Uso de datos personales debe ser proporcionado y justo

Fuente de la imagen: mvc archivo propio

Las normas de protección de datos en las instituciones de la Unión Europea (UE), así como las funciones del Supervisor Europeo de Protección de Datos (SEPD[1]), se establecen en el Reglamento (UE) 2018/1725. En relación a este tema, el SEPD ha publicado dos dictámenes: uno sobre la propuesta de Reglamento de un marco de acceso a datos financieros y otro sobre la propuesta de Reglamento y Directiva de servicios de pago en el mercado interior de la UE. Ambas propuestas tienen como objetivo fomentar el intercambio de datos para ampliar la oferta de servicios y productos financieros, al tiempo que brindan a las personas e instituciones control sobre el procesamiento de sus datos financieros[2]. En este sentido, las personas y las organizaciones gestionarían el acceso a sus datos financieros utilizando paneles proporcionados por las instituciones financieras, lo que permitiría a los interesados controlar, restringir o conceder acceso a su información. Para lograr este objetivo, las personas y organizaciones deben recibir información completa, precisa y clara sobre el proveedor del servicio financiero que solicita acceso a sus datos[3].

El SEPD intenta garantizar la coherencia de las propuestas con el Reglamento general de protección de datos (RGPD). Los dos planteamientos deberían especificar que la concesión de "permisos" para acceder a datos financieros no equivale a dar consentimiento según el RGPD. Del mismo modo, todo procesamiento de datos personales, tras una solicitud de acceso a los datos financieros de un individuo, debe tener una base legal adecuada. Además de estas observaciones generales, el SEPD formula recomendaciones específicas para cada propuesta. Dados los datos personales altamente sensibles que pueden compartirse en el contexto del Marco de Acceso a Datos Financieros propuesto, el SEPD recomienda circunscribir claramente los tipos de datos personales que pueden procesarse y excluir los datos obtenidos a través de la elaboración de perfiles de un individuo. Para garantizar que estas Directrices cumplan con la ley de protección de datos, incluido el RGPD, el SEPD recomienda que se consulte formalmente al Consejo Europeo de Protección de Datos[4], antes de su adopción[5]. Fuente de la información: SEPD. Fuente de la imagen: mvc archivo propio.

___________________________

[1] El SEPD es la autoridad supervisora independiente responsable de monitorear el procesamiento de datos personales por parte de las instituciones y organismos de la UE , asesorar sobre políticas y legislación que afectan la privacidad y cooperar con autoridades similares para garantizar una protección de datos consistente. Nuestra misión es también concienciar sobre los riesgos y proteger los derechos y libertades de las personas cuando se procesan sus datos personales.

[2] Al abordar el Reglamento y la Directiva sobre servicios de pago, el SEPD ofrece recomendaciones sobre prevención del fraude, afirmando que las categorías de datos personales que los proveedores de servicios de pago procesan en este contexto deben definirse claramente y limitarse a lo estrictamente necesario. El SEPD también recomienda que el Reglamento especifique qué tipo de servicio de pago y qué proveedores de servicios de pago podrían procesar categorías especiales de datos personales.

[3] También se debe comunicar información sobre el tipo de producto, pago o servicio para el cual se utilizarían los datos personales de una persona y los tipos de datos solicitados.

[4] Que engloba a las autoridades de protección de datos de la UE/EAA.

[5] El SEPD advierte además que las Directrices detallan los límites de combinar la información financiera de las personas con otros tipos de información personal, como datos personales obtenidos de fuentes de terceros, como las redes sociales. Esta práctica ya está explícitamente prohibida en la legislación sectorial sobre determinados servicios financieros, señala el SEPD.

Una Perspectiva de Organización

Fuente de la imagen: mvc archivo propio

En El Peña "Bazán"[1] te reseñaba el texto “Dirección de Personal. Organización y técnicas”[2], del abogado y psicólogo Manuel Peña Baztan, que fue profesor titular y Decano de la Rama de Personal de la Escuela de Administración de Empresas (EAE) y profesor titular de la Escuela Superior de Administración y Dirección de Empresas (ESADE). Por motivos profesionales, en el fin de semana pasado lo he vuelto a rehojear, junto a “Dirigir personas en la empresa”[3], del profesor Javier Fernández Aguado, que te reseñé en “Los valores más valiosos”[4], y “Gestión Integrada de Personas. Una Perspectiva de Organización”[5], que andaba cogiendo polvo en la estantería desde mi etapa en Grupo Vértice (Ver ¿Seres de otro mundo?[6]). Se apunta en la sinopsis que posiblemente la gestión y el desarrollo de los recursos humanos (rrhh) es la disciplina del mundo de la gestión que más se ha desarrollado desde finales del siglo pasado.

Y es que el desconocimiento de situaciones catalogadas de arcaicas en materia de gestión de personas, puede suponer un diferencial negativo de competitividad para aquellas instituciones y profesionales de los rrhh que no asuman la actualización y el reciclaje necesario para adaptarse a las nuevas corrientes de motivación laboral. En el texto, los autores abordan[7] los fundamentos de la gestión de personas[8], desarrollando aquellos aspectos que posibilitan la adquisición y desarrollo de competencias[9] desde una óptica de procesos. También, se barajan algunas cuestiones problemáticas de los recursos humanos, las relaciones laborales, lo que se entiende por dimensión colectiva, y organizativas (modelos), desde una perspectiva general o global. Parte de este texto también se ha editado en el sitio book—post, bajo el título “Gestión Integrada de Personas”. Fuente de la imagen: mvc archivo propio.

__________________________

[1] Velasco Carretero, Manuel. El Peña "Bazán". 2021. Sitio visitado el 10/04/2023.

[2] Peña Baztan, Manuel. Dirección de Personal. Organización y Técnicas. Ed. Hispano Europea. 1986.

[3] Fernández Aguado, Javier. “Dirigir personas en la empresa. Enfoque conceptual y aplicaciones prácticas”. Ed. Pirámide. 1999.

[4] Velasco Carretero, Manuel. Los valores más valiosos. 2021. Sitio visitado el 10/04/2023.

[5] Morales Gutiérrez, Alfonso, C.; Ariza Montes, J. Antonio; Morales Fernández, Emilio. Gestión Integrada de Personas. Una Perspectiva de Organización. Ed. Descleé De Brouwer. 1999.

[6] Velasco Carretero, Manuel. ¿Seres de otro mundo? 2009. Sitio visitado el 10/04/2023.

[7] Con una batería de ejemplos, casos prácticos, instrumentos de análisis…

[8] Las competencias, la función y la flexibilidad organizativa.

[9] Selección, compensación, formación…

Ponga un DPD en su organigrama

Fuente de la imagen: mvc archivo propio

Si eres follower de este sitio, sabes que la protección de datos personales y la garantía de los derechos digitales es un tema recurrente desde tiempo inmemorial. Asimismo, desde hace más de diez años edito el sitio Protección de Datos, que acumula más de doscientas entradas sobre la temática. Precisamente, el último texto, bajo el título “En España +100.000 Delegados de Protección de Datos”[1], recogía la información facilitada por la Agencia Española de Protección de Datos (AEPD), de haber superado la cifra de 100.000 delegados de protección de datos (DPD) inscritos en su registro. De ellos, 91.221 corresponden al sector privado y 9.129 al sector público (182 de la Administración General del Estado, 433 de Comunidades Autónomas, 4.537 de Entidades Locales y 3.977 de otras personas Jurídico-Públicas).

En la normativa se detalla la posición y funciones de los DPD, entre las que se encuentra informar y asesorar al responsable o al encargado del tratamiento de las obligaciones que establece el RGPD[2] y supervisar su cumplimiento[3], además de actuar como punto de contacto con la Agencia. Recordar que la notificación a la AEPD de los DPD es obligatoria para organismos públicos y entidades que hagan tratamientos de datos que requieran una observación sistemática a gran escala o tratamientos masivos de categorías especiales de datos y, en todo caso, cuando se trate de las entidades incluidas en el artículo 34.1 de la Ley Orgánica 3/2018. También, es obligatoria cuando las empresas deciden voluntariamente contar con esta figura como apoyo al cumplimiento del RGPD.

Apunta la AEPD de la disposición en su web de un registro público de DPD abierto y gratuito, que permite que cualquier ciudadano pueda conocer el contacto del delegado de protección de datos para obtener más información sobre el tratamiento de sus datos personales, ejercitar sus derechos o presentar una reclamación. Para ello, el ciudadano sólo tiene que introducir en el buscador el nombre, razón social o número de identificación fiscal (NIF o CIF) de la organización para conocer los datos de contacto del DPD y dirigirle sus solicitudes. La información que figura en esta lista se actualiza diariamente y se corresponde con los datos de contacto que los responsables o encargados del tratamiento facilitan a la Agencia a través del formulario que se encuentra disponible en su Sede electrónica.

En cuanto al protocolo de comunicación relativa a las designaciones, nombramientos y ceses de los delegados de protección de datos, debe realizarse en el plazo de diez días desde el nombramiento, tanto en los supuestos en que sea obligatoria su designación como en el caso en que sea voluntaria. El procedimiento para la comunicación del Delegado de Protección de Datos ante la AEPD es un formulario online al que se accede con certificado electrónico. El sistema de notificación electrónica permite realizar la comunicación tanto si se trata de una persona física como de una entidad pública o privada actuando como Delegado así como los datos de todas aquellas entidades para las que este haya sido designado. Fuente de la información: AEPD. Fuente de la imagen: mvc archivo propio.

______________________

[1] Velasco Carretero, Manuel. En España +100.000 Delegados de Protección de Datos. Sitio Protección de Datos. 2023. Visitado el 12/01/2023.

[2] Reglamento Europeo de Protección de Datos.

[3] Ejerciendo sus funciones de manera independiente.

Una estrategia europea de cuidados

Fuente de la imagen: geralt en pixabay

Según la Comisión Europea (CE), la Estrategia Europea de Cuidados apoya la implementación de los principios consagrados en el Pilar Europeo de Derechos Sociales , en particular los principios sobre igualdad de género, conciliación de la vida laboral y familiar, cuidado y apoyo a los niños y cuidados de larga duración. En marzo de 2021, el Plan de Acción del Pilar Europeo de Derechos Sociales anunció una iniciativa sobre cuidados de larga duración y la revisión de los objetivos de Barcelona para la educación y el cuidado de la primera infancia. Igualmente, contribuirá a lograr los tres objetivos sociales principales de la Unión Europea (UE) sobre empleo, habilidades y reducción de la pobreza para 2030 y basándose en otras iniciativas de la UE, como la Recomendación sobre la Educación y Cuidados de la Primera Infancia, la Estrategia de la UE sobre los Derechos del Niño y la Recomendación sobre la Garantía Infantil Europea. Pues bien. Parte de la tarde del sábado la pasé hojeando la Estrategia Europea de Atención para garantizar servicios de atención de calidad, asequibles y accesibles en toda la UE y mejorar la situación tanto de los beneficiarios de la atención como de las personas que los cuidan, de manera profesional o informal.

La Estrategia va acompañada de dos Recomendaciones para los Estados miembros sobre la revisión de los objetivos de Barcelona sobre educación y cuidados de la primera infancia y sobre el acceso a cuidados asequibles de alta calidad a largo plazo. Los servicios de atención asequibles y accesibles de alta calidad ofrecen claros beneficios para todas las edades. La participación en la educación de la primera infancia tiene un impacto positivo en el desarrollo del niño y ayuda a reducir el riesgo de exclusión social y pobreza, también más adelante en la vida. Los cuidados de larga duración empodera a las personas que como consecuencia de la vejez, enfermedad y/o discapacidad dependen de la ayuda para las actividades diarias, para mantener su autonomía y vivir con dignidad. Sin embargo, para muchas personas estos servicios todavía no son asequibles, no están disponibles ni son accesibles. Invertir en el cuidado es importante para atraer y retener talentos en el sector del cuidado, que a menudo se caracteriza por condiciones laborales difíciles y salarios bajos, así como para abordar la escasez de mano de obra y aprovechar el potencial económico y de creación de empleo del sector.

Para la CE, invertir en cuidados de alta calidad también significa mejorar la participación de las mujeres en el mercado laboral y la igualdad de género, en particular, las brechas salariales y de pensiones de género. Las mujeres aún soportan la mayor parte de las responsabilidades de cuidado, con el 90% de la fuerza laboral formal de cuidado compuesta por mujeres, y 7,7 millones de mujeres sin empleo debido a las responsabilidades de cuidado. Para abordar estos problemas, la Comisión propone acciones concretas para ayudar a los Estados miembros a aumentar el acceso a servicios de atención asequibles y de alta calidad, al tiempo que mejora las condiciones de trabajo y el equilibrio entre la vida laboral y personal de los cuidadores. Por ejemplo, que los Estados miembros revisen los objetivos sobre educación y cuidado de la primera infancia para mejorar la participación de las mujeres en el mercado laboral, también llamados "Objetivos de Barcelona", establecidos en 2002. Los objetivos actuales piden a los Estados miembros que proporcionen cuidado infantil al 33 % de los niños. menores de 3 años y al 90% de los niños desde los 3 años hasta la edad escolar obligatoria.

La Comisión propone establecer nuevos objetivos ambiciosos pero realistas para que, al menos para 2030: el 50% de los niños menores de 3 años estén en educación y cuidado de la primera infancia; el 96% de los niños entre los 3 años y la edad de inicio de la educación primaria obligatoria se encuentran en educación y atención a la primera infancia[1]. También, recomienda que, entre otros, los Estados miembros: aseguren que los servicios de cuidado infantil sean asequibles, accesibles y de alta calidad, disponibles tanto en áreas urbanas como rurales o desfavorecidas; introducir un derecho legal a la educación y el cuidado de la primera infancia[2]; contar con medidas específicas para permitir y aumentar la participación de los niños de entornos desfavorecidos, con discapacidades o con necesidades especiales en la educación y el cuidado[3]; observen la cantidad de horas que se dedican al cuidado de los niños[4] y asegurarse de que el cuidado de los niños esté disponible durante un tiempo que permita a los padres participar de manera significativa en el trabajo remunerado; y fomenten el reparto equitativo del cuidado de los niños entre los padres mediante la lucha contra los estereotipos de género y apoyar la organización del tiempo de trabajo favorable a la familia.

En cuanto al cuidado a largo plazo, la CE recomienda que los Estados miembros elaboren planes de acción nacionales para que la atención en la UE esté más disponible, accesible y de mejor calidad para todos, por ejemplo: garantizando que la atención a largo plazo sea oportuna, integral y asequible, que permita un nivel de vida digno para las personas con necesidades de atención a largo plazo; aumentando la oferta y el mix de servicios profesionales de cuidados de larga duración[5], cerrar las brechas territoriales en el acceso a los cuidados de larga duración, desplegar soluciones digitales accesibles en la prestación de servicios de cuidados, y garantizar que los servicios e instalaciones de atención a largo plazo sean accesibles para las personas con discapacidad; garantizando criterios y estándares de alta calidad para los proveedores de atención a largo plazo; apoyando a los cuidadores informales[6], a través de capacitación, asesoramiento, apoyo psicológico y financiero; y movilizando una financiación adecuada y sostenible para los cuidados de larga duración, incluso mediante el uso de fondos de la UE.

Para mejorar las condiciones de trabajo[7], se recomienda a los Estados miembros que: promuevan la negociación colectiva y el diálogo social[8]; garanticen los más altos estándares de seguridad y salud en el trabajo; diseñar educación y capacitación continuas para los trabajadores del cuidado; abordar los estereotipos de género en torno al cuidado[9]; y ratificar e implementar el Convenio 189 de la OIT sobre trabajadores domésticos. Por su parte, la CE debe: explorar la creación de un nuevo diálogo social sectorial[10]; promover el establecimiento de una asociación de habilidades en el marco del Pacto por las Habilidades para el sector de cuidados a largo plazo; financiar proyectos e investigaciones para evaluar el valor social y económico del trabajo[11]; revisar la aplicación de las normas de la UE que rigen las condiciones de trabajo; mapear las condiciones y derechos de admisión actuales de los trabajadores de cuidados a largo plazo de países no pertenecientes a la UE[12]; y promover las oportunidades disponibles para el personal de educación y atención a la primera infancia en el marco de los programas Erasmus+. Fuente de la información: CE. Fuente de la imagen: geralt en pixabay.

________________________

[1] Tal y como ya se acordó en el marco del Espacio Europeo de Educación.

[2] Idealmente sin brecha entre el final de la licencia familiar pagada y el derecho legal.

[3] Para cerrar la brecha con la población general de niños.

[4] Lo que se conoce como intensidad de tiempo.

[5] Domiciliarios, comunitarios y residenciales.

[6] Que a menudo son mujeres y familiares de los beneficiarios de los cuidados.

[7] Y atraer a más personas, en particular hombres, al sector del cuidado.

[8] Con miras a mejorar los salarios y las condiciones de trabajo.

[9] Y lanzar campañas de comunicación.

[10] Para los servicios sociales a nivel de la UE.

[11] Y las condiciones laborales en el sector del cuidado.

[12] Y explorar la viabilidad de desarrollar esquemas a nivel de la UE para atraer a los trabajadores de cuidados.

¿Tan ágil a mi edad? ¡Pero bueno!

Fuente de la imagen: Elf-Moondance en pixabay

La última vez que en un trabajo me preguntaron la edad fue el año pasado. No caí en la cuenta hasta tiempo después que a la cultura empresarial de esa organización le afectaban los seniors “de mi edad”. Ya en la presentación del perfil profesional al equipo directivo, el CEO de turno dejó caer algo así como que “estaba peinando canas” (ciertamente, pero desde los veinte años vengo peinando canas, es genético) y ya desconectado de esa institución, después de tomar un café con uno de los fundadores, se sorprendió de que estuviera “tan ágil” ¿pero qué se imaginaba el muchacho, que iba a estar encorvado y con bastón? Si supiera que tengo previsto laborar hasta 2038 (ver Hasta 2038 y más allá![1]) y luego a escribir las memorias en las que, seguro, aparecerá esa anécdota y tú también tendrás un recuerdo especial, porque ya son más de una década de contacto diario y las que están esperando a la vuelta de la esquina (recuerda: hasta 2038 y más allá).

Pues sí, laboralmente estoy en la década de los cincuenta y luego llegará el tramo de los sesenta y, espero, parte de los setenta. Es lo que toca en este mundo en que vivimos, armonía entre distintos tiempos vitales. Cuando estoy laborando con una persona de edad inferior a la mía, revivo con ella y creo que ese ser, si yo hago bien mi trabajo, madura junto a mí. Es ley de vida. Reconozco que tengo mis deficiencias, como mi inglés de los Montes de Málaga o que me “enrollo como una persiana” para sufrimiento de los técnicos del streaming de las clases presenciales virtuales, pero, coincidiendo en que soy un “pesao”, presiento que “mis batallitas” refuerzan las visiones pedagógicas y didácticas del “sufrido alumnado” que me "soporta". Por lo anterior, si tienes algún conocido en mi misma década, dale mucho ánimo, apóyalo y empodéralo porque, seguro, tiene mucho que aportar para configurar un mundo mejor. Fuente de la imagen: Elf-Moondance en pixabay.

_______________________

[1] Velasco Carretero, Manuel. ver Hasta 2038 y más allá!. 2019. Sitio visitado el 30/07/2022.

¿Para cuándo protección de datos en Metaverso?

Fuente de la imagen: mvc archivo propio

En "¿Metaverso? Pongamos los pies en el suelo"[1] te conté mi experiencia en ese entorno virtual interactivo, conociendo los avances en el sector de la enseñanza. Pues bien, a raíz de aquel encuentro, llegó invitación de otro equipo de investigación de mundos virtuales (Muchas Gracias). La tarde la pasé nuevamente en acondicionados (por lo fresquito que se estaba) laboratorios del Parque Tecnológico de Andalucía, conociendo prototipos y desarrollos de cara al futuro enfoque educativo que ya está llamando a nuestras puertas y, como no podía ser de otra manera, trasladándoles mi modesta pero técnica opinión a los anfitriones sobre los que, por motivos de estrategia empresarial, debo guardar discreción (tiempo habrá cuando los prototipos se conviertan en realidades).

En esta mañana de viernes sí puedo y quiero compartir contigo un pensamiento, que me rondó por la cabeza mientras, a través del avatar, interactuaba intercambiando experiencias virtuales como docente con alumnado real y virtual. Es el relativo a la protección de los datos personales, tanto de las zonas comerciales como de las cerradas, ya sean profesionales, empresariales, institucionales o meramente privadas. Coincido con la Agencia Española de Protección de Datos (AEPD)[2] en que, desde la óptica de los datos personales, el uso del metaverso puede ser muy intrusivo, implicando nuevas categorías de datos con mayor granularidad y precisión, por ejemplo, el aumento del registro de lecturas biométricas recogidas a través de los wearables o los interfaces neuronales.

Incluso, las gafas de realidad virtual seguro están registrando atributos de los ojos y los sensores que tengo puestos por todo el cuerpo, anotando un "porrón" de datos de las constantes vitales y monitorizando mis respuestas emocionales, información impensable de examinar a través de la interacción actual en un social media llamémosle tradicional ¿A dónde van esos datos y qué tratamiento se les da una vez que, por ejemplo, he terminado la clase impartida al alumnado real o virtual? Pero voy a más ¿Acumulará el sistema suficientes datos biométricos como para que, llegado el caso y a través de big data y uso de más inteligencia artificial, pueda suplantarme totalmente? No sé a qué esperan los reguladores para consensuar y legislar un serio código ético. Fuente de la imagen: mvc archivo propio.

______________________

[1] Velasco Carretero, Manuel. ¿Metaverso? Pongamos los pies en el suelo. 2022. Sitio visitado el 15/07/2022.

[2] AEPD. Metaverso y Privacidad. 2022. Sitio visitado el 15/07/2022.

¿Publicación en el BOE de datos de una sanción?

Fuente de la imagen: AbsolutVision en pixabay

El Tribunal Constitucional español (TC), ha dictaminado que la decisión de dar publicidad oficial en el Boletín Oficial del Estado (BOE), de una sanción impuesta por una administración pública, cuenta con expresa habilitación legal que respeta el contenido esencial del derecho a la protección de datos personales[1] y responde a fines directamente relacionados con las funciones legítimas del organismo en cuestión y del BOE, para cuyo cumplimiento es idónea, necesaria y proporcionada, descartando que se desatienda el principio de temporalidad[2].

En la sentencia de la Sala[3], de la que me hice eco en el sitio Protección de Datos Personales y Garantía de los Derechos Digitales, bajo el título “Publicación en el BOE de una sanción administrativa”[4], se desestima el recurso de amparo por el que se cuestionaba la resolución dictada por la Comisión Nacional del Mercado de Valores (CNMV), que ordenó publicar en el BOE la sanción[5], por la comisión de una infracción muy grave consistente en haber adquirido por cuenta de un tercero acciones de la sociedad disponiendo de información privilegiada sobre la misma[6].

En el plano formal y a partir del análisis de la normativa nacional y europea sobre el régimen jurídico de la protección de datos personales, sobre la normativa dirigida a supervisar y prevenir la manipulación de los mercados de servicios financieros y las operaciones con información privilegiada, y sobre el régimen jurídico de publicación en el BOE, el TC concluye que la decisión de la CNMV se adoptó con pleno respeto a las garantías que rigen el ejercicio de la potestad administrativa sancionadora[7]. Fuente de la información: TC. Fuente de la imagen: AbsolutVision en pixabay.

_____________________________

[1] Art. 18.4 Constitución Española.

[2] Dado que su mantenimiento y disponibilidad de acceso está sometido a las exigencias de supresión que impone el derecho al olvido al que se refiere la STC 58/2018, de 4 de junio, y se encuentra reconocido en las normas que desarrollan el derecho a la protección de datos personales.

[3] Cuyo ponente ha sido el magistrado Cándido Conde-Pumpido Tourón.

[4] Velasco Carretero, Manuel. Publicación en el BOE de una sanción administrativa. Sitio Protección de Datos Personales y Garantía de los Derechos Digitales. 2022. Visitado el 01/03/2022.

[5] De 30.000 euros impuesta al consejero y secretario del consejo de administración de una sociedad anónima.

[6] Dicha publicación recogía la cuantía de la sanción y la identidad del sancionado.

[7] Arts. 24.2 y 25 de la Constitución Española.

En modo haikú

Fuente de la composición e imagen: mvc archivo propio

Después de trajinar el término slow life en “Saboreando los minutos en modo vida lenta"[1] y siguiendo con ¿Y por qué no un poquito de haiku y slow life?[2], se anima Paqui a comentarme - A ver, Manolo, explícame eso del haiku en la gestión de personas – Por supuesto, para eso estamos. Permíteme que acote primero la “palabrita”. Define la Real Academia Española[3] “haikú”, del japonés haiku, la “composición poética de origen japonés que consta de tres versos de cinco, siete y cinco sílabas respectivamente”. V. Haya[4], y J. Lorente[5] señalan una mayor variedad en el reparto de sílabas y el sustento en la emoción y la fascinación o el embebecimiento ante la contemplación de la realidad en un determinado momento, conectado con otro instante. En cuanto al contenido, la estructura poética generalmente representa fenómenos naturales (clima, estaciones…), así como el coexistir costumbrista de las personas, todo ello descrito de forma concisa, sutil, austera y sencilla.

Dejando a un lado las peculiaridades formales, brevemente referenciadas en el párrafo anterior, y centrándome en la aplicación a la gestión empresarial en general y la de personas en específico, el uso de este “enfoque” se lleva a cabo describiendo el fenómeno o situación a afrontar o trabajar, sin caer en el simplismo, pero con sencillez, naturalidad, sutileza, rigor y ascetismo, partiendo de una percepción directa de la cuestión, sin metáforas ni “paños calientes”, pero ungida de tacto y sensibilidad, todo ello recubierto de honda emoción por el continuo discernimiento del “alma” de la institución, proceso, tarea y, por derivación, persona. De esta forma, el método haikú se conforma como un instrumento para el desarrollo de las relaciones laborales o profesionales en la vereda del continuo aprendizaje. Una variante más efectiva es cuando el promotor[6] del haikú actúa imperceptiblemente, no influyendo en el propio proceso relacional. Fuente de la composición y de la imagen: mvc archivo propio.

___________________________

[1] Velasco Carretero, Manuel. Saboreando los minutos en modo vida lenta. 2022. Sitio visitado el 27/01/2022.

[2] Velasco Carretero, Manuel. ¿Y por qué no un poquito de haiku y solw life? 2022. Sitio visitado el 27/01/2022.

[3] Real Academia Española. haiku». Diccionario de la lengua española. Sitio visitado el 27/01/22

[4] Haya, Vicente. Aware. Ed. Kairós, 2013 .Haya, Vicente. Haiku Tsumami-Gokoro. 150 haikus inmortales. Ed. Shinden. 2008.

[5] Lorente, Jaime. Introducción al haiku. Ed. Lastura y Juglar. 2018.

[6] Lo que sería el poeta, autor del poema en la composición poética.

Menos vender la moto y más win-to-win

Fuente de la imagen: mvc archivo propio

En ¿No querías sopa? Pues toma “Atrévete a ganar”[1] te trasladaba el envite de los autores Jack Canfield y Mark Victor Hansen, acerca que la vida tiene mucho que ofrecerme si me atrevo a intentar conseguirlo. Fenomenal, Jack, Mark ¿Pero qué pasa si la otra parte también piensa en ganar a costa de que yo pierda? Y es que, a lo largo de mi vida profesional, en más de una ocasión “me han vendido la moto” (vieja, estropeada...) y he tenido que asumir el coste que supone cumplir con la palabra dada mientras la otra parte ganaba a costa de la estratagema, ardid, artimaña o, simplemente, “se iba de rositas”.

Define la Comisión Económica y Social para Asia Occidental[2] el binomio win to win, (ganar, ganar) como esa situación en la que todos ganan, también llamada “juego en el que todos ganan” o un juego de suma distinta de cero en la teoría de juegos. Escenario o contexto en el que la cooperación, el compromiso o la participación grupal propicia que todos los participantes se beneficien. El término se puede aplicar a muchos aspectos de la vida laboral o empresarial y se contrasta con el juego de suma cero o la situación de ganar-perder, donde el factor dominante es que al menos una persona gana y otra pierde[3].

Te cuento lo anterior porque en un momento de la agradable conversación, mi interlocutor dejo caer el término win-to-win, que en el contexto de gestión de personas en el que estábamos, lo conceptualicé como esa construcción de relaciones laborales, empresariales o institucionales, donde ambas partes ganan. Ya no es solo una cuestión de ética y moralidad, hoy debe formar parte de esa necesaria gestión del talento en las empresas, para retener a sus colaboradores y colaboradoras, sean estos internos o externos. Así que "menos vender la moto" y "más win-to-win". Fuente de la imagen: Bluesnap en pixabay.

___________________________

[1] Velasco Carretero, Manuel. ¿No querías sopa? Pues toma “Atrévete a ganar” 2020. Sitio visitado el 19/0/2021.

[2] Comisión Económica y Social para Asia Occidental. Sitio visitado el 19/10/2021.

[3] Estos también se denominan juegos de suma cero y los ejemplos incluyen la mayoría de los juegos de mesa para dos personas. Por ejemplo, un juego de ajedrez es de suma cero. Un ganador, +1, se suma a un perdedor, -1, lo que da como resultado un total de cero.

¿Es legal requerir un Certificado COVID en un bar?

Fuente de la imagen: archivo propio

En la tarde del lunes leía en varios medios de comunicación españoles que representantes de varias comunidades autónomas se encontraban proclives a implantar la solicitud del certificado COVID para entrar en determinados establecimientos abiertos al público, como pueden ser los bares o restaurantes. Como serpiente de verano, este recurrente tema desgraciadamente no es nuevo. Hace un año se hablaba de la “cartilla COVID”.

En el Sitio Protección de Datos, texto “Certificado COVID”[1], en relación con la información de Marc Basset en El País, "Francia exigirá el certificado covid para entrar en bares y viajar en tren y avión"[2], ya alertaba sobre la presunta ilegalidad en España de la iniciativa de exigir un certificado COVID para entrar en determinados establecimientos abiertos al público, sea un bar, un restaurante o una tienda de ropa. Y ya puestos ¿Por qué no en un supermercado?

Teniendo en cuenta la no obligatoriedad de la vacunación, por no hablar de las prioridades en la campaña de inyección, ante esa previsible iniciativa regional sin apoyo normativo orgánico estatal, me preguntaba si realmente existe cobertura legal en mi país para esas acciones, normativa que debería estar armonizada con los principios de proporcionalidad, necesidad y eficacia en lo que a la protección de datos de las personas físicas se refiere. Fuente de la imagen: archivo propio.

_____________________________

[1] Velasco Carretero, Manuel. Certificado COVID. Sitio Protección de Datos. 2021. Visitado el 03/08/2021.

[2] Basset, Marc. Francia exigirá el certificado covid para entrar en bares y viajar en tren y avión. El País. 2021. Sitio visitado el 03/08/2021.

Los valores más valiosos

Fuente de la imagen: archivo propio

Hace unas semanas, en El Peña "Bazán"[1], te referenciaba uno de los textos de cabecera en gestión de personas en la licenciatura de Económicas, “Dirección de Personal. Organización y técnicas”[2], del abogado y psicólogo Manuel Peña Baztan. Pues bien, en el largo fin de semana pasado, entre otros libros, he estado rehojeando “Dirigir personas en la empresa”[3], del profesor Javier Fernández Aguado, que lo adquirí en 1999, cuando estaba colaborando en un proyecto de reestructuración empresarial en el Grupo Vértice (ver ¿Seres de otro mundo?[4]) y necesitaba reforzar el enfoque conceptual y ejemplos prácticos en materia de recursos humanos.

Escribe el profesor Eduardo Bueno Campos en el prólogo, que el autor se alinea con la corriente de pensamiento organizativo que en aquellos momentos (finales de siglo XX, principios del siglo XXI), estudiaba el nuevo papel de las personas en las organizaciones, centrándose en el conocimiento, capacidad y competencia que las mismas poseen y cómo eran incorporadas en la actividad económica de esa empresa permanentemente redefinida en estructura y comportamiento. Personas que para Bueno Campos son los “valores más valiosos” en la creación del capital intelectual necesario para competir y generar continuamente competencias esenciales.

Denuncia Fernández Aguado la paradoja del estudio exclusivo de la doctrina en la gran empresa, mencionando de pasada o incluso silenciando la gestión de personas en las pymes. Finalmente, ofreciendo las páginas en homenaje a su extinto padre (catedrático Enrique Fernández Peña), el autor advierte en la introducción que huye de la intuición y evita el academicismo, optando por opciones prácticas, convencido de que para conocer a fondo los recursos humanos y obtener lo máximo de ellos es necesario calar en el espíritu de la persona. Parte de este texto se ha editado en el sitio book—post, bajo el título “Dirigir personas en la empresa”. Fuente de la imagen: archivo propio.

______________________________

[1] Velasco Carretero, Manuel. El Peña "Bazán". 2021. Sitio visitado el 05/04/2021.

[2] Peña Baztan, Manuel. Dirección de Personal. Organización y Técnicas. Ed. Hispano Europea. 1986.

[3] Fernández Aguado, Javier. “Dirigir personas en la empresa. Enfoque conceptual y aplicaciones prácticas”. Ed. Pirámide. 1999.

[4] Velasco Carretero, Manuel. ¿Seres de otro mundo? 2009. Sitio visitado el 05/04/2021.

Detectar el acoso y la violencia de género digital

Fuente de la imagen: Infografía del cartel informativo de la campaña de la AEPD

En la tarde del miércoles, vía la Agencia Española de Protección de Datos (AEPD), tuve la oportunidad de conocer la campaña ‘El control es tuyo, que no te controlen’, puesta en marcha conjuntamente con el Ministerio de Educación y Formación Profesional, el Ministerio de Igualdad y PantallasAmigas y cuya finalidad no es otra que ayudar a menores y adolescentes a detectar el acoso y la violencia de género digital. La campaña[1] incluye mensajes que describen situaciones que los y las jóvenes pueden vivir en su centro de estudios, con su grupo de amistades o en sus relaciones personales. SI quieres acceder al cartel informativo, clickea AQUÍ. Como no podía ser de otra forma, rápidamente la difundí a través del sitio Protección de Datos. Y como toda ayuda en materia de difusión es poca, aprovecho este momento del alba contigo para comentártela. Informan los promotores que la campaña incluye mensajes que describen situaciones que los jóvenes pueden vivir en su centro de estudios, con su grupo de amistades o en sus relaciones personales. La petición de contraseñas a la pareja; el control del móvil de otra persona; el envío constante de men sajes con el propósito de herir a un compañero/a de clase, o la difusión de imágenes sexuales, violentas o humillantes sin el permiso de quien aparece en ellas son algunas de estas situaciones. 

Fuente de la imagen: Infografía del cartel informativo de la campaña de la AEPD

“Tu vida está en tu móvil”, “Tu móvil hace cosas raras”, “Te están acosando, pide ayuda” y “Han compartido imágenes comprometidas sin tu consentimiento” son los principales escenarios descritos, que se acompañan con recomendaciones y un código QR que enlaza a una página en la que se puede obtener más información sobre cómo identificar conductas violentas y actuar tanto si se es la persona a la que le está sucediendo como si se tiene conocimiento de ello. Los dispositivos móviles inteligentes, las redes sociales e internet han transformado en gran medida la manera en que se relacionan los jóvenes[2]. Por otro lado, la reciente encuesta de Violencia contra la Mujer de 2019 del Ministerio de Igualdad revela, entre otras conclusiones, que un 18,5% de las mujeres de 16 o más años residentes en España han sufrido acoso sexual antes de cumplir los 15 años[3]. Asimismo, diversos estudios apuntan a un incremento en el porcentaje de jóvenes que asumen afirmaciones como que es normal "mirar el móvil de la pareja si piensas que te está engañando"[4]. En esta línea, la Fiscalía General de Estado ha alertado en su última Memoria de "un alarmante incremento de las ideas sexistas y de la violencia entre los menores y adolescentes en el entorno familiar, pero también y especialmente en el ámbito sexual, conductas realizadas en grupo y a menudo grabadas y difundidas a terceros"[5]. Fuente de la información y de las imágenes: AEPD. 

__________________________________

[1] Entre los elementos gráficos de la campaña se encuentra un cartel que reúne todas las situaciones descritas y las recomendaciones enlazan a contenidos en los que pueden identificarse formas de violencia de género digital que no siempre son identificadas de ese modo por las y los jóvenes, cómo detectar si el teléfono móvil puede estar siendo espiado y recomendaciones a seguir, indicios para detectar la violencia de género, entre los que se encuentra que la pareja revisa el teléfono móvil y las redes sociales o qué hacer si se están difundiendo imágenes de contenido sexual o violento sin el consentimiento de la persona que aparece en ellas. 

[2] El 22% de los chicos y chicas de 10 años dispone de teléfono móvil, porcentaje que asciende exponencialmente hasta casi el 94% a los 15 años, según datos de 2019 del Instituto Nacional de Estadística (INE). 

[3] Conductas entre las que se incluye el envío de imágenes o fotos sexualmente explícitas que hayan hecho sentirse ofendida, humillada o intimidada a la mujer. 

[4] Como refleja el 'Barómetro Juventud y Género 2019' del Centro Reina Sofía sobre Adolescencia y Juventud de la FAD. 

[5] La Agencia Española de Protección de Datos, el Ministerio de Educación y Formación Profesional, el Ministerio de Igualdad y Pantallas Amigas llevarán a cabo acciones para la difusión de esta campaña a través de distintos canales, y animan a adolescentes, familias, profesores y a todas las entidades comprometidas con la erradicación de la violencia digital a compartir los mensajes y ser parte activa frente al problema.

Trasteando modelos de evaluación de impacto

Fuente de la imagen: mvc archivo propio

El Reglamento General de Protección de Datos (RGPD)[1] establece que los que tratan datos deben valorar la necesidad de evaluar el impacto de los tratamientos de datos que realizan cuando resulte probable que estos supongan un alto riesgo para los derechos y libertades de las personas. Transcribo lo anterior porque parte de la tarde del jueves la pasé “trasteando” el modelo de informe de Evaluación de Impacto en la Protección de Datos (EIPD)[2], elaborado por la Agencia Española de Protección de Datos (AEPD) y que ya referencié en el sitio “Protección de Datos”. El documento está dirigido al sector privado[3] con el fin de facilitar la realización de estas evaluaciones, recopilando todos los aspectos que deben ser tenidos en cuenta para elaborar un informe de evaluación de impacto, entre los que se encuentra la descripción del tratamiento, su finalidad, la base jurídica que lo justifica, la obligación de realizar una EIPD, así como las medidas para la reducción del riesgo, un plan de acción y un apartado de conclusiones y recomendaciones. 

Para la AEPD, el objeto es facilitar a los responsables aún más la elaboración de una Evaluación de Impacto, no sólo con un guion y una herramienta, sino añadiendo un modelo de informe. Así, los responsables que necesiten realizar una EIPD pueden asegurarse de que están incluyendo en el informe final todos los apartados que estaban definidos en la Guía práctica EIPD. Apunta la AEPD que, aunque no está dirigido a responsables que efectúen tratamientos de datos de bajo riesgo, en aquellos casos en que no sea obligatorio hacer una evaluación de impacto puede valorarse la posibilidad de llevar a cabo este análisis con otros fines, como estudiar en profundidad cómo se están tratando los datos; mejorar la gestión global de los procesos de una organización; generar conocimiento y cultura de protección de datos, o hacer un ejercicio de responsabilidad proactiva. Fuente de la información: AEPD. Fuente de la imagen: mvc archivo propio. 

___________________________

[1] REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). 

[2] Si quieres acceder al documento, clickea AQUÍ. 

[3] La AEPD también publicó modelo de informe de Evaluación de Impacto en la Protección de Datos (EIPD) para Administraciones Públicas. Si quieres acceder al documento, clickea AQUÍ.

Fomento de la privacidad desde el diseño

Fuente de la imagen: mvc archivo propio

Según la Agencia Española de Protección de Datos (AEPD), el concepto de "privacidad desde el diseño" fue aceptado internacionalmente en una resolución adoptada en 2010 en el marco de la 32ª Conferencia Internacional de Comisionados de Protección de Datos y Privacidad[1]. El fin de la privacidad desde el diseño, orientado a la gestión del riesgo y la responsabilidad proactiva, es que la protección de datos esté presente desde las primeras fases de desarrollo y no sea una capa añadida, formando parte integral del producto (hardware o software), sistema, servicio o proceso. La Guía está dirigida a responsables y otros actores que intervienen en el tratamiento de datos personales, tales como proveedores y prestadores de servicios, desarrolladores de productos y aplicaciones o fabricantes de dispositivos. 

Transcribo lo anterior porque parte de la tarde del viernes la pasé hojeando la “Guía de Privacidad desde el diseño” que recientemente ha publicado la AEPD y de la que ya informé en el sitio “Protección de Datos”[2]. El objetivo no es otro que proporcionar pautas que faciliten la incorporación de los principios de protección de datos y los requisitos de privacidad a nuevos productos o servicios desde el momento en el que comienzan a diseñarse. Los dos primeros apartados del documento están dedicados a definir el concepto y los principios fundacionales de la privacidad desde el diseño[3]. El tercer apartado analiza el concepto de ingeniería de privacidad, proceso que tiene por objeto traducir los principios de privacidad desde el diseño en medidas concretas, tanto en la fase de concepción del producto o servicio como en la de desarrollo[4]. 

También, la Guía aborda las distintas estrategias de diseño de la privacidad, algunas de las cuales están orientadas al tratamiento de datos[5] mientras que otras están dirigidas a definir procesos para una gestión responsable de los datos personales (informar, controlar, cumplir y demostrar). Asimismo, dedica un apartado a clasificar las tecnologías de privacidad mejorada o PETS, entre otros aspectos. Finalmente, incluye un apartado de conclusiones en el que la Agencia pone de manifiesto que asegurar la privacidad y establecer un marco que garantice la protección de datos no representa un obstáculo para la innovación, sino que ofrece ventajas y oportunidades tanto para las organizaciones como para el mercado y la sociedad en su conjunto[6]. Fuente de la información AEPD. Fuente de la imagen: mvc archivo propio. 

___________________________________________

[1] No obstante, es el Reglamento General de Protección de Datos (RGPD) el que le ha conferido la categoría de requisito legal, al incorporar en su artículo 25 la práctica de considerar los requisitos de privacidad desde las primeras etapas del diseño de productos y servicios. 

[2] Si quieres acceder al documento, clickea AQUÍ. 

[3] así como los requisitos que debe reunir el producto o servicio para garantizar dicha privacidad. 

[4] Por ejemplo, a través de la identificación de estrategias seguir para garantizar la privacidad; el establecimiento de patrones de diseño de privacidad para resolver problemas que se presenten de forma reiterada al desarrollar productos y servicios, o el empleo de tecnologías de privacidad mejorada (PETS, por sus siglas en inglés) para adecuar esos patrones a una tecnología concreta. 

[5] Minimizar, ocultar, separar y abstraer. 

[6] Asimismo, recuerda que la privacidad desde el diseño es una obligación del responsable sea cual sea la forma de desarrollo, adquisición o subcontratación del sistema, producto o servicio, no pudiendo delegar completamente la responsabilidad en fabricantes y encargados.

¿Practicando el tiro al dron?

Fuente de la imagen: mvc archivo propio

Hace unos meses me comentaba un amigo que estaba pensando comprarse una nueva carabina de aire comprimido, más potente, para abatir un "dichoso dron" que de vez en cuando sobrevolaba su domicilio. Le aconsejé que dejara de pensar en practicar el tiro al dron y que, simplemente, tomara alguna prueba documental, por ejemplo grabación de vídeo, e informar a la comunidad o denunciar ante la la autoridad competente. El artículo 26 del Real Decreto 1036/2017, de 15 de diciembre, por el que se regula la utilización civil de las aeronaves pilotadas por control remoto, establece la obligación de adoptar las medidas necesarias para garantizar el cumplimiento de lo dispuesto en materia de protección de datos personales y protección de la intimidad. Te cuento lo anterior porque parte de la tarde del sábado la pasé hojeando la Guía “Drones y Protección de Datos”, recientemente publicada por la  AEPD[1], y de la que ya informé y linkeé en el sitio Protección de Datos, que analiza las operaciones que se efectúan con drones distinguiendo entre las que no tratan datos, las que eventualmente podrían captar información y aquellas cuyo fin implica un tratamiento de datos personales, como en el caso de la videovigilancia o la grabación de eventos[2]. 

La Guía publicada por la AEPD proporciona orientaciones a los operadores de drones que registren o procesen imágenes, vídeos, sonido, datos biométricos, de geolocalización o de telecomunicaciones, entre otros, relacionados con personas identificadas o identificables para cumplir con lo establecido en el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018. Destina un apartado específico a ofrecer recomendaciones previas al manejo de un dron cuando sea de aplicación la normativa de protección de datos personales. Entre otras recomendaciones, se aconseja valorar la necesidad de evaluar los riesgos que pueda implicar el tratamiento para los derechos y libertades de las personas y, si fuera necesario, realizar una evaluación de impacto sobre la protección de datos (EIPD); llevar a cabo un análisis de riesgos si la EIPD no fuera precisa, o tener en cuenta que, si se captan imágenes para uso personal, éstas no deben publicarse en internet de manera que sean accesibles indiscriminadamente cuando sea posible identificar a personas o se muestren espacios privados, como viviendas, jardines o terrazas. Fuente de la información: AEPD. Fuente de la imagen: mvc archivo propio.

______________________________________

[1] Agencia Española de Protección de Datos.

[2] La AEPD pone de manifiesto cómo se ha generalizado el uso de drones en el ámbito civil y el crecimiento exponencial que está experimentando la utilización de estas aeronaves no tripuladas. Estos equipos son susceptibles de incorporar no sólo GPS y cámaras de vídeo sino también escáner 3D o sistemas de detección de dispositivos móviles, y su empleo puede suponer un impacto en el derecho a la protección de datos de las personas y, por extensión, una lesión de sus derechos y libertades.

Cambio sustancial en la protección de datos

Fuente de la imagen: infografía Memoria AEPD 2018.

Parte de la tarde del miércoles la pasé hojeando la Memoria 2018 de la Agencia Española de Protección de Datos (AEPD), de la que ya informé y linkeé en el sitio "Protección de Datos". Recoge el documento las actividades realizadas por la AEPD en el año 2018, las cifras de gestión, las tendencias destacadas, las decisiones y procedimientos más relevantes del año, así como un análisis de los retos presentes y futuros. La publicación de esta Memoria coincide con el primer año de aplicación en España del Reglamento General de Protección de Datos (RGPD), que ha supuesto un cambio sustancial para la protección de datos en varios niveles, introduciendo novedades tanto en los derechos de los ciudadanos como en la forma de tratar los datos personales por parte de las organizaciones.

En relación a las reclamaciones recibidas a la AEPD durante 2018, se incrementaron casi un 33% (32.8%), pasando de 10.651 a 14.146. Actualizando estas cifras al primer año de aplicación del RGPD, (desde el 25 de mayo de 2018 al 15 de mayo de 2019) se han presentado ante la AEPD 14.397 reclamaciones. En cuanto a la temática recogida en la Memoria 2018, las reclamaciones corresponden a las siguientes materias: inserción indebida en ficheros de morosidad (16%), videovigilancia (11%), servicios de Internet (10%), reclamación de deudas (10%), Administración pública (7%), sanidad (7%), publicidad -excepto spam- (5%), comercios, transporte y hostelería (5%), entidades financieras/acreedoras (4%) y publicidad a través de e-mail o teléfono móvil (4%).

En lo referente a las reclamaciones resueltas con respuesta satisfactoria tras haberlas remitido al responsable o al delegado de protección de datos (DPD), informa la AEPD del registro de 863 durante 2018 y 2.079 hasta el 15 de mayo de 2019. Este mecanismo, contemplado en el Reglamento para promover la resolución amistosa de las reclamaciones y que no existía con anterioridad, ha generado que dos de cada tres reclamaciones que se envían al responsable o al DPD se resuelvan de forma satisfactoria para el particular. Además, la mitad de las reclamaciones admitidas en la Agencia se resuelven en una media de 100 días, sin tener que esperar los más de 200 días de media del modelo anterior. Por otro lado, el traslado de la reclamación al responsable/DPD no implica necesariamente que no se vayan a realizar actuaciones inspectoras a posteriori, ya que la Agencia tiene potestad para investigar los mecanismos establecidos por la empresa[1].

En cuanto a los casos con otras autoridades europeas (sistema coordinado), según la AEPD, de los casi 400 casos analizados, en 2018 la Agencia se ha personado como interesada en 237 de ellos, siendo autoridad líder en 11. Desde el 25 de mayo de 2018 al 15 de mayo de 2019 la Agencia ha analizado 1.026 casos procedentes de otras autoridades europeas, actuando como interesada en 539 de ellos y siendo autoridad líder en 18. En lo relativo a las reclamaciones sobre ejercicio de derechos, durante 2018 se han resuelto 1.784 peticiones en la Agencia. De ellas, 191 corresponden a reclamaciones por derecho al olvido. La proporción estimadas/desestimadas de estas 191 tutelas/reclamaciones es prácticamente de un 50%. En cuanto a las entidades reclamadas, Google y sus servicios aglutinan 125 de las 191 (65%), 18 a medios de comunicación (9%), 14 a otros buscadores de Internet (7%), 13 corresponden a Administraciones Públicas y boletines (6%), cifras que se completan con un apartado de peticiones a Otras entidades.

Igualmente, durante 2018 se han elaborado y puesto en marcha procedimientos para la gestión de las notificaciones de brechas de seguridad y evaluaciones de impacto[2]. Tras el análisis y la clasificación de estas últimas, sólo 16 se han remitido a la Subdirección General de Inspección de Datos, que afectaban a datos de salud, menores, ideología política, y tratamientos masivos de datos. En el primer año de aplicación del Reglamento[3] se han recibido en la Agencia 966 notificaciones de brecha de seguridad. Un 72% de ellas indican que se ha comprometido la confidencialidad de los datos personales y un 36% indican compromiso de la disponibilidad. Más del 53% de las notificaciones de brechas de seguridad tienen como origen un contexto externo e intencionado y, de ellas, el 44% fueron a consecuencia de ciberincidentes mediante algún tipo de técnicas de hacking, malware o mediante phishing[4]. 

En 2018 se han dictado 907 resoluciones sancionadoras[5]. En lo referente a la temática de los procedimientos sancionadores, destacan, por este orden: Contratación fraudulenta, inserción indebida en ficheros de Morosidad, Videovigilancia, Spam (LSSI), Publicidad (excepto spam), Servicios de Internet, Reclamación de Deudas, Telecomunicaciones, Administración pública y Sanidad. En el caso de las dos principales (morosidad y contratación fraudulenta), representan, respectivamente, 3.770.803 euros (29%) y 4.979.200 euros (38%) sobre el total del volumen de sanciones (12.824.454 euros). Respecto al año anterior, crecen las reclamaciones por contratación fraudulenta y descienden levemente las de morosidad[6]. En cuanto a la temática de las infracciones por parte de las AAPP, estas declaraciones de infracción están motivadas, entre otros casos, por publicación de datos desproporcionados en páginas web de Administraciones locales, accesos indebidos a datos de terceros por parte de trabajadores públicos o incumplimiento de medidas de seguridad.

En cuanto a las cifras de Delegados de protección de datos notificados ante la Agencia, en 2018 se tramitó la inscripción de 20.043 Delegados de Protección de Datos (17.296 del sector privado y 2.747 del sector público). Cuando ha transcurrido casi un año completo desde la aplicación del RGPD, se han comunicado 34.193 Delegados de Protección de Datos (29.908 del sector privado y 4.285 del sector público). En lo relativo a los servicios de ayuda que presta la Agencia para la adaptación al Reglamento, la Herramienta FACILITA_RGPD, orientada a pymes que realizan tratamientos de bajo riesgo, ha sido utilizada en 2018 en más de 150.000 ocasiones[7]. El canal INFORMA_RGPD[9], ha atendido en 2018 un total de 4.116 consultas[8]. Las consultas más frecuentes de este servicio son las relativas a la obligatoriedad de nombrar un DPD, cuestiones sobre videovigilancia o la utilización de la huella y datos biométricos como medidas de control de acceso y horario del trabajo.

Por último, se han planteado 1.564 cuestiones ante el área de menores de la Agencia, lo que supone un incremento de casi el 74,75% con respecto a 2017 (895). En cuanto a la temática de las consultas que se suelen recibir con mayor frecuencia destacan las siguientes: la toma de imágenes y si es necesario el consentimiento para ello, tanto en las aulas, como en eventos escolares y extraescolares (campamentos, excursiones, funciones teatrales, etc.), así como quién debe otorgar el consentimiento para tratar datos personales de menores cuando los padres están separados. Además, desde la entrada en vigor del RGPD y la Ley Orgánica 3/2018, se plantea la necesidad de designar un DPD por distintos actores en este ámbito y sus funciones. Fuente de la información: AEPD. Fuente de la imagen: infografía Memoria AEPD 2018.

___________________________

[1]  De hecho, un 13% de esas 863 reclamaciones (110) están en proceso de investigación.

[2]  Desde el 25 mayo de 2018 hasta el 31 de diciembre, se atendieron 44 consultas previas sobre evaluaciones de impacto y se recibió un total de 547 notificaciones de quiebras de seguridad.

[3] del 25 de mayo de 2018 al 15 de mayo de este año.

[4] Respecto a los aspectos procedimentales, el análisis de los incidentes de seguridad notificados apunta a que el 31% de éstos se deben a la pérdida o robo de dispositivos o documentación.

[5] 434 con sanción económica, 96 con resolución de infracción a Administraciones Públicas y 377 apercibimientos.

[6]  Estas dos áreas acumulan un 67% del volumen total de sanciones impuestas en 2018.

[7] Cifra que se amplía a 170.000 a fecha 15 de mayo de 2019.

[8] Hasta el 15 de mayo de 2019, esa cifra se ha ampliado a las 4.607.

[9] Que presta soporte en aquellas dudas y cuestiones que puedan derivarse de la aplicación del RGPD.

Datos sujetos a Evaluación de Impacto

Fuente de la imagen: mvc archivo propio

El Reglamento Europeo de Protección de Datos (REPD o RGPD), establece que en aquellos casos en los que sea probable que los tratamientos entrañen un alto riesgo para los derechos y libertades de las personas físicas, incumbe al responsable del tratamiento realizar una evaluación de impacto (EI) relativa a la protección de datos, que evalúe, en particular, el origen, la naturaleza, la particularidad y la gravedad del riesgo. En su artículo 35.1 se apunta que las organizaciones que tratan datos tienen obligación de realizar una EIPD[1] con anterioridad a la puesta en funcionamiento de dichos tratamientos cuando sea probable que, en función de su naturaleza, alcance, contexto o fines, entrañen un alto riesgo para los derechos y libertades de las personas. Por otro lado, el apartado 4 de ese mismo artículo prevé que cada autoridad de control establezca y publique una lista de los tipos de operaciones de tratamiento que requieran de una evaluación de impacto. En el proceso de la evaluación, la organización debe conocer para qué y cómo se van a utilizar los datos, identificar, evaluar y tratar los riesgos potenciales y elaborar un plan de acción donde se incluyan las medidas de control para garantizar los derechos y libertades de las personas. La EIPD ayuda a las organizaciones a identificar las actividades que conllevan un alto riesgo, afrontar y gestionar los posibles peligros antes de que produzcan y establecer las medidas de control más adecuadas para minimizar el mismo antes de iniciar el tratamiento. Como herramienta de ayuda al cumplimiento, la AEPD[2] presentó con anterioridad a la aplicación del RGPD las guías de Análisis de Riesgo y EIPD[3]. 

La Agencia ha definido que será necesario realizar una EIPD en la mayoría de los casos en los que en los que el tratamiento cumpla con dos o más criterios de una lista, entre los que se encuentran la realización de perfilado; observación, geolocalización o control de forma sistemática y exhaustiva; el uso de datos biométricos para identificar de forma unívoca a una persona; datos que permitan determinar la solvencia patrimonial o procesamiento de identificadores únicos que permitan identificar usuarios de servicios de la sociedad de la información como pueden ser los servicios web, televisión interactiva o aplicaciones móviles, entre otros tratamientos. Según la AEPD, cuantos más criterios reúna el tratamiento en cuestión, mayor será el riesgo que entrañe y mayor la certeza de la necesidad de realizar una Evaluación de impacto. En esa línea, la AEPD recientemente ha publicado el listado de tratamientos de datos personales en los que es obligatoria la realización de una evaluación de impacto, relación que ya se informó y linkeó en el sitio Protección de Datos, texto "Tratamientos de datos sujetos a evaluación de impacto"[4], y que tiene la finalidad de ofrecer seguridad a los responsables respecto a cuáles son los tratamientos en que siempre se considerará que es probable que exista un alto riesgo. También de acuerdo con lo previsto por el RGPD, la lista ha sido comunicada al Comité Europeo de Protección de Datos (CEPD), que ha emitido un dictamen favorable sobre ella, siguiendo los criterios establecidos en la valoración de todas las listas remitidas por las autoridades nacionales. Fuente de la información: AEPD. Fuente de la imagen: mvc archivo propio.

____________________

[1] Evaluación de Impacto relativa a la Protección de Datos.

[2] Agencia Española de Protección de Datos.

[3] Sitio visitado el 08/05/2019.

[4] Velasco Carretero, Manuel. Tratamientos de datos sujetos a evaluación de impacto. Sitio Protección de Datos. 2019. Sitio visitado el 08/05/2019.