Legislación para empresas (del 16 de marzo al 15 de abril 2018)
Nuevo reglamento general de protección de datos de la UE
Destacamos algunas de las novedades del nuevo Reglamento General de Protección de Datos de la UE (RGPD), Reglamento (UE) 2016/679, que es de aplicación directa a partir del 25 de mayo de 2018.
El RGPD amplía su ámbito de aplicación a aquellas empresas no establecidas en la Unión Europea que realicen tratamientos derivados de una oferta de bienes o servicios destinados a ciudadanos de la UE o como consecuencia de una monitorización y seguimiento de su comportamiento.
El RGPD incluye la regulación de dos nuevos derechos: el derecho al olvido y el derecho a la portabilidad. Además, establece condiciones concretas sobre el procedimiento a seguir para atender a los interesados en el ejercicio de sus derechos:
-
El derecho al olvido es la consecuencia de la aplicación del derecho al borrado de los datos personales. Es una manifestación de los derechos de cancelación u oposición en el entorno online.
-
El derecho a la portabilidad de los datos es una forma avanzada del derecho de acceso por el cual la copia que se proporciona al interesado debe ofrecerse en un formato estructurado, de uso común y lectura mecánica que permita su traslado a otro responsable.
El RGPD establece un tratamiento de datos basado en el consentimiento “inequívoco” del afectado. El consentimiento inequívoco es aquel que se ha prestado mediante una manifestación del interesado o mediante una clara acción afirmativa. No se admiten formas de consentimiento tácito o por omisión, ya que se basan en la inacción.
El Reglamento prevé que el consentimiento, además de inequívoco ha de ser explícito en algunos casos, como para el tratamiento de datos sensibles, adopción de decisiones automatizadas y transferencias internacionales.
Cuando el tratamiento se base en un consentimiento otorgado con anterioridad a la aplicación del Reglamento (UE) 2016/679, no será necesario recabar nuevamente dicho consentimiento si la forma en que se otorgó se ajusta a las condiciones del nuevo reglamento.
El RGPD otorga especial importancia a la transparencia e información a los interesados. La información a los interesados, tanto respecto a las condiciones de los tratamientos que les afecten como en las respuestas a los ejercicios de sus derechos, deberá proporcionarse de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo.
El RGPD establece algunas novedades en las relaciones responsable-encargado:
-
Los responsables y encargados tienen la obligación de mantener un registro de actividades de tratamiento en el que contenga la información que establece el RGPD. Están exentas las organizaciones que empleen a menos de 250 trabajadores, a menos que el tratamiento que realicen pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional o incluya categorías especiales de datos personales o datos relativos a condenas e infracciones penales.
-
Las relaciones entre el responsable y el encargado deben formalizarse en un contrato o en un acto jurídico que vincule al encargado respecto al responsable. El RGPD regula el contenido mínimo.
El RGPD establece un catálogo de medidas de responsabilidad activa:
-
protección de datos desde el diseño y por defecto
-
medidas de seguridad
-
realización de evaluaciones de impactos sobre la protección de datos
-
notificación de violaciones de la seguridad de los datos
-
promoción de códigos de conducta y esquemas de certificación
-
nombramiento de un delegado de protección de datos
-
mantenimiento del registro de actividades de tratamiento.
Los responsables de tratamiento deberán realizar una evaluación de impacto sobre la Protección de Datos, con carácter previo a la puesta en marcha de aquellos tratamientos que sea probable que conlleven un alto riesgo para los derechos y libertades de los interesados.
El RGPD establece la nueva figura del delegado de protección de datos (DPD), que será obligatorio en:
-
Autoridades y organismos públicos
-
Responsables o encargados que tengan entre sus actividades principales operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala.
-
Responsables o encargados que tengan entre sus actividades principales el tratamiento a gran escala de datos sensibles.
El DPD debe ser nombrado atendiendo a sus cualidades profesionales, y en particular, a sus conocimientos especializados del Derecho y la práctica de la protección de datos, aunque no debe tener una titulación específica.
El nuevo RGPD prevé sanciones al incumplimiento que pueden alcanzar hasta los 20 millones de euros o hasta el 4% del volumen de negocio del infractor.
Actualmente, se encuentra en trámite parlamentario, el proyecto de Ley Orgánica de Protección de Datos de Carácter Personal que adaptará la legislación española al nuevo RGPD, y que sustituirá a la actual Ley Orgánica.
Cambios en los permisos remunerados
El Tribunal Supremo, en su sentencia de 13 de febrero de 2018, introduce importantes cambios en la interpretación que hasta ahora se venía realizando sobre la aplicación efectiva de las licencias retribuidas (los permisos de matrimonio, nacimiento y fallecimiento), pues hasta la fecha, salvo algunas excepciones, el cómputo empezaba a contarse al día siguiente de acaecimiento del hecho que daba origen a los días de permiso retribuido. La sentencia establece claramente que los permisos retribuidos por matrimonio (15 días) y por nacimiento de un hijo o por fallecimiento de un familiar (dos días) deben empezar a computarse a partir de la primera jornada laborable que siga al hecho que lo motiva.
Según la sentencia la fecha de inicio del período de disfrute de algunos permisos regulados en el art. 37.3 de la Ley del Estatuto de los Trabajadores (LET), en concreto “los permisos de matrimonio, nacimiento y fallecimiento no computarán en días no laborables”.
Así, si un trabajador tiene un hijo un sábado, y ese fin de semana no trabajaba, bien por tener una jornada de lunes o viernes, bien porque coincida con su descanso semanal, su permiso de dos días por el nacimiento de hijo no empezaría a contar hasta el lunes, que es cuando tendría que incorporarse a su puesto.
Esta sentencia resuelve el recurso interpuesto contra la sentencia dictada en proceso de conflicto colectivo por la Audiencia Nacional (AN), consiste en interpretar el art. 28.1 del Convenio Colectivo Estatal de Contact Center, sobre cuál debe ser el día inicial para el disfrute de los días de permiso retribuido. En concreto, el trabajador demandante solicita que el cómputo de los permisos por matrimonio, nacimiento de hijo y fallecimiento de un familiar, se iniciara el primer día laborable siguiente al del hecho causante, cuando este hecho sucediese en día no laborable.
Apartándose de la tesis de la AN basada en la interpretación literal del convenio, la sentencia, se acoge a las diversas posibilidades interpretativas previstas en el art. 3.1 del Convenio Colectivo para afirmar que «Una interpretación lógico-sistemática y finalista del precepto convencional» supone que el permiso, o lo que es lo mismo, faltar al trabajo por una causa justificada, debe llevarse a cabo en día laborables, «pues en día festivo no hace falta». Consecuentemente, si el día en que se produce el hecho que justifica el permiso no es laborable es claro que no se inicia el permiso por matrimonio, nacimiento de hijo o fallecimiento de familiar hasta el primer día laborable que le siga.
Para la Sala esta conclusión no desvirtúa la expresión del Convenio Colectivo que dice «y desde que ocurra el hecho causante», por cuánto la misma indica que el permiso sólo puede disfrutarse a partir del hecho causante y no antes, pues aquí la conjunción «y» es condicional y expresiva de la condición impuesta para el disfrute del permiso: sólo a partir de la producción del hecho que lo motiva. Por ello, el día inicial debe coincidir con un día laborable: el primero que siga al feriado en el que se produjo el hecho causante.
Para el Alto Tribunal, la rúbrica del precepto convencional «permisos retribuidos» nos muestra que los permisos se conceden para su disfrute en días laborables, pues en días festivos no es preciso pedirlos porque no se trabaja, lo que corrobora el primer párrafo del artículo interpretado al decir «Los trabajadores... podrán ausentarse del trabajo, con derecho a retribución...», ausencia que, según ese tenor literal, carece de relevancia cuando se produce en día feriado.
La solución aportada la corrobora, sigue la Sentencia, el art. 37.3 del ET que, al regular el descanso semanal, las fiestas y los permisos dispone que «el trabajador... podrá ausentarse del trabajo con derecho a remuneración...» en los supuestos que enumera y que coinciden con los que nos ocupan en términos que evidencian que el permiso se da para ausentarse del trabajo en día laborable, pues en día festivo no hace falta, cuestión distinta a la del cómputo de los días del permiso iniciado.
Por lo que se refiere al día inicial de disfrute de los permisos, el TS, entiende, que como el convenio habla de «ausentarse del trabajo con derecho a retribución» el día inicial del disfrute de estos permisos no puede ser un día feriado, sino el primer día laborable que le siga a aquél en que se produjo el hecho que da derecho al permiso, pues el convenio no dice otra cosa, ya que solo indica que el derecho puede disfrutarse sólo «desde que ocurra el hecho causante», por lo que otra solución, asevera la Sala IV, «podría llevar al absurdo de privar del permiso, o de días de permiso, en los supuestos en que el hecho causante acaece al inicio de varios días feriados seguidos, lo que es contrario al espíritu del art. 37.3 del ET y a la norma convencional»
El TS reitera que corresponde al convenio colectivo de aplicación -en cada caso- regular las condiciones para el disfrute de los permisos retribuidos que mejorarán, por no poder reducir, los establecidos en el art. 37.3 del ET, pudiendo fijar en cada caso la fecha de inicio y duración del mismo.
La sentencia es aplicable directamente sobre el Convenio colectivo de ámbito estatal del sector de contact center, pero ha de tenerse en cuenta en todos los casos en los que el debate verse sobre el inicio del disfrute de un permiso «con derecho a retribución». En esto casos el TS - a la espera de confirmación jurisprudencial con nueva sentencia- parece haber sentado las bases para que el primer día para el cómputo del disfrute del permiso retribuido por matrimonio, nacimiento de hijo, y fallecimiento de familiar deba ser laborable.
En ningún caso la doctrina parece aplicable a vacaciones, días compensatorios por exceso de jornada, IT, maternidad, paternidad o cualquier otra suspensión de la relación laboral, o en aquellos casos en los que el convenio especifique esta cuestión. No obstante, los tribunales con toda probabilidad seguirán a partir de ahora el criterio del TS, ya que una gran parte de los convenios no regulan nada sobre cuándo deben iniciarse estos permisos retribuidos.
Nuevo reglamento sobre protección de datos
Cuenta atrás para la adaptación al nuevo Reglamento General de Protección de Datos (RGPD)
El próximo 25 de mayo de 2018 será de obligado cumplimiento el Reglamento General de Protección de Datos de la Unión Europea (RGPD). Son muchas las obligaciones que tanto las empresas, autónomos y organismos públicos y privados que traten datos de carácter personal deben conocer y el tiempo es escaso, por lo que es necesario adoptar sin dilación las decisiones necesarias para llegar a ese plazo en situación de cumplimiento. El riesgo de no hacerlo es el de posibles sanciones: las multas pueden llegar hasta los 20 millones de euros o el 4% de la facturación anual global del infractor. La autoridad de control puede actuar de oficio o por denuncia de los interesados. A partir del próximo 25 de mayo de 2018 entra en vigor el nuevo Reglamento Europeo General de Protección de Datos (RGPD), relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, una norma que será de aplicación obligatoria a partir de esa fecha y que impone a las empresas numerosos deberes en relación a la privacidad. Queda, además, pendiente la aprobación de la nueva Ley Orgánica de Protección de Datos, que se encuentra actualmente en tramitación parlamentaria y que muy probablemente no estará lista para el próximo 25 de mayo, fecha de aplicación del Reglamento europeo. De todas formas, esto no supone ningún tipo de ventaja o inconveniente, puesto que el Reglamento europeo será plenamente exigible de todas formas. Atención. El RGPD es un tipo de norma que tiene aplicación directa en todos los estados de la UE y, por tanto, no precisa de ningún tipo de mecanismo de transposición específico. Dicho de otra forma, no hace falta que exista ninguna ley española para que el Reglamento europeo resulte obligatorio, es exigible como si fuera una ley nacional. Es importante establecer un mapa de ruta para cumplir con el nuevo Reglamento, ya que hay numerosas decisiones jurídicas relevantes a tener en cuenta. El primer paso que todas las empresas deberían ejecutar es identificar y analizar las áreas de riesgo y documentar los tratamientos de datos personales que se llevan a cabo, a través de un inventario de todas las actividades de tratamiento que realiza la compañía. De esta manera será más sencillo clasificar los datos de acuerdo con: su naturaleza, finalidad, categoría, origen, si son susceptibles de ser compartidos, etc. Son muchas las obligaciones que tanto las empresas, autónomos y organismos públicos y privados que traten datos de carácter personal deben conocer y el tiempo es escaso, por lo que es necesario adoptar sin dilación las decisiones necesarias para llegar a ese plazo en situación de cumplimiento. El riesgo de no hacerlo es el de posibles sanciones: las multas pueden llegar hasta los 20 millones de euros o el 4% de la facturación anual global del infractor. La autoridad de control puede actuar de oficio o por denuncia de los interesados. En cuanto a los cambios y obligaciones que afectan a las empresas, podemos destacar entre otros los siguientes:-
Delegado de Protección de Datos (DPD / DPO). El Reglamento obliga a quienes realicen ciertos tratamientos, a nombrar un DPO, que podrá ser externo o interno. Un DPO deberá ser una persona experta en Protección de Datos y en métodos y técnicas de Seguridad de la información.
-
Exigencia de la realización de una evaluación de impacto relativa a la protección de datos para ciertos tratamientos.
-
Violaciones de la seguridad de los datos personales. Obligatoriedad de comunicarlas en un plazo de 72 horas a la Agencia Española de Protección de Datos, y en casos graves, a los propios afectados.
-
Se elimina el consentimiento tácito (por silencio), lo que obligará a las empresas a recabar un nuevo consentimiento para poder mantener todos aquellos datos que en el pasado se obtuvieron tácitamente o buscarles otra cobertura legal.
-
Se amplían las obligaciones de información a los afectados, lo que obligará ponerles al día en dicha información a los ya existentes.
-
Se amplía el contenido mínimo en los contratos de acceso a datos por parte de terceros, por lo que deberán de establecerse de nuevo los contratos con los encargados de tratamiento, dado que los actuales no cumplen con el RGPD.
-
El RGPD no establece diferenciación entre datos personales y datos ‘profesionales’ (datos de contacto de personas físicas que prestan sus servicios en una persona jurídica y empresarios individuales) como estableció el vigente Reglamento, lo que obligará a las empresas a tener que realizar acciones informativas a esta categoría de datos.
- Base jurídica del tratamiento
- Intención de realizar transferencias internacionales
- Datos del Delegado de Protección de Datos (si lo hubiere)
- El plazo o los criterios de conservación de la información,
- La existencia de decisiones automatizadas o elaboración de perfiles,
- El derecho a presentar una reclamación ante las Autoridades de Control
- El coste de la técnica
- Los costes de aplicación
- La naturaleza, el alcance, el contexto y los fines del tratamiento
- Los riesgos para los derechos y libertades
- Mantener un registro de actividades de tratamiento.
- Determinar las medidas de seguridad aplicables a los tratamientos que realizan.
- Designar a un Delegado de Protección de Datos en los casos previstos por el RGPD.
- Objeto, duración, naturaleza y la finalidad del tratamientos
- Tipo de datos personales y categorías de interesados
- Obligación del encargado de tratar los datos personales únicamente siguiendo instrucciones documentadas del responsable
- Condiciones para que el responsable pueda dar su autorización previa, específica o general, a las subcontrataciones
- Asistencia al responsable, siempre que sea posible, en la atención al ejercicio de derechos de los interesados...
- EL DERECHO DE ACCESO: Es el derecho a conocer qué datos de carácter personal tuyos están siendo tratados por parte del responsable, la finalidad de este tratamiento, el origen de los citados datos y si se han comunicado o se van comunicar a un tercero.
- EL DERECHO DE RECTIFICACION: Consiste en la posibilidad de modificar aquellos datos que sean inexactos o incompleto
- EL DERECHO DE CANCELACIÓN: Permite la cancelación de datos personales que sean inadecuados o excesivos.
- si ya no son necesarios para los fines para los que fueron recogidos o tratados de otro modo,
- si los interesados han retirado su consentimiento para el tratamiento o se oponen al tratamiento de datos personales que les conciernen,
- si el tratamiento de sus datos personales incumple de otro modo el RGPD
- El DERECHO DE OPOSICION: Mediante el ejercicio de este derecho el interesado puede oponerse al tratamiento de sus datos personales en los siguientes supuestos:
- Cuando no siendo necesario su consentimiento para el tratamiento, exista un motivo legítimo y fundado referente a su concreta situación personal (salvo que una Ley establezca lo contrario).
- Cuando estemos ante tratamientos de datos personales cuya finalidad sea la realización de actividades de publicidad y prospección comercial
- Cuando el tratamiento tenga como fin la adopción de una decisión referida a su persona, basada únicamente en un tratamiento automatizado de sus datos personales
- DERECHO AL OLVIDO: Es una manifestación de los derechos de cancelación u oposición en el entorno online. El responsable del tratamiento que haya hecho públicos datos personales, está obligado a indicar a los responsables del tratamiento que estén tratando tales datos personales, que supriman todo enlace a ellos, o las copias o réplicas de los mismos.
- DERECHO A LA PORTABILIDAD DE LOS DATOS: Es una forma avanzada del derecho de acceso por el cual la copia que se proporciona al interesado debe ofrecerse en un formato estructurado, de uso común y lectura mecánica. Implica que los datos personales del interesado se transmiten directamente de un responsable a otro, sin necesidad de que sean transmitidos previamente al propio interesado, siempre que ello sea técnicamente posible.
- DERECHO A NO SER OBJETO DE DECISIONES INDIVIDUALIZADAS. El interesado debe tener derecho a no ser objeto de una decisión, que puede incluir una medida, que evalúe aspectos personales relativos a él, y que se base únicamente en el tratamiento automatizado y produzca efectos jurídicos en él o le afecte significativamente de modo similar.
- DERECHO A LA LIMITACION DEL TRATAMIENTO: Solicitar al responsable que suspenda el tratamiento de datos cuando:
- Se impugne la exactitud de los datos, mientras se verifica dicha exactitud por el responsable.
- El interesado ha ejercitado su derecho de oposición al tratamiento de datos, mientras se verifica si los motivos legítimos del responsable prevalecen sobre el interesado.
- el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
- el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones