Especial LA LEY Privacidad, nº 22

Si no visualizas correctamente este e-mail, consulta la versión online 27 de diciembre de 2024
Podcast Noticias LA LEY te ofrece sus podcast, actualizados a diario, para que puedas estar puntualmente informado de la actualidad jurídica Todos los días podrás escuchar los contenidos que hemos preparado con las noticias más destacadas. Especial LA LEY Privacidad, nº 22 Contenidos del n.º 22 Sumario Gestionar los datos personales en las crisis; Entrevista a Jesús Rubí; Las prevenciones del RIA contra los peligros del dataísmo; Anulada la sanción impuesta por la AEPD a LaLiga por la activación del micrófono de su App sin consentimiento del usuario; Construyendo puentes legales en Europa: necesidades y desafíos de la interoperabilidad; Informes jurídicos de la AEPD; Casi 20 millones de euros en sanciones y ni media docena de apercibimientos para el cierre del 2024; Multa por no atender debidamente un derecho de acceso, deficiencias de seguridad en un grupo hospitalario, no eliminación de datos personales en el traslado de documentación y envío de nóminas de trabajadores a un tercero; Una visión acerca del modelo de Ordenanza sobre Gobierno del Dato de la FEMP; La protección de los datos personales como medida de seguridad de las víctimas de violencia de género (Sistema VioGén 2)... Presentación del n.º 22 En este número… Cerramos el año con uno de los mayores desastres naturales de nuestro país, la terrible DANA que, a finales de octubre de 2024, golpeó, especialmente, a la Comunidad Valenciana. Como no podía ser de otra forma, nuestro Director abre este número con un emotivo Editorial en el que, mostrando nuestra preocupación por la dramática situación vivida, pone el acento en la importancia de usar la información, incluida la personal, al servicio del bien común, con el fin de diseñar políticas públicas que contribuyan a la reconstrucción de las localidades afectadas y de las vidas personales. Editorial Gestionar los datos personales en las crisis Ricard Martínez Martínez El editorial que llega hoy a sus manos no es desde luego ni el que estaba previsto ni el que hubiéramos querido redactar jamás. Nuestro país se ha visto golpeado por una de las mayores catástrofes naturales del último siglo. En un momento en el que nos preocupa esencialmente la dramática situación de las personas, la satisfacción urgente de sus necesidades y el diseño de las políticas públicas que deberán contribuir a la reconstrucción queda, sin embargo, un espacio para las lecciones aprendidas en materia protección de datos. Entrevistas Entrevista a Jesús Rubí «Las iniciativas que está adoptando la Unión Europea, algunas tan innovadoras como la regulación garantista para el desarrollo de la IA, van a contribuir a que la Unión pueda estar en una posición de vanguardia» Ricard Martínez Martínez Jesús Rubí ha acompañado a la protección de datos prácticamente desde sus orígenes en España, ya que se incorporó a la misma en el segundo de la dirección de la Agencia Española de Protección de Datos, que inició en 1998 bajo la dirección de D. Juan Manuel Fernández López. Cuenta con una rica trayectoria profesional que ha implicado su paso por las relaciones del Gobierno con las Cortes Generales y el ámbito del Derecho de la competencia, entre otras muchas actividades. Estudio Jurídico Las prevenciones del Reglamento de Inteligencia Artificial contra los peligros del dataísmo Diego Fierro Rodríguez Letrado de la Administración de Justicia El Reglamento (UE) 2024/1689, sobre inteligencia artificial (en adelante, IA), surge como una respuesta reguladora a los desafíos que plantea el dataísmo, una filosofía que valora la capacidad del análisis masivo de datos para comprender y prever comportamientos humanos. Este reglamento busca equilibrar los avances tecnológicos con la protección de los derechos fundamentales, abordando riesgos significativos relacionados con la privacidad y la equidad. Al definir claramente los sistemas de IA y establecer prohibiciones estrictas, como la de la puntuación ciudadana y la evaluación del riesgo delictivo basada en perfiles, el reglamento pretende prevenir la discriminación y la invasión de la privacidad. Además, establece normas para las pruebas de IA en condiciones reales, garantizando que estas tecnologías se utilicen de manera ética y responsable. Este marco normativo refleja un esfuerzo integral por asegurar que la IA beneficie a la sociedad sin comprometer los principios de justicia y equidad. El Foro de la Privacidad Anulada la sanción impuesta por la AEPD a LaLiga por la activación del micrófono de su App sin consentimiento del usuario (STS, Sala tercera, de lo contencioso-administrativo, sección 3ª, n.º 1263/2024, de 15 de julio, Rec. 5039/2022) Leonor Rams Ramos Profesora Titular de Derecho Administrativo La STS 1263/2024, por la que se anula una sanción de 250.000€ impuesta por la AEPD a la Liga Nacional de Fútbol Profesional, reconoce la competencia de la AEPD para exigir a los responsables del tratamiento la adopción de mecanismos adicionales que garanticen cumplimiento del principio de transparencia, pero determina que esta facultad no le permite sancionar por el incumplimiento de medidas que, aunque razonables, no fueran previsibles para los operadores, sin haberles dirigido un requerimiento previo. Construyendo puentes legales en Europa: necesidades y desafíos de la interoperabilidad Corentin Sastre Project Manager La interoperabilidad digital depende de un marco legal sólido que permita la integración fluida de diversos estándares, sistemas y plataformas. La transición hacia estándares abiertos y foros públicos resalta la importancia de la participación social en la creación de estas soluciones digitales y el soporte de sistemas descentralizados. Este enfoque promueve la representación y la transparencia, aspectos esenciales para una interoperabilidad inclusiva y vinculante que responda al interés público. En esta nueva realidad transfronteriza, la participación activa del sector legal es fundamental para armonizar los estándares técnicos con los valores sociales, apoyando un ecosistema digital responsable y coherente. Informes jurídicos de la Agencia Española de Protección de Datos (AEPD) Elena Davara Fernández de Marcos Socia de Davara&Davara(1) Se analizan los puntos más relevantes de dos Informes jurídicos publicados por la AEPD en 2024. En el Informe n.o 2024-0015 se analiza, desde el punto de vista de protección de datos y sus implicaciones, el Proyecto de Real Decreto por el que se desarrolla la Ley 18/2022, de 28 de septiembre, de creación y crecimiento de empresas en lo referido a la factura electrónica entre empresas y particulares, donde se establece la Solución Pública de Facturación Electrónica, que será gestionada por la AEAT. Y en el Informe 2018/0041 se analiza la modificación de la Ley 10/2010 para llevar a cabo las obligaciones del Reglamento General de Protección de Datos y de la Directiva de la Unión Europea sobre prevención del blanqueo de capitales y financiación del terrorismo. Infracciones y Procedimiento Sancionador Casi 20 millones de euros en sanciones y ni media docena de apercibimientos para el cierre del 2024 Carmen Arbás Martín Especialista en protección de datos A principios de año, realizamos la actualización de los datos del año 2023, a mediados de año, analizamos las resoluciones publicadas por la AEPD en los cinco primeros meses del 2024. Ahora, con los datos compilados hasta noviembre del 2024 analizamos la evolución de la manera de Sancionar de la AEPD. La tabla resume los hechos infractores en este 2024, clasificándolos por sectores, e indicando los preceptos del RGPD, LOPDGDD o de la LSSI vulnerados y la cuantía de la sanción para cada caso, con expresa mención si ha habido terminación por pago en periodo voluntario. Además, se incluyen prácticos gráficos que recogen de manera visual la información por meses, por infracciones y por cuantías en cada sector. Multa por no atender debidamente un derecho de acceso, deficiencias de seguridad en un grupo hospitalario, no eliminación de datos personales en el traslado de documentación y envío de nóminas de trabajadores a un tercero F. Javier Sempere Letrado y Director de Supervisión y Protección de Datos del CGPJ La LOPDGDD, siguiendo el mismo modelo que la LOPD, ha configurado dos procedimientos diferentes para tramitar las reclamaciones: uno cuando se refiere a vulneraciones del RGPD, y otro el relativo al ejercicio de derechos, que anteriormente se conocía como tutela de derechos. Éstos, en la mayor parte de los casos, no finalizan con un procedimiento sancionador. Analizamos uno de ellos que, en cambio, sí ha concluido con una multa al responsable, tratándose además de un procedimiento de carácter transfronterizo. Por otra parte, uno de los sectores en los que se requiere una mayor diligencia es el sanitario, debido al tipo de datos y la finalidad del tratamiento, y que son calificados dentro del grupo de las categorías especiales de datos. Analizamos una resolución tramitada contra un ente hospitalario en las que se encontraron deficiencias, principalmente, de seguridad. También abordamos dos resoluciones sobre dos tipos de incumplimientos que suelen ocurrir con frecuencia consistente en enviar documentación sin quitar o enmascarar determinados datos personales, así como el envío, de manera errónea, a un tercero de información referente a múltiples personas. En ambos casos, afectaron a datos personales que exigen una especial protección, como son el DNI y datos de carácter financiero como son las nóminas. Sector Público Una visión acerca del modelo de Ordenanza sobre Gobierno del Dato de la Federación Española de Municipios y Provincias David Egea Villalba Profesor de Derecho administrativo La Federación Española de Municipios y Provincias (FEMP) ha aprobado y difundido entre sus miembros una Ordenanza Tipo sobre Gobierno del Dato. Transcurridos unos meses desde entonces este trabajo presenta un primer análisis de las distintas iniciativas que han materializado varios ayuntamientos en relación con el gobierno del dato. La protección de los datos personales como medida de seguridad de las víctimas de violencia de género (Sistema VioGén 2) Carlos Manuel Fernández González(1) Delegado de Protección de Datos de la Secretaría de Estado de Seguridad En el presente trabajo se procede a analizar brevemente el impacto que tiene la protección de datos de carácter personal en la efectividad de las medidas, tanto de carácter técnico como organizativo, que se implementan para garantizar la seguridad de las víctimas de violencia de género. En especial, se formula una mención de la evolución del Sistema VioGén al VioGén 2. Ciberseguridad Guía ICAM Ciberseguridad para la Abogacía Elías Vallejo Grande Abogado y Delegado de Protección de Datos La Guía plantea medidas de seguridad mínimas a aplicar en cualquier despacho de abogados, pero hace falta asociar las medidas de seguridad a una gestión de riesgos en función de los riesgos para los derechos y libertades fundamentales de los interesados. No es lo mismo seleccionar medidas de seguridad para un tratamiento de datos identificativos de proveedores (y sus personas de contacto) que el tratamiento de datos de delitos sexuales con menores de ciertos empleados. Ambos deben tener las medidas mencionadas en la Guía, pero un tratamiento de datos sensibles o con tecnologías disruptivas deberá incluir muchas más medidas de seguridad Espacio Europeo de Protección de Datos Criterios para la evaluación del interés legítimo a raíz de las nuevas Directrices 1/2024 del EDPB y el pronunciamiento del TJUE sobre el interés comercial Nelia Álvarez García Abogada Protección de Datos y Tecnologías de la Información El Comité Europeo de Protección de Datos («EDPB», por sus siglas en inglés) anunció el pasado mes de octubre la adopción de las Directrices 1/2024 sobre el tratamiento de datos personales basado en el artículo 6, apartado 1, letra f), del Reglamento General de Protección de Datos («RGPD»). El texto publicado ha sido sometido a consulta pública hasta el 20 de noviembre. Días antes de la publicación de las Directrices se conoció el fallo del Tribunal de Justicia de la Unión Europea («TJUE») en el Asunto C-621/22, en el que el Tribunal se pronunció sobre la posibilidad de justificar, sobre la base del interés legítimo de acuerdo con el artículo 6.1 f) del RGPD, la comunicación de los datos personales de los miembros de una asociación deportiva a los patrocinadores de dicha asociación con fines promocionales, a cambio de una remuneración. Las Directrices actualizan el Dictamen 6/2014 del Grupo de Trabajo del Artículo 29, teniendo en cuenta las interpretaciones del TJUE y, entre ellas la resolución del TJUE en el Caso C-621/22. Tanto el Comité Europeo de Protección de Datos como el TJUE inciden en los elementos que deben tenerse en cuenta para evaluar la licitud, necesidad y proporcionalidad del interés perseguido por contraposición a los derechos y libertades de los interesados. Por su relación y paralelismo, el presente documento expone su análisis de forma conjunta. Crónica de Corresponsales Comentario a la Sentencia del Bundesgerichtshof (BGH) / Tribunal Federal de Justicia de Alemania sobre daños por Scraping Ricardo Morte Ferrer Abogado, Consultor y Docente Protección de Datos En una sentencia histórica de 18 de noviembre de 2024, el Tribunal Federal de Justicia de Alemania (BGH) redujo significativamente los obstáculos para hacer valer las reclamaciones por daños y perjuicios tras las violaciones de datos. La sentencia del BGH aborda el escándalo de los datos de Facebook a partir de 2021 y es la primera que utiliza el nuevo procedimiento de decisión principal, que permite una jurisdicción uniforme para miles de demandas. Recientes pronunciamientos en materia de recursos humanos del ICO (Parte III) Datos Biométricos (Parte I) Laura Aliaga Martínez Abogada. Investigadora en el Cloud Legal Project Los sistemas de reconocimiento biométrico crecen a un ritmo vertiginoso, aunque la licitud para el uso sigue siendo objeto de un creciente debate. En el ámbito laboral, las aplicaciones de esta tecnología resultan prometedoras, pero al mismo tiempo pueden resultar claramente intrusivas respecto a los derechos y libertades fundamentales de los afectados. Este hecho ha situado esta tecnología en el punto de mira del legislador, de la autoridad de protección de datos y de la doctrina en el Reino Unido. No obstante, esta preocupación trasciende fronteras y se manifiesta a nivel global. Tal es el nivel de escrutinio, que los conceptos y las reglas asociadas a los datos biométricos están en constante cuestionamiento y son objeto de continua precisión. En este contexto, la aplicación de dichas normas en el ámbito laboral exige un análisis que supera la mera interpretación literal de la norma, considerando los fundamentos de los diferentes conceptos y las particularidades de los criterios desarrollados por el soft law y la jurisprudencia. Introducción de datos neuronales en la Ley Integral de Privacidad del Estado de California Romina Redondo Abogada y Profesional de Privacidad El 28 de septiembre de 2024 se aprobó un proyecto de ley mediante el cual se modifica la ley integral de privacidad de California para incluir a los datos neuronales como datos personales sensibles y acordarles el nivel de protección más elevado que se reconoce a dichos datos en el estado. California es el segundo estado, después de Colorado, en ampliar esta protección a los datos neuronales, y ambos estados podrían encabezar una tendencia a nivel de los estados. Las definiciones de datos neuronales de ambas leyes son similares, en el sentido de que restringen la protección a datos ligados directamente a la actividad cerebral. Si bien la comunidad científica y académica reconoce, en general, a estas expansiones de protección de privacidad como avances significativos, existe un debate interesante en torno a la suficiencia o adecuación de su alcance. Inteligencia artificial y protección de datos: acerca de la nueva guía de la autoridad Argentina Mariano Peruzzotti Abogado. Socio del Estudio Ojam Bullrich Flanzbaum La autoridad de protección de datos personales de Argentina emitió recientemente la «Guía para entidades públicas y privadas en materia de Transparencia y Protección de Datos Personales para una Inteligencia Artificial responsable», como parte de su programa para garantizar un uso responsable de la IA. Este artículo analiza los objetivos de la Guía, que incluyen fomentar la transparencia, proteger los datos personales y promover prácticas éticas de IA a lo largo del ciclo de vida de los sistemas. Asimismo, examina los desafíos identificados, como los sesgos de datos, los riesgos de privacidad y la falta de transparencia algorítmica, ofreciendo recomendaciones prácticas para el diseño, implementación y mantenimiento de sistemas de IA. Finalmente, contextualiza la Guía en el panorama legislativo argentino, destacando los debates actuales sobre un marco normativo para la IA. La visión problemática de la corresponsabilidad en el tratamiento de datos personales según la Autoridad de Protección de Datos de Colombia Heidy Elieth Balanta Abogada. Directora Ejecutiva La corresponsabilidad en el tratamiento de datos personales se encuentra en diversas legislaciones internacionales de protección de datos; sin embargo, en Colombia, este concepto no está definido explícitamente. A pesar de ello, la Superintendencia de Industria y Comercio, como Autoridad Nacional de Protección de Datos, ha recurrido a la corresponsabilidad para emitir órdenes administrativas e instruir a sus vigilados mediante circulares externas. En particular, ha vinculado este concepto con los administradores societarios, lo cual ha generado cuestionamientos sobre su aplicación, dada su diferencia con interpretaciones internacionales y la incertidumbre jurídica sobre las responsabilidades y deberes en la gestión de datos personales. Sobre el nuevo régimen normativo de ciberdelincuencia en Uruguay Ana Brian Nougrères Doctor en Derecho y Ciencias Sociales por la Universidad Mayor de la República de Uruguay El presente constituye un análisis de la Ley No. 20.327, recientemente aprobada, sobre prevención y represión de la Ciberdelincuencia en Uruguay. Actualidad Profesional Resumen y análisis del Dictamen 22/2024 del Comité Europeo de Protección de Datos (CEPD) Patricia Muleiro Antón Delegada de Protección de datos El 7 de octubre de 2024, el Comité Europeo de Protección de Datos (CEPD) adoptó, a solicitud de la Autoridad Danesa de Protección de Datos, el Dictamen 22/2024, el cual supone una interpretación armoniosa de determinados aspectos del artículo 28 del RGPD. Este documento profundiza en determinadas obligaciones de los responsables del tratamiento (RT) que dependen de los encargados (ET) o, en su caso, sub encargados del tratamiento (SET) de datos personales, conforme al Reglamento General de Protección de Datos (RGPD). Igualmente, analiza de forma detallada las responsabilidades y garantías que deben cumplir los ET y SET en la cadena de suministro de datos personales. Los puntos fundamentales derivados del artículo 28 RGPD, que comentamos de forma detallada en este estudio, son los siguientes: 1. Obligaciones de los responsables del tratamiento. 2. Redacción de los contratos entre el responsable y el encargado. 3. Tratamiento tras la transferencia de datos a un tercer país. Diario LA LEY, 10635 de 27 de diciembre de 2024 Opinión Tribuna La extradición pasiva. Análisis de la Ley 4/1985 Anna Cócera Saló Juez Sustituta adscrita al TSJ de Cataluña Actualmente el instrumento de la extradición, sea activa o pasiva, es un instrumento esencial en el Estado de Derecho, tanto respecto la vertiente de las relaciones internacionales entre estados, como en la vertiente estrictamente penal, con el fin de poder perseguir los autores de los delitos. Contamos con varios instrumentos para poder hacer efectiva la extradición que nos es solicitada, regulándose en la Ley de Extradicion Pasiva el procedimiento para llevarla a cabo, siendo un procedimiento de carácter mixto, con una fase judicial y una fase a cargo del Gobierno. Si bien es un proceso en el que cada vez tienen más relevancia los tratados y convenios internacionales, no podemos ignorar la vigencia de esta Ley, su repercusión y trascendencia. Tribuna La amnistía y las sanciones administrativas Blanca Lozano Cutanda Catedrática de Derecho Administrativo de CUNEF Universidad El análisis de la aplicación de la Ley de Amnistía a las sanciones administrativas depara la sorpresa de que, si bien la ley declara amnistiados los actos determinantes de la administrativa que define en sus dos primeros artículos, únicamente se restituyen las multas impuestas por infracciones a la Ley orgánica de protección de la seguridad ciudadana leves y graves, excluyéndose la restitución de las multas por infracciones muy graves. Tribuna La desproporcionalidad de la prisión permanente revisable. Jurisprudencia reciente (nacional y europea) Puerto Solar Calvo Jurista II.PP. Pedro Lacal Cuenca Psicólogo II.PP. La Sentencia del Tribunal Constitucional 169/2021, de 6 de octubre, supuso un varapalo para quienes todavía creemos que el derecho importa. De un lado, plasma un análisis excesivamente formal de la regulación de la prisión permanente revisable, atendiendo muy poco a su enorme impacto penitenciario. Especialmente, la dificultad que supone convertir a los instrumentos penitenciarios de reinserción —permisos, tercer grado y libertad condicional— en algo para lo que no están pensados. Esto es, la determinación de una pena indeterminada. De otro lado, desde el punto de vista estrictamente penal, supone la aceptación de una pena con fin posible, pero no cierto. Hecho que, en la práctica, puede resultar excesivo y desproporcionado. Vemos algunas resoluciones, nacionales y europeas, que aportan argumentos relacionados con este último aspecto. Ciberderecho ¿Qué es el "shadow IT"? Los riesgos de que los empleados usen la tecnología por su cuenta Ilier Navarro El uso de herramientas tecnológicas sin el debido control por parte de la organización puede derivar en problemas legales y de seguridad en las empresas. La sentencia del día El TS deniega el reconocimiento de una sentencia estadounidense que valida un contrato de gestación subrogada Es contrario al orden público conformado por los derechos a la integridad física y moral de la mujer gestante y del menor, y el respeto a su dignidad. Sentencias y resoluciones La aseguradora no responde del robo en el local del asegurado si este no cerró la persiana metálica del establecimiento Inexistencia de negligencia grave del asegurado. Calificación como cláusula delimitadora del riesgo de aquella que no garantiza los daños que resulten de "la infidelidad de los empleados al servicio del asegurado". El Supremo avala colocar la bandera LGTBI en edificios públicos durante el Día del Orgullo Gay Entiende el Alto Tribunal que no contradice la exigencia de objetividad de las Administraciones Públicas, ni quiebra la neutralidad que deben mantener, sino que se inscribe en la línea de las actuaciones que han de llevar a cabo para promover la igualdad. El Tribunal Supremo absuelve a los acusados de fraude a la Seguridad Social por no acreditarse el engaño en la sucesión de empresas Ardid que tuvo por objeto continuar con la actividad profesional efectuada durante décadas, esquivando el impedimento que, para proseguir con aquélla obteniendo nuevos clientes, la existencia de la deuda misma con la Seguridad Social representaba. Si el convenio colectivo establece un permiso retribuido para "consulta médica", no cubre acudir al dentista Una interpretación extensiva sería contraria al sentido de la norma, que exige que las consultas sean "médicas", y ello impide englobar dentro de este permiso retribuido a otros profesionales como fisioterapeutas, nutricionistas, podólogos, etc., en definitiva, a profesionales que no son médicos. Legal Management No hay que olvidar el lado bueno del teletrabajo: estas son las ventajas que pueden aprovechar los despachos Ilier Navarro Aunque el trabajo a distancia fue clave durante la pandemia, gran parte de las empresas lo han eliminado y han renunciado a algunos de sus beneficios.

LA LEY Tel.: 91 602 01 82 www.laley.es	Síguenos en:
Deseamos que este mensaje haya resultado de su interés. No obstante, si prefiere no recibir más comunicaciones de este tipo vía email, puede gestionar sus preferencias y/o darse de baja aquí. Vd. podrá ejercitar los derechos de acceso, rectificación, supresión y portabilidad reconocidos en la normativa vigente, mediante escrito, junto con la acreditación de su identidad dirigiéndose a LA LEY Soluciones Legales, S.A., en la siguiente dirección: C/ Collado Mediano, número 9, CP: 28231, Las Rozas de Madrid, o bien a través de la siguiente dirección de correo electrónico: es-rgpd-laley@aranzadilaley.es estableciendo en el Asunto el derecho ejercitado. Aviso legal | Política de privacidad | Política de cookies