rgpd

Sanción de 2,3 millones de euros a Vinted por haber vulnerado los derechos de los usuarios según el RGPD

Miguel Urrea · 05/09/2024 · Dejar un comentario

SANCION DE 23 MILLONES DE EUROS A VINTED POR HABER VULNERADO LOS DERECHOS DE LOS USUARIOS SEGUN EL RGPD

La Autoridad de Protección de Datos de Lituania (SDPI) ha impuesto una sanción de 2.385.276,00 euros a Vinted por haber vulnerado los derechos de los usuarios según el Reglamento General de Protección de Datos (RGPD).

Vinted, un negocio en crecimiento

Esta conocida plataforma de origen Lituano, que permite a sus usuarios comprar, vender e intercambiar ropa y accesorios de segunda mano, comenzó su andadura en 2008. Desde entonces, ha experimentado un crecimiento continuo, consolidándose en el mercado de la moda de segunda mano.

En 2023, la empresa alcanzó la rentabilidad con ingresos de 596,3 millones de euros, lo que representa un incremento del 61% respecto al año anterior, y un beneficio neto de 17,8 millones de euros, en contraste con la pérdida neta de 20,4 millones de euros en 2022. Este crecimiento está ligado a su expansión internacional y su entrada en nuevos modelos de negocio, como la compraventa de artículos de lujo, servicio disponible ya en nueve mercados. Además, en el 2023, Vinted mejoró su servicio de entrega, Vinted Go, instalando alrededor de 1.500 taquillas y puntos PUDO en ciudades clave de Francia; adquirió la empresa de entrega neerlandesa Homerr para optimizar sus entregas; y obtuvo una Licencia de Institución de Dinero Electrónico del Banco de Lituania, que le permite desarrollar nuevos servicios y mejorar la experiencia de sus usuarios.

Hoy en día, según los datos publicados en su sitio web, cuentan con una comunidad en expansión de 75 millones de personas, tienen oficinas en 5 ciudades europeas y operan en 16 países.

Origen de la sanción

La sanción de 2,3 millones de euros impuesta por la SDPI a Vinted, por haber vulnerado los derechos de los usuarios según el RGPD, tiene su origen en varias reclamaciones de usuarios presentadas ante las autoridades de protección de datos de Francia (CNIL) y de Polonia (UODO) entre 2021 y 2022. Estas reclamaciones señalaban que Vinted no había respondido adecuadamente a las solicitudes de los usuarios relacionadas con el derecho de supresión (también conocido como «derecho al olvido») y el derecho de acceso a sus datos.

La SDPI asumió la competencia para investigar estas reclamaciones, dado que Vinted tiene su sede en Lituania.

Conclusiones de la SDPI

La SDPI concluyó que Vinted había incumplido el RGPD por los siguientes motivos:

Por dar respuestas a solicitudes de usuarios que no cumplen con el RGPD: durante la investigación, se descubrió que Vinted no respondía a las solicitudes de eliminación de datos porque los usuarios no especificaban las razones exactas según el Artículo 17 del RGPD. Además, Vinted tampoco proporcionaba a sus usuarios todos los motivos por los cuales no actuaba y seguiría procesando ciertos datos.
Por vulnerar los principios de licitud, lealtad y transparencia: otro hallazgo reveló que Vinted aplicaba un bloqueo oculto («shadow blocking») a algunos usuarios, una práctica que no cumple con los principios de lealtad y transparencia. Mediante esta práctica Vinted trataba datos personales para identificar y bloquear a usuarios que no cumplieran con los términos y condiciones de la plataforma, estos usuarios quedaban invisibles para otros sin enterarse, lo que muchas veces los llevaba a dejar la plataforma. Aunque el objetivo era proteger la plataforma, esta práctica afectaba negativamente a los derechos de los usuarios ya que no eran informados y, además, se les daba un trato discriminatorio.
Por vulnerar el principio de responsabilidad proactiva: también se descubrió que Vinted no implementó suficientes medidas técnicas y organizativas para garantizar y demostrar que cumplía con el principio de responsabilidad proactiva, especialmente en relación con el derecho de acceso de los usuarios.

Para determinar el monto de la multa, la SDPI se basó en las directrices del Comité Europeo de Protección de Datos, considerando factores como el alcance transfronterizo del procesamiento de datos realizado por Vinted, la gran cantidad de personas afectadas y la duración prolongada de las infracciones.

La respuesta de Vinted

Vinted ha mostrado su desacuerdo con la decisión de la SDPI, argumentando que las acusaciones no tienen base jurídica y superan el marco legal vigente. La empresa ha anunciado su intención de apelar las sanciones impuestas.

Este es el comunicado que Vinted compartió con Fashion United como respuesta a la sanción:

“Queremos tranquilizar a nuestros miembros que los asuntos a los que hace referencia la autoridad lituana de protección de datos (VDAI, por sus siglas en lituano) no están relacionados de ninguna manera con la seguridad de sus cuentas ni implican abuso o violación de sus datos personales. Nos tomamos muy en serio la privacidad y el RGPD, y hemos invertido mucho en el cumplimiento y la protección de nuestros miembros, colaborando durante todo este proceso con la VDAI. Sin embargo, no hemos encontrado una base legal para esta decisión y creemos que establece un nuevo precedente que va más allá de la formulación actual de la ley y las mejores prácticas del sector. Estamos en desacuerdo fundamental con esta multa y continuaremos apelando, como lo hemos hecho durante todo este proceso”.

“En cuanto a la decisión de la VDAI sobre los procesos de bloqueo temporal (shadow banning) que utilizamos en el pasado para mantener nuestra plataforma y a nuestros miembros seguros, queremos reiterar que ya no utilizamos estos procesos. Evaluamos regularmente estas medidas y las ajustamos para alinearlas con los avances tecnológicos y las normativas legales cambiantes”.

Para saber más sobre la sanción

Comunicado de la SDPI (en inglés)

Comunicado de la CNIL (en francés)

Y para terminar…Hacienda ya controla lo que vendes en Vinted, Wallapop o Airbnb

El 1 de enero de 2024 entró en vigor la Directiva europea DAC7 2021/514. Esta Directiva exige que las plataformas y páginas web que faciliten el alquiler, la venta o la compra de bienes mantengan un registro detallado de las transacciones realizadas por sus usuarios y reporten esta información a las respectivas autoridades tributarias.

Vinted, Wallapop y Airbnb son algunas de las plataformas obligadas por esta Directiva a recopilar y comunicar cierta información de sus usuarios. Tal y como informa Vinted en su sitio web, la DAC7 afecta a los siguientes vendedores:

A los que completen 30 ventas o más en un solo año (de enero a diciembre), independientemente de lo que hayan ganado; o
A los que ganen 2000 € o más en ventas en un solo año (de enero a diciembre), independientemente del número de pedidos que hayan vendido.

Vinted rellenará el informe DAC7 de todos los vendedores que cumplan con alguno de los requisitos anteriores y les pedirá que lo revisen y que indiquen su NIF. Si no lo hacen a tiempo, Vinted les bloqueará la cuenta y no podrán seguir generando ganancias en la plataforma.

Como Vinted es una empresa lituana debe comunicar la información de sus vendedores afectados a la autoridad fiscal lituana, que la transmitirá a la autoridad competente de cada vendedor, en el caso de vendedores españoles, a la Agencia Tributaria.

Si necesitas asesoramiento en materia de protección de datos, desde Qualgest podemos ayudarte. Contacta con nosotros y te ofreceremos una solución a medida para que cumplas con todas las obligaciones exigidas en la normativa de protección de datos.

KEYWORDS: Sanción, Vinted, Vinted Go, PUDO, RGPD, derechos usuarios, VDAI, SDPI, CNIL, UODO, shadow blocking, derecho al olvido, principio de licitud, principio de transparencia, principio de equidad, principio de responsabilidad proactiva, DAC7, Wallapop, Airbnb.

Worldcoin, Criptomonedas, Escaneo de Iris y Protección de Datos Personales

Miguel Urrea · 20/03/2024 · Dejar un comentario

El 6 de marzo de 2024, la Agencia Española de Protección de Datos (AEPD) ordenó una medida cautelar contra Tools for Humanity Corporation (TFHC), la empresa detrás del proyecto de escaneo de iris Worldcoin. Esta medida obliga a detener la recopilación y tratamiento de datos personales en España relacionados con Worldcoin, así como a bloquear los datos ya recopilados.

Worldcoin es una nueva criptomoneda que ofrece una identidad única y la oportunidad de formar parte de la economía global. ¿Cómo funciona? Con un dispositivo llamado «orb» que escanea tus ojos y crea un código único que solo tú tienes. ¿Para qué? Para que nadie más pueda hacerse pasar por ti o acceder a tu dinero. Los que se inscriben en el servicio y activan sus cuentas en la aplicación World App reciben pagos utilizando el token WLD de Worldcoin.

El cerebro detrás de Worldcoin es Sam Altman, el jefe de OpenAI, una organización que se dedica a investigar la inteligencia artificial. ¿Te suena ChatGPT? Sí, Altman también es responsable de ese sistema de conversación basado en IA. Ahora, Altman junto con Alex Blania han creado Worldcoin con la idea de establecer una red que combine identidad y servicios financieros, asegurando que solo humanos genuinos tengan acceso.

La medida cautelar aplicada contra Worldcoin se basa en varias reclamaciones que ha recibido la AEPD. En estas reclamaciones se denuncia, entre otras cosas, la falta de información adecuada, la recopilación de datos de menores y la dificultad para retirar el consentimiento.

Worldcoin, que desde el principio ha sostenido que cumple todos los requisitos legales para tratar datos personales respondió a la AEPD negando las acusaciones. Además, TFHC se apuró en intentar suspender la medida de la AEPD por la vía judicial.

Sin embargo, la semana pasada la Sala de lo Cotencioso-Administriativo de la Audiencia Nacional rechazó la solicitud de TFHC y avaló la medida aplicada por la AEPD. La Audiencia Nacional ha justificado que debe prevalecer «la salvaguarda del interés general que consiste en la protección del derecho a la protección de datos personales de los interesados frente al interés particular de la empresa recurrente de contenido fundamentalmente económico».

Así que, por ahora, Worldcoin deberá acatar la orden de la AEPD que le obliga a interrumpir el tratamiento de datos personales. Sin embargo, probablemente esto no acabe aquí, ya que Worldcoin considera que el actuar de la AEPD no ha sido correcto. Concretamente, argumentan: que no se ha tenido en cuenta el trabajo que han estado realizando desde hace varios meses con la autoridad de protección de datos alemana; que la AEPD no ha respondido a las comunicaciones que desde hace varios meses vienen le han estado enviado para explicar su proyecto; y que la medida cautelar no respeta los procesos establecidos en el RGPD.

¡Antes de despedirnos, queremos recordarte algo importante! Tu iris al igual que tus huellas dactilares son como tu identidad personal única. Según las reglas de protección de datos (RGPD y LOPDGDD), se consideran datos sensibles. ¡Nuestros datos tienen un valor económico importantísimo para las empresas que los tratan, y si nos pagan por tenerlos, el valor todavía es más alto!

Por eso, debes ser muy cauteloso a la hora de compartir este tipo de datos biométricos, y saber muy bien:

¿Quién va a tratar esos datos, y en qué país? (para asegurarte que el país de destino cumpla con políticas de seguridad y tratamiento adecuado de los datos);
¿Con que finalidades se van a tratar esos datos? (para verificar que solo se van a utilizar con la finalidad de la recogida;
¿Si se van a compartir con terceros? (para saber quienes son y decidir si quieres que se compartan; y
¿Cómo puedes ejercer los derechos de información, acceso, limitación, oposición, supresión (derecho al olvido)?

A diferencia de una contraseña que puedes cambiar si es necesario, tu iris y tus huellas dactilares son siempre los mismos, ¡mantenlos seguros!.

KEYWORDS: Escaneo de iris, Worldcoin, datos biométricos, datos sensibles, AEPD, RGPD, LOPDGDD, protección de datos, medida cautelar.

Sistemas biométricos para fines de control de acceso o de registro de jornada laboral

Miguel Urrea · 05/03/2024 · Dejar un comentario

Hoy nos centraremos en los sistemas biométricos para fines de control de acceso o de registro de jornada laboral. Hablamos, básicamente, de lectores de huella o sistemas de reconocimiento facial o de iris, que varias empresas utilizan para controlar el acceso al centro de trabajo y/o para registrar la jornada laboral de sus empleados.

El pasado mes de noviembre de 2023 la Agencia Española de Protección de Datos (AEPD) publicó la “Guía sobre tratamientos de control de presencia mediante sistemas biométricos”. En esta guía la AEPD cambia de criterio y aclara que, como norma general, no se pueden tratar datos biométricos para fines de control de acceso o de registro de jornada laboral, aunque se utilicen sistemas de biometría débil.

Entonces, ¿ya no se pueden utilizar sistemas biométricos para fines de control de acceso o de registro de jornada laboral? Para poder responder a esta pregunta, primero conviene repasar algunos conceptos importantes:

¿Qué es un dato biométrico?

Son datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos (art. 4.14 del Reglamento General de Protección de Datos Personales, el RGPD).

Los datos biométricos son datos sensibles (también llamados categorías especiales de datos). Como regla general, el tratamiento de datos sensibles está prohibido (art. 9 del RGPD).

¿Qué son las plantillas biométricas?

Las plantillas biométricas, también denominadas firmas o patrones, son una forma de escritura de una característica biométrica humana, por ejemplo, de una huella o de un rostro, entre otros. Las plantillas biométricas están orientadas a ser tratadas en un proceso automatizado que permita su interpretación eficiente y eficaz por una máquina. No están orientadas a ser interpretadas por una persona, como una fotografía.

Cambio de criterio de la AEPD

En mayo 2021, la Agencia Española de Protección de Datos (AEPD) publicó la guía “La Protección de Datos en las Relaciones Laborales”, según esta guía la autenticación biométrica no debía considerase como un tratamiento de datos sensibles.

Sin embargo, en 2022 el Comité Europeo de Protección de Datos (CEPD) aclaró que tanto la autenticación como la identificación biométrica deben considerarse tratamientos de datos sensibles, hecho que obligó a la AEPD a cambiar de criterio y a publicar en noviembre de 2023 la nueva guía sobre tratamientos de control de presencia mediante sistemas biométricos.

La Identificación biométrica es el proceso que permite reconocer a una persona en particular dentro de un grupo de personas. Para ello, se comparan los datos de la persona que se quiere identificar con los datos del resto de personas del grupo.

Por otro lado, la verificación o autenticación se refiere al proceso que permite confirmar que una determinada persona es quien dice ser. Para ello, se comparan los datos de esa persona con los datos asociados a la identidad reclamada

Tratamiento de datos personales para fines de control de acceso o de registro de jornada laboral

El Estatuto de los Trabajadores (art. 20.3 y 34.9), la Ley Orgánica de Protección de Datos (LOPDGDD) y el RGPD, en su conjunto, permiten que los empleadores traten datos personales de sus empleados para fines de control de control de acceso o para fines de registro de jornada laboral, siempre y cuando se cumplan los principios para el tratamiento de datos definidos en estas normas.

Tratamiento de datos biométricos para fines de control de acceso o de registro de jornada laboral

Para poder tratar datos biométricos se deben respetar los principios y requisitos para el tratamiento de datos definidos en el RGPD y, además, se debe cumplir alguna de las circunstancias definidas en el artículo 9.2 del mismo Reglamento que levantan la prohibición de tratar datos sensibles.

Una de esas circunstancias, la del artículo 9.2.b, permite que se traten datos sensibles si existe una ley de Derecho laboral y de la seguridad y de protección social que así lo autorice. Sobre esta circunstancia, la AEPD ha aclarado que, actualmente, en España no aplica para el tratamiento de datos biométricos para fines de control de acceso o de registro de jornada en el ámbito laboral, ya que el Estatuto de los Trabajadores no autoriza expresamente el tratamiento de datos biométricos para esos fines.

El consentimiento del interesado es otra de las circunstancias (art. 9.2.a del RGPD) que autoriza el tratamiento de datos sensibles. Sin embargo, la AEPD remarca en su nueva Guía que el consentimiento tiene que ser libre y que, como regla general, el consentimiento de un empleado para que se traten sus datos biométricos para fines de control de acceso o de registro de jornada laboral no se considera como consentimiento libre. La AEPD no lo considera como un consentimiento libre por la posición de desequilibro que existe entre el empleado y el empleador, a no ser que se justifique que se ha ofrecido al empleado una alternativa real cuya elección no le causaría ninguna represalia o efecto adverso.

Por lo tanto, supongamos que el consentimiento ha sido libre, todavía se debe justificar la necesidad y proporcionalidad del tratamiento de datos biométricos para fines de control de acceso o registro de jornada laboral. Sobre este último punto, la AEPD en su nueva Guía ha dejado claro que por lo general el tratamiento de datos biométricos para fines de control de acceso o de registro de jornada laboral no es necesario, ya que existen otros mecanismos menos intrusivos que permiten alcanzar las mismas finalidades. Y que, por lo tanto, se trata de un tratamiento adicional de datos que debe justificarse con finalidades del tratamiento adicionales (seguridad física, evolución del rendimiento, acceso a determinados espacios o recursos del empleador).

Teniendo en cuenta lo anterior, para poder utilizar sistemas biométricos para fines de control de acceso o de registro de jornada laboral, con en el consentimiento del interesado, se deben dar las siguientes circunstancias:

El sistema biométrico debe respetar los principios para el tratamiento de datos personales (art. 5 del RGPD):
- Principio de licitud, lealtad y transparencia;
- Principio de minimización de datos;
- Principio de exactitud;
- Principio de limitación del plazo de conservación; y
- Principio de integridad y confidencialidad.

Se debe superar favorablemente una Evaluación de Impacto para la Protección de Datos (EIPD) que incluya y también supere el triple juicio de idoneidad, necesidad y proporcionalidad estricta establecido en el art. 35.7.b del RGPD.

El consentimiento debe ser libre, y para ello se debe ofrecer al interesado (en este caso, al empleado) una alternativa real que le permita cumplir con la misma finalidad. Si la alternativa real es menos intrusiva y permite alcanzar las mismas finalidades, el uso de datos biométricos no se considerará necesario ni proporcional.

Se deben aplicar medidas técnicas, jurídicas y organizativas que mitiguen el riesgo que implica el tratamiento de datos sensibles.

Para implementar un sistema biométrico para fines de control de acceso fuera del ámbito laboral, por ejemplo, en un gimnasio, también se deben cumplir los requisitos anteriores. En ambos casos, uno de los grandes retos es poder justificar en la Evaluación del Impacto que los beneficios buscados por el empleado, o por el interesado, se integran en las finalidades del tratamiento y lo hacen necesario.

¿Se pueden utilizar sistemas biométricos para fines de control de acceso o de registro de jornada laboral?

Depende. Cada caso requiere de un análisis individual que determine si se cumplen o no los requisitos detallados en el apartado anterior de esta entrada. Este análisis debe ser exhaustivo y debe realizarlo un experto en protección de datos, de esa forma se minimizará el riesgo de sanción por parte de la AEPD.

Si ya has implementado o te estás planteando implementar un sistema biométrico para fines de control de acceso o de registro de jornada laboral debes tener claro si cumples o vas a cumplir con los requisitos y las limitaciones definidas en el RGPD y en la LOPDGDD. De lo contrario, existirá el riesgo de sanción por incumplimiento, el cual se castiga con importantes multas. En Qualgest podemos ayudarte, nuestros más de 15 años de años de experiencia asesorando a empresas a cumplir con la normativa sobre protección de datos personales nos avalan. Contacta con nosotros si quieres que analicemos tu caso y te asesoremos.

KEYWORDS: Sistemas biométricos para fines de control de acceso o de registro de jornada laboral, lectores, huella dactilar, voz, iris, reconocimiento facial, sistema, derechos interesados, Estatuto de los Trabajadores, AEPD, RGPD, LOPDGDD, cumplimiento, sanción, principios tratamiento de datos personales.

Guía de Cookies 2023: Cómo configurar las cookies de tu sitio web para cumplir con la normativa en España

Miguel Urrea · 29/11/2023 · Dejar un comentario

El pasado mes de julio de 2023, la Agencia Española de Protección de Datos (AEPD) publicó una nueva versión de su Guía sobre el uso de las cookies (en adelante, la Guía de Cookies 2023) en la que se incluyen nuevos criterios sobre el uso de cookies que deberán implementarse, como tarde, el 11 de enero de 2024 para evitar posibles sanciones.

En esta entrada vamos a repasar lo más importante de la Guía de Cookies 2023. Pero antes ten en cuenta que, debido a la complejidad del tema, es aconsejable que contactes con un experto, ¡como nosotros!, para que puedas recibir ayuda personalizada, aplicar medidas que se adapten a las necesidades de tu negocio y te permitan cumplir con todas las obligaciones legales sobre el uso de cookies.

¿Qué son las cookies?

Las cookies son dispositivos de almacenamiento y recuperación de datos que se instalan en tu terminal cuando navegas. Sus funciones pueden ser muy diversas, por ejemplo, reconocerte como usuario, guardar tus preferencias de navegación (idioma, moneda, etc.), personalizar la forma en la que ves el contenido y guardar tus hábitos de navegación, entre otras. Existen otras tecnologías similares a las cookies, como los web beacons, los bugs y los píxels, por mencionar algunas, que también permiten almacenar y recuperar determinada información. A partir de ahora, cuando os hablemos de cookies nos estaremos refiriendo a las cookies en sí y a estas otras tecnologías similares.

Tipos de cookies

Las cookies pueden clasificarse de muchas formas, no existe una lista cerrada como tal. A continuación, te detallamos las categorías de cookies más habituales.

Según la entidad que las gestione:

Cookies propias
Cookies de terceros

Según su finalidad:

Cookies técnicas
Cookies de preferencias o personalización
Cookies de análisis o medición
Cookies de publicidad comportamental

Según el plazo de tiempo que permanecen activadas:

Cookies de sesión
Cookies persistentes

Obligaciones sobre el uso de cookies

La Guía de Cookies 2023 nos recuerda que para el uso de cookies la ley establece dos obligaciones principales, por un lado, la obligación de transparencia y, por otro lado, la obligación de obtener el consentimiento del usuario antes de utilizarlas. Esto quiere decir que a la hora de solicitar el consentimiento de los usuarios para el tratamiento de sus datos mediante cookies se les debe ofrecer información clara y lo suficientemente completa como para permitir que éstos entiendan las finalidades y el uso que se le dará a las cookies y a la información que éstas recopilan.

Pese a lo anterior, tal y como se menciona en la Guía de Cookies 2023, quedan exceptuadas de estas obligaciones aquellas cookies que se utilicen para alguna de las siguientes finalidades:

Permitir únicamente la comunicación entre el equipo del usuario y la red.
Permitir prestar un servicio que haya sido solicitado expresamente por el usuario, siempre y cuando sean estrictamente necesarias para ello.

Aquí os dejamos varios ejemplos de tipos de cookies que por su finalidad podrían considerarse como cookies exceptuadas:

Cookies de entrada del usuario.
Cookies de autenticación o identificación de usuario (únicamente las de sesión).
Cookies de seguridad del usuario.
Cookies de sesión de reproductor multimedia.
Cookies de sesión para equilibrar la carga.
Cookies de personalización de la interfaz de usuario.
Determinadas cookies de complemento (plug-in) para intercambiar contenidos sociales (solo si el usuario ha decidido mantener la sesión abierta).

Aunque solo utilices cookies exceptuadas, lo más recomendable, por razones de transparencia, es que aun así en el banner de cookies y en la política de cookies informes a los usuarios sobre el uso de cookies exceptuadas. Echa un vistazo al siguiente ejemplo para entenderlo mejor:

Aspectos clave para cumplir con la obligación de transparencia

Tal y como mencionábamos anteriormente, debes informar a los usuarios sobre el uso de cookies no exceptuadas de una forma clara, transparente, inteligible y completa. Además, debes asegurarte de que la información sea de fácil acceso, esto quiere decir que el usuario no debe buscar la información, sino que debe ser evidente para él dónde y cómo acceder a ella (que no se encuentre a más de dos clics, como recomienda el GT29 en sus directrices sobre la transparencia).

Para cumplir con la obligación anterior se recomienda presentar la información por capas, ya que de esta forma se evita la fatiga informativa del usuario, permitiéndole consultar directamente aquellos aspectos que le sean de mayor interés. A continuación, te detallamos cómo podrías repartir la información en dos capas.

En la primera capa (por ejemplo, en el banner de cookies):

El nombre de tu empresa o marca (cuando sea evidente no será necesario incluirlo);
Las finalidades de las cookies que se utilizan, indicando qué cookies son propias y cuales son de terceros;
Si van a elaborarse perfiles de los usuarios, el tipo de datos que se van a recopilar y utilizar;
La forma en la que el usuario puede aceptar, configurar y rechazar la utilización de cookies;
Un enlace claramente visible que dirija a una segunda capa informativa donde se incluya información mucho más detallada.

En la segunda capa (por ejemplo, en la política de cookies) deberías incluir toda la información sobre uso de cookies, ya que en este caso sería la última capa.

Definición y función genérica de las cookies.
Información sobre el tipo de cookies que se utilizan y su finalidad.
Identificación de quién utiliza las cookies.
Información sobre la forma de aceptar, denegar o revocar el consentimiento para el uso de cookies.
Información sobre las transferencias de datos a terceros países, en caso de que se realicen.
Información sobre elaboración de perfiles y decisiones automatizadas
Periodo de conservación de los datos para los diferentes fines.

Aspectos clave para cumplir con la obligación de obtención del consentimiento

Los usuarios deben consentir el uso de cookies de forma libre e informada para que su consentimiento se considere válido. Por ello es importante asegurarse, entre otras cosas, que el usuario sea consciente de que está otorgando su consentimiento y de qué está consintiendo.

La Guía de Cookies 2023, insiste en que cuando el usuario decida seguir navegando en el sitio web, app o plataforma sin aceptar, configurar o rechazar las cookies no podrá darse por hecho que el usuario ha aceptado el uso de cookies.

También es importante que la información que otorgues al usuario para que pueda consentir el uso de cookies no se mezcle con información sobre otros asuntos, debe ir por separado. La aceptación de las cookies también debe ir por separado, no es válido que en una misma acción el usuario acepte el uso de cookies y los términos y condiciones de uso, por poner un ejemplo.

Importante:

No se puede dar la impresión al usuario de que tiene que aceptar obligatoriamente las cookies para navegar por el sitio web.
No se puede empujar claramente al usuario a aceptar las cookies.
El color o contraste del texto de los botones no podrá llevar a un consentimiento involuntario.

La opción para rechazar las cookies debe aparecer en la misma capa y al mismo nivel que la opción para aceptarlas. El mecanismo empleado para rechazar las cookies (botón u otro) debe ser similar al que se utilice para aceptarlas.

Actualización y retirada del consentimiento

Puedes guardar las preferencias de consentimiento de un usuario para evitar que cada vez que vuelva a visitar tu sitio web, app o plataforma tenga que configurar las cookies de nuevo. Sin embargo, la AEPD recomienda en su Guía de Cookies 2023 que el consentimiento prestado por un usuario para una determinada cookie se actualice como máximo cada 24 meses.

Por otro lado, has de tener en cuenta que los usuarios deben poder retirar el consentimiento en cualquier momento con la misma facilidad con la que aceptaron el uso de cookies. Es importante que en la política de cookies informes a los usuarios sobre cómo pueden retirar su consentimiento y eliminar las cookies.

Una solución sencilla para cumplir con la obligación anterior sería permitir a los usuarios que puedan acceder en cualquier momento al banner de cookies para poder aceptar más cookies o retirar su consentimiento sobre aquellas aceptadas previamente.

**Principales errores a la hora de configurar un banner de cookies**

A continuación, podrás ver un ejemplo de un banner de cookies que incumple con las obligaciones y recomendaciones recogidas en la Guía de Cookies 2023.

Primera capa

Errores:

La información no se está presentando de forma clara y, además, se da la impresión de que obligatoriamente se tienen que aceptar las cookies.
El color del texto de los botones puede inducir a un consentimiento involuntario. Además, el texto del botón “configurar” debería estar en un color que resalte más y facilite su lectura.
No hay un botón que permita rechazar las cookies. Este botón tiene que estar al mismo nivel que el botón de aceptar.

Segunda capa

Errores:

Falta añadir información sobre las cookies que se utilizan. También falta un enlace que dirija a algún apartado con más información sobre el uso de cookies o directamente a la Política de Cookies.
El color del texto de los botones puede inducir a un consentimiento involuntario. Además, el texto del botón “guardar preferencias” debería estar en un color que resalte más y facilite su lectura.
Las cookies no exceptuadas (las de análisis o medición y las de publicidad comportamental) aparecen pre aceptadas.
No hay un botón que permita rechazar todas las cookies a la vez. Este botón tiene que estar al mismo nivel que el botón de aceptar.

**Cómo configurar un banner de cookies**

A continuación, podrás ver un ejemplo de un banner de cookies con dos capas informativas que ha sido configurado siguiendo las directrices establecidas en la Guía de Cookies 2023.

Primera capa

Segunda capa

Y hasta aquí llega nuestra entrada de hoy, esperamos que te haya resultado útil y recuerda que lo más aconsejable es buscar la asesoría de un experto en este tema si quieres evitar posibles sanciones. Nosotros (Qualgest) podemos ser el experto que te ayude a detectar y clasificar las cookies que utilizas, a configurar correctamente un banner de cookies y a redactar una política de cookies, entre otras cosas.

ENTRADAS RELACIONADAS:

Guía de cookies 2020: ¿Cómo debo configurar las cookies de mi web para no ser sancionado?

KEYWORDS: Guía de Cookies 2023, Protección de Datos, Uso de cookies, Configuración de cookies, Obligaciones sobre cookies, Transparencia, Consentimiento, RGPD, LOPDGDD, LSSI.

Ley Whistleblowing: Canal de Denuncias y Protección del Informante, lo que debes saber

Miguel Urrea · 23/10/2023 · Dejar un comentario

El 13 de marzo de 2023, entró en vigor la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (de ahora en adelante la “Ley Whistleblowing”). Esta Ley se suele identificar usando los términos anglosajones whistleblowing -acto de usar el silbato para dar alerta- o whistleblower -persona que utiliza el silbato para dar alerta-, tal y como hacemos nosotros en el título de esta entrada.

Teniendo en cuenta que el próximo 1 de diciembre de 2023 vencerá el plazo para que determinadas entidades implanten un Sistema Interno de Información, en esta nueva entrada daremos respuesta a las siguientes preguntas:

¿Cuál es la finalidad principal de la Ley Whistleblowing?

Esta ley tiene como finalidad principal fomentar la transparencia, ética y responsabilidad en las empresas y organismos públicos promoviendo una cultura de integridad y prevención de la corrupción.

Para lograr este objetivo, esta ley establece un marco que, por un lado, obliga a determinadas entidades a implementar un Sistema Interno de Información que permita denunciar infracciones penales o administrativas y, por otro lado, protege a aquellas personas que se atrevan a denunciar dichas infracciones en un contexto laboral o profesional.

¿Qué es un Sistema Interno de Información?

El término “Sistema Interno de Información” se refiere a un conjunto de elementos que permiten recibir comunicaciones o denuncias sobre posibles delitos o irregularidades administrativas.

Todo Sistema Interno de Información consta de tres componentes esenciales:

Canal Interno de Información: el buzón o cauce que permite la recepción de la información, comunicaciones o denuncias. También conocido como Canal de Denuncias;

Responsable del Sistema: la persona física encargada de gestionar el Sistema Interno de Información de forma independiente y autónoma respecto del resto de los órganos de la entidad u organismo.

Procedimiento de gestión de informaciones: el documento donde se establecen las reglas que rigen el funcionamiento del Sistema Interno de Información, respetando el contenido mínimo y principios que marca la Ley Whistleblowing.

El Sistema Interno de Información debe reunir unos requisitos mínimos, entre otros, su uso debe ser asequible, debe garantizar la confidencialidad de las comunicaciones o denuncias y preservar la identidad del informante o denunciante y de cualquier tercero mencionado en la comunicación o denuncia, debe recoger las prácticas correctas de seguimiento, investigación y protección del informante y debe contar un Responsable del Sistema.

Adicionalmente, el Sistema Interno de Información debe contar con un Canal de Denuncias o Canal Interno que permita que se realicen comunicaciones o denuncias por escrito, verbalmente o de ambas formas.

Por escrito: correo electrónico, correo postal formulario web o cualquier otro medio electrónico habilitado para tal efecto;

Verbalmente: mediante llamada, sistema de mensajería por voz o directamente ante el responsable del canal.

¿Quiénes deben implementar un Sistema Interno de Información?

En el sector privado:

Todas aquellas empresas que cuenten con más de 50 empleados.

Los partidos políticos, los sindicatos, las organizaciones empresariales y las fundaciones creadas por unos y otros, siempre que reciban o gestionen fondos públicos.

En el sector público:

Todas las Administraciones Públicas (sean territoriales o institucionales);

Todos los órganos constitucionales y de relevancia constitucional, así como aquellos mencionados en los Estatutos de Autonomía;

Las autoridades independientes u otros organismos que gestionen los servicios de la Seguridad Social;

Las universidades, las sociedades y fundaciones pertenecientes al sector público;

Las corporaciones de Derecho Público.

¿Qué se puede informar, comunicar o denunciar a través de un Sistema Interno de Información?

Acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea siempre que se cumplan los requisitos definidos en el artículo 2.1.a) de la Ley 2/2023; y

Acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave. Por ejemplo: el incumplimiento de las normativas laborales y de seguridad social, la comisión de delitos fiscales o contra la Hacienda Pública, la comisión de delitos de corrupción, como la malversación de fondos públicos o el cohecho y la vulneración de los derechos humanos y libertades fundamentales en el ámbito laboral.

¿Quiénes pueden presentar informaciones, comunicaciones o denuncias?

Las personas que trabajen en el sector privado o público y que hayan obtenido información sobre infracciones en un contexto laboral o profesional. Por ejemplo: funcionarios; trabajadores por cuenta ajena; voluntarios; practicantes; becarios; autónomos; accionistas; partícipes; los miembros del órgano de administración, dirección o supervisión de una empresa y cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas o proveedores.

Las personas que hayan obtenido información sobre infracciones en el marco de una relación laboral o estatutaria ya finalizada o que todavía no haya comenzado, siempre y cuando la información haya sido obtenida durante el proceso de selección o de negociación precontractual.

¿Cuál es plazo máximo para implantar un Sistema Interno de Información?

Antes del 13 de junio de 2023:

Las Administraciones, organismos, empresas y demás entidades obligadas a contar con un Sistema Interno de Información tenían un plazo de 3 meses a contar desde la Entrada en vigor de la Ley Whistleblowing.

Antes del 1 de diciembre de 2023:

Aquellas entidades del sector privado con 249 trabajadores o menos y los municipios de menos de 10.000 habitantes gozan de un plazo máximo extendido que finalizará el próximo 1 de diciembre de 2023.

¿Qué relación tiene esta ley con la normativa de protección de datos personales?

La Ley Whistleblowing y la normativa de protección de datos, como el RGPD (Reglamento General de Protección de Datos) o la LOPDGDD (Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales), van de la mano y se complementan de la siguiente manera:

Confidencialidad y Protección de la Identidad: la Ley Whistleblowing establece que la recepción y gestión de denuncias deben mantener la confidencialidad en todo momento, tanto antes como después de su recepción. Además, se enfoca en proteger la identidad de los informantes o denunciantes, así como la de aquellos terceros que aparezcan en la comunicación o denuncia.

Consentimiento expreso: la recopilación y el tratamiento de datos personales de los informantes o denunciantes solo pueden llevarse a cabo con su consentimiento explícito. Es decir, antes de recopilar cualquier dato personal, se debe obtener el permiso de la persona que realiza la denuncia. Además, estos datos solo pueden utilizarse con fines específicos relacionados con la investigación y seguimiento de la denuncia.

Información sobre derechos: la normativa exige que se informe a los denunciantes sobre sus derechos en relación con el tratamiento de sus datos personales y sobre cómo pueden ejercer estos derechos.

¿Es obligatorio contar con un Delegado de Protección de Datos?

Si nos fijamos en el preámbulo de la Ley Whisthleblowing veremos que se menciona que aquellas entidades obligadas a implantar un Sistema Interno de Información también quedan obligadas a contar con un DPD. Sin embargo, si consultamos el artículo 34 de la misma ley veremos que la obligación de contar con un DPD no afecta a todas las entidades que están obligadas a implantar un Sistema Interno de Información. En consecuencia, pereciera que se trata de un error y que lo más adecuado hubiera sido suprimir la obligación general de nombrar un DPD contenida en el preámbulo de esta ley.

En cualquier caso, la designación de un DPD en empresas del sector privado sigue siendo obligatoria cuando estas empresas se hallen en alguno de los supuestos definidos en el artículo 34 de la LOPDGG o en el artículo 37.1 del RGPD.

¿Cuáles son las sanciones por no contar con un Sistema Interno de Información?

El incumplimiento de la obligación de implantar un Sistema Interno de Información se considera una conducta muy grave que podrá ser sancionada con multas van desde los 600.001€ hasta el 1.000.000€.

Si todavía tienes dudas, visita nuestro sitio web o contacta con nosotros, podemos ayudarte a:

Habilitar un Sistema Interno de Información y los canales que lo componen.

Elaborar el Procedimiento de Gestión de Informaciones.

Comunicar a la Autoridad competente el nombramiento, cese o destitución del Responsable del Sistema Interno de información.

Gestionar tu Sistema Interno de Información.

Si esta entrada te ha resultado útil, nos dejes de seguir nuestro blog en los próximos días publicaremos una nueva entrada en la que explicaremos:

La diferencia entre un Canal de Denuncias interno y externo.

Cómo implementar y gestionar un Canal de Denuncias internas.

Cómo nombrar un Responsable del Sistema Interno de Información.

Cómo, cuándo y a quién se debe comunicar el nombramiento o cese del Responsable del Sistema.

Cómo elaborar un procedimiento de gestión de informaciones.

Keywords: Whistleblowing, Whistleblower, Sistema Interno de Información, Ley 2/2023, Canal de Denuncias, DPD, Protección de Datos Personales, RGPD, LOPDGDD.