Source: http://derechoytic.blogspot.com/2014/
Timestamp: 2018-04-26 05:28:40+00:00

Document:
AD EDICTUM: 2014
Publicado por Ad Edictum en 22:40 15 comentarios:
Este post está dedicado a todos los que ha pasado la Semana Santa haciendo penitencia, como la empresa protagonista de nuestra resolución de hoy, que se denunció a sí misma a la Agencia Española de Protección de Datos (lo que viene a ser hacer un "pepephone").
Debido a un fallo técnico, el teléfono y el nombre de un cliente de The Phone House, compañía a la que la empresa autodenunciada presta servicios, se remitió a 72 usuarios. Éste es el tipo de errores que suelen acabar en sanción, una sanción baja. Por regla general, no se suelen imponer las cuantías correspondientes a las infracciones graves (especialmente, en supuestos en los que se acredita que el problema ha sido subsanado y se ha debido a un error). Lo peor son los daños de imagen que pueden sufrir las compañías implicadas, especialmente cuando se trata de empresas conocidas y poco queridas, como The Phone House.
En este caso, se actuó rápidamente. Se investigó cómo se había producido este incidente, registrándose en el Documento de Seguridad, se comunicó a la persona afectada, y la compañía causante del fallo lo puso en conocimiento de la AEPD. Bien asesorada, la compañía solicitaba clemencia en su autodenuncia:
"La compañía, en su calidad de encargado de tratamiento por cuenta de The Phone House, S.L.U., solicita a la Agencia que se analice si la incidencia es merecedora de “inspección y, en su caso, sanción” y se valore la posibilidad de atender a lo previsto en el artículo 45.6 de la LOPD, al tratarse de la primera vez en que pudiera haber faltado a su deber (puntualmente y por un desafortunado fallo técnico, inmediatamente resuelto) y al bajo nivel de ingresos de la empresa."
Y sí, Monsieur le Directeur, que tienen su corazoncito, aunque a veces no lo parezca, aplicó el art. 45.6 LOPD. Apercibió a la empresa sin sancionar.
"En el presente supuesto se cumplen los requisitos recogidos en los apartados a) y b) del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la entidad denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la ausencia de beneficios y el grado de intencionalidad apreciado.
En el presente caso, ha quedado acreditado que el denunciado ha comunicado a esta Agencia las medidas correctoras adoptada. Teniendo en cuenta estas circunstancias, no procede requerimiento alguno."
Todo parece indicar que esta empresa ofreció su cuerpo para aplacar a La Bestia y salvar a su cliente, que es lo que debe hacer un buen encargado del tratamiento. Para ambas entidades, la cosa ha salido bien, sobre todo porque el prestador del servicio no contaba con antecedentes lopedé y el incidente no revestía especial gravedad. A Pepephone, le cayeron 3.000 €. Teniendo en cuenta que ya han sido sancionado con 40.000 € de una tacada (véanlo aquí), les debió parecer más que razonable.
Publicado por Ad Edictum en 20:46 No hay comentarios:
Uno de los aspectos más interesantes del nuevo marco jurídico sobre protección de datos que se discute en estos momentos en la UE es la necesidad de nombrar un Data Protection Officer (DPO).
En otros post de esta serie, les he comentado cómo algunos países de nuestro entorno ya contemplan esta figura en sus leyes nacionales.
Debemos recordar que el DPO tiene su origen en el que todavía es el instrumento básico de protección de datos de la UE, la Directiva 95/36/CE. Su art. 18 recoge la obligación de notificar a la autoridad de control los tratamientos de datos que se están efectuando. Sin embargo, también permite a los Estados Miembros disponer la simplificación o la omisión de este trámite en el caso de que “el responsable del tratamiento designe, con arreglo al Derecho nacional al que está sujeto, un encargado de protección de los datos personales”. Se señalan dos cometidos fundamentales para esta figura:
“- hacer aplicar en el ámbito interno, de manera independiente, las disposiciones nacionales adoptadas en virtud de la presente Directiva,
- llevar un registro de los tratamientos efectuados por el responsable del tratamiento, que contenga la información enumerada en el apartado 2 del artículo 21, garantizando así que el tratamiento de los datos no pueda ocasionar una merma de los derechos y libertades de los interesados.”
Ciertos Estados Miembros han optado por incluir esta posibilidad en sus normas nacionales; otros, como España, no. Ya ven: un ejemplo más de que la transposición de la Directiva 95/46/CE al derecho interno no ha conseguido la armonización esperada. Pero esa es otra historia...
En Alemania, donde sí es obligatorio nombrar un DPO, lo más complicado es pronunciar el nombre de esta figura: "Datenschutzbeauftragter". Sí, una palabra. Cualquiera que pueda pronunciarla sin respirar, sólo por eso, debería tener un título de DPO (o Datenschutzbeauftragter) honorario. Veamos alguna de las peculiaridades de la regulación alemana.
Básicamente, una empresa debe nombrar un DPO en dos supuestos:
- Cuando una compañía tiene diez o más empleados que participan en el tratamiento de datos de forma automatizada.
- Cuando una compañía tiene veinte o más empleados que efectúan un tratamiento manual de datos.
Las funciones de DPO pueden ser desempeñadas tanto por un empleado de la compañía como por un profesional externo. Si se trata de un empleado de la compañía, deberá depender o reportar directamente a la Dirección.
El DPO, como también prevé el reglamento europeo en su versión actual, debe llevar a cabo su trabajo con absoluta independencia, y sólo podrá ser cesado en supuestos muy concretos. Por este mismo motivo, se suele considerar que algunos cargos podrían presentar incompatibilidades con las funciones de DPO (por ejemplo, los Responsables de Sistemas, los Jefes de Asesoría Jurídica o de RRHH).
No se crean que esto es todo lo que les tengo que contar sobre el Datenschutzbeauftragter. Voy terminar el post aquí porque se está haciendo muy largo (y además ya es tarde). No se pierdan la segunda parte.
Publicado por Ad Edictum en 23:22 No hay comentarios:
Etiquetas: Curiosidades, Data Protection Officer, protección de datos
No todos los problemas legales a los que se ha enfrentado la odiada sociedad Moulinsart están relacionados con la propiedad intelectual. Hoy les hablaré de la azarosa vida editorial de "Tintin au Congo".
Las historias de Hergé, tan bien documentadas, tan llenas de temas de actualidad, y tan imbuidas de las convicciones morales de su autor, no dejan indiferentes a nadie. Sin embargo, "Tintin au Congo" es con diferencia, y casi desde el momento de su publicación, la más polémica.
Por recomendación del Abate Wallez, Hergé situó la segunda aventura del reportero de Le Petit Vingtième en el Congo, por entonces colonia belga. "Tintin au Congo" comenzó a publicarse por entregas el 5 de junio de 1930, y apareció en album al año siguiente. Como podrán imaginarse, los escenarios y situaciones que refleja responden a una visión de África que ha cambiado radicalmente.
Se ha acusado a Hergé de racismo por representar negros estereotipados, infantiles, perezosos, con rasgos que casi los convierten en una especie distinta, y lo que para muchos es peor, de antiecologista. Hay una escena especialmente "salvaje" en la que Tintin se libra del ataque de un rinoceronte taladrándole un agujero en el lomo e introduciendo un cartucho de dinamita en él. El animal queda reducido a cenizas mientras Tintin exclama: "Vaya, creo que la carga era un poco fuerte". Este episodio tuvo que redibujarse para las ediciones escandinavas, donde se ve que están más concienciados con la preservación del medio ambiente que con el racismo.
Se trata de sólo un ejemplo de lo "políticamente incorrecta" que resulta esta aventura, que por cierto, no es la mejor de su autor: Hergé estaba todavía perfilando su estilo y definiendo al personaje de Tintin. En 1946, por presiones de la editorial Casterman, se realizó una segunda versión coloreada del album, mucho más depurada. Se introdujeron algunos cambios en el argumento, pero éste, en esencia, seguía hiriendo sensibilidades (de hecho, más que en el momento de su publicación). Poco después, los problemas de la políticos de la descolonización del Congo hicieron caer esta aventura en desgracia, y no se reeditó hasta los años 70.
El propio Hergé reconoció en alguna entrevista que cuando concibió el viaje al Congo de su personaje estaba lleno de prejuicios burgueses y que no conocía el país. "Tintin au Congo" ha sido excluido de muchas colecciones. En fin, aunque a los tintinófilos les apasione este album y "Tintin au Pays des Soviets", digamos que ninguno de los dos libros se suelen regalar a los niños por Navidad.
La peor parte llegó hace unos años, en 2011. Un contable congoleño residente en Bélgica presentó una demanda ante los tribunales de este país solicitando que se restringiera la distribución de la obra. Se amparaba en la legislación belga antirracismo, y existía un precedente. En Reino Unido, se había colocado una advertencia en la cubierta del album y se obligaba a las librerías a colocarlo en las secciones destinadas a público adulto.
La resolución de los tribunales belgas se conoció en febrero del 2012. En un alarde de sentido común que no deja de sorprender en un país lleno de funcionarios europeos, se rechazó la demanda, ya que teniendo en cuenta el contexto en el que se publicó la obra, no podía achacarse a su autor ninguna intención vejatoria o discriminatoria hacia la raza negra. En otras palabras: no podemos juzgar de acuerdo a lo que nos parece correcto en el siglo XXI, una historia escrita y dibujada en los años 30.
Como ven, detrás de cada album de Tintin, y casi siempre también detrás de cada libro que Ustedes ojean, hay una compleja historia jurídica de derechos de autor, gestión de la explotación de la obra, o de contenido inapropiado o ilícito.
Publicado por Ad Edictum en 22:32 No hay comentarios:
Etiquetas: Curiosidades, Derechos Humanos, Propiedad Intelectual
Lo que ha pasado con los derechos de explotación de la obra de Hergé tras la muerte del artista belga es digno de figurar en uno de sus comics. De hecho, pensaba titular este post "Tintin au Pays du Copyright", pero me acordé de aquel famoso manual de estilo que decía que utilizar otro título para hacer un juego de palabras, no sólo no tiene gracia, sino que además demuestra "escasa imaginación y abundante pereza mental". ¡Ahí es nada!
Actualmente, los derechos de explotación de las aventuras de Tintin, que como pueden imaginarse generan unos beneficios cuantiosos, están en posesión de una sociedad belga llamada Moulinsart. Esta sociedad pertenece a la viuda del dibujante, la que fue su segunda mujer, Fanny Vlamynck. Hergé se casó con ella, una colorista de historietas, en 1977, tras divorciarse de Germaine Kickens.
Hergé había conocido a su primera mujer en la época de Le XXème Siècle. Germain trabajaba como secretaria de Norbert Wallez, mentor de Hergé, y fue la compañera y amiga del dibujante desde los primeros años de su carrera. Se casaron en 1930. Como podrán suponer, Fanny Vlamynck hizo su aparición en el mundo de Tintin como "la mala". A la muerte de Hergé, se ha convertido en un personaje muy odiado por la gestión que ha hecho de los derechos sobre la obra del genio belga.
Es el momento de contarles a Ustedes que Fanny se volvió a casar con un tipo polémico y un tanto oscuro, un inglés llamado Nick Rodwell (yo me lo imagino parecido a Rastapopoulus, la verdad). Rodwell ejerce de "cara visible" y de administrador de la sociedad Moulinsart. Se le critica tanto por su férreo control sobre cualquier utilización del personaje Tintin como por primar el interés económico en detrimento de fines culturales o de la preservación del legado de Hergé.
Respecto a lo primero, la sociedad Moulinsart es famosa por presentar demandas en cualquier país del mundo contra todos aquellos que hagan la más mínima referencia a la obra del dibujante belga. En España, además de haber ganado dos demandas contra medios de comunicación por utilización de la imagen de Tintin con fines comerciales, llegó a un acuerdo para evitar nuevas ediciones de un cómic que homenajeaba el mundo de Hergé, titulado "El Loto Rosa".
"El Loto Rosa" sólo tuvo una edición. Su autor, Antonio Altarriba, y la Editorial De Ponent prefirieron no buscarse problemas judiciales. Hoy en día, en Internet, se pueden encontrar ejemplares para coleccionistas al módico precio de 599 €.
Por otro lado, parece que Moulinsart está intentando encontrar una solución jurídica que le permita mantener cierto control sobre la obra de Hergé cuando ésta pase a ser de dominio público. De momento, ha registrado las marcas "Tintin" y "Tintin y Milou". Muy relacionado con esto último, encontramos otro motivo de descontento entre los tintinófilos: el monopolio que se ejerce sobre productos de merchandising y el precio elevado de los mismos.
Desde luego, todas estas actuaciones son siempre legales y se llevan a cabo en defensa de derechos que legítimamente le corresponden a Moulinsart, pero han hecho enormemente impopular al matrimonio Rodwell. Los problemas jurídicos derivados de la obra de Hergé no terminan aquí. Mañana les comentaré el intento de restringir la venta de "Tintin au Congo" por su contenido políticamente incorrecto.
Publicado por Ad Edictum en 20:05 No hay comentarios:
Eslovaquia, con capital en Bratislava y una población de 5.389.180 habitantes, forma parte de la Unión Europea desde 2004.
Es famosa por sus iglesias rurales construidas en madera, por conservar desde hace siglos la receta del Bryndzové halušky (plato nacional preparado con queso de oveja y beacon; se sirve caliente), y por imponer a las empresas la obligación de nombrar un DPO. Esto último, el hecho de haber adoptado una normativa transgresora y adelantada a su tiempo en materia de protección de datos, convierte a este agradable país centroeuropeo en una potencia mundial en materia de privacidad.
La Ley Eslovaca de Protección de Datos (Ley Nº 122/2013) prevé que aquellas empresas en las que el tratamiento de datos de carácter personal se efectúe por parte de 20 o más personas nombren uno o varios Data Protection Officers. El criterio no se basa, por tanto, en el número de empleados de la compañía, sino en el número de usuarios con acceso a los ficheros.
Ser DPO en Eslovaquia parece un asunto bastante serio. En primer lugar, se le puede multar por incumplir las obligaciones descritas en el art. 27 de la ley. De hecho, quien haya sido multado reiteradamente no podrá ser nombrado DPO de nuevo.
Teniendo en cuenta lo anterior, resulta lógico que se exija que el DPO sea una persona física (no jurídica) y que su designación revista un carácter formal. La Ley indica el contenido de la misma:
- Firma de la autoridad de control.
Sí, tal y como han leído, los Data Protection Officers en Eslovaquí han de pasar un examen ante la Autoridad de Control. No sólo eso: El examen se tiene que repetir si el DPO permanece inactivo durante dos años. En este enlace, pueden obtener Ustedes más información sobre su contenido. ¡Ay, como se le ocurra a la Agepedé hacer lo mismo!
Por lo demás, las funciones que desempeña, son las que Ustedes pueden imaginarse: que si supervisar el tratamiento de los datos, que si encargarse de la implantación de medidas que garanticen la seguridad de los mismos, que si controlar las transferencias internacionales de datos, ...
Síganme en Twitter, que me hace ilusión @AdEdictum.
Publicado por Ad Edictum en 12:30 2 comentarios:
Etiquetas: Data Protection Officer
Ayer, les comentaba que en Reino Unido no es obligatorio designar un Data Protection Officer, y aún así, muchas empresas lo hacen. Se trata de una buena práctica que genera confianza. Por este motivo, y también para que el DPO cumpla su función de atender las reclamaciones de lo usuarios, su nombre y datos de contacto se hacen públicos.
No resulta extraño que el borrador de Reglamento Europeo prevea también que se dé publicidad a la existencia de un DPO en las organizaciones. Así, el art. 35 determina:
"9. El responsable o el encargado del tratamiento comunicarán el nombre y los datos de contacto del delegado de protección de datos a la autoridad de control y al público.
10. Los interesados tendrán derecho a entrar en contacto con el delegado de protección de datos para tratar todas las cuestiones relativas al tratamiento de datos que les conciernan y a solicitar el ejercicio de los derechos que les confiere el presente Reglamento."
El hecho de comunicar los datos a la autoridad de control, en principio, constituye un simple trámite (salvo que para hacerlo habiliten algo parecido al formulario NOTA, en cuyo caso se convertirá en un proceso interminable). Tengan en cuenta, por otro lado, que actualmente algunas agencias como la Holandesa han habilitado en sus páginas webs un registro o listado público de Data Protection Officers. Puede que esta práctica se generalice.
Mayores problemas tendremos con la obligación de comunicar la existencia del DPO a los interesados. El art. 14 del reglamento que se nos avecina (en adelante, RQSNA), dispone que:
"1. Cuando se recojan datos personales relativos a un interesado, el responsable del tratamiento le facilitará, al menos, la siguiente información:
a) la identidad y los datos de contacto del responsable del tratamiento y, en su caso, del representante del responsable del tratamiento y del delegado de protección de datos (...)"
Este artículo es el equivalente al art. 5 LOPD, el que recoge el contenido de la información que debe ser facilitada a los afectados. Por lo que parece, no bastará con indicar en nuestra web corporativa quién es el DPO. Tendremos que incluirlo los formularios de recogida de datos. Como les digo, esto puede ser un problema cuando no disponemos de mucho espacio para insertar la leyenda informativa o en caso de que sea nombrado un nuevo DPO transcurrido el plazo mínimo de mandato.
En cualquier caso, no deben considerar como algo negativo publicar el nombre, correo electrónico o teléfono del DPO. De hecho, resultará positivo para su negocio. Si el DPO hace bien su trabajo, evitará denuncias a la empresa, ya que atenderá satisfactoriamente reclamaciones que no llegarán a la autoridad de control. El DPO no está al servicio de la organización. Es una especie de "defensor del afectado".
Recuerden, además, que la existencia del DPO también ha de comunicarse internamente (entre los datos que trata una empresa, los de los empleados ocupan un lugar primordial). Véanlo como una oportunidad de aumentar la visibilidad de los responsables de protección de datos dentro de la organización y de hacer valer su trabajo.
Publicado por Ad Edictum en 19:16 4 comentarios:
En Reino Unido, aunque no es obligatorio el nombramiento de un Data Protection Officer, resulta recomendable contar con esta figura en las empresas.
El ICO, la autoridad inglesa de protección de datos, considera que el nombramiento de un DPO demuestra el compromiso de una organización por ir más allá del cumplimiento estricto de la ley. Éste es uno de los puntos incluidos en el compromiso “Personal Information Promise”, elaborado por la autoridad británica para aquellas empresas que quieren alcanzar un alto grado de cumplimiento en esta materia.
Se trata, por tanto, de un plus para compañías en las que el tratamiento de datos personales (de trabajadores, clientes, usuario, etc) ocupa un lugar relevante en el negocio. Una entidad no incumple la ley por no haber nombrado un DPO, pero si quiere “presumir” de respetar la normativa de privacidad, debería contratar uno.
Por eso, muchos expertos recomiendan que se asigne a una persona dentro de las empresas la supervisión del control del cumplimiento de las obligaciones impuestas en este ámbito. Por ejemplo, lean lo que indica la guíaelaborada por Taylor and Wessing.
Las empresas que han nombrado un DPO, hacen público tal nombramiento. No debemos olvidar que contar con una persona que realiza estas funciones constituye una ventaja con respecto sus competidores, una garantía de seriedad y responsabilidad de cara a sus clientes.
Encontramos un ejemplo de esto en la Política de Privacidadque la compañía SIG ha publicado en su web. Por cierto, en este punto, no está de más recordar la diferencia entre Data Protection Policy y Data Protection Notice. Las primeras son documentos internos, dirigidos al personal de la compañía, que se pueden hacer públicos para reforzar el compromiso de una organización con la protección de la privacidad. Las segundas se corresponderían con los avisos legales dirigidos a los titulares de los datos, cuyo contenido mínimo, en España, está fijado en el art. 5 de la LOPD. Pero esta es otra historia, volvamos al funcionamiento del Data Protection Officer en la Pérfida Albión.
Por citar otro ejemplo curioso, en la página web de la Casa de los Comunes del Parlamento Británico se nos facilita una estupenda guía donde se explica el cumplimiento de la normativa de protección de datos en la institución. Gracias a este documento, sabemos que el DPO de la Casa de los Comunes se llama Bob Castle:
"I have appointed a Data Protection Officer (Bob Castle) to ensure that specific responsibility for compliance with the Data Protection Act is assigned in the House of Commons Service. Additionally, each department of the House of Commons has nominated a Departmental Data Protection Representative to support the Data Protection Officer and their department. If anyone would like more information about the Act or this Policy please contact Bob Castle or any of the Departmental Data Protection Representatives.
I regard the lawful and correct treatment of personal information by the House of Commons Service as essential both to the successful management of our operations, and to maintaining the confidence in us of those with whom we deal. I will ensure that the House of Commons Service treats personal information lawfully and correctly. To this end I fully endorse and adhere to the principles of data protection, as described in the Data Protection Act 1998 and our Data Protection Policy."
En fin, si Usted es DPO su nombre y sus datos de contacto, como los del Señor Bob Castle, resultarán fáciles de encontrar en la web de la compañía en la que presta sus servicios. Nadie va a nombrar un DPO para tenerlo escondido en una habitación sin ventanas. Con esto quiero llamarles la atención sobre algo un tanto cínico, pero realista: Designar un DPO tiene un componente importantísimo de imagen, de reputación para la empresa. El consumidor o usuario se siente un poco más seguro sabiendo que hay alguien con nombre y apellidos en la organización encargado de garantizar su derecho a la protección de datos, y sobre todo, conociendo su curriculum y trayectoria. En fin, que como mínimo, sabremos a quién culpar y podremos jurar en hebreo sobre una persona concreta (lo cual, reconocerán, relaja mucho).
En España, los futuros DPO se convertirán la cara visible de la compañía en materia de protección de datos. Es de prever que no sólo atenderán peticiones ARCO, sino otro tipo de consultas o quejas de los titulares de los datos. Por supuesto, también actuarán de enlace entre la Agencia Española de Protección de Datos y la empresa.
En fin, el trabajo como DPO incluye una labor de “Relaciones Públicas” en el buen sentido del término. El DPO no sólo ha de conocer el funcionamiento de la organización, los tratamientos que se efectúan y las medidas aplicadas para garantizar la privacidad de los titulares de los datos, sino que también debe ser capaz de responder frente a terceros, de explicarles lo que hace la compañía, el esfuerzo realizado. Piénselo a la hora de elegir la persona que será DPO en su empresa (o a los miembros del equipo que va a asesorarlo). Y por supuesto, téngalo presente a la hora de planificar su trabajo durante este 2014 si van a ocupar el puesto de Data Protection Officer de su compañía.
Publicado por Ad Edictum en 19:11 No hay comentarios:
¡Enhorabuena! Ha sobrevivido Usted a las cenas de empresa, a los regalos del “amigo invisible” y a la conversación de su cuñado. Ahora, puede dedicarse a lo que de verdad importa en esta vida: Ponerse al día con mi blog.
He pensado empezar el año con una serie de post dedicados a la figura del Data Protection Officer (DPO), que como saben, es lo que quiero ser de mayor.
Otros compañeros ya han analizado los requisitos previstos en el borrador de Reglamento Europeo de Protección de Datos. Pueden leer los comentarios de nuestro amigo D. Jesús, por citar sólo un ejemplo, en este link. Así que, me perdonará si no soy muy sistemática a la hora de explicarle qué empresas deben nombrar un DPO o de detallar el contenido del art. 37 del reglamento que se nos viene encima. Eso sí, le garantizo que le ofreceré una visión práctica de cómo comenzar a desarrollar su trabajo como responsable de protección de datos de su compañía.
Lo primero que debe tener claro es que el DPO no desempeñará las mismas tareas que el Responsable de Seguridad. Supongo que esto ya lo sabía. Sus competencias son mucho más amplias y no están centradas en los aspectos más técnicos, en el cumplimiento de las obligaciones de seguridad.
Aquí va una primera recomendación: Si Usted actualmente es Responsable de Seguridad de una compañía y espera en el futuro desarrollar funciones de DPO, cambie el chip.
Muchos Responsables de Seguridad realizan un trabajo que va más allá de vigilar el cumplimiento del título VIII del RLOPD, pero otros, no. Son éstos últimos los que deberían ampliar sus conocimientos y comenzar a plantearse que el cumplimiento de la LOPD consiste en mantener al día el Documento de Seguridad o planificar las auditorías cada dos años.
Por cierto, el Reglamento Europeo no incluye un listado tasado de medidas de seguridad que deben implantarse ni tampoco la obligación de disponer de un Documento de Seguridad. En resumen, su trabajo hasta ahora ha estado centrado en un sólo aspecto de la protección de datos, probablemente uno de los que más va a cambiar con la nueva norma. Por eso, aunque todavía no tenemos muy claro qué “cualidades profesionales” o “nivel de conocimientos” se exigirán a los DPO, no descarte hacer algún curso de reciclaje sobre protección de datos o prepararse alguna certificación.
Puestos a analizar las diferencias entre Responsable de Seguridad y DPO, le diré que, en mi opinión, el requisito de independencia que se exige a éste último no parece compatible con la asunción de otras responsabilidades en la compañía o con la dependencia orgánica de un departamento o área concreta de la empresa. Esto resulta bastante habitual en los Responsables de Seguridad. Si Usted, como Responsable de Seguridad, formaba parte del Departamento de Sistemas o similar, hágase a la idea de que lo más probable es que tengan que ubicarlo en otro lugar del organigrama de su compañía.
Cada empresa debería realizar un análisis de qué fórmula resulta más adecuada para garantizar la independencia del DPO y asegurar que puede llevar a cabo todas las responsabilidades que se le han asignado.
En algunas compañías, ya existen Oficinas de Protección de Datos, integradas por equipos multidisciplinales, que tendrán que hacer pocos o ningún cambio. Pero esto no significa que Usted deba adoptar la misma solución. Hay soluciones más sencillas: Por ejemplo, es de esperar que, al igual que en otros países, comiencen a ofrecerse servicios de DPO externalizados. Como le decía, cada compañía habrá de realizar un estudio previo para determinar la solución que convenga a su negocio.
Lo dejo por hoy, que tengo que salir a devolver mis regalos (¡con lo fácil que habría sido hacerme un ingreso en cuenta!). Buenas tardes.
Publicado por Ad Edictum en 17:55 No hay comentarios:
Entre las últimas sentencias del Tribunal Constitucional, hay tres que resultarán de su interés. Una ya ha sido ampliamente comentada. Se refiere a un asunto que muchos recordarán (y si es así, ya es hora de que vayan pensando en un plan de pensiones): La entrevista que Cárdenas hizo en el programa de Telecinco "Crónicas Marcianas" a una persona con minusvalía psíquica, burlándose de sus dificultades para responder a las preguntas que se le planteaban. Pueden leer el texto completo de la sentencia aquí.
La segunda resolución es un caso de videovigilancia en el lugar del trabajo. Una empleada de un VIPS fue despedida por robar unos sobres con la recaudación, que habían sido depositados en un buzón de seguridad. El robo se descubrió al revisarse las grabaciones de las cámaras de seguridad del establecimiento, instaladas enfocando dicho buzón. Según la representación de la trabajadora, la grabación se efectuó en una sala utilizada como vestuario, y por tanto, se trata de una prueba obtenida vulnerando el derecho a la intimidad de la trabajadora, y que debe ser rechazada. La empresa, sin embargo, argumenta que se trataba de una oficina, donde los trabajadores tienen prohibido cambiarse, y que la existencia de cámaras se había señalizado con carteles.
El recurso se centra en un tema meramente procesal. La representación de la empleada despedida pidió que se mostrara en el acto del juicio el DVD aportado por la empresa como prueba, para que se verificara que existían imágenes de otros trabajadores utilizando la sala en cuestión como vestuario. El juez consideró que bastaba con las impresiones de pantalla en las que se veía a la trabajadora sustrayendo el dinero del buzón de seguridad y no se visionó el DVD.
Según el Tribunal Constitucional, este hecho “cercenó la posibilidad de acreditar cuál era el uso dado a la oficina donde estaba colocado el buzón de seguridad, e incluso someter a escrutinio la credibilidad de los testigos que declararon en el acto del juicio”. Por otro lado, “el razonamiento ofrecido por el órgano judicial para denegar la proyección del DVD no satisface el estándar de motivación reforzada exigido por la doctrina constitucional”.
El Tribunal Constitucional falla a favor de la trabajadora, anula las sentencias dictadas por el Juzgado de lo Social y por la Sala de lo Social del Tribunal Superior de Justicia, y ordena la retroacción de las actuaciones “al momento de resolver sobre la admisión y la práctica de la prueba en el acto del juicio oral”.
La tercera sentencia resulta muy interesante. Los aficionados a ver series como “Ley y Orden” y “CSI” se habrán preguntado más de una vez si ese truco de ofrecer una taza de café al sospechoso para obtener su ADN sería legal en España. ¿No supone una vulneración de la intimidad del sujeto en cuestión, o lo que es peor, de su derecho fundamental a la protección de datos? Pues bien, esta sentencia analiza un supuesto similar.
El recurrente en amparo había sido declarado culpable de un acto de violencia callejera consistente en quemar un cajero de La Caixa. Se le identificó comparando una muestra de ADN obtenida a partir de lo que en la Sentencia se denomina “un acto voluntario de expulsión de materia orgánica” (vamos, lo que viene a ser un escupitajo o esputo), con los restos encontrados en una prenda con la que se cubrieron la cara los atacantes.
El recurso de amparo se fundamenta en la vulneración de varios derechos constitucionales, pero nosotros nos centraremos sólo en dos. De acuerdo al recurrente, se ha infringido el derecho a su intimidad personal (art. 18.1 CE) porque el análisis de su perfil genético se realizó por la policía autonómica sin ningún tipo de autorización judicial. Adicionalmente, se habría producido una infracción del art. 18.4 CE, “por cuanto la Ertzaintza había procedido a incluir en una base de datos informatizada sus datos personales sin ningún tipo de control administrativo ni de otro orden, sin que se sepa quien o quienes tienen acceso a esos datos ni quien o quienes son sus responsables, ni se esos datos personales (perfil de ADN) va a ser utilizados para otros fines o durante cuanto tiempo se conservarán y si podrán ser utilizados en futuros procedimientos penales”.
Debemos tener en cuenta que, en el 2002, momento en el que se produjeron los hechos, no existía una previsión específica relativa a la realización de análisis de ADN en la instrucción penal, y tales análisis tenían la misma consideración que cualquier prueba pericial. La primera regulación específica se introdujo con la Ley Orgánica 15/2003, de 25 de noviembre, que añadió un párrafo al art. 326 de la Ley de Enjuiciamiento Criminal. De acuerdo al mismo, se faculta al juez para acordar, "mediante resolución motivada y con adecuación a los principios de proporcionalidad y razonabilidad, que se determine el perfil de ADN del sospechoso a partir de muestras biológicas suyas".
El Tribunal Constitucional recuerda que “las intervenciones o reconocimientos corporales, aun cuando por sus características e intensidad no supongan una intromisión en el derecho a la integridad física, sí pueden conllevar una intromisión en el ámbito constitucionalmente protegido del derecho a la intimidad personal en razón de su finalidad, es decir, por lo que a través de ellas se pretende averiguar, cuando se trata de una información que afecta a la esfera de la vida privada que el sujeto puede no querer desvelar”.
Sin embargo, aunque se haya producido una injerencia en el derecho a la intimidad de una persona , esta injerencia puede resultar legítima cuando existe un interés constitucional prevalente que se debe proteger. En este caso, se concluye que es así ya que se trataba de identificar al autor de unos hechos delictivos de notable gravedad:
“Pues bien, la específica prueba pericial consistente en la obtención del ADN del demandante a partir de su saliva se produjo con la finalidad de ser comparado con el obtenido a partir de la muestra biológica hallada en una manga utilizada en la realización de un hecho delictivo, y tenía por objeto el descubrimiento de la persona que había utilizado la mencionada manga en la perpetración de unos hechos delictivos de notable gravedad como lo son los de daños terroristas por los que finalmente fue condenado el demandante. De ahí que no quepa dudar de la concurrencia del fin legítimo en la medida adoptada por la policía judicial.”
Por otro lado, se resalta la escasa incidencia que tuvo la prueba practicada en la intimidad del demandante, ya que el análisis de ADN no fue más allá de “la mera identificación neutra”.
Aquí lo dejo, que ya está bien para ser domingo. Me marcho a desayunar al Café del Botánico, uno de los pocos sitios en los que me tratan como merezco.
Publicado por Ad Edictum en 12:27 No hay comentarios:
Etiquetas: Derecho al Honor, Derechos Humanos, Intimidad, Jurisprudencia, protección de datos

References: resolución 
 artículo 45
 artículo 45
 artículo 45
 artículo 21
 resolución 
 resolución 
 resolución