Por: Carlos A. FERREYROS SOTO
Doctor en Derecho
Universidad de Montpellier I Francia.
RESUMEN
La Comisión Nacional de Informática y Libertades, CNIL,
Francia ha pronunciado once nuevas sanciones simplificadas desde junio de 2024 y
recuerda las normas y medidas represivas que pueden tomarse en caso de incumplimiento.
Los principales
incumplimientos constatados se refieren a:
- Incumplimiento
del principio de minimización de datos
- Ausencia
de registro de tratamiento
- Ausencia
de medios permitidos para rechazar tan fácilmente como aceptar los cookies
- Defecto
de cooperación con la CNIL
- Incumplimiento
de los derechos de las personas
- Incumplimiento a la obligación de información de las personas (clientes y asalariados)
Algunas normas
transpuestas del RGPD a la Ley 78° de Protección de Datos Personales de Francia,
no han sido aún evaluadas, ni menos incluidas en la mayoría de fuentes legislativas
sudamericanas de protección de datos personales. Entre ellas, el cumplimiento del
principio de minimización de datos o las recomendaciones para compartir datos a
fin de proteger el medio ambiente o de menor impacto sobre la huella ambiental que
fueron recogidos en un artículo de este Blog de julio de 2023 Cuaderno 9° de la CNIL
A fin de acceder a normas similares y estándares europeos, las empresas, organizaciones
públicas y privados interesados en asesorías, consultorías, capacitaciones, estudios,
evaluaciones, auditorías sobre el tema, sírvanse comunicar al correo electrónico:cferreyros@hotmail.com
_______________________________________________________________ |
En los
últimos tres meses, la CNIL ha impuesto once nuevas sanciones en el marco del
procedimiento simplificado1.
8 de octubre de 2024
Colecta excesiva de
datos, ausencia de registro, incumplimiento de los derechos de las personas o
falta de cooperación: la CNIL ha pronunciado once nuevas sanciones
simplificadas desde junio de 2024. Recuerda las normas y medidas represivas que
puede tomar en caso de incumplimiento .
Desde junio de 2024, la CNIL ha
emitido once nuevas decisiones sancionadoras en el
marco de su procedimiento simplificado por una multa acumulada de 129.000 euros.
Las principales deficiencias
identificadas se refieren a:
·
incumplimiento del
principio de minimización de datos (videovigilancia de los empleados y grabaciones de
conversaciones telefónicas de forma sistemática e integralmente);
·
la ausencia de un
registro de tratamiento;
·
la falta de medios
para rechazar las cookies tan facilmente como aceptarlos;
·
falta de
cooperación con la CNIL;
·
incumplimiento de
los derechos de las personas (falta de respuesta en los plazos estipulados);
·
Falta de
información a las personas (clientes y empleados).
Incumplimientos del
principio de minimización de datos
Varias sanciones adoptadas en el
marco del procedimiento simplificado identificaron violaciones del principio de
minimización de datos , ya sea tratándose de la
videovigilancia de los empleados o de la grabación sistemática e integral de
conversaciones telefónicas entre teleasesores telefónicos y de prospectos o clientes
potenciales.
Como recuerda periódicamente la
CNIL, la videovigilancia permanente de empleados en su
puesto de trabajo, no justificados
por circunstancias excepcionales relacionadas con la seguridad o el robo, viola el principio de
minimización de datos.
Asimismo, un sistema de registro y escucha de llamadas telefónicas debe ser
proporcional con respecto al objetivo perseguido y no debe vulnerar
excesivamente la intimidad de las personas grabadas.
Así, la finalidad (u objetivo) de mejorar las ventas y la
formación de los empleados no justifica grabar de forma sistemática e
integralmente las conversaciones telefónicas, mientras que se puede implementarse la grabación
ocasional y aleatoria de las llamadas realizadas.
Lo mismo se aplica si el objetivo
es recoger “pruebas”: salvo en los casos en que la ley lo exige, la grabación
sistemática de conversaciones telefónicas sólo se justifica si es necesaria, a
menos que constituya la prueba de un contrato o de un
acto de ejecución de un contrato. un contrato celebrado con un consumidor (por ejemplo, la compra de un
servicio).
Infracciones
relativas al registro de
actividades de tratamiento
La CNIL sancionó a dos empresas
con menos de 250 empleados por falta de registro de actividades de tratamiento,
ya que el tratamiento en cuestión no era ocasional.
Se exige llevar un registro de las actividades de
tratamiento según lo dispone
el artículo 30 del RGPD. Permite identificar, en particular, qué datos se
recogen, por qué motivo o aún quién tiene acceso a ellos. Es una herramienta
para controlar y demostrar el cumplimiento del RGPD por parte del responsable del
tratamiento , que debe
actualizarse periódicamente en función de la evolución funcional y técnica del
tratamiento de datos.
Cada vez más organizaciones
sancionadas
El pprocedimiento de sanción simplifcado es una de las
herramientas represivas de que dispone la CNIL para garantizar el cumplimiento
del RGPD y responder a las numerosas denuncias recibidas cada año (16.000 en
2023). Este procedimiento simplificado, consagrado por ley desde 2022 por
iniciativa de la CNIL, permite imponer sanciones rápidas para casos que no
presentan ninguna dificultad particular, a diferencia de las sanciones llamadas
“ordinarias”. Las sanciones simplificadas no son públicas y el importe de las
multas que se pueden imponer no puede superar los 20.000 euros.
Desde enero de 2024, durante 9
meses, la CNIL ha dictado 28
sanciones simplificadas por
un importe total de 290.500 euros. En comparación, a lo largo de
todo el año 2023 se impusieron 24 sanciones simplificadas por un importe total
de 229.500 euros que se sumaron a las 18 sanciones ordinarias (88.950.000
euros).
Más allá de las sanciones
financieras, los requerimientos también contribuyen al cumplimiento del RGPD:
la CNIL emitió 168 requerimientos contra organizaciones públicas y
privadas en 2023. Esta cifra no ha dejado de aumentar desde hace varios años
(135 en 2021, 147 en 2022).
Además, la CNIL coopera
activamente con las autoridades europeas de protección de datos. Esta
cooperación ha dado lugar a un refuerzo de las medidas correctoras en los
últimos años, como lo ilustra, por ejemplo, la sanción de 290 millones de euros
impuesta por la autoridad holandesa, en cooperación con la CNIL, a la empresa
UBER el 22 de julio de 2024.
Finalmente, cabe recordar que el
cumplimiento también se puede lograr sin avisos formales ni sanciones. En el
marco de la tramitación de las reclamaciones, la intervención de los servicios
de la CNIL con los responsables del tratamiento puede permitir así obtener el
cumplimiento, por ejemplo durante un intercambio con el delegado de protección
de datos destinado a satisfacer una solicitud de ejercicio de derechos.
Apoyo de
profesionales para un mejor cumplimiento
Paralelamente a las medidas
represivas, la CNIL apoya a los responsables del tratamiento en el cumplimiento
del RGPD respondiendo a sus solicitudes de asesoramiento (más de 15.000 en
2023), a través de varios sistemas específicos (soporte reforzado, “sandbox”)
que especifica en su carta de apoyo, o mediante la publicación periódica de numerosos
recursos temáticos y sectoriales en su sitio web.
Estos elementos se inscriben en
la línea de las conclusiones del Segundo informe de la Comisión
Europea sobre la aplicación del RGPD , que apela a las autoridades europeas a la promoción del diálogo con los responsables del
tratamiento reforzando las medidas de apoyo para permitir una regulación
eficaz.
Texto de referencia
Para profundizar
· El procedimiento sancionador
simplificado
· Procedimientos sancionadores
·
Todo el
contenido de la CNIL sobre trabajo y contratación.
· Videovigilancia en el trabajo
·
El
registro de actividades de tratamiento.
Texto de referencia
Textos de referencia
·
Artículo
5.1.c del Reglamento General de Protección de Datos – RGPD (minimización de
datos)
·
Artículo
30 del RGPD (registro de actividades de tratamiento)
·
#Sanción #Derechos personales #Trabajar #RGPD
1 En respuesta a inspecciones o denuncias,
en caso de incumplimiento de las disposiciones del RGPD o de la ley por parte de
los responsables del tratamiento y de los subcontratistas, la formación restringida
de la CNIL o su presidente podrá imponer sanciones a los responsables del tratamiento
que No respete estos textos.
En cuanto al procedimiento simplificado,
la Ley de Protección de Datos prevé sanciones menos numerosas y menos severas que
las que se aplican en el procedimiento ordinario. Estas sanciones nunca podrán hacerse
públicas.
En este contexto, el presidente de la formación
restringida podrá:
·
emitir una llamada al orden;
·
ordenar la conformidad del tratamiento, incluida una sanción de un importe máximo
de 100 € por día de retraso;
·
imponer una multa administrativa de un importe máximo de 20.000 euros.
No hay comentarios:
Publicar un comentario