All Posts By

Departamento Jurídico

CANAL DE DENUNCIAS OBLIGATORIO

Como muchos sabéis, desde el pasado mes de diciembre es de obligado cumplimiento la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, y al amparo del artículo 24 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que incorpora al Derecho español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019 (Directiva Whistleblowing), para la implementación de un canal de denuncias interno o, también denominado, canal ético de información. En este artículo, queremos hacer un breve resumen sobre quién tiene la obligación de implementarlo, cómo debe gestionarse, qué y quién puede denunciar y demás obligaciones establecidas por la normativa citada.

¿Quién está obligado?

El canal de denuncias es una acción de compliance penal, obligatoria para las empresas que se acogen a determinadas normas ISO y para empresas públicas o privadas en los siguientes casos:

  • Empresas de 50 o más trabajadores
  • Empresas, con independencia del número de trabajadores, sujetos obligados o que aplican la normativa en materia de servicios, productos y mercados financieros; prevención del blanqueo de capitales; seguridad del transporte y; protección del medio ambiente.
  • Partidos políticos, los sindicatos, las organizaciones empresariales y las fundaciones creadas por unos y otros, siempre que reciban o gestionen fondos públicos
  • Fundaciones o asociaciones sostenidas con fondos públicos
  • Todas las entidades que integran el sector público
  • Empresas que contemplan los artículos 10, 11 y 13 de la Ley 2/2023

Para el resto de empresas el canal tiene carácter voluntario, cuyo objetivo principal es la protección de las personas informantes sobre las infracciones que puedan cometer las empresas o personas vinculadas a éstas.

Ámbito de aplicación material, ¿qué se puede denunciar?

En general, establece el artículo 2 de la Ley 2/2023 en relación con el anexo de la Directiva, cualquier incumplimiento de la normativa vigente que afecte directa o indirectamente a una empresa, sus empleados o terceros colaboradores:

  • Contrataciones irregulares,
  • Incumplimiento de normas de seguridad,
  • Fraude,
  • Incumplimiento de códigos o normas éticas,
  • Tratos vejatorios,
  • Vulneración de normativa medioambiental,
  • Protección y bienestar de los animales,
  • Derechos de los pacientes,
  • Derechos de los consumidores y usuarios,
  • Servicios financieros,
  • Seguridad del transporte,
  • Delitos contra los trabajadores,
  • Delitos contra la Hacienda Pública y Seguridad Social.

Ámbito de aplicación personal, ¿quién puede hacer uso del canal?

La Ley establece en su artículo 3 quién puede hacer uso del canal de denuncias, sin embargo, cualquier persona podrá hacer uso del canal debido a que debemos garantizar la posibilidad de presentar una denuncia de forma anónima: becarios, voluntarios, empleados, clientes, proveedores, colaboradores, trabajadores autónomos, familiares y, en definitiva, cualquier persona que tenga conocimiento de alguna vulneración por parte de la empresa o contra ella, sus directivos, empleados o cualquier persona física o jurídica relacionada con éstos.

Los artículos 7.3 y  17 de la Ley 2/2023, establecen que el informante, aunque sea anónimo, podrá facilitar un medio de comunicación. En todo caso se deberá comunicar al denunciante o afectado la resolución del procedimiento, debiendo garantizar el anonimato del infórmate en todo momento. Plazo de días 10 para resolver desde que se registra la denuncia y comunicación en plazo de 5 desde la resolución.

¿Cómo se puede denunciar?

Se podrán presentar denuncias por escrito o de forma verbal. Asimismo, estas podrán ser de manera física o telemática, incluida la vía telefónica o mediante entrevista personal reservada. La legislación establece la obligación de establecer al menos un modo, siempre que podamos garantizar el acceso al canal a las personas con discapacidad.

Protocolo interno

Será obligatorio disponer de un protocolo interno en el que se establezca la normativa de aplicación, personal designado para la gestión ya sea interno o empresa externa, procedimiento de actuación frente a denuncias, acuerdos de confidencialidad y demás obligaciones recogidas por el art. 9 de la Ley 2/2023

Contacte con LegalDPO si necesita gestionar el canal de denuncia, escribiendo a hola@legaldpo.es o llamando al 912 300 312. Asimismo, visite nuestra web www.legaldpo.es para conocer más información sobre nuestros servicios.

WhatsApp en la empresa

Como usar el WhatsApp con clientes, empleados, proveedores y resto de comunicaciones en nuestro día a día

Desde el equipo de LegalDPO queremos facilitaros de una forma sencilla y clara sobre las posibilidades que tenemos a la hora de utilizar la aplicación WhatsApp en nuestra actividad empresarial. Para ello, vamos a conocer qué podemos hacer con esta aplicación y su uso en nuestro día a día.

¿Qué podemos hacer a través de WhatsApp?

El uso de esta aplicación es muy común para la gestión de nuestros servicios, contacto con el cliente, recordatorio de citas y, en ocasiones, envío de publicidad. Para ello, tenemos que considerar algunos aspectos fundamentales:

Clientes o antiguos clientes:

  • SE PUEDE contactar con los clientes cuando tengamos o hayamos tenido relación contractual. Ya sea para gestionar un servicio, comunicaciones relacionadas con este o con nuestros productos, recordatorios de citas y, en general, cualquier comunicación sin fines publicitarios. En ningún caso deberá utilizarse para facilitar información de carácter personal o para enviar documentación, deberán utilizarse otros medios más seguros.

Estas comunicaciones no necesitan consentimiento expreso, pero sí es necesario informar con la cláusula correspondiente en el momento en que recogemos los datos.

  • NO SE DEBE enviar publicidad. Salvo que nos autoricen expresamente marcando la casilla de aceptación, no debemos enviar publicidad a través de WhatsApp. Para realizar campañas publicitarias debemos obtener el consentimiento expreso.

A los dos puntos anteriores es de aplicación una cuestión muy importante: ofrecer al usuario la posibilidad de oponerse al tratamiento de sus datos en cualquier momento o darse de baja para las comunicaciones vía WhatsApp.

Clientes potenciales

En este caso sí será necesario que el cliente potencial acepte las comunicaciones por WhtsApp, sobre todo si queremos enviar publicidad. Distinto será que se pongan en contacto directamente con nosotros, en cuyo caso solo tendremos que informar sobre el tratamiento de sus datos, pero sin la posibilidad de enviar información comercial, salvo autorización expresa.

Empleados:

Las comunicaciones relacionadas con la actividad laboral también están permitidas, siempre que el trabajador/a no se oponga. Será fundamental informarle sobre esta finalidad, garantizando en todo caso el derecho a la desconexión digital. Esto lo haremos con la firma del “Manual de funciones y obligaciones”, que tiene a su disposición en el área de clientes.

Teléfonos de empresa: si ponemos nuestros teléfonos a disposición de los empleados, se les informará sobre la utilización de WhatsApp, además de la posibilidad de ser incluidos en un grupo, pero no es necesario el consentimiento expreso.

Teléfonos personales: distinguimos entre comunicaciones individuales que podamos hacer al empleado, siendo necesario informar y, la posibilidad de ser incluido en un grupo, para lo que necesitaremos el consentimiento expreso.

WhatsApp Business como herramienta comercial

Toda la información que hemos ofrecido es recomendable aplicarla y realizarla a través de WhatsApp Business (Google Play o App Store). Esta herramienta ha sido creada para ser utilizada por las empresas en su actividad comercial, ofreciendo herramientas para gestionar el contacto con los clientes de manera efectiva. Sin embargo, los condiciones de uso son idénticas y las causas de exclusión o vulneración de derechos como spam, contactos no autorizados, publicidad mediante procesos automáticos, etc., se mantienen para esta versión.

Tenga en cuenta que todas estas recomendaciones se pueden adaptar a las necesidades de cada empresa o profesional autónomo. Para poder dar una mejor respuesta, no dude en contactar con el equipo de LegalDPO a través del correo hola@legaldpo.es, en nuestra web www.legaldpo.es o consulte las guías y directrices de la AEPD en www.aepd.es.


Warning: A non-numeric value encountered in /home/legal2/web/blog.legaldpo.es/public_html/wp-content/themes/ruby/lib/ruby-customizer-colors.php on line 1074

Roban 9 millones de datos de clientes a EasyJet en un ciberataque

A finales de enero de este año la aerolínea low cost, EasyJet, sufrió un robo masivo tras un ciberataque que se saldó con 9 millones de datos sustraídos. Pero, ¿qué se encontraba exactamente entre esta información que se extrajo? Pues, tal y como ha comunicado la compañía, entre esa información se encontraban detalles de los viajes de sus clientes, direcciones de correo electrónico e incluso números de tarjetas de crédito, esto último más concretamente de 2.208 clientes. Más de dos mil números de tarjetas de crédito que quedan a disposición de los ladrones para hacer con ellas cualquier tipo de operación.

 

Sin duda, noticias como esta nos hacen plantearnos hasta qué punto están a salvo nuestros datos cuando hacemos cualquier compra por internet, incluso en páginas web que, a priori, pueden parecer seguras. Desde la aerolínea señalaron que se trató de un ataque muy sofisticado y que ya están trabajando en las soluciones. Pero, ¿qué solución puede haber ante un problema de seguridad como este? A veces hay situaciones que son irreversibles, pero lo importante es actuar de la mejor manera posible. En este caso, desde EasyJet se comunicó que se pondrían en contacto con cada uno de los usuarios afectados por este ciberataque, para informarles sobre los datos que habían sido sustraídos y poder poner una rápida solución.

 

A pesar del riesgo de este tipo de robos en el que después se puede usar la información para estafar a las personas (delito conocido como phishing), la aerolínea en su comunicado señalaba que «no hay evidencia de que ninguna información personal de ninguna naturaleza haya sido mal utilizada».

 

¿Qué es y en qué consiste el phising?

 

Para entender mejor qué es exactamente lo que le ha ocurrido a la aerolínea low cost tenemos que conocer el concepto phising. Este término se usa para hablar de los métodos que usan los delincuentes a través de internet para hacerse con información confidencial de forma fraudulenta.

 

El ladrón o estafador se hace pasar por un ente de confianza (suplanta una identidad falsa), se pone en contacto con una gran cantidad de usuarios a través de vías como un correo electrónico y tan solo le queda esperar a que quienes lo reciban caigan en su trampa y de esa forma consiga todos sus datos.

 

Una vez se hacen con los datos las consecuencias suelen ser siempre las mismas:

  • Uso de la tarjeta de crédito o cuenta bancaria para hacerse con dinero.
  • Venta de datos personales.
  • Suplantación de identidad.

Las aerolíneas como foco de los ciberataques

 

Aunque el caso de EasyJet sea el más reciente no es, ni de lejos, el único en el que una aerolínea sufre un robo de datos.

 

Hace dos años, entre los meses de agosto y septiembre, British Airways fue víctima del robo de todas las reservas que se hicieron en ese periodo de tiempo y sus correspondientes datos, más de 300.000. Esto dejó como resultado la sustracción de miles de nombres, apellidos, correos electrónicos, tarjetas de crédito y sus correspondientes códigos de seguridad, etc. En este caso, la compañía tuvo que asumir una multa de 183 millones de libras impuesta por La Oficina del Comisionado de Información de Reino Unido (ICO).

 

Otros ataques hacia compañías de vuelos fueron el de Transavia, afectando a más de 80.000 clientes, y el de Cathay Pacific, quien en su caso vio quebrantado su sistema afectando a más de 9 millones de usuarios.

 

La conclusión que extraemos de todo esto es que cuanto más digitalizada está nuestra vida más riesgos corremos con nuestros datos personales. Como decían nuestras abuelas, toda precaución es poca. Y con esto no queremos decir que tengamos que volvernos paranoicos y dejar de hacer uso de estos servicios, sino que tenemos que andar con ojo y fijándonos siempre en toda situación que pueda resultar anómala y plausible de ser poco fiable.

Consejos sobre medidas técnicas

Uno de los puntos más importantes en la implementación de la normativa de protección de datos en la empresa es la implementación de medidas técnicas que garanticen la correcta protección del tratamiento de datos personales.

Las medidas técnicas que deben implantarse dentro de toda sociedad deben ir aparejadas al riesgo que pudiere tener la sociedad. Pero se debe tener en cuenta que esta adecuación de protección de datos debe ser equilibrada al riesgo, proporcionada en base al coste de la técnica, y revisadas de forma periódica.

Convenio de Colaboración

Estimados clientes y lectores:

Queremos comunicarles el acuerdo de colaboración que hemos alcanzado con  Lehmann y Fernández, S.L, despacho especializado en la protección y defensa de Patentes y Marcas.

Es objeto del presente CONVENIO es que todas nuestras empresas estén bien protegidas, tanto en Protección de Datos,  como en lo referente a sus activos de Propiedad Industrial (Patentes y Marcas).

¿Telefónica conseguirá que Google o Facebook pague por el uso de los datos de los usuarios?

La empresa española Telefónica lleva años luchando contra las compañías Over The Top (OTT) como fue Skype, whatsapp, Facebook o Google. Los servicios Over The Top (OTT) tienen a las operadoras de telefonía en una encrucijada viendo a los usuarios hacer cada vez menor uso de sus servicios y preferir el uso de servicios externos en los que el operador de telefonía no forma parte del negocio más allá de proveer la conexión de Internet.