¿Me puedo negar a fichar con el móvil personal?

Resolvemos las dudas que suscita entre trabajadores y empresas la nueva normativa sobre registro de jornada acerca del uso de dispositivos personales como método de fichaje

El uso del móvil personal para registrar la jornada laboral es cada vez más común. Sin embargo, muchos trabajadores se preguntan si es legal que la empresa les obligue a utilizar su propio dispositivo para fichar. La respuesta corta es: sí puedes negarte. Veamos por qué.

¿Es legal que me obliguen a fichar con mi móvil personal?

No. El principio básico de la normativa laboral y de protección de datos establece que el trabajador no tiene obligación de usar medios propios para cumplir con las exigencias de la empresa. El teléfono móvil personal entra dentro de ese ámbito.

La Agencia Española de Protección de Datos (AEPD) y el propio Estatuto de los Trabajadores señalan que los dispositivos personales son privados, y la compañía debe poner a disposición de la plantilla los medios necesarios para registrar la jornada.

¿Qué alternativas tiene la empresa?

Si no se quiere fichar con el móvil personal, la empresa está obligada a habilitar otros métodos de control horario digital. Algunos ejemplos son:

* Tu correo electrónico

* Un móvil o tablet corporativo.

* Un sistema de fichaje mediante códigos QR o PIN en la oficina.

* Dispositivos físicos (lectores NFC, tarjetas, terminales).

* Aplicaciones accesibles desde ordenador del centro de trabajo.

¿Qué pasa si me niego a fichar con mi móvil personal?

El trabajador no puede ser sancionado por negarse a usar su propio dispositivo. Si la empresa insiste en que se debe hacer el fichaje desde el móvil, tendrá que proporcionar uno para uso laboral o facilitar un método alternativo.

Videovigilancia laboral: la AEPD y el Supremo sustancian sus límites por diferentes caminos

El uso de cámaras de vigilancia y grabación de sonidos en el espacio de trabajo componen un tetris normativo

El uso de medios audiovisuales y digitales para el control de la prestación laboral siempre ha sido una práctica controvertida y conflictiva, ya que en su práctica colisionan dos intereses habitualmente antagónicos: los del empleador y los de los empleados.

Por un lado, tenemos al empresario/a que, en función del artículo 20.3 del Estatuto de los Trabajadores y en su reconocimiento explícito al poder de dirección, considera estar en su derecho de poder verificar el cumplimiento de las obligaciones y deberes de las personas trabajadoras en el ámbito de la relación laboral, facultándole para adoptar las medidas de vigilancia y control que estime más oportunas. Obviamente, los actuales sistemas de cámaras, registro de audio y herramientas digitales, a los que se están añadiendo soluciones de Inteligencia Artificial y algoritmia, facilitan sobremanera dicho control.

Por otro, tenemos a las personas asalariadas, que perciben tal control como una intromisión ilegítima en su privacidad, que no solo coarta su autonomía, sino que alcanza un derecho fundamental consagrado en nuestra Carta Magna, como es el derecho a la intimidad (artículo 18 CE). No en vano, más de la mitad de los ocupados españoles encuestados por el Parlamento Europeo este mismo año afirman sentirse monitorizados por su empleador y hasta un 12% lo son por medio de circuitos cerrados de televisión (CCTV).

Colisionan así dos apartados de nuestro Derecho (control laboral vs. intimidad personal), atravesados por los derechos y límites inscritos en la Ley Orgánica de Protección de Datos (LOPD) de 2018, que, en su Título X de Garantía de los derechos digitales —y en especial en el artículo 89 referido al uso de la videovigilancia y la grabación de sonidos en el lugar de trabajo— vienen a componen un tetris normativo (y competencial, como veremos más adelante) que no resulta de fácil comprensión para todas la partes implicadas.

El más reciente capítulo lo protagoniza la Agencia Española de Protección de Datos (AEPD) que, en una resolución del 2 de diciembre de 2025, analiza un caso digno de atención por paradigmático. Clínica dental situada en Vélez-Málaga dispone de 11 cámaras de videovigilancia que graban 24 horas por 365 días todas las dependencias del emplazamiento, sean despachos clínicos (y por tanto, a los pacientes) o lugares de trabajo (y, por tanto, a sus empleados/as).

En cuanto al apartado laboral que interesa a este artículo (la clínica acepta su responsabilidad desde un primer momento por la grabación continua de gabinetes/quirófanos, accediendo así a la reducción de la multa por pago voluntario), la AEPD requiere a la clínica explicaciones que justifiquen la grabación permanente de la actividad laboral de toda su plantilla.

La empleadora afirma que “[se] respetan en todo momento los derechos fundamentales de los trabajadores y garantizan su dignidad en el entorno laboral”, arguyendo en su defensa que las personas trabajadoras habían consentido la medida y que, incidiendo en lo anterior, los propios trabajadores habían reclamado dicha videovigilancia para “mejorar su sensación de seguridad y protección en el entorno laboral”, puesto que en “el sector” se registraban “agresiones verbales y físicas por parte de los pacientes”.

Sancionan con 6.000 euros a una empresa por compartir el móvil personal de una empleada con otros 18 trabajadores

La afectada presentó su renuncia al puesto de trabajo el mismo día que vio vulnerados sus derechos y lo puso en conocimiento de la Agencia Española de Protección de Datos (AEPD)

«¿A quién le habéis pedido permiso para enviar mi número de teléfono personal en un correo a las 18 personas del equipo en el que no estoy ni en copia?». Con esta frase mostraba su indignación la trabajadora de una empresa que acudió a la Agencia Española de Protección de Datos (AEPD) al ver vulnerados sus derechos. Así lo recoge la resolución de sanción de este organismo, al que ha tenido acceso este periódico, y en la que impone a la empresa una multa de 6.000 euros (finalmente ha pagado 3.600 tras acogerse a dos reducciones).

Los hechos se remontan al 12 de marzo del pasado año. Ese día, la trabajadora fue bombardeada a llamadas hasta que su teléfono móvil personal «colapsó». «La única llamada que alcanzó a responder fue la de una persona que le indicó que había sido la empresa la que le había facilitado sus datos. Esta última no lo negó cuando fue llamada a consultas por la AEPD, aunque se excusó en que era el teléfono que iba a utilizar para sus tareas laborales en la empresa, pues la trabajadora no había aportado ningún otro contacto. Asimismo, la empresa argumentó que se vieron en la «obligación» de compartir los datos ante la falta de respuesta de la empleada y la urgencia de coordinar tareas relacionadas con el proyecto en el que estaba asignada: «Primeramente pedirte disculpas, pues este no es el proceder de la empresa, pero te había enviado el viernes el listado de personal (tan pronto nos lo acreditaron desde el ayuntamiento) y a martes, no te habías puesto en contacto con ellas para poder cerrar ubicaciones y concretar reunión, sin tener noticias tuyas», recoge la resolución.

Adjudicataria de un contrato público del Ayuntamiento de Valencia de «Servicios de información, sensibilización, prevención, atención y formación sobre las violencias sexuales», la empresa contrató para su desarrollo a esta trabajadora, que debía encargarse de la coordinación de determinados recursos del proyecto. No llegó a empezarlo, pues el mismo día de los hechos presentó su renuncia al puesto de trabajo.

Además del uso del número de teléfono sin consentimiento previo, la reclamación también incluía denuncias sobre la creación de una dirección de correo electrónico que vinculaba el correo personal de la denunciante como información de recuperación, acción que ella aseguró no haber autorizado. Por su parte, la mercantil negó haber creado dicha cuenta y afirmó que las direcciones utilizadas para este tipo de servicios laborales siempre están asociadas a un dominio corporativo.

La sanción impuesta se justifica en el incumplimiento del artículo 6.1 del Reglamento General de Protección de Datos (RGPD), que determina que el tratamiento de datos personales solo es lícito si cuenta con el consentimiento explícito del afectado, que en este caso no existía.

Si bien la empresa contaba con un protocolo interno para la gestión de datos personales, que incluía el consentimiento firmado por los empleados, en este caso no se había llevado a cabo, de ahí que la empresa reconociese su error. Según se expone, se habría utilizado «por error» su teléfono sin haber consentido expresamente la parte reclamante, «al no constar cumplimentado por la misma el formulario mencionado». En este sentido, la mercantil hace propósito de enmienda y asegura a la AEPD que a raíz de este incidente ha revisado su política de seguridad y ha introducido una doble comprobación en relación con su consentimiento.

Multa de 10.000 euros a una empresa por instalar un sistema de videovigilancia sin formalizar contrato con la mercantil encargada de tratar las imágenes captadas

El tratamiento de datos realizado no cumple la normativa de protección de datos personales

La Agencia Española de Protección de Datos (AEPD) ha sancionado con 10.000 euros a una empresa dedicada a la impresión de piezas de metal en 3D por contar con irregularidades en su sistema de videovigilancia.

Concretamente la entidad sancionada instaló el sistema de cámaras de seguridad pero no formalizó contrato alguno con otra empresa que se encargaba del tratamiento de las imágenes captadas con esos dispositivos, lo que supone el incumplimiento de la normativa de protección de datos personales, por cuanto la imagen física de una persona es un dato personal y su protección es objeto del Reglamento General de Protección de Datos.

La resolución imponiendo la multa administrativa a la mercantil (disponible en el botón ‘descargar resolución’) llega a raíz de que la Agencia decidiera iniciar un procedimiento sancionador contra la citada empresa después de que un trabajador de la misma interpusiera ante la AEPD una reclamación comunicando que, su empleadora había instalado de un sistema de videovigilancia en su sede social, ubicada en un polígono industrias de Torrejón de la Calzada (Madrid), y que podía suponer un posible incumplimiento del Reglamento Europeo 2016/679 (Reglamento General de Protección de Datos- RGPD).

En la reclamación el empleado manifestaba que la mercantil había puesto en sus instalaciones cámaras de videovigilancia que podían captar sonido, sin que se hubiese informado de ello a los trabajadores. Asimismo señalaba que había cámaras que estaban orientadas a zonas de descanso de los trabajadores y a la vía pública. El reclamante aportó varias imágenes de ubicación de las cámaras.

La imagen es un dato personal

La Agencia Española de Protección de Datos dio traslado de dicha reclamación a la mercantil. En el escrito de respuesta, la entidad indicó que operaba con cámaras propias destinadas al control de los procesos productivos y adjunto varios documentos, entre ellos el contrato de prestación de servicios de seguridad de la empresa y una carta que se distribuyó a los trabajadores en la que se detallaban los sistemas de vigilancia. Esa carta recogía la firma de consentimiento de las personas trabajadores, denominada ‘compromiso de confidencialidad empleados’, no obstante, no se aportó dicho documento firmado por los trabajadores.

En esa carta informativa distribuida a los trabajadores se detallan los sistemas de vigilancia, indicándose expresamente en el punto 13 que “el trabajador ha sido informado y consciente la grabación mediante circuito de videovigilancia externa de las instalaciones”. No obstante, el contrato de prestación de servicios de seguridad aportado por la entidad es el firmado por otra empresa con la que la entidad actora comparte sede social, indicándose en dicho contrato es la otra mercantil la encargada del tratamiento de datos.

Asimismo, la parte reclamada adjuntó a la Agencia un informe técnico con las imágenes captadas por cuatro de las cámaras durante un día concreto, todas ellas imágenes interiores del edificio, indicando que se grababa el vídeo y el mismo se guardaba durante un período de 31 días, pero que ninguna de esas cámaras captaba audio. La empresa también adjunto tres fotografías (sin fechar) de los carteles indicando la existencia de zonas sujetas a videovigilancia, instalados en la entrada de la nave, la zona de soldadura y la fachada exterior de la nave.

Multa de 6.000 euros a una empresa por facilitar a terceros el teléfono personal de una empleada sin su consentimiento

La empleadora hizo un tratamiento ilícito de los datos personales de la trabajadora

La exigencia del consentimiento informado en el ámbito laboral para que la empleadora pueda hacer un tratamiento lícito de los datos personales de sus trabajadores cobra especial relevancia. Así lo recuerda la Agencia Española de Protección de Datos (AEPD) en una reciente resolución en la cual ha sancionado a una empresa con 6.000 euros por ceder ilícitamente a terceros los datos personales de una empleada.

La sanción llega a raíz de que la trabajadora interpusiera una reclamación ante la AEPD contra la empleadora —una empresa que fue adjudicataria de un contrato público del Ayuntamiento de Valencia, de ‘Servicios de información, sensibilización, prevención, atención y formación sobre las violencias sexuales en la ciudad de Valencia’, para cuya ejecución contrató a la parte reclamante, que debía encargarse de la coordinación de determinados recursos del proyecto—.

En dicha reclamación la mujer exponía que la empresa había facilitado sus datos personales, teléfono móvil incluido, a 18 personas sin haber solicitado previamente su consentimiento.  La empleada tuvo conocimiento de ello cuando un día, poco después de iniciar la relación laboral, su teléfono móvil colapsó de mensajes y llamadas telefónicas, y la única llamada que alcanzó a responder era de una persona que le indicó que la empresa le había facilitado sus datos.

Los datos fueron cedidos “por error”

Disconforme con la decisión de la empresa de facilitar su número personal a diversas personas sin haber dado consentimiento para ello, la mujer escribió un correo electrónico a la mercantil.

La empresa respondió a dicho correo reconociendo haber facilitado sus datos y argumentando que entendía que ese número de teléfono era el que iba a usar para sus tareas laborales. Asimismo, la empleadora se disculpó por ello e indicó que esa no era la forma de proceder que solía tener, sin embargo, como no lograba contactar con ella por correo electrónico, había facilitado el número de teléfono a las personas que necesitaban comunicarse con la trabajadora.

La AEPD dio traslado de dicha reclamación a la empresa. La mercantil, por su parte, respondió a la Agencia que cuando contrata a una persona le envía un documento estandarizado en relación con el tratamiento de sus datos como trabajadora, que incluye unas casillas para indicar si consiente que sus datos personales sean cedidos a terceros. Y en los casos en los que la persona contratada no expresa su consentimiento, la empresa le facilita correo electrónico, teléfono o los medios que el proyecto que coordina requiera para las comunicaciones que tenga que realizar como parte de su relación.

No obstante, la empresa manifestaba que el presente caso se habría utilizado por error el teléfono móvil de la reclamante sin haber expresado ésta su consentimiento para ello, al no constar cumplimentado por la misma el formulario mencionado. Asimismo, la mercantil indicaba que a raíz de ese incidente la empresa había revisado su política de seguridad e introducido una doble comprobación en relación con el consentimiento.

Meter en un grupo de WhatsApp a una persona o enviar documentos sin permiso acaba en una multa de la AEPD

La Agencia Española de Protección de Datos (AEPD) ha impuesto sanciones económicas a empresas que incluyen a personas en grupos de WhatsApp sin su consentimiento previo. Estas prácticas, aparentemente inofensivas, infringen el Reglamento General de Protección de Datos (RGPD) pueden salir caras.

Al igual que también han castigado a aquellos que han difundido documentos de terceras personas sin permiso.

En octubre de este año, la AEPD sancionó con 3.000 euros a la empresa Ilurobox S.L. En este caso, por meter en un grupo de WhatsApp en el que había 150 personas a un usuario sin consentimiento. Lo que permitió, además, que todos ellos pudiesen visualizar los datos personales del resto. Es decir, el número de teléfono, su «alias» y la fotografía de perfil.

Según se explica en la reclamación, el ciudadano aportó como prueba una captura de pantalla que permitía observar como, en los comentarios de dicho chat, había mensajes de sorpresa de los participantes en los que cuestionaban el motivo de la creación del grupo. Además, el número de teléfono con el que se creó tal grupo coincidía con el de la empresa.

Artículo 6 del RGPD

La AEPD trasladó a la mercantil la reclamación para que pudiese aportar su versión de los hechos. Pero no dieron ninguna respuesta, de modo que, en base a lo aportado por el reclamante, consideraron probado que la incorporación al grupo se hizo sin consentimiento, dice la reclamación dada a conocer a través de Caty Pou.

Desde la Agencia recordaron que, para que un tratamiento de datos se considere lícito, de acuerdo con el artículo 6 del RGPD, se requiere la existencia de una base legal que lo legitime. Y en este caso, «no se desprende la existencia de alguna causa que legitime el tratamiento de los datos personales de la parte reclamante».

Por lo que la AEPD decidió sancionar a la empresa con 3.000 euros por haber infringido el artículo 6.1 del RGPD. Además, le advirtió de que, en el plazo de dos meses, debían implementar medidas técnicas y organizativas de seguridad que impidan la creación de grupos de mensajería instantánea sin consentimiento que permitan la revelación de datos personales asociados a los participantes. Así como la eliminación de aquellos que no hayan prestado consentimiento para formar parte del mismo.

Nude Project tendrá que pagar 20.000 € por enviar el ticket por correo y, de paso, mandar publicidad sin consentimiento

La sanción no es firme puesto que se puede recurrir ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.

Mandar fotos de un compañero al grupo de trabajo

La AEPD castigó en abril de 2023 con 3.000 euros –finalmente 1.800 euros por acogerse al pago voluntario- a la empresa Grupo de Seguridad y Control Global por vulnerar dos artículos del Reglamento General de Protección de Datos (RGPD).

Interior activa el nuevo registro de hospedaje y alquiler de vehículos

El Ministerio del Interior ha activado el nuevo registro documental sobre las actividades de hospedaje y alquiler de vehículos a motor, concebido como un instrumento policial de prevención y lucha contra el terrorismo y el crimen organizado.

Las empresas hoteleras y de alquiler de coches, así como las plataformas intermediarias en ambos sectores y las agencias de viaje, deben comunicar al registro los datos de los clientes con los que mantienen relaciones comerciales.

Este registro está recogido en el Real Decreto 933/2021, de 26 de octubre de 2021, que está en vigor desde abril de 2022. Desde entonces, el Ministerio ha mantenido un diálogo constante con los sectores afectados y aplicado distintas moratorias a su puesta en funcionamiento para facilitar su adaptación al nuevo mecanismo de recogida de datos.

El registro de pernoctaciones hoteleras existe desde 1959, y había quedado obsoleto con el paso del tiempo al no recoger nuevas modalidades de negocio como las viviendas turísticas de corta duración o los portales y centrales de reserva de habitaciones a través de medios digitales en internet.

El nuevo registro permite ahora recabar los datos de los usuarios de hoteles, hostales, pensiones, casas de huéspedes, establecimientos de turismo rural o análogos; apartamentos, bungalows y otros alojamientos similares de carácter turístico, campings y zonas de estacionamiento de autocaravanas, así como operadores que presten servicios de intermediación entre la hospedería y los consumidores y plataformas digitales de reservas.

Estas empresas solo deberán volcar en el nuevo registro aquellos datos que recaben para su propia gestión comercial, datos que en su mayoría son los mismos que ya comunicaban al anterior registro activo desde 1959. Respecto a la identidad de los clientes, la principal novedad consiste en hacer constar la relación de parentesco cuando algún grupo incluya a menores de edad, mientras que sobre las operaciones comerciales deberán precisar el medio de pago e identificar la transacción si se abona mediante tarjeta de crédito, transferencia bancaria o plataforma digital de pago, sistemas inexistentes hace 65 años.

Respecto al registro del alquiler de vehículos a motor, existe desde 1974 y su normativa también ha quedado desfasada medio siglo después. Como en el caso anterior, el nuevo sistema obliga también, junto a las empresas dedicadas expresamente al alquiler de vehículos, a los operadores y las plataformas digitales dedicadas a la intermediación en estas actividades a través de internet.

Un sistema más ágil

El nuevo registro está alojado en la aplicación ses.hospedajes, gestionada por la Secretaría de Estado de Seguridad del Ministerio del Interior, responsable de la custodia y protección de los datos que en ella sean alojados.

Protección de Datos sanciona a una empresa por informar a sus clientes del despido de un trabajador por «mala praxis»

Desde esta institución creen que no es justificable comunicar la causa al ser un «asunto privado» que sólo concierne a ambas partes

La Agencia Española de Protección de Datos (AEPD) ha sancionado con 5.000 euros a una empresa por enviarle un correo electrónico a los clientes de un trabajador, en el que se les comunicaba que «había dejado de prestar servicio al ser despedido disciplinariamente por mala praxis profesional».

Inicialmente, la Agencia Española de Protección de Datos trasladó dicha reclamación a la compañía para que procediese a su análisis y le informase en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.

El traslado fue recogido por el responsable y en fecha 10 de diciembre de 2021 respondió señalando, entre otras cuestiones, que había comunicado el nombre, primer apellido y correo electrónico corporativo del trabajador a los clientes a los que él venía prestando sus servicios como empleado y que dicha comunicación «se hizo en interés legítimo, tanto de la entidad reclamada como de los clientes de dicha entidad, a los que el reclamante prestaba asesoramiento fiscal».

En fecha 13 de noviembre de 2021 se admitió a trámite la reclamación presentada por parte del trabajador.

Con fecha 8 de enero de 2024 se acordó iniciar procedimiento sancionador a la empresa, por la presunta infracción del artículo 5.1 c) del RGPD, tipificada en el artículos 83.5 del RGPD. En este sentido, la AEPD indica en su resolución que se han cedido más datos de los precisos para cumplir con la finalidad pretendida y «no es justificable» que se comunique la causa por la que el trabajador ha sido despedido, al considerar que las causas del cese de la relación laboral entre empleado y empleador es un «asunto privado que sólo concierne a ambas partes y no a terceros.»

Finalmente indica la AEPD que en la respuesta dada por la empresa al respecto, reconoce que se ha comunicado la causa de cese a los clientes, pero no indica la voluntad de adoptar medidas para que no vuelva a suceder. «Así las cosas, de conformidad con las evidencias de las que se dispone, se considera que los hechos denunciados, podrían vulnerar el artículo 5.1 c) del RGPD, indicado en el fundamento de derecho II, ya que nos encontramos ante un tratamiento ilícito de los datos personales, al vulnerar el principio de minimización de los datos personales tratados, el cual exige que el tratamiento de los datos personales sea adecuado, pertinente y limitado a lo estrictamente necesario en relación con los fines para los que se requiera su tratamiento».

Por todo lo mencionado anteriormente, la AEPD acordó imponer una multa de 5.000 euros a la empresa que realizó un tratamiento de los datos personales de la empresa infringiendo este precepto normativo, la cual se redujo a 3.000 euros por pronto pago.

Desde Unive Abogados aseguran que quienes hagan un tratamiento de datos personales excediéndose, amparándose en una base legitimadora a priori válida, «deben saber que es altamente probable que la AEPD les sancione», advierten. Por eso, insisten en la importancia de contar con el asesoramiento de especialistas jurídicos y expertos en la normativa de protección de datos, para evitar que la denuncia acabe en sanción.

Fuente: Protección de Datos sanciona a una empresa por informar a sus clientes del despido de un trabajador por «mala praxis» | Diario Sur

La Agencia Española de Protección de Datos aclara en qué casos puedes colocar una cámara de seguridad

Resuelve la duda sobre la grabación y uso de las imágenes captadas por estos sistemas en la vía pública y el rellano de un edificio

Instalar un sistema de alarma, colocar pestillos en las puertas de entrada o disponer cámaras de videovigilancia son algunos de los métodos predilectos para aumentar la seguridad de una vivienda y disuadir a todo aquel que intente franquear sus perímetros. 

Cabe recordar que en España, la ley impide emplazar defensas dañinas como cuchillas, pinchos, cristales o cercos eléctricos. Por ello, todas las tácticas que los propietarios deseen implementar deben ser defensivos y no ofensivos. En este sentido, se permiten instrumentos como rejas, persianas autoblocantes o detectores de movimiento, entre otros.

En los últimos años, el mercado ha innovado el funcionamiento de aquellos sistemas que sí están homologados. De este modo, los sensores de una alarma ya no se activan con el paso de las mascotas y saben captar a la perfección la presencia humana. Otro gran avance se centra en la protección del exterior gracias a infrarrojos, dispositivos ultrasónicos o duales. Sin embargo, las dudas llegan con las cámaras de seguridad, que se pueden adquirir con suma facilidad en múltiples páginas web sin requerir asistencia profesional. ¿Qué se puede grabar exactamente? ¿Es legal? ¿Se puede utilizar la cinta en caso de robo como prueba?

La Agencia Española de Protección de Datos (AEPD) se ha pronunciado en distintas ocasiones sobre esta práctica para esclarecer su uso. 

En primer lugar, indican que «la captación y grabación de imágenes de la vía pública con fines de seguridad es una función reservada a las Fuerzas y Cuerpos de Seguridad». Así, no se permite instalar puntos que estén dirigidos hacia cualquier zona que no forme parte de la residencia. 

«Únicamente se permitirá la grabación de aquel espacio de la vía pública que resulte imprescindible para la finalidad que se pretende o resulte imposible evitarlo por razón de la ubicación de las cámaras», especifican.

Protección de Datos cambia de criterio y deja en el alambre a las empresas que usan huella dactilar o reconocimiento facial

El regulador de privacidad considerará ilegales los sistemas biométricos usados para el control de entrada o registro horario salvo en circunstancias excepcionales

La imposición del uso de la huella dactilar o el reconocimiento facial como método de entrada o control horario por parte de las empresas puede tener los días contados. La Agencia Española de Protección de Datos (AEPD) ha cambiado su criterio respecto al uso de los sistemas de biometría para el control de acceso, tanto con fines laborales como no laborales (como en gimnasios o clubes privados). A partir de ahora, el organismo los considerará sistemas prohibidos salvo que exista una circunstancia excepcional que justifique su uso por delante de métodos que no usen datos “de alto riesgo”.

La Agencia ha publicado este cambio de criterio en su reciente “Guía Tratamientos de control de presencia mediante sistemas biométricos”, que detalla la interpretación que hará a partir de ahora para valorar si estos métodos se ajustan a la normativa de protección de datos. Una actualización que justifica en que la rápida evolución de esta tecnología que ya “permite incluso recoger información sin la cooperación de la persona” o su conocimiento, así como que la inteligencia artificial “puede utilizarse para inferir información adicional sobre las personas”.

El principal cambio respecto al anterior criterio es que deja de considerar el visto bueno de las personas que lo usan como una legitimación suficiente para implantar un sistema de acceso basado en la huella o la cara. El regulador afirma que ese consentimiento no se otorga de forma libre si no existe en la empresa otra forma de entrar o de fichar.

“El consentimiento no puede levantar la prohibición o ser una base para determinar la licitud de este, al existir un desequilibrio entre la persona a la que se somete al tratamiento y quien lo está llevando a cabo”, argumenta la AEPD. Cuando estos sistemas se imponen como control horario o presencial en las empresas, “se produce un desequilibrio de poder entre empleado y empleador que hace que este consentimiento no se proporcione libremente”, continúa.

Da igual que sea más barato o más sencillo

Hasta ahora la Agencia Española había considerado ese visto bueno del usuario como una base legal suficiente para el uso de biometría. Su postura oficial era “desaconsejar” el uso de la huella o la cara si otros métodos de menor impacto estaban disponibles, pero el consentimiento del usuario final unido a argumentos como que el sistema biométrico es más barato o sencillo de implantar conseguían pasar el filtro. También el de que evita irregularidades como la de que un empleado pueda fichar por otros, algo que permiten métodos como las tarjetas de radiofrecuencia.

Ilunion Seguridad, multada con 15.000 euros por enviar comunicaciones laborales por correo sin copia oculta

Consideraron que se había incumplido una brecha de seguridad en cuanto a la remisión de dos correos electrónicos sin la utilización de la copia oculta.

La Agencia Española de Protección de Datos (AEPD) ha sancionado con 15.000 euros a la empresa Ilunion Seguridad por vulnerar dos artículos del Reglamento General de Protección de Datos (RGPD). En concreto, el 5.1.f), que se refiere a la confidencialidad y el 32, que habla sobre la seguridad del tratamiento. No puso la copia oculta al enviar correos laborales.

Todo comenzó cuando uno de los empleados decidió poner una reclamación por dos motivos. Por un lado, porque la empresa había enviado comunicaciones laborales a sus teléfonos particulares sin haber prestado su consentimiento ni contar con la participación de la representación de los trabajadores.

Y, por otro lado, porque la empresa había enviado correos electrónicos sin utilizar la opción de “copia oculta”, de modo que se podían observar todos los la cuenta de email de todos los destinatarios.

LA AEPD PIDIÓ EXPLICACIONES A ILUNION SEGURIDAD

Así las cosas, la AEPD pidió explicaciones a Ilunion Seguridad. Respecto a las comunicaciones por WhatsApp, alegaron que se llevaban a cabo a fin de mantener informados a los trabajadores acerca de circunstancias esenciales de su relación laboral, como turnos, suplencias, vacaciones, prevención de riesgos laborales o formación.

Destacaron que era necesario mantener unos canales de comunicación ágiles y efectivos basados en el teléfono o en el correo electrónico ya que la comunicación por carta postal resultaba imposible dados los tiempos que requiere. 

También explicaron que se hicieron más frecuentes a partir de marzo de 2020, fecha en la que fue declarado el confinamiento derivado de la pandemia.

De modo que consideraron que enviar comunicaciones por esta aplicación era lo más adecuado para trasladar cambios de última hora a fin de mantener un servicio crítico en esos momentos como era el de la vigilancia en los aeropuertos y derivados de la situación de ERTE, que les hacía reasignar los turnos.

Además, insistieron en que, en ningún momento, utilizan WhatsApp para dar instrucciones diarias de trabajo o encargar tareas y que los empleados sí consintieron al existir una clara acción afirmativa que legitimaría su uso.

Es ilegal instalar cámaras de videovigilancia que enfoquen a la vía pública, pero hay excepciones

La Agencia Española de Protección de Datos (AEPD) pone un sinfín de multas a comunidades de propietarios o empresas por instalar cámaras de videovigilancia que enfocan a la vía pública. Llevar a cabo esta práctica infringe el Reglamento General de Protección de Datos (RGPD). 

Y es que, según el artículo 4.1 del RGPD, la imagen física de una persona es un dato personal y su protección es objeto de dicho reglamento. 

El abogado Andrés Robles, experto en la materia y letrado de Cdlegal, ha explicado a Confilegal que hay excepciones en la instalación de estas cámaras por motivos de seguridad. 

“La Instrucción 1/2006 ofrece la posibilidad de instalar cámaras para la protección y custodia de los espacios privados en los que quizás la necesidad de grabar accesos a portales o garajes se haga imprescindible o sea imposible evitar la captación de la vía pública”, como cajeros o ministerios.

No obstante, “si existe la posibilidad de una instalación alternativa en la que no se capte la vía pública no se podrá aplicar esta excepción. Además, estas cámaras deberán ser instaladas por empresas de seguridad debidamente habilitadas”, ha explicado.

EN ESPACIOS PÚBLICOS, SON VÁLIDAS LAS INSTALADAS POR LA POLICÍA

Y en lo que se refiere a espacios públicos, “la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las fuerzas y cuerpos de seguridad en lugares públicos atribuye la competencia a las Fuerzas y Cuerpos de Seguridad para instalar y usar videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento”. 

El objetivo de esta instalación es, en palabras de Andrés Robles, contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos para prevenir delitos, faltas o infracciones.

Ante esto, la AEPD añade que, «en todo caso, deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida».

Te apuntaste a la Lista Robinson, pero te siguen llegando llamadas comerciales: así puedes reclamar ante la AEPD

Todos estamos hartos de recibir llamadas comerciales. Y si no lo estás, es que no tienes línea telefónica. Pero muchas veces nos resignamos a sufrirlas en silencio, por desconocimiento de los pasos a dar para impedirlo. "Ah, me vas a hablar de la Lista Robinson, claro, pero un amigo me dijo que se dio de alta hace varios meses y sigue recibiendo llamadas comerciales".

Sí, efectivamente eso pasa a menudo, pero no caigamos por ello en la dejadez o en el miedo a la 'burocracia'... porque, como se ha demostrado esta semana, realizar una reclamación una vez que ya estás dado de alta en la Lista Robinson puede lograr que las compañías que nos atosigan a llamadas terminen perdiendo varios miles de euros en multas.

Así que veamos cómo registrarnos en la Lista, primero, y cómo reclamar después ante la AEPD si alguna empresa nos sigue realizando llamadas comerciales no deseadas.

Cómo apuntarnos en la Lista Robinson

Puedes registrarte en la Lista Robinson con el fin de "evitar la publicidad de entidades que no hayan obtenido directamente del afectado el consentimiento para el tratamiento de sus datos personales con fines publicitarios o con las que el afectado no mantenga o haya mantenido ninguna relación comercial". Los pasos a seguir son sorprendentemente sencillos:

* Accede a la web de la Lista Robinson y pulsa en el botón central (y bien visible) que reza "Apúntate a la lista". Te dará a elegir entre inscribirte tú mismo o a una tercera persona (que te haya autorizado expresamente o de la que seas tutor legal).

* Si te inscribes en tu propio nombre, el siguiente paso consistirá meramente en rellenar tus datos de contacto (nombre, DNI, e-mail y contraseña). Rellena los campos pertinentes, haz clic en 'Apuntarse' y espera al correo de verificación.

* Una vez recibido el correo y clicado en el enlace de verificación, podremos iniciar sesión en la web de la Lista Robinson e indicar qué números de teléfono queremos mantener al margen de la recepción de llamadas y SMS/MMS comerciales, así como en qué direcciones postales y de e-mail queremos evitar la recepción de SPAM. El proceso es muy sencillo: tan sólo debes proporcionar los datos del medio de contacto solicitado y clicar en 'Aceptar'.

 

* Existe también un apartado denominado 'Revocación de llamadas', que no aparecerá hasta que no introduzcas tu teléfono en el apartado homónimo, nos permite comunicar a una empresa, a la que sí hayamos dado previamente nuestro consentimiento explícito, que ya no queremos recibir llamadas publicitarias. Esto es importante, porque la Lista Robinson no se aplica automáticamente en esos casos.

 

Sanción de 300 euros a un vecino cuya cámara de vigilancia captaba zonas comunes

La AEPD se intentó poner en contacto con el dueño de la propiedad hasta en cuatro ocasiones para que retirase la cámara

La Agencia Española de Protección de Datos (AEPD) ha sancionado al propietario de una vivienda que había colocado una cámara de vigilancia que captaba imágenes de zonas comunes de la urbanización en la que sitúa la casa.

La reclamación la hizo un vecino del mismo complejo de viviendas y la AEPD se intentó poner en contacto con el dueño de la propiedad hasta en cuatro ocasiones para que retirase la cámara, sin obtener ninguna respuesta.

La AEPD recuerda que la imagen física de una persona, a tenor del artículo 4.1 del Reglamento General de Protección de datos (RGPD), “es un dato personal y su protección, por tanto, es objeto de dicho Reglamento.”. Este organismo señala que el artículo 22 de la Ley Orgánica de Protección de Datos establece que “las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones”. Pero esto se debe hacer de la forma menos invasiva posible para los derechos afectados, tratándose solo los “datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados.”

Aunque no se pueden grabar este tipo de imágenes de espacios públicos, algo reservado a las Fuerzas y Cuerpos de Seguridad, la AEPD reconoce que “en algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario, para garantizar la finalidad de seguridad, la grabación de una porción de la vía pública”. Esto debe restringirse a la “porción mínima y necesaria de espacio público”, no estando permitido captar imágenes del entorno ni que la cámara esté dirigida hacia propiedades de los vecinos o a espacios de terceros sin su autorización, puesto que se vulnera su derecho a la intimidad.

En el texto de este expediente sancionador, la AEPD, subraya también que “las imágenes obtenidas no pueden utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia y que se deberá cumplir con el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD.” Además, el responsable de la captación de imágenes debe estar identificado en el aparato de grabación o en un lugar visible. Las imágenes solo se pueden mantener durante un mes, a no ser que acrediten algún acto que sea constitutivo de delito. En tal caso, se deberá comunicar a la policía tan pronto como se advierta.

Los hechos expuestos en este caso vulneran lo establecido en el artículo 5.1.c) del RGPD, por lo que suponen la comisión de una infracción tipificada en el artículo 83.5.a) del RGPD. En estos supuestos, las sanciones pueden llegar hasta los 20.000.000 euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. Analizadas las circunstancias concretas, al propietario de la vivienda se le impone una multa de 300 euros y se le requiere para que acredite la retirada de la cámara.

Contra esta resolución cabe recurso ante la Sala de lo Contencioso Administrativo de la Audiencia Nacional.

Fuente: Sanción de 300 euros a un vecino cuya cámara de vigilancia captaba zonas comunes | E&J (economistjurist.es)