Cuidado con las promociones para nuevos clientes

Es habitual que las empresas ofrezcan promociones para nuevos clientes. Así, lo hacía Iberia Cards, que ofrecía una promoción para nuevos solicitantes de esta tarjeta. A raíz de una reclamación presentada por una persona ante la AEPD se inició un procedimiento sancionador contra la empresa que gestiona estas tarjetas por el tratamiento de datos personales una vez ejercitado el derecho de supresión lo que permitió a la Agencia analizar con detalle los límites del bloqueo de datos y su compatibilidad con el principio de licitud del tratamiento reconocido en el RGPD De los hechos que la AEPD considera probados se desprende que...

Seguir leyendo

Sancionado por enviar WhatsApp a sus empleados

Un empleado denunció a su empresa ante la AEPD por enviarle comunicaciones por WhatsApp a su móvil personal,  a pesar de haber indicado a la empresa que no lo hiciera, ya que él no autorizaba estos envíos a su movil personal, aunque no dispusiera de un móvil de trabajo. Estas comunicaciones incluían datos personales y documentación de  clientes de la empresa. Este empleado defendía que su móvil y WhatsApp personal no eran herramientas de trabajo, por lo que la empresa no debía comunicarse con él por estos medios, indicando que la empresa debía dirigirse a él a través de la dirección...

Seguir leyendo

145.000,00 € de sanción por extraviar un USB con datos personales

Un empleado de una empresa sufrió el robo de una mochila en la que se encontraba un USB con datos personales que estaban incluidos en la información relativa a un procedimiento judicial penal. El dispositivo USB que salió de las instalaciones del responsable no contaba con cifrado ni otras medidas de protección. El incidente fue notificado a la AEPD 13 días después de su detección. Aunque el reclamado alegó que no había evidencia de acceso a los datos ni perjuicio efectivo a terceros, la AEPD consideró que el riesgo era evidente por tratarse de datos sensibles sin protección adecuada. La AEPD...

Seguir leyendo

Un empleado tira documentación a la basura: sanción por falta de medidas

La AEPD recibió un informe de la Policía Local tras ser alertada por el padre de un menor sobre la presencia de una caja de cartón con documentación personal visible en un contenedor de basura en la vía pública, junto al campo de fútbol de un Club deportivo. En dicha caja se hallaron más de 1.400 carnés federativos, fichas con fotografías, nombres, apellidos, domicilios, DNI, teléfonos, datos de padres o tutores, correos electrónicos y números de cuenta, mayoritariamente relativos a menores de edad. También se encontró un DNI original sin chip. Los agentes trasladaron el contenido a la Jefatura de Policía...

Seguir leyendo

Intimidad vulnerada por detector de presencia

Una persona presentó una reclamación ante la AEPD contra quien era su cónyuge y con quien aún compartía el inmueble, alegando la instalación no consentida de un sistema de videovigilancia en el interior de la parte de la vivienda que ocupaba. Afirmó que, tras la separación, el reclamado colocó un dispositivo que le aseguró ser un simple sensor de seguridad, pero que resultó ser una un detector de presencia instalado por Movistar Prosegur Alarmas con una cámara que tenía capacidad de captar una ráfaga de imágenes durante 10 segundos ante una intrusión. La AEPD analizó si existía una base legitimadora para...

Seguir leyendo

Sanción por enviar usuario y contraseña por email sin medidas de seguridad

La AEPD sancionó a una empresa por enviar credenciales de acceso (usuario y contraseña) a través de correo electrónico sin las medidas de seguridad adecuadas, vulnerando el artículo 32 del RGPD. Este caso evidencia la importancia de revisar los sistemas de registro online y evitar prácticas que pongan en riesgo la confidencialidad de los datos personales. Una persona denunció que, al registrarse en la web de una librería online, recibió un correo automático con su dirección de email y la contraseña elegida. La AEPD verificó que el proceso de alta generaba este mensaje sin protección adicional y que la práctica se...

Seguir leyendo

¿Cabe el derecho de acceso a datos ya bloqueados?

La respuesta a esta cuestión es que sí, la Audiencia Nacional confirmó el criterio de la AEPD según el cual el derecho de acceso a los datos personales incluye también aquellos que se encuentran bloqueados conforme al art. 32 de la LOPDGDD, siempre que no se hayan borrado físicamente. En este caso, una persona solicitó al reclamado acceder a todos los datos que había tratado, incluyendo información histórica de consultas y la fecha y origen de la baja en el fichero. El reclamado respondió que no existían datos activos porque habían sido cancelados y bloqueados desde 2019, limitándose a entregar un...

Seguir leyendo

¿Vale el consentimiento de uno de los padres para la difusión de imágenes de un menor por terceros?

En el contexto actual, donde la difusión de imágenes de menores (de 14 años) en entornos escolares, deportivos o sociales es cada vez más habitual, se plantea una cuestión jurídica relevante: ¿puede uno solo de los progenitores prestar un consentimiento válido para que terceros (como centros educativos o asociaciones) difundan imágenes de un menor? La respuesta requiere un análisis desde el marco del derecho a la propia imagen, la protección de datos personales y la normativa civil relativa a la patria potestad. Según el artículo 3 de la Ley Orgánica 1/1982, el consentimiento para el uso de la imagen de menores...

Seguir leyendo

Difusión innecesaria de datos en comunidad de propietarios

Una persona presentó dos reclamaciones ante la AEPD contra una comunidad de propietarios por haber difundido datos personales sin anonimizar en dos ocasiones distintas. En la primera, la administradora de la comunidad remitió a los propietarios una sentencia judicial en la que la comunidad era parte demandada, sin eliminar los nombres y apellidos de varios vecinos. En la segunda, envió por correo electrónico un escrito firmado por 17 comuneros, en el que se cuestionaban aspectos del acta de una asamblea general. En dicho documento figuraban datos personales como nombre, apellidos, NIF, portal, piso, letra, garaje y firma manuscrita de los...

Seguir leyendo

¿Son aplicables las cláusulas de indemnidad que se incluyen en los contratos con los encargados del tratamiento?

Son relativamente habituales las cláusulas de indemnidad que los responsables del tratamiento incluyen en los contratos de encargados, o de prestación de servicios, para que, en caso de que el responsable sea sancionado por una Autoridad de Control en materia de protección de datos con una multa administrativa por una operación de tratamiento que realice el encargado en su nombre, el encargado indemnice al responsable por la cuantía de multa impuesta. Un ejemplo de estas cláusulas podría ser la siguiente: «El Encargado, en todo caso, mantendrá indemne al Responsable de las posibles responsabilidades que pudieran derivarse de los tratamientos de...

Seguir leyendo