Las cofradías no son un sector que haya recibido muchas resoluciones sancionadoras por parte de la Agencia Española de Protección de Datos (AEPD). Pero aún así, no han logrado escaquearse.
En este caso la Junta mayor de cofradías y hermandades de la Semana Santa de Elche ha sido castigada con 1.000 euros -finalmente 600 por reconocer los hechos y acogerse al pago voluntario- tras incumplir, en parte, el artículo 13 del Reglamento General de Protección de Datos (RGPD) en una gincana en Kahoot.
Antes de nada hay que aclarar que Kahoot es una plataforma gratuita que permite crear cuestionarios de evaluación y se suele utilizar en los colegios. El profesor crea una pregunta con cuatro respuestas en las que sólo una es válida y los alumnos tienen que responder desde la aplicación cuál es la opción correcta.
En este caso concreto, la reclamación fue impuesta ante la AEPD por una usuaria que participó en dicho juego organizado en los años 2021 y 2022 por la Juventud Cofrade de Elche, una sección dependiente de la Junta de Cofradías.
Para participar había que escanear códigos QR que redirigían a la aplicación Kahoot. Había que rellenar un formulario de inscripción a través de Google mediante el que se recababan datos personales del interesado como, por ejemplo, nombre, apellidos, fecha de nacimiento y dirección de correo electrónica.
Según la reclamante, esos datos se utilizaron para crear un usuario de juego de Kahoot compuesto por las iniciales de su nombre y los dos últimos dígitos de su año de nacimiento. Asimismo, se empleó su correo electrónico para diversas comunicaciones llevadas a cabo durante el transcurso de las gincanas.
En mayo de 2022 envió diversos correos electrónicos tanto a los organizadores y como a la cofradía como responsables del tratamiento de datos personales para pedirles que entregasen los premios de las dos últimas ediciones porque, de lo contrario, estarían cometiendo un posible delito de estafa.
Los principios de transparencia
Asimismo les advirtió que conservaban sus datos personales en sus ficheros y, por tanto, se estaría vulnerando la protección de sus datos. Cuando la AEPD les pidió explicaciones sobre los hechos ocurridos, no respondieron. Tampoco contestaron a los emails de la reclamante.
El principio de transparencia está recogido en los artículos 13 y 14 del RGPD y versan sobre la información que el responsable del tratamiento está obligado a proporcionar al interesado.
Y en este caso, la AEPD considera que ha cometido una infracción del artículo 13 al no informar sobre el plazo de conservación de los datos personales, de la base jurídica del tratamiento, el derecho a retirar el consentimiento y a presentar una reclamación ante una autoridad de control.
El abogado Antonio Benítez Ostos, socio-director de Administrativando Abogados y experto en la materia ha explicado a Confilegal que las empresas no suelen conocer al 100% sus obligaciones de protección de datos a pesar de que en la actualidad prácticamente todas las compañías tratan a diario con este tipo de información personal.
Los peligros de instalar aplicaciones como Kahoot si no se cumple la normativa
“Es evidente que, cuando instalamos una determinada app, o bien accedemos a una web para adquirir algún producto o recibir algún servicio, vamos a ceder datos de carácter personal”, ha explicado el letrado.
Por ello, estas empresas u organizaciones deben ocuparse en el momento de acceso a la web o de la descarga e instalación en nuestros dispositivos de recabar el consentimiento informado y previo del cliente; indicar el propósito para el que se recoge la información; e informar a los clientes de los derechos y plazos de conservación de sus datos.
Sin embargo, según ha resaltado el letrado, la mayoría de las aplicaciones y portales ofrecen muy poca información de por qué recopilan información personal y para qué la utilizan.
La gran mayoría de las aplicaciones y páginas webs utilizan los datos personales que recaban de los clientes para crear perfiles de los usuarios y ofrecerles publicidad personalizada. “Se lucran con nuestros datos”, ha destacado Benítez Ostos.
Pensemos, por ejemplo, cuando estamos en una red social y nos aparecen anuncios de artículos que hemos buscado o queremos comprar (o incluso, cuando simplemente lo hemos hablado, pues la mayoría también tienen acceso al micrófono).
Las dos apps que más datos recopilan son Facebook e Instagram
En palabras del letrado «las dos aplicaciones que más datos recopilan son Facebook e Instagram (en torno al 70%), frente a Youtube o WhatsApp (sobre el 20%). Y son las dos primeras las que mayor cantidad de publicidad inserta también en sus propias aplicaciones».
Y es que, según el abogado, aunque muchos usuarios son conscientes de las amenazas de seguridad debido al uso de apps y páginas webs es evidente que es necesaria una mayor concienciación sobre los peligros .
Por lo que “el usuario tiene derecho a ser informado de la identidad del encargado del tratamiento de sus datos personales en la concreta aplicación, de qué tipo de datos están siendo tratados y con qué finalidad”.
El responsable del tratamiento correspondiente, deberá comunicar a los usuarios potenciales, como mínimo: quiénes son (identidad y datos de contacto); las categorías concretas de datos personales que el desarrollador solicitará y tratará; los objetivos precisos de ese tratamiento; si los datos se comunicarán a terceros; y los medios que tienen los usuarios para ejercer sus derechos, ha concluido.
