Entradas

Nueva LOPD 2018

Ya tenemos la nueva LOPD o Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Y no está exenta de polémica, sobre todo por la modificación que establece la Disposición Final Tercera del artículo 58 bis de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General.

Para entender este cambio, veamos que nos dicen los Simpson en el siguiente video de Derecho Ficción:

Habrá movida. Cuestión de tiempo.

 

 

Cómo cumplir el RGPD en tu web

Ya queda muy poco para el 25 de mayo, fecha en la que será de aplicación el Reglamento General de Protección de Datos, como ya todo el mundo sabe.

 

Los nuevos cambios afectan a la implementación de la normativa en la actividad profesional o empresarial, y también, como no, en la web corporativa.

 

Aun veo formularios de contacto que recopilan datos y que, o simplemente tienen el botón de enviar, si remisión a ninguna información sobre la política de privacidad, o la tienen pero no así ninguna casilla para expresar el consentimiento, o teniendo la casilla la misma está premarcada. Muy mal.

 

La prestación del consentimiento es un punto clave del nuevo reglamento, que debe ser expreso, específico y demostrable.

 

En este punto, y ligado con el principio de calidad, es importante que aquellos que obtuvieron el consentimiento de sus usurarios de manera no expresa, hagan un esfuerzo para cambiar dicha situación. Y que lo puedan demostrar, en caso de inspección.

 

Es mejor perder usuarios y tener una base de calidad, que pasar las noches sin dormir porque nos han llovido mil denuncias que hacen peligrar la continuidad de nuestra entidad.

 

El usuario es dueño y señor de sus datos, como lo era antes, pero ahora más. Y como dueño y señor tiene derechos, y ahora más. Por lo que se debe facilitar al interesado la información de estos derechos, sus derechos, y su efectivo ejercicio, y ayudarle en todo lo posible, incluso en el asesoramiento a interponer una denuncia ante la autoridad de control. En el caso de realizar campañas de marketing, es necesario ofrecer un sistema sencillo de oposición al tratamiento de sus datos para dicha finalidad.

 

La información que se ofrezca a los usuarios debe ser clara y concisa, en un lenguaje que sea entendible por todos. Se acabó ya de tanta palabrería que no entendía ni quien lo había hecho.

 

La AEPD recomienda la información por capas, donde en una primera capa, de un vistazo, puedas tener toda la información básica, y en una segunda capa desarrollar dicha información.

 

La información básica debe contener los siguientes puntos:

  • Identidad del responsable del tratamiento, de su representante y de su DPD (Delegado de Protección de Datos), si los tuviere.
  • Destinatarios de los datos personales.
  • Finalidad.
  • Plazo de conservación.
  • Derechos de los interesados.

 

Por tanto, ya no hay excusa para no leer la información legal, al menos la primera capa que no lleva más de medio minuto en leerlo.

 

La información legal debe estar adaptada al responsable que realiza el tratamiento, por lo que se acabó el copy-paste, que muchos casos hemos visto en los que no se molestaban ni en cambiar los datos de quien los había copiado.

 

¿Recordáis qué nos decía el profesor en el colegio cuando hacíamos un examen? Quien copie, suspende.

Nombramiento de un único Delegado de Protección de Datos para grupo empresarial

Data Protection Officer

Delegado Protección de Datos

El Delegado de Protección de Datos (DPD) es uno de los elementos claves del Reglamento General de Protección de Datos (RGPD), como garante del cumplimiento de la normativa de protección de datos en las organizaciones.

 

Conocido también como DPO (en inglés, Data Protection Officer), al Delegado de Protección de Datos (DPD), que deberá contar con conocimientos especializados del Derecho y la práctica de la protección de datos y que actuará de forma independiente, se le atribuyen una serie de funciones reguladas en el artículo 39 del RGPD, entre las que destacan informar y asesorar; así como supervisar el cumplimiento del citado RGPD por parte del responsable o encargado.

 

En el RGPD encontramos la regulación del DPD en los artículos 37 y siguientes, tratando el artículo 37 sobre la designación del DPD. Este precepto ha sido interpretado en el documento “Directrices sobre delegados de protección de datos” del Grupo de Trabajo del Artículo 29, que será sustituido por el Comité Europeo de Protección de Datos.

 

Mención especial hay que hacer sobre el apartado 2 del citado artículo 37 del RGPD, que permite a un grupo empresarial designar un único DPD, siempre que éste “sea fácilmente accesible desde cada establecimiento”.

 

Pero, ¿qué debemos entender por “fácilmente accesible”?

 

Por accesibilidad debemos entender a las tareas del DPD como punto de contacto con respecto a los interesados y a la autoridad de control, pero también internamente dentro de la organización, teniendo en cuenta que una de esas tareas es informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben.

 

Por tanto, para asegurarse que el DPD es accesible, con independencia de si es interno o externo, debe constar y estar disponible sus datos de contacto; debe comunicarse eficazmente, lo que incluye la comunicación en el idioma de los interesados o de las autoridades de control con las que deba actuar; y debe estar disponible, ya sea físicamente en las instalaciones de los componentes del grupo, ya sea mediante cualquier medio efectivo de comunicación.

DPD Delegado Protección de Datos – Tratamiento a gran escala DPO Data Protection Officer – RGPD

¿Cómo interpretamos el concepto de tratamiento a gran escala a efectos de nombrar un DPD (Delegado de Protección de Datos – DPO Data Protection Officer)?

 

Según el artículo 37.1 del RGPD (Reglamento Europeo de Protección de Datos) el responsable y el encargado del tratamiento designarán un Delegado de Protección de Datos (DPD o DPO en sus siglas inglesas) siempre que:

 

  1. El tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;
  2. Las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, o
  3. Las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales con arreglo al artículo 9 y de datos relativos a condenas e infracciones penales a que se refiere el artículo

 

Este precepto ha sido interpretado en el documento “Directrices sobre delegados de protección de datos” del Grupo de Trabajo del Artículo 29, que engloba a todas las autoridades europeas de protección de datos:

 

Así, el Grupo de Trabajo recomienda que se tengan en cuenta los siguientes factores, en particular, a la hora de determinar si el tratamiento se realiza a gran escala:

  • El número de interesados afectados, bien como cifra concreta o como proporción de la población correspondiente;
  • El volumen de datos o la variedad de elementos de datos que son objeto de tratamiento;
  • La duración, o permanencia, de la actividad de tratamiento de datos;
  • El alcance geográfico de la actividad de tratamiento.

 

Siguiendo con el citado dictamen, como ejemplos de tratamiento a gran escala cabe citar:

  • El tratamiento de datos de pacientes en el desarrollo normal de la actividad de un hospital;
  • El tratamiento de datos de desplazamiento de las personas que utilizan el sistema de transporte público de una ciudad (p. ej. seguimiento a través de tarjetas de transporte);
  • El tratamiento de datos de geolocalización en tiempo real de clientes de una cadena internacional de comida rápida con fines estadísticos por parte de un responsable del tratamiento especializado en la prestación de estos servicios;
  • El tratamiento de datos de clientes en el desarrollo normal de la actividad de una compañía de seguros o de un banco;
  • El tratamiento de datos personales para publicidad comportamental por un motor de búsqueda;
  • El tratamiento de datos (contenido, tráfico, ubicación) por proveedores de servicios de telefonía o

 

Como casos que no constituyen tratamiento a gran escala cabe señalar:

  • El tratamiento de datos de pacientes por parte de un solo médico;
  • El tratamiento de datos personales relativos a condenas e infracciones penales por parte de un

 

Por último, el proyecto de Ley Orgánica de Protección de Datos que se está tramitando, contempla en su artículo 34.1 los siguientes supuestos de nombramiento de Delegado de Protección de Datos (DPD/DPO):

 

Artículo 34. Designación de un Delegado de Protección de Datos.

  1. Los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, cuando se trate de las siguientes entidades:
  2. Los colegios profesionales y sus consejos generales, regulados por la Ley 2/1974, de 13 febrero, sobre colegios
  3. Los centros docentes que ofrezcan enseñanzas reguladas por la Ley Orgánica 2/2006, de 3 de mayo, de Educación, y las Universidades públicas y
  4. Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en la Ley 9/2014, de 9 de mayo, General de telecomunicaciones, cuando traten habitual y sistemáticamente datos personales a gran
  5. Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del
  6. Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.
  7. Los establecimientos financieros de crédito regulados por Título II de la Ley 5/2015, de 27 de abril, de fomento de la financiación
  8. Las entidades aseguradoras y reaseguradoras sometidas a la Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras.
  9. Las empresas de servicios de inversión, reguladas por el Título V del texto refundido de la Ley del Mercado de Valores, aprobado por Real Decreto Legislativo 4/2015, de 23 de octubre.
  10. Los distribuidores y comercializadores de energía eléctrica, conforme a lo dispuesto en la Ley 24/2013, de 26 de diciembre, del sector eléctrico, y los distribuidores y comercializadores de gas natural, conforme a la Ley 34/1998, de 7 de octubre, del sector de
  11. Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por el artículo 32 de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo.
  12. Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
  13. Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes con arreglo a lo dispuesto en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
  14. Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
  15. Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a lo dispuesto en la Ley 3/2011, de 27 de mayo, de regulación del juego.
  16. Quienes desempeñen las actividades reguladas por el Título II de la Ley 5/2014, de 4 de abril, de Seguridad Privada.

 

Venta a distancia de medicamentos de uso humano no sujetos a prescripción médica

Ha llovido ya desde que se aprobara el Real Decreto 870/2013, de 8 de noviembre, por el que se regula la venta a distancia al público, a través de sitios web, de medicamentos de uso humano no sujetos a prescripción médica. Sin embargo, sólo unos pocos profesionales farmacéuticos se han lanzado a la venta a través de Internet. Pero para aquellos que se animen a hacerlo, le comentamos los requisitos necesarios para hacerlo.

 

Para empezar, es necesario la comunicación a la autoridad competente al menos 15 días antes inicio aportando los siguientes datos:

  • Nombre farmacéutico
  • Dirección farmacia
  • Fecha comienzo
  • Dirección web
  • Información del procedimiento de envío, así como tiempos de entregas.
  • Información sobre no disponibilidad del servicio (en caso de vacaciones y periodo de cierre de la oficina de farmacia).

 

Toda esta información debe constar de forma estática en la página web de la farmacia y siempre “a mano” del comprador.

 

Por otro lado, se deben recabar los siguientes datos del comprador:

  • Nombre y apellidos
  • Teléfono
  • Email
  • Dirección postal

 

El profesional farmacéutico que dispense, si lo considera oportuno, puede ponerse en contacto con el comprador para facilitarle la forma de administración más correcta.

 

Uno de los puntos más complicado de la venta online es el correspondiente al transporte, pues el mismo debe garantizar que en el trayecto se ha conservado con todas las garantías. Cada vez es más frecuente ver a empresas de transportes especializadas en este sector, garantizando que el medicamento no sufre ningún tipo de alteración en cuanto a su calidad, por lo que parece que se va soslayando el problema, si bien la responsabilidad, en todo caso, será del profesional sanitario.

 

Una vez realizada la compra no es posible hacer devolución de los medicamentos adquiridos vía online, salvo, claro está, que no se corresponda que lo solicitado, esté defectuoso o se haya roto la cadena en el transporte.

 

Por último, en el mismo sitio web no se puede vender otros productos que no sean medicamentos de uso humano no sujetos a prescripción médica, a no ser que distingamos ambas actividades.

 

 

La problemática de la videovigilancia

Videovigilancia

Videovigilancia

Hoy venimos a hablar de algo que interesa y mucho en la sociedad actual: la videovigilancia y su problemática.

 

Todo el mundo sabe valorar su propia imagen, menos aquellos que les gusta más una cámara que a un niño una golosina, y por salir en la caja tonta hacen cualquier cosa. Pero aun éstos, saben que su imagen es importante, para tal o cual fin, pero importante al fin y al cabo.

 

De hecho es un derecho fundamental protegido, y si no que se lo digan a la Agencia Española de Protección de Datos personales. Sin embargo, en cualquier ciudad de España, ya sea en sitio público o privado, nos encontramos con cámaras que graban cada minuto de nuestras vidas como si de una película se tratase. Y lo cierto es que cada vez más se instalan cámaras en establecimientos, por motivos de seguridad, si bien tomar la decisión de ponerlas puede acarrear bastantes dolores de cabeza.

 

¿Y por qué? Imaginemos un supuesto práctico. Quiero ejercer mi derecho de acceso ante el responsable del fichero de videovigilancia de unos almacenes, y accedo sin problemas, pero seguro que se ha vulnerado la LOPD por cesión de datos. Me explico. Como en toda película, hay actores principales y otros secundarios, amén de los extras. Pues bien, raro es que en cualquier captación por medio de videocámaras, aunque sea la de un establecimiento pequeño, salgamos solo nosotros, el sujeto concreto que está ejerciendo su derecho de acceso, pues como en cualquier película, si no hay secundarios, seguro que hay extras. Y en ese momento, nos estarían cediendo datos personales sin el consentimiento de esas otras personas que salen en la imagen.

 

Como todo fichero de datos, el de videovigilancia tiene las obligaciones formales no solo de su notificación y puesta en conocimiento de todos los afectados, sino también la de hacer copia de respaldo y cumplir con las medidas de seguridad adecuadas. Esto es importante, pero no problemático como lo anterior explicado. Pero es que hay autores que opinan que las imágenes deben guardarse por un tiempo superior al indicado en la LOPD. Así, si las videocámaras fueran testigos mudo de un delito, se puede dar el caso que dichas imágenes tuvieran que conservarse por un plazo de hasta 20 años, que es el de prescripción de los delitos mayores. Borrar una prueba de tanto calado puede traer consecuencias, y al final, como siempre, resulta más caro el remedio que la enfermedad.

 

¿Cumples la normativa? 

Los datos de los campos marcados con * son necesarios.

Este es un formulario guiado que no le llevará más de 10 minutos rellenar. En él se cubrirá información referente a la actividad económica, imagen corporativa, estrategia comunicativa y datos web mediante los cuales obtendremos una visión general de la situación en la que su empresa se encuentra en relación a los servicios que requiera para darle la mejor atención posible.

Como ser YouTuber y no morir en el intento

Youtube

Youtube

Las redes sociales padecen las modas. Hoy se lleva ésta y mañana estará de moda otra.

 

Lo cierto es que cada vez escribimos y leemos menos. Nos gusta la inmediatez, y claro, YouTube cumple todas esas premisas. Que queremos saber cómo se hacen unos huevos fritos, pues en lugar de leer grandes e ilustrativas recetas, mejor ponemos un tutorial en YouTube que, cuanto más breve, mejor.

 

Y así nacen los Youtubers, que a base de seguidores terminan haciéndose profesionales y ganan dinero subiendo videos.

 

Pero como todo en la vida, no están exentos de asumir la ley, por mucho que siga pareciendo a la fecha en la que estamos que Internet sea un mundo sin ley. Que no señores, que hay que cumplir la ley aquí y en Pekín.

 

Así, es primordial para aquellos youtubers españoles cumplir con la normativa de los servicios de la sociedad de la información, recogido en la Ley 34/2002, ya conocida por todos como LSSI.

 

De este modo, los youtubers deben identificarse a fin de que los usuarios puedan comunicarse con ellos. Si el youtuber cuenta con una web (lo que ocurrirá en los casos de youtubers profesionales), con la remisión a dicha web donde conste los datos, es más que suficiente.

 

Si no es así, deberá mostrar los datos en algún momento del video, a modo de título de crédito, que animo a meter algo de creatividad al estilo de las mejores películas de cine, que todo suma a la hora de conseguir followers.

 

Si el youtuber es ya un profesional y tiene web propia, además de lo anterior deberá tener una política de privacidad, adecuar su actividad a la normativa sobre protección de datos personales, y una política de cookies.

 

En Internet se debe tener respeto por el contenido de terceros. Tendemos a creer que todo lo que está en Internet es de libre acceso y puedo disponer de ello como me plazca. Flaco error amigo. Hay que obtener el permiso de sus autores para poder disponer del contenido, a no ser que expresamente digan lo contrario.

 

A algunos les gusta que les copie, a otros no tanto. Y a estos últimos los juzgados les da la razón, y no sin motivos.

 

Otras de las normas que se debe cumplir es la Ley General de Publicidad, es decir, que no sea engañosa, ilícita, etc. Es precisamente en la publicidad donde los youtubers sacan tajada a su trabajo, al recomendar marcas y productos y recibir por ello una contraprestación, ya sea en efectivo o en especie.

 

Y cuidado con desprestigiar a la competencia de la marca o producto que anunciamos, ya que las personas jurídicas también tienen honor, pues bien caro le habrá costado tener una buena reputación en el mercado para que un influencer venga a calumniarla. Y eso se cuantifica, y bien caro.

 

El youtuber, al estar realizando una actividad económica, debe darse de alta como autónomo en la Seguridad Social y, lógicamente, en Hacienda, donde como mínimo va a tener la obligación de llevanza de los libros contables y la declaración trimestral de, al menos, el IVA.

 

Y si te animas a ser un youtuber de éxito, aquí tienes un video explicativo de cómo hacerlo:

 

 

Menores ciberacosadores: el caso del profesor hostigado

Ciberbullying

Ciberbullying

 

 

Se habla mucho del cyberbullying y del bullying en la escuela, entre compañeros de clase, con las nefastas consecuencias que ello acarrea para el acosado, que por sus especiales circunstancias se ve totalmente indefenso, y por desgracia con resultados espantosos en algunos casos.

 

En este campo no escapa nadie, ni los profesores.

 

Hace ya muchos años, cuando aun no existían las redes sociales, defendía a profesores que eran acosados por alumnos e, incluso, los padres de éstos. Ahora, con el acceso de los menores a las redes sociales, unido a que cada vez es más temprana la edad a la que se le facilita un Smartphone, se añade el acoso de los profesores en las redes sociales.

 

El supuesto es el siguiente: menor toma foto de profesor y la sube a una red social (Facebook, Instagram, etc).

 

En el mejor de los casos podemos estar ante una infracción administrativa, por cuanto que la imagen es un dato personal, y la publicación de datos de carácter personal en Internet constituye una cesión de datos, y toda cesión de datos debe contar previamente con el consentimiento del interesado, quien debe ser suficientemente informado de la finalidad a la que se destinen los datos.

 

La Ley Orgánica 1/1982, sobre protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, concreta la protección jurídica dada por la Constitución Española, teniendo la consideración de intromisiones ilegítimas:

 

“La captación, reproducción o publicación por fotografía, filme o cualquier otro procedimiento, de la imagen de una persona en lugares o momentos de su vida privada o fuera de ellos”.

 

Este es el mejor de los panoramas, puesto que podemos encontrarnos con un delito contra la intimidad y la propia imagen, contemplado en el artículo 197 del Código Penal, a los que se les aplicaría la Ley del Menor, con las medidas contempladas en ellas para reeducar al infractor, y la reparación del daño vía indemnización (responsabilidad civil ex delito).

 

En el caso de un menor de 14 años, éste no tiene responsabilidad penal, pero sí que responderían sus padres o tutores respecto a la indemnización civil ex artículo 1903 del Código Civil, que señala que los padres o tutores son responsables de los daños causados por los hijos que se encuentren bajo su guarda.

 

La Ley del Menor traslada esa responsabilidad a los padres, tutores, acogedores y guardadores legales o de hecho, en ese orden. Por tanto, ¿qué ocurre si el acoso (ciber o no) en la red se produce en el colegio?

 

Pues que la responsabilidad civil puede ir de la mano, esto es, solidaria tanto para padres como para el colegio.

 

Ello es así por la obligación que tiene el centro de intervenir cuando de alumnos propios se trata. Si no lo hiciera, habría un delito por omisión, y en el caso de bullying en todas sus modalidades, podría acarrear consecuencias penales para los profesionales de la enseñanza.

 

Me comentaba un profesor amigo que la problemática actual es mayor de lo que se ve en los medios. La cuestión no pasa por prohibir el uso de teléfonos, en parte por miedo a echarse encima la AMPA, sino por fomentar el buen uso de los mismos.

 

Los dispositivos tecnológicos han venido para quedarse: enseñemos a usarlos bien.

 

 

El peligro de usar WhatsApp con los clientes

whatsappHace un año escribía sobre Whatsapp como prueba en juicio, dado su fácil uso para injuriar, calumniar, y un sinfín de problemáticas jurídicas, que hace cada vez más frecuente su aportación en el proceso judicial.

 

Ya comenté entonces que, al igual que el correo electrónico, no es suficiente con la aportación de las conversaciones impresas o mero pantallazo, que también, si tienes la suerte de que no te lo impugnen. Pero lo aconsejable es que garantizar la cadena de custodia, así como su integridad y no modificación, labor propia de perito informático. Y como recordatorio, debemos tener en cuenta que la impugnación afectará en costas a quien la realiza, amén de que debe ser motivada para desplazar la carga de la prueba.

 

Este medio de  mensajería instantánea está sumamente extendido, y lo que empezó como una forma de comunicarse con la familia y amigos, está hoy por hoy muy integrado en el mundo laboral y profesional, si bien en las condiciones legales de uso WhatsApp prohíbe su utilización comercial, limitándolo solo a uso personal, declinando toda responsabilidad. Claro que… ¿Quién lee las condiciones legales? Por mucho que la Agencia Española de Protección de Datos lo recomiende, nadie lo hace.

 

Son muchos los compañeros abogados que lo usan para sus relaciones con los clientes, cuando evidentemente no es el mejor de los medios para hacerlo, no ya por la molestia de la disponibilidad 24h, entre otras, sino porque entiendo infringe la normativa sobre protección de datos, por los motivos que vamos a ver.

 

En las referidas condiciones de uso, WhatsApp te deja muy claro que consientes en que trate no solo tu número de teléfono, sino toda tu agenda. Claro que diréis que hace ya años la Audiencia Nacional dijo que el número de teléfono no es dato personal (y sin embargo la IP si, sigo sin entenderlo). Pero WhatsApp dice “y los demás contactos que tienes en la libreta de direcciones. Y claro, en la libreta, al menos yo, identifico al contacto, con nombre y a veces apellidos. A su vez, WhatsApp accederá a los datos de nuestros contactos cuando estos se den de alta a su vez en la aplicación, accediendo a su información personal, por lo que ya lo tenemos identificado.

 

Si a todo esto le sumas que esos datos viajan a Estados Unidos, donde tiene su sede WhatsApp, el desaguisado es tremendo, amén de que ninguno de nosotros tenemos firmado un contrato de encargado del tratamiento con la aplicación, pues van a pasar de nosotros, ni en su defecto solicitamos autorización al Director de la AEPD para la transferencia internacional de datos, que veo difícil nos dé. Y como todos sabemos, Estados Unidos eso de cumplir con la protección de datos, pues como que es algo muy de los europeos y sus trabas para el comercio.

 

Y aunque WhatsApp ha introducido como mejora de seguridad el cifrado de extremo a extremo, lo cierto es que la seguridad 100% es imposible. Además, los smartphones tienen por costumbre guardar los archivos que llegan por las distintas aplicaciones, muchos de ellos, sobre todo las imágenes, que si tenemos cuenda en Google u otro proveedor, se sincronizará con las aplicaciones de dicha compañía subiendo los archivos a la nube, infringiendo con ello nuevamente la normativa sobre protección de datos por cuanto las medidas de seguridad y el propio cumplimiento por parte del prestador de servicios de cloud son más que dudosos.

 

Lo aplicable para abogados lo es para cualquier profesional, sea de la rama que sea.

 

Deber de información al paciente menor de edad y su consentimiento a efectos de la normativa sobre protección de datos

PrivacidadLa gran mayoría del personal sanitario se pregunta cómo debe informar a sus pacientes sobre la recogida de datos personales, en qué casos no es factible hacerlo, y cómo cumplir con la normativa sobre protección de datos.

 

Este es un tema que se puede regular por dos tipos de normas: de un lado, por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su Reglamento y, de otro, por la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. No obstante, dada la especialidad, habrá que estar, preferentemente a lo dispuesto en esta segunda ley, que dispone, concretamente, lo siguiente:

 

1º.- Casos en que el consentimiento se ha de prestar por los representantes legales:

 

  1. Cuando el paciente no sea capaz de tomar decisiones, a criterio del médico responsable de la asistencia, o su estado físico o psíquico no le permita hacerse cargo de su situación. Si el paciente carece de representante legal, el consentimiento lo prestarán las personas vinculadas a él por razones familiares o de hecho.
  2. Cuando el paciente tenga la capacidad modificada judicialmente y así conste en la sentencia.
  3. Cuando el paciente menor de edad no sea capaz intelectual ni emocionalmente de comprender el alcance de la intervención. En este caso, el consentimiento lo dará el representante legal del menor, después de haber escuchado su opinión, conforme a lo dispuesto en el artículo 9 de la Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor.

 

2º.- Casos en que el menor podrá prestar por si su consentimiento:

 

  1. Cuando se trate de menores emancipados o mayores de 16 años que no se encuentren en los supuestos b) y c) del apartado anterior, no cabe prestar el consentimiento por representación.
  2. No obstante lo dispuesto en el párrafo anterior, cuando se trate de una actuación de grave riesgo para la vida o salud del menor, según el criterio del facultativo, el consentimiento lo prestará el representante legal del menor, una vez oída y tenida en cuenta la opinión del mismo.

 

Por tanto, como professional sanitario, deberás decidir, en primer lugar, acerca de la aplicación de alguno de los casos previstos en los epígrafes anteriores y, una vez ello, deberás informar de los siguientes extremos:

 

  1. De que dichos datos (de nivel alto) se incorporarán en el fichero que debes tener inscrito en el Registro de la AEPD.
  2. La finalidad para la que se van a recoger que, en este caso, no será otra que la de prestar un servicio sanitario.
  3. Si dichos datos se van a ceder o no y en qué condiciones.
  4. La forma en que las personas que prestan el consentimiento podrán ejercer sus derechos ARCO, esto es, de acceso, rectificación, cancelación y oposición previstos en la LOPD.