Cuando Internet entra por la puerta, la LOPD sale por la ventana

Nadie duda de las bondades de Internet, ni del ahorro de costes que supone pasarlo todo a digital… pero tampoco podemos olvidar que el ciudadano tiene unos derechos fundamentales garantizados constitucionalmente, ni que existen unas leyes que protegen dichos derechos a base de imponer cuantiosas multas. Aún a riesgo de resultar repetitivos o de parecer demasiado conservadores (ya hemos hablado en otras ocasiones sobre el Derecho al Olvido en relación con el periodismo digital y con los boletines y diarios oficiales digitales), debemos decir que la experiencia obtenida a través de nuestros clientes, continúa revelándonos nuevos aspectos de la transición al mundo digital que chocan frontalmente con la protección de datos personales. Hoy le toca el turno a la notificación de los accidentes de trabajo a través del Sistema Delta del Ministerio de Trabajo (o mejor dicho, de Empleo y Seguridad Social). Pasando por encima de la complicación que suponeaplicarle las medidas de seguridad de Nivel Alto al dichoso parte de accidente cuando, sin embargo, un parte de baja por enfermedad común sólo requiere el nivel básico (este tema también lo tratamos anteriormente), el procedimiento establecido por Delta, entraña un riesgo para la protección de datos mucho menos evidente. El proceso más habitual es el siguiente: -Un trabajador, con más sueño que devoción, tiene un accidente de coche mientras se dirigía al trabajo por la mañana. -Resultado de dicho accidente, el trabajador detecta (o incluso se inventa) un dolor en el cuello, por lo que se dirige a su mutua a ver si consigue que le den la baja por AT. -Del análisis de dicha dolencia, se genera un registro del accidente que la mutua comunica a la empresa para que rellene el correspondiente parte Delta (si lleva descripción de la lesión sufrida, ya tenemos esos indeseables datos de salud en nuestra empresa). -El departamento de Recursos Humanos, o la gestoría, o quizá el Departamento de Prevención de Riesgos Laborales recibe esta notificación y, tras recabar la información necesaria, cumplimenta el tedioso parte Delta. -…Disculpen… corrijo el punto anterior: En realidad, UNA PERSONA FÍSICA del departamento de Recursos Humanos, o de la gestoría, o del Departamento de Prevención de Riesgos Laborales, cumplimenta el tedioso parte Delta. -Para ello, únicamente se necesita un “certificado digital de persona física”, que en la mayoría de los casos, es el certificado digital de la FNMT. -Además, entre las funcionalidades del Sistema Delta, aparte de registrar nuevos partes, está la consulta de los partes notificados anteriormente. Por favor, tómense un minuto de reflexión antes de seguir leyendo… ¿Ya? Bien. ¿Y cuál es el problema? Pues básicamente, que es la persona física quien notifica o consulta los partes de accidente, no la empresa. Desde el punto de vista de protección de datos, esto puede implicar varias cosas: -La más preocupante es que cuando esta persona abandona la empresa, puede seguir consultando y descargándose los partes Delta que ha notificado anteriormente… y lo que es peor, parece posible que también siga teniendo capacidad de notificar un nuevo parte Delta. -Otras consecuencias menos probables, pasarían por considerar a la persona física como Responsable del Fichero, puesto que es la única que tiene capacidad de disposición sobre la información notificada a través del Delta (debiendo cumplir con la obligación de inscribir un fichero en la AEPD, informar a los afectados, obtener su consentimiento expreso pues es un dato de salud, elaborar un documento de seguridad, etc.). Tranquilidad, que ya digo que este enfoque no me parece realista ni adecuado, pues normalmente se trata de un trabajador por cuenta ajena que sólo hace lo que le dicen sus jefes. Por esta desconcertante situación, se planteó la siguiente consulta por email al Sistema Delta: “Estimados señores, (bla, bla, bla) ¿Para notificar un accidente de trabajo en una empresa es necesario disponer de algún tipo de autorización específica o basta con tener un certificado digital? En cualquiera de los 2 casos, ¿existe alguna forma para rescindir los permisos de acceso a los partes notificados anteriormente por la persona con su certificado digital cuando ésta abandona la empresa? ¿y de impedir que notifique futuros accidentes? Para evitar el uso de certificados personales, se ha valorado la posibilidad de utilizar certificados de persona jurídica; no obstante, nos indican desde la FNMT que ellos no pueden limitar ni restringir de ninguna forma el uso de dichos certificados (y por motivos obvios, sería interesante limitar dicho uso exclusivamente a la notificación de accidentes de trabajo). ¿El Sistema Delta ofrece alguna posibilidad de obtención de certificado exclusivo para la interacción con Delta, como es el caso del certificado Silcon del Sistema RED de la Seguridad Social? Y en tal caso ¿existe algún procedimiento de revocación de personas autorizadas a utilizar ese certificado cuando abandonan la empresa o cuando cambien sus funciones? Agradezco de antemano su pronta respuesta. Reciban un cordial saludo.” Sorprendentemente, la respuesta no se hizo esperar más de 10 minutos: “Habiendo recibido y analizado su consulta, pasamos a indicarles la solución que creemos más acertada. En Delta se registran personas físicas y no empresas. Los partes tramitados únicamente pueden ser visualizados a través de la aplicación por aquellas personas que lo tramitaron. Solo puede darse de baja de la aplicación la propia persona que esta registrada como representante de empresa. Únicamente pueden revocar las firmas digitales los propietarios de las mismas y no hay ninguna manera de evitar que estas personas no tramiten más partes. Una opción sería tramitar todos los partes de la misma empresa con una única firma digital. Esperamos haber contribuido a solucionar su problema. De no ser así, rogamos vuelvan a contactar con nosotros, mediante un nuevo correo o llamando al 902 88 77 65 (Centro de Atención a Usuarios de aplicaciones externas del MEYSS). Saludos cordiales,” Sin entrar a valorar la sugerencia de que varias personas utilicen una única firma digital personal, se confirman nuestros temores. Básicamente, no hay forma de impedir que una persona que ha notificado un parte Delta con un certificado de la FNMT siga accediendo a este parte aún después de finalizar su relación con la empresa. Sin embargo, el artículo 91 del Reglamento de Desarrollo de la LOPD, exige lo siguiente: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.” Y su incumplimiento, es una infracción grave de la normativa de protección de datos, con sanciones entre 40.000 y 300.000 euros. Es decir, que por cumplir con nuestras obligaciones (cumplimentar el parte Delta) con las herramientas que la Administración pone a nuestra disposición (certificado digital FNMT), nos arriesgamos a recibir una fuerte sanción. ¿Soluciones? -La más lógica sería que la AEPD tomase cartas en el asunto y forzase al Sistema Delta a implantar un procedimiento que no tenga este agujero. No obstante, después de ver la falta de pudor en algunas administraciones públicas a la hora de reconocer que no les importa la protección de datos, yo no depositaría grandes esperanzas en esta solución. -Otra opción más práctica y segura, es recurrir a un certificado digital de una entidad privada (cualquiera de las aceptadas por Delta servirían) que ofrezca un “Certificado corporativo de persona física”, que es un certificado reconocido de persona física que identifica al suscriptor como vinculado a una determinada organización, ya sea como empleado, asociado, colaborador, cliente o proveedor. La empresa podrá revocar este certificado cuando la persona deje la organización. Lo malo es que hay que acordarse de revocarlo (algo que, en la práctica puede quedar en tierra de nadie aunque esté procedimentado por escrito), y que perdemos el acceso a los partes que conserva el Sistema Delta y que haya tramitado esta persona (lo que nos fuerza a quedarnos con una información a la que tenemos que aplicar el nivel alto de seguridad). En fin, lo dicho: cuando Internet entra por la puerta, la LOPD sale por la ventana… y las empresas se quedan perplejos sin saber a quién tenerle más miedo. Fuente:hayderecho.com Fecha: 27/07/2012

El reconocimiento facial de Facebook amenaza la privacidad

La red social Facebook se encuentra bajo el microscopio en Estados Unidos por el alcance en temas de privacidad y los problemas legales que podría causar la tecnología de reconocimiento facial, una vez que la compañía fundada por Mark Zuckerberg adquiriera el mes pasado la start-up israelí Face.com, que desarrolla estos procesos y sugiere el nombre de amigos para etiquetar en las fotos que los usuarios suben a su cuenta. Uno de los sistemas que más ha avanzado en tecnologías biométricas hoy en día, ha sido el reconocimiento facial, haciendo posible que a través de una imagen se pueda obtener información, identificación, seguimiento y obtención y tratamiento de datos personales de un individuo. Si bien su funcionalidad puede ser muy variada y hasta beneficiosa para la sociedad -por ejemplo en sectores como el de la medicina o el de la seguridad, pasando por la publicidad-, también puede ser objeto de graves abusos con demasiada facilidad. El senador norteamericano Al Franken, presidente del subcomité de Privacidad del Senado, ha expresado su preocupación acerca de que Facebook no incluya suficientes protecciones a la privacidad en la función de etiquetas, máxime cuando probablemente esta red social tenga la mayor colección privada de retratos de cara en el mundo. Precisamente el Senado estadounidense debatió ayer este tema y la posibilidad de introducir algunas disposiciones en la legislación que trate este asunto. Se ha acordado que la Federal Trade Commission (FTC) emitirá un informe a finales de este año para recomendar las mejores prácticas para el uso de estas tecnologías de una manera que respete la privacidad del consumidor. Por ahora se sabe que la policía y los departamentos de registro de vehículos de motor también utilizan la tecnología de reconocimiento facial en Estados Unidos. Sin embargo la globalidad de Facebook, con más 900 millones de usuarios en todo el mundo, ha hecho que el problema no se suscriba sólo a nivel norteamericano. Tan sólo en España la red social más popular tiene más de 16 millones de usuarios, siendo el decimoquinto país del mundo con mayor número de usuarios en Facebook, y el quinto en Europa, sólo superado por Reino Unido, Francia, Alemania e Italia. Preocupación Los expertos legales españoles en esta materia consultados por EXPANSIÓN muestran su preocupación por esta nueva práctica. Desde ENATIC (Asociación de Expertos Nacionales de la Abogacía TIC), su presidente Rodolfo Tesone reconoce que hay mucha preocupación por el “impacto que estas tecnologías están teniendo y van a tener para la privacidad y la protección de datos de carácter personal de los ciudadanos, a tenor de creciente penetración de las aplicaciones de reconocimiento facial, y de los abusos que esta tecnología puede suponer de forma autónoma o en combinación con otras tecnologías de inteligencia artificial”. Para el abogado Francisco Pérez-Bes, vicepresidente de ENATIC y secretario de la Asociación Española de Responsables de Comunidades Online (AERCO), “nuestra imagen es nuestra. Una mera fotografía nos identifica y revela muchísima información acerca de nosotros: sexo, edad, incluso dónde y con quién estamos, pero también eventuales problemas de alopecia, de visión o dermatológicos. La utilización de tecnología de reconocimiento facial por los cuerpos y fuerzas de seguridad no es nuevo y está, hasta cierto punto, legitimado por sus fines de seguridad y protección del ciudadano. Sin embargo, la aplicación de dicha tecnología en el ámbito empresarial plantea serias amenazas a la privacidad de las personas, en el sentido de que las finalidades para las cuales se utiliza esa información buscan la explotación comercial de la misma”. La abogada y consultora de seguridad Paloma Llaneza también se muestra muy crítica y preocupada por este asunto, y asegura que el tema del reconocimiento facial es el enésimo tratamiento que hace Facebook, que ya tuvo que modificar su privacidad porque le obligó el Comisionado de Protección de Datos de Canadá. Llaneza asegura que “empresas como Facebook o Google hacen una potente minería de datos para identificar el comportamiento de sus usuarios, haciendo una descripción e incluso una prospección para el futuro”. En el caso de Facebook, la reciente adquisición de la compañía israelí face.com, unido a la compra de Instagram y al hecho de que dicha red social dispone de una de las mayores bases de datos del mundo -incluyendo menores de edad-, hace que los expertos se planteen la adecuación de las políticas de privacidad relativas al etiquetado de fotografías y uso de las mismas por parte de dicha compañía. "La aplicación de la tecnología de reconocimiento facial en el ámbito empresarial plantea serias amenazas a la privacidad de las personas" Francisco Pérez Bes explica que “no hay que olvidar que, aún a pesar de que a Facebook no le resulte aplicable -de momento- la normativa española de protección de la privacidad, el uso de tecnología de reconocimiento facial debe contar con carácter previo con el consentimiento informado del afectado -incluso expreso en determinados casos-, y tomar una serie de precauciones tanto desde el punto de vista de la normativa sobre protección de datos (por cuanto la imagen de una persona es considerado como de tal naturaleza) como de la normativa sobre protección de la intimidad y de la propia imagen. De no ser así, la amenaza a la privacidad que ello supone es inaceptable". Dificultades Llaneza incide en el tema de que “el problema es que si la empresa es española el usuario tiene derecho a modificar si alguien sube una foto suya a la Red, pero las compañías norteamericanas están sujetas a derecho de su país y no se les aplica la directiva europea”. En este sentido, la abogada es clara “llegados a este punto tienes dos opciones: o bien ajustas la privacidad de tu perfil de Facebook o te das de baja de la red social, aunque aun así no tienen obligación de borrar todos tus datos”. Es cierto que existe un borrador de un reglamento comunitario que está intentando cambiar esto, para conseguir que si una empresa americana o de otro país de fuera de la Unión Europea dirija sus servicios a algún país de la Unión tenga que estar sujeto a la legislación comunitaria, pero hay bastante presión por grupos de interés detrás para que este cambio no salga adelante. Rodolfo Tesone asegura que “es preciso que el legislador tome cartas en el asunto exigiendo mediante opt-in un consentimiento previo e informado de los usuarios para el tratamiento de las imágenes digitales a lo largo de todo el proceso del tratamiento de las mismas, tal y como apunta el Dictamen 02/2012, sobre el reconocimiento facial en los servicios en línea y móviles, aprobado por el grupo de autoridades europeas de protección de datos el 22 de marzo 2012, el cual va dirigido a órganos legislativos nacionales y europeos y en virtud del cual se establece el marco jurídico aplicable, las garantías que los proveedores de servicios deben cumplir y formula diversas recomendaciones”. El presidente de ENATIC añade que “junto con la urgente regulación, desde la asociación también abogamos por un marco de autoregulación y vigilancia por parte de la industria vinculada a la Sociedad de la Información y a Internet, junto a planes transversales de educación, concienciación y capacitación de estas tecnologías por parte de la ciudadanía”. Fuente: Expansión Fecha: 18/07/2012

¿Puedo colgar las fotografías de las vacaciones con mis amigos en redes sociales?

Las vacaciones son un derecho reconocido legal y socialmente reconocido para estudiantes y trabajadores por cuenta ajena, así como para todo aquel que se toma merecidamente un receso en su actividad diaria para el descanso. A diferencia unos años atrás, ahora con las nuevas tecnologías, las redes sociales, los Smartphone y otra serie de dispositivos móviles, resulta fácil contar y retratar al detalle dónde nos encontramos, las tareas que estamos cometiendo e incluso nuestros pensamientos y opiniones a todos los amigos, familiares y/o lista de contactos en general. La cuestión, y el objeto del presente post, es analizar jurídicamente las consecuencias de incluir a otras personas en la crónica vacacional en las redes sociales pudiendo en ocasiones, vulnerar inconscientemente derechos fundamentales de terceros. 1) En el marco del derecho a la Intimidad Personal y Familiar y la Propia Imagen Este derecho está reconocido en el artículo 18.1 de la Constitución y regulado en la Ley Orgánica 1/82, de 5 de mayo (Ley Orgánica 1/82, de 5 de mayo1, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen). La Protección de estos derechos está delimitada por las leyes y por los usos sociales según el ámbito que mantenga cada persona reservado para sí o su familia. ¿La captación y publicación de fotografías en las redes sociales de un amigo/a en la esfera de su vida privada, como por ejemplo estar en la playa, podría suponer la intromisión de la intimidad de esa persona? El Tribunal Constitucional ha determinado en múltiples sentencias que la esfera de intimidad de una persona se extiende al “poder que cada individuo tiene respecto a la información relativa a su persona o en su caso a la de su familia pudiendo imponer a terceros su voluntad de no dar a conocer dicha información o prohibiendo su difusión no consentida con los límites que establecen las Leyes”. Por un lado, con carácter general, los límites legales establecidos para no considerar intromisión ilegitima al derecho de la intimidad y a la propia imagen, entre otros, serían: •Que la fotografía sea de una persona con cargo público o notoriedad y se capte en un acto público o en lugares abiertos al público… •Que la fotografía sea sobre un suceso público y la imagen de la persona sea accesoria. •Cuando está autorizado en una ley y/o se hubiere otorgado consentimiento expreso. Entrando a analizar la práctica más habitual en las redes sociales la mayoría de las publicaciones de fotografías, comentarios sobre terceros publicados en las redes sociales son de amigos y/o contactos que no pertenecen al mundo de la proyección pública por lo que se escaparía de los límites legales arriba indicados. Asimismo, una de las confusiones más importantes entre los internautas es en relación a la obtención del consentimiento para colgar fotos de terceros. Es reiterada la jurisprudencia del Tribunal Supremo la que establece que “el consentimiento no debe ser general, sino que debe versar sobre la obtención de la imagen y sobre la concreta publicación de la misma en un determinado medio”. De forma que el hecho de posar para una foto que te hace un amigo no implica que pueda divulgarla por dónde quiera. Por otro lado, para determinar si existe vulneración del derecho de intimidad y/ o a la propia imagen considero que habría que acudir al límite de los “usos sociales” es decir, habría que examinar la conducta que mantiene el individuo afectado respecto al uso de las redes sociales. De forma que, desde mi punto de vista, para valorar la intromisión habría que evaluar el grado de privacidad mantenido de cada individuo y diferenciar entre el usuario de las redes sociales que muestra una conducta participativa y activa en la misma de aquel que mantiene una postura pasiva o no le produce ni el interés mínimo para tener un perfil abierto. Por ello, con carácter general y sin perjuicio de examinar el caso en concreto, la publicación y divulgación de fotografías de personas sin proyección pública y sin consentimiento previo podría constituir a priori una intromisión ilegitima y si con ello se le causa un daño se podría exigir responsabilidad junto con la correspondiente indemnización. 2) En el marco de la normativa de Protección de Datos. Siendo la imagen de una persona es un dato de carácter personal conforme la LOPD, para valorar si el hecho de colgar una foto de un amigo en la playa y subirla a alguna de red social constituye un tratamiento de datos, habrá que determinar previamente si se ha realizado en el marco una actividad exclusivamente personal o doméstica, resultando en ese caso una exclusión en el ámbito de aplicación de la citada normativa. Se entiende por actividad personal o doméstica “los tratamientos de datos que se inscriben en el marco de la vida personal o familiar de los particulares” de forma que la finalidad del tratamiento no sea otra que surtir efectos en esos ámbitos. Si bien es cierto que, en principio, las redes sociales se mueven dentro de una esfera puramente personal, poniéndose en contacto con gente como parte de la gestión de sus asuntos personales el Grupo de Trabajo del Artículo 29 (Órgano consultivo europeo independiente establecido en virtud del artículo 29 de la Directiva 95/46/CE) en su Dictamen 5/2009 sobre “Las Redes Sociales en Línea” estableció tres excepciones por las que no se aplicaría la referida exención del ámbito de aplicación de la LOPD y se considerarían responsables de tratamiento, los siguientes: •El usuario actúe en la Red Social como empresa o asociación. •El usuario facilita el acceso a la información más allá de los “amigos” elegidos •El usuario no garantice los derechos de terceros en relación a los datos sensibles. Solo aquel usuario que tenga una lista desmesurada de “amigos” estaría fuera de las excepciones fijadas por el GT29 y en consecuencia estaría sometido a las obligaciones legales establecidas en la LOPD respecto al tratamiento de datos de terceros. ¿Estaría incurriendo en una infracción en materia de protección de datos el usuario que tuviera una lista amplia de contactos y colgara una foto de su amigo durante un viaje? En mi opinión sí, en el caso de que no se hubiera obtenido el consentimiento del amigo correctamente. La AEPD ha establecido en varias resoluciones que “no cabe entender que se ha otorgado el consentimiento para la difusión de una fotografía de una persona, cuando aquel accedió únicamente a la obtención de la misma y no a su publicación en ningún medio” En este sentido se ha pronunciado recientemente la Audiencia Nacional el 18 de mayo de 2012 ratificando la sanción impuesta por la AEPD. Como podemos observar respecto la utilización de imágenes de terceros son diversas las excepciones y los límites que prevén las leyes para delimitar las libertades individuales en contra de los derechos fundamentales de terceros, y como ocurre siempre en Derecho habrá que estar al caso en concreto. No obstante, llama la atención el convencimiento de la gente al pensar que las relaciones de las redes sociales están al margen de las leyes y se olvida que no se puede imponer a nadie que soporte pasivamente la revelación de datos, fotografías de su vida privada personal. Fuente: Security Art Work Fecha: 18/07/2012

NCG, multada con 50.000 euros por incluir como moroso a un cliente que no lo era

Como la misma Agencia Española de Protección de Datos (AEPD) recuerda, los procedimientos sancionadores por el incumplimiento "de calidad" en la información que se suministra a los ficheros de morosidad son "numerosos". Esta vez le ha tocado a Novagalicia, como heredera del negocio de la fusión de las cajas y, a su vez, de una denuncia de un cliente contra Caixa Galicia que en septiembre de 2008 fue incluido en uno de esos registros por supuestos impagos. La investigación probó que la incorporación fue errónea y que la entidad cometió una infracción grave. La multa asciende a 50.000 euros. La supuesta deuda ascendía a 1.600 euros por una operación con un grupo de empresas dedicadas a la venta directa de productos relacionados con el hogar, que cedió los derechos de cobro a una de las filiales de la antigua Corporación Caixa Galicia CXG y que a su vez lo traspasó a la antigua caja de ahorros, según consta en la resolución del organismo que dirige José Luis Rodríguez Álvarez, desde donde se incorporó la identidad del cliente, su domicilio y teléfono al registro Badexcug, uno de los registros de morosos más utilizado en el sector financiero, seguros, industria, promoción inmobiliaria e incluso las administraciones para comprobar la solvencia de una persona. En ningún momento de la investigación quedó acreditada que la deuda realmente existiera ni que al cliente se le hubiera avisado de la cesión de los derechos de cobro del crédito. De hecho, el demandante acreditó que la financiación fue anulada "por desestimiento" con "la devolución de los enseres previamente objeto de la operación". Por sí sola, ésta ya sería una causa de incumplimiento de la ley que regula la protección de datos, pero es que además, cualquier empresa que quiera incluir una nueva alta en los ficheros tiene que alertar al afectado del impago con anterioridad y advertirle en caso de que no cumpla de la opción de incorporarlo a los listados. La AEPD sostiene que Caixa Galicia no aportó la "documentación suficiente" para demostrar que esta notificación se hubiera realizado. La queja entró en el organismo en septiembre de 2010 y las pesquisas se fueron alargando desde entonces, con lo que por el medio llegó la fusión con Caixanova y luego la bancarización del negocio. Precisamente, en las alegaciones presentadas por Novagalicia, la entidad intentó escudarse en "la ausencia de responsabilidad en los hechos". Algo que la AEPD rechazó por el nacimiento del banco como "escisión por segregación de la totalidad de activos, pasivos y relaciones jurídicas" de Novacaixagalicia. La resolución le achaca "una vulneración del principio de calidad de dato" de la que debe responder Caixa Galicia "por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en el fichero de solvencia patrimonial y crédito". Entre un abanico de sanciones de entre 40.000 y 300.000 euros, la AEPD opta por una de 50.000 y recuerda que las entidades financieras "deben ser especialmente diligentes y cuidadosas" ante la continua movilización de información que manejan por su actividad. Fuente: Faro de Vigo Fecha: 17/04/2012

Denuncian fallos en la cadena de custodia de las historias clínicas al trasladarlas en ambulancia

El responsable de Seguridade e Saúde de la FGAMT-CIG, Ernesto López Rei, presentó, en la Delegación del Gobierno, una denuncia ante la Agencia Española de Protección de Datos en la que pide que se investigue y sancione a Ambulancias Xuvias, la empresa encargada del transporte de enfermos y accidentados, y al Chuac por vulnerar la legislación de protección de datos. López Rei indicó que los conductores de ambulancia se ven obligados a trasladar las historias clínicas del paciente, cuando no se les ha formado en este campo, se le entregan datos confidenciales sin ningún tipo de seguridad, incluso en sobre abiertos, lo que a su entender, rompe la cadena de custodia de una información personal. Asimismo, cuestionó que esto se realice sin ningún control documental de entrada ni de salida de las historias, lo que ha llevado, según indicó, que aparezca documentación extravíada hace días en algunos vehículos y sin que nadie la reclame. «É dicir, para a empresa e o hospital uns datos de máxima protección, como o historial clínico, teñen un carácter semellante ao dunha sonda, un respirador ou unha agulla. Non lles merecen máis protección nin máis control que o resto do mobiliario dunha ambulancia», consideró. El responsable sindical aseguró que estas prácticas dejan en una situación de desprotección tanto a los pacientes como a los conductores. Por su parte, desde el Complejo Hospitalario A Coruña se reconoció que han sido alertados de que, en las últimas horas, en servicios de traslados de pacientes el personal de las ambulancias se ha negado a trasladar las historias clínicas o cualquier otro informe que en determinados casos acompaña al paciente. Desde el Chuac, se considera que este personal está regido por el secreto profesional como cualquier otro profesional que participe en la red asistencial, por lo que no existe ningún riesgo de confidencialidad, y asegura que era una labor que se venía haciendo desde la iniciación del contrato, de la misma manera que se hace en el resto de Galicia y de España. Asimismo, desde el centro hospitalario se asegura que «el contrato de transporte sanitario no urgente de pacientes ingresados en centros hospitalarios implica que se traslada al paciente con aquellos medios tanto técnicos como materiales, necesarios para recibir la adecuada asistencia, por lo que el personal de la empresa de ambulancias debe portar con el paciente aquellos recursos necesarios que el personal sanitario estime conveniente para su asistencia». Fuente: La Voz de Galicia Fecha: 11/05/2012

Protección de Datos apercibe al alcalde por enviar misivas políticas antes del 22M

La Agencia de protección de Datos ya ha emitido su veredicto tras el expediente abierto al alcalde de Rafal, el socialista Manuel Pineda, por mandar misivas a los vecinos antes de las elecciones municipales del 22M, con contenido político. La APD tilda de grave el hecho y apercibe al ahora primer edil y entonces candidato de los socialistas rafaleños por vulnerar la protección de datos de carácter personal, pero no insta a imponer medidas sancionadoras, pese a que deja abierta la puerta para la presentación de alegaciones ante la Audiencia Nacional, mediante un recurso contencioso administrativo. Los hechos se remontan a finales del año pasado, cuando Protección de Datos investigó a Pineda. La investigación del organismo estatal tuvo su origen en el envío de cartas a diversos vecinos de la localidad por parte del entonces precandidato del Partido Socialista y que enojó a varios particulares, que pusieron los hechos en manos de la agencia gubernamental, lo que motivó la incoación de un expediente para esclarecer los hechos, por presunta vulneración de la Ley de Protección de Datos de Carácter Personal, que regula la privacidad de la información que custodian las administraciones o empresas de los particulares. Algunos de los afectados se sintieron molestos al recibir en sus buzones una carta de Pineda felicitándolos por su cumpleaños. Tras el saludo, el socialista aclaraba que iba a ser el candidato a las elecciones municipales a celebrar en mayo y explicaba, según las cartas, «para que sepas que estamos trabajando para ti, para que participes en el futuro de Rafal, y éste sea más acorde con tus necesidades». El ahora alcalde seguía el texto con su ofrecimiento para que los particulares se pusieran en contacto con él, «para conocer tus problemas y tus ilusiones, aquello que realmente te motiva y te interesa» y les remitía su número de teléfono móvil y correo electrónico. La agencia estatal explica ahora en su fallo que el primer edil comunicó a dicho organismo que los datos personales de los destinatarios de los envíos se obtenían «de forma progresiva de la propia convivencia en el pueblo y de los datos que posee el PSOE fruto de su labor política en las diferentes campañas electorales». Asimismo declaró que «no disponía de ningún registro de envíos, ni de soporte documental, ni de la fecha de remisión». Protección de Datos siguió con su indagación y entabló contacto con el PSOE, que le comunicó que desconocía la procedencia de los datos personales de los destinatarios y que la cúpula socialista desconoce «los extremos y circunstancias de la comunicación». La agencia atestigua en el expediente que Pineda no fue capaz de acreditar que contara con el consentimiento de los denunciantes para el tratamiento de sus datos personales y recuerda que este hecho es esencial y estima que el alcalde vulneró la cobertura legal que los particulares tienen para recibir cartas, si no han dado el consentimiento previo y considera grave esta vulneración. Fuente: a Verdad Fecha: 13/05/2012

Vulnerar la Ley de Datos le puede costar al Consistorio hasta 300.000 euros de multa

Entre 60.000 y 300.000 euros. O traducido a pesetas tal y como recoge la Ley, entre 10 y 50 millones le puede costar al Ayuntamiento de Benavente la creación de ficheros de datos protegidos sin autorización. Los ficheros creados sin observar la ley serían el Padrón de Tasas de Agua, Basura, Alcantarillado y Depuración; Licencias Urbanísticas y Ambientales; y Expedientes Recaudatorios de Apremio. La Agencia Española de Protección de Datos (AEPD) acaba de comunicar al Ayuntamiento el acuerdo de inicio del procedimiento de declaración de infracción de administraciones públicas por la presunta infracción del artículo 20 de la Ley Orgánica de Protección de Datos, que está tipificada como grave. La AEPD también ha nombrado instructores a dos funcionarios, que en su caso, tal y como recuerda la Agencia en su comunicación, pueden ser recusados. El Ayuntamiento de Benavente se enfrenta, si los hechos son demostrados, a una sanción nunca antes impuesta. El inicio del procedimiento indica que se incurrió en una falta grave recogida al «Proceder a la creación de ficheros de titularidad pública o iniciar la recogida de datos de carácter personal para los mismos, sin autorización de disposición general, publicada en el Boletín Oficial del estado o Diario oficial correspondiente». Ahora, el Ayuntamiento de Benavente tiene un plazo de 15 días hábiles para que formule las alegaciones y proponga las pruebas que considere convenientes y ejercite el derecho a la audiencia. Este derecho es de obligatorio cumplimiento en realidad, porque de no efectuar alegaciones sobre el contenido del presente acuerdo de iniciación podrá ser considerado propuesta de resolución. El origen de este procedimiento tiene que ver con otro de carácter municipal que se encuentra en vía judicial: el presunto alzamiento de bienes por parte de la administradora de la sociedad del Hotel Mercantil, del arquitecto proyectista, su marido, y del hijo de ambos para evitar el pago de la sanción impuesta a la promotora, del edificio, sanción de 300.000 euros más intereses. Los tres afectados denunciaron el presunto uso ilegal de sus nombres al ser difundido públicamente. La AEPD terminó archivando las denuncias concretas pero advirtió que el Ayuntamiento había creado, también presuntamente, los tres ficheros de datos ya citados sin observar lo establecido en la Ley Orgánica. Ahora el Ayuntamiento tendrá que justificar y probar que la creación de esos ficheros por el que se le imputa una falta grave tuvo motivos justificados y ajustados a derecho. La Agencia Española de Protección de Datos recuerda que el plazo máximo para resolver y notificar la resolución que se adopte en este procedimiento sancionador desde seis meses, teniendo en cuenta a las posibles interrupciones de su cómputo por causas imputables a los interesados, o por la suspensión del procedimiento. El plazo ha comenzado a corre con el acuerdo de inicio ya notificado. Solo si transcurrido este no se ha dictado resolución, se producirá la caducidad del procedimiento. El apartado cuarto del tipo de sanciones de la Ley de Protección de Datos establece que la cuantía de las mismas (en este caso entre 60.000 y 300.000 euros) se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad. En el presente caso, al ser la presunta infractora una administración pública, el director de la AEPD podrá dictar una resolución estableciendo las medidas que proceder adoptar para que cesen o se corrijan loas efectos de la infracción, que se notificará «al responsable del fichero, al órgano que dependa jerárquicamente y a los afectaos si los hubiera». Además el director de la AEPD podrá proponer la iniciación de actuaciones disciplinarias, cuyo procedimiento y sanciones serán la establecidas en la legislación sobre régimen disciplinario de las administraciones públicas. También, el responsable de la Agencia deberá comunicar al Defensor del Pueblo tanto las resoluciones que dicte como las actuaciones que efectúe. Fuente: La Opinión de Zamora Fecha: 15/05/2012