Des de maig de l'any passat, l'aplicació efectiva del Reglament Europeu de Protecció de Dades (RGPD) a Espanya ha generat un cert desassossec tant en l'àmbit privat com en els organismes públics disposats a adequar els seus procediments interns i evitar les possibles sancions per part del TJUE.
La rigorosa intenció de l'Agència Espanyola de Protecció de Dades de promulgar un nou model de privacitat proactiu i diferent de l'anterior, sembla ser clau a l'hora d'evitar sancions de la justícia europea. Per facilitar la implantació del reglament, l'Agència Espanyola de Protecció de Dades ha publicat una Guia d'obligacions del responsable, una Guia sobre obligació d'informar i una Guia sobre models de contractes entre responsables i encarregats, a més de realitzar treballs en col·laboració amb la Unió professional, convenis d'assessorament o implementar eines com Facilita.
No obstant això, els ajuts de l'agència són necessàries però no suficients. Una conclusió que es desprèn de la sentència de l'Audiència Nacional sobre la demanda presentada per una empresa privada especialitzada en oferir solucions personalitzades de servei al client que connecten la marca amb els diferents públics. En aquesta empresa, el comitè sindical havia distribuït comunicats i informació sindical als empleats en format paper; una activitat dins del dret de llibertat sindical que la direcció de l'empresa considerava en la seva denúncia com a possible vulneració de directrius en el Reglament General de Protecció de Dades. Per evitar possibles sancions, es va denunciar al comitè d'empresa rebutjant les seves comunicacions sindicals en paper, així com l'ús de telèfon mòbils particulars en horari laboral. La denúncia es completa amb la prohibició als treballadors d'acudir a la feina amb medicaments i productes d'higiene distribuïts en una bossa.
ANÀLISI DE RISCOS I AVALUACIÓ DE L'IMPACTE
En la seva sentència, l'Audiència és contundent afirmant que "l'empresa està legitimada per organitzar el treball i establir sistemes de control i seguretat, però aquestes potestats no són absolutes i no poden envair indiscriminadament drets legítims dels representants dels treballadors llevat que s'acrediti que aquestes intervingudes són idònies, raonades i proporcionades al fi proposat ". Segons l'opinió de Maria Flora Egea Torrón, BBVA Data Protection Officer, aquest tipus d'empreses, en redactar el seu codi de conducta, "haurien de posar en una balança la possibilitat d'incloure aquest tipus de limitacions enfront de la seva possible correcció". Per evitar aquesta correcció, l'experta aclareix que "aquest codi de conducta hauria d'especificar, de forma detallada, les raons de la imposició de cada mesura, i haurien de descartar per l'empresa aquelles mesures que, d'acord amb el que indica la sentència, no es pugui provar que, efectivament, suposen un risc patent i actual per a la seguretat de les dades personals”.
En aquesta mateixa línia s'expressa Natalia Martos, CEO & fundadora de Legal Army, que considera que "tota empresa que faci tractament de dades ja sigui responsable o encarregada del tractament, ha de fer una anàlisi de riscos de qualsevol situació que pugui suposar una amenaça" . Amb aquesta anàlisi, "s'hagués detectat un risc i l'empresa hauria establert mesures de seguretat i organitzatives oportunes sense necessitat de formular una prohibició innecessària", conclou Martos.
POLÍTICA DE SEGURETAT
La política d'escriptoris nets d'aquesta empresa no és acceptada per l'Audiència Nacional qui considera que aquesta prohibició vulnera l'article 28 de la constitució i l'article 2 de la Llei de llibertat sindical. D'aquesta manera, els empleats seguiran rebent la informació sindical en paper, encara que mai en moments d'auditoria i de visites de clients externs. L'AN conclou que "no s'acredita ni la idoneïtat, ni la raonabilitat ni la proporcionalitat d'una mesura que és una clara violació del dret de llibertat sindical, del qual la difusió d'informació constitueix un valor essencial".
Pel que fa a la prohibició d'introduir els medicaments i objectes d'higiene personal per complir l'objectiu de l'empresa d'evitar l'entrada d'algun dispositiu d'emmagatzematge extern, la decisió judicial aclareix que els treballadors poden acudir al seu lloc de treball amb necessers opacs evitant incloure bolígrafs o memòries USB. A més, s'aclareix que els casos excepcionals per incloure medicaments hauran de ser supervisats per una persona responsable de l'empresa. Així mateix, l'empresa posarà a disposició dels treballadors taquilles alienes a les plataformes de treball.
Les "mesures de seguretat oportunes sense que hi hagi una prohibició innecessària i sense que es minvin els drets fonamentals dels treballadors" que subratlla Natalia Martos, CEO & fundadora de Legal Army, sumades al "sentit comú" en les polítiques de seguretat que remarca en seva decisió l'Audiència Nacional i la possibilitat que "les empreses ofereixin alternatives des del principi" com aconsella Maria Flora Egea, BBVA Data Protection Officer són directrius fonamentals a l'hora que les empreses puguin adequar-se correctament a l'aplicació efectiva del RGPD.
Diari Digital Expansión