Intimidad vulnerada por detector de presencia

Una persona presentó una reclamación ante la AEPD contra quien era su cónyuge y con quien aún compartía el inmueble, alegando la instalación no consentida de un sistema de videovigilancia en el interior de la parte de la vivienda que ocupaba. Afirmó que, tras la separación, el reclamado colocó un dispositivo que le aseguró ser un simple sensor de seguridad, pero que resultó ser una un detector de presencia instalado por Movistar Prosegur Alarmas con una cámara que tenía capacidad de captar una ráfaga de imágenes durante 10 segundos ante una intrusión. La AEPD analizó si existía una base legitimadora para...

Seguir leyendo

Sanción por enviar usuario y contraseña por email sin medidas de seguridad

La AEPD sancionó a una empresa por enviar credenciales de acceso (usuario y contraseña) a través de correo electrónico sin las medidas de seguridad adecuadas, vulnerando el artículo 32 del RGPD. Este caso evidencia la importancia de revisar los sistemas de registro online y evitar prácticas que pongan en riesgo la confidencialidad de los datos personales. Una persona denunció que, al registrarse en la web de una librería online, recibió un correo automático con su dirección de email y la contraseña elegida. La AEPD verificó que el proceso de alta generaba este mensaje sin protección adicional y que la práctica se...

Seguir leyendo

¿Cabe el derecho de acceso a datos ya bloqueados?

La respuesta a esta cuestión es que sí, la Audiencia Nacional confirmó el criterio de la AEPD según el cual el derecho de acceso a los datos personales incluye también aquellos que se encuentran bloqueados conforme al art. 32 de la LOPDGDD, siempre que no se hayan borrado físicamente. En este caso, una persona solicitó al reclamado acceder a todos los datos que había tratado, incluyendo información histórica de consultas y la fecha y origen de la baja en el fichero. El reclamado respondió que no existían datos activos porque habían sido cancelados y bloqueados desde 2019, limitándose a entregar un...

Seguir leyendo

¿Vale el consentimiento de uno de los padres para la difusión de imágenes de un menor por terceros?

En el contexto actual, donde la difusión de imágenes de menores (de 14 años) en entornos escolares, deportivos o sociales es cada vez más habitual, se plantea una cuestión jurídica relevante: ¿puede uno solo de los progenitores prestar un consentimiento válido para que terceros (como centros educativos o asociaciones) difundan imágenes de un menor? La respuesta requiere un análisis desde el marco del derecho a la propia imagen, la protección de datos personales y la normativa civil relativa a la patria potestad. Según el artículo 3 de la Ley Orgánica 1/1982, el consentimiento para el uso de la imagen de menores...

Seguir leyendo

Difusión innecesaria de datos en comunidad de propietarios

Una persona presentó dos reclamaciones ante la AEPD contra una comunidad de propietarios por haber difundido datos personales sin anonimizar en dos ocasiones distintas. En la primera, la administradora de la comunidad remitió a los propietarios una sentencia judicial en la que la comunidad era parte demandada, sin eliminar los nombres y apellidos de varios vecinos. En la segunda, envió por correo electrónico un escrito firmado por 17 comuneros, en el que se cuestionaban aspectos del acta de una asamblea general. En dicho documento figuraban datos personales como nombre, apellidos, NIF, portal, piso, letra, garaje y firma manuscrita de los...

Seguir leyendo

¿Son aplicables las cláusulas de indemnidad que se incluyen en los contratos con los encargados del tratamiento?

Son relativamente habituales las cláusulas de indemnidad que los responsables del tratamiento incluyen en los contratos de encargados, o de prestación de servicios, para que, en caso de que el responsable sea sancionado por una Autoridad de Control en materia de protección de datos con una multa administrativa por una operación de tratamiento que realice el encargado en su nombre, el encargado indemnice al responsable por la cuantía de multa impuesta. Un ejemplo de estas cláusulas podría ser la siguiente: «El Encargado, en todo caso, mantendrá indemne al Responsable de las posibles responsabilidades que pudieran derivarse de los tratamientos de...

Seguir leyendo

¿Puede imponerse una multa a un responsable en relación con tratamientos efectuados por su encargado?

En primer lugar, ha de aclararse una multa administrativa por incumplimiento de la normativa de protección de datos solo puede imponerse en la medida en que se demuestre que el responsable o el encargado del tratamiento ha cometido, de forma intencionada o negligente, una infracción indicada en el RGPD. A sensu contrario, el RGPD no permite imponer una multa administrativa por una infracción contemplada en el RGPD sin que se demuestre que dicha infracción fue cometida de forma intencionada o negligente por el responsable del tratamiento y que, por lo tanto, la culpabilidad en la comisión de la infracción constituye un...

Seguir leyendo

¿Es necesario un acuerdo para ser corresponsables de un tratamiento?

La pregunta que responde el Tribunal de Justicia de la Unión Europea es si la calificación de dos entidades como corresponsables del tratamiento presupone la existencia de un acuerdo entre esas entidades sobre la determinación de los fines y medios del tratamiento de los datos personales en cuestión o la existencia de un acuerdo que establezca los requisitos relativos a la corresponsabilidad del tratamiento. En primer lugar, aclararemos cuando existe corresponsabilidad en un tratamiento de datos personales. De conformidad con lo establecido en el RGPD existen «corresponsables del tratamiento» cuando dos o más responsables del tratamiento determinan conjuntamente los objetivos y medios...

Seguir leyendo

El envío de correos sin copia oculta es una brecha de seguridad

Una persona presentó una reclamación ante la AEPD contra la empresa en la que trabajaba alegando que esta entidad seguía utilizando su correo personal para comunicaciones laborales pese a haber solicitado que se usara únicamente su correo corporativo. Además, denunció que la empresa había enviado correos electrónicos sin utilizar la opción de copia oculta (CCO), lo que supuso la exposición de su dirección personal al resto de destinatarios. Esta situación afectó, al menos, a 129 empleados de la empresa. La persona había facilitado inicialmente su correo personal tras la subrogación de la plantilla por adjudicación de un contrato público. Aunque en...

Seguir leyendo

Derecho a recibir una indemnización si se vulnera mi derecho a la protección de datos

El Reglamento General de Protección de Datos (RGPD) establece que toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del mismo tendrá derecho a recibir del responsable o del encargado del tratamiento una indemnización por los daños y perjuicios sufridos, salvo que estos últimos demuestren que no son en modo alguno responsables del hecho que haya causado los daños y perjuicios. Este derecho de indemnización suscita algunas cuestiones importantes que trataremos de responder en este artículo, siguiendo el criterio del Tribunal de Justicia de la Unión Europea. 1. ¿Es suficiente que exista una infracción del...

Seguir leyendo