REGLAMENTO GENERAL PROTECCIÓN DE DATOS
El Reglamento comunitario nº 2016/679 de 27 de abril de 2016 (RGPD) es la norma de mayor relevancia que se ha adoptado en los últimos años en el ámbito de la privacidad. No obstante, las entidades disponen de un plazo de dos años desde la publicación del Reglamento para adaptarse a esta nueva norma. En concreto, resultará aplicable a partir del 25 de mayo de 2018. El equipo jurídico de Grupo Ático34 cuenta con una amplia experiencia y conocimiento de todas las soluciones jurídicas que una empresa pueda necesitar respecto al tratamiento de datos de carácter personal. Estamos preparados para asesorar a empresas nacionales e internacionales, en su adaptación al nuevo marco regulatorio derivado del Reglamento Europeo de Protección de Datos.
LEY ORGÁNICA DE PROTECCIÓN DE DATOS Y GARANTÍA DE DERECHOS DIGITALES
La nueva Ley Orgánica 3/2018 de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD) fue aprobada el 6 de diciembre de 2018. Esta norma adapta el ordenamiento jurídico español al Reglamento General de Protección de Datos (RGPD) y desarrolla y completa sus disposiciones. Además, la Ley reconoce y garantiza un nuevo conjunto de derechos digitales de la ciudadanía conforme al mandato establecido en el artículo 18.4 de la Constitución.
LSSI O LEY 34/2002 DE SERVICIOS DE LA SOCIEDAD DE LA INFORMACIÓN Y DEL COMERCIO ELECTRÓNICO
La LSSI o Ley 34/2002 de Servicios de la Sociedad de la Información y del Comercio Electrónico, es una normativa que regula las actividades económicas a través de internet, entendiendo éstas como aquellos productos o servicios ofertados a través de páginas webs, tiendas online y correo electrónico. Quedan excluidos de esta definición los productos o contenidos audiovisuales emitidos por internet.
¿Qué es el RGPD?
El Reglamento UE 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y libre circulación de estos datos, más conocido como RGPD, es la nueva norma europea que regula la protección de datos de carácter personal.
Este Reglamento entró en vigor el pasado 25 de Mayo de 2018 y resulta directamente aplicable en todos los países de la Unión Europea, lo que genera que ha ocasionado que todas los artículos de la LOPD (Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal) y del R.D. 1720/2008 que se opongan a esta norma queden formalmente derogados.
PRINCIPALES OBLIGACIONES DEL RGPD
A continuación encontrarás una pequeña guía de las principales obligaciones que introduce el RGPD para el tratamiento de los datos personales:
1 – Transparencia e Información
Uno de los principales objetivos del nuevo RGPD es ayudar a los ciudadanos a entender sus derechos para así poderlos ejercer de manera correcta. Para ello, se ha forzado a los Responsables de Tratamiento a que redacten políticas de privacidad estructuradas, más sencillas y transparentes.
¿Cómo tendría que ser la política de privacidad ?. Algunas nociones básicas a tener en cuenta:
a) Lo primero que tenemos que tener en cuenta es que lo recomendable es utilizar el sistema de información por capas. Una capa inicial o básica en la que se informa casi telegráficamente de una serie de aspectos básicos y fundamentales y una segunda capa o información adicional donde tienes la información completa o detallada sobre el tratamiento de los datos personales de los clientes.
b) El contenido que deberíamos tener en cada una de las capas es el que se muestra a continuación:– Capa inicial o básica: Identidad del responsable del tratamiento, descripción sencilla de los fines del tratamiento, legitimación (base jurídica elegida para el tratamiento), destinatarios de cesiones o transferencias, referencia al ejercicio de los derechos del interesado, procedencia de los datos.
– Segunda capa o información detallada: Datos de contacto del responsable del tratamiento, datos de contacto del Delegado de Protección de Datos (si estamos obligados a ello), descripción detallada de los fines del tratamiento, plazos o criterios de conservación de los datos, existencia de decisiones automatizadas, perfilado y lógica aplicada, detalle de la base jurídica del tratamiento, obligación o no de facilitar datos y consecuencias de no hacerlo, destinatarios o categorías de destinatarios, como ejercer los derechos del interesado, información detallada sobre el origen de los datos y categorías de datos que se tratan.
2 – Derechos del Interesado
En la LOPD se reconocían los derechos de acceso, rectificación, cancelación y oposición, (más conocidos como derechos arco), con el nuevo Reglamento Europeo, los Derechos del interesado se ven reforzados tanto en contenido como en número, así nos encontramos nuevos derechos como el derecho al olvido (derecho al borrado en el entorno online), limitación del tratamiento, derecho a la portabilidad.
También habrá que hacer mención en las políticas de privacidad al derecho a retirar el consentimiento (cuando el tratamiento se base en éste) y a presentar una reclamación ante la autoridad de control en materia de protección de datos que resulte competente, así como la forma de ponerse en contacto con ella.
El plazo que tendremos para responder a las solicitudes de ejercicio de los derechos es de un mes.
3 – Encargados de Tratamiento
Lo primero que deberíamos saber es ¿qué es un encargado de tratamiento?. Esta figura se define en el RGPD como “la persona física o jurídica que trate datos personales por cuenta del responsable del tratamiento” .
Se trata por tanto, de un tercero (proveedor) que está tratando los datos por cuenta de aquel que determina los fines y medios del tratamiento (responsable del tratamiento).
Para que lo entendamos fácilmente, se trataría de un proveedor que nos presta servicios y en esa prestación de servicios accede o trata los datos personales de los que somos responsables (Ej. Clientes, empleados, …etc).
4 – Análisis de Riesgo
Desde la entrada en vigor del RGPD, se requiere la realización de un análisis de riesgos para poder determinar las medidas técnicas y organizativas que deberás aplicar al tratamiento de los datos personales.
5 – Registro de Actividades de Tratamiento
El RGPD obliga en determinados supuestos a llevar un Registro de Actividades de Tratamiento (RAT) en el que se incluya al menos la siguiente información sobre cada uno de los tratamientos:
– Nombre y datos de contacto del responsable del tratamiento y en su caso del delegado de protección de datos.
– Fines del tratamiento.
– Descripción de las categoría de interesados y de las categorías de datos personales tratados.
– Las categorías de destinatarios.
– En el caso de transferencias a un tercer país, la identificación del destinatario y garantías.
6 – Evaluación de Impacto sobre Protección de Datos
Cuando se considere que un tratamiento de datos personales puede conllevar un alto riesgo para los derechos y libertades de los interesados, deberá realizarse una Evaluación de impacto sobre protección de datos.
Según el RGPD, se deberá realizar una Evaluación de Impacto sobre Protección de Datos (EIPD) en los siguientes supuestos:
– Elaboración de perfiles sobre cuya base se tomen decisiones que produzcan efectos jurídicos sobre los interesados o que les afecten significativamente de modo similar.
– Tratamientos a gran escala de datos sensibles.
– Observación sistemática a gran escala de una zona de acceso público.
7 – El Delegado de Protección de Datos – DPD
El RGPD establece la figura del Delegado de Protección de Datos que será obligatorio en los siguientes supuestos:
– Autoridades y organismos públicos.
– Responsables o encargados que tengan entre sus actividades principales las operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala.
– Responsables o encargados que tengan entre sus actividades principales el tratamiento a gran escala de datos sensibles.
Además la LOPDGDD detalla algunos supuestos concretos en los que será obligatorio la figura del DPD.
a) Los colegios profesionales y sus consejos generales.
b) Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.
c) Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.
d) Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
e) Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.
f) Los establecimientos financieros de crédito.
g) Las entidades aseguradoras y reaseguradoras.
h) Las empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.
i) Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.
j) Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
k) Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
l) Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.
Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.
m) Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
n) Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego.
ñ) Las empresas de seguridad privada.
o) Las federaciones deportivas cuando traten datos de menores de edad.”
8 – Las Medidas Técnicas y Organizativas
La obligaciones en materia de seguridad también cambian de forma sustancial, especialmente en cuanto al enfoque, encontrándonos en el RGPD una visión mucho más proactiva y ajustada a cada caso concreto.
Con el régimen legal anterior, disponíamos de una norma donde se detallaban las medidas de seguridad que debíamos aplicar según los niveles de datos que se trataban (básico, medio y alto) .
Ahora con el RGPD esos tres niveles desaparecen (únicamente se distinguen entre los datos de categoría especial y el resto de datos) y las medidas de seguridad se deben adoptar según los siguientes criterios:
– Estado de la técnica
– Costes de aplicación
– Naturaleza, alcance, contexto y fines del tratamiento
– Riesgos de probabilidad y gravedad para los derechos y libertades de las personas.
El objetivo de estas medidas debe ser el de garantizar un nivel adecuado de riesgo.
Por tanto, para poder implantar unas medidas de seguridad eficaces deberá realizarse previamente el Análisis de Riesgos y éste deberá indicarnos las medidas a implantar para garantizar la seguridad de los datos.
9 – Notificaciones de Violaciones de Seguridad de los datos
El nuevo RGPD obliga a comunicar a la AEPD en el plazo máximo de 72h las violaciones de seguridad que supongan un riesgo para los derechos y libertades de los afectados.
Se considera violación de seguridad “todo incidente que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.”
Por tanto, si en nuestra organización sufrimos una pérdida o robo de información de nuestros clientes, nos veremos obligados a comunicar esta circunstancia a la AEPD en un plazo máximo de 72h.
La nueva LOPDGDD, en vigor desde el pasado 6 de diciembre de 2018, consta de noventa y siete artículos estructurados en diez títulos, de los que debemos destacar:
- El Título I, relativo a las disposiciones generales
Regula el objeto de la ley orgánica, que no son otros que:
- lograr la adaptación del ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, Reglamento general de protección de datos, y completar sus disposiciones.
- establecer que el derecho fundamental de las personas físicas a la protección de datos personales, amparado por el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley orgánica.
- garantizar los derechos digitales de la ciudadanía, al amparo de lo dispuesto en el artículo 18.4 de la Constitución.
En este título destaca la novedosa regulación de los datos referidos a las personas fallecidas, pues, tras excluir del ámbito de aplicación de la ley su tratamiento, se permite que las personas vinculadas al fallecido por razones familiares o de hecho o sus herederos puedan solicitar el acceso a los mismos, así como su rectificación o supresión, en su caso con sujeción a las instrucciones del fallecido. También excluye del ámbito de aplicación los tratamientos que se rijan por disposiciones específicas, en referencia, entre otras, a la normativa que transponga la citada Directiva (UE) 2016/680, previéndose en la disposición transitoria cuarta la aplicación a estos tratamientos de la Ley Orgánica 15/1999, de 13 de diciembre, hasta que se apruebe la citada normativa.
- El Título II, «Principios de protección de datos»
Se establece que a efectos del Reglamento (UE) 2016/679 no serán imputables al responsable del tratamiento, siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos obtenidos directamente del afectado, cuando hubiera recibido los datos de otro responsable en virtud del ejercicio por el afectado del derecho a la portabilidad, o cuando el responsable los obtuviese del mediador o intermediario cuando las normas aplicables al sector de actividad al que pertenezca el responsable del tratamiento establezcan la posibilidad de intervención de un intermediario o mediador o cuando los datos hubiesen sido obtenidos de un registro público.
Igualmente se recoge expresamente el deber de confidencialidad, el tratamiento de datos amparado por la ley, las categorías especiales de datos y el tratamiento de datos de naturaleza penal, se alude específicamente al consentimiento, que ha de proceder de una declaración o de una clara acción afirmativa del afectado, excluyendo lo que se conocía como «consentimiento tácito», se indica que el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que se otorga para todas ellas, y se mantiene en catorce años la edad a partir de la cual el menor puede prestar su consentimiento.
Se regulan asimismo las posibles habilitaciones legales para el tratamiento fundadas en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal.
Se podrán igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras, cuando ello derive del ejercicio de potestades públicas o del cumplimiento de una obligación legal y solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el reglamento europeo, cuando derive de una competencia atribuida por la ley. Y se mantiene la prohibición de consentir tratamientos con la finalidad principal de almacenar información identificativa de determinadas categorías de datos especialmente protegidos, lo que no impide que los mismos puedan ser objeto de tratamiento en los demás supuestos previstos en el Reglamento (UE) 2016/679.
- El Título III, dedicado a los derechos de las personas
Adapta al Derecho español el principio de transparencia en el tratamiento del reglamento europeo, que regula el derecho de los afectados a ser informados acerca del tratamiento y recoge la denominada «información por capas» ya generalmente aceptada en ámbitos como el de la videovigilancia o la instalación de dispositivos de almacenamiento masivo de datos (tales como las «cookies»), facilitando al afectado la información básica, si bien, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.
Se hace uso en este Título de la habilitación permitida por el considerando 8 del Reglamento (UE) 2016/679 para complementar su régimen, garantizando la adecuada estructura sistemática del texto. A continuación, la ley orgánica contempla los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad.
- En el Título IV se recogen «Disposiciones aplicables a tratamientos concretos»
Incorporando una serie de supuestos que en ningún caso debe considerarse exhaustiva de todos los tratamientos lícitos. Dentro de ellos cabe apreciar, en primer lugar, aquellos respecto de los que el legislador establece una presunción «iuris tantum» de prevalencia del interés legítimo del responsable cuando se lleven a cabo con una serie de requisitos, lo que no excluye la licitud de este tipo de tratamientos cuando no se cumplen estrictamente las condiciones previstas en el texto, si bien en este caso el responsable deberá llevar a cabo la ponderación legalmente exigible, al no presumirse la prevalencia de su interés legítimo. Junto a estos supuestos se recogen otros, tales como la videovigilancia, los ficheros de exclusión publicitaria o los sistemas de denuncias internas en que la licitud del tratamiento proviene de la existencia de un interés público, en los términos establecidos en el artículo 6.1.e) del Reglamento (UE) 2016/679. Finalmente, se hace referencia en este Título a la licitud de otros tratamientos regulados en el Capítulo IX del reglamento, como los relacionados con la función estadística o con fines de archivo de interés general. En todo caso, el hecho de que el legislador se refiera a la licitud de los tratamientos no enerva la obligación de los responsables de adoptar todas las medidas de responsabilidad activa establecidas en el Capítulo IV del reglamento europeo y en el Título V de esta ley orgánica.
- El Título V se refiere al responsable y al encargado del tratamiento
Con el fin de aclarar novedades establecidas por el Reglamento (UE) 2016/679, la ley orgánica mantiene la misma denominación del Capítulo IV del Reglamento, dividiendo el articulado en cuatro capítulos dedicados, respectivamente, a las medidas generales de responsabilidad activa, al régimen del encargado del tratamiento, a la figura del delegado de protección de datos y a los mecanismos de autorregulación y certificación.
La figura del delegado de protección de datos adquiere una destacada importancia en el Reglamento (UE) 2016/679 y así lo recoge la ley orgánica, que parte del principio de que puede tener un carácter obligatorio o voluntario, estar o no integrado en la organización del responsable o encargado y ser tanto una persona física como una persona jurídica.
- La designación del delegado de protección de datos ha de comunicarse a la autoridad de protección de datos competente.
- La Agencia Española de Protección de Datos mantendrá una relación pública y actualizada de los delegados de protección de datos, accesible por cualquier persona.
- Los conocimientos en la materia se podrán acreditar mediante esquemas de certificación. Asimismo, no podrá ser removido, salvo en los supuestos de dolo o negligencia grave.
- El delegado de protección de datos permite configurar un medio para la resolución amistosa de reclamaciones, pues el interesado podrá reproducir ante él la reclamación que no sea atendida por el responsable o encargado del tratamiento.
- El Título VI, relativo a las transferencias internacionales de datos
Procede a la adaptación de lo previsto en el Reglamento (UE) 2016/679 y se refiere a las especialidades relacionadas con los procedimientos a través de los cuales las autoridades de protección de datos pueden aprobar modelos contractuales o normas corporativas vinculantes, supuestos de autorización de una determinada transferencia, o información previa.
- El Título VII se dedica a las autoridades de protección de datos
Se regula el régimen de la Agencia Española de Protección de Datos y refleja la existencia de las autoridades autonómicas de protección de datos y la necesaria cooperación entre las autoridades de control. La Agencia Española de Protección de Datos se configura como una autoridad administrativa independiente con arreglo a la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que se relaciona con el Gobierno a través del Ministerio de Justicia.
- El Título VIII regula el «Procedimientos en caso de posible vulneración de la normativa de protección de datos».
El Reglamento (UE) 2016/679 establece un sistema novedoso y complejo, evolucionando hacia un modelo de «ventanilla única» en el que existe una autoridad de control principal y otras autoridades interesadas. También se establece un procedimiento de cooperación entre autoridades de los Estados miembros y, en caso de discrepancia, se prevé la decisión vinculante del Comité Europeo de Protección de Datos. En consecuencia, con carácter previo a la tramitación de cualquier procedimiento, será preciso determinar si el tratamiento tiene o no carácter transfronterizo y, en caso de tenerlo, qué autoridad de protección de datos ha de considerarse principal.
La regulación se limita a delimitar el régimen jurídico; la iniciación de los procedimientos, siendo posible que la Agencia Española de Protección de Datos remita la reclamación al delegado de protección de datos o a los órganos o entidades que tengan a su cargo la resolución extrajudicial de conflictos conforme a lo establecido en un código de conducta; la inadmisión de las reclamaciones; las actuaciones previas de investigación; las medidas provisionales, entre las que destaca la orden de bloqueo de los datos; y el plazo de tramitación de los procedimientos y, en su caso, su suspensión. Las especialidades del procedimiento se remiten al desarrollo reglamentario.
- El Título IX, que contempla el régimen sancionador:
La ley orgánica procede a describir las conductas típicas, estableciendo la distinción entre infracciones muy graves, graves y leves, tomando en consideración la diferenciación que el Reglamento general de protección de datos establece al fijar la cuantía de las sanciones. La categorización de las infracciones se introduce a los solos efectos de determinar los plazos de prescripción, teniendo la descripción de las conductas típicas como único objeto la enumeración de manera ejemplificativa de algunos de los actos sancionables que deben entenderse incluidos dentro de los tipos generales establecidos en la norma europea. La ley orgánica regula los supuestos de interrupción de la prescripción partiendo de la exigencia constitucional del conocimiento de los hechos que se imputan a la persona, pero teniendo en cuenta la problemática derivada de los procedimientos establecidos en el reglamento europeo, en función de si el procedimiento se tramita exclusivamente por la Agencia Española de Protección de Datos o si se acude al procedimiento coordinado del artículo 60 del Reglamento general de protección de datos.
- El Título X de esta ley acomete la tarea de reconocer y garantizar un elenco de derechos digitales de los ciudadanos conforme al mandato establecido en la Constitución.
Se regulan los derechos y libertades predicables al entorno de Internet como la neutralidad de la Red y el acceso universal o los derechos a la seguridad y educación digital así como los derechos al olvido, a la portabilidad y al testamento digital.
En este título ocupa un lugar relevante el derecho a la derecho a la desconexión digital en el ámbito laboral
Novedades más destacas
- I.- Modificación de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General (D.F. 3ª, LOPDGDD)
Como novedad más destacada y polémica de este nuevo texto está en la modificación de la Ley del Régimen Electoral, añadiendo un nuevo artículo sobre utilización de medios tecnológicos y datos personales en las actividades electorales.
«1. La recopilación de datos personales relativos a las opiniones políticas de las personas que lleven a cabo los partidos políticos en el marco de sus actividades electorales se encontrará amparada en el interés público únicamente cuando se ofrezcan garantías adecuadas.
2. Los partidos políticos, coaliciones y agrupaciones electorales podrán utilizar datos personales obtenidos en páginas web y otras fuentes de acceso público para la realización de actividades políticas durante el periodo electoral.
3. El envío de propaganda electoral por medios electrónicos o sistemas de mensajería y la contratación de propaganda electoral en redes sociales o medios equivalentes no tendrán la consideración de actividad o comunicación comercial.
4. Las actividades divulgativas anteriormente referidas identificarán de modo destacado su naturaleza electoral.
5. Se facilitará al destinatario un modo sencillo y gratuito de ejercicio del derecho de oposición.»
- II.- Régimen sancionador
Como hemos adelantado, la ley orgánica procede a describir las conductas típicas, La ley orgánica regula los supuestos de interrupción de la prescripción partiendo de la exigencia constitucional del conocimiento de los hechos que se imputan a la persona, pero teniendo en cuenta la problemática derivada de los procedimientos establecidos en el reglamento europeo, en función de si el procedimiento se tramita exclusivamente por la Agencia Española de Protección de Datos o si se acude al procedimiento coordinado del artículo 60 del Reglamento general de protección de datos.
En este sentido:
- Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento (Artículo 77 LOPDGDD).
- III.- Derecho a la desconexión digital en el ámbito laboral (Artículo 88, LOPDGDD)
Se fija el derecho de los trabajadores a la desconexión digital en el ámbito laboral, en los siguientes términos:
«1. Los trabajadores y los empleados públicos tendrán derecho a la desconexión digital a fin de garantizar, fuera del tiempo de trabajo legal o convencionalmente establecido, el respeto de su tiempo de descanso, permisos y vacaciones, así como de su intimidad personal y familiar.
2. Las modalidades de ejercicio de este derecho atenderán a la naturaleza y objeto de la relación laboral, potenciarán el derecho a la conciliación de la actividad laboral y la vida personal y familiar y se sujetarán a lo establecido en la negociación colectiva o, en su defecto, a lo acordado entre la empresa y los representantes de los trabajadores.
3. El empleador, previa audiencia de los representantes de los trabajadores, elaborará una política interna dirigida a trabajadores, incluidos los que ocupen puestos directivos, en la que definirán las modalidades de ejercicio del derecho a la desconexión y las acciones de formación y de sensibilización del personal sobre un uso razonable de las herramientas tecnológicas que evite el riesgo de fatiga informática. En particular, se preservará el derecho a la desconexión digital en los supuestos de realización total o parcial del trabajo a distancia así como en el domicilio del empleado vinculado al uso con fines laborales de herramientas tecnológicas.»
Dentro del contexto de la desconexión digital el nuevo LOPDGDD añade al Estatuto de los Trabajadores:
→ nuevo artículo 20 bis al texto Refundido de la Ley del Estatuto de los Trabajadores.
«Artículo 20 bis. Derechos de los trabajadores a la intimidad en relación con el entorno digital y a la desconexión.
Los trabajadores tienen derecho a la intimidad en el uso de los dispositivos digitales puestos a su disposición por el empleador, a la desconexión digital y a la intimidad frente al uso de dispositivos de videovigilancia y geolocalización en los términos establecidos en la legislación vigente en materia de protección de datos personales y garantía de los derechos digitales.»
→ nueva letra j) bis en el artículo 14 del Texto Refundido de la Ley del Estatuto Básico del Empleado Público.
«j) bis A la intimidad en el uso de dispositivos digitales puestos a su disposición y frente al uso de dispositivos de videovigilancia y geolocalización, así como a la desconexión digital en los términos establecidos en la legislación vigente en materia de protección de datos personales y garantía de los derechos digitales»
Objetivos
Uno de los principales objetivos de la LSSI-CE es adaptar la normativa española a las exigencias de las nuevas tecnologías y modelos de negocio. En este sentido, las metas de la normativa son:
- Fomentar el desarrollo de empleo y la economía en el ámbito digital.
- Lograr un escenario de libre competencia en el marco de las telecomunicaciones.
- Impulsar el desarrollo de redes e infraestructuras.
- Establecer un marco legal claro al que puedan atenerse tanto prestadores de servicios como usuarios de internet.
¿Quiénes deben cumplir la LSSI?
La respuesta es que están obligados a cumplir la LSSI todas aquellas personas físicas o jurídicas que realicen operaciones económicas por internet.
Esto incluye páginas web cuyos ingresos se obtengan de forma directa (venta de productos o servicios) o indirecta (publicidad online, banners, patrocinios, etc).
Se trata de una ley de aplicación en el territorio español, pero que afecta a personas físicas o jurídicas de toda la UE siempre que la gestión del negocio se lleve desde España, posea alguna sucursal en el país o realice la mayor parte de sus operaciones comerciales en el territorio nacional.
Disposiciones generales de la LSSI
La LSSI establece una serie requisitos, obligaciones y derechos para los prestadores de servicios comerciales a través de internet y para los usuarios.
Estas disposiciones generales regulan las actividades comerciales en internet y establecen los procedimientos sancionadores en caso de no cumplirla normativa. Estos son algunos de los puntos más importantes de la LSSI.
Obligación de informar
El artículo 27 de la LSSI señala la obligación de informar por parte del prestador del servicio. Esta obligación de informar se da en una triple vertiente:
- Sobre el propio prestador del servicio
- Sobre las condiciones del servicio
- Sobre el producto y las condiciones de contratación
De forma general, toda información relativa a estos conceptos debe mostrarse de forma clara, permanente y comprensible para el usuario. Esto significa que estos datos deben figurar de forma visible en la página principal de la web o en un apartado debidamente identificado.
Datos del prestador del servicio
Como persona física o jurídica que realiza actividades económicas a través de internet, es necesario ofrecer al usuario determinada información:
- Denominación social
- NIF
- Domicilio
- Dirección de correo electrónico
- Teléfono o Fax
- Cualquier otro dato relevante para la identificación del prestador
Toda esta información debe estar en un lugar claramente visible y accesible para el cliente.
Condiciones del servicio
Las condiciones del servicio son todos aquellos textos legales e informativos que debes incluir en tu web comercial o ecommerce. Entre ellos podemos citar el Aviso legal o la Política de privacidad.
Un espacio aparte merece la Política de cookies. Toda página web que utilice cookies para la elaboración de estrategias de marketing o envío de correos electrónicos, debe obtener el consentimiento expreso del cliente, mostrando un aviso de política de cookies en un lugar visible de la web.
Información sobre productos y condiciones de contratación
Del mismo modo, cualquier prestador de servicios debe proporcionar información verídica y comprobable acerca de los productos o servicios ofertados. Esto incluye INFO básica sobre el producto o servicio, como características, precio, etc.
También es necesario que como consumidores o compradores se pueda acceder a las condiciones de contratación antes de comprar el producto. En estas condiciones de contratación se debe estipular todo lo relativo al contrato de compraventa:
- Métodos de pago
- Políticas de devolución
- Trámites a realizar
- Lengua en que se redacta el contrato
- Lugar de redacción de contrato
- Medios para identificar y subsanar errores
Envío de comunicaciones comerciales por medios electrónicos
El apartado anterior se refiere a la información que como prestador de servicios comerciales debes ofrecer en tu web. O, visto de otra manera, si eres un simple usuario, es la INFO que deberías poder ver en una web que quiere venderte algo.
En cuanto a los correos electrónicos, básicamente, cualquier persona física o jurídica que cumpla con los requisitos anteriores puede enviar comunicaciones comerciales a través de medios online siempre y cuando el destinatario lo haya aceptado de forma expresa e inequívoca.
Asimismo, esta aceptación puede ser revocada en cualquier momento, y el prestador de servicios debe ofrecer los mecanismos adecuados para realizar este proceso de forma telemática y gratuita..
Cabe destacar que una web o tienda online puede enviar mensajes publicitarios a usuarios o con los que exista un contrato anterior, siempre y cuando se trate de productos o servicios similares a los contratados previamente.
Publicidad móvil: La LSSI y los SMS o MMS
Los SMS o MMS también son considerados por la LSSI como canales de comunicación electrónicos, por lo que la publicidad enviada a través de estos canales está sujeta a los mismos requisitos.
Ofertas y promociones comerciales
Toda aquella información comercial relativa a descuentos, ofertas, promociones, juegos, sorteos o concursos debe informar acerca de:
- Identidad del anunciante y del remitente
- Tipo de promoción
- Condiciones de participación
Consentimiento expreso
La obligación del consentimiento expreso es uno de los aspectos fundamental es de la LSSI, recogida también por otras leyes como la Ley Orgánica de Protección de Datos.
Como prestador de servicios, debes saber que´no puedes almacenar cookies o enviar ofertas comerciales si no tienes el consentimiento del usuario. Como usuario, solo deberías recibir ofertas comerciales si lo has aceptado de forma explícita.
Pero, ¿cómo se obtiene el consentimiento expreso? Básicamente existen dos métodos:
- Mediante un proceso de suscripción o contratación que incluya una check box en la que el usuario haga check in de forma voluntaria.
- A través de un formulario en el que el usuario pueda introducir el correo electrónico.
Como ves, en cualquiera de ambos casos se requiere de la participación activa por parte del usuario. Es decir, ya no sirve con el consentimiento tácito o por omisión.
Prestadores de acceso a internet
Si eres una persona física o jurídica cuya actividad se basa en permitir el acceso a internet o correo electrónico (proveedores de servidores, hostings o cuentas de correo electrónico, sistemas operativos, etc) también deberás informar acerca de:
- Herramientas tecnológicas dispuestas para la protección de los usuarios frente a virus, spam, phishing y otros contenidos o comportamientos no deseados.
- Responsabilidad del usuario respecto al uso de internet con fines no lícitos, incluyendo la vulneración de la intimidad y las propiedades industrial e intelectual.
Últimas novedades en la LSSI
La ley 9/2014, de 9 de mayo ha modificado algunos puntos del texto original, adaptándola a las nuevas exigencias del medio digital. Algunas de las novedades incluidas en la última adaptación de la LSSI son las siguientes.
Aplicación de códigos de conducta
La ley prevé que las administraciones públicas promuevan la creación de determinados códigos de conducta de acuerdo a la ley. Mediante la debida coordinación y asesoramiento, estos códigos deberían empezar a implantarse tanto a nivel local como internacional.
Otra novedad de la LSSI es que no es necesario volver a aceptar las cookies al realizar la actualización del navegador. Siempre y cuando el navegador lo permita, el consentimiento se considera otorgado.
Se definen los tipos de infracciones existentes por no cumplir la política de cookies, y se establecen las multas y sanciones en cada caso. Se distingue entre:
- Infracciones leves: multa de hasta 30.000 euros, dependiendo de factores como el beneficio obtenido o la prolongación de la infracción en el tiempo.
- Infracciones graves: reincidir en un plazo menor de 3 años. Multas entre 30.001 y 150.000 euros.
Uso de los términos “Publi” o “Publicidad”
Hasta esta actualización de la LSSI, era necesario marcar la publicidad claramente con términos como “Publicidad”, “Publi” o similares. Ahora ya no es obligatorio.
Infracciones por spam
A partir de ahora se considerará como infracción grave por spam el envío masivo de correos electrónicos de forma sistemática. Sin embargo, también se añaden una serie de atenuantes que permiten a la empresa rebajar o evitar la sanción:
- El infractor ha reconocido su culpa y ha intentado solucionar su situación a la menor brevedad.
- Existe la certeza de que el afectado o denunciante ha actuado de forma ilícita.
- Se ha producido una fusión o absorción y la infracción es anterior a ese procedimiento.
- Se estima que la infracción no es grave, sino leve, en cuyo caso, y si es la primera vez, no se recibiría sanción, sino un apercibimiento.