Blog Derecho de Nuevas Tecnologías

Comunicación de datos laborales: TC2 y Nóminas

El Gabinete Jurídico de la Agencia Española de Protección de Datos, en su Informe 412/2009,  da respuesta a una consulta acerca de si la comunicación de datos laborales, como el TC2 y las nóminas de salarios de los trabajadores empleados en una subcontrata a la empresa principal, cumple con lo establecido en la LOPD.

 

El Informe establece respecto a la cesión de los datos contenidos en el TC2 que:

 

 "dado que el Estatuto de los Trabajadores impone un deber al empresario principal, la comunicación de ciertos datos tales como el TC2, resulta conforme con la Ley Orgánica 15/1999, y el Reglamento de desarrollo, pues se haya expresamente prevista en una norma con rango de Ley. Además el propio Código Civil exige atender íntegramente las obligaciones solidarias por lo que es preciso conocer el contenido de la misma.

 

En consecuencia, la cesión de los TC2 estaría amparada en el artículo 7.3 de la Ley Orgánica 15/1999, en relación con el artículo 42.2 del Estatuto de los Trabajadores y por el alcance que el Código Civil impone a las obligaciones solidarias."

 

En relación a la cesión de las nóminas y los problemas que podría suscitar el hecho de que en éstas se contengan datos relativos a la afiliación sindical de los trabajadores, el citado Informe prevé lo siguiente:

 

"Dado que la finalidad de dicho tratamiento va ligada al pago de la nómina y que en virtud de la obligación solidaria que impone el artículo 42.2 del Estatuto de los Trabajadores, al contratista principal, para el pago de las deudas salariales correspondientes, podemos concluir que el tratamiento de dicha información es para un fin idéntico del que justifica el tratamiento efectuado por el subcontratista.

 

Por ello, siendo los fines idénticos, podemos entender que la comunicación de dichos datos es conforme al artículo 7.2 en conexión con el artículo 4.2 de la Ley Orgánica 15/1999 y la obligación impuesta por el artículo 42.2 del Estatuto de los Trabajadores."

 

Sin embargo, persiste la obligación de la empresa subcontratista de informar a sus trabajadores acerca de los destinatarios de las cesiones de datos que se hubieran producido.

 

Assumpta Zorraquino

El DNI del responsable del fichero

La Ley Orgánica de Protección de Datos de carácter personal considera el DNI/NIF de una persona física como dato de carácter personal. Por otro lado, en la información suministrada en el Catálogo de ficheros inscritos en el Registro General de Protección de Datos accesible a través de su página web, con el objeto de difundir y dar publicidad a la existencia de ficheros de datos de carácter personal inscritos en el Registro General de Protección de Datos, se puede consultar el DNI de una persona, en su condición de responsable del fichero inscrito. Cuando el responsable del fichero es una persona física, la inclusión de su DNI permite que se le identifique como responsable del fichero en el ejercicio de su actividad profesional y, además, como persona física. Esta situación se ha modificado, y desde hoy, cuando el responsable del fichero actúe como persona física, no se publicará el dato relativo a su NIF

Inscripción o modificación de ficheros

Si atendemos al criterio apuntado por algunas expertos, hoy finalizaría el plazo para que los ficheros existentes puedan beneficiarse de la moratoria en la aplicación de las medidas de seguridad de los mismos establecida en el Reglamento 1720/2007 de Desarrollo de la LOPD (RLOPD), que entrará en vigor el 19 de abril próximo.

Esto es así, ya que la declaración de un fichero ante la AEPD debe hacerse de forma previa a la creación del mismo, tal y como establece la LOPD, y por lo tanto, se considerará que un fichero existe, y que por lo tanto, le es aplicable la moratoria del RLOPD, cuando esté declarado ante la AEPD a la entrada en vigor del RLOPD.

Tras la presentación de la solicitud de inscripción sin que la AEPD hubiera resuelto sobre la misma se entenderá inscrito el fichero, motivo por el que si queremos que a la entrada en vigor el fichero sea declarado existente, hoy debería enviarse la solicitud inscripción del fichero automatizado, no automatizado o mixto.

Reglamento de desarrollo de la LOPD

Ya se ha publicado el nuevo Reglamento de Desarrollo de la LOPD que comprende tanto el tratamiento de los datos de carácter personal automatizado, y el no automatizado, al establecer que su ámbito de aplicación se extiende a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento.

Entre las principales cuestiones que aborda el Reglamento, cabe citar las ss:

ü      Aclara qué se entiende por ficheros y tratamientos relaciones con actividades personales o domésticas

ü      Incluye un conjunto de definiciones

ü      Regulación del consentimiento en la captación de los datos, especialmente en lo relativo a datos de menores

ü      Regulación de los derechos de acceso, rectificación, cancelación y oposición

ü      Aplicación de criterios específicos a los ficheros de solvencia patrimonial y crédito

ü      Criterios y procedimientos para la realización de las transferencias internacionales de datos

ü      Regulación del Código Tipo

ü      Atribución de los niveles de seguridad exigidos

ü      Obligaciones vinculadas al mantenimiento del documento de seguridad

ü       Tramitación de los procedimiento ante la Agencia de Protección de Datos

Su entrada en vigor es a los tres meses de su publicación, es decir, entrará en vigor el 19 de abril de 2008.

El Reglamento establece plazos para la implantación de las medidas a los ficheros automatizados que existan a la fecha de entrada en vigor, que van desde el año desde su entrada en vigor del RD hasta los dieciocho meses, según el tipo de fichero y el nivel de seguridad exigido.

Respecto a los ficheros no automatizados que existan a la fecha de entrada en vigor, los plazos de implantación de las medidas van desde el año para las medidas de seguridad de nivel básico  hasta los dos años para las de nivel alto.

Comunicación de los datos de acceso

He leído hoy la noticia publicada en Expansión acerca de la resolución del Tribunal de Justicia de la UE a una consulta planteada por un Juzgado de lo Mercantil, acerca de la facultad de las operadoras de no comunicar a terceros la información de sus clientes relativa a acceso a Internet y datos de conexión.

Indica la noticia que la consulta fue planteada por un Juzgado de lo Mercantil, en el seno de un procedimiento civil por infracción de derechos de propiedad intelectual.

La consulta alude a la Directiva de 2002 sobre privacidad de las comunicaciones electrónicas, argumentando que los datos de usuarios y abonados deben almacenarse y sólo pueden comunicarse por motivos de seguridad nacional, la defensa, la seguridad pública o la prevención de delitos.

Entiendo que no se comuniquen a un tercero los datos de los usuarios, pero si esa información se solicita en el seno de un procedimiento judicial, sea éste civil, penal o administrativo, las operadoras no pueden negarse a facilitar la información.

Investigación Biomédica

Hoy se ha publicado en el BOE la Ley 14/2007 de 3 de julio, de Investigación Biomédica, que entrará en vigor mañana día 5 de julio.

Esta ley, como establece su Preámbulo, responde a los restos que plantea la investigación biomédica y trata de aprovechar sus resultados para la salud y el bienestar colectivos y garantiza la protección de los derechos de las personas que pudiesen resultar afectados por la acción investigadora.

En materia de protección de datos, regula el consentimiento informado, garantiza la protección de la intimidad personal y el tratamiento confidencial de los datos personales que resulten de la actividad de investigación biomédica. También regula la necesidad de consentimiento expreso y escrito del interesado para la cesión a terceros ajenos a la actuación médico-asistencial o a una investigación biomédica. En materia de trazabilidad y seguridad exige respeto a LOPD.

El Capitulo II, artículo 46 y ss., está dedicado a los análisis genéticos, estableciendo regulación específica sobre el tratamiento de datos de carácter personal.

Respecto a la potestad sancionadora, la Ley 14/2007 establece un régimen propio de sanciones con multas desde 601 euros a 1.000.000 de euros, siendo la LOPD supletoria para aquellas infracciones no reguladas en esta nueva Ley

La Propiedad intelectual a debate.

Ayer asistí a la Jornada que celebrada en el Palau Robert bajo el título

"Creatividad y Remuneración. La Propiedad intelectual a debate”.

Fue muy interesante, y se generó un debate muy enriquecedor.  El principal tema debatido fue la preocupación general de las empresas de publicidad de la situación de desequilibrio que sufren en la contratación.

Tres son los principales problemas que se pusieron sobre la mesa:

-          La demanda es la que marca los términos de la contratación, lo que en muchas ocasiones provoca que la agencia de publicidad acepte el encargo recibido sin llegar a formalizar un contrato donde puedan discutirse todas las cuestiones jurídicas que se derivan de una prestación de estas características.

-          La ausencia de contrato permite que se esté aplicando la redacción del artículo 23 de la Ley General de Publicidad otorgando de forma exclusiva la cesión de los derechos de explotación  al anunciante.

-          La mala práctica adquirida conduce a no incluir la mención del nombre autor de la creación.

A mi entender la interpretación del art. 23 de la Ley General de Publicidad como cesión en exclusiva es errónea, pues ante todo debe atenderse a la finalidad del encargo, el ámbito espacial, temporal y el soporte para el cuál ha sido creada la publicidad.

Whistleblowing

La Agencia de protección de datos ha publicado la resolución a una consulta acerca del cumplimiento de la normativa de protección de datos en un sistema interno de denuncia.

En su documento, la Agencia establece que los procedimientos que se instauren deberán cumplir los siguientes requisitos:

·        El sistema de denuncias quedará limitado a las denuncias relacionadas con hechos o actuaciones que tengan una efectiva implicación en la relación laboral

·          Únicamente se permitirán denuncias en las que aparezca identificado el denunciante

·         Debe quedar garantizado el tratamiento confidencial de las denuncias presentadas a través de   los sistemas de whistleblowing.

·          Podrán ser denunciantes o denunciados en el sistema todos los empleados de la compañía.

·        Los empleados será previamente informados de la existencia y finalidad del sistema, su funcionamiento, la garantía de confidencialidad de los datos del denunciante y la garantía de información al denunciado de la existencia de la denuncia.

·       Se informará al denunciado en el plazo más breve posible de la entidad responsable del programa de denuncia de irregularidades, de los hechos denunciados, de los destinatarios de la información, y como ejercer sus derechos de acceso y rectificación. No se informará de la identificación del denunciante a menos que hubiera obrado con mala fe.

·        Se establecerá un plazo máximo de para la conservación de los datos relacionados con las denuncias. Este plazo debería limitarse a la tramitación de las medidas de auditoría interna que resulten necesarias, y como máximo a la tramitación de los procedimientos judiciales que se deriven de la investigación realizada.

·         Se implantarán las medidas de seguridad de nivel básico.

Retirada de contenidos

Después de la polémica generada por la incorporación del art. 17 bis en el Borrador de Anteproyecto de Ley de Impulso de la Sociedad de la Información, que finalmente fue excluido del texto, ayer el Gobierno remitió a la Comisión del Consejo Asesor de las Telecomunicaciones y de la Sociedad de la Información, un Anteproyecto de ley sobre el procedimiento de notificación de presuntas infracciones de derechos de propiedad intelectual a través de los prestadores de acceso a Internet.

El citado Anteproyecto regula los procedimientos de colaboración entre prestadores de servicios de intermediación y titulares de derechos de propiedad intelectual, frente a actividades vulneradoras de derechos de propiedad intelectual, de la siguiente forma:

Cuando las entidades de gestión de los derechos y asociaciones legitimadas tengan conocimiento de una presunta violación de derechos de propiedad intelectual, podrán dirigir una notificación al prestador de servicios de intermediación que aloja al presunto infractor comunicando los siguientes extremos:

·         Denominación de la asociación o entidad de gestión de los derechos de propiedad intelectual, y datos de inscripción, contacto, etc.

·         Identificación exacta de la página web en la que se hallen los contenidos presuntamente ilícitos

·         Identificación de la obra/s cuyos derechos se han vulnerado

·         Declaración del representante de la asociación o la entidad de que la información suministrada es exacta y que no ha autorizado la explotación ilícita.

Será el prestador quién se encargue de comunicar estos extremos al presunto infractor, quien puede oponerse y formalizar oposición.

Si la entidad no recibe ninguna comunicación relativa a la oposición, podrá instar al prestador de servicios a que bloquee o deshabilite el acceso al material que se presume ilícito.

Pero ¿qué pasa cuando el presunto infractor formula oposición? Nada dice el procedimiento acerca de la valoración que debe hacerse de la información que esgrima el presunto infractor. Tampoco se regula qué sucede si el prestador se niega a bloquear el acceso.

Por otro lado, el anteproyecto sólo habla de que las entidades deben hacer un uso proporcionado y conforme a la buena fe.

Zona videovigilada

Tras cumplirse más de un mes de la entrada en vigor de la Instrucción 1/2006, son pocos los distintivos informativos que se pueden observar en las zonas videovigiladas. Concretamente yo sólo he podido ver uno en una empresa de aparcamiento, y en algunos hoteles.

Esto me hace reflexionar acerca de algo que ya hemos constatado en otras ocasiones, y es el escaso cumplimiento de la normativa de protección de datos de las empresas de nuestro país, que logicamente, en este caso se hace más patente, dada la facilidad con la que se puede comprobar si existe o no un distintivo informativo del acceso a una zona videovigilada.