Blog Derecho de Nuevas Tecnologías

Reglamento Europeo de Protección de Datos. Protección desde el diseño y por defecto.

 

El Reglamento Europeo de Protección de datos introduce nuevas obligaciones relacionadas con la adopción de políticas internas y medidas técnicas y organizativas apropiadas, tanto en el momento en el que se determinen los medios de tratamiento, como en el momento propio del tratamiento de los datos.

Así, las entidades que traten datos personales deberán elaborar una estrategia, previa al tratamiento de los datos, para diseñar las medidas que sea necesario adoptar en función de la tipología y volumen de datos que efectivamente tratan (Privacy by design). Un ejemplo de medidas a adoptar son la seudonimización de los datos personales, o la minimización de datos, es decir, reducir al máximo el tratamiento.

Estas medidas deberán garantizar que, por defecto (Privacy by default), sólo sean objeto de tratamiento los datos personales exclusivamente necesarios para cada uno de los fines específicos del tratamiento, aplicando la misma prevención en cuanto al volumen de datos, extensión de su tratamiento, plazo de conservación y accesibilidad. Asimismo deben velar porque los datos no sean accesibles sin la intervención del afectado a un número indeterminado de personas físicas.

Además, conforme a los principios de accountability y transparencia, estas medidas, deben ser implementadas de forma tal que permitan la acreditación de su cumplimiento.

La cuantía de la sanción por incumplimiento puede ser ponderada en atención a la gravedad, causas atenuantes o conducta del infractor, y puede alcanzar el mayor de los siguientes importes: 10.000.000 € o el 2% del volumen mundial total anual del ejercicio financiero anterior.

De esta forma, se exige un ejercicio previo de análisis de identificación de riesgos en cada nuevo lanzamiento de productos o servicios que implique un acceso a datos personales, para determinar su alcance, el impacto que puede suponer y, establecer medidas necesarias antes de que se produzcan.

 El nuevo Reglamento General de Protección de Datos entró en vigor a los 20 días de su publicación en el Diario Oficial de la UE, efectuado el pasado 4 de mayo y sus disposiciones serán de aplicación directa en todos los Estados miembros dos años después, el 25 de mayo de 2018.

 

 

 

 

 

 

 

 

 

Videovigilancia y control empresarial tras la última sentencia del Tribunal Constitucional

Sentencia dictada por el Tribunal Constitucional el pasado 3 de marzo de 2016, que examina los límites al control empresarial sobre el trabajador a través de sistemas de videovigilancia.

Antecedentes

La demandante de amparo, dependienta de profesión, fue despedida de la empresa donde venía prestando sus servicios previa detección de algunas irregularidades en la caja registradora a la que tenía acceso.

Ante la sospecha de la existencia de una apropiación dineraria, la empresa optó por la instalación de una cámara de videovigilancia, con el objetivo de monitorizar la caja que la demandante utilizaba junto con otros dependientes.

Dicha cámara fue instalada sin aviso a los trabajadores, pero se colocó en el escaparate del establecimiento el preceptivo cartel informativo de zona videovigilada. Tras verificarse que la demandante había simulado operaciones de devoluciones para apropiarse del dinero, la empresa le comunicó su despido.

La trabajadora, tras agotar las instancias judiciales, recurre en amparo al Tribunal Constitucional (TC) al entender que se había vulnerado, esencialmente, su derecho fundamental a la protección de datos de carácter personal consagrado en el artículo 18. 4 de la CE.

 

Juicio de proporcionalidad

Para enjuiciar la constitucionalidad de la instalación de la cámara de videovigilancia, medida que supone una restricción a los derechos fundamentales, el TC realiza el habitual juicio de proporcionalidad. Dicha valoración pasa por constatar si la actuación supera los tres requisitos o condiciones siguientes: Idoneidad, Necesidad y Equilibrio.

i) Idoneidad: para que una medida sea idónea, debe ser susceptible de conseguir el objetivo propuesto. En el presente caso, no se plantean excesivas dudas respecto a si la instalación de la cámara de videovigilancia permite al empresario verificar las irregularidades sospechadas y adoptar, en su caso, las medidas disciplinarias oportunas.

ii) Necesidad: en el sentido de que no existen otras medidas más moderadas para la consecución de tal propósito con la misma eficacia. En opinión del TC, la grabación se antoja necesaria, toda vez que ésta constituye un elemento probatorio de las irregularidades.

iii) Equilibrio: por derivarse más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto.

 

Razonamiento y fallo

En su Sentencia, el TC entiende la necesidad de abordar el derecho a la intimidad y el derecho a la protección de datos, dada la estrecha relación que existe entre ambos.

Por lo que se refiere a la vulneración del 18.4 CE, derecho a la protección de datos, recoge lo establecido en la STC 292/2000, en el sentido que el contenido del derecho fundamental a la protección de datos consiste en un “poder de disposición y control sobre los datos (…) que requiere como complementos indispensables saber quién dispone de esos datos personales y a qué uso los está sometiendo, y por otro lado, el poder oponerse a esa posesión y usos”, siendo por tanto, el consentimiento del afectado, el elemento definidor del sistema de protección de datos.

No obstante lo anterior, el TC recalca que en el ámbito laboral el consentimiento del trabajador pasa como regla general a un segundo plano, ya que dicho tratamiento puede ampararse en la excepción del artículo 10.3 b) del RLOPD, mediante el cual pueden podrán tratarse los datos personales sin consentimiento de los interesados cuando éstos se recaben para el mantenimiento de una relación laboral.

Ahora bien, añade que, a pesar de que no sea necesario el consentimiento, el deber de información sigue persistiendo, y es precisamente la falta o insuficiencia de información, lo que deberá someterse al reiterado juicio de proporcionalidad, y determinar en cada supuesto si se ha producido una vulneración del derecho fundamental.

En el presente caso, la empresa colocó el correspondiente distintivo en el escaparate, cumpliéndose con la obligación de información previa. El trabajador conocía de su instalación, sin que sea necesario especificar, más allá de la mera vigilancia, la finalidad exacta que se le ha asignado a ese control.

Lo importante, señala el TC, será determinar si el dato obtenido se ha utilizado para la finalidad de control de la relación laboral o, para una finalidad ajena al cumplimiento del contrato.

Constatándose que las imágenes captadas fueron utilizadas para el control de la relación laboral, se descarta que se haya producido una lesión del derecho a la intimidad porque la grabación de imágenes quedaba limitada, únicamente, a la zona de la caja a la que tenía acceso la trabajadora.

Por consiguiente, el TC desestima el recurso de amparo interpuesto por la recurrente y confirma el criterio seguido por las instancias inferiores que declararon procedente el despido

 

¿Qué cambios comporta la Sentencia?

La Sentencia del TC supone una atenuación en las obligaciones de información al tiempo de ejercer un control empresarial sobre los trabajadores a través de sistemas de videovigilancia. Las resoluciones dictadas hasta ahora en esta materia, habían entendido lesivas del derecho a la protección de datos personales medidas similares o inclusivo menos invasivas que la enjuiciada ahora.

En particular, la STC 29/2013 de 11 de febrero, calificó como nulo el despido de un empleado porque éste no fue informado de que las cámaras de seguridad podían ser utilizadas para controlar el cumplimiento de sus obligaciones laborales, a pesar de existir en el recinto un distintivo anunciando el espacio videovigilado y haber declarado el empleador el correspondiente fichero en el Registro General de Protección de Datos. Según dicha Sentencia, debía haberse informado de manera “previa y expresa, precisa, clara e inequívoca a los trabajadores de la finalidad de control de la actividad laboral a la que esa captación podía ser dirigida.”

Del mismo modo, en el control del uso de los medios informáticos en el trabajo, la jurisprudencia había venido sosteniendo que lo que deben hacer las empresas es establecer previamente las reglas de uso de esos medios, e informar a los trabajadores de que va existir ese control, y de los medios que han de aplicarse en orden a comprobar la corrección de tales usos.

Con el criterio ahora establecido en la Sentencia que analizamos, la obligación de información a los trabajadores acerca de la instalación de mecanismos de control, se vería cumplida con la mera información del sistema elegido, sin que se requiera especificar la finalidad exacta que se le ha asignado a ese control, siempre y cuando el dato recogido se destine única y exclusivamente al control de la relación laboral y, para un supuesto concreto y limitado en el tiempo.

Por tanto, la información acerca de las finalidades del tratamiento de los datos que impone el artículo 5 de la LOPD se satisfaría mediante la inclusión de un cartel informativo, amparando éste no solo la videovigilancia de las instalaciones por motivos de seguridad, sino que también incluiría la finalidad de control empresarial del artículo 20.3 del ET.

Sin perjuicio de que la protección de datos personales en el marco del control empresarial se encuentra íntimamente ligada a las circunstancias en las que acaece, esta Sentencia supone un notable cambio, por cuanto puede liberar a las compañías, en determinados supuestos, del deber de información relativo a las características y el alcance del tratamiento de los datos, esto es, en qué casos las grabaciones pueden tener lugar, durante cuánto tiempo y para qué propósitos.

Jordi Cabezas y Assumpta Zorraquino, Departamento de Intangibles, PwC

Opinión Preliminar del SEPD sobre el “Umbrella Agreement”

Analizamos la Opinión preliminar que el pasado 12 de febrero de 2016 emitió el Supervisor Europeo de Protección de Datos (“SEPD”) sobre el acuerdo al que en Septiembre de 2015 llegaron EEUU y la UE sobre la protección de los datos personales cuando estos son transferidos para finalidades relacionadas con la prevención, investigación, detección y persecución de delitos penales (“Umbrella Agreement”).

1. Antecedentes:

En Diciembre de 2010 el Consejo Europeo autorizó a la Comisión Europea para abrir las negociaciones entre la EU y EEUU, con el fin de llegar a un acuerdo para garantizar la protección de los datos personales cuando éstos son transferidos y tratados en el marco de la cooperación judicial, para finalidades de prevención, investigación, detección y persecución de delitos penales, incluido el terrorismo (“Umbrella Agreement”).

Dichas negociaciones comenzaron oficialmente el 29 de marzo de 2011, siendo el “Umbrella Agreement” finalmente adoptado el 8 de septiembre de 2015. No obstante lo anterior, el acuerdo no será firmado hasta que no se apruebe la ley estadounidense sobre recursos judiciales (US Judicial Redress Act), por lo que puede ser modificado hasta entonces.

 El SEPD ha publicado una opinión preliminar sobre este acuerdo, cuyas principales conclusiones pueden resumirse en las siguientes: (i) deberían mejorarse tres puntos esenciales y (ii) deberían clarificarse otros aspectos relevantes. Analizaremos dichos aspectos de mejora y recomendaciones a continuación.

 Una vez implementadas estas recomendaciones, el SDP estima que el “Umbrella Agreement” será respetuoso con los principios constitucionales de la UE.

 

2. Aspectos que, conforme al SEPD, deberían mejorarse

 Con el fin de que el “Umbrella Agreement” permita asegurar el cumplimiento de la Carta de Derechos Fundamentales de la Unión Europea (“Carta”) y el Tratado de Funcionamiento de la Unión Europea (“TFUE”), el SEPD entiende que deben llevarse a cabo las siguientes modificaciones al acuerdo:

• Clarificación de que todas las garantías aplican a todas las personas, no sólo a los nacionales de la UE.
• Aseguramiento de que las provisiones sobre los recursos judiciales son efectivas conforme a lo establecido en la Carta.
• Clarificación de que las transferencias internacionales en bloque no están autorizadas.

Asimismo el SEPD establece recomendaciones adicionales tales como:

• Que en caso de que exista conflicto entre las garantías previstas en el “Umbrella Agreement” y las bases legales previstas para las transferencias internacionales, el “Umbrella Agreement” prevalezca;
• Que las definiciones sobre el tratamiento de datos estén alineadas con las que se entienden conforme la legislación de la UE;
• Que se especifique la limitación de la conservación de los datos “a la finalidades específicas para los que fueron transferidos”;
• Que se incluya un listado orientativo sobre cuáles son las “condiciones específicas” en las que se permite que los datos sean transferidos en bloque;
• Que EEUU y UE consideren incrementar sus esfuerzos para que el acceso a los datos esté limitado a (i) los casos en los que sea indispensable para preservar los intereses públicos enumerados en el Acuerdo y (ii) el reforzamiento de las obligaciones de transparencia.
• Que se incluya una declaración explicativa sobre (i) cuáles son las autoridades que tienen competencia en la materia de aplicación del Acuerdo, (ii) qué facultades tienen estas autoridades en concreto y (iii) la identidad y coordenadas de los puntos de contacto que ayuden a identificar a dichas autoridades que se han señalado como competentes.  

3. Vinculación con otros acuerdos

 A pesar de que la Opinión del SEPD versa específicamente sobre el “Umbrella Agreement” y, por tanto, se limita a las transferencias internacionales de datos para finalidades relacionadas exclusivamente con la prevención, investigación, detección y persecución de delitos, efectúa determinadas menciones, o puede tener implicaciones en el denominado “Privacy Shield” que se está también negociando entre EUU y UE para las transferencias internacionales de datos en el marco de relaciones comerciales, en sustitución del recientemente invalidado “Safe Harbor”.

Así, el “Umbrella Agreement” y el “Privacy Shield”, junto con otros acuerdos específicos como el “Passengers Name Records”, forman parte de un conjunto de acuerdos independientes pero vinculados que las instituciones están adoptando para garantizar la protección de los datos personales en el marco de las transferencias entre EEUU y EU.

 

Assumpta Zorraquino y Cristina Villasante, Departamento de Derecho de los Intangibles de PwC

Nace la Plataforma europea para resolución de conflictos online

Con el objetivo de impulsar las transacciones online en el territorio de la Unión Europea, el próximo lunes 15 de febrero de 2016 la Comisión pondrá en marcha la Plataforma europea de resolución de conflictos online, de conformidad con la Directiva 2013/11/ UE de 3 de mayo y el Reglamento 524/2013 de 21 de mayo de 2013.

Mediante esta Plataforma, se ofrece a los consumidores y a los Comerciantes una ventanilla única para resolver extrajudicialmente los conflictos en línea.

Esta iniciativa se enmarca dentro de la iniciativa del Mercado Único Digital y tiene como objetivo incrementar la confianza en la dimensión digital del mercado Europeo mediante un sistema sencillo, rápido y asequible de resolución de controversias derivadas de compras de bienes o prestación de servicios en línea.

1. Ámbito de aplicación y exclusiones de la Plataforma

La Plataforma se podrá utilizar para la resolución extrajudicial de conflictos relativos a obligaciones contractuales derivadas de contratos de compraventa o de prestación de servicios celebrados en línea entre un consumidor y comerciante residentes ambos en la Unión Europea.

No obstante dicha Plataforma no será aplicable a disputas entre comerciantes y, en conflictos iniciados por un comerciante contra un consumidor, solamente en la medida en que la legislación del Estado Miembro de residencia habitual del consumidor así lo permita. En el caso del Estado Español, siguiendo la normativa europea, no son vinculantes para los consumidores los convenios arbitrales suscritos con un empresario antes de surgir el conflicto.

2. Funcionamiento de la Plataforma

La Plataforma consistirá en un sitio de internet interactivo al que se podrá acceder de manera electrónica y sin coste alguno, y estará disponible en la totalidad de las lenguas oficiales de las instituciones de la Unión Europea.

Para presentar una reclamación, la parte reclamante deberá rellenar el formulario que se le facilitará en la propia web de la Plataforma. Dicha información comprende, entre otra, el nombre y dirección de las partes, el tipo de mercancía, el precio, si el consumidor ha entablado contacto directo con el comerciante o el tipo y descripción de la reclamación.

Una vez debidamente cumplimentado el formulario, la Plataforma transmitirá a la parte reclamada los detalles de la reclamación, instando a las partes a ponerse de acuerdo sobre la entidad de resolución alternativa a la que habrá de transmitirse la reclamación. En caso que el comerciante esté obligado a recurrir a una entidad de resolución alternativa concreta, se le enviará un requerimiento para aceptar dicha entidad en el plazo de 10 días o, si no está obligado a recurrir a una específica, deberá seleccionar una o más entidades que sean competentes.

El resultado del procedimiento de resolución alternativa se dará a conocer transcurridos 90 días naturales contados desde la fecha en que la entidad de resolución alternativa haya recibido el expediente completo de reclamación, salvo aquellos casos que revistan una especial complejidad. En estos supuestos, se podrá prorrogar el plazo en 90 días naturales adicionales.

3. ¿Cómo afecta la implantación de la Plataforma a los comerciantes?

En el ordenamiento jurídico español, la sumisión de las controversias a mecanismos de resolución alternativos (mediación, arbitraje, etc.) requiere la aceptación de las partes implicadas.

La vocación de la Plataforma es servir de puente entre las reclamaciones de los consumidores y las entidades nacionales de resolución alternativa de conflictos.

Por lo tanto, a menos que el comerciante se comprometa contractualmente a resolver las eventuales disputas derivadas de contratos de compraventa o de prestación de servicios celebrados en línea mediante estos canales alternativos, serán los tribunales ordinarios quienes conocerán de éstas reclamaciones.

Con independencia de la obligación de los comerciantes a someter los conflictos a través de la Plataforma, la normativa sí que obliga, al menos, a ofrecer en sus sitios web un enlace electrónico a la Plataforma en un lugar visible y de fácil acceso para los consumidores. Asimismo, los comerciantes que celebren contratos en línea también deberán facilitar a los consumidores sus direcciones de correo electrónico.

En relación al precio, el acceso a la Plataforma será gratuito. Sin embargo, ello no obsta a que en el devenir del procedimiento se puedan devengar costes que, en todo caso, serán asequibles para las partes.

La Plataforma estará operativa el lunes 15 de febrero en el siguiente enlace: http://ec.europa.eu/consumers/odr/

Transferencias Internacionales de Datos

Los principios de Puerto Seguro (o Safe harbor) servían como base jurídica que garantizaba que las transferencias internacionales de datos personales  realizadas desde la Unión Europea a empresas ubicadas en EEUU y,  que implicaban por tanto, un tratamiento de datos en EEUU.

El pasado 6 de octubre el Tribunal de Justicia de la Unión Europea (TJUE) declaró inválidos dichos principios, por lo que las transferencias internacionales de datos ya no pueden ampararse en dicha base legal.

Tras dicha decisión, la AEPD ha comenzado a dirigir requerimientos a aquellas entidades que tienen notificados en el Registro General ficheros con trasferencias de datos con destino a EEUU, basadas en Safe Harbor, con el objetivo de que informen acerca de la continuidad de dichas transferencias internacionales de datos; y en caso afirmativo,  regularizar la situación solicitando  la autorización del Director de la AEPD, así como la justificación de que se garantiza el cumplimiento de las medidas de seguridad en la transferencia de datos.

Dicha actuación no debe causar sorpresa, dado que la propia Sentencia del TJUE que invalidó los Acuerdos de Puerto Seguro permite a las Autoridades de Protección de Datos investigar transferencias basadas en dicho Acuerdo y, en su caso, declarar que una determinada TID no presenta un nivel de protección equiparable al establecido en la LOPD.

En los requerimientos el plazo de respuesta que establece la AEPD es a la mayor brevedad y en todo caso, antes del 29 de enero de 2016

La respuesta debe darse en relación con los flujos de información que realiza la compañía requerida, responsable del fichero, pero es conveniente que,  como indicábamos en nuestro anterior edición, se analicen también las relaciones entre compañías de un mismo grupo o al tercero proveedor o socio comercial, y las respectivas cadenas de aprovisionamiento de unos y otros para poder detectar si existe algún eslabón que venía confiando en los principios del Puerto Seguro.

Del mismo modo, conviene prestar especial atención a  determinadas prestaciones de servicios que comportan la realización de transferencias  de datos de carácter personal a una entidad estadounidense, tanto a nivel de proveedores de servicios directos en EEUU, como de subcontratistas de los mismos ubicados en dicho país, como por ejemplo servicios de cloud computing, software as a service, call centers, business inteligence, etc .

Con el fin de dar respuesta al requerimiento de la AEPD,  conviene realizar las siguientes tareas:

• Revisar los actuales flujos de información dirigidos a EEUU
• Evaluar la necesidad e que se continúen produciendo
• Considerar en los proyectos en fase de definición si se van a producir transferencias internacionales a EEUU,
• Análisis de los consentimientos de los afectados y las oportunas obligaciones de información.
• Revisar los contratos y cláusulas contractuales con terceros ubicados en EEUU.
• Evaluar la seguridad de terceros y proveedores a los que se transfieren datos y asegurar que se adhieren a las políticas y prácticas de seguridad.
• Solicitar y tramitar la autorización del Director de la AEPD.

Las  normas corporativas vinculantes no nos parecen en este momento una alternativa favorable, dado que  pueden resultar igualmente vulnerables, y de hecho, algunas autoridades nacionales de protección de datos de la UE, han desaconsejado su uso como alternativa a los acuerdos de Puerto Seguro. 

 

 

Protección de datos: Publicidad de los datos contenidos en las sentencias judiciales en materia de fraude fiscal.

 

El pasado viernes se publicó en el BOE la Ley Orgánica 10/2015 de 10 de septiembre, por la que se regula el acceso y publicidad de determinada información contenida en las sentencias dictadas en materia de fraude fiscal, que modifica la Ley Orgánica 6/1985 del Poder Judicial.

En las condenas por delitos relacionados con fraude fiscal existen diversas razones de interés público que fundamentan la reforma y prevalecen sobre los derechos individuales a la intimidad o a la protección de datos de carácter personal.

En relación con la aplicación de la normativa de protección de datos, destacamos lo siguiente:

1.- Acceso público a determinados datos

Publicación únicamente de un extracto del fallo con los datos del condenado o del responsable civil y no del resto de sujetos, y solo de las sentencias condenatorias firmes  en materias especialmente relevantes para el control fiscal: delitos contra la Hacienda Pública, delitos de insolvencia punible, cuando el acreedor sea el erario público o, los delitos de contrabando.

2.- Canal de comunicación

La publicidad se efectuará a través del “Boletín Oficial del Estado”, por lo que los datos gozarán de la garantía adicional que supone la aplicación de su normativa específica impidiendo un tratamiento indebido de los mismos gracias a la desindexación de los datos.

3.- Excepciones

Se establece una excepción a la publicidad del acceso, en los casos en que se haya satisfecho con anterioridad a la firmeza de la sentencia la totalidad de la cuantía correspondiente al perjuicio causado a  la Hacienda Pública por todos los conceptos.

4. -Entrada en vigor

A los dos meses de su publicación en el BOE.

 

Ley de Patentes

El 25 de julio se publicó en el BOE la aprobación de la Ley 24/2015, de 24 de julio, de Patentes. La evolución comunitaria e internacional en esta materia, hacían necesaria una actualización general de la legislación vigente, modificando aspectos relevantes en cuanto a la tramitación de nuevas solicitudes, que  faciliten la obtención rápida de títulos sólidos a los innovadores españoles.

 La entrada en vigor será el 1 de abril de 2017.

 1.     El por qué de un nuevo marco regulatorio

 Tras casi 30 años de vigencia de la Ley 11/1986, de 20 de marzo, de Patentes, y sus distintas reformas, la evolución comunitaria e internacional en esta materia, hacían necesaria una actualización general de la legislación vigente, modificando aspectos relevantes en cuanto a la tramitación de nuevas solicitudes, que  faciliten la obtención rápida de títulos sólidos a los innovadores españoles.

 El crecimiento, en número y proporción, de las concesiones de patentes internacionales frente a los procedimientos de concesión nacionales, refleja la oportunidad de plantearse la modificación del sistema de concesión actual.

 Por ello, uno de los motivos de la nueva Ley es la de simplificar y agilizar la protección de la innovación mediante patentes y reforzar la seguridad jurídica, estableciendo como único sistema para la concesión de patentes el de examen previo de novedad y actividad inventiva.

 2.    Principales novedades

 Eliminación del sistema optativo de concesión

 De acuerdo con lo previsto en la Ley 11/1986, de Patentes, conservando la tradición reflejada en el Estatuto de la Propiedad Industrial de 1929, el solicitante podía optar entre solicitar el examen de su solicitud de patente o pedir la concesión sin examen. Con la nueva norma se pretende eliminar este sistema de elección de forma que todas las solicitudes deberán ser objeto de examen.

 Creación del sistema de oposición post-concesión

 El nuevo sistema de oposición tendrá lugar con carácter posterior a la concesión de la patente, aunque se mantienen las observaciones de terceros que sin ser parte en el procedimiento, podrán presentarse una vez publicada la solicitud.  El sistema de oposición diferida comporta la modificación del sistema de recursos administrativos contra la concesión de patente.

 Cambio presunción legal en las patentes laborales

  Se sustituye la presunción “de iure” del empresario a reclamar la titularidad de invenciones dentro del año de la extinción de la relación laboral por la presunción “iuris tantum” por la que se admite prueba en contrario de que las invenciones se realizaron durante la vigencia de la misma.

 Reducción de tasas

 Del 50 % para determinados emprendedores y PYMEs

  Invenciones por personal investigador al servicio de Universidades Públicas y de  los Organismos Públicos de investigación

 Adaptación a lo dispuesto en la Ley 14/2011, de la Ciencia, la Tecnología y la Innovación y con la Ley 2/2011 de Economía Sostenible. La propia Ley establece una remisión a los órganos de gobierno de las Universidades, lo que provocará cierta dispersión normativa.

 Acciones de defensa

 Mejora aspectos relativos al respeto de los derechos de propiedad intelectual, al establecer, para fijar los daños y perjuicios, un canon mínimo en lugar de un máximo.

Añade las indemnizaciones coercitivas para garantizar el cese de la actividad infractora, dejando para la fase de ejecución de la resolución el cálculo y liquidación de la indemnización.

 La figura del modelo de Utilidad

 Modificación en aspectos sustanciales como:

 i)                    la determinación del estado de la técnica, que se equipara con el exigido para las patentes, de esta forma, la novedad pasaría a ser  también mundial;

ii)                  el tipo de invenciones que pueden ser protegidas bajo esta modalidad (restringidos al campo de la mecánica, serán también aplicables a los productos químicos, aunque siguen quedando excluidos los procedimientos y las invenciones que tienen por objeto materia biológica), y;

iii)                las condiciones para ejercitar las acciones en defensa del derecho derivado de este título de protección.

 

Assumpta Zorraquino, Departamento de Intangibles, PwC

 

Libertad de expresión, proteccion de datos y derecho al honor

Análisis de la reciente resolución de la Agencia Española de Protección de Datos (AEPD) de 22 de junio de 2015 relativa a la divulgación de datos personales erróneos y de una fotografía obtenida de un perfil público de Facebook por un medio de comunicación, en el contexto de una publicación de información de relevancia pública e interés social.

1. Antecedentes

El procedimiento tramitado ante la AEPD trae causa de la denuncia formulada por la denunciante tras ver su fotografía vinculada a una información recogida en un medio de comunicación, sin que la denunciante tenga relación alguna con los hechos relatados en la citada información.

En particular, la edición digital de un periódico vinculaba el nombre y la imagen tomada del perfil público de Facebook de la denunciante con una de las personas fallecidas en una catástrofe aérea.

La denunciante, al tener conocimiento de los hechos, se puso en contacto con el medio de comunicación que, al conocer su error, precedió a  (i) retirar el contenido controvertido, (ii) publicar una nota aclaratoria y de rectificación pública y (iii) pedir disculpas a la afectada.

La denunciante solicita una compensación económica por los perjuicios causados, que al no ser atendidos por el medio de comunicación acude a denunciar los hechos ante la AEPD.

2. Razonamientos

• Colisión de derechos fundamentales

Análisis del tratamiento de datos realizado por un medio de comunicación, entrando en colisión los derechos a la protección de datos de carácter personal  que aparecen en la información y el derecho a la información consagrado en el artículo 20 de la Constitución Española (CE). 

• Valor preferente de las libertades de expresión y de información

La AEPD se remite a la jurisprudencia del Tribunal Constitucional que estima que cuando la divulgación de datos personales se ha realizado por un medio de comunicación en el contexto de la publicación de informaciones consideradas de relevancia pública, como es el presente caso, otorga el valor preferente de las libertades de expresión y de información, que además alcanzan su máximo nivel cuando son ejercitadas por los profesionales de la información a través de un vehículo institucionalizado de formación de la opinión pública.

La Agencia, en su resolución, añade que el asentado criterio jurisprudencial “impide a esta Agencia realizar ponderaciones adicionales de la proporcionalidad, que necesariamente implicarían una modalidad de control administrativo sobre los contenidos de informaciones publicadas por los medios de comunicación incompatible con nuestro sistema institucional”

• Existencia de interés legítimo del medio de comunicación

Interpretando la previsión del artículo 6 LOPD, que prevé que el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa, considera que ello “permite entender que no es necesario el consentimiento del afectado, cuando el artículo 20 CE permite el tratamiento”.

En otras palabras, el tratamiento de datos sin consentimiento puede entenderse amparado en el referido art. 20 CE, si dicha utilización permite la satisfacción del interés legítimo perseguido por el medio de comunicación,  el ejercicio del derecho de libertad de expresión y a comunicar libremente.

• Disminución de la privacidad de la denunciante

La fotografía que trata de complementar la noticia procede de un perfil público de la propia denunciante en una red social, por lo que la afectada, haciendo accesible la imagen a terceros, habría rebajado según la AEPD la privacidad de su información personal.

Recuerda la AEPD que el tratamiento es efectuado por un medio de comunicación, remitiéndose a lo señalado por la Audiencia Nacional en sentencia de 29 de septiembre de 2011, la imagen es un complemento esencial de la información periodística.

• Veracidad de la información

Nos encontramos ante una fotografía errónea, dado que la imagen se refiere a la denunciante y ésta, no presenta vinculación alguna con la información en la que se incluye, y por tanto se pone en cuestión el requisito de la veracidad.

Sin embargo, la jurisprudencia ha determinado que “la discusión en torno a la veracidad de los hechos no es incompatible con la preminencia del derecho a la información sobre el derecho a la protección de datos, debiendo ponderarse que el asunto a que se refiere la intromisión tenga relevancia pública e interés social, y no exigiéndose por tanto que los hechos o expresiones contenidos sean rigurosamente verdaderos (STC 292/2000 de 30 de noviembre  o  AN de 23 de febrero de 2010).

• Existencia de otros instrumentos eficaces

Recuerda la AEPD que el sistema jurídico aporta instrumentos que permiten a los afectados, reaccionar ante situaciones en las que se ha originado una información en la que existen datos erróneos, ejerciendo el Derecho de Rectificación previsto por la Ley Orgánica 2/1984, de 26 de marzo.

De hecho, la denunciante, al conocer la inclusión errónea de la fotografía, se puso en contacto con el medio de comunicación que, al conocer su error, precedió a (i) retirar la misma, (ii) publicar una rectificación pública y (iii) pedir disculpas a la afectada. Quedaría confirmada a juicio de la AEPD la actuación diligente del medio de comunicación.

Aplicando los principios de intervención mínima y proporcionalidad y habiéndose restablecido en su integridad el derecho de la denunciante, considera la AEPD que no cabe entender que se haya producido una infracción de la LOPD.

• Derecho al honor, a la intimidad personal y familiar y a la propia imagen

Plantea seguidamente con acierto la AEPD que si los hechos han supuesto una afectación al derecho al honor, a la intimidad personal y familiar o a la propia imagen de la afectada, la cuestión deberá ser dirimida, en su caso, ante los correspondientes órganos jurisdiccionales, atendiendo a lo dispuesto en la Ley 1/1982,  de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen de 5 de mayo, y no ante la AEPD.

La LOPD se aplica cuando son necesarios determinados controles en el empleo de datos personales para evitar usos inconsentidos, excesivos o, a fines contrarios a los recogidos, etc.

3. Principales claves de la resolución

• Valor preferente de las libertades de expresión y de información ante los derechos de la personalidad.
• No es necesario el consentimiento del afectado al encontrarse amparado el tratamiento en artículo 20 CE.
• La privacidad de la información personal disminuye cuando ésta es puesta voluntariamente a disposición de terceros.
• La necesidad de total exactitud de la veracidad de la información es discutible cuando la información tenga relevancia pública e interés social.
• La actuación diligente del medio de comunicación tras la solicitud de Rectificación,  permite aplicar los principios de intervención mínima y proporcionalidad del órgano administrativo.
• Con acierto, la AEPD diferencia los sistemas de protección otorgados al  tratamiento de datos y a la divulgación de informaciones que atentan a determinados derechos fundamentales como el honor o la propia imagen, y el órgano competente para dirimir una u otra controversia, absteniéndose de conocer cuando los hechos supongan una intromisión al honor y a la propia imagen.

 Assumpta Zorraquino Rico, Cristina Muñoz Jornet | Departamento de Intangibles de PwC

 

Plataformas de financiación participativa "crowdfounding”

Analizamos las principales novedades introducidas en el Título V de la Ley 5/2015 de 27 de abril, de fomento de la financiación empresarial.

 Finalidad

Las medidas adoptadas en el marco de la Ley 5/2015 tienen una doble finalidad: por un lado, hacer más accesible y flexible la financiación bancaria a las pymes, y por otro, avanzar en el desarrollo de medios alternativos de financiación, particularmente para fortalecer las fuentes de financiación corporativa directa o financiación no bancaria en España.

Resulta por tanto oportuno ajustar y clarificar la normativa aplicable asegurando un nivel equivalente de protección, particularmente en lo relativo a la protección de datos personales, a los servicios de la sociedad de la información y comercio electrónico y a la defensa de los consumidores y usuarios.

Definición y régimen jurídico

Se establece por primera vez un régimen jurídico para las plataformas de financiación participativa (o “crowdfounding”), que constituyen un novedoso mecanismo de desintermediación financiera desarrollado sobre la base de las nuevas tecnologías.

Por ‘plataformas de financiación participativa’ se entiende aquellas empresas autorizadas cuya actividad consiste en poner en contacto, de manera profesional y a través de páginas web u otros medios electrónicos, a una pluralidad de personas físicas o jurídicas que ofrecen financiación a cambio de un rendimiento dinerario (“inversores”) con personas físicas o jurídicas que solicitan financiación en nombre propio para destinarlo a un proyecto de financiación participativa (“promotores”).

• No tendrán la consideración de plataformas de financiación participativa cuando la financiación captada por los promotores sea exclusivamente a través de donaciones, venta de bienes y servicios y préstamos sin intereses.
• A pesar de que la Ley no hace ninguna mención expresa, deberá estarse a lo contenido en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico para determinar la sujeción a la misma de las plataformas de financiación participativa.

Ámbito territorial

• Estarán sujetos  a lo previsto en el Título V las plataformas de financiación participativa que ejerzan la actividad en territorio nacional, así como la participación en ellas de los inversores y promotores.
• No se considerará que un servicio ha tenido lugar en territorio nacional cuando un residente en España participe por iniciativa propia, como inversor o promotor, en una plataforma con domicilio social en el extranjero que preste los servicios descritos.

Servicios auxiliares

• Además de los servicios de recepción, selección y publicación de proyectos de financiación, y el desarrollo, establecimiento y explotación de canales de comunicación, las plataformas de financiación participativa podrán prestar servicios auxiliares, entre otros:

     asesoramiento a los promotores en las áreas de tecnologías de la información, marketing, publicidad y diseño, y

                Habilitación de canales de comunicación a distancia para que los usuarios contacten entre sí a raíz de las actuaciones que den lugar a la financiación del proyecto.

Principios generales

• Aplicación en el ejercicio de su actividad de los principios de neutralidad, diligencia y transparencia.
• La información que proporcionen a sus clientes (tanto promotores como inversores) sobre los derechos  y obligaciones que asumen al operar a través de la plataforma deberá ser en todo caso clara, oportuna, suficiente, accesible, objetiva y no engañosa, permanente, actualizada, gratuita y fácilmente visible en la página web de la plataforma, así como presentarse en términos breves y sencillos, y en un lugar y forma especialmente destacadas bajo un epígrafe denominado “Información básica para el cliente”.
• Estas plataformas deben contar con un capital social mínimo de 60.000 € desembolsado íntegramente en efectivo o un seguro de responsabilidad civil profesional, un aval u otra garantía con una cobertura mínima de 300.000 € para reclamaciones por daños y 400.000 € anuales para cobertura total de reclamaciones.

Obligaciones de información general

• Las plataformas deberán incluir información sobre el funcionamiento básico de la plataforma, incluida la forma de selección de los proyectos de financiación, la forma en la que se recibe y trata la información suministrada por los promotores, y los criterios para su publicación.
• La plataforma de financiación podrá proporcionar información sobre :

               - el número o porcentaje de incumplimientos, tasa de morosidad, la rentabilidad u otra                 variable análoga.

                - los procedimientos y medios para la presentación de quejas y reclamaciones por parte                 de los clientes y los procedimientos para resolverlos.

                - un Currículum Vitae y una descripción de la situación financiera y de endeudamiento                 (cuando los proyectos se instrumenten a través de préstamos y el promotor sea una persona                 física).

• Lo anterior exigirá estar a lo dispuesto por el régimen general en materia de protección de datos de carácter personal.
• En cuanto al periodo de  conservación de dicha información, deberá estar a disposición de la Comisión Nacional del Mercado de Valores durante, al menos, 5 años.
• Toda la información deberá ser accesible al resto de inversores y los promotores se responsabilizarán frente a los inversores de la información que proporcionen para su publicación.

Protección de consumidores y usuarios

• La actividad desarrollada por las plataformas y las relaciones entres los promotores e inversores estarán sujetas a la normativa sobre protección de los consumidores y usuarios, con las especialidades previstas en la presente Ley de Fomento de la financiación empresarial, así como a los mecanismos previstos en la legislación sobre protección de los clientes de servicios financieros.
• En las relaciones con aquellos promotores que tengan la consideración de consumidor, la plataforma tendrá la consideración de intermediario conforme la Ley 2/2009, de 31 de marzo, por lo que no le resultará de aplicación las obligaciones sobre comunicaciones comerciales y publicidad y las obligaciones adicionales de la actividad de intermediación de la referida ley.
• Ateniendo a lo anterior, deberá analizarse la sujeción de las plataformas de intermediación financiera al régimen general de consumidores y usuarios.

 

Assumpta Zorraquino, Cristina Muñoz Jornet

 

Reforma del Código Penal

Tras la publicación en el BOE de 31 de marzo de la Ley Orgánica 1/2015, que reforma la Ley Orgánica 1/1995 de 23 de noviembre, del Código Penal, veamos a continuación las  principales novedades y las modificaciones de los tipos delictivos relacionados con las tecnologías de la información e Intangibles, tales como el delito de descubrimiento y revelación de secretos, el de daños informáticos y los delitos contra la propiedad intelectual e industrial, bajo el siguiente esquema:

1.      Objetivo

2.     Principales novedades

3.     Régimen de responsabilidad de las personas jurídicas y criterios de exención o atenuación de la pena

4.     Descubrimiento y revelación de secretos. Intromisión en la intimidad

5.     Delito de daños informáticos

6.     Delitos contra la propiedad intelectual

7.     Delitos contra la propiedad industrial

 

1. Objetivo

Fortalecer la confianza en la Administración de Justicia, adecuar la norma penal a las nuevas demandas sociales mediante una revisión del régimen de penas y su aplicación, la introducción de nuevas figuras delictivas o adecuación de las existentes a las nuevas formas de delincuencia, incorporando algunas de ellas la comisión de los hechos a  través de Internet o mediante el uso de tecnologías de comunicación.  La reforma busca asimismo adecuar la norma penal a determinadas Directivas comunitarias y atender compromisos internacionales.

2. Principales Novedades

Introduce la prisión permanente revisable,  modifica la regulación de la suspensión y de la sustitución de las penas privativas de libertad.

Suprime las faltas, pasando algunas de ellas a regularse como delitos leves,  bajo el principio de intervención mínima, y para facilitar una disminución relevante de asuntos que pueden encontrar respuesta en la vía civil o administrativa.

Modifica el régimen de valoración del cumplimiento de la responsabilidad civil, para la aplicación de la suspensión de la pena, introduciendo un sistema inverso al actual. La ocultación de bienes o no aportar información sobre los disponibles o no facilitar el decomiso acordado puede determinar la revocación de la suspensión acordada.

Incorpora importantes modificaciones en la regulación del decomiso, que afecta al decomiso sin sentencia, el decomiso ampliado y el decomiso de bienes de terceros. Entre los delitos a los que se aplica esta sanción de decomiso ampliado, están los delitos informáticos.

Recoge expresamente que en aquellos supuestos en los que el decomiso de los bienes no sea posible en todo o en parte, el juez o tribunal puedan determinar una cantidad hasta cuyo importe quedará autorizado el decomiso de bienes. 

 

3. Régimen de responsabilidad de las personas jurídicas y criterios de exención o atenuación de la pena

Modifica el art. 31 bis para regular los supuestos de exención de responsabilidad penal  si  se cumplen  los siguientes supuestos:

1. el órgano de administración ha adoptado y ejecutado con      eficacia, antes de la comisión del delito, modelos de organización y      gestión que incluyen las medidas de vigilancia y control idóneas para      prevenir delitos de la misma naturaleza
2. ha sido       confiada la supervisión posterior del funcionamiento y cumplimiento      al denominado Compliance Officer
3. los autores individuales han cometido el delito      eludiendo fraudulentamente los modelos de organización y prevención
4. no se ha producido una omisión o un ejercicio      insuficiente de las funciones de supervisión, vigilancia y control.

Si las anteriores circunstancias solo pueden ser objeto de acreditación  parcial, esta circunstancia será valorada a los efectos de atenuación de la pena.

En todo caso, el deber de control se condiciona, de modo general, a las dimensiones de la persona jurídica.

Se extiende el régimen de responsabilidad penal a las sociedades mercantiles estatales que ejecuten políticas públicas o presten servicios de interés económico general.

 

4.  Descubrimiento y Revelación de secretos. Intromisión en la intimidad

Amplia los supuestos de los delitos contra la intimidad relativos al descubrimiento y revelación de secretos regulados en  el  art. 197, a la captación de imágenes o grabaciones de otra persona obtenidas con su consentimiento, cuando la imagen o grabación se ha obtenido en un domicilio o lugar fuera del alcance de la mirada de terceros, pero su posterior difusión, se realiza sin el consentimiento de esa persona, y la divulgación lesione gravemente su intimidad.

Considera igualmente delito en el nuevo 197 ter, producir, adquirir para su uso, importar o de cualquier otro modo proporcionar a terceros, con la intención de facilitar la comisión de algunos de los delitos previstos en el 197.1 y 2 y 197 bis:

•  un programa informático concebido o adaptado para cometer dichos delitos; o
• una contraseña de ordenador, un código de acceso o datos similares que permitan acceder a la totalidad o a una parte de un sistema de información.

Recoge de esta forma el planteamiento de la Directiva 2013/40/UE  (que se incorpora al derecho español en la Disposición final sexta), y establece una separación entre los supuestos de revelación de datos que afecten directamente a la intimidad personal y el acceso a otros datos o informaciones que pueden afectar a la privacidad pero que no están referidos directamente a la intimidad personal.

 

 5.  Delito de daños informáticos

Amplia los supuestos de agravación del tipo penal cuando la conducta afecte  a un número elevado de sistemas informáticos, así como si afecta al sistema informático de una infraestructura crítica o se hubiera creado una situación de peligro grave para la seguridad del Estado, añadiendo qué se considerará a estos efectos, por infraestructura crítica.

Incorpora  en el art. 264 bis  el castigo contra quien sin estar autorizado y de manera grave, obstaculice o interrumpa el funcionamiento de un sistema informático ajeno. Se eleva la pena si los hechos perjudican de forma relevante la actividad normal de una empresa o de una Administración pública.

 

6. Delitos contra la propiedad intelectual

El art. 270 relativo a los delitos contra la propiedad intelectual  identifica las acciones de reproducción, plagio, distribución y comunicación pública, sin necesidad de queéstas se cometan como una forma de explotación económica. Se sustituye el elemento subjetivo de “ánimo de lucro” por el de “ánimo de obtener un beneficio económico directo o indirecto”.

Reúne de una forma más clara en un único apartado (270.2) las condiciones para considerar responsable a los prestadores de servicios de la sociedad de la información  que, con ánimo de obtener un beneficio económico directo o indirecto,  y en perjuicio de tercero, facilite de modo activo y no neutral,  el acceso o la localización en Internet de obras o prestaciones objeto de propiedad intelectual. 

Añade, en el 270.3 la posibilidad de que en estos casos de infracción a través de un portal de acceso a Internet o servicio de la sociedad de la información, además de la interrupción del servicio, el Juez pueda adoptar cualquier medida cautelar.

Cuando exista reiteración de las conductas, se podrá ordenar el bloqueo del acceso correspondiente.

El 270.6 limita la exigencia de finalidad comercial a la mera posesión de herramientas de desprotección o neutralización de dispositivos técnicos, excluyendo de ello a la fabricación, importación o puesta en circulación.

 

7. Delitos contra la propiedad industrial

Nueva redacción que contempla como infracción con fines industriales o comerciales , sin consentimiento del titular, la fabricación, producción, o importación de productos que incorporen un signo distintivo idéntico o confundible con aquél.

También será delito el ofrecer, distribuir o comercializar al por mayor o al por menor productos que incorporen un signo distintivo idéntico o confundible con aquél, o almacenarlos con esa finalidad, cuando se trate de los mismos o similares productos, servicios o actividades para los que el derecho de propiedad industrial se encuentre registrado. Igualmente la venta ambulante u ocasional se incluye como delito en el nuevo código penal.

 

La entrada en vigor de la reforma se producirá el 1 de julio de 2015.