Antecedentes

En noviembre de 2020, el Juzgado de lo Penal n.º 2 de Manresa interpuso una reclamación ante la AEPD contra un particular por difundir en su perfil de la red social Twitter, sin consentimiento, material audiovisual captado durante un juicio oral (en el que el reclamado era parte acusada) celebrado en su sede judicial.

En particular, en los aludidos videos se ven y se escuchan a testigos y partes procesales emplazadas a tal procedimiento penal.

En mayo de 2021, después de que la AEPD le diese traslado de tal escrito de reclamación, la parte reclamada advirtió que no conservaba ninguna copia del video, que tal grabación fue destruida en una fecha que no podía determinar y que no le constaba el tiempo en el que pudo mantenerse publicado el mismo en su cuenta de Twitter.

Una vez que la Directora de la AEPD acordó admitir a trámite la reclamación presentada por el Juzgado de lo Penal, la Subdirección General de Inspección de Datos, en el habitual trámite previo de investigación para el esclarecimiento de los hechos en cuestión, evidenció la constancia de una serie de tuits con referencias al procedimiento penal en curso que acompañaban a unos videos no visualizables.

No existió consentimiento ni autorización

La AEPD reconoce que existen “evidencias” de que el tratamiento de datos llevado a cabo por el acusado con la difusión del video que reproduce distintas partes del proceso penal y en el que descubren las imágenes del personal interviniente en el mismo en calidad de testigo u otra condición procesal, “se ha efectuado sin causa legitimadora de las recogidas en el art. 6.1 del Reglamento General de Protección de Datos”.

En la misma línea, la Agencia dirigida por Mar España Martí expone que la documentación obrante en el expediente ofrece “indicios relevantes” de que el reclamado vulneró el aludido precepto, al hacer difusión “sin consentimiento ni autorización” en la red social Twitter de fragmentos enteros del repetido juicio celebrado en el Juzgado de lo Penal n.º 2 de Manresa.

Además, el propio reclamado reconoció, aunque implícitamente, la publicación del video de referencia al informar a la AEPD que, si bien no conservaba copia del video difundido, no podría precisar el tiempo aproximado que pudo mantenerse publicado el mismo en su cuenta de Twitter.

Agravantes, atenuantes y sanción

Confirmado que el reclamado vulneró lo previsto en el art. 6.1 del RGPD, a efectos de fijar el importe de la multa a imponer en el presente caso por la infracción tipificada en el art. 83.5 del mismo texto legal ya citado, se estiman concurrentes las siguientes circunstancias agravantes:

• El alcance del tratamiento llevado a cabo por el reclamado. Es decir, no cabe olvidar que la difusión se realizó a través de una publicación en la red social Twitter cuya difusión es inmediata.
• Se han visto afectadas varias personas por la conducta infractora: testigos y demás partes procesales emplazadas.
• • El daño y perjuicio causado se localiza en la difusión de extractos de un proceso judicial ante el que hay que guardar las debidas garantías.
  • El reclamado no ha expuesto las medidas a establecer a fin de evitar que se produzcan incidencias similares a la aquí ocurrida.
  • No se tiene constancia de que el reclamado hubiera obrado dolosamente, aunque se observa una actuación negligente.

  Asimismo, como circunstancias atenuantes a tener presentes, la Agencia destaca las dos siguientes:

  • La actividad del infractor no se encuentra vinculada con la realización de tratamientos de datos de carácter personal o no se tiene constancia de dicha vinculación.
  • El reclamado es una persona física.

  Así las cosas, de acuerdo con los criterios de graduación de las sanciones antes expuestos y conforme a la legislación aplicable, la AEPD termina imponiendo una multa de 2.000 euros al reclamado, por una infracción del art. 6.1 a) del RPGD.

  Fuente: economistjurist.es

En repetidas ocasiones hemos subrayado la importancia de hacer un buen uso de las redes sociales y otras aplicaciones de mensajería, y de las consecuencias que pueden tener si no se usan de manera correcta. Pero el caso que explicaremos a continuación puede parecer, al menos, sorprendente.

Un grupo de WhatsApp y una exsocia: los protagonistas

La historia comienza en el Club Deportivo Sansueña, un club deportivo localizado en Córdoba y que, entre otros servicios, tiene un gimnasio, pistas de pádel, piscinas, ofrece clases dirigidas y también cuenta con todas las medidas de seguridad contra el coronavirus. Hasta aquí, ninguna sorpresa.

Pero la cosa se complica cuando, hace unos meses, en un grupo de WhatsApp, tan habituales en muchos clubes deportivos para consultar alguna duda, cuadrar algún partido, quedar para realizar alguna actividad… se añadió a una antigua usuaria que ya hacía 10 años que no iba a dicho club cordobés.

Como también hemos comentado en varias ocasiones, WhatsApp es la aplicación de mensajería más usada del mundo y es muy frecuente crear grupos con los miembros de una misma familia, con las amistades más cercanas, o incluso del trabajo o gimnasio. Y aunque puede parecer una tontería, legalmente no todos tienen la misma consideración.

Para la Agencia Española de Protección de Datos (AEPD), no es lo mismo agregar a un grupo de WhatsApp a familiares o amigos que a un desconocido o, como es el caso, a un exsocio de un club deportivo. Porque al entrar en dicho grupo, son visibles datos como el número de teléfono de la persona, su fotografía de perfil, su estado… Y para la AEPD, se pueden estar cometiendo varias infracciones que pueden ser sancionadas.

La AEPD entra en acción con una multa económica ejemplar

Volviendo a la historia que nos concierne, la exsocia del Club Deportivo Sansueña, que hacía de 10 años que ya no formaba parte de dicha entidad deportiva, decidió denunciar el caso y presentó una reclamación a la Agencia Española de Protección de Datos a finales de diciembre de 2020.

Tras estudiar los hechos, la AEPD determinó que la inclusión de la exsocia a un grupo de WhatsApp del Club Deportivo Sansueña infringía varios artículos «al haber tratado datos personales de la reclamante sin su consentimiento» y sancionó a dicha entitad deportiva con una multa de 4.000€.

En concreto, la Agencia Española de Protección de Datos determinó en el auto que el Club Deportivo Sansueña había infringido el artículo 6, el 5.1, el 32.1 b) y el 32.2 b), todos relacionados con la protección de datos y privacidad de la exusuaria afectada, y el tiempo que hacía que ya no era socia de dicho club deportivo.

Una muestra más de que, pese a que las redes sociales y las aplicaciones de mensajería tienen muchas ventajas y pueden ser grandes aliadas, siempre se debe saber cómo usarlas.

Fuente: lavanguardia.com

Un nuevo estudio firmado por economistas de la ZEW Mannheim de Alemania, la Universidad de Zúrich de Suiza, la Universidad de East Anglia de Reino Unido, y la de Minessota en EEUU, pone cifras a la posible afección que el RGPD pudo tener en las plataformas de venta y descarga de aplicaciones para dispositivos móviles como la Google Play Store.

The Register se hace eco de este estudio, y, sin embargo, también recoge declaraciones de varios expertos que lo ponen en cuarentena: correlación no implica causalidad.

El documento en sí, que puedes consultar aquí, hace un repaso histórico sobre la cantidad de apps «observadas» en plataformas como la principal tienda de aplicaciones de Android, Google Play Store, o las observadas por terceros como AppBrain, una startup fundada por extrabajadores de la multinacional del buscador que respaldan y apoyan a desarrolladores.

«Al comienzo de nuestro período de muestra, en julio de 2016, nuestros datos sumaban 2,1 millones de apps en la Google Play Store, mientras que AppBrain reportaba 2,2 millones. El número de apps en la Play Store en la muestra crece hasta los 2,8 millones en el cuarto trimestre de 2017, y después cae en cerca de un millón, hasta en un 32%, para finales de 2018″.

El director del Supervisor Europeo de Protección de Datos confía en que 2022 será un año clave para mejorar el RGPD y lograr «una aplicación más efectiva en el mundo digital»

Las conclusiones del artículo son que la entrada en vigor del Reglamento afectaron el ecosistema de apps de Android. Pero no todos los expertos que son consultados por The Register se animan a compartir una conclusión como esa a raíz del objeto de estudio.

De momento el artículo está circulando por conferencias de economistas y está siendo recibido con interés. Pero investigadores independientes en la materia, como Lukasz Olejnik, explican por correo a The Register que los autores parecen ignorar que antes de la entrada en vigor del RGPD, en la Unión Europea ya existían leyes nacionales en materia de protección de datos.

«Por ejemplo, cuando leo en este artículo: ‘Bajo el RGPD, los desarrolladores deben obtener el consentimiento de los usuarios para procesar sus datos…’. No sé si será de ayuda, pero creo que esta frase ya era así antes de la entrada en vigor del Reglamento», destaca.

También interviene en el artículo Max Schrems, activista austríaco en defensa de la privacidad. Su opinión es relevante en tanto que no es un mero activista más: es el presidente honorífico de la asociación ‘No es tu asunto’ (None of Your Business), Noyb, y el recurrente de los dos últimos acuerdos transatlánticos que permitían el flujo de datos de Europa a EEUU.

Hasta en dos ocasiones el Tribunal de Justicia de la Unión Europea (TJUE) se ha pronunciado (en dos sentencias que se conocen como Schrems y Schrems-II, esta última de julio de 2020).

Las sanciones por vulnerar el RGPD en toda Europa superaron los 1.100 millones de euros en 2021, hasta siete veces más que el año anterior

Schrems reconoce que no puede hablar con conocimiento de causa del presente artículo, en tanto que no lo ha podido leer con detenimiento, pero sí reconoce haber visto en los últimos tiempos un aumento de las voces críticas con el Reglamento General de Protección de Datos.

«Si el RGPD fuese la hecatombe, estaríamos viendo miles de apps y páginas web que no estarían disponibles en la Unión Europea pero sí en EEUU», destaca. «Esta es, en realidad, una tendencia, pero solo en casos muy concretos, como algunas páginas de noticias estadounidenses que básicamente no tienen audiencia en Europa y, por lo tanto, no les interesa lidiar con el RGPD».

El experto también incide en que hay muchos factores interviniendo sobre el número de apps disponibles en la plataforma. «Puede que algunas grandes apps hayan desaparecido, aunque no estoy seguro de que nadie las eche de menos. Creo que la gente ahora demanda más apps limpias y de calidad que no hagan cosas terribles con sus datos».

Por su parte, uno de los coautores del artículo, Michael Kummer, investigador en la Universidad de East Anglia en Reino Unido, asegura por teléfono a The Register que sus colegas y él reconocen «el potencial valor» que tiene regular «la privacidad y los datos de los usuarios en la esfera digital», aunque considera que el RGPD ha supuesto «un alto coste en innovación para el mercado de las app».

Fuente: businessinsider.es

En cuanto a las reclamaciones ordinarias, las planteadas con mayor frecuencia por los ciudadanos en 2021 corresponden a servicios de internet (16%), videovigilancia (12%), recepción de publicidad (excepto spam) (11%) e inserción indebida en ficheros de morosidad (9%). En cuanto a los procedimientos sancionadores, se finalizaron 585, un 49% más que en 2021. Las áreas más frecuentes en los procedimientos sancionadores son videovigilancia (25%), servicios de internet (22%), y publicidad a través de correo electrónico o teléfono móvil (9%).

Se han realizado 264 resoluciones que han finalizado con la imposición de multa. Las seis áreas de actividad con mayor importe global de multas han sido la publicidad (8.659.200 euros), telecomunicaciones (6.500.000 euros), entidades financieras/ acreedoras (6.243.000 euros), ficheros de morosidad (4.209.000 euros), contratación fraudulenta (3.674.000 euros) y asuntos laborales (2.625.900 euros).
Fuente: adaptacion-rgpd.eu

Asimismo, entre el periodo del 8 de julio de 2018 y el 15 de agosto de 2018, en el proceso online de contratación de la cuenta ON, las casillas para otorgar el consentimiento se encontraban premarcadas en estado de aceptación.

Hechos

La contratación de los productos financieros de CaixaBank denominados Cuenta ON; Cuenta ON Nómina y Cuenta UN&DOS (las “Cuentas Bancarias”) conllevan el cobro de varias comisiones como la de administración, mantenimiento de la cuenta, y cuota de las tarjetas, entre otras.

Sin embargo, los clientes de las Cuentas Bancarias (los “Clientes”) podían evitar dichas comisiones si estos accedían a mantener un “perfil digital”.

Para acceder a ese perfil digital, CaixaBank solicitaba a los Clientes su consentimiento para: (a) “el tratamiento de sus datos personales para el envío de comunicaciones comerciales por cualquier canal de comunicación habilitado, incluidos correo electrónico y teléfono móvil” y (b) “la cesión de sus datos personales a empresas de su grupo para el análisis de su perfil a efectos comerciales”.

Si los Clientes aceptaban dichas condiciones, adquirían el perfil digital y quedaban exentos de las comisiones de las Cuentas Bancarias.

Infracción 1: Consentimiento o comisiones

Como saben nuestros lectores, el RGPD define en su artículo 4 el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”.

Según el Procedimiento, CaixaBank condicionó la exención de comisiones de los Clientes al otorgamiento de su consentimiento para fines distintos de los propios del contrato.

Es decir, en palabras de la AEPD: “se fusionan o difuminan las dos bases jurídicas para el tratamiento lícito de datos personales, el consentimiento y el contrato, incumpliéndose así el artículo 7.4 que garantiza que el tratamiento de los datos para los que se ha solicitado el consentimiento no se convierta en una contraprestación del contrato”.

En relación con la validez del consentimiento otorgado en estas circunstancias, la AEPD explica que “no puede considerarse que el consentimiento se otorga libremente, en tanto que, si no se aceptan tales tratamientos o se revoca posteriormente el consentimiento así obtenido, se producen consecuencias negativas para el interesado que está sujeto, en tal caso, al abono de las comisiones fijadas por la entidad bancaria”.

CaixaBank alegó que las comisiones son la contraprestación de los servicios prestados por la entidad, formando una parte esencial del contrato de cuenta corriente.

Sin embargo, la AEPD no penaliza a CaixaBank por exigir comisiones, sino por vincular “la exención de su cobro a la prestación del consentimiento para otros tratamientos de datos personales diferentes a los propios del contrato” en este caso concreto, el envío de comunicaciones comerciales y la cesión de sus datos personales a empresas de su grupo, lo cual “determina que el consentimiento no se preste en condiciones de libertad”.

CaixaBank también argumentó que la exención de las comisiones no era una penalización para los Clientes sino un beneficio.

La AEPD desestima esta argumentación explicando que:“en ningún caso puede considerarse que la exención de las comisiones constituya un beneficio para el interesado, por el contrario dicha exención tiene como contrapartida la limitación de su derecho fundamental a la protección de datos, limitación que solamente puede ser admisible cuando su aceptación no se encuentra condicionada”.

Las directrices sobre el consentimiento en el RGPD, aprobadas por el Grupo de Trabajo del artículo 29, adoptadas, en la reunión de 25 de mayo de 2018, por el Comité Europeo de Protección de Datos, establecen en su punto 3.1:

“En términos generales, el consentimiento quedará invalidado por cualquier influencia o presión inadecuada ejercida sobre el interesado (que puede manifestarse de formas muy distintas) que impida que este ejerza su libre voluntad. (…) el consentimiento solo puede ser válido si el interesado puede realmente elegir y no existe riesgo de engaño, intimidación, coerción o consecuencias negativas importantes (por ejemplo, costes adicionales sustanciales ) si no da su consentimiento. El consentimiento no será libre en aquellos casos en los que exista un elemento de compulsión, presión o incapacidad para ejercer la libre voluntad”.

En este sentido, la AEPD interpreta que: “Este elemento de compulsión o presión viene determinado, a juicio de la AEPD, por el cobro de esas comisiones establecidas de forma que suponen un coste de suficiente entidad como para determinar a los clientes de tales cuentas a aceptar el consentimiento para el tratamiento de datos con fines distintos a los propios del contrato (…) Por consiguiente, esta Agencia entiende que cuando no se presta el consentimiento o su revocación implica un cobro de comisiones que no se produciría en virtud de la prestación de ese consentimiento para otros tratamientos, dicho consentimiento no es libre ya que dicho cobro supone un claro perjuicio para el interesado”.

En resumen, la AEPD concluye que CaixaBank infringió el artículo 6 del RGPD, en relación con el artículo 7.4 del RGPD al considerar inválido el consentimiento prestado por los Clientes por no haberse otorgado de forma libre. La multa por dicha infracción asciende a 2.000.000 de euros.

Infracción 2: Consentimientos premarcados

Como ya mencionamos anteriormente, entre el periodo del 8 de julio de 2018 y el 15 de agosto de 2018, en el proceso online de contratación de la cuenta ON, las casillas para otorgar el consentimiento se encontraban premarcadas en estado de aceptación. Este hecho afectó a un total de 2.562 clientes de CaixaBank.

En palabras de la AEPD: “No se ha cumplido el requisito según el cual el consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen”, entendiéndose que “el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento” (Considerando 32).

En consecuencia, la AEPD concluye que: “La ausencia de tal requisito determina que el mismo (el consentimiento) no sea válido de modo que los tratamientos basados en él carecen de legitimación contraviniéndose así lo previsto en el artículo 6 del RGPD” e impone a CaixaBank por esta infracción una multa de 100.000 euros.

Conclusión

El presente Procedimiento permite arrojar luz sobre la postura de la AEPD en cuanto a la definición del concepto “voluntad libre” en relación con el consentimiento.

El consentimiento no será considerado libre cuando el responsable del tratamiento utilice “elementos de presión” para obtener el consentimiento del interesado para un tratamiento de datos distinto al requerido por un contrato para su ejecución.

La justificación del uso de elementos de presión en la forma de comisiones como una contraprestación de los servicios prestados o como un beneficio para el interesado, no han prosperado en el Procedimiento.

La multa del presente Procedimiento de 2,1 millones de euros, se sitúa en el puesto número 7 de nuestro ranking de las 10 multas más altas en España por infracción del RGPD.

FUENTE:rgpdblog.com

La multa es consecuencia de una investigación iniciada por la AEPD a raíz de diversos procedimientos sancionadores por fraude de identidad incoados a Vodafone, y a raíz de 9 reclamaciones más por fraude de identidad que tuvieron lugar entre el 29 de julio de 2019 y el 2 de junio de 2020.

El Procedimiento describe 9 casos en los que se produce un fraude denominado “SIM Swapping”. Dicho fraude consiste en obtener un duplicado de la tarjeta SIM asociada a un usuario, con el fin de: “suplantar su identidad para obtener acceso a sus redes sociales, aplicaciones de mensajería instantánea, aplicaciones bancarias. o comercio electrónico, con la finalidad de interactuar y realizar operaciones en su nombre, autenticándose mediante un usuario y contraseña previamente arrebatados a ese usuario, así como con la autentificación de doble factor al recibir el SMS de confirmación en su propio terminal móvil donde tendrán insertada la tarjeta SIM duplicada”.

Según el Procedimiento, Vodafone creó duplicados de 9 tarjetas SIM a solicitud de terceros que se hicieron pasar por sus titulares reales. Esto tuvo como consecuencia serios daños económicos para los afectados.

La finalidad de la investigación de la AEPD era comprobar si estos casos se trataban de hechos aislados o, si por el contrario, se debían a un fallo en el sistema de protección de datos personales de Vodafone.

Mas concretamente, la AEPD buscaba analizar el proceso requerido por Vodafone para el cambio de tarjeta SIM, y “la adecuación de las medidas de seguridad implementadas por VDF en el marco de la gestión del riesgo para la correcta identificación de los clientes en el momento de expedir el duplicado de la tarjeta SIM”.

Hechos

A continuación indicamos brevemente los hechos de dos de las reclamaciones presentadas ante la AEPD con el fin de ilustrar los daños económicos ocasionados a los reclamantes por la falta de medidas de seguridad apropiadas de Vodafone.

En una de las reclamaciones, un tercero solicitó con fecha 28 de septiembre de 2019, un duplicado de la tarjeta SIM de una línea telefónica de la que era titular el marido de la reclamante.

Tras este hecho, en la cuenta bancaria de ING de la que eran titulares la reclamante y su marido, se solicitaron dos préstamos personales por valor de 23.000,00 y 3.000,00 euros y se realizaron dos extracciones en cajero por valor de 2.000,00 y 3.000,00 euros.

En otra de las reclamaciones, la reclamante, se quedó sin servicio en su línea telefónica en fecha 29 de julio de 2019. En dicha fecha, Vodafone expidió a favor de una tercera persona distinta a la titular de la línea, un duplicado de la tarjeta SIM en una tienda sita en Santa Cruz de Tenerife, cuando la parte reclamante tiene su domicilio en Barcelona.

En fecha 29 de julio de 2019, se realizaron dos transferencias a favor de un tercero desde la cuenta corriente de la reclamante, sin el consentimiento de esta última.

Infracción

En síntesis, la AEPD estima que Vodafone infringió los principios de integridad y confidencialidad (art. 5.1.f) y de responsabilidad proactiva (art. 5.2) por facilitar duplicados de las tarjetas SIM a terceros que no eran los titulares reales de las líneas móviles, tras superar dichos terceros la política de seguridad implementada por Vodafone.

Infracción del artículo 5.1.f) del RGPD. Principio de Confidencialidad e Integridad

El principio de confidencialidad e integridad de los datos personales según la AEPD “requiere la aplicación de medidas técnicas u organizativas apropiadas en el tratamiento de los datos personales para proteger dichos datos contra el acceso, uso, modificación, difusión, pérdida, destrucción o daño accidental, no autorizado o ilícito”.

En su defensa ante esta infracción, Vodafone alegó que la adopción de medidas técnicas y organizativas no es una obligación absoluta, y que había cumplido con la obligación de adoptar medidas técnicas y organizativas adecuadas.

Para ilustrar esta posición, Vodafone presentó el número de solicitudes que había recibido solicitando duplicados de tarjetas SIM, y el número de estas solicitudes que habían sido rechazadas por motivos de seguridad. Todo ello con el fin de demostrar que las medidas de seguridad implementadas funcionaban.

Ante esta alegación, la AEPD explica que: “En primer lugar, y sobre que la adopción de medidas técnicas y organizativas no es una obligación absoluta, que alega VDF, debe indicarse que no se exige una obligación de resultado, sino de actividad, pero para evaluar dicha actividad e implementación de medidas y su consideración como “adecuadas” es inevitable analizar los métodos utilizados por el tercero para acceder ilícitamente al proceso de duplicado, las salvaguardas implementadas por VDF e inevitablemente, el resultado. Esos tres elementos son los que van a determinar la adecuación al riesgo y no como pretende centrar el debate, VDF sobre si es infalible o no su sistema”.

Asimismo, en relación con los datos presentados por Vodafone: “Cabe señalar que lo que dejan patente estos datos es que VDF es consciente de que del total de solicitudes de duplicado de tarjetas SIM susceptibles de ser consideradas como fraudulentas, […], es decir, el X,XX % […] no son detectadas por VDF, y que VDF entiende que ese porcentaje supone que las medidas implantadas funcionan de forma satisfactoria. Si bien a juicio de la AEPD, unas medidas de seguridad que permiten un porcentaje en torno al XX % de expedición de duplicado tarjetas SIM fraudulentas pone de relieve la insuficiencia de esas medidas de seguridad adoptadas y la necesidad de que por parte de VDF se adopten medidas adecuadas para reducir significativamente los casos de duplicados fraudulentos de tarjetas SIM”.

La AEPD también ofrece algunos ejemplos concretos de las medidas implantadas por Vodafone que considera insuficientes:

“Así, de la documentación remitida por VDF se infiere la falta de instrucciones específicas sobre qué datos concretos deben de pedirse al llamante para realizar un cambio de SIM […]”.

“Los datos personales asociados a la política de seguridad son los básicos de cualquier cliente: (…). Basta con poseer datos básicos de un cliente para poder superar la política de seguridad, sin que ninguna pregunta adicional sea formulada respecto de algún dato que conozcan únicamente la operadora y su cliente. Ningún requisito suplementario es requerido”.

La AEPD entiende que estos hechos son constitutivos de una vulneración del artículo 5.1.f) del RGPD “al facilitar VDF duplicados de la tarjeta SIM a terceras personas que no son las legítimas titulares de las líneas móviles e incluso modificar la titularidad de los servicios contratados, tras la superación por las personas suplantadoras de las políticas de seguridad implantadas por la operadora, lo que evidencia un incumplimiento del deber de proteger la información de los clientes”.

Infracción del artículo 5.2 del RGPD. Responsabilidad Proactiva

La exposición de motivos de la LOPDGDD hace referencia a este principio: “la mayor novedad que presenta el Reglamento (UE) 2016/679 es la evolución de un modelo basado, fundamentalmente, en el control del cumplimiento a otro que descansa en el principio de responsabilidad activa, lo que exige una previa valoración por el responsable o por el encargado del tratamiento del riesgo que pudiera generar el tratamiento de los datos de carácter personal para, a partir de dicha valoración, adoptar las medidas que procedan”.

La AEPD explica que se trata de un principio que “Pivota sobre la gestión del riesgo”.

En relación con las medidas de seguridad llevadas a cabo por Vodafone, la AEPD indica que “[…] la adopción de medidas se ha producido no tras el análisis de los riesgos que implica el tratamiento de los datos para la emisión de duplicados de tarjeta SIM, […] sino cuando se ha puesto en su conocimiento los hechos, mediante el traslado de las reclamaciones presentadas ante la AEPD; lo que pone de manifiesto una conducta reactiva de VDF ante hechos consumados […] más que la conducta proactiva exigida por el RGPD que requeriría un análisis continuado de los riesgos y la adopción de las correspondientes medidas para tratar de mitigarlos […]”.

Conclusión

La actual multa de 3,94 millones de euros entra en el puesto número 4 de nuestro ranking de las mayores multas impuestas por la AEPD hasta la fecha por infracción del RGPD.

Finalizamos este post con un resumen que hace la AEPD de algunos de los puntos débiles identificados durante el Procedimiento en el proceso requerido por Vodafone para el cambio de tarjeta SIM: “la falta de un modelo eficaz de evitación del riesgo de suplantación de identidad, la ausencia de medidas de seguridad adecuadas y tendentes a asegurar el procedimiento de identificación y entrega de la tarjeta SIM, la materialización de los riesgos, la reacción temporal tardía frente a los hechos descritos, amén de la insuficiencia de las medidas adoptadas (pues ha reaccionado al recibir los requerimiento de la AEPD y no ha evitado la repetición posterior como muestran las tres reclamaciones posteriores presentadas ante la AEPD)”.

                                                                                                                                                                                                                                                                                                                               Fuente: rgpdblog.com

Google LLC es la responsable del tratamiento analizado y lo lleva a cabo en EEUU. En el caso de la comunicación de datos a terceros, la Agencia ha constatado que Google LLC envía al Proyecto Lumen información de solicitudes que le realizan los ciudadanos, incluida su identificación, dirección de correo electrónico, los motivos alegados y la URL reclamada. La misión de ese proyecto es la recogida y puesta a disposición de solicitudes de retirada de contenido, por lo que la Agencia considera que, dado que se remite toda la información contenida en la solicitud del ciudadano para que se incluya en otra base de datos accesible al público y para que se divulgue a través de una web, “supone en la práctica frustrar la finalidad del ejercicio del derecho de supresión”.

La resolución recoge que esta comunicación de datos por parte de Google LLC al Proyecto Lumen se impone al usuario que pretenda utilizar sus formularios, sin opción de oponerse a la misma y, por tanto, sin que exista un consentimiento válido para que esa comunicación se lleve a cabo. Establecer esta condición en el ejercicio de un derecho reconocido a los interesados no está amparado por el Reglamento General de Protección de Datos al generarse “un tratamiento adicional de los datos sobre los que versa la solicitud de supresión al comunicarlos a un tercero”. Además, en la política de privacidad de Google LLC, no se hace mención a este tratamiento de datos personales de los usuarios, y tampoco aparece entre las finalidades la comunicación al Proyecto Lumen.

La AEPD también recoge en su resolución que, presentada la solicitud de retirada de contenido y atendido el derecho, es decir, acordada la supresión de los datos personales, “no cabe un tratamiento posterior de los mismos, como es la comunicación que Google LLC realiza al Proyecto Lumen”.

En cuanto al ejercicio de derechos de los ciudadanos, la AEPD detalla en su resolución que “es difícil deducir si la solicitud se formula invocando la normativa de protección de datos personales, sencillamente porque esta normativa no se menciona en ninguno de los formularios, con independencia del motivo que el interesado seleccione de entre las opciones propuestas, salvo en el formulario denominado ‘Retirada en virtud de la ley de privacidad de la UE’, el único disponible que contiene una referencia expresa a esta normativa”.

El sistema diseñado por Google LLC, que conduce al interesado a través de diversas páginas para llegar a cumplimentar su solicitud, obligándole previamente a marcar las opciones que se ofrecen, “puede provocar que este termine marcando una opción que se adapte a los motivos que considera apropiados a su interés, pero que le aparta de su intención originaria, que puede estar claramente vinculada a la protección de sus datos personales, desconociendo que estas opciones le sitúan en un régimen normativo distinto porque así lo ha querido Google LLC o que su solicitud se resolverá según las políticas internas establecidas por esta entidad”. La resolución de la Agencia recoge que este sistema es un equivalente a “dejar a criterio de Google  LLC la decisión sobre cuándo aplica y cuándo no el RGPD, y esto supondría aceptar que esta entidad pueda eludir la aplicación de la normativa de protección de datos personales y, más concretamente para este caso, aceptar que el derecho de supresión de datos personales quede condicionado por el sistema de eliminación de contenidos diseñado por la entidad responsable”.

Adicionalmente a la sanción económica impuesta en la resolución, la Agencia también ha requerido a Google LLC para que adecúe a la normativa de protección de datos personales la comunicación de datos al Proyecto Lumen, y los procesos de ejercicio y atención del derecho de supresión, en relación con las solicitudes de retirada de contenido de sus productos y servicios, así como la información que ofrece a sus usuarios. Asimismo, Google LLC deberá suprimir todos los datos personales que hayan sido objeto de una solicitud del derecho de supresión comunicada al Proyecto Lumen, y tiene la obligación de instar a este último para que suprima y cese en la utilización de los datos personales que le haya comunicado.

                                                                                                                                                                                                                                                                                                                                        Fuente: aepd.es

Amazon Road pertenece al grupo Amazon y proporciona servicios de logística y distribución a dicho grupo.

La reclamación fue presentada por la Unión General de Trabajadores ante la AEPD. En síntesis, Amazon Road, en su proceso para la contratación de transportistas autónomos como proveedores de servicios, solicitaba a los candidatos entre otra documentación, un certificado de ausencia de antecedentes penales.

¿Constituye la solicitud de un certificado de penales un tratamiento de datos de naturaleza penal regulado por el artículo 10 del RGPD y el artículo 10 de la LOPDGDD?

Amazon Road en su defensa alegó que no. Para la entidad: “un certificado de antecedentes penales que ponga de manifiesto que una persona concreta carece de condenas penales no recoge de manera estricta ningún dato relacionado con condenas e infracciones penales”.

Sin embargo la AEPD desestima este argumento al considerar que “La información contenida en el certificado de antecedentes penales objeto del presente procedimiento constituye un dato personal (…), tanto si se trata de un certificado que refiere la existencia de dichos antecedentes como si pone de manifiesto su ausencia, y su solicitud supone un tratamiento de datos. (…) la información que se está tratando es el dato relativo a las condenas penales -lo que incluye la ausencia de estas- vinculado con una persona física concreta”.

La AEPD concluye que “Admitir la postura mantenida por Amazon Road al respecto equivaldría a admitir que cualquier persona o entidad pudieran crear un registro de personas sin antecedentes penales, a pesar de que se trata de una materia reservada a las autoridades públicas”.

La APED también hace referencia a la Sentencia de la Sala de lo Social de la Audiencia Nacional 14/2020, de 10 de febrero de 2020, en que se señala que “incluso la solicitud de una declaración responsable de que se carece de antecedentes penales ha de ser considerada como un tratamiento de datos relativos a condenas penales”.

¿Existe alguna habilitación legal que permita a Amazon Road tratar datos personales de naturaleza penal?

Los artículos 10 del RGPD y 10 de la LOPDGDD regulan y limitan el tratamiento de los datos personales de naturaleza penal.

Dicho tratamiento en general “sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas” (art. 10 del RGPD) o “solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal” (art. 10 de la LOPDGDD).

La AEPD aclara que: “En relación con este punto, no existe una norma del Derecho de la Unión o una norma legal de nuestro ordenamiento que permita llevar a cabo el tratamiento de datos de antecedentes penales pretendido por la entidad reclamada”.

La AEPD concluye que “A falta de habilitación legal, no cabe, en este caso, acudir a otras bases jurídicas para legitimar el tratamiento de datos personales relativos a condenas e infracciones penales”.

Infracción

Según el Procedimiento, Amazon Road infringió el artículo 6.1 del RGPD en relación con el artículo 10 del RGPD y el artículo 10 de la LOPDGDD.

Conclusión

Tras la lectura del Procedimiento, nos gustaría recalcar los siguientes dos puntos:

a) Solicitar un certificado de ausencia de antecedentes penales constituye un tratamiento de datos personales de naturaleza penal, aunque el certificado sea negativo.

b) En la actualidad no existe una norma del Derecho de la Unión o una norma legal de nuestro ordenamiento que habilite a una empresa a llevar a cabo un tratamiento de datos de naturaleza penal para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales.

La multa del presente Procedimiento (2 millones de euros) se situaría en el puesto numero 7 de nuestro Ranking de las 10 multas más altas impuestas por la AEPD hasta la fecha por infracción del RGPD.

                                                                                                                                                                                                                                                                                                                               Fuente: rgpdblog.com

El número de reclamaciones presentadas ante la Agencia Española de Protección de Datos (AEPD)durante 2018 se incrementó casi un 33%, pasando de las 10.651 a las 14.146. Estos datos, que ha presentado el organismo coincidiendo con el Día Internacional de la Protección de Datos, deja patente que entre el 1 de enero de 2018 y el 24 de mayo -antes de la aplicación del Reglamento General de Protección de Datos (RGPD)-, la cifra de denuncias recibidas pasaron de las 4.550 de 2017 a las 5.036, en ese mismo periodo de 2018.

Sin embargo, entre el 25 de mayo y el 31 de diciembre, la cifra pasó de 6.101, en 2017, a 9.110 en el pasado curso, lo que representa un aumento de casi 50% -48,9% exactamente-, lo que ha provocado que la AEPDfinalizara el año con un 33% más de reclamaciones que en 2017.

La directora de la Agencia Española de Protección de Datos, Mar España, ha explicado que, aunque desde el organismo preveían este crecimiento de denuncias, también pensaban que sería algo puntal una vez iniciada la aplicación del RGPD. Sin embargo, apunta la dirigente, «no sólo ha habido un pico con la llegada del RGPD, sino que la entrada de reclamaciones se ha mantenido constante a lo largo del segundo semestre de 2018».

En cuanto a la temática de las reclamaciones planteadas, se mantiene la línea de años anteriores y se agrupa de la siguiente manera: ficheros de morosidad, vidovigilancia, servicios de Internet, reclamaciones de deudas, Administración Pública, Sanidad, publicidad; comercios; transporte y hostelería; entidades financieras y publicidad a través de correo electrónico o teléfono móvil.

La directora de la AEPD también apuntó que desde el 25 de mayo hasta el 31 de diciembre se han puesto en marcha diferentes procedimientos para la gestión de las notificaciones de brechas de seguridad. La AEPDha recibido en este periodo 547 notificaciones de las cuales, tras su análisis y clasificación, sólo se han remirtido a la Subdirección General de Inpección de Datos 16, que afectaban a datos de salud, menores, ideología política y tratamiento masivo de datos.