Los hechos se originan cuando la entidad reclamada creó un grupo de mensajería instantánea denominado “Medicina Estética 2”, en el que incorporó los números de teléfono de numerosos clientes, incluidos los reclamantes, permitiendo que todos los integrantes pudieran visualizar los datos personales del resto. La AEPD acreditó que el grupo fue creado sin base jurídica ni consentimiento expreso.

La autoridad de control subraya que, aunque el responsable podía tratar los datos con base en la ejecución del contrato o en su interés legítimo para promociones comerciales, estaba obligado a garantizar la confidencialidad.

La infracción reviste especial gravedad al afectar a datos de salud, categoría especial del artículo 9 del RGPD. En consecuencia, la AEPD impuso una multa de 30.000 euros y ordenó la eliminación del grupo y la implantación de sistemas de comunicación que impidan la visibilidad de los datos entre destinatarios.

IMPORTANTE 

El artículo 5.1.f del RGPD exige que los datos personales se traten garantizando su seguridad y confidencialidad, evitando accesos, comunicaciones o usos no autorizados.

La entrada Sancionada una clínica con 30.000 euros por falta de medidas de confidencialidad en sus campañas comerciales se publicó primero en Adaptación RGPD.

La parte reclamante manifestó en su escrito de reclamación que los datos de su número de apartamento y el importe de las deudas contraídas con la comunidad de vecinos se había expuesto en el tablón de anuncios, al que podía acceder cualquier persona que entrara en el edificio. Para ello se aportó como documentación relevante una fotografía del tablón de anuncios donde aparecen sus datos personales.

La AEPD sancionó a la Comunidad de bienes con una multa administrativa de 1.000€ por la vulneración de dos artículos de la normativa:

• Infracción del artículo 5.1.f (RGPD); los datos se han de tratar garantizando una seguridad adecuada para evitar un tratamiento no autorizado garantizado la integridad y confidencialidad.
• Infracción del artículo 32 (RGPD); el responsable del tratamiento no aplicó las medidas de seguridad adecuadas para garantizar la confidencialidad de los datos personales tratados por la Comunidad de propietarios.

IMPORTANTE

La AEPD en su escrito de reclamación ordena a la Comunidad de propietarios que retire el documento del tablón de anuncios y que disponga de un procedimiento para comunicar anuncios según la Ley de Propiedad Horizontal

La entrada Sancionada una Comunidad de propietarios por publicar datos personales de morosos en el tablón de anuncios se publicó primero en Adaptación RGPD.

La reclamante presenta escrito de reclamación ante la AEPD alegando que había recibido una serie de emails solicitando una serie de cambios en sus datos personales, incluyendo su número completo de cuenta bancaria. El dominio desde el cual le llegó el correo tenía una extensión diferente, lo que indicaba que no eran emails oficiales enviados por la empresa SAUNIER-TEC. La reclamante se puso en contacto con la entidad para conocer de la brecha de seguridad y no recibió respuesta del responsable de protección de datos.

La AEPD a la vista de los hechos, admite a trámite la reclamación e inicia el procedimiento sancionador contra la entidad por infringir los artículos 33 y 34 del RGPD, los cuales regulan cómo y cuándo ha de notificarse la brecha de seguridad que puedan suponer un riesgo para los derechos y libertades de las personas físicas. En este caso, la AEPD determina que, dada la categoría de datos afectados, datos bancarios y el número de afectados por la brecha, se tendría que haber notificado a los afectados.

IMPORTANTE

El responsable ha de notificar a la AEPD las brechas de seguridad antes del plazo de 72horas desde su conocimiento.

La entrada Sancionada con 6.000 euros una entidad por no notificar a sus clientes ni a la AEPD el hackeo a su cuenta de correo se publicó primero en Adaptación RGPD.

Con fecha 04/01/2019 y 08/01/2019, se presentaron ambos escritos en la sede electrónica de la AEPD en los que se exponían que “en la Web de Vueling no se permite al usuario utilizar las cookies estrictamente necesarias y que no existe una acción afirmativa y positiva de consentimiento”.

A la vista de los hechos denunciados y de conformidad con las evidencias presentadas, la Inspección de Datos de la Agencia consideró que la entidad reclamada no cumple con las condiciones del art. 22.2 de la LSSI. Por un lado, el consentimiento a que se cedan datos a terceros a través de las cookies es implícito ya que no permite su denegación. Por otro lado, no facilita un panel de configuración para que el usuario pueda eliminarlas de forma granular. En la resolución se indican pautas para facilitar esa selección mediante botones en el panel, uno para rechazar todas las cookies y otro para habilitar todas las cookies o hacerlo de forma granular. La inspección de Datos considera que la información ofrecida sobre las herramientas proporcionadas por los navegadores no es suficiente y debe ser complementaria con lo anterior.

IMPORTANTE

La sanción por utilizar dispositivos de almacenamiento y recuperación de datos cuando no se haya obtenida el consentimiento puede llegar hasta los 30.000 euros.

La entrada VUELING AIRLINES, S.L sancionada por no informar debidamente sobre la utilización de cookies se publicó primero en Adaptación RGPD.

IMPORTANTE
El art 5.1.d) del RGPD, dispone que “Los datos personales serán exactos y, si fuera necesario, actualizados”

La entrada Telefónica sancionada por vulnerar el art 5.1.d del RGPD se publicó primero en Adaptación RGPD.

La reclamación presentada por el trabajador A.A.A. obedece al hecho de las grabaciones que le fueron realizadas en el interior y exterior del local para utilizarlas como prueba en la sanción disciplinaria que le fue impuesta por la empresa. El reclamante manifiesta que no fue avisado previamente de la instalación de las cámaras de vigilancia con la finalidad de control laboral y que tampoco había carteles informativos.

La AEPD inicia el procedimiento sancionador al RESTAURANTE LA OLIVA por la presunta infracción del art.5.1 a) del RGPD “los datos personales serán tratados de manera lícita, leal y transparente en relación con el interesado”. En la fase de alegaciones, el responsable indica que las videocámaras instaladas no funcionaban correctamente, ya que no tenían el software necesario, añadiendo que las imágenes habían sido tomadas con el móvil particular de otro empleado. La AEPD considera que el reclamado, al decidir sobre la finalidad y uso de las imágenes captadas con el dispositivo móvil, se convierte en responsable de las mismas, por lo que será objeto de aplicación del RGPD. El restaurante no informó al trabajador de la existencia de esas grabaciones, ni de su utilización para el control laboral.

IMPORTANTE

El responsable debe facilitar al personal una información previa, expresa, clara y detalla del uso de los dispositivos tecnológicos con la finalidad de control laboral.

La entrada Un restaurante multado por captación ilícita de imágenes de un trabajador y utilizarlas como base de sanción laboral se publicó primero en Adaptación RGPD.

La reclamante Dª.A.A.A., solicitó un mini préstamo por Internet a una empresa denominada “MARIA DINERO.COM”, facilitándole sus datos personales, entre los cuáles se incluía su correo electrónico personal, pero no el de la entidad para la cuál trabaja, “La Universidad autónoma de Barcelona”. En este último correo es donde la entidad sancionada, GESTION DE COBROS, le envía una notificación con la finalidad de reclamar la deuda con el asunto de Morosa. El correo electrónico utilizado tiene carácter corporativo, por lo que todo el personal de la Universidad tiene acceso a su contenido, con lo cuál se ha cometido una infracción muy grave de confidencialidad de los datos de la reclamante.

La AEPD al tener constancia de la reclamación, inicia un periodo de investigación, a partir del cual solicita información de los hechos  a la entidad MARIA DINERO, ésta actúa correctamente, ya que informó a su cliente con carácter previo, que si no devolvía en plazo la cantidad prestada, sus datos serían comunicados a GESTION DE COBROS para recuperarlo, siendo ésta entidad la que no actúa diligentemente, puesto que, al utilizar el email del lugar de trabajo de Dª.A.A.A infringe el art.5.f del RGPD, ya que permitir a terceros, el acceso a los datos personales de la reclamante, causándole daños y perjuicios morales.

IMPORTANTE

 La sanción ha sido calificada de muy grave al infringir, el principio de Confidencialidad de los datos, uno de los principales Principios recogidos en el RGPD.

La entrada GESTION DE COBROS, S.L. sancionada con 60.000 euros de multa por infringir la confidencialidad de los datos se publicó primero en Adaptación RGPD.

Con fecha 16 de enero de 2018, la AEPD recibe un escrito del reclamante de la tutela indicando que el Servicio Canario de Salud no le ha hecho llegar la documentación solicitada.

La AEPD le comunica al Hospital Insular que presente las alegaciones oportunas, en caso contrario se abrirá un procedimiento de declaración de infracción del art. 15 de la LOPD “el derecho de acceso”. El Hospital alega que al reclamante de la tutela le ha hecho entrega del historial clínico que consta en su base de datos, ya que el resto de la documentación del paciente se encuentra en la Clínica Privada San Roque de Meloneras, donde tuvo lugar la intervención. Luego sí que es cierto que el Centro concertado genera una historia clínica propia y por ello es responsable del tratamiento, pero ese historial pertenece al paciente del Hospital Insular, el cual es sancionado por no tenerlo custodiado y no cumplir con el criterio de unidad y de integración, tal y como regula el art.15 de la Ley 41/2002 de 14 de noviembre, reguladora de la autonomía del Paciente y Derechos y Obligaciones.

IMPORTANTE

El responsable debe atender el derecho de acceso y dar respuesta al interesado, independientemente de que esté tratando, o no, sus datos personales

La entrada El Hospital Universitario insular de Canarias sancionado por no atender debidamente un derecho de acceso se publicó primero en Adaptación RGPD.

El Consejo de Ministros a 27 de julio de 2018 aprobó el Real Decreto-ley para incorporar a la actual LOPD diversas medidas urgentes sobre las competencias inspectoras y sancionadoras de la AEPD.

La tramitación del proyecto de Ley para la nueva LOPD, presentado por el Gobierno en noviembre de 2017, está sufriendo retrasos. No se prevé su aprobación hasta finales de este año, cuando debía haber entrado en vigor a la vez que el própio RGPD (25/05/2018).

El no disponer de un texto normativo interno adaptado al Reglamento Europeo podría provocar graves consecuencias en el funcionamiento de la AEPD. Por eso, el Gobierno ha decidido modificar la vigente Ley Orgánica de Protección de Datos (Ley 4633/1999) por medio de un Real Decreto-ley.

El texto se centra en las competencias administrativas de inspección de la AEPD y en el régimen sancionador aplicable tras la plena aplicabilidad del RGPD. Tendrá un carácter provisional hasta la modificación definitiva de la LOPD por el Congreso.

Este Real Decreto-ley no puede tratar materias relativas al derecho fundamental a la protección de datos y a su ejercicio. Éstas deben aprobarse mediante una ley orgánica. Sí trata aspectos que son competencia del Gobierno, por su carácter administrativo. Después procederá la convalidación por el Congreso.

Contenido de las medidas

El texto consta de 12 artículos y su contenido más relevante es el siguiente:

• Se identifica al personal competente para la investigación de hechos que puedan ser objeto de sanción por incumplimiento del RGPD.
• Se identifica al personal de otras autoridades de control de los demás Estados Miembros de la UE, que puedan llevar a cabo actuaciones de inspección en nuestro país.
• Se designa a la AEPD como representante de España ante el Comité Europeo de Protección de Datos.

Régimen sancionador

El contenido más destacado y de mayor interés general es el relativo al régimen sancionador en materia de protección de datos.

El régimen sancionador previsto en el art. 83 del RGPD, con el título “Condiciones generales para la imposición de multas administrativas”, es considerado por los expertos de difícil encaje con los arts. 9 y 24 de nuestra Constitución, donde se indican unas exigencias de tipicidad de las sanciones y de seguridad jurídica.

Esta reforma urgente no supone incorporar el contenido del Título IX del Proyecto de Ley.

Lo que hace es, por una parte, remitir al contenido del RGPD y, por otra, establecer los plazos de prescripción de las diferentes sanciones previstas en la norma europea.

También abre la posibilidad de que las denuncias presentadas ante la AEPD puedan ser remitidas a los DPO de las organizaciones que cuenten con esta figura. Este órgano las podrá tramitar en una fase previa para, excepto en los supuestos más graves, evitar la sanción de la AEPD y facilitar la solución de la queja del titular de los datos.

La entrada Modificación de urgencia del régimen sancionador LOPD se publicó primero en Adaptación RGPD.

En la fecha 20/09/2017 la denunciante presenta un escrito contra la empresa, por la llamada telefónica de carácter publicitario  que recibió de la misma, preguntando por su nombre y dos apellidos, sin haber mantenido relación comercial previa con la entidad. La denunciante aporta además  la inscripción al Servicio de Lista Robinson AIDIGITAL de fecha 17/03/.

La AGPD, solicitan información a la entidad, la cual les comunica que adquirieron una guía telefónica a KAPITOL S.A que datos obtenidos de fuentes de acceso público.

La empresa denunciada confirma que no realizó un filtrado de los números de personas incluidas en la Lista Robinson de ADigital hasta mediados de noviembre de 2017.

La Agencia Española procede a imponer una multa, ya que se han infringido los art. 6 de la LOPD  así como no tener en cuenta la oposición de la demandante de recibir comunicaciones comerciarles tal y como indica  el art. 48 .2 de la Ley  9/2014, de 9 de mayo , General de Telecomunicaciones .

Siendo una sanción reducida de 3.000 euros  ya que se aplicaron las reducciones previstas en el Acuerdo de Inicio.

IMPORTANTE

Cuando el interesado solicita cualquier derecho de los contenidos en la LOPD o RGPD, hay que ejecutarlo sin dilación indebida, con un plazo máximo de 1 mes.

La entrada Sanción a GRUPO MORATA Y COMES (RENOVEDUCH) se publicó primero en Adaptación RGPD.