Novedades

Desde el pasado 13 de mayo resulta obligatorio en todas las empresas que los empleados fichen a la llegada y a la salida de su jornada de trabajo, en virtud del  Real Decreto-ley 8/2019, de 8 de marzo, de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo que modifica entre otros textos normativos, el Estatuto de los Trabajadores, creando un nuevo apartado 9º en su artículo 34:

«La empresa garantizará el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora, sin perjuicio de la flexibilidad horaria que se establece en este artículo.

Mediante negociación colectiva o acuerdo de empresa o, en su defecto, decisión del empresario previa consulta con los representantes legales de los trabajadores en la empresa, se organizará y documentará este registro de jornada.

La empresa conservará los registros a que se refiere este precepto durante cuatro años y permanecerán a disposición de las personas trabajadoras, de sus representantes legales y de la Inspección de Trabajo y Seguridad Social».

Esta nueva obligación conlleva una serie de obligaciones en materia de protección de datos, que se resumen a continuación:

• Actividad de tratamiento independiente: La actividad de control de jornada horaria implica un tratamiento de datos personales realizado por la empresa (por el departamento o área de Recursos Humanos, generalmente o por la Dirección), porque implica el control y monitorización diaria de las horas trabajadas por los empleados en base al cumplimiento de la normativa en vigor.

 

• Plazo de conservación: Será obligatorio conservar estos datos por la empresa durante cuatro (4) años y durante este plazo deberán estar disponibles para los Representantes de los Trabajadores, los empleados, la Seguridad Social e Inspección de Trabajo.

 

• Destinatarios de los datos: Los datos podrán comunicarse si es requerido a los Representantes de los Trabajadores,  Seguridad Social e Inspección de Trabajo.

 

• Acceso y/o puesta a disposición por los empleados: Cada empleado deberá tener acceso a sus propios datos, pero no a los de los demás trabajadores, por lo que deberá analizarse el sistema de acceso a los mismos y las medidas de seguridad implementados.  Se deberán establecer, por tanto, medidas de seguridad para el acceso, archivo y para asegurar la integridad de esta información.

 

• Contratos de encargado de tratamiento: Adicionalmente, es necesario estudiar el programa/sistema de control horario empleado por la empresa desde la perspectiva de la protección de datos y de la seguridad de la información, porque muchos de estos contratos implican el posible acceso por el proveedor y/o prestador de servicios a los datos personales en él registrados con motivo de la instalación del sistema, su puesta en funcionamiento y/o el servicio de mantenimiento y/o de gestión de incidencias. En consecuencia, puede resultar necesario suscribir un acuerdo de encargado de tratamiento con dichos proveedores.

 

• Transferencias Internacionales: En caso de que el sistema de gestión/ software tenga sus servidores fuera del Espacio Económico Europeo, deberá analizarse si se producen transferencias internacionales de datos,  revisar que las mismas sean seguras y que estén legitimadas, así como ser debidamente informadas a los empleados en caso de producirse.

 

• Sistema de fichaje: Por otro lado, conforme al criterio adoptado por la Inspección de Trabajo, la empresa es libre de decidir el tipo de sistema de registro siempre y cuando el mismo garantice la fiabilidad e invariabilidad de los datos y refleje, como mínimo, cada día, la hora de inicio y de finalización de la jornada. Adicionalmente, a los efectos de protección de datos, debe tenerse en cuenta que es menos intrusivo un servicio de fichaje por tarjeta que por huella dactilar, ya que ésta última constituye un dato biométrico, por hacer identificable de forma única a una persona física concreta, estando este tipo de datos especialmente protegido por el Reglamento Europeo de Protección de Datos.

 

• Medidas de seguridad: Por último, resultará recomendable que los datos utilizados por el sistema (horas de entrada y salida de cada trabajador) están pseudonimizados en el programa (que cada huella dactilar y/o tarjeta vaya vinculada a un código alfanumérico en lugar de al nombre y apellidos concretos de cada empleado y que el listado en el que se indique a qué trabajador concreto corresponde cada código se archive en un documento separado y con acceso restringido), para dificultar accesos no autorizados y preservar la confidencialidad de los datos personales.

 

¿CÓMO ACTUALIZAR LOS PROYECTOS DE ADAPTACIÓN AL RGPD?

Recomendamos por todo ello a las diferentes empresas, profesionales autónomos, asociaciones y/u organizaciones que consulten con sus Delegados de Protección de Datos (“DPO”) y/o con sus asesores legales de Protección de Datos la revisión de sus procesos de adaptación al Reglamento, para actualizar los mismos conforme a la novedad legislativa comentada. En concreto, esta obligación, probablemente obligue a revisar y actualizar los siguientes documentos:

• La información facilitada a los empleados sobre las finalidades del tratamiento de sus datos personales, por medio de la correspondiente cláusula informativa de protección de datos.
• El Registro de Actividades de Tratamiento, en caso de que no tuviera como campo independiente el del control de jornada,
• El Informe de Análisis de Riesgos sobre la privacidad y la consiguiente propuesta de medidas de seguridad.
• El Informe de análisis sobre la necesidad o no de realizar una Evaluación de Impacto.

Si desea más información puede contactar con Elece Legal.

¿Cuándo hay que realizar una Evaluación de Impacto en la Protección de Datos (EIPD)?

El Reglamento General de Protección de Datos establece que, siempre que sea probable que los tratamientos entrañen un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento debe realizar una evaluación de impacto relativa a la protección de datos, para identificar, evaluar y tratar los riesgos asociados a dicho tratamiento teniendo en cuenta, en particular, el origen, la naturaleza, la particularidad y la gravedad del riesgo.

El citado Reglamento dispone que será necesario realizar una EIPD en los siguientes casos:

a) evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar.

b) tratamiento a gran escala de las categorías especiales de datos, o de los datos personales relativos a condenas e infracciones penales.

c) observación sistemática a gran escala de una zona de acceso público.

Listas de tratamientos que requieren la realización de una EIPD

Dada la indeterminación de los supuestos en los que la realización de una EIPD resulta obligatoria, el Reglamento General de Protección de Datos prevé la posibilidad de que las diferentes autoridades de control publiquen dos tipos de listas:

• Lista de los tipos de operaciones en los que la EIPD resulta obligatoria.
• Lista de los tipo de operaciones en los que no es necesario realizar una EIPD.

Es por este motivo que la Agencia Española de Protección de Datos publicó ayer el listado de tratamientos de datos personales en los que es obligatoria la realización de una evaluación de impacto.

En dicho listado, la Agencia enumera un total de 11 criterios a tener en cuenta que, en su gran mayoría, son coincidentes por los ya publicados por el Comité Europeo de Protección de Datos y otras autoridades de control europeas. Entre dichos criterios se encuentra la realización de perfiles, la geolocalización o monitorización de forma sistemática y exhaustiva; el uso de datos biométricos o genéticos, los tratamientos a gran escala, etc.

Así, la Agencia Española de Protección de Datos concluye que será necesario realizar una EIPD en la mayoría de los casos en los que en los que el tratamiento cumpla con dos o más criterios de la lista, teniendo en cuenta que a mayor número de criterios mayor es la probabilidad de que deba realizarse una EIPD sobre un determinado tratamiento.

 

 

 

Marta López Alvira, abogada de Protección de Datos y Derecho Mercantil en Elece Legal

Comprobado, el Reglamento Europeo de Protección de Datos (RGPD) ha irrumpido con fuerza en el mundo deportivo. Dado el volumen y la especial sensibilidad de los datos personales tratados por federaciones, clubes y resto de entidades deportivas, esta normativa presenta singularidades:

Fuente: http://redaccion.camarazaragoza.com/elece-legal-especialistas-en-compliance-y-proteccion-de-datos/

El pasado 13 de marzo entró en vigor la Ley Orgánica 1/2019, de 20 de febrero, cuyo objeto es transponer al ordenamiento jurídico españolas una serie de directivas europeas. Entre ellas, cabe destacar la:

• Directiva (UE) 2014/57/UE de 16 de abril de 2014, del Parlamento Europeo y del Consejo, sobre las sanciones penales aplicables al abuso de mercado (Directiva sobre abuso de mercado).
• Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo, de 15 de marzo de 2017, relativa a la lucha contra el terrorismo.
• Directiva (UE) 2017/1371 del Parlamento Europeo y del Consejo, de 5 de julio de 2017, sobre la lucha contra el fraude que afecta a los intereses financieros de la Unión a través del Derecho penal.

Las principales novedades introducidas son las siguientes:

• Se modifica el artículo 284 y 285 del Código Penal y se añaden tres nuevos artículo (285 bis. 285 ter y 285 quater) sobre manipulación de mercados financieros, para incluir nuevas modalidades de comisión del delitos y nuevas conductas típicas.
• Se modifica el artículo 286 bis del Código Penal, relativo a los delitos de corrupción en los negocios, a efectos de incluir en la conducta típica no sólo la solicitud o aceptación de un beneficio o ventaja no justificados, sino también su mero ofrecimiento o promesa de obtenerlo.
• Se modifica el artículo 308 del Código Penal, igualando el régimen de fraude de subvenciones o ayudas de las Administraciones Públicas, dando una regulación uniforme a las subvenciones locales, autonómicas, nacionales y europeas, y fijando la cuantía del delito en 100.000 euros.
• Se modifica el artículo 572 y 573 del Código Penal sobre lucha contra el terrorismo y organizaciones terroristas, para aumentar las sanciones y añadir nuevas conductas típicas.
• Se modifica el artículo 423 del Código Penal, extendiendo los delitos de cohecho a “los jurados y árbitros, nacionales o internacionales, así como a mediadores, peritos, administradores o interventores designados judicialmente, administradores concursales o a cualesquiera personas que participen en el ejercicio de la función pública.”
• Se incluye, entre el catálogo de delitos susceptibles de generar responsabilidad penal para las personas jurídicas, los delitos de malversación de caudales públicos (artículo 435.3 del Código Penal). En consecuencia, podrán responder penalmente de este delito aquellas personas jurídicas que por cualquier motivo gestionen recursos públicos o de cualquier otro modo estén encargados del erario público.
• A los efectos anteriores, el nuevo artículo 435 bis del Código Penal modifica la definición de “funcionario público” remitiendo a los artículos 24 y 427 (también modificado) del mismo texto legal. En consecuencia, se incluye en este concepto: “cualquier persona que ejerza una función pública para un país de la Unión Europea o cualquier otro país extranjero, incluido un organismo público o una empresa pública, para la Unión Europea o para otra organización internacional pública”.
• Se modifica el artículo 387 del Código Penal, en relación a los delitos de falsificación de moneda para incluir aquella moneda “que no ha sido todavía emitida o puesta en circulación oficialmente pero que está destinada a su circulación como moneda de curso legal”.
• Se reforma el artículo 156 bis del Código Penal para completar el régimen de prevención y persecución del delito de tráfico de órganos.

Esta última reforma del Código Penal hace necesario revisar los mapas de riesgos penales elaborados por las organizaciones para adaptarlos a los nuevos tipos penales y revisar la valoración efectuada, como parte del proceso de verificación periódica de sus programas de cumplimiento normativo.