La Agencia Española de Protección de Datos inició actuaciones de investigación tras una reclamación contra una agrupación de electores por posibles infracciones del Reglamento General de Protección de Datos (RGPD).

Se requirió a la agrupación que facilitara información esencial en relación con el deber de informar, en particular:

• Los datos identificativos del titular del blog.
• La política de privacidad y la información proporcionada según el artículo 13 del RGPD,
• El procedimiento para que los interesados ejerzan sus derechos,
• Copias de documentos clave como el Registro de Actividades de Tratamiento, el análisis de riesgos y las medidas de seguridad implantadas.

La falta de respuesta a estos requerimientos llevó a la AEPD a sancionar a la agrupación con 4.000 euros por no colaborar con la autoridad de control, incumpliendo su obligación de facilitar información relevante.

IMPORTANTE

La autoridad de control puede ordenar al responsable, encargado o su representante que proporcionen información necesaria para sus funciones de investigación.

La entrada Sancionada una agrupación de electores por incumplimiento de la normativa de protección de datos se publicó primero en Adaptación RGPD.

La reclamación fue interpuesta por una persona que estaba interesada en uno de los anuncios publicados por la inmobiliaria.  En el escrito de reclamación alegaba que el correo electrónico que recibió con la respuesta de la entidad estaba visible las direcciones de correo electrónico de otras personas. Como prueba relevante se acompaña a la reclamación la copia del correo electrónico recibido.

La directora de la Agencia Española de Protección de Datos admitió a trámite la reclamación presentada. Se procedió a solicitar información a la parte reclamada, pero ésta no contestó al requerimiento.

La entidad fue sancionada con 2.000 € por incumplimiento de uno de los principios regulados en el RGPD, el principio de integridad y confidencialidad. Al enviar un correo electrónico sin utilizar la copia oculta se está vulnerando la confidencialidad de los datos del resto de destinatarios. Por otro lado, además, se le sanciona con 1.500 € por no cumplir con la obligación de aplicar las medidas técnicas organizativas apropiadas que garantizasen un nivel de seguridad adecuado con el tratamiento de los datos personales, tal y como dispone el art. 32 del RGPD.

IMPORTANTE

El responsable y el encargado del tratamiento deben determinar las medidas técnicas y organizativas adecuadas al tratamiento.

La entrada Entidad inmobiliaria sancionada por no aplicar medidas de seguridad para proteger los datos personales se publicó primero en Adaptación RGPD.

El reclamante, un ciudadano holandés, interpuso la reclamación ante la Autoridad de control de Países Bajos, y se dio traslado a la AEPD, que actuó como autoridad de control principal. Aunque en un principio la autoridad española no encontró indicios de incumplimiento, la autoridad belga formuló objeciones al procedimiento, por lo que finalmente, la entidad reclamada fue sancionada.

El Hotel, en cumplimiento de la obligación de registro documental, tal y como se recoge en la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, tomaba los datos del huésped en el check-in. Además de los datos, escaneaban una copia del pasaporte que incluía la fotografía.

La autoridad de control sancionó al hotel por el uso posterior que se hace de esa fotografía. El hotel alegó que la fotografía servía de medio para evitar que se realizaran pagos fraudulentos con la tarjeta de crédito del cliente. A ella solo podía acceder el personal autorizado.

La autoridad de control entendió que el interés legítimo alegado para ese tratamiento no era el adecuado.

IMPORTANTE

El responsable debe realizar un juicio de ponderación cuando alegue el interés legítimo para el tratamiento de datos personales.

La entrada Sancionado un Hotel con 30.000€ por utilizar la fotografía del pasaporte para el control de pagos se publicó primero en Adaptación RGPD.

El reclamante, en su escrito, aporta copia de los correos que envió a la dirección web del reclamado para que retirara sus fotos de la página web y redes sociales. También envía un archivo con fotografías web bajo el rótulo de “Equipo educativo”.

La AEPD inicia el procedimiento sancionador ya que la empresa a incumplido lo dispuesto en el RGPD.

Por un lado, la reclamada no tenía legitimación para el tratamiento de los datos personales del afectado, puesto que, para la publicación de imágenes del personal laboral en la página web de la empresa y RRSS se requiere el consentimiento expreso de los trabajadores/as. La relación laboral no legitima al responsable para la publicación de imágenes.

Además, el responsable no respondió al derecho de supresión solicitado por el reclamante, hasta en dos ocasiones, tal y como consta en el escrito de reclamación.

La multa ascendió a un total de 9.000 euros.

IMPORTANTE

La publicación de imágenes se considera una cesión a terceros por lo que debe ser debidamente informada y legitimada por el responsable de los datos.

La entrada Empresa de educación sancionada con 9.000 euros por publicar imágenes de su personal en redes sociales se publicó primero en Adaptación RGPD.

La entidad sancionada manifiesta que envió la documentación referida, por requerimiento de la Entidad Pública Empresarial de Vivienda, para defenderse de las denuncias interpuestas por el reclamante por falta de adscripción de medios humanos y materiales en la obra en la que se encontraba trabajando.

En este sentido, la AEPD considera que se ha vulnerado el art 5.1.c del RGPD “Principio de minimización de datos”. Se están tratando datos de salud (bajas y permisos por COVID) y datos de carácter personal (correo electrónico personal del trabajador) para una finalidad distinta a la de servir como medio de comunicación entre empresa y trabajador. Los datos que la entidad reclamada ha aportado como alegaciones para su defensa se consideran excesivos.

En calidad de agravantes, se estima el tratamiento de los datos de salud, como categorías especiales de datos. La multa que se le ha impuesto ascendió a la cantidad de 50.000€.

IMPORTANTE

El responsable debe realizar un tratamiento de datos de categorías especiales conforme a las excepciones dispuestas en el RGPD.

La entrada Sanción de 50.000€ por una cesión ilícita de datos de salud de un trabajador se publicó primero en Adaptación RGPD.

La parte reclamante manifiesta que la empresa reclamada había contactado con él telefónicamente de manera reiterada para ofrecerle sus servicios inmobiliarios. En varias ocasiones les solicitó que borraran sus datos.

En el escrito se adjuntan pruebas de los mensajes y llamadas recibidas en su teléfono. En uno de los mensajes le indican que “no volverían a contactar con ella”, no siendo así, ya que continuó recibiéndolos.

La AEPD en esta reclamación no está valorando los mecanismos para solicitar la supresión de los datos, sino la falta de diligencia debida por parte de la entidad ante la solicitud de la supresión de los datos personales de la afectada.

Se le aplican los siguientes criterios de atenuación:

– Medidas tomadas por el responsable. No constan nuevos tratamientos de datos ilícitos por parte de la entidad.

– Circunstancias actuales de la empresa influenciadas por la situación social.

– Inexistencia de beneficios obtenidos como consecuencia de la comisión de la infracción.

IMPORTANTE

El responsable del tratamiento tiene que contestar a los derechos solicitados sin dilación indebida, y, en cualquier caso, en el plazo de un mes a partir de la recepción.

La entrada Inmobiliaria sancionada con 10.000 euros por no contestar a un derecho de supresión se publicó primero en Adaptación RGPD.

El afectado envió un escrito de reclamación a la AEPD a través de su sede electrónica de reclamaciones ordinarias. En este escrito, manifestaba que contactó con la empresa a través del teléfono que constaba en el anuncio y envió su currículum vitae por la aplicación de mensajería de WhatsApp.

Junto a la reclamación aporta la captura de pantalla de móvil con la conversación a través de WhatsApp. En este sentido, la AEPD recomienda, que para que la reclamación se resuelva de forma exitosa y reducir los plazos de tiempo, se aporten todos aquellos documentos que sirvan para probar los hechos reclamados.

 En ningún momento el afectado fue informado sobre el tratamiento de sus datos personales incumpliendo el art.13 del RGPD. En este artículo, se indican todos los aspectos relativos al tratamiento de datos personales que han de conocer los interesados en el momento de la recogida de sus datos. El responsable del tratamiento debe facilitar esa información de una forma clara y sencilla para que el interesado conozca la identidad del responsable, los datos del DPD en su caso, los fines del tratamiento y la base jurídica entre otros aspectos.

IMPORTANTE

Cuando el responsable trate por primera vez los datos personales del interesado tiene que poner a su disposición toda la información en materia de protección de datos.

La entrada Sanción de 2.000 € por incumplir con el deber de informar en una oferta de un puesto de trabajo. se publicó primero en Adaptación RGPD.

La AEPD recibe una reclamación por parte de un ciudadano que considera que se han tratado sus datos personales de forma ilícita por parte de la empresa de paquetería. El reclamante realizó una solicitud de servicio a la empresa reclamada para que recogieran un paquete, para ello, puso como punto de recogida la dirección de su trabajo, aunque el pago y el correo lo hizo desde su correo personal.

La actuación fraudulenta, por parte de la empresa de transporte, tiene lugar, porque desde el departamento de administración consideraron que el servicio se había hecho por parte de su cliente (empresa donde trabaja el reclamante), al ver la dirección de recogida, y no por el particular (reclamante). Por ello, envían una factura con los datos personales del reclamante al departamento de contabilidad de la empresa cliente.

Se considera que la empresa de transporte ha infringido el principio de exactitud de los datos del art.5 del RGPD. No se adoptaron medidas razonables para que se suprimieran o modificaran los datos personales inexactos. La multa ascendió a 10.000 euros.

IMPORTANTE

Las empresas deben realizar políticas de protección de datos que apliquen los principios relativos al tratamiento del RGPD.

La entrada Sancionada con 10.000 euros una empresa de transporte por incumplimiento del principio de exactitud de datos se publicó primero en Adaptación RGPD.

La AEPD inicia el procedimiento sancionador por la reclamación presentada por una persona al fijarse que la página web visitada no tenía una política de privacidad adecuada a la normativa de protección de datos.

En concreto, la afectada indica que al querer enviar una reclamación al titular de la web no había modo alguno de realizarlo, puesto que no existía teléfono y el email facilitado no funcionaba correctamente ya que devolvía los correos enviados. La reclamante facilita en su escrito de reclamación una copia a la AEPD de los textos legales que se encuentran en la página. Estos textos hacían referencia a la antigua ley de protección de datos.

Los formularios de la página web sancionada incluían la recogida de datos personales incluidos en su caso datos bancarios.

La AEPD determina que no se proporciona una información clara y adecuada al usuario. Además, se tienen en cuenta como agravantes, la negligencia en la infracción, la forma en que la AEPD conoce la infracción a través de una reclamación y por ultimo la falta de cooperación con la AEPD para poner remedio a la situación. La multa ascendió a un total de 10.000 euros.

IMPORTANTE

Las páginas web que contengan formularios deben incluir políticas de privacidad claras, concisas y conforme al RGPD.

La entrada Página web sancionada con 10.000 euros por no incluir la política de privacidad RGPD se publicó primero en Adaptación RGPD.

La reclamante manifiesta en su escrito de reclamación que sus datos fueron comunicados por su asesoría fiscal a otra asesoría, de la cuál recibió una factura a su cargo por los servicios prestados. En ningún momento se pusieron en contacto con ella para solicitarle el consentimiento del tratamiento de sus datos.

La Subdirección General de Inspección de datos inició el proceso de investigación, solicitando información sobre las causas. No se obtiene ninguna contestación sobre las mismas, lo que supone un agravante a tener en cuenta en el momento de cuantificar la sanción, puesto que una de las obligaciones del responsable es colaborar con la autoridad de control cuando ésta se lo requiera.

Se ha vulnerado el art. 6 del RGPD que recoge los supuestos de licitud del tratamiento por parte de terceros. En este caso, la asesoría fiscal con la que tenía contratado sus servicios comunica los datos a un tercero sin su consentimiento, por lo que no está actuado diligentemente.

La cuantía finalmente reclamada ascendió a 4.000€, teniendo en cuenta el agravante de la nula cooperación con la AEPD con el fin de poner remedio a la infracción y mitigar sus efectos.

IMPORTANTE

La sanción podría haberse evitado si la empresa hubiera tenido un protocolo de actuación en materia de protección de datos.

La entrada Sancionada con 4.000€ una asesoría por comunicar datos de un cliente a otra asesoría sin su consentimiento se publicó primero en Adaptación RGPD.