MULTAS ELEVADAS POR INFRACCIONES EN MATERIA DE COOKIES

/en ,

MULTA DE LA CNIL DE 10 MILLONES DE EUROS A YAHOO POR INFRACCIONES EN MATERIA DE COOKIES

El origen del procedimiento son las reclamaciones de veintisiete denunciantes relativas, en particular, al depósito de cookies en su terminal antes de cualquier acción, a no tener en cuenta  su negativa a la instalación de dichas cookies y a los métodos utilizados para rechazar las cookies del dominio «yahoo.com» y del servicio de mensajería «Yahoo mail».

 La CNIL señala lo siguiente:

Sobre la instalación de cookies

  • La instalación de cookies con fines publicitarios requiere el consentimiento. Aquí, se han instalado cookies publicitarias en el terminal del usuario sin consentimiento.

  • No se ofrece una alternativa al usuario que decide optar por retirar el consentimiento para cookies. En este caso concreto, la retirada del consentimiento tiene como consecuencia el no acceso a los servicios propuestos por la sociedad y la pérdida de la cuenta de mensajería electrónica, no se ofrece por ejemplo una cuenta de correo electrónico de page y la única posibilidad es la renuncia al uso de su mensajería electrónica.

Sobre el hecho de asociar el uso de un servicio a la aceptación de cookies no necesarias.

  • El hecho de ligar el uso de un servicio a la instalación de cookies no necesarias no es ilegal siempre y cuando el consentimiento sea libre por lo que la negativa a facilitarlo o en su caso, su retirada no pueden comportar perjuicio para el usuario. En este caso el consentimiento no es libre porque no ofrece una alternativa real al usuario.

  • La cuenta de correo electrónico constituye un elemento de la vida privada del usuario que le permite interactuar con otros en su vida privada y profesional. A medida que se usa no puede remplazarse por un servicio similar con la misma facilidad con la que lo habría hecho en un inicio. En este caso concreto, los usuarios que no deseen cambiar su dirección de correo electrónico y renunciar a su contenido, se ven conducidos a renunciar a su derecho a retirar su consentimiento, ya que la empresa no ofrece ninguna alternativa.

https://www.cnil.fr/fr/cookies-la-cnil-sanctionne-yahoo-dune-amende-de-10-millions-deuros

https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000048967251

GUÍA AEPD COOKIES ANALÍTICAS EXTERNAS

/en ,

GUÍA AEPD COOKIES ANALÍTICAS EXTERNAS

La mayor parte de las webs usan cookies o tecnologías similares para obtener estadísticas tráfico y de rendimiento. La AEPD flexibiliza los criterios y no es necesario recabar el consentimiento cuando se usan en los siguientes casos:

✅ Medición exclusiva de la audiencia de la página web o aplicación por parte del editor y producción de datos estadísticos anónimos.

✅Los datos no se pueden cotejar con otras operaciones de tratamiento ni tampoco se deben transmitir a terceros.

✅No deben permitir el seguimiento agregado de la navegación de la persona que usa diferentes aplicaciones o navega por varios sitios web.

✅Se establece un listado sobre las mediciones que se consideran estrictamente necesarias.

 

Además, se fijan unas GARANTÍAS para el respeto de los derechos de las personas:

✅ Información al usuario del uso de cookies y tecnologías similares para medición de audiencia en la Política de Privacidad.

✅Duración de 13 meses y no extensión automática en nuevas visitas.

✅La información recopilada se conservará como máximo durante 25 meses.

✅Revisión periódica de la duración y período de conservación.

✅Cuando se acude a un proveedor de servicios de medición externo se debe firmar un acuerdo de encargo de tratamiento y realizar una evaluación del cumplimiento del contrato.

✅Si el proveedor de servicios de medición externo da servicio a varios editores debe ofrecer garantías que los datos se recogen procesan y almacenan de manera independiente para cada editor y que las cookies o tecnologías similares son independientes las unas de las otras y de cualquier otra cookie o tecnología similar.

AEPD#cookies#tecnologías similares#estadísticas tráfico# consentimiento#guía

https://www.aepd.es/guias/guia-cookies-analiticas-externas.pdf

/en ,

TRIBUNAL DE JUSTICIA DE LA UNIÓN EUROPEA Y SENTENCIAS RELEVANTES

EL TJUE SEÑALA QUE EL TEMOR A UN POTENCIAL USO INDEBIDO DE DATOS PERSONALES PUEDE CONSTITUIR POR SÍ SOLO UN DAÑO O PERJUICIO INMATERIAL (MORAL)

El origen de la cuestión prejudicial es el acceso no autorizado a un sistema informático de la agencia pública de recaudación búlgara y publicación en Internet de datos personales.

En relación a los requisitos para una indemnización de daños y perjuicios inmateriales a favor de una persona por la exposición de sus datos personales a raíz de un ciberataque la sentencia afirma que:

✅La comunicación o acceso no autorizado a los datos personales no comporta de forma automática que las medidas de protección no eran apropiadas y los jueces deben examinarlas en cada caso concreto.

✅El responsable debe probar que las medidas son apropiadas

✅Cuando el acceso o la comunicación no autorizada ha sido realizada por terceros, “ciberdelincuentes” se puede obligar al responsable a indemnizar a los que sufren un daño salvo que se puede probar que el hecho que provoca el daño no le es imputable.

✅El temor que experimenta un interesado a un potencial uso indebido de sus datos personales por terceros a raíz de una infracción del RGPD puede constituir, por sí solo, un «daño o perjuicio inmaterial».

Indemnización#dañomoral#responsabilidad#ciberataque#datos personales#TJUE

STJUE de 14 de diciembre de 2023

✍️https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-12/cp230191es.pdf

EL TJUE DELIMITA LAS CONDICIONES PARA LA IMPOSICIÓN DE MULTAS POR INFRACCIÓN DE LA NORMATIVA DE PROTECCIÓN DE DATOS

En una reciente Sentencia del Tribunal de Justicia de la Unión Europea (STJUE) se ha delimitado el marco de referencia para que las autoridades de control de protección de datos puedan imponer multas a los responsables del tratamiento por infracción de la normativa de protección de datos.

El origen de la cuestión prejudicial proviene entre otros, de un tribunal alemán en el litigio ocasionado por una multa de 14 millones de euros impuesta por la autoridad de protección de datos alemana a una sociedad inmobiliaria por no tener medidas de seguridad necesarias para la supresión periódica de los datos personales de los arrendatarios que ya no eran necesarios o que se mantenían indebidamente almacenados por otras causas.

En particular, se concluye que:

✅ Sólo las infracciones que se cometen de forma intencionada o negligente pueden comportar la imposición de multas administrativas.

✅Ninguno de los factores del artículo 83.2 del RGPD presupone que se pueda generar responsabilidad del responsable sin una conducta culpable, por lo que, el elemento de la culpa en la comisión de la infracción es un requisito esencial.

✅No es necesario que la infracción con carácter previo sea imputable o imputada a una persona física concreta en el caso de infracciones cometidas por personas jurídicas.

✅Se puede imponer multa a un responsable del tratamiento por las operaciones efectuadas por un encargado del tratamiento siempre que las operaciones se puedan imputar al responsable.

 ✅El importe máximo de la multa en el caso que el destinatario sea una empresa que forme parte de un grupo de empresas se calcula sobre la base de del volumen de negocios del grupo.

Multas#culpa#infracción#negligencia#TJUE#culpa

✍️ Sentencia deTJUE de 5 de diciembre de 2023

LEY DE INTELIGENCIA ARTIFICIAL

/en ,

LEY SOBRE INTELIGENCIA ARTIFICIAL: EL CONSEJO Y EL PARLAMENTO LLEGAN A UN ACUERDO SOBRE LAS PRIMERAS NORMAS PARA LA IA EN EL MUNDO

El proyecto de reglamento tiene como objetivo garantizar que los sistemas de Inteligencia Artificial (IA) comercializados en el mercado europeo y utilizados en la UE sean seguros y respeten los derechos fundamentales y los valores de la UE.

Se trata de regular la IA en función de su capacidad de causar daño a la sociedad de acuerdo con un enfoque “basado en el riesgo” a mayor riesgo más estrictas las reglas.

En particular, se destacan siguientes cuestiones:

✅ Prohibiciones de uso por concurrir un riesgo inaceptable.

🛑Prohibir el uso de sistemas biométricos invasivos, categorización biométrica para inferir datos sensibles, como la orientación sexual o la religión. Excepciones: se permite el uso de sistemas de identificación biométrica en espacios públicos con fines policiales con autorización judicial y centrados en la búsqueda selectiva de personas condenadas o sospechosas de delitos graves.

🛑 Prohibir el uso de la IA para puntuaciones sociales o la manipulación de usuarios vulnerables, manipulación cognitiva conductual, el reconocimiento de emociones en el lugar de trabajo y en instituciones educativa.

🛑Prohibir en algunos casos de vigilancia policial predictiva para individuos.

✅ Evaluación de impacto en los derechos fundamentales. Obligatorias antes de implementar sistemas de inteligencia artificial de alto riesgo y mayores obligaciones de transparencia. Aplica a sector banca y seguros.

✅ Reglas generales sobre modelos de IA.  Los sistemas de IA de propósito general, esto es, aquellos que se usan para muchos fines diferentes y sus modelos deben cumplir con requisitos de transparencia, que incluye la documentación técnica y el respeto a la ley de derechos de autor. Asimismo, se acuerdan medidas más estrictas para los modelos de alto impacto con riesgo sistémico.

✅Apoyo a la Innovación y Entornos de Pruebas Regulatorios de la IA. Se incentiva los entornos de pruebas para desarrollar y entrenar IA innovadora antes de su lanzamiento, se permite probar los sistemas de IA en condiciones del mundo real y se tiene en cuenta a las pequeñas y medianas empresas.

✅ Multas elevadas por incumplimiento. Los importes pueden ascender a los 35 millones de euros o el 7% de la facturación global; 5 millones de euros o el 3% de la facturación global; 7,5 millones de euros o el 1,5% por el suministro de información incorrecta.

✅ Aplicación 2 años después de su entrada en vigor, con algunas excepciones para disposiciones específicas.

Próximos pasos: aprobación formal por parte del Parlamento y del Consejo.

#Inteligencia Artificial# Regulación# UE #Sistemas de Alto Riesgo#Prohibiciones

CONSEJO DE LA UNIÓN

PARLAMENTO EUROPEO

CATÁLAGO DE MEDIDAS DE SEGURIDAD DE GRAN AYUDA DPA DANESA

/en ,

LA AUTORIDAD DE PROTECCIÓN DE DATOS DANESA PUBLICA UN CATALOGO DE MEDIDAS DE SEGURIDAD 

✅ Este catálogo puede ser de ayuda a las empresas como herramienta para garantizar la adopción de medidas técnicas y apropiadas y hacer frente a los riesgos.

✅Las medidas contienen ejemplos concretos en base a la experiencia de la autoridad de protección de datos, las violaciones de seguridad, las directrices CEPD y las normas ISO 27001 y 27002. Una medida puede ser preventiva, de detección, correctiva o una combinación de ambas.

✅Las medidas se han elaborado por un equipo multidisciplar de abogados y consultores de seguridad informática.

Entre otras medidas se proponen las siguientes:

  • derechos de acceso según necesidad.
  • cierre automático de acceso inactivos cuando no se usen por un determinado tiempo.
  • sensibilización y concienciación del personal en aspectos de seguridad.
  • realización de copias de seguridad.
  • gestión de derechos centralizada.
  • acceso a datos según necesidad.
  • documentación de autorizaciones.
  • autenticación multifactor.
  • separación de funciones.
  • gestión de cuentas de usuarios temporales.
  • control periódico derechos de acceso.
  • seudoanonimización y anonimización.
  • derechos de acceso basados en roles.
  • correlación competencias usuario y derecho de acceso.
  • control de acceso físico.
  • adaptación de los derechos de acceso al cambiar la relación laboral.

✍️

https://www.datatilsynet.dk/hvad-siger-reglerne/vejledning/sikkerhed/katalog-over-foranstaltninger?page=1

CONCLUSIONES DE LA LEY PROTECCIÓN DEL INFORMANTE Y EL TRATAMIENTO DE DATOS PERSONALES

/en ,

La implementación del sistema interno de información o canal de denuncias en las empresas comporta el tratamiento de datos de carácter personal de los informantes con las siguientes repercusiones en materia de protección de datos:

Licitud del tratamiento y bases de legitimación

✅ Se presume lícito el tratamiento de datos de carácter personal cuando resulta obligatorio por ley la implementación de un sistema interno de información. Aquí, la base de legitimación es el cumplimiento de una obligación legal.

✅ Se presume un tratamiento lícito cuando no es obligatorio, pero voluntariamente se decide crear uno. Aquí, la base de legitimación es el cumplimiento de una misión en interés público.

Identidad del informante

✅ La comunicación de los hechos puede realizarse de forma anónima o con identificación de la persona informante

✅ En ningún caso, se informará de la identidad del informante a la persona a la que se refieren los hechos relatados.

✅ El informante tiene derecho a que su identidad no sea revelada a terceras personas.  La identidad del informante nunca será objeto del derecho de acceso a datos personales y se limita su comunicación sólo a la autoridad judicial, el Ministerio Fiscal o la autoridad administrativa competente exigiendo que en todo caso se impida el acceso por terceros a la misma.

Derecho de información

✅ Cuando se obtienen los datos del informante es necesario cumplir con el deber de información relativo al tratamiento de los datos personales recogida en el RGPD.

✅ Los empleados y terceros han de ser informados acerca del tratamiento de sus datos personales en el marco de los sistemas internos de información.

✅ Cuando la comunicación sea verbal por reunión presencial, vía telefónica o a través de sistemas de mensajería de voz se informará de que la comunicación va a ser grabada y del tratamiento de los datos.  

✅ Las comunicaciones verbales deberán documentarse previo consentimiento del informante ya sea mediante grabación de la conversación en formato seguro, duradero y accesible o bien a través de transcripción completa y exacta de la conversación. Además, se ofrecerá la posibilidad de comprobar, rectificar, y aceptar mediante firma la transcripción de la conversación

 Tipología de datos personales

✅ Sólo se recogerán los datos pertinentes para la finalidad que se persigue, no cabe el registro y tratamiento de categorías especiales de datos y, que en caso de ser facilitados se suprimirán de forma inmediata.

✅Con carácter excepcional se podrán tratar categorías especiales de datos personales por razón de un interés público esencial siempre que sea proporcional al objetivo perseguido, respete el derecho a la protección de datos y se establezcan medidas adecuadas y específicas para proteger derecho y libertades de los interesados

Plazo de conservación

✅Por el tiempo imprescindible para decidir si se inicia una investigación sobre los hechos informados y supresión en el plazo de 3 meses desde la recepción de la comunicación sin que se hayan iniciado las actuaciones de investigación salvo que la finalidad para su conservación sea dejar evidencia del funcionamiento del sistema.

✅ En principio, no se pueden conservar por un plazo superior a diez años

 Roles de protección de datos personales

✅El órgano de administración u órgano de gobierno de la organización tiene la condición de responsable del tratamiento y en caso de gestión por un tercero externo este tendrá la consideración de encargado del tratamiento.

Tratamiento de los datos personales

✅Se limita el acceso al tratamiento de los datos de carácter personal a determinados sujetos, como el responsable del sistema, el responsable de RRHH u órgano competente designado, el responsable de los servicios jurídicos bajo determinados supuestos, encargados del tratamiento, delegado de protección de datos.

✅ Cabe la posibilidad de comunicar los datos personales a terceros cuando sea necesario para adoptar medidas correctoras o tramitación de procedimientos sancionadores o penales

Ejercicio de derechos

✅El informante puede ejercitar los derechos en materia de protección de datos recogidos en el RGPD.

✅La persona afectada por la información puede ver limitado el derecho de oposición por existir motivos legítimos imperiosos que legitiman el tratamiento por parte del responsable.

Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

NO SE PUEDE PEDIR EL DNI PARA TODO

/en ,

LA AEPD MULTA CON 30.000 EUROS A CLINICA DENTAL POR PEDIR LA COPIA DNI PARA EL REINTEGRO DE TRATAMIENTOS DENTALES EFECTUADOS Y POR NO ATENDER LA RECLAMACIÓN DIRIGIDA EL DELEGADO DE PROTECCIÓN DE DATOS  

Seguimos con las limitaciones a la hora de pedir copia del DNI para todo. En particular se constata que:

🛑 Se establecen requisitos excesivos para el derecho al reintegro de las cantidades como es la obtención de la copia del DNI, máxime cuando se tienen datos del paciente incluido su número de cuenta bancaria por otros tratamientos recibidos. La clínica puso impedimentos para el reintegro rechazando las otras alternativas propuestas para el reintegro como trasnferencia cuenta bancaria, talón nominativo o en metálico o firma del recibo.

🛑No se ven afectadas categorías especiales de datos según el RGPD, no obstante, la imagen de la documentación de identidad de los clientes tiene una naturaleza especialmente sensible y aumenta los riesgos sobre su privacidad.

🛑La recogida de la fotocopia del documento de identidad del cliente, con toda la información contenida en ese documento, se entiende como un tratamiento de datos personales inadecuados, no pertinentes y no necesarios para el fin específico del tratamiento, contrario al principio de “minimización de datos”.

🛑El no trasladar la reclamación al Delegado de Protección de Datos equivale a no darle curso y a no tramitarla por un mal funcionamiento de los canales internos, lo que constituye una falta de diligencia.

La resolución en ✍️:

 https://www.aepd.es/documento/ps-00253-2023.pdf

LA MATRICULA DEL COCHE ES UN DATO PERSONAL

/en ,

SEGÚN INFORME JURÍDICO DE LA ADPCAT SE CONSTATA QUE LA MATRÍCULA DE UN VEHÍCULO ES UN DATO DE CARÁCTER PERSONAL

El origen del informe es la solicitud de una persona que solicita en ejercicio del derecho de acceso el listado de los vehículos que han salido del depósito de vehículos del Ayuntamiento en unos determinados recintos y fechas y su denegación.

Las conclusiones del informe son:

✅ La información solicitada (listado de vehículo que han salido de las instalaciones del depósito municipal y su destino desde enero 2020) es una información de carácter público de acuerdo con la normativa específica (Ley 19/2014 de transparencia, acceso a la información pública y buen gobierno).

✅El derecho de acceso a la información pedida no es absoluto y puede ser denegado o restringido por las causas previstas en las leyes, y en particular cuando se vean afectados datos personales.

✅El derecho de acceso debe ser concedido porque en la solicitud no se ven afectados datos personales. En particular, no se solicita el detalle de todos los vehículos mediante un identificador, como por ejemplo la matrícula u otro identificador.

✅La matrícula será considerada dato personal si permite conocer la identidad de la persona titular del vehículo sin necesidad de realizar esfuerzos desproporcionados. De acuerdo con el reglamento general de vehículos para la identificación del titular de un vehículo, sólo requiere conocer previamente la matrícula e invocar un interés legítimo y directo, por lo que existe una probabilidad razonable de identificación de la persona física.

✅En caso de querer acceder a un listado que contenga datos personales, en la medida que sea excesiva para la finalidad pretendida, se tendrá que limitar el acceso a esta información mediante la anonimización.

Resolución ✍️ en:

https://apdcat.gencat.cat/web/.content/Resolucio/Resolucions_Cercador/Dictamens/2023/Documents/ca_iai_2023_045.pdf

 

MODIFICACIÓN DEL CÓDIGO AUTOCONTROL Y TRATAMIENTOS DE DATOS EN ACTIVIDADES PUBLICITARIAS

/en ,

La Agencia Española de Protección de Datos,  ha aprobado la modificación del  Código de Conducta  de AUTOCONTROL en relación con los tratamientos de datos en la actividad publicitaria que realizan las entidades adheridas y, en particular  para adaptarlo a la Circular 1/2023 en  relación con las llamadas  publicitarias. Asimismo, se incluye la posibilidad que la AEPD envíe las reclamaciones  recibidas a la Unidad de Mediación de AUTOCONTROL  y la creación de un sello que identifique a los adheridos al código. 

La Circular 1/2023 fue objeto de informe jurídico emitido  2023-0052 emitido por la AEPD que contempla a modo de resumen las siguientes modificaciones:https://www.aepd.es/es/documento/2023-0052.pdf

  • Reconocimiento del derecho del usuario a no recibir llamadas comerciales.
  • Posibilidad de realizar llamadas comerciales con consentimiento previo o interés legítimo con carácter excepcional e interpretación restrictiva.
  • Presunción iuris tantum del interés legítimo para poder realizar llamadas comerciales basada en la existencia de una relación contractual previa y sobre productos o servicios similares de la empresa a los inicialmente contratados por el cliente siguiendo la línea del artículo 21 de la LSSI.
  •  No hay expectativa razonable cuando no exista relación contractual vigente, solicitud o interacción previa y realizada durante el último año por parte del interesado con el responsable que pretenda realizar la acción comercial.
  • La presunción del interés legítimo no opera para la realización de llamadas telefónicas sobre productos y servicios de otras empresas del grupo como tampoco para la comunicación de los datos personales a otras empresas del grupo para que ellas puedan realizar las llamadas comerciales ofreciendo sus propios productos o servicios similares.
  • Se precisa el consentimiento específico para ceder sus datos personales, en concreto el número de teléfono, entre diferentes empresas del grupo con fines comerciales para garantizar el control de sus datos personales por el interesado.
  • Se requiere consentimiento expreso y específico del usuario para que los datos de las guías de abonados puedan ser tratados con fines comerciales.
  • Se admite el tratamiento de los datos personales que figuran en las guías con datos de contacto de personas físicas que presten servicios en empresas o de empresarios individuales y de profesionales liberales, amparados por la presunción de interés legítimo recogida en el artículo 19 de la LOPD-GDD, siempre que se refiera a la oferta de productos y servicios relacionados con la actividad profesional o empresarial y no se trate de entablar relación en cuanto tales personas físicas.
  • Se rechaza la relación contractual como base de legitimación para la realización de llamadas comerciales no deseadas por cuanto no se trata de un tratamiento necesario para cumplir con el contrato.
  • Se requieren modificaciones al Código de Conducta de Autocontrol para su adecuación al nuevo régimen legal.
  • Los términos de ampliación y mejora del servicio no habilitan el tratamiento de datos con fines de publicidad o prospección comercial.

PROCEDIMIENTOS SANCIONADORES RECIENTES AEPD EN EL ÁMBITO INMOBILIARIO

/en

PROCEDIMIENTOS SANCIONADORES ENTORNOS INMOBILIARIOS SEPTIEMBRE 2023

Multa de 2000 euros a una inmobiliaria por facilitar información desactualizada sobre el tratamiento de los datos desactualizada en los documentos firmados , por página web con política de privacidad en blanco y por cesión de datos inconsentida a empresa de limpieza

La reclamante afirma que se facilitó información de acuerdo con la normativa anterior en el documento de reserva del inmueble y en la resolución del contrato de arrendamiento y que además cuando quiso obtener más información acudió a la página web y la política de privacidad estaba en blanco. Más tarde, la inmobiliaria redactó una política de privacidad incompleta a juicio de la AEPD y redactó un anexo con información en materia de protección de datos que se adjuntaba a los contratos de arrendamiento y de resolución. El tratamiento de datos personales sin informar al interesado de la información que recoge el artículo 13 del RGPD supone una infracción de la normativa y de los principios del tratamiento leal y transparente. El responsable debe informar al interesado de la existencia de la operación de tratamiento y sus fines y le facilite cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales y de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran. En este caso, la AEPD constata que: “GAVANOVA es el responsable de tratamiento de los datos personales de sus clientes, razón por la cual le corresponde la obligación de proporcionarles la referida información a este respecto. Si bien es cierto que ha adecuado la cláusula informativa en materia de protección de datos que consta en los contratos que suscribe con sus clientes e incorporado un anexo con la información restante; en el momento de iniciarse el presente procedimiento sancionador solo les informaba de las determinadas cuestiones (..) En relación con la Política de Privacidad de su web modificada (…) es evidente que no informa a los usuarios sobre todos los extremos enumerados en el artículo 13 del RGPD. No se menciona la finalidad y legitimación del tratamiento o el plazo de conservación de los datos personales recabados a través de sus formularios, entre otras cuestiones”. https://www.aepd.es/es/documento/ps-00563-2022.pdf

Multa de 4.000 euros a propietario que alquiló una habitación con derecho a cocina e instaló una cámara en la cocina.

El reclamante pone una reclamación porque se ha alquilado una habitación con derecho a cocina en una vivienda y el propietario ha instalado una cámara de videovigilancia en la cocina sin que en ningún momento el inquilino haya consentido el tratamiento de sus datos o haya firmado documento alguno. Se constata por la AEPD que el propietario ha procedido a instalar por aparentes motivos de seguridad una cámara que afecta a zona de libre intimidad de su arrendatario, afectando con ello a sus datos de carácter personal. Además, afirma que, en la cesión total o parcial del inmueble, se excluye la noción de “ámbito personal y doméstico” por lo que no se trata de un supuesto de exclusión del ámbito de aplicación del RGPD. En consecuencia, hay una infracción del artículo 6 del RGPD.https://www.aepd.es/documento/ps-00466-2022.pdf

Admisión de reclamación a una comercializadora de inmuebles de Servicer Solvia por no atender el derecho de supresión y posible comisión de infracción muy grave

La reclamante solicitó que se suprimieran sus datos personales sin que su solicitud haya sido atendida en los plazos legalmente establecidos. Los datos personales objeto de supresión tienen su origen en una compraventa que no se llegó a formalizar. La AEPD, constata que la formulación de alegaciones una vez se ha iniciado el procedimiento sancionador no suponen la contestación al interesado y que debe dar respuesta en todo caso.  https://www.aepd.es/documento/pd-00066-2023.pdf

PROCEDIMIENTOS SANCIONADORES ENTORNOS INMOBILIARIOS AGOSTO 2023

Multa de 10.000 euros a una inmobiliaria por la publicación de imágenes en su portal web sin consentimiento

La reclamación tiene su origen en la publicación de la imagen de las hijas menores de edad del arrendatario reclamante perfectamente identificables en el portal inmobiliario después de la visita de la vivienda alquilada con la finalidad de comprobar el estado del inmueble. La AEPD constata una vulneración del principio de minimización, en la medida que la inmobiliaria cuando tormó las fotografías del inmueble con la finalidad de informar al propietario sobre el estado o en su caso para su venta trató datos no necesarios para la finalidad perseguida (imagen de las  menores) y no adoptó medidas organizativas que evitaran en la fotografía de las estancias que se captara la imagen de las menores o en su caso, suprimir o pixelarlas antes de su publicación y comunicación a terceros, incluido el propietario. https://www.aepd.es/es/documento/ps-00526-2022.pdf

Multa de 70.000 euros a HolaLuz por dar de alta suministros de energía eléctrica en cuatro inmuebles haciendo uso de los datos personales sin el consentimiento

En este caso HolaLuz a través de un colaborador dió de alta contratos de suministro habiendo tramitado la baja en la comercializadora saliente sin contar para ello con una base de legitimación para el tratamiento de los datos personales. Además, tampoco ha podido acreditar que se haya contratado legítimamente y el consentimiento para la recogida y el tratamiento posterior de los datos personales. La AEPD, constata: “que los datos personales de la reclamante fueron registrados en los ficheros de la reclamada y fueron tratados para la emisión de facturas por servicios asociados a la reclamante. En consecuencia, ha efectuado un tratamiento de los datos personales sin que haya acreditado que cuente la habilitación legal para ello”. Holaluz no ha podido acreditar que se haya contratado legítimamente por cuanto el colaborador falseó los datos y tampoco que la persona que dio de baja el servicio en la comercializadora saliente y el alta en holaluz era efectivamente su titular. https://www.aepd.es/es/documento/ps-00139-2023.pdf

PROCEDIMIENTOS SANCIONADORES ENTORNOS INMOBILIARIOS JULIO 2023

Multa de 2.000 euros a una concesionaria de la explotación de un aparcamiento por tratar datos bancarios del arrendatario una vez ejercido el derecho de supresión.

El reclamante tenía alquilada una plaza de garaje en un aparcamiento que primero gestionaba una concesionaria y más tarde, una segunda concesionaria se hace cargo de la gestión. En su momento, el reclamante facilitó de modo expreso y voluntario sus datos personales y bancarios para el pago a la primera concesionaria. No obstante, el reclamante ejercitó su derecho de supresión de sus datos personales ante la segunda concesionaria (KUGELCHEN PROPIERTIES, S.L.) y les solicitó que dejaran de tratar sus datos bancarios para el pago, esto es, ser pidió ser dado de baja de la domiciliación bancaria para el pago del alquiler, ya que como el mismo indicó lo realizaría a partir de ese momento a través de transferencia bancaria. Por un error humano o informático KUGELCHEN PROPIERTIES, S.L. vuelve a tratar los datos bancarios del reclamante sin que se haya atendido el derecho de supresión. De acuerdo con las consideraciones de la AEPD se dispone que la parte reclamada estaría vulnerando el artículo 6.1 del RGPD, porque la reclamada siguió tratando los datos bancarios de la parte reclamante, pese a haberse requerido por este, el cese en el tratamiento de los mismos, por parte del reclamado. https://www.aepd.es/es/documento/ps-00073-2023.pdf.

Multa de 5.000 euros al arrendador por el tratamiento del número de cuenta bancaria para la domiciliación del contrato de arrendamiento sin el consentimiento

En el presente caso, el arrendador usa el número de cuenta bancaria para el pago del alquiler que conoce del arrendatario con motivo del contrato de trabajo suscrito con este. En particular, usa el número de cuenta bancaria facilitado cuando se formalizó el contrato de trabajo para domiciliar el cobro del contrato de arrendamiento con una finalidad distinta para la que se recogió, que no es otra, que el cobro del salario. Además, se hace uso del número de cuenta bancaria cedido (…) para crear una domiciliación bancaria sin que exista causa legitima para ello. La AEPD señala “(…) la parte reclamada no ha justificado la compatibilidad de los fines ni que cuente con el consentimiento de la reclamante para tratar los datos con esa nueva finalidad”. https://www.aepd.es/es/documento/ps-00694-2022.pdf