¿Qué debemos tener en cuenta para realizar una transferencia de datos personales a una empresa ubicada en Estados Unidos?

1 – ¿Se necesita autorización de la directora de la Agencia Española de Protección de Datos?

No hace falta autorización si la empresa en cuestión se haya adherida al Escudo de Privacidad UE-EE.UU. Decisión (UE) 2016/1250 de la Comisión, de 12 de julio de 2016.

Si no fuese el caso necesitaría autorización. Más información

2 – ¿Qué es el Escudo de Privacidad?

El escudo de la privacidad, es un mecanismo que permite la transferencia de datos personales de la UE a una empresa en los Estados Unidos, siempre que ésta los procese (es decir, los utilice, almacene y vuelva a transferir) con arreglo a un recio conjunto de normas y salvaguardias en materia de protección de datos.

La protección dispensada de datos se aplica independientemente de si el interesado es ciudadano de la UE o no.

3 – ¿Cómo podremos saber si una empresa de los EE. UU. forma parte del Escudo de privacidad?

Para averiguar si una empresa está afiliada al escudo de la privacidad, puede consultar la lista correspondiente en el sitio web del Departamento de Comercio (https://www.privacyshield.gov/welcome).

En ella figuran los datos de todas las empresas que participan en el escudo de la privacidad, el tipo de datos personales que utilizan y la clase de servicios que ofrecen.

También puede consultar una lista de las empresas que han dejado de pertenecer al escudo de la privacidad y que, por lo tanto, no tienen ya derecho a recibir los datos personales con arreglo a ese mecanismo.

Además, estas empresas solo podrán conservar los datos personales si se comprometen, ante el Departamento de Comercio, a seguir aplicando los principios de privacidad.

4 – ¿Qué son las normas corporativas vinculantes? ¿Deben ser aprobadas?

Las BCR Se configuran como una de las garantías apropiadas para poder realizar transferencias internacionales de datos sin necesidad de autorización específica.

No distingue entre BCR de responsable y de encargados. Necesitan de la aprobación por la autoridad de control competente por el mecanismo de coherencia.

Según el artículo 47 las autoridades de control competentes podrán aprobar normas corporativas vinculantes, de acuerdo con el mecanismo de coherencia siempre que éstas:

1. Sean jurídicamente vinculantes y se apliquen y sean cumplidas por todos los miembros correspondientes del grupo empresarial o de la unión de empresas dedicadas a una actividad económica conjunta, incluidos sus empleados;
2. confieran expresamente a los interesados derechos exigibles en relación con el tratamiento de sus datos personales, y
3. cumplan los requisitos establecidos en el apartado 2.

Desde nuestro despacho MedinAbello&Asociados, podemos ayudarle!

La entrada 4 respuestas a la Transferencia de datos personales a una empresa ubicada en Estados Unidos aparece primero en MedinAbello & Asociados.

Desde el pasado 25 de mayo de 2018, fecha de inicio de aplicación del Reglamento General de Protección de Datos (RGPD), nos hemos encontrado multitud de casos en los que nuestros clientes nos preguntan sobre la relación con sus proveedores y la normativa de protección de datos.

En este articulo vamos a explicar algunas de esas dudas, pero la número 4 es la más solicitada o polémica:

1. ¿Quién es el encargado de tratamiento?

Es ese proveedor que le presta un servicio y para ello accede algún tipo de datos de carácter personal, como puede ser, los datos de sus empleados, para gestionarle las nóminas, o a todos los datos de su empresa porque le presta el servicio de mantenimiento informático, etc…

2. ¿Qué tiene que cumplir mi proveedor en materia de protección de datos?

Debe cumplir todos los preceptos que marca la normativa de protección de datos al igual que usted que trata datos de carácter personal.

3. ¿Cómo se regula la relación entre mi proveedor y mi empresa?

Se regula según artículo 28 del RGPD, con un acto que les vincule jurídicamente, un contrato por escrito, inclusive en formato electrónico. No se puede regular verbalmente.

El responsable de tratamiento que es usted debe elegir únicamente a un encargado de tratamiento (proveedor) que le ofrezca garantías suficientes para aplicar todas las medidas, tanto técnicas como organizativas, con el fin de que ese tratamiento sea conforme con lo que marca el RGPD y que de esa manera garantice también la protección de los derechos de los interesados.

El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios.

Dicho contrato debe contener como mínimo:

1. el objeto
2. la duración
3. la naturaleza y la finalidad del tratamiento,
4. el tipo de datos personales y categorías de interesados, y
5. las obligaciones y derechos del responsable

El proveedor (encargado de tratamiento, sic):

a) Tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;

b) garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;

c) tomará todas las medidas necesarias de conformidad con el artículo 32;

d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;

e) asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;

f) ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;

g) a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;

h) pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable.

 En relación con lo dispuesto en la letra h) del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros.

Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.

4. ¿Quién redacta el contrato entre mi proveedor y mi empresa?

A este respecto es donde más polémica estamos encontrando, por un lado, que los clientes están encontrando dificultad en que sus proveedores les faciliten el contrato según art. 28 del RGPD, por otro lado, quién facilita el contrato a quién.

Pues bien, el propio redactado del art 28, no deja lugar a dudas el contrato lo debe facilitar el encargado de tratamiento a su cliente, por la sencilla razón, de que éste conoce perfectamente:

1. Si está cumpliendo la normativa de protección de datos o no.
2. Si ha formado a sus empleados.
3. Qué medidas técnicas y organizativas va a emplear para tratar los datos del responsable de tratamiento.
4. Si tiene el servicio encomendado subcontratado, totalmente o parcialmente.
5. Si utiliza servidores fuera de la UE.
6. Etc.

Otra cosa es, que el responsable es quien tiene la última palabra, al decidir si acepta o modifica el contenido del contrato facilitado por el proveedor de servicio.

Si fuese el responsable de tratamiento quien tuviera que redactarlo, tendría que hacerle todas esas preguntas entre otras, por ende, es más fácil que lo redacte el proveedor.

Otra pregunta es que no quiere darme el contrato según articulo 28, pues en ese caso no se debería trabajar con dicho proveedor, porque ya dice el reglamento, que el responsable velará por la elección idónea de un encargado de tratamiento según explicaba en punto 3.

Los contratos de encargado del tratamiento suscritos con anterioridad al 25 de mayo de 2018 al amparo de lo dispuesto en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal mantendrán su vigencia hasta la fecha de vencimiento señalada en los mismos y, en caso de haberse pactado de forma indefinida, hasta transcurridos cuatro años desde la citada fecha.

En caso de que los contratos previesen su prórroga al término de su vencimiento, ya fuera por mutuo acuerdo entre las partes o en ausencia de denuncia por cualquiera de ellas, deberá producirse su adaptación con anterioridad al momento en que estuviera prevista dicha prórroga.

Desde el despacho de MedinAbello&Asociados, podemos ayudarle!

La entrada ¡Mi proveedor y la protección de datos! aparece primero en MedinAbello & Asociados.

Información general

Un plan de continuidad del negocio es un plan logístico para la práctica de cómo una organización debe recuperar y restaurar sus funciones críticas parcial o totalmente interrumpidas dentro de un tiempo predeterminado después de una interrupción no deseada o desastre. En los Estados Unidos, las entidades gubernamentales se refieren al proceso como planificación de continuación de operaciones.

INTRODUCCIÓN

Aplicación:                                                                                                                                                                                                                        El El plan de continuidad de negocio abarca todos los sectores de negocio, dado con más énfasis en aquellos donde la disponibilidad de la información es su mayor activo No hay importancia del tamaño de la empresa o institución, un plan de continuidad puede ser aplicado tanto a empresas grandes, medianas, pequeñas e incluso micro empresas.

Como todo proceso, la aplicación de un plan de continuidad involucra determinados pasos obligatorios para garantizar la funcionalidad del mismo, estas fases son:

• Fase de análisis y evaluación de riesgos
• Selección de estrategias
• Desarrollo del plan
• Pruebas y mantenimiento del plan.

La continuidad del negocio es un concepto que pertenece a una disciplina superior denominada «Administración de continuidad de negocios (BCM por sus siglas en inglés) y que abarca tanto el plan para la recuperación de desastres (DRP), de naturaleza típicamente tecnológica, como el plan para el restablecimiento del negocio, que normalmente se enfoca en los procesos críticos del mismo. Además, los planes de «Manejo de Crisis» y de «administración de incidentes» suelen formar parte de la disciplina completa de BCM. Recuperación de desastres es la capacidad para responder a una interrupción de los servicios tecnológicos mediante la implementación de un plan para restablecer las funciones críticas de la organización. Ambos se diferencian de la planeación de prevención de pérdidas, la cual implica la calendarización de actividades como respaldo de sistemas, autenticación y autorización (seguridad), revisión de virus y monitoreo de la utilización de sistemas (principalmente para verificaciones de capacidad). En esta ocasión hablaremos sobre la importancia de contar con la capacidad para restablecer la infraestructura tecnológica de la organización en caso de una disrupción severa, es decir, un plan de recuperación de desastres (DRP).

Este plan es la respuesta prevista por la empresa ante aquellas situaciones de riesgo que le pueden afectar de forma crítica, es decir, impidiendo la operación tecnológica que soporta los procesos de negocio más importantes. No importa el tamaño de la empresa o el coste de las medidas de seguridad implantadas, toda organización necesita un Plan de recuperación de desastres o uno de continuidad de negocio, ya que tarde o temprano se encontrará con una incidencia de seguridad o algún evento que detenga súbitamente la operación de una empresa.

Lo primero que se debe realizar es un análisis del impacto al negocio (BIA). Éste es básicamente un informe que nos muestra el coste ocasionado por la interrupción de los procesos críticos de negocio.

Mantenimiento:

Este plan es la respuesta prevista por la empresa ante aquellas situaciones de riesgo que le pueden afectar de forma crítica. No importa el tamaño de la empresa o el coste de las medidas de seguridad implantadas, toda organización necesita un Plan de continuidad de negocio ya que tarde o temprano se encontrará con una incidencia de seguridad.

Desde el despacho de MedinAbello&Asociados, podemos ayudarle!

La entrada Plan de continuidad del negocio aparece primero en MedinAbello & Asociados.

¿Por qué los empleados de mi empresa deben formarse en protección de datos? 

Los trabajadores deben ser conscientes de en qué consiste la nueva normativa y cómo deben actuar para hacerlo bajo las nuevas normas, especialmente los trabajadores que en su día a día traten con datos personales. 

• «Es muy importante concienciar a los empleados de que no solo ponen en riesgo a la empresa para la que trabajan, que podría enfrentarse a elevadas multas, sino también la información personal de muchos usuarios» 
• «Hay que elaborar y llevar a cabo un plan de formación sobre el RGPD y un plan de concienciación para todos los empleados, para evitar un uso indebido de los datos personales de terceros por desconocimiento o por voluntad expresa» 

No existe un artículo en concreto en el Reglamento sobre la formación a los empleados, realmente existe en todo el conjunto del propio reglamento, Responsabilidad Proactiva, Tratamientos desde el Diseño y por Defecto. 

En síntesis, este principio exige una actitud consciente, diligente y proactiva por parte de las organizaciones frente a todos los tratamientos de datos personales que lleven a cabo.  

Adoptando medidas técnicas y organizativas que garanticen un tratamiento seguro de los datos personales que trata la empresa. 

RIESGOS  

«No olvidemos que el principal agujero de seguridad detectado en el uso de los datos, radica en los procesos internos de la empresa y no tanto en agentes externos» 
“El eslabón más débil en una cadena de seguridad en cualquier empresa son los empleados que utilicen, traten información de carácter personal o confidencial. Por ello la importancia de mantenerlos formados e informados, es tener una actitud de Responsabilidad Proactiva.” 

Una de las medias organizativas es la formación, concienciación a los empleados que trate información de carácter personal de la empresa. para que éstos sean conocedores de sus obligaciones y consecuencias de incumplimiento de las mismas. 

¡PODEMOS AYUDARLE, CONSULTENOS SIN COMPROMISO! 

formacion@medinabelloyasociados.com 

La entrada ¿Formación en Protección de Datos? ¿Por qué? aparece primero en MedinAbello & Asociados.

Empresas de seguros

En relación al sector de los seguros, el nuevo RGPD les afecta de forma incisiva debido a la gran cantidad de datos que manejan este tipo de compañías. Esto supone nuevas exigencias a las que deberán enfrentarse las aseguradoras. En primer lugar, ya el Considerando (54) RGPD establece la prohibición, en relación a los datos de salud, de que las compañías de seguros puedan utilizarlos, si son de interés público.

Entre las nuevas directrices a aplicar para las aseguradoras encontramos:

• Nombramiento de un Delegado: Al tratarse de empresas cuya actividad principal consista en el tratamiento masivo de datos deberán contar con un Delegado de Protección de datos (DPD) que asesore e informe a los responsables del tratamiento.
• Adaptación de cláusulas y políticas informativas: Teniendo la obligación de información hacia sus clientes de las novedades que establece la nueva normativa en materia de protección de datos.
• Obtención del consentimiento expreso: A saber, este consentimiento debe ser libre, informado, específico e inequívoco. Desaparece así el consentimiento tácito o por silencio en la nueva normativa. En este sentido, el consentimiento deberá ser prestado para cada finalidad del tratamiento, quedando prohibido el consentimiento en términos generales.
• Derecho a la portabilidad de los datos: Los datos del interesado se podrán transmitir de un responsable a otro previo consentimiento, en todo caso, del interesado.
• Evaluación de Impacto: Será obligatoria la puesta en marcha de una evaluación de impacto (EIPD) con la finalidad de la mejora de todo el ciclo de vida de los datos recabados.
• Obligación de notificación de quiebras de seguridad: Deberán notificarse a la AEPD las violaciones de seguridad de los datos, dentro de las 72 horas siguientes al conocimiento por el responsable de dicho suceso.
• Transparencia de la información: la información al interesado deberá proporcionarse de forma concisa, transparente, inteligible y de fácil acceso.

Empresas de publicidad

El Reglamento introduce grandes particularidades en el ámbito de la publicidad principalmente en lo que se refiere a publicidad digital.

Esto es debido a la necesidad de innovación normativa requerida por la revolución tecnológica producida en los últimos años. Del mismo modo como ya hemos establecido se trata de buscar que la normativa existente se armonice a través de las disposiciones introducidas en el presente Reglamento que pretenden otorgar esta nota homogeneizadora.

El Reglamento tiene en particular un gran impacto en lo que a publicidad digital se refiere, cambiando la forma en la que habrá que recoger y tratarse los datos personales. Pasamos a analizar los cambios más significativos:

• Referidos al ámbito de aplicación, destacamos que el significado de «dato personal como concepto se amplía, pasando una gran parte de la información personal a considerarse como tal. Hecho que influirá en los denominados “identificadores únicos” como las cookies, direcciones IP u otros.
• En lo referido al consentimiento el Reglamento permite varias formas de otorgar el mismo para el correcto tratamiento de los datos personales, esto incluye, la legitimación a través de la firma de un contrato, así como el tratamiento de datos a través del consentimiento inequívoco del interesado, así como cuando quede probado la existencia de un interés legítimo para el tratamiento de los mismos.
• Tratamiento diferenciado recibirán los datos sensibles o aquellas decisiones automatizadas derivadas de la creación de perfiles que requerirán el consentimiento expreso del interesado.
• En lo que respecta a las sanciones, el Reglamento establece un sistema de protección de datos más rígido en el mercado de la Unión Europea, así como un sistema de sanciones a través de multas reforzado.
• En lo referido a la elaboración de perfiles, todas las personas cuentan tras la redacción del nuevo Reglamento con el derecho a que no se efectúe un perfil que tenga como consecuencia la generación de efectos legales o que le repercutan significativamente. Sólo existe una excepción a esta norma y es que exista un contrato previo en el que queden salvaguardados los intereses esenciales de la persona o que esta otorgue consentimiento expreso.
• Por otro lado, todas las organizaciones que realicen acciones de tratamiento de datos personales que necesiten un “seguimiento periódico y sistemático de los interesados a gran escala” serán obligados a ser asistidos por un Delegado de Protección de Datos (DPD).
• Por último, se introducen una serie de nuevos derechos como el derecho a la portabilidad y el derecho al olvido relacionado con el derecho a la cancelación/supresión de datos personales.

¡¡Desde Medinabello&Asociados les deseamos unas felices fiestas y próspero 2019!!

La entrada Protección de datos en las empresas de seguros y publicidad aparece primero en MedinAbello & Asociados.

El Colegio de Registradores presentó el pasado jueves una nueva herramienta que facilitará la lucha contra el blanqueo de capitales, el narcotráfico o el terrorismo: el Registro de Titularidades Reales.

Según información de la decana del Colegio de Registradores Doña María Emilia Adán y el vicedecano Don José Miguel Tabarés, con esta herramienta informática se permitirá conocer quiénes son las personas físicas que están de verdad detrás de una empresa.

En ocasiones una compañía puede estar controlada por otras sociedades, conocidas como sociedades pantalla y que éstas se atribuya la condición de titular a unos administradores. También puede ocurrir que una empresa se encuentre al final de una complicada cadena para controlar esa sociedad. Todo esto dificultando mucho la tarea de identificación del verdadero dueño de la empresa.

En el supuesto de que encontremos indicios que hacen despertar sospechas, los registradores remiten a las autoridades esa información. Lo único que por ahora solamente el administrador conoce realmente quien controla esa sociedad. Con esta herramienta se podrá verificar rápidamente la titularidad real.

Cuando esté operativo este instrumento informático, será un sistema más certero, ágil y actualizado, sin necesidad de hacer un esfuerzo ingente para conocer quién puede estar detrás de una cadena de sociedades.

Este registro tiene dos vías de funcionamiento, una permite conocer quién esta delante y segunda quién está detrás.

Con esta nueva herramienta se busca la trazabilidad y, para ello, hace al administrador responsable legal de que se conozca al verdadero titular.

Con esta herramienta se podrán conocer los titulares reales de una sociedad, las sociedades de las que una persona física es titular real, y las sociedades que se encuentran en la cadena de control de una empresa.

Si éste falta a la verdad, podrá llegar a tener carácter penal. Para ello sino deposita cuentas con dicha información, la empresa no podrá operar, según explicaba la decana.

Esto es relevante, en el supuesto que aquellas personas que tienen prohibido contratar con la Administración pero que usan empresas para ocultar su identidad.

Este registro estará conectado con el resto de Europa, ampliando el potencial de esta herramienta. Su puesta en marcha es fruto del mandato de directivas comunitarias.

En esta herramienta se incluirá como información la fecha de nacimiento del titular para evitar los problemas que la falta de DNI ocasiona.

El funcionamiento de este registro irá por fases:

Primera fase:

Solo accederán agentes de la lucha contra el blanqueo de capitales. Estarán conectados directamente, el Seplac, el Banco de España, Hacienda o la Fiscalía y podrán, en consecuencia, tratar esos datos y hacer cruces con ellos.

Segunda fase:

Los sujetos obligados como pueden ser abogados o entidades financieras tendrán acceso a esta información

Tercera fase:

Se pondrá a disposición de todos los ciudadanos.

Para realizar una petición de datos tendrá que ser fundada y justificada.  Los registradores tendrán que valorar si esta entrega de información tiene un interés legítimo.

El Ministerio de Justicia podrá imponer restricciones a estas solicitudes. El Colegio de Registradores aclara que todavía no hay fechas para este proceso.

Más información al respecto

• Datos en tiempo real para combatir el blanqueo de capitales
• Presentar las cuentas anuales no es tarea fácil
• https://cincodias.elpais.com/cincodias/2017/10/05/legal/1507205305_816110.html?rel=str_articulo#1540807643090

Fuente: El País

Desde MedinAbello&Asociados seguiremos pendientes de su puesta en marcha.

La entrada Herramienta para el registro de titularidades reales-PBC aparece primero en MedinAbello & Asociados.

Si no existen cambios de última hora, la nueva ley, se llamará Ley Orgánica de Protección de Datos y de Garantía de Derechos Digitales.

Un texto que se aprueba por unanimidad de todos los grupos parlamentarios, se votará la próxima semana en la comisión de Justicia.

Incluirá una disposición adicional para la atención las peticiones de acceso a archivos públicos y eclesiásticos, que formen parte de procesos de investigaciones Judiciales o Policiales.  Será un punto de inflexión, en los casos por ejemplo de “bebes robados”.

Lo más relevante de estas novedades son:

Derecho a la desconexión digital en el ámbito laboral

Por primera vez en España se regula el derecho de los trabajadores a no tener que estar obligatoriamente pendientes del ordenador o del móvil, una vez finalizada su jornada de trabajo. La iniciativa para que las empresas promuevan acciones para evitar la fatiga informática de sus empleados.

El derecho a la conciliación de la vida personal y laboral. Sobre todo, cuando la realización total o parcial del trabajo se realice a distancia o en el domicilio del trabajador utilizando herramientas tecnológicas.

Derecho a la protección de menores y a la educación digital

Aunque con el RGPD se había rebajado a los 13 años, con esta normativa se establecen los 14 años como edad mínima a partir de la cual los menores pueden otorgar su consentimiento para tratar sus datos personales.

En el supuesto de menores de 14 años, el consentimiento deberán otorgarlo sus padres o tutores legales.

Además, el uso o la difusión de imágenes o información personal de menores en redes sociales que puedan implicar una intromisión ilegítima en sus derechos fundamentales será causa de intervención del Ministerio Fiscal.

Desde MedinAbello&Asociados seguiremos pendientes de su aprobación.

La entrada LOPDGDD la nueva LOPD aparece primero en MedinAbello & Asociados.

Hace tiempo publicamos el post “como afecta el código 31 bis del Código Penal”, puede leerlo en este enlace.

En este post hablaremos del modelo Compliance Penal.

El artículo 31 bis establece que el haber implantado eficazmente un modelo de prevención y control con anterioridad a la comisión del delito, exime o atenúa la responsabilidad penal de la persona jurídica, derivada de las conductas delictivas llevadas a cabo por su personal.

La implantación de un modelo organizativo que incluya medidas de vigilancia y control idóneas para prevenir delitos, constituye una medida imprescindible para reducir riesgos penales de la empresa y sus directivos.

A este modelo organizativo lo denominemos Modelo de Compliance Penal.

El origen del término “Compliance”, viene del Derecho norteamericano y su uso, en materia jurídica, lleva implícito el “cumplimiento normativo” por lo que, en nuestro Derecho, podría denominarse “modelo de cumplimiento legal”

En criminología hay una teoría, llamada la “la teoría de las ventanas rotas”, basadas en un articulo de James Q Wilson y George L. Kelling.

Esta teoría viene a decir que en un edificio donde aparece una ventana rota y nadie la repara, los delincuentes empezarán a romper otras ventanas para finalmente entrar al edificio.

Pues bien, en un modelo de compliance penal, la percepción de abandono o de falta de control, provocará la aparición de pequeñas infracciones y si no se toman medidas esas pequeñas infracciones se pueden convertir finalmente en delitos.

En una empresa donde esté bien instaurado y eficazmente un modelo de compliance penal, la mayoría de las personas de la empresa cometerán infracciones al percibir que existe un control efectivo.

Para tener esa exención de la responsabilidad que indicaba al inicio del presente artículo, el modelo debe cumplir con tres requisitos básicos.

1. PREVIO: Adoptado antes de la comisión del delito.
2. EFICAZ: Ejecutado con eficacia antes de la comisión del delito.
3. IDONEO: Medias de vigilancia y control idóneas para prevenir los delitos o para reducirlos significativamente.

El articulo 31 bis en su punto 5 del Código Penal establece el contenido mínimo que el modelo de compliance penal de poseer.

1. Mapa de riesgos
2. Protocolo de decisiones
3. Recursos financieros
4. Canal ético
5. Sistema disciplinario
6. Verifcación periódica.

La eficacia del modelo de compliance penal se demuestra poniendo a prueba el modelo con simulacros auditoria e imponiendo sanciones disciplinarias.

El modelo debe contar con el apoyo de sus órganos de administración y de la alta dirección de la empresa.

Debe estar en conocimiento de los distintos departamentos de la entidad, en un acta que constituya una prueba cronológica de:

• Existencia del modelo y su contenido
• La autoridad del Copmpliance Officer
• La implantación del Consejo en las funciones de cumplimiento normativo en la empresa.

Resumiendo, más vale prevenir que curar!

Desde el despacho de MedinAbello&Asociados, podemos ayudarle!

La entrada ¿Qué es un modelo de Compliance Penal? aparece primero en MedinAbello & Asociados.

Antes de realizar una campaña publicitaria deberíamos tener en cuenta algunos puntos, para no vulnerar los derechos y libertades de los interesados.

1- Consultar la Lista Robinson

La Lista Robinson es un fichero de exclusión publicitaria y está gestionada por la Asociación Española de Economía Digital.

Antes de realizar cualquier campaña publicitaria deberíamos consultar la Lista Robinson para excluir de nuestra campaña a las personas inscritas.

Realizando este sencillo paso evitaremos reclamaciones por parte de los interesados

2- Ofrecer formulas

Debemos ofrecer sistemas o procedimientos para que los interesados puedan aceptar o rechazar que sus datos personales sean usados con fines publicitarios. Por ejemplo, marcando una casilla, donde tengamos constancia expresa de su aceptación o rechazo a recibir publicidad. (Principio de responsabilidad proactiva).

Siendo licita la obtención de los datos de los interesados, podremos enviar publicidad siempre que ésta, sea similar a los productos o servicios que tienen contratados con nuestra empresa.

Ya sea enviando publicidad mediante SMS, WhatsApp, correo electrónico u otros medios debemos ofrecer un medio sencillo y gratuito para que el interesado pueda oponerse a recibir publicidad.

El derecho a oponerse a recibir publicidad debe estar en el momento de la obtención de los datos personales, así como en cada una de las comunicaciones que enviemos al interesado.

3- Consentimiento

El Reglamento Europeo de Protección de Datos (RGPD) NO admite el consentimiento tácito, por lo tanto, no será válido el consentimiento sin al enviar publicidad indicamos, si no contesta entendemos que presta su consentimiento.

Por tanto, según lo dispuesto en el RGPD, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento.

El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines.

Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos.

Para que el consentimiento pueda considerase informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales.

Debemos ofrecer la información al interesado antes del tratamiento, ya que en caso contrario no será ilícito.

4- Revocación del consentimiento

El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello.

Será tan fácil retirar el consentimiento como darlo.

Podemos ofrecer la revocación con un correo electrónico, desde nuestra página web, etc..

5- Derecho de oposición o supresión

Debemos conocer estos dos derechos que asisten a los interesados y sobre todo cómo actuar ante la petición de éstos.

Nuestra empresa debe tener un protocolo de actuación ante una petición de los derechos que asisten a los interesados.

• Derecho de supresión (artículo 17)

El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, cuando concurra alguna de las siguientes circunstancias:

1. Los datos ya no son necesarios en relación a los fines para los que fueron recogidos o tratados de otro modo.
2. El interesado retire el consentimiento.
3. Los datos personales hayan sido tratados ilícitamente

• Derecho de oposición (articulo 21)

El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones.

El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.

Desde el despacho de MedinAbello&Asociados, podemos ayudarle!

La entrada ¿Cómo gestionar publicidad sin vulnerar los derechos de los interesados? aparece primero en MedinAbello & Asociados.

¿Necesitamos volver a pedir la autorización del autor de una foto, ya publicada en Internet?

El TJUE establece en la sentencia del 7 de agosto de 2018 que, una foto que está publicada en un sitio de Internet, requiere de la autorización del autor de la foto para poderla volver a publicar en otro sitio web.

En la Sentencia Supranacional Nª C-161/17, TJUE,07-08-2018 el Tribunal Supremo de lo Civil y Penal de Alemania, solicita al Tribunal de Justicia de la Unión Europea (TJUE) la interpretación de la directiva 2001/29/CE del Parlamento Europeo y de Consejo, de 22 de mayo de 2001, relativa a la armonización de determinados aspectos de los derechos de autor y derechos afines a los derechos de autor en la sociedad de la información, debe interpretarse en el sentido de que comprende la puesta en línea en un sitio de Internet de una fotografía publicada previamente, sin medidas restrictivas que impidan su descarga y con la autorización del titular del derecho de autor, en otro sitio de Internet.

La pregunta es; qúe entendemos con el concepto de “comunicación al público”, se entiende como la publicación de una fotografía en un sitio web, cuando dicha fotografía ya ha sido previamente publicada en otro sitio de Internet sin restricciones que impidan su descarga y con la autorización del titulas de los derechos de autor de la misma.

Esta cuestión viene dada en Alemania, cuando un estudiante descargó la fotografía para realizar un trabajo escolar de una página web de viajes y que a posteriori se publicó en la web de la escuela.

El autor de la fotografía demandó a la escuela por violación de los derechos de autor, que él solo había autorizado la publicación de dicha foto en la web de viajes, por lo que solicitó una indemnización por perjuicios de 400€.

Una fotografía puede ser protegida por los derechos de autor siempre que sea una creación intelectual del autor que refleje su personalidad y que se manifieste por las decisiones libres y creativas del mismo al tomarla extremos que corresponde comprobar al órgano jurisdiccional nacional.

En el caso concreto, la publicación en un sitio de Internet de una fotografía con autorización del autor de la misma, que posteriormente se utiliza para ser publicada en otro sitio de Internet, debe calificarse (según el TJUE) como puesta a disposición de esa obra a un público nuevo.

En resumen; (según TJUIE) “publicar en un sitio de Internet una fotografía cuyo libre acceso en otro sitio de Internet ha sido autorizado por su autor requiere una nueva autorización por parte de éste».

FUENTE: Comunicado de prensa TJUE

Saludos desde Medinabello&Asociados!

La entrada ¿Hay que pedir la autorización de una foto ya publicada en Internet? aparece primero en MedinAbello & Asociados.