como por ejemplo (informacion.sindicato@organizacion.es), que permitiría la comunicación sin que el remitente accediera a ningún dato personal. Estas listas, además, cumplirían con las obligaciones básicas que exige la Ley de Protección de Datos: información en la recogida, consentimiento, oposición al tratamiento y ejercicio de los derechos de acceso, rectificación y cancelación.

Descárguese este artículo, en formato pdf, con nuestra Newsletter de mayo de 2011: http://www.forolegal-abogados.com/newsletters/newsletter_mayo_2011.pdf

La Unión Europea quiere garantizar el derecho al olvido en Internet

La Unión Europea trabaja en la elaboración de nuevas normas que permitan adaptar la legislación comunitaria en materia de protección de datos, debido a los cambios que las nuevas tecnologías están introduciendo en su tratamiento.

Entre las medidas más destacadas, se quiere regular el llamado derecho al olvido en Internet, es decir, el derecho que cualquier persona puede tener a que sus datos desaparezcan de la red cuando ésa sea su voluntad. El uso de las redes sociales provoca que, a menudo, resulte difícil eliminar de la red datos personales o fotografías, incluso después de que una persona se haya dado de baja del servicio, por lo que Bruselas regulará el modo de hacerlo.

Uso de Internet: la empresa puede controlarlo, pero avisando al trabajador

Antonio Valmaña, Abogado

El control que una empresa debe poder hacer sobre la actividad de sus trabajadores y el derecho a la intimidad por parte de éstos es un tema candente, en especial como consecuencia de la utilización de las nuevas tecnologías.
La Agencia Española de Protección de Datos (AEPD) consideró en una Resolución de 3 de febrero de 2010 que no se había producido vulneración de la Ley de Protección de Datos Personales (LOPD) en la inspección que una empresa había realizado del uso de Internet que uno de sus trabajadores había realizado a través de un ordenador de la propia empresa. Archivaba así unas actuaciones que habían empezado cuando el trabajador denunció que había sido despedido por llevar a cabo un uso abusivo de la red. Concretamente, junto a la carta de despido, se le había entregado una detallada auditoría en la que se recogían todos los accesos que había realizado a páginas web que nada tenían que ver con las actividades laborales propias de su puesto: juegos, redes sociales, música, etcétera.

Cuestión controvertida

En su análisis del caso, la AEPD se fija en la jurisprudencia del Tribunal Supremo, de la que se deduce que nos encontramos ante una cuestión controvertida, al existir un claro choque entre el derecho al control que asiste a la empresa y el derecho a la intimidad que asiste al trabajador. En defensa del primero de estos derechos, encontramos la analogía que el Supremo ha establecido entre acceder al ordenador de un trabajador y acceder a su taquilla, tal y como permite el artículo 18 del Estatuto de los Trabajadores. Al respecto, en su Sentencia 966/2006, de 26 de septiembre de 2007, el Supremo indica que hay cierta tolerancia con el uso de medios de la empresa (como el teléfono o el propio ordenador) para usos personales, si bien “hay que tener en cuenta que se trata de medios que son propiedad de la empresa y que ésta facilita al trabajador para utilizarlos en el cumplimiento de la prestación laboral, por lo que esa utilización queda dentro del ámbito del poder de vigilancia del empresario”. La finalidad es que el empresario pueda saber si el trabajador dedica el tiempo que pasa frente al ordenador a desarrollar la actividad laboral porque, de lo contrario, la empresa “estaría retribuyendo como tiempo de trabajo el dedicado a actividades extralaborales”.
Pero por otro lado, esa misma Sentencia indica que existe “una expectativa también general de confidencialidad en esos usos”, es decir, se entiende que el trabajador utiliza el correo electrónico de la empresa para el envío de mensajes de carácter personal creyendo, de forma razonable, que la empresa no va a tener acceso a dichos mensajes.
Esa expectativa razonable de intimidad, sin embargo, no
existía en el caso que analizó la AEPD porque la empresa había entregado al trabajador, al principio de la relación laboral, un “Manual de Acogida” en el que se le informaba de que podía hacerse ese control sobre su uso del ordenador.

Información contractual

Esa información contractual que la empresa entregó al trabajador fue la clave para que la AEPD entendiera que no existía vulneración de la LOPD. En dicha información, en ese Manual que el trabajador conocía, se explicaba textualmente lo siguiente: “La Empresa podrá acceder a información almacenada o transmitida empleando sistemas de su propiedad y se reserva el derecho de vigilar sus sistemas con propósito de auditoría […]. Los usuarios no deben suponer que las comunicaciones que realicen empleando los sistemas de la Compañía son privadas”.
Evidentemente, si la empresa informa al trabajador de que cualquier acto que realice a través del ordenador que le ha entregado, éste no puede alegar posteriormente la existencia de una “expectativa de confidencialidad” que ha quedado totalmente quebrantada. Sobretodo, cuando de forma expresa se le ha advertido de que cualquier comunicación que realice a través de ese ordenador podrá ser después analizado.
La AEPD entendió que esta información entregada al trabajador al inicio de la relación laboral era suficiente para que el control efectuado sobre el ordenador resultase legal, sin necesidad de que el trabajador o sus representantes estuvieran presentes durante la inspección (como ocurre con el caso de las taquillas, en que el Estatuto de los Trabajadores exige esa presencia).
En este caso, por tanto, se consideró que había un equilibrio justo entre los derechos que entraban en conflicto, señalando que los ordenadores que la empresa entrega al trabajador “se instauran como una herramienta de trabajo, y no como un efecto personal del profesional”. Por ello, aunque “se ven sometidas a un margen de actuación privada reconocido como hábito social”, la información del Manual de Acogida era suficientemente clara.
En cualquier caso, es muy recomendable que la empresa disponga de un protocolo de uso de Internet y de sus medios informáticos, protocolo que debe poner en conocimiento de sus trabajadores, que deberán firmarlo al principio de su relación contractual o en el momento en que el documento se convierta en norma interna de la empresa. Y es que a falta de ese documento, el control posterior podría no ser válido. De hecho, la resolución de la AEPD es favorable a la empresa porque había dado esa información al trabajador y, si no lo hubiera hecho, podría haber entendido que el trabajador tenía una “expectativa de confidencialidad” razonable y, por tanto, no habría sido válida la auditoría efectuada.

Descárguese este artículo, en formato pdf, con nuestra Newsletter de enero de 2011: http://www.forolegal-abogados.com/newsletters/newsletter-enero-2011.pdf

La AEPD podría sancionar a Google por captar datos de titulares de Wi-fi

La Agencia Española de Protección de Datos (AEPD) ha iniciado un procedimiento sancionador contra dos sociedades del grupo Google por haber captado, almacenado y transferido al extranjero datos personales de titulares de redes Wi-fi.
La captación de datos habría tenido lugar mientras trabajadores de Google estaban recogiendo imágenes para el programa Street View, que permite visualizar calles de distintas ciudades españolas. Entre los datos obtenidos, se contarían la identidad, cuentas de correo electrónico, contraseñas e información de diversa índole de los titulares de esas redes Wi-fi, lo cual ha supuesto una intromisión en la protección de esos datos de carácter personal.
Debe tenerse en cuenta, asimismo, que algunos de los datos captados (como las contraseñas) permitirían a su vez el acceso a datos especialmente protegidos.
Además, todos esos datos se transfirieron posteriormente a la filial del grupo, en Estados Unidos, lo cual supone una transferencia internacional no autorizada, que es otra práctica sancionable de conformidad con la Ley de Protección de Datos de Carácter Personal (LOPD).
Las sanciones a las que podría tener que hacer frente Google ascienden, en su conjunto, a más de dos millones de euros en su horquilla más alta.
Paralelamente, la AEPD ha puesto estos hechos en conocimiento del Juzgado de Instrucción Nº 45 de Madrid, para que determine si existe además alguna responsabilidad penal por parte de Google.

Las denuncias por protección de datos crecieron un 75% en 2009

Las denuncias frente a la Agencia Española de Protección de Datos (AEPD) crecieron durante el año 2009 un 75%, lo cual dio lugar a un total de 709 expedientes sancionadores que acabaron con la imposición de multas por un importe global de 24,8 millones de euros.
Por sectores, la mayor parte de denuncias derivaron de la difusión de datos a través de Internet, de la videovigilancia y de la inclusión indebida en listas de morosos.
Muchas personas solicitaron también a la AEPD información acerca de cómo ejercer su “derecho al olvido en Internet”, es decir, de qué modo podían conseguir que sus datos personales dejaran de estar disponibles en la red y dejaran también de aparecer en buscadores.

Descárguese este artículo, en formato pdf, con nuestra Newsletter de julio de 2010: http://www.forolegal-abogados.com/cuestiones-juridicas-interes.php

Publicar en Facebook fotos ajenas puede comportar multas cuantiosas

La fotografía de una persona es un dato personal, a los efectos de lo dispuesto por la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD). Esto significa, por tanto, que esa fotografía merece una protección, como otros datos (D.N.I., domicilio o teléfono).
A pesar de ello, es frecuente encontrar en Internet imágenes de muchas personas colgadas sin su consentimiento expreso o, incluso, sin su conocimiento. Las redes sociales, como Facebook, son una herramienta de uso masivo en la que, generalmente, un usuario no sólo cuelga fotografías propias sino, también, fotografías en las que aparecen terceras personas, cuya imagen merece protección de conformidad con la LOPD.
Esta actividad, cada día más cotidiana, está amparada sin embargo por la excepción prevista por el artículo 2.2 de la LOPD, que entiende que no operan las medidas de protección de datos cuando éstos están en : “ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas”.
Un perfil creado en Facebook, por tanto, utilizando los términos de la LOPD, supone un fichero en el que el usuario introduce sus propios datos y los de terceros (los que aparecen en sus fotografías).
Por lo tanto, este uso personal no está perseguido por la LOPD y no da lugar a sanciones, excepto que se produzca un abuso. Como ejemplos de abuso, podemos situar el uso de las redes sociales con finalidades comerciales (por ejemplo, cuando un perfil corresponde a una empresa que lo usa para promocionarse) o cuando no se protegen adecuadamente esas imágenes: es el caso de un perfil sin ninguna privacidad o un perfil al que haya agregados muchos contactos, puesto que permitirán a mucha gente ver fotografías personales de terceros.