Protección de datos

• Videovigilancia y plazos de conservación: 100.000 euros por el borrado de imágenes.

• La importancia de pedir únicamente los datos necesarios: el principio de minimización.

• Transferencias Internacionales de datos: Q&A en relación con las SCC.

• Obligación de revelar el uso algoritmos en el ámbito laboral.

Propiedad intelectual

•  ¿Qué compras cuando adquieres un NFT?

Marcas

• Límites al derecho a prohibir del titular de una marca.

• El uso en Amazon de marcas de terceros en productos falsificados.

• Tolerancia en el uso de marca.

Publicidad

• El concepto de evocación: Champagne vs Champanillo.

NORMATIVA AL DÍA: Normas, guías y códigos  

• Nueva Ley General de Telecomunicaciones.

• Guía para el cálculo de las sanciones en materia de protección de datos.

• Guía sobre reconocimiento facial y su uso por autoridades policiales y judiciales.

Próxima agenda y participación en eventos recientes

_____________________________________________________________

Protección de datos

• Videovigilancia y plazos de conservación: 100.000 euros por el borrado de imágenes

En una reciente resolución de la Agencia Española de protección de datos se ha sancionado a Mercadona con una multa de 170.000 euros por no atender un derecho de acceso ejercitado por un interesado en relación con el sistema de videovigilancia y por proceder al borrado de las imágenes solicitadas sin contar con base legal suficiente.

Se desprende de la resolución que Mercadona disponía de un procedimiento de gestión de incidencias según el cual, el personal receptor de todas las comunicaciones recibidas al buzón general (dept. Atención al Cliente) debía catalogarlas y en el caso de ejercicio de derechos de protección de datos remitirlas al delegado de protección de datos, reenvío este último que no se produjo en el caso analizado. En este sentido, la Agencia manifiesta que no cabe alegar que el hecho de que el departamento encargado de atender el ejercicio de derechos no tenga conocimiento del derecho ejercitado no equivale a que el Responsable (Mercadona) no tenga conocimiento, ya que existían en el caso, elementos suficientes para entender que el Responsable sí había recibido la comunicación.

Por otro lado, en relación con la acción de “borrar las imágenes” la Agencia emite dos recordatorios importantes:

• • La cancelación de datos es un tratamiento y como tal debe contar con una base legal, elemento que no se cumplía en este caso ya que al tener conocimiento del accidente acontecido en sus instalaciones Mercadona debía haber bloqueado dichas imágenes, aunque solo fuera para su correcta defensa frente a eventuales reclamaciones.

  • El Responsable, puede conservar las imágenes más allá del plazo de 30 días para emplearlas en defensa de sus derechos sobre la base del artículo 6.1.f) del RGPD, interés legítimo del Responsable.

Así la resolución recuerda que tratamiento y finalidad no son sinónimos debiendo analizarse la base legal de cada tratamiento y que resulta de vital importancia disponer de procedimientos bien diseñados e implementados en relación con el ejercicio de derechos de los interesados para atender los mismos en tiempo y forma.

Ir al índice

• La importancia de pedir únicamente los datos necesarios: el principio de minimización.

Reza el refrán español que “contra el vicio de pedir la virtud de no dar”, pues bien, la Agencia recuerda en una reciente resolución que una petición excesiva de datos personales supone una infracción de la normativa de protección de datos.

En el caso objeto de la resolución, un establecimiento hostelero requirió a un cliente su número de teléfono para poder emitirle una factura de la consumición, cuando dicho dato no responde a ninguna exigencia legal toda vez que no se encuentra entre el contenido mínimo que debe contener una factura a la luz del Real Decreto 1619/2012.

El problema, no obstante, no es en origen del camarero que atendió y solicitó los datos al interesado, sino de quien, en el diseño de la herramienta o el formulario que permitía al establecimiento emitir facturas, no tuvo en cuenta el principio de minimización de datos, que exige, que únicamente se traten los datos adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, características estas últimas que no cumplía el dato del número de teléfono en relación con la factura.

Resulta por tanto esencial que las peticiones de datos se diseñen de forma que permitan la recogida únicamente, de datos necesarios dejando la entrega de aquellos otros datos deseables abiertos a ser voluntariamente facilitados por el interesado. Para ello, resulta útil acudir a recursos como el uso de asteriscos que diferencien la información obligatoria de la voluntaria.

Ir al índice

• Transferencias Internacionales de datos: Q&A en relación con las SCC

En las últimas resoluciones de las Autoridades de Control se ha hecho referencia a la necesidad de firmar de Cláusulas contractuales tipo (SCC) en relación con transferencias internacionales de datos personales.

Así para garantizar una aplicación homogénea y correcta de dichos textos estandarizados, se ha emitido un documento de preguntas y respuestas en el que de forma clara se abordan las principales cuestiones suscitadas a raíz de la actualización de las SCC en junio de 2021.

Ir al índice

• Obligación de revelar el uso algoritmos en el ámbito laboral

El Ministerio de Trabajo y Economía Social ha emitido una Guía interpretativa  para arrojar luz sobre la obligación de las empresas de desvelar información sobre el uso de algoritmos en el ámbito laboral. Como señala la propia institución en la mencionada guía, el derecho de conocer el uso de algoritmos o derecho de “información algorítmica” aplica cuando el algoritmo se emplea para la toma de decisiones de gestión de personas en el ámbito laboral. No obstante, el deber de información tiene una doble vertiente:

• • Información del interesado sobre la base de la normativa de protección de datos que queda limitada a aquellos algoritmos empleados para tomar decisiones íntegramente automatizada con efectos jurídicos o similarmente significativos.

• • Información colectiva prevista en el Estatuto de los trabajadores que opera si hay designada representación legal de la plantilla tanto en decisiones semi automatizadas como totalmente automatizadas en relación con las condiciones de trabajo, el acceso y mantenimiento del empleo, incluida la elaboración de perfiles.

Dichas obligaciones de información se concretan en i) comunicar tanto del hecho de que se emplean algoritmos para tomar decisiones automatizadas, ii) indicar de forma significativa, clara y simple la lógica y funcionamiento del algoritmo, incluyendo las variables y parámetros que utiliza y iii) trasladar las consecuencias que pueden derivarse de la decisión adoptada mediante el uso del algoritmo.

Asimismo, recuerda la Guía la obligación de cumplir con el resto de obligaciones en materia de protección de datos, incluyendo por ejemplo la obligación de realizar una evaluación de impacto con carácter previo a la implantación del algoritmo.

Adicionalmente, señalar que los algoritmos son obras susceptibles de protección por la normativa de propiedad intelectual que eventualmente pueden constituir secretos empresariales del empleador por lo que en el proceso de facilitar la exigida información algorítmica se deberá tener en cuenta la protección del activo intangible resultando interesante disponer de protocolos específicos al respecto.

Ir al índice

Propiedad intelectual

• ¿Qué compras cuando adquieres un NFT?

En una newsletter anterior, abordábamos la importancia de conocer qué derechos se transfieren con la adquisición de ejemplares de obras de propiedad intelectual como puede ser la obra literaria “Dune”. En este caso la adquisición era un NFT del personaje “Bored Ape” adquirido por el actor Seth Green.

Seth Green adquirió, el NFT “Bored Ape # 8398” adquiriendo asimismo los derechos de explotación comercial de dicha creación razón por la que comenzó a producir una serie  de la que dicho personaje era el protagonista. El problema ha surgido cuando a Seth Green le sustrajeron varios NFT entre ellos el NFT de “Bored Ape # 8398” junto con los derechos asociados al mismo.  Es decir, a diferencia de lo que podría ocurrir en el mundo “analógico” en una situación asimilable en la que se sustrae una obra plástica, en este caso al estar, vinculado el NFT de la obra al título de propiedad de los derechos sobre el mismo, su robo implica la transferencia de los derechos en favor de su nuevo tenedor quien posee un título válido de propiedad intelectual.

Para poder recuperar los NFT perdidos a causa de un phishing, el actor contactó con quien figuraba como titular que sostuvo que lo había adquirido de buena fe, y le compró el NFT “Bored Ape # 8398” recuperando así los derechos sobre el mismo y pudiendo continuar con su producción audiovisual

Ir al índice

Marcas

• Límites al derecho a prohibir del titular de una marca

En el caso objeto de análisis la empresa demandada prestaba servicios de suscripción de envío de contenidos multimedia por SMS y para una campaña de captación de suscriptores decidió sortear una tarjeta regalo de Zara por valor de 1.000 euros, razón por la que Inditex presentó una demanda por uso no autorizado de la marca renombrada “Zara” en la publicidad.

A nivel marcario existe una limitación al derecho marcario según la cual el titular de una marca no puede prohibir su uso por terceros cuando se emplee para designar los productos o servicios como correspondientes al titular de la marca o para hacer referencia a los mismos “en particular cuando el uso de esa marca sea necesario para indicar el destino de un producto o de un servicio, en particular como accesorios o piezas de recambio”. Es esta última parte la que genera controversia en el seno del Tribunal Supremo en tanto que no queda claro si la referencia a “en particular” limita la interpretación del resto del límite o simplemente se incluye a título ejemplificativo, pero no limitativo.   

Es por ello que en la medida en que dicho límite tiene origen en la Directiva 2015/2436 se ha entendido pertinente, por dicho Tribunal, remitir al Tribunal de Justicia de la Unión Europea, una petición de decisión prejudicial, de forma que el caso se quedará inconcluso hasta el pronunciamiento de dicho órgano.

Ir al índice

• El uso en Amazon de marcas de terceros en productos falsificados.

Varias son las ocasiones en las que el Tribunal de Justicia de la Unión Europea ha tenido ocasión de manifestar que el operador de una plataforma de comercio electrónico no es responsable de las comunicaciones que en su medio realizan terceros ajenos a él, siempre que dicho uso no se produzca dentro de la propia comunicación comercial como intermediario.

No obstante, la novedad de este asunto es el análisis de si dicha interpretación cambia cuando dicho operador además de intermediar también se encarga de almacenar o distribuir, como sucede en el caso de Amazon. Es en este contexto, en el que el abogado general emite su escrito de conclusiones y señala que no entiende desvirtuada la conclusión previamente alcanzada la cual podrá ser aplicable a Amazon ya que no entiende que puedan categorizarse como “comunicaciones comerciales propias de Amazon” los anuncios de productos ofrecidos por terceros en su plataforma solo porque i) “publica de manera uniforme y simultánea sus propias ofertas y las de terceros, sin distinguirlas en función de su procedencia, incluyendo su propio logotipo de distribuidor de renombre tanto en su propia página web como en los anuncios que inserta en páginas web de terceros”, ii)  “ofrece a los terceros vendedores servicios complementarios de asistencia, almacenamiento y envío de los productos puestos en venta en su plataforma, informando a los potenciales adquirentes de que se encargará de la prestación de tales servicios” Siempre que “esos elementos no induzcan a un internauta normalmente informado y razonablemente atento a percibir la marca en cuestión como parte integrante de la comunicación comercial del operador”.

No obstante, advierte de que un mayor dominio de todos los aspectos del servicio podría incidir en la condición de Amazon como intermediario desde la perspectiva de las normas del Derecho de la Unión en materia de comercio electrónico y recuerda que el hecho de que a nivel marcario pueda no entenderse que realiza un “uso” de la marca de un tercero por no emplearla en sus comunicaciones comerciales propias no excluye la responsabilidad que dicho operador pueda tener frente al usuario de la plataforma que será mayor cuanto mayor sea el control.

Tras conocerse las conclusiones del abogado general solo resta conocer el parecer del Tribunal de Justicia en relación con este asunto.

Ir al índice

• Tolerancia en el uso de marca.

Constituye un derecho principal del titular de un signo distintivo el prohibir a terceros el uso de su signo distintivo pero dicho derecho supone asimismo un deber. Así, el titular de un derecho anterior que haya tolerado el uso de una marca posterior durante cinco años consecutivos, no podrá solicitar la nulidad de dicho derecho posterior al suyo.  Es lo que se conoce como “caducidad por tolerancia”.

En una reciente sentencia del Tribunal de Justicia de la Unión Europea  se analiza qué se entiende por tolerancia y cómo se puede romper el plazo de prescripción de cinco años. Así, el Tribunal de Justicia establece que no resulta suficiente con remitir una comunicación fehaciente al titular del derecho posterior, siendo necesario iniciar acciones judiciales o administrativas antes de la expiración del plazo de cinco años. Aclara, asimismo, que se entenderá iniciada la acción judicial o administrativa antes de la expiración del plazo cuando la presentación del escrito de demanda se realice antes de la expiración del plazo, siempre que la parte demandante no deje de realizar cualquier trámite necesario para la correcta gestión del procedimiento.

Resulta por tanto preciso tener presentes los plazos marcados por la normativa para garantizar que los derechos sobre los signos distintivos no se vean afectados.

Ir al índice

Publicidad

• El concepto de evocación: Champagne vs Champanillo

El asunto analiza la compatibilidad entre “Champanillo”, nombre de un bar de tapas y “Champagne”, denominación de origen protegida (DOP). Así, tras plantear una cuestión prejudicial al Tribunal de Justicia de la Unión Europea la sentencia se centra en analizar si las similitudes existentes entre ambas denominaciones son susceptibles de evocar en el consumidor normalmente informado y razonablemente atento y perspicaz un vínculo directo y unívoco entre ambos signos.

Así, concluye la sentencia que, el demandado “con el empleo del signo «Champanillo», genera en el consumidor una atracción mayor hacia sus servicios que la que alcanzaría con un signo desprovisto de las características, calidad y reputación de que goza la DOP «Champagne» y que reconoce el consumidor medio en el signo «Champagne». El demandado se apropia de los esfuerzos ajenos realizados para obtener la reputación y calidad de la DOP «Champagne» cuando comercializa sus servicios con un signo («Champanillo») que traslada al consumidor medio la imagen de esas referencias que representa la DOP y ello permite, al menos en el inicio, atraer más fácilmente o con menor esfuerzo propio al consumidor medio».

Se aclara así que la falta de coincidencia entre los productos identificados por la DOP y los servicios designados por la denominación “Champanillo” no es óbice para entender que se produce evocación con base en el art.103.2.b) Reglamento 1308/2013.

Ir al índice

NORMATIVA AL DÍA: Normas, guías y códigos  

• Nueva Ley General de Telecomunicaciones

La Nueva Ley General de Telecomunicaciones se ha publicado en el Boletín Oficial del estado en el día de hoy 29 de junio de 2022 y transpone la Directiva (UE) 2018/1972 por la que se establece el Código Europeo de las Comunicaciones Electrónicas. Es por dicho objetivo (entre otros) de transposición que el alcance de la regulación acometida queda limitado, por lo señalado en la mencionada Directiva, en lo tocante por ejemplo a los derechos de los usuarios finales (art 65) que debe respetar lo indicado en artículo 101 de la mencionada Directiva.

Uno de los principales cambios es la ampliación del alcance de la norma que pasa a incluir a lo que ha venido a denominar como “Servicio de comunicaciones interpersonales independiente de la numeración”, siendo aquel que no conecta a través de recursos de numeración pública asignados, por ejemplo, los servicios de mensajería instantánea que emplean los números de los planes de numeración nacional como identificador pero no para conectar o permitir la comunicación como si sucede en el caso de los “Servicio de comunicaciones interpersonales basados en numeración”.

Por su parte a nivel de comunicaciones comerciales a través de Servicio de comunicaciones interpersonales basados en numeración se mantiene la prohibición de llamadas sin intervención humana salvo consentimiento y se modifica el régimen aplicable a llamadas con intervención humana que pasan de facilitar la oposición a requerir el consentimiento previo o la concurrencia de otra base legal de las previstas en el artículo 6 del RGPD lo que parece abrir la puerta a la aplicación del interés legítimo lo que en la práctica podría no alterar sustancialmente el tratamiento siempre que se disponga de base legitimadora.

En cuanto al consentimiento, resulta interesante señalar que, si bien previamente se exigía que fuera previo e informado, ahora la norma remite directamente al cumplimiento de las exigencias sobre consentimiento previstas en la normativa de protección de datos.

Ir al índice

• Guía para el cálculo de las sanciones en materia de protección de datos

En aras de homogeneizar la cuantificación de las multas por infracción del RGPD el Comité Europeo de Privacidad ha elaborado una guía a través de la cual se describe la metodología a seguir y se facilitan una serie de criterios a tener en cuenta por las distintas Autoridades de control a la hora de imponer sanciones.

La mencionada guía se encuentra por el momento únicamente en inglés y está en periodo de observaciones por lo que puede no ser el texto definitivo. No obstante, resulta una herramienta interesante a la hora de analizar las sanciones a las que se podría enfrentar un responsable o encargado del tratamiento en caso de incumplimiento de las exigencias normativas en materia de protección de datos.

Ir al índice

• Guía sobre reconocimiento facial y su uso por autoridades policiales y judiciales

El Comité Europeo de Privacidad ha emitido una guía en la que se analiza el uso de tecnologías de reconocimiento facial por autoridades policiales y judiciales con el objetivo de garantizar el respeto de la legislación vigente y la seguridad.

La Guía analiza el estado de la tecnología de reconocimiento facial y la confronta con el sistema regulatorio existente siendo su objetivo último el facilitar herramientas que contribuyan a un mejor análisis de este tipo de soluciones en relación con el impacto que tienen a nivel de protección de datos. El documento, no obstante, se encuentra en periodo de observaciones.

Ir al índice

Próxima agenda y participación en eventos recientes

Eventos pasados:

• Candela Martínez junto con Pelayo Piedra y Gurutze Miner del CNTA, participaron en la formación organizada por la CEN sobre etiquetado alimentario en la que se abordaron entre otros temas las prácticas comerciales engañosas o las novedades en la regulación en materia de residuos.

 Ir al índice

Últimos boletines de Nuevas Tecnologías

Puedes consultar nuestras últimas newsletters a través de los siguientes enlaces:

• Actualidad de Nuevas Tecnologías y Propiedad Intelectual e Industrial- nº6
• Actualidad de Nuevas Tecnologías y Propiedad Intelectual e Industrial- nº5
• Actualidad de Nuevas Tecnologías y Propiedad Intelectual e Industrial- nº4