Source: https://www.prodat.es/blog/author/404-martacastrillodelafuente.html
Timestamp: 2019-07-18 12:56:06+00:00

Document:
PRODAT Protección de Datos para empresas LOPD y LSSI - Marta Castrillo de la Fuente
Una afirmación indiscutible, actualmente, es que la información propiedad de una organización, ya sea desde el punto de vista comercial o de protección de datos, es uno de los activos más valiosos de los que estas disponen. Una información cuya transmisión inmediata se ha vuelto necesaria para garantizar la operatividad dentro de una empresa. Y ¿cómo podemos llevar esta transmisión a cabo? A través de diversos métodos de conexión, de entre los cuales, el más extendido hasta hace unos años era la conexión por cable.
No obstante, la evolución tecnológica y la entrada en juego de los métodos de conexión inalámbricos han permitido que dispositivos como ordenadores, smartphones, o tablets puedan llegar a interconectarse entre sí, sin necesidad de hacer uso de un cable, proporcionando así, una libertad de movimiento a la hora de conectarse a los recursos que pueda ofrecer una organización, sin que esta conexión esté supeditada a una ubicación física.
Las ventajas acerca de este tipo de conexiones inalámbricas son más que evidentes, siendo la ausencia de cables, y consecuentemente de su necesidad de revisión y mantenimiento, y la alta movilidad, las más destacables. Sin embargo, no podemos dejar de lado las vulnerabilidades que, en materia de seguridad, se encuentran asociadas a su uso y que, en última instancia, pueden poner en riesgo los activos de la empresa. Estos riesgos deberán ser tenidos en cuenta y analizados a la hora de establecer las políticas y medidas que los mitiguen o reduzcan al mínimo, garantizando en consecuencia, la seguridad de las comunicaciones.
En definitiva, se trata de establecer medidas destinadas a cerrar la puerta de nuestro entorno virtual a la delincuencia informática. Para ello, el Instituto Nacional de Ciberseguridad (en adelante, INCIBE) publicó una Guía de Seguridad cuya finalidad no es otra que ofrecer unas pautas que podrán ser tenidas en cuenta, por parte de las organizaciones, para reforzar la seguridad de sus conexiones inalámbricas.
Así, la primera pregunta que debemos responder es, ¿qué es una red inalámbrica? En palabras del INCIBE, sería aquella formada por dispositivos capaces de intercomunicarse entre sí o con otra red (como Internet), sin necesidad de elementos físicos que las conecten como pueden ser los cables. De entre todas las redes inalámbricas existentes, centraremos nuestra atención en las más extendidas, las Redes de Área Local Inalámbricas, conocidas como redes wifi.
Dentro del marco organizativo de una empresa, resulta necesaria la existencia de una configuración, previamente establecida y documentada, que garantice la seguridad de las conexiones, para preservar la privacidad de la información. Para ello, la Guía objeto de análisis en el presente artículo, nos propone unas medidas de seguridad a seguir tales como:
¿Alguna vez te has preguntado cuántas cámaras de vigilancia pueden captar tu imagen de camino a casa? Lo cierto es que, en nuestra sociedad de hoy día, vivimos rodeados de grandes hermanos que “vigilan” cada una de nuestras áreas de actividad personal y laboral: el supermercado, el banco, la farmacia, la calle, el Centro Comercial … etc.
Acostumbrados a ello, o no, las cámaras de videovigilancia son una realidad constatada en nuestra vida. Y no sólo eso, sino que el número de las mismas se ha visto aumentado exponencialmente a lo largo de los últimos años.
En lo que se refiere a la finalidad última perseguida con la instalación de estos dispositivos, esta puede ser muy variada: por seguridad, como medio de obtención de pruebas, para vigilancia o control laboral, como apoyo para la información meteorológica, para la promoción turística o, incluso, para el control y vigilancia del tráfico en nuestras ciudades y carreteras.
Es precisamente respecto a esta última finalidad mencionada, sobre la que centraremos el desarrollo del post de hoy. Para ello, tomaremos como punto de partida un reciente Informe publicado por la Agencia Española de Protección de Datos (en adelante, AEPD) y en el cual, se aborda la legalidad sobre la instalación de cámaras fijas con fines de control del tráfico ubicadas, concretamente, en semáforos.
Ya lo comentábamos en nuestro post de la semana pasada (ver aquí); los dispositivos de videovigilancia pueden tener un carácter fijo o móvil. Y si bien, en el mencionado post, centrábamos nuestra atención en las cámaras móviles, en esta ocasión nos focalizaremos en las cámaras de videovigilancia fijas. ¿Son estás cámaras acordes a la legislación vigente?, ¿Qué requisitos han de cumplir para ello?
Recordemos que las cámaras que vigilan la vía y espacios públicos sólo pueden ser operadas, con carácter general, por las Fuerzas y Cuerpos de Seguridad del Estado. Así lo dispone la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos (en adelante, LO 4/1997) y el Real Decreto 596/1999, de 16 de abril, por el que se aprueba el Reglamento de desarrollo y ejecución de la Ley Orgánica 4/1997 (en adelante, RD 596/1999).
Atendiendo a lo establecido en el marco normativo regulatorio descrito, así como en el Informe jurídico de la AEPD objeto de este artículo, las cámaras fijas instaladas deberán cumplir con el principio de proporcionalidad, de modo que el sistema escogido sea tal y como indica el artículo 6 de la LO 4/1997:
- Idóneo para el mantenimiento de la seguridad ciudadana.
- Ponderado o equilibrado por derivarse de su instalación más beneficios o ventajas para el interés general que perjuicios sobre los derechos de honor, propia imagen e intimidad de los ciudadanos afectados.
- Necesario como consecuencia de la existencia de un razonable riesgo para la seguridad ciudadana.
¿Quién será el órgano competente y encargado para instalar dichas cámaras de videovigilancia fijas?
Lo primero que hemos de indicar es que, tal y como recoge el artículo 3 de la LO 4/1997, la instalación de videocámaras de carácter fijo está sujeta al régimen de autorización. Serán las Administraciones públicas con competencia para la regulación del tráfico las que, a través de una resolución, previo informe preceptivo y vinculante de la Comisión de Garantías de la Videovigilancia de la Comunidad Autónoma correspondiente, autorizarán la instalación y el uso de las cámaras de videovigilancia. Así lo establece el artículo 2 de la disposición adicional única del RD 596/1999.
En lo que se refiere al contenido de dicha resolución, es el propio artículo 3 de la LO 4/1997, el que recoge los requisitos que deberán tener las resoluciones que autoricen las instalaciones fijas:
Jueves, 27 Septiembre 2018 08:22
El Delegado de Protección de Datos en la Iglesia Católica Española– Situaciones específicas en el RGPD. Parte II.
Continuamos, una semana más, con el análisis de una de las situaciones específicas recogidas en el artículo 91.1 del Capítulo IX del Reglamento Europeo de Protección de Datos (RGPD): Las normas vigentes sobre protección de datos de las iglesias y asociaciones religiosas.
Si a lo largo de nuestro anterior artículo, desarrollábamos los aspectos más básicos del Decreto General publicado por la Conferencia Episcopal Española sobre la protección de datos de la Iglesia Católica en España, en adelante, Decreto General, en nuestro post de hoy, nos enfocaremos en analizar la configuración del Delegado de Protección de Datos (DPD) dentro de la Iglesia Católica Española.
El DPD, como figura, no es algo novedoso para nosotros pues desde que entrase en vigor, en 2016, el RGPD, el Delegado se conformó como uno de los grandes protagonistas de la misma. Conscientes de su importancia, desde Prodat, hemos dedicado varios artículos al desarrollo y análisis de los aspectos más importantes en torno al DPD (El Delegado de protección de datos en el RGPD Parte I, Parte II, Parte III y Parte IV).
Sin embargo, ¿cómo regula el Decreto General, esta figura, en la Iglesia Católica Española?
Para analizar esta cuestión, hemos de partir de la diferenciación que el propio Decreto hace en su artículo 4 al recoger dos categorías de DPD:
- El Delegado de Protección de Datos Diocesano que será la persona designada por el Obispo (artículo 4 apartado 25 del Decreto General).
- El Delegado de Protección de Datos de la Conferencia Episcopal Española (artículo 4 apartado 26 del Decreto General) que será la persona designada por la Conferencia Episcopal Española.
La principal diferencia entre ambas figuras será su ámbito competencial pues mientras que el DPD Diocesano actuará en el ámbito de la entidad que lo haya designado, la actuación del DPD de la Conferencia Episcopal se ceñirá al propio de la Conferencia Episcopal Española.
¿Qué entidades están obligadas a designar un DPD?
El artículo 36.1 del Decreto General, nos ofrece un listado de las entidades que deberán designar esta figura:
2. Las entidades de la Iglesia Católica en España, de carácter diocesano, supradiocesano o de ámbito nacional, cuando el tratamiento se produzca dentro de sus actividades.
3. Las entidades canónicas de Derecho pontificio o de ámbito internacional y las entidades civiles relacionadas con la Iglesia Católica.
Asimismo, se podrá designar un único DPD Diocesano para las entidades recogidas en el artículo 3 del Decreto General cuando así lo apruebe la autoridad eclesiástica competente, tal y como recoge el artículo 36 en su apartado 9.
Toda vez que el nombramiento del DPD sea firme, este deberá ser comunicado a la autoridad de control, por parte del responsable o encargado del tratamiento, y siempre a través del DPD de la Conferencia Episcopal (artículo 36.8 del Decreto General).
Así, y en lo referente a quién deberá asumir, en cada una de las entidades anteriormente mencionadas la posición de DPD, es el propio artículo 36 quién nos lo indica en su apartado 5:
Viernes, 31 Agosto 2018 07:44
La geolocalización como método de control empresarial: Alcance y límites.
Actualmente es incuestionable que asistimos, de un modo cada vez más frecuente, al uso, por parte de empresas privadas y entidades públicas, de diversos sistemas de control en el ámbito laboral tales como sistemas de monitorización, videovigilancia o mecanismos de registro biométrico y geolocalización de los trabajadores.
Pero ¿están amparadas estas tecnologías por la legalidad vigente?, ¿qué implicaciones conllevan en materia de protección de datos?, ¿qué limites han de tenerse en cuenta a la hora de valorar su implantación y uso? Y la jurisprudencia, ¿qué dice al respecto?
De entre todas estas tecnologías mencionadas centraremos nuestra atención, a ojos de este artículo, en los sistemas de geolocalización de los trabajadores vía GPS, en vehículos o a través de teléfonos móviles, por ser este uno de los sistemas más en alza en los últimos tiempos en las empresas como medio de control de los empleados, así como un recurrente punto de controversia en el ámbito laboral.
Lo primero que debemos dilucidar, es si nos encontramos, o no, ante un tratamiento de datos de carácter personal cuando una empresa accede a los datos derivados de la geolocalización de un empleado.
El artículo 4 del Reglamento Europeo de Protección de datos (RGPD) define los datos de carácter personal como “toda información sobre una persona física identificada o identificable (…)”. Asimismo, los datos de localización fueron ya definidos en el artículo 2 de la Directiva 2002/58/CE como "cualquier dato tratado en una red de comunicaciones electrónicas que indique la posición geográfica del equipo terminal de un usuario de un servicio de comunicaciones electrónicas disponible para el público".
A pesar de que el nuevo Reglamento de privacidad electrónica e-privacy, que sustituye a la Directiva 2002/58/CE, no recoge como tal este concepto; el mismo ha venido siendo mantenido tanto por la Agencia Española de Protección de datos (AEPD) como por el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios, en su artículo 64.b.
Partiendo de ambas definiciones, ¿podremos, entonces, considerar los datos de localización como datos de carácter personal? La AEPD es clara a este respecto al indicar que los datos de localización se refieren siempre a una persona física identificada o identificable, consecuentemente, podremos considerarlos como datos de carácter personal, quedando su tratamiento sujeto a las disposiciones contenidas en la normativa vigente en materia de protección de datos. Así lo refleja en varias de sus resoluciones, de entre las que destacamos: E/00827/2018 y E/00868/2018.
¿Será, entonces, necesario contar con el consentimiento previo del trabajador?
Es, sin duda, una de las cuestiones que más incertidumbre causa entre los empresarios que valoran la instalación y uso de estos sistemas de control.
Jueves, 26 Julio 2018 10:23
Tratamiento de imágenes con fines de seguridad y otras finalidades. Parte II
Tal y como adelantamos en nuestro artículo anterior, a lo largo del presente blog, continuaremos analizando el impacto que, el Reglamento Europeo de Protección de datos (en adelante, RGPD) y el Proyecto de Ley Orgánica de Protección de Datos (en adelante, PLOPD), tienen en el régimen legal aplicable a los sistemas de videovigilancia. Para ello, tomaremos como base la Guía sobre videovigilancia publicada por la Agencia Española de Protección de Datos hace ya algunas semanas:
1. Otros supuestos específicos en los que el fin perseguido con el tratamiento de las imágenes es la seguridad:
1.1. Comunidades de propietarios, viviendas y otros supuestos.
a. Zonas comunes. La captación de imágenes en estas zonas requerirá, sin excepción, el acuerdo de la Junta de Propietarios en los términos previstos en la Ley de Propiedad Horizontal, no siendo posible la captación de imágenes de la vía pública (salvo la franja mínima de acceso a los inmuebles) ni de terrenos y viviendas colindantes. La comunidad de propietarios adquiere, así, la posición de responsable de tratamiento debiendo cumplir con las obligaciones marcadas por la normativa de protección de datos a este respecto.
b. Viviendas unifamiliares. ¿Aplica el nuevo marco normativo a los sistemas de videovigilancia que un propietario coloca en su domicilio particular? Para dar respuesta a esta controvertida pregunta, hemos de distinguir dos situaciones:
- Cuando los sistemas de videovigilancia se instalen dentro de la vivienda, se considerará que la instalación se realiza en el ejercicio de una actividad personal o doméstica no siéndole de aplicación, en consecuencia, la normativa de protección de datos (artículo 2.2.c del RGPD).
- Cuando los sistemas de videovigilancia se instalen en el exterior de la vivienda, estos podrán captar imágenes de vecinos o personas ajenas en entradas, fachadas…etc.; quedando dicho tratamiento dentro del ámbito de aplicación de la norma.
c. Plazas de garaje. La instalación de cámaras en estas áreas será lícita siempre que las imágenes captadas se limiten exclusivamente a la plaza de aparcamiento propiedad del titular, y consecuente responsable de tratamiento, junto con aquel espacio mínimo imposible de evitar para vigilar la plaza. Esta instalación requerirá, siempre, autorización previa de la Junta de Propietarios.
d. Servidumbres de paso. La captación de imágenes de los usuarios que puedan transitar por las servidumbres de paso será legítima siempre y cuando la finalidad perseguida sea la preservación del propio inmueble. Será el propietario del inmueble quien asuma la posición de responsable del tratamiento.
e. Videoporteros y mirillas digitales. A la hora de determinar la aplicación, o no, del RGPD en estos supuestos, será necesario conocer el fin con el que dichos sistemas se instalan:

References: Real Decreto 
 artículo 6
 artículo 3
 artículo 2
 artículo 3
 artículo 91
 artículo 4
 artículo 36
 artículo 3
 artículo 36
 artículo 36
 artículo 4
 artículo 2
 artículo 64