Entradas

Paz Martin

26 de abril: Día Internacional de la Propiedad Intelectual. Una celebración diferente

/en , /por

Hablar de propiedad intelectual en estos tiempos en los que buena parte de la humanidad se encuentra confinada parece incluso superfluo. Pero las celebraciones son importantes, sobre todo cuando apuestan por el futuro y por proteger derechos que, pase lo que pase, no pueden desaparecer.

Este año la celebración liderada por la Organización Mundial de la Propiedad Intelectual (OMPI o WIPO en sus siglas en inglés) apuesta por la construcción de un futuro «verde».

¿Por qué? Porque las decisiones que estamos tomando hoy construyen nuestro futuro y el de nuestro planeta. Hemos vivido unos años en los que se ha puesto de manifiesto que si no intervenimos, comprometeremos la salud de nuestro planeta y la de los que en él habitamos y habitarán. Debemos ser responsables y apostar porque la innovación vaya dirigida a cumplir con este objetivo. Porque sólo tenemos una Tierra y tenemos que cuidarla.

Feliz Día de la Propiedad Intelectual!

Paz Martín

26 de abril de 2020

#losdetallesimportan

Paz Martin

Protección de Datos y Covid-19: Webinar en la Cámara de Comercio de Madrid; aplicaciones, datos de salud y teletrabajo

/en /por

Hemos tenido el honor de participar en el Webinar organizado por la Cámara de Comercio de Madrid dentro de su ciclo de formación online en tiempos de Covid-19 y que está abarcando aspectos de interés para las empresas y profesionales.

Con respecto a la privacidad, son muchas las dudas que se han suscitado en las últimas semanas y que tienen que ver con cuestiones tan diversas como las aplicaciones de control de la pandemia o las de cercanía, con la geolocalización o con el propio teletrabajo, la impartición de clases a través de Internet o con la recogida de datos de salud por parte del empresario en caso de necesidad.

El contexto normativo actual es el siguiente:

Estado de alarma:

  • Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID-19
  • Ley Orgánica 4/1981, de 1 de junio, de los estados de alarma, excepción y sitio
  • Orden SND/297/2020, de 27 de marzo, por la que se encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial, del Ministerio de Asuntos Económicos y Transformación Digital, el desarrollo de diversas actuaciones para la gestión de la crisis sanitaria ocasionada por el COVID-19.

Protección de datos:

Otras normas del ámbito de la salud y de la prevención de riesgos laborales

  • Ley 31/1995 de 8 de noviembre de prevención de riesgos laborales
  • Ley Orgánica 3/1986 de 14 de abril de Medidas Especiales en Materia de Salud Pública
  • Ley 33/2011 de 4 de octubre de Salud Pública
  • La Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública (modificada mediante Real Decreto-ley 6/2020, de 10 de marzo, por el que se adoptan determinadas medidas urgentes en el ámbito económico y para la protección de la salud pública establece:

..con el fin de controlar las enfermedades transmisibles, la autoridad sanitaria, además de realizar las acciones preventivas generales, podrá adoptar las medidas oportunas para el control de los enfermos, de las personas que estén o hayan estado en contacto con los mismos y del medio ambiente inmediato, así como las que se consideren necesarias en caso de riesgo de carácter transmisible.

Ante las posibles dudas sobre la «legalidad» del tratamiento de determinados datos o la adopción de determinadas medidas para prevención, contención e incluso investigación del comportamiento del virus, medidas que sólo son posibles si se dispone de una información a gran escala de quién está infectado, con quién tiene contacto y de esta forma entender cómo se está propagando el virus y muy especialmente una vez que las medidas de confinamiento se relajen y volvamos todos a una progresiva normalidad.

La protección de datos es la protección de las personas. El derecho a la privacidad es un derecho fundamental que no queda confinado. El estado de alarma no supone ni puede suponer en modo alguno una restricción de este derecho fundamental pero, como la propia Agencia Española de Protección de Datos ha señalado, en consonancia con el Comité Europeo de Protección de Datos, la protección de datos tampoco puede suponer un obstáculo para la adopción de medidas encaminadas a mitigar la pandemia.

Es el equilibro del interés público, el propio interés vital de las personas y el derecho de las personas a que el tratamiento de los datos se realice con las debidas garantías el objetivo a conseguir. Las bases de legitimación establecidas en el RGPD están claramente definidas y las situaciones excepcionales como la que vivimos también encuentran su respuesta en esta normativa permitiendo el tratamiento de datos con base al interés público, entre otros.

Cualquier iniciativa pública o privada en este sentido tendrá que respetar escrupulosamente lo dispuesto en la normativa de protección de datos vigente. No en vano, el RGPD contempla garantías suficientes para garantizar la privacidad. La cuestión es que dichas garantías se observen por parte de quienes realizarán del tratamiento.

Cuestiones básicas en este sentido serán:

  • Cumplir con los principios del RGPD (licitud, lealtad, transparencia, exactitud, minimización, etc)
  •  Ser transparente en la información que se ofrece al ciudadano
  •  Limitar las finalidades: lo que es perfectamente lícito para unos fines puede no serlo tanto o requerir un consentimiento aparte para otros (p.e. fines comerciales)
  •  Limitación del tiempo de conservación de los datos
  •  Regulación de los accesos y de las relaciones con terceros que acceden a datos.
  •  Analizar los riesgos y si es preciso (que en el caso de recogida de datos de salud o de tratamientos a gran escala) realizar una Evaluación de impacto en protección de datos y aplicar las medidas que hayan resultado de las mismas
  •  Establecer medidas de seguridad para garantizar la confidencialidad, integridad y disponibilidad de la información.

Con respecto a las aplicaciones, por mucho que su instalación sea voluntaria, el tratamiento de los datos no está basado tanto en el consentimiento sino en el interés público y en el interés vital de las personas.

Datos personales y teletrabajo:

Sin ánimo de ser exhaustivos, la improvisación de medidas de teletrabajo puede poner en riesgo la seguridad de la información y por ello es fundamental establecer políticas de trabajo en remoto. Regular la forma de hacer las cosas, establecer procedimientos y políticas, se hace, ahora más que nunca, imprescindible. Un buen acercamiento a esta cuestión se puede obtener de las Guías 800 que el Centro Criptológico Nacional tiene publicadas y que están orientadas al cumplimiento del Esquema Nacional de Seguridad.

Normas claras para trabajar de forma segura tienen que llegar a todos los trabajadores que están confinados en sus casas. La formación online tampoco es descartable ahora que en muchos casos la actividad se ha reducido. No hay que bajar la guardia pues son muchos los posibles fraudes y posibles fugas de datos los que se están produciendo aprovechando esta situación.

Todas estas cuestiones han sido tratadas hoy de forma sucinta y hemos respondido a las dudas de los asistentes.

Pero a pesar de las dificultades de la situación, seguramente que de toda esta situación saldremos juntos y fortalecidos. El confinamiento, desde un punto de vista positivo, nos ha enseñado que otra forma de trabajar es posible.

Gracias a la Cámara de Comercio e Industria de Madrid por acogernos y permitirnos compartir nuestras experiencias.

Abril 2020

#Losdetallesimportan

Paz Martin

 

Paz Martin

¿Es obligatoria la auditoría de protección de datos?

/en /por

Hoy es el Día Europeo de la Protección de Datos. Toca reflexionar. En esta ocasión vamos a analizar una pregunta recurrente en las organizaciones. Vamos a suponer que el que más o el que menos sabe que la legislación de protección de datos cambió hace un par de años.

Vamos a suponer igualmente que el que más o el que menos hizo los deberes e hizo el esfuerzo de «adaptarse» a la nueva normativa es decir el Reglamento UE 2016/679 General de Protección de Datos o RGPD (esto ya es mucho suponer).

Y realizado el esfuerzo (los que lo hicieron) ahora muchos se preguntan ¿hay que hacer auditoría? ¿dónde lo dice? ¿cada cuánto? Y es cuando uno tiene que deshacerse en explicaciones de por qué sin revisión, auditoría o como lo queramos llamar, no existe cumplimiento.

Estamos en enero, mes de buenos propósitos: dietas y matrículas en los gimnasios. La gestión de la privacidad es como el cuerpo humano: hay que cuidarlo y es agradecido. Si te das el atracón y no lo trabajas después, se malogra, se lesiona, enferma y de nada vale apuntarse al gimnasio un mes porque los milagros, por lo menos en este terreno, no existen. Con la privacidad sucede lo mismo. Mayo de 2018 y meses anteriores y posteriores: atracón de privacidad. Algunos desde entonces no han vuelto sobre ello. Craso y grave error. Eso no es cumplir.

Dicen los entrenadores que más vale poco y continuado que no la paliza «de dominguero». Para que el cumplimiento sea eficaz tiene que ser constante y revisable. No hay norma que no requiera ser revisada en el tiempo.

La obligación: Por establecer una base legal nos tenemos que referir de forma obligatoria a una serie de artículos del RGPD:

El artículo 24 dije que las medidas técnicas y organizativas «se revisarán y actualizarán cuando sea necesario». El artículo 32, por su parte obliga a que responsables y encargados apliquen medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al reisgo que en su caso incluya, entre otros… un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento».

Ahí tenemos la obligación de «auditoría», sin periodicidad definida pero sí orientativa: cuando sea necesario» y para «garantizar la seguridad del tratamiento».

Si buceamos en sistemas de gestión de la seguridad de la información como la ISO 27001 o el Esquema Nacional de Seguridad comprobaremos que las revisiones son, en general, anuales. Anualmente se revisan partes de los sistemas y cada tres años, se revisan en su totalidad (en el caso de las ISOs para renovar la certificación).

La periodicidad: La normativa anterior establecía una obligación de auditoría al menos cada dos años o cuando existieran cambios en los sistemas de información. Dos años puede ser una orientación pero consideramos que no es suficiente dado el ritmo de las actividades de las entidades: Si en dos años no hacemos nada, es posible que a los dos años tengamos que volver a empezar. Por ello habría que establecer dos pasos:

– Procesos de revisión constantes y periódicos, supervisando si se hacen las cosas bien, aplicando el principio de seguridad desde el diseño y por defecto y en definitiva, estando encima. Parece mentira pero con todo y con eso, cuando uno revisa, siempre salen «cosas».

– Procesos de auditoría bien globales o parciales (p.e. por actividades de tratamiento estratégicas o críticas para el negocio) que constaten que lo que allí se hace es conforme con la norma y que garantiza adecuadamente la seguridad de los datos personales. Una revisión cada dos años puede estar bien en organizaciones donde no haya grandes cambios y siempre que se realice una revisión constante. En otras, la frecuencia debería ser anual…

Si seguimos con los símiles es algo así como la limpieza diaria y la general. Si uno sólo limpia una vez al año, es posible que lo que encuentre sea algo más que pelusas… E incluso limpiando a diario, la limpieza general es necesaria. Así debe ser la gestión de la privacidad: algo diario, interiorizado en las organizaciones como un elemento más de su gestión empresarial. De esta forma las auditorías no tienen por qué dar miedo sino que serán un instrumento de mejora continua, de reflexión profunda (y más si lo ven «otros» ojos) y de cumplimiento real.

Y muchos nos dicen: «yo soy una pyme, en mí no se fijará nadie». Otro gran error. El incumplimiento acecha a la vuelta de la esquina y el incumplimiento por ignorancia no está recogido como «atenuante».

Por lo tanto, para coger «músculo» en esto de la protección de datos hay que ejercitarlo. Y no hay mejor ejercicio que la revisión permanente y la conciencia de que lo que tenemos entre manos es un derecho fundamental que merece todo nuestra atención y respeto.

Paz Martin

28 de enero de 2020

#losdetallesimportan

Paz Martin

Lo que hemos aprendido en un año de RGPD: la privacidad importa

/en /por

De la desidia del dato a la catarsis colectiva

25 de mayo de 2018: ni un solo asesor de este país (y seguramente del resto de los países de la Unión Europea) durmió tranquilo. Es más, probablemente ni durmió. Aquello parecía una carrera contra reloj. Parecía que el filo de la guillotina sancionadora caería ese mismo día y el que no estuviera adaptado ardería en los infiernos de las autoridades de control…

Lo curioso fue que aquellos a los que la privacidad no les había importado hasta la fecha, fueron los que más prisa metieron a sus asesores para “adaptarse”.

Acciones masivas de petición de consentimiento (alguna innecesarias) enviadas el 24 de mayo por la noche, cláusulas informativas, contratos, registros de actividades de tratamiento, análisis de riesgos, políticas, procedimientos de brechas y derechos…

Y llegó el día 26, el 27…. Y no pasó nada… Ya lo sabíamos.

Bueno sí paso, pasó que por fin la privacidad importa. Y sólo por eso ha merecido la pena.
Hemos ganado en transparencia: ahora nos informan mejor y más claro (algunos se pasan y han convertido pequeños textos en verdaderos tratados de privacidad.
Hemos ganado en buenas prácticas :nos piden el consentimiento para todo, incluso cuando el consentimiento no es necesario…
El cumplimiento es un poquito más real que antes: ya no hablamos de carpetas y modelos cubiertos de polvo (físico o virtual pues pocas carpetas físicas se ven ahora). Ahora se trata de hacer las cosas bien, de que los datos se respeten, se conserven adecuadamente, se informe bien, se atiendan los derechos. No sólo que conste en algún documento…

Por fin la protección de datos ha trascendido el departamento legal o de informática de las empresas y se ha convertido en cosa de todos. Hemos ganado las personas.

Y más allá de las obligaciones establecidas en el RGPD y posteriormente en la Ley Orgánica 3/2018 de 5 de diciembre de Protección de Datos Personales y de garantía de derechos digitales, las empresas han tomado conciencia que los datos personales hay que protegerlos porque protegen derechos fundamentales: porque en un mundo tan hiperconectado, tan expuesto a través de Internet y redes sociales, donde nuestros datos se cruzan y hasta nuestro banco o Facebook sabe más de nuestros gustos que nosotros mismos… las personas seguimos teniendo nuestro reducto de intimidad que merece y debe ser protegido.

El RGPD también ha servido para concienciar a las personas de que una vez que difundan sus datos, a veces es difícil controlarlos, pero no imposible pues existen derechos. Y estos derechos tienen que ser satisfechos por aquellos que tienen nuestros datos.
No obstante, no cantemos victoria. Somos como somos y muchos hicieron los deberes y se han relajado. Y no, toca estar encima, revisar, controlar, auditar, mejorar.

No hay procedimiento de cumplimiento normativo que se precie que sea estático. Es más, es preferible ir poco a poco. La responsabilidad proactiva nos exige estar encima: no sirve hacer dieta un mes: hay que llevar una alimentación saludable. Los resultados a lo mejor no son inmediatos pero a largo plazo es infinitamente mejor.

Por eso, un año después debemos reflexionar:

1.- ¿Nos sigue importando la privacidad o nos lo tomamos como un trámite que había que cumplir? ¿Fue la dieta del bikini o un plan a largo plazo de cumplimiento real? El propio RGPd exige revisión y mejora continua así que más importante que haber corrido en el 2018 es seguir alerta, revisando y actualizando los tratamientos de datos.

2.- ¿Seguimos concienciando a nuestro personal de forma periódica? Una charla se olvida. Además, siempre hay aspectos de seguridad, de organización o de negocio que afectan a los datos personales sobre los que merece la pena insistir.

3.- ¿Hemos revisado cómo lo estamos haciendo? Un año después es buen momento. Aunque el RGPD ya no establece una periodicidad concreta en las auditorías, todos los sistemas de gestión de la seguridad de la información establecen controles anuales, mejor externos aunque lo importante es la revisión.

4.- ¿Estamos documentando la respuesta a la petición de derechos? Los derechos de las personas son importantes y garantizar su atención, prioritario.

5.- Tal vez es momento de actualizar el Registro de Actividades de Tratamiento. Muchas empresas se basaron en los ficheros que históricamente tenían declarados ante la Agencia Española de Protección de Datos pero probablemente se pueda “profundizar” un poco más. La responsabilidad proactiva también exige reflexionar sobre esto.

6.- ¿Tenemos los mismos riesgos que el año pasado? También tenemos que actualizar el análisis de riesgos pues es posible que los de cumplimiento hayan disminuido pero existan otros nuevos. O incluso que podamos actualizar la valoración.

7.- ¿Hemos tenido alguna brecha de seguridad? En caso afirmativo ¿ha funcionado el procedimiento que establecimos? Si no hemos tenido brechas ¿estamos documentando las incidencias?

8.- ¿Existen tratamientos de datos personales nuevos? En caso afirmativo, ¿se informa desde la recogida y si procede, se solicita el consentimiento explícito? Según el tipo de datos y sus circunstancias, tal vez es necesario realizar una Evaluación de Impacto.

9.- ¿Se han firmado contratos con todos los proveedores con acceso a datos? Aunque si existían antes existe una moratoria hasta 2022, conviene que dichos contratos se actualicen al RGPD y sobre todo, en aquellos proveedores tecnológicos, que especifiquen las medidas de seguridad que van a garantizar la confidencialidad, integridad y disponibilidad de los datos a los que tendrán acceso por el servicio prestado.

10.- En definitiva, ¿nos sentimos cómodos con el sistema de gestión de la privacidad que hemos establecido? A lo mejor tenemos que hacer algunos cambios, actualizar responsabilidades, etc. Nada es inamovible. Lo importante es que…

#laprivacidadimporta

 

Mayo de 2019
Paz Martin
#losdetallesimportan

Paz Martin

La nueva ley de secretos empresariales y la protección de datos ¿algo en común?

/en , /por

Hoy 21 de febrero se ha publicado la Ley 1/2019 de Secretos empresariales.

Esta Ley supone la trasposición de la Directiva (UE( 2016/943 relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales)contra su obtención, utilización y revelación ilicítas.

Una norma que nos hace falta y cubre un «hueco» hasta ahora regulado en acuerdos de confidencialidad y no mucho más. Cuando llegaba la hora de defender un «secreto empresarial» la vía era la competencia desleal y con dificultades.

La Ley, en sintonía con la Directiva, nos aclara conceptos:

Qué es un secreto empresarial:

Cualquier información o conocimiento, incluido el tecnológico, científico, industrial, comercial, organizativo o financiero.

Qué requisitos tiene que cumplir:

1.- Ser secreto. Parece obvio pero tiene que ser algo que no es conocido por todo el mundo ni fácilmente accesible.

2.- Tener un valor empresarial, precisamente por ser secreto.

3.- Haber sido objeto de medidas razonables por parte de su titular para mantenerlo en secreto.

Y he aquí en este tercer punto, las «medidas razonables» donde tenemos recorrido pues la ley nada dice al respecto.

En contenido de la ley desarrolla las acciones de defensa de los secretos empresariales: acciones, medidas cautelares, diligencias, cómo tratar la información en los procedimientos (lo cual no es baladí si tenemos en cuenta que en los propios procedimientos se podrían vulnerar los secretos), etc.

Sin embargo, ¿qué tendría que hacer un empresario para proteger sus secretos empresariales?

Es aquí enlazamos con nuestro tema favorito: la protección de datos.

¿Puede una base de datos personales ser un secreto empresarial? 

Que se lo pregunten a cualquier empresa. A veces el mayor valor de la empresa son sus clientes.

¿Y qué hay que hacer para considerarla secreto empresarial?

1.- Es realmente un secreto según la definición que nos da la ley?

2.- ¿tiene valor comercial?

3.- ¿Qué estamos haciendo para protegerla?

Porque si cualquiera puede acceder, copiar, extraer. Si a nadie se le ha dicho que eso es secreto, si ese conjunto de datos carece de valor etc… difícilmente podremos invocar la nueva Ley y sus acciones.

¿Y qué tiene que hacer un empresario para proteger sus secretos? ¿Cuáles son esas medidas razonables para mantener el secreto?

El Reglamento UE 2016/679 General de Protección de Datos (nuestro querido RGPD o GDPR) nos sirve de referencia así como los esquemas de seguridad de la información ya existentes.

Apuntamos algunas ideas:

  • Clasificación de la información
  • Accesos restringidos: físicos y lógicos
  • Políticas de gestión de soportes y traslado de información
  • Políticas de uso de herramientas informáticas (ojo, y de papel y otros soportes)
  • Ciberseguridad: dónde está la información, cómo está protegida, si está cifrada, qué proveedores acceden a ella, dónde están esos proveedores…
  • Acuerdos de confidencialidad donde expresamente se objetive la información protegida
  • Políticas de copias de seguridad
  • Políticas de transmisión de la información a través de redes de telecomunicaciones: establecer restricciones al envío por correo electrónico de ciertas informaciones
  • Formación del personal
  • Revisiones periódicas, controles y auditorías
  • Y en definitiva… un largo etcétera que forma parte de un plan director de seguridad de la información que toda empresa (pequeña o grande) debería tener para proteger esa información y que lo forman ese conjunto de procedimientos, medidas y controles.

Está todo inventado. Si queremos proteger la información crítica de nuestros negocios y considerarla «secreto empresarial» no podemos conformarnos con decir simplemente «esto es secreto». Debemos trabajar en su protección y herramientas existen para que sea eficaz.

¿Podemos ayudarte?

21 de febrero de 2019

Paz Martin

#losdetallesimportan

 

 

 

Paz Martin

10 cosas que tienes que saber de la nueva Ley Orgánica de Protección de Datos y de garantía de los derechos digitales

/en , /por

El 7 de diciembre de 2018 ha entrado en vigor la esperada nueva Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos Personales y garantía de derechos digitales.

En una primera lectura (cuyo contenido ya conocíamos en parte por los proyectos que hemos ido manejando) sobra una buena parte de la ley al remitir en muchos artículos a lo que dice el Reglamento (UE) 2016/679 General de Protección de Datos si bien en la exposición de motivos, se justifica por razones de coherencia.

Como sabemos el RGPD es directamente aplicable y sólo en aquellos puntos que remite al desarrollo de los estados miembros es en lo que se tenía que haber metido la Ley. No obstante, al ser redundante en muchos puntos, no molesta. Peor sería que contradijese el RGPD.

Sin ánimo de ser exhaustivos y en una primera lectura destacamos algunos puntos importantes (ojo que no están todos). En futuros posts desarrollaremos algunos artículos que consideramos lo suficientemente relevantes como para dedicarles un capítulo aparte.

Aquí nuestro decálogo:

1.- No sólo regula el derecho a la privacidad

Una de las cuestiones que más llama la atención es que además de regular el derecho fundamental a la protección de datos, se dedica un capítulo entero a los llamados derechos digitales, algo completamente novedoso y que desde luego darán que hablar en su aplicación práctica.

No obstante, esta Ley tiene una función fundamental: adaptar el ordenamiento jurídico patrio al RGPD. La mayor parte de los artículos y las disposiciones adiciones tienen este cometido.

2.- El tratamiento de datos de los menores de edad

Aquí uno de los puntos en los que el RGPD deja plena libertad a los estados miembros para que entre los 13 y los 16 años fijen la edad a partir de la cual los menores pueden dar su consentimiento sin la intervención de sus padres o tutores.

La edad fijada es de 14 años: nos quedamos como estábamos (y en el fondo lo agradecemos especialmente tras las tentativas de bajarlo a 13 en las redacciones iniciales).

3.- El tratamiento de los datos de contacto, empresarios individuales y profesionales liberales

A este tema dedicamos un post anterior. Que sí. Que sí se pueden utilizar estos datos con base al interés legítimo del responsable pero sólo para contactar con estos destinatarios como contactos de una persona jurídica o en su calidad de profesionales.

Este artículo aclara el RGPD en este punto que para el día a día de las empresas es vital. Ojo, que una cosa es el tratamiento de datos y otra es la publicidad comercial por medios electrónicos… (aquí entra en juego la LSSI. No mezclemos).

4.- Sistemas de información de denuncias internas

Otro punto interesante por cuanto tras la reforma del Código Penal en el año 2015 se “bendicen” los sistemas de prevención de riesgos penales (“compliance” para los amigos) que incluyen canales para comunicar infracciones y otras conductas. Hasta la fecha (aunque se había hecho la vista gorda) en España no se admitían las denuncias anónimas en dichos canales de denuncia internos, criterio de nuestra Agencia Española de Protección de Datos que contradecía lo que el entonces Grupo de Trabajo del Artículo 29 admitía en supuestos excepcionales en los que no se pudiera garantizar la confidencialidad.

Al tratarse de tratamientos de datos específicos, el artículo 24 los regula.

Ojo, que además establece un plazo de conservación de TRES MESES tras los cuales deben suprimirse salvo que la finalidad sea dejar evidencia del funcionamiento del modelo de prevención de riesgos penales. En tal caso, las denuncias a las que no se haya dado curso deberán ser anonimizadas.

5.- Otros tratamientos

Se dedican artículos específicos a los sistemas de información crediticia, los tratamientos relacionados con la realización de determinadas operaciones mercantiles, tratamientos con fines de videovigilancia, sistemas de exclusión publicitaria, tratamientos de datos en el ámbito de la función estadística pública, tratamiento de datos con fines de archivo en interés público por parte de las administraciones públicas y los tratamientos de datos relativos a infracciones y sanciones administrativas.

Iremos desarrollando estos tratamientos por las peculiaridades que presentan.

6.- El Delegado de protección de datos

El Delegado de Protección de Datos (DPD o DPO), figura creada por el Reglamento General de Protección de Datos encuentra en esta Ley algunas respuestas:

– En qué casos concretos es obligatorio designar un DPO (por ejemplo colegios profesionales, los centros docentes, entidades aseguradoras y reaseguradoras, y un largo etc que desarrolla el artículo 34.

– Si no se está obligado pero se designa se considerará como una buena práctica y en caso de procedimiento sancionador, será tenido en cuenta para minorar en su caso la posible sanción.

– Se matizan algunas funciones del Delegado de Protección de Datos como la facultad de inspeccionar los procedimientos relacionados con la ley y emitir, recomendaciones, servir de paso previo a la reclamación ante la Agencia Española de Protección de Datos y por supuesto servir de interlocutor con la Agencia.

7.- La obligación de bloqueo

Una novedad de esta Ley Orgánica y que no contempla el RGPD es la de bloquear los datos cuando se proceda a su rectificación o supresión. El bloqueo consiste en identificar los datos, reservar los mismos con las medidas de seguridad correspondientes para impedir su tratamiento (incluyendo la visualización) excepto para ponerlos a disposición de las Administraciones Públicas, jueces y tribunales etc y sólo durante el plazo de prescripción de las obligaciones.

Con lo cual, aunque se solicite la rectificación o la supresión de los datos, no podremos eliminarlos directamente hasta que prescriba el plazo de prescripción para cumplir con las obligaciones legales. Esos datos no se podrán utilizar por nadie.

8.- Las infracciones

Por fin tenemos un catálogo de infracciones que nos dan pistas de los incumplimientos sancionables. La lista es larga y bastante exhaustiva.

Por decirlo de una forma directa, todo lo que no se cumpla o haga bien es sancionable. Si hacemos una lectura al revés de las infracciones nos sale un catálogo de obligaciones (incluso, por qué no, un check list) que se parece bastante al listado de cumplimiento normativo publicado por la Agencia Española de Protección de Datos hace unos meses.

Las infracciones se clasifican en muy graves, graves y leves.

También se establecen unos plazos de prescripción que curiosamente se supeditan a cuantías lo cual no significa que esas cantidades se vinculen a la gravedad.

9.- Los derechos digitales

Aunque sin categoría de derechos fundamentales, el legislador ha aprovechado la coyuntura para definir los nuevos derechos de las personas en su relación con los entornos digitales: derechos como el de la desconexión, el límite en los entornos laborales, de videovigilancia, en la geolocalización, derechos de los menores, etc.

Lo verdaderamente interesante de estos derechos será cómo van a encontrar su aplicación práctica y cómo los ciudadanos podremos hacerlos valer y cumplir.

10.- Modificación de algunas normas

La nueva LOPD modifica diferentes normas que regulan tratamientos de datos específicos y que hacían referencia a la antigua LOPD (la LO 15/1999):

  • Ley Orgánica 5/1985, de 19 de junio del Régimen Electoral General
  • Ley Orgánica 1/1985, de 1 de julio de, del Poder Judicial
  • Ley 14/1986, de 25 de abril, General de Sanidad
  • Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa
  • Ley 1/2000, de 7 de enero de Enjuiciamiento civil
  • Ley Orgánica 6/2001, de 21 de diciembre de Universidades
  • Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica
  • Ley Orgánica 2/2006, de 3 de mayo de Educación
  • Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno
  • Ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas
  • Estatuto de los Trabajadores aprobado por Real Decreto Legislativo 2/2015 de 23 de octubre
  • Estatuto Básico del Empleado Público aprobado por Real Decreto Legislativo 5/2015 de 30 de octubre

Este es nuestro modesto resumen en el que nos hemos dejado aspectos polémicos sobre el posible uso que los partidos políticos pueden hacer de los datos u otros interesantes como el uso de los datos con fines de investigación.

De ellos hablaremos en futuros artículos.

En estas fechas, además de los dulces navideños, que no se nos atragante la nueva legislación.

18 de diciembre de 2018

Paz Martín

#losdetallesimportan

Paz Martin

Se publica la nueva Ley Orgánica de Protección de Datos y garantía de los derechos digitales

/en /por

Hoy 6 de diciembre, día en que se celebra el 40 Aniversario de la Constitución, tenemos el placer de anunciar la publicación en el BOE de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

La esperada nueva LOPD desarrolla aquellos aspectos del Reglamento General de Protección de Datos que entró en funcionamiento el pasado 25 de mayo e incorpora además nuevos derechos en el entorno digital.

6 de diciembre de 2018

Paz Martin

¿Puedo utilizar la marca de un tercero como hashtag #?

/en /por

Usar la marca de un tercero puede constituir o no una infracción de marca.

El uso de las marcas de otros no es un tema nuevo. A bote pronto podemos pensar, por ejemplo, en la publicidad comparativa, publicidad a la que pocos anunciantes se atreven pero que es perfectamente lícita siempre que se cumplan unos requisitos mínimos… Un claro uso «lícito» de la marca de un tercero… Cito tu marca para decir que la mía es mejor.

Y no es el único caso. 

Usar una marca de la competencia siempre suscita “recelo”. Uno de los casos más polémicos es la utilización de la marca de un competidor como palabra clave en un buscador de Internet (los famosos «AdWords» en el caso de Google). Una práctica extendida, permitida pero que sólo en algunos casos puede constituir infracción. Las sentencias más recientes, en la línea de lo que en su día apuntó el Tribunal de Justicia de la Unión Europea en el conocido caso Interflora vs. Marks & Spencer insisten en que la regla general es el uso lícito pero sólo en los casos en los que exista confusión en cuanto al origen empresarial, podríamos afirmar que existe infracción de marca. Un tema sobre el que hemos hablado en otras ocasiones y que a los anunciantes les suele resultar bastante incómodo: ¿por qué alguien puede utilizar mi marca para anunciar su propia empresa, sus productos o sus servicios? ¿Acaso no se está aprovechando? La polémica sigue estando servida. 

¿Y si necesitamos citar la marca de un tercero para ofertar nuestros propios productos o servicios porque tienen alguna relación con ella ? Esta situación ya está contemplada en la Ley de Marcas y en particular en el artículo 37 que regula los llamados usos lícitos de una marca.

 El artículo en cuestión dice así:

El derecho conferido por la marca no permitirá a su titular prohibir a terceros el uso en el tráfico económico, siempre que ese uso se haga conforme a las prácticas leales en materia industrial o comercial:

a) De su nombre y de su dirección;

b) De indicaciones relativas a la especie, calidad, cantidad, destino, valor, procedencia geográfica, época de obtención del producto o de prestación del servicio u otras características de éstos;

c) De la marca, cuando sea necesaria para indicar el destino de un producto o de un servicio, en particular como accesorios o recambios.

La interpretación de lo que entendemos como «prácticas leales en materia industrial o comercial» es harina de otro costal y recuerda mucho a aquello de la diligencia de «un buen padre de familia»… Más allá de polémicas interpretaciones sobre lo que es leal o no, dentro de estos usos, estaría el denominado “uso informativo” de la marca: necesitamos citar la marca de un tercero porque el nuestro está vinculado al del tercero, el caso más evidente es el de los repuestos: piezas que sirven para X marcas. El uso leal será citar la marca ajena porque nuestro producto es una pieza o repuesto de un artículo de otra marca (por ejemplo una bolsa para un determinado tipo de marca de aspirador) y necesitamos informar del destino de nuestro producto, esto es, un artículo de otra marca. Sobrepasar el uso leal sería convertir la marca ajena en protagonista de nuestro producto destacándola por encima de nuestra propia marca. No es lo mismo decir que en un taller se tienen repuestos de varias marcas que convertir una de las marcas o varias en el rótulo principal como si de un concesionario se tratara…

Algo parecido sucede con los hashtag (que como bien sabemos consisten en esas «etiquetas» con el símbolo # que nos permiten resaltar y etiquetar comentarios, imágenes y en definitiva, cualquier contenido en redes sociales fundamentalmente). 

Es muy diferente usar la marca en un ámbito privado, no comercial, no publicitario (#meapeteceunacocacola), esto es, en un contexto personal de una red social, que un uso realizado por una empresa que pretende utilizar la marca del tercero más allá de ese uso «leal en materia industrial o comercial».  El artículo 37 de la Ley de Marcas está para algo, utilicémoslo con cabeza. No obstante, estos casos requieren un análisis «caso por caso».

¿Y si el hashtag en cuestión es un eslogan de la marca? (p.e. #lachispadelavida) Estaríamos ante un caso similar pues en muchos casos los eslóganes deberían estar protegidos como marca pues cuentan con distintividad suficiente como para identificar su origen empresarial (#tegustaconducir; #justdoit; #porquetúlovales). Si la marca no está registrada, su titular tendrá más problemas a la hora de impedir el uso por un tercero. Si el eslogan es potente, mejor registrarlo.

En definitiva, a la hora de etiquetar en las redes sociales deberemos distinguir dos situaciones:

  • Uso personal o un uso que siendo empresarial podríamos considerar «leal» según las prácticas de comercio. En principio, el uso sería perfectamente lícito. Insistimos en el artículo 37 que tiene sus «dobleces.
  • Uso comercial, publicitario o en definitiva a «título de marca». Si usamos la marca de un tercero para vender nuestros propios productos, podríamos entrar plenamente en la conducta de infracción y por lo tanto perseguible e indemnizable.

No sería tan extraño enviar o recibir un requerimiento instando a cesar en el uso de la marca de un tercero. Y si es competencia, ni digamos. Estos usos de marca ajena son delicados y sólo un asesoramiento y estrategias previos, cabales y contextualizados en el caso concreto pueden inclinar la balanza hacia la legalidad o hacia todo lo contrario.

 

Paz Martín

#losdetallesimportan

25 de octubre 2018

 

 

 

 

Paz Martin

Se aprueban medidas urgentes para cumplir con el RGPD

/en /por

El RGPD comenzó su andadura el pasado 25 de mayo pero para que se pueda aplicar plenamente, hacen faltan algunas medidas internas.

El lunes 30 de julio y con las maletas a punto para las vacaciones, el Boletín Oficial del Estado ha publicado el Real Decreto-ley 5/2018 de 27 de julio de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, es decir el RPGD.

¿Por qué esto y ahora?

Porque el Reglamento (UE) 2016/679 General de Protección de Datos remite en su articulado a la legislación interna de los estados miembros para determinados aspectos -entre ellos el procedimiento sancionador- y una nueva Ley Orgánica de Protección de Datos (LOPD) recogerá dichos aspectos.

Dicha nueva LOPD está todavía en el horno. Es decir que debiendo haber estado lista el pasado 25 de mayo (ya sabíamos que no llegaba a tiempo) se la espera al menos, para finales de año. Pero mientras tanto la vida sigue y, o aplicábamos antigua LOPD en lo no compatible con el RGPD o nos ponían un «parche» hasta la llegada de la tan ansiada nueva LOPD.

Dicho lo cual, el Real Decreto-ley reseñado recoge básicamente lo siguiente:

1.- Quién tiene competencias para inspección en materia de protección de datos
(artículos 1 y 2)

2.- Régimen sancionador en materia de protección de datos
(artículos 3 a 6)

3.- Procedimientos en caso de posible vulneración de la normativa de protección de datos
(artículos 7 a 14)

Establece igualmente una disposiciones finales entre las que destacan la Disposición transitoria segunda sobre los contratos de encargo de tratamiento (sí esos que las empresas están recibiendo de forma constante en las últimas semanas) y confirma lo que ya decía el proyecto de LOPD: RELAX (esto no lo dice pero se deduce). Los contratos de encargo de tratamiento suscritos antes del 25 de mayo de 2018 bajo el antiguo artículo 12 de la antigua LOPD, mantendrán su vigencia hasta su fecha de vencimiento y si es indefinida hasta el 25 de mayo de 2022.

Dicho lo cual, el que no haya adaptado los contratos, tiene tiempo aunque no conviene dormirse. No obstante, ahí queda y sigue diciendo el artículo que durante estos plazos cualquiera de las partes puede exigir a la otra la modificación del contrato para que se adapte al RGPD, contratos que ahora incluyen más garantías para ambas partes.

Algunas reflexiones:

Al referirse al régimen sancionador se dedica un artículo (el 6) a la prescripción de las sanciones y sorprendentemente se mantiene el baremo de multas que se aplicaba bajo la anterior LOPD aunque sin hacer referencia a su grado (leve, grave o muy grave). ¿Qué lectura podemos hacer? Pues que la Agencia Española de Protección de Datos seguirá aplicando criterios sancionadores similares a los que aplicaba hasta la fecha sólo que sin el techo de los anteriores 600.000 euros. Es una reflexión que tal vez se confirme con la nueva LOPD o no.
Mientras tanto, las infracciones «normales» (es decir las que pueden ser sancionadas con hasta 10 millones de euros) prescribirán en dos años. Y las muy graves (hasta 20 millones en tres años.

Las sanciones prescribirán de la siguiente forma:

a) Hasta 40.000 euros, en un año
b) de 40.001 a 300.000 en dos años
c) Más de 300.001, en tres años.

Ya tenemos procedimiento sancionador para ir tirando con los nuevos procedimientos que se pongan en marcha. La seguridad jurídica es importante.

Necesitamos la nueva LOPD para otras cuestiones para dejar el menor espacio a las interpretaciones sobre la vigencia de la ya obsoleta LOPD anterior.

Superado el «trauma» del 25 de mayo, todos empezamos el rodaje del RGPD. Las empresas empiezan a entender cuáles son sus obligaciones más importantes. Lo importante, que no se nos olvide: proteger los derechos de las personas y el derecho a la privacidad, que hoy en día, es uno de los que más necesitados se encuentra.

Paz Martín
31 de julio de 2018

Paz Martin

¿Qué va a pasar con los ficheros de datos declarados ante la Agencia Española de Protección de Datos?

/en /por

Como ya sabemos, el 25 de mayo de 2018 será de plena aplicación el nuevo Reglamento UE 2016/679 General de Protección de Datos (al que nos referimos ya como RGPD). Esta nueva legislación establece nuevas obligaciones y sobre todo exige un cambio de mentalidad en la organizaciones en lo que a la protección de la privacidad se refiere.

Sin embargo, una de las obligaciones que hasta la fecha era casi la «protagonista» del cumplimiento formal de la normativa de protección de datos, desaparece: nos estamos refiriendo a la obligación de declarar los ficheros de datos ante el Registro de la Agencia Española de Protección de Datos.

Esta obligación era considerada para muchos la única y principal en lo que a cumplimiento de la ahora vigente LOPD: nada más lejos de la realidad. Sin embargo sí ha servido durante estos casi dieciocho años para comprobar la estructura de los tratamientos en las organizaciones, la tipología de los datos tratados, las actividades e incluso la propia estructura interna de las organizaciones (si tienen o no canal de denuncias, si tienen o no cámaras de videovigilancia, etc).

El RGPD no contempla esta obligación y por lo tanto, a partir del 25 de mayo, ya no será necesario comunicar los ficheros ante la Agencia Española de Protección de Datos.

Hasta entonces ¿sigue siendo obligatorio declarar ficheros?

La respuesta es sí. La actual LOPD quedará sin efecto con la entrada en vigor del nuevo Reglamento que como sabemos deroga la Directiva 95/46/CE de la que deriva nuestra actual LOPD. Por lo tanto, y mientras tanto, será obligatorio declarar ficheros, actualizar lo que corresponda y cancelar los que ya no existan.

Pero además existe una nueva obligación contemplada en el RGPD para la que la declaración actual de los ficheros es clave: la obligación de registro de las actividad de tratamiento establecida en el artículo 30. Pero ojo, esta obligación no aplica en todos los casos:

  • No se aplica a empresas u organizaciones que emplee a menos de 250 personas
  • A menos que el tratamiento que realice pueda entrañar un reisgo para los derechos y libertades de los intereados
  • No sea ocasional
  • o incluya categorías especiales de datos personales
  • o datos personales relativos a condenas e infracciones penales

¿En qué consiste ese «registro de actividades de tratamiento» que establece la nueva legislación?

Pues se trata de llevar una relación de lo que se hace en materia de datos que incluya, al menos:

a) El nombre y los datos de contacto del responsable así como del Delegado de protección de datos

b) Los fines del tratamiento

c) Una descripción de las categorías de interesados y de las categorías de datos personales

d) Las categorías de destinatarios a quienes se comunicaron o cumunicarán los datos personales, incluidos lo que se encuentren en terceros países u organizaciones internacionales

e) las transferencias internacionales de datos

f) Los plazos previstos para la supresión de las diferentes categorías de datos

g) Una descripción, cuando sea posible, de las medidas técnicas y organizativas adoptadas

También los encargados de tratamiento deberán indicar las actividades de tratamiento realizadas para un responsable.

Al que haya declarado ficheros ante la Agencia Española de Protección de Datos, lo anterior no le resultará completamente ajeno por lo que los actuales ficheros podrán servir, sin lugar a dudas, como base para cumplir con la obligación de llevar un registro de actividades de tratamiento puesto que gran parte de la información ya está recogida.

No en vano, la propia Agencia Española de Protección de Datos acaba de habilitar recientemente una nueva funcionalidad en su sede electrónica precisamente para solicitar copia de los ficheros inscritos que será facilita en formato electrónico.

Lo que pase a partir del 25 de mayo de 2018 con ese registro, es, en principio un misterio pues al dejar de ser obligatoria la declaración, el Registro de la Agencia quedará desactualizado aunque no sabemos si se mantendrá un tiempo para facilitar a los responsables la «reconversión» de sus ficheros o si quedará sin acceso. No obstante, antes de la citada fecha, conviene hacer los deberes en los casos en los que la empresa u organización vengan obligados a llevar ese registro.

Por lo tanto y como recomendación:

1.- Revisar los ficheros actuales, actualizando y modificando lo que proceda pues nos van a servir de base para otras obligaciones que sí establece el RGPD.

2.- Solicitar en su caso a la propia Agencia Española de Protección de Datos esa copia para comenzar a confeccionar el registro de actividades de tratamiento descrita en el artículo 30 del RGPD.

3.- Reflexionar y abordar la transición al nuevo Reglamento para que el cumplimiento, llegada la fecha, sea adecuado y no «entren prisas».

4.- Y sobre todo y no menos importante, no está de más, dejarse asesorar por profesionales cualificados que diseñen planes a medida y ayuden en el cumplimiento más adecuado para cada organización.

Paz Martin