Ricard Castellet

Tres anys ja de RGPD

per

Aquesta setmana s’han complert tres anys des de que el Reglament General de Protecció de Dades va entrar en aplicació. Repassem en aquest post algunes de les fites més importants i farem una mica de balanç que, com sempre, tindrà llums i ombres.                                

El RGPD va entrar en vigor el 2016 però, gràcies a una moratòria, la seva aplicació no va a començar fins al maig de 2018. No és que la Protecció de Dades personals fos una novetat al nostre país, la LORTAD és de 1992 i la LOPD de 1999, però no cap dubte que va suposar un canvi de paradigma en el tractament de les dades personals per part de les empreses. Molts van descobrir, a partir d’aquell moment, el dret fonamental a la privacitat o, el que és el mateix, garantir a les persones el control sobre les seves dades personals .

Ara parlem d’un model preventiu (no reactiu per denúncies) amb responsabilitat proactiva, on s’ha establert la privacitat per defecte, des del disseny, i tot l’enfocament de les obligacions dels responsables s’ha de fer basat en l’enfocament del risc.

Consentiment reforçat, noves clàusules informatives, nous contractes d’encarregat de tractament, mesures de seguretat (violacions de seguretat), nous drets dels interessats i figures com el Delegat de Protecció de Dades són algunes de les novetats que ens va portar el RGPD i que ja a hores d’ara ens resulten, a més de familiars, imprescindibles en el nostre dia a dia en la matèria.

I les sancions, no ens oblidem, són considerables. Espanya és el país que ha imposat fins ara més sancions a Pimes, encara que, val a dir, l’import de la suma de les sancions no és el més elevat comparat amb els altres països. I, com sempre, al marge del aspecte econòmic, el més important té a veure amb la pèrdua de reputació de l’empresa. Aquest és l’intangible més apreciat i que hem de preservar a tota costa.

Aquest temps no ha estat exempt de dificultats. Només cal recordar l’anul·lació de l’Acord Privacy Shield que donava cobertura jurídica a les transferències de dades entre Europa i els Estats Units. O les modificacions en la regulació de les cookies que, encara avui, incompleixen moltes empreses.

I no oblidem la tecnologia que avança de manera espectacular, alhora que les normatives van per darrera dels esdeveniments. Amb la pandèmia hem vist l’auge de la videoconferència o els xats i el teletreball amb les seves dificultats per preservar la privacitat. I altres, com per exemple, el reconeixement facial o de veu, la Intel·ligència Artificial (IA), el Big Data o el Blockchain que estaven a les beceroles o directament no existien quan van començar els treballs del Grup de Treball de l’article 29, allà per el 1996.  

Un balanç, a la fi, prou positiu en general. Però queda molt camí per fer.

Cuideu-vos!

Claus sobre Protecció de Dades en el treball

per

L’Agència Espanyola de Protecció de Dades ha publicat una guia sobre protecció de dades i relacions laborals. El document encara qüestions com la consulta de l’empleador a les xarxes socials, els sistemes  interns de denuncies (whistleblowing), el registre de la jornada laboral, la protecció de dades de les víctimes d’assetjament a la feina, els de les dones supervivents a la violència de gènere o l’ús de tecnologia wearable com element de control.

La protecció de dades en l’àmbit laboral sempre ha estat envoltada de polèmica. Fins fa poc, però, es mantenia en la col·lisió dels drets fonamentals del treballador respecte a la seva intimitat amb l’ús – i moltes vegades abús- de la tecnologia per part de la direcció empresarial. L’accés indegut a les comunicacions electròniques del treballador (cas Barbulescu) o la utilització indiscriminada de les càmeres de vigilància són dos dels exemples més coneguts.

L’Agència aborda ara temes de molta actualitat. Per exemple, l’ús de les xarxes socials per part dels departaments de selecció de personal que no  tenen permís per indagar en els perfils dels candidats, ni durant el procés de selecció ni durant l’execució del contracte, encara que el perfil sigui d’accés públic. L’empresa, fins i tot, no està legitimada per sol·licitar “amistat” als candidats perquè proporcionin accés a continguts dels seus perfils.

Pel que fa als sistemes interns de denuncies, s’admeten denuncies anònimes i, quan no ho sigui, la confidencialitat de la informació i del denunciat han de preservar-se. Només es podran accedir aquestes dades en cas de procediments disciplinaris i notificacions a les autoritats de fet constitutius d’il·lícit penal o administratiu.

Respecte el registre de jornada laboral, l’AEPD recomana que aquest sigui el menys invasiu possible, sense que sigui d’accés públic ni visible per tots. I aquesta informació no es pot fer servir per finalitats diferents com, per exemple, geolocalitzar al treballador.

L’Agència s’ocupa també de les víctimes d’assetjament a la feina i de la violència de gènere, atorgant amb caràcter general la consideració de categoria especial de les dades personals, considerant-los dades sensibles que requereixen una protecció reforçada.

L’Agència recorda que l’única base jurídica que legitima el tractament de les dades és l’execució d’un contracte de treball (a més del imperatiu legal o per un conveni col·lectiu).  I cal facilitar la informació corresponent, explicar els drets que assisteixen als treballadors en aquesta matèria i com exercir-los.

Són tots temes rellevants en l’àmbit laboral que, empresaris i treballadors han de tenir molt present en el dia a dia.

Cuideu-vos!

IA, Màrqueting i Protecció de Dades

per

IA, Màrqueting i Protecció de Dades

 La intel·ligència artificial (IA), en contraposició a la natural, es la intel·ligència duta a terme per les màquines. Marvin Minsky assigna a la intel·ligència artificial la “realització de sistemes informàtics amb un comportament que en l’ésser humà qualificaríem d’intel·ligent”. Està destinada a resoldre els tipus de problemes que, fins ara, estaven reservats als éssers humans.

Les aplicacions quotidianes de la IA són cada cop més freqüents: quan parlem amb un assistent de veu (Alexa) que aprèn dels nostres gustos, consultem una ruta en temps real a Google Maps, aplicacions de streaming com Spotify o Netflix aprenen de les nostres preferències i de la nostra activitat per fer-nos recomanacions. I que dir de l’inefable Facebook que, un estudi de La Universitat de Stanford va concloure que la xarxa social podia jutjar la nostra personalitat millor que els amics o la família, i fins i tot, millor que nosaltres mateixos. Tot a partir de determinat nombre de likes (i no massa).

Com és natural, la IA té una infinitat de camps de treball. Un d’ells, i un dels més importants, és el màrqueting digital. Entre les capacitats necessàries per desenvolupar una estratègia de màrqueting digital, hi ha una imprescindible que és la capacitat analítica. I aquí la IA resulta imprescindible per, d’una banda, conèixer les motivacions, els objectius, les aspiracions i el comportament dels usuaris i, de l’altre, la anàlisis dels resultats de totes les activitats de màrqueting que portem a terme.

La IA ens pot ajudar, per exemple, en el anàlisis predictiu (podem avançar-nos a les necessitats de l’usuari per oferir-li productes i serveis fins i tot abans que en sigui conscient); en la gestió de clients (CRM) per gestionar leads (clients potencials) i convertir-los, via embut de vendes, finalment en clients; naturalment, podem fer servir IA per publicitat digital nativa fent servir cookies (o píxels de FB), chatbots i tècniques de Machine learning. Fins i tot ens pot ajudar en la generació de continguts gràcies a la tecnologia de Processament del Llenguatge Natural (PLN).

I tot això de la IA parteix de dades, de les nostres dades, per donar resultats. I, com són les nostres dades, ha generat, com diu l’AEPD, molts dubtes entre usuaris, especialistes, autoritats  i la indústria en relació a aspectes de compliment normatiu, respecte als drets dels interessats i seguretat jurídica de tots els intervinents.

No hi ha dubte dels immensos beneficis que ens reporta ja la IA i els que ens reportarà en el futur. Però cal que tinguem present que no tot val i que la nostra privacitat és l’última frontera de la tecnologia. Traspassada aquesta, el futur serà molt complicat.

Cuideu-vos!

Data Pro Quo

per

Quid Pro Quo és una expressió llatina, d’ús molt freqüent en l’àmbit jurídic, que podríem traduir com “una cosa per una altre”. Es refereix al que es dona a canvi d’una altre cosa.

Aprofitant el joc de paraules, l’empresa Shackleton ha presentat Data Pro Quo, la primera màquina vending en la que es paga amb dades. Sí, els productes no es paguen amb diners sinó amb les nostres dades. Partint del concepte que les dades són la nova moneda, l’empresa ho ha dut a la pràctica de forma literal.

Ja estem acostumats a canviar dades per serveis, encara que fins ara ho fèiem de forma implícita. Ho fem cada dia dotzenes de vegades: quan volem entrar en una pàgina web (recordem les cookies), quan volem baixar un document o un ebook, quan ens instal·lem una app i tants altres exemples.

Ja fa temps que vam perdre la innocència. Al principi pensàvem que els productes i serveis on line eren gratuïts. Omplíem formularis a tort i a dret, baixàvem qualsevol mena de infoproducte com si no hi hagués un demà i, per descomptat, instal·làvem apps diàriament (heu comptat quantes apps teniu instal·lades en el mòbil?). Per no parlar de les xarxes socials que són verdaderes ionquis de les dades.

Perquè tot aquest cabdal de dades que corre per Internet requereix una colossal infraestructura formada, entre altres, per centenar de milers de servidors, milions de kilòmetres de fibra òptica i una gestió brutal de l’energia necessària per que nosaltres puguem enviar un whastapp. I això té un cost molt elevat.

Amb Data Prop Quo ens trobem amb la primera proposta honesta de intercanvi de dades per producte. El funcionament és el mateix que qualsevol màquina de vending en la que l’usuari tria el producte que vol comprar. I per pagar, en comptes de diners o targeta (no s’admet altre forma de pagament), ha de respondre a una sèrie de preguntes començant per el càrrec (la màquina està destinada a entorns corporatius) i, en funció del perfil,  apareixen diferents qüestions que,  un cop contestades, donen accés al producte desitjat.

A més d’honesta i creativa, la proposta és intel·ligent en el sentit que considera a l’usuari com una persona formada, que valora la seva privacitat i a qui, de forma oberta, se li pot proposar l’intercanvi de dades per producte.

Com sempre, haurem d’estar atents a la gestió de les dades, un cop recollides, des del punt de vista de la privacitat i el control que faci l’empresa sobre el risc d’una eventual fuita de dades del servidor intern. Però això serà tema d’un altre post.

Cuideu-vos!

Influencers, la legislació que ve (perquè ve)

per

Temps enrere ja vam parlar de l’entrada en vigor del Codi de Conducta sobre l’Ús de Influencers en la Publicitat que recull un conjunt de regles que vinculen als anunciant adherits a AEA (Associació Espanyola d’Anunciants), a AUTOCONTROL, així com a qualsevol altre anunciant del sector i a Influencers que voluntàriament s’adhereixin al mateix.

 Al marge d’aquesta iniciativa, de caràcter voluntari, la publicitat dels influencers a Espanya es mou en un marc legal encara per desenvolupar. I s’ha d’emprendre el camí, més aviat que tard, perquè el sector va moure el 2019 una facturació global de 8.000€ i la falta de regulació crea inseguretat jurídica que no beneficia, o no hauria de beneficiar, a ningú.

Segons un estudi de la Universitat de Compostela, el 68% dels usuaris espanyols de xarxes socials segueixen a influencers per la qual cosa les marques veuen un canal valuós per prescriure’s i guanyar consumidors.  I el 93% de les publicacions publicitàries a Instagram realitzades per els 25 principals influencers espanyols del sector de la moda –alguns superen el milió de seguidors– oculten que són continguts patrocinats, és a dir, publicitat que podem qualificar com enganyosa.

En aquest sentit, la Comissió Nacional dels Mercats i de la Competència (CNMC) proposa incloure l’activitat dels influencers en la futura Llei  de Comunicació Audiovisual. La Comissió proposa incloure la definició dels “prestadors de serveis de comunicació audiovisual que es suporten en plataformes d’intercanvi de vídeos” que, comprendria als influencers els requisits per ser considerats prestadors de de serveis de comunicació audiovisual.

A més de la Llei de Comunicació Audiovisual, hi ha altres normatives en les que ens hem de fixar. Per exemple, la Llei de Serveis de la Societat de la Informació i Comerç Electrònic (LSSICE) que en l’article 20.1 que exigeix que les comunicacions comercials fetes per via electrònica hauran de ser clarament identificables com a tals, y també la persona física o jurídica en nom de la que es fan, haurà de ser clarament identificable.

I ja per acabar, mencionar la Llei General de Publicitat a efectes de la qual, anunciant és la persona física o jurídica per compte del qual es realitza la publicitat. I davant d’una publicitat il·lícita, enganyosa o deslleial, les accions a dur a terme són les establertes amb caràcter general per les accions derivades de la competència deslleial, com recull l’article 18 de la Llei de Competència Deslleial (LCD).

En conseqüència, tant anunciants com influencers farien bé en anar acomodant les seves pràctiques professionals en la matèria d’acord amb aquestes previsions legals. Les relacions de les empreses amb els influencers i les d’aquests amb els seus seguidors s’han de forjar al llarg del temps perquè la seva base, com en tants altres casos, és la confiança.

Cuideu-vos!

Per un grapat de dòlars …

per

Aquest és el títol d’una famosa pel·lícula de 1964, en la que el prolífic director de cine Sergio Leone dirigia a l’inefable Clint Eastwood en un spaghetti western que es va convertir en un clàssic del gènere. No us comentaré la cinta, només aprofito el títol per fer-vos la reflexió que molt sovint hi ha estalvis que es converteixen en un disgust.

Recentment, l’Agència Espanyola de Protecció de Dades (AEPD) va publicar la seva Memòria AEPD 2020. El primer titular de la presentació es que, durant el 2020, es van presentar un total de 10.324 reclamacions. Gairebé 50 diàries, en dia laborable. I podríem afegir-ne a prop d’un miler si hi afegim els casos transfronterers, els que actua per iniciativa pròpia i les fallides de seguretat traslladades a la inspecció.

Les reclamacions més freqüents tenen a veure amb serveis d’Internet, inclusió indeguda en fitxers de morosos, videovigilància, recepció de publicitat i reclamació de deutes. Per sectors, els més sancionats són les entitats financeres i creditores, Administracions Públiques i les empreses de telecomunicacions.

També s’han realitzat 29 intervencions amb caràcter d’urgència per la retirada de continguts sexuals o violents, difosos per Internet, associades al Canal prioritari, amb un percentatge d’èxit superior al 86%.

És important destacar el fet que, a pesar de la pandèmia, l’activitat de l’Agència s’ha mantingut, posant de manifest que la implantació del teletreball no ha disminuït la capacitat de treball de l’Organisme.

Us poden semblar que les reclamacions són moltes o poques. Al meu parer, són suficients per reflexionar sobre si val la pena que, “per un grapat d’euros”, ens posem en mans de professionals que ens ajudin a complir amb la llei.

Perquè sempre diem que el cost de l’adequació de l’empresa és un cost cert però que el cost de no adequar-se és imprevisible. El primer es pot imputar ordenadament en la comptabilitat de l’empresa i, el segon, ens pot fer una destrossa a l’economia i, el que és més important, a la nostra reputació. I aquesta costa molt de recuperar.

Adequar l’empresa a la normativa genera confiança entre empleats (són els primers que pateixen la desconfiança), clients (fem les coses ben fetes excepte complir amb la llei?), proveïdors, administracions (si volem, per exemple, licitar). Fem les coses ben fetes. Per un cost cert.

Cuideu-vos!

Una visita al veterinari que va costar 35.000€

per

De vegades, ens podem complicar molt la vida per deixar-nos portar per els impulsos en comptes de tenir un comportament racional i ajustat a dret. I a la vida no val tot i a Internet, tampoc. Així que fem les coses bé i ens estalviarem disgustos.

En una sentència destacable pel que fa a l’assetjament online, el titular del Jutjat de Primera Instància nº7 de Santander ha estimat la demanda presentada per una clínica veterinària contra un client que els va amenaçar amb que els “aixafaria” a les xarxes socials, va complir l’amenaça i va orquestrar, de manera intencionada, una campanya de descrèdit de la clínica.

La sentència entén que aquesta acció va més enllà del que es podria considerar una lícita critica a la perícia professional dels demandants. L’assumpte, per via penal, ja va acabar amb condemna com autor d’un delicte lleu de amenaces.

Ara se’l condemna “a que cessi en la intromissió il·legítima de el dret a l’honor dels demandants”, a que “doni les instruccions precises i, si escau, l’autorització a Google a retirar les afirmacions amb continguts injuriosos, calumniosos i amenaçadors “proferides pel demandat, els seus familiars, amics i companys de treball a la pàgina web de la clínica, i al pagament d’una indemnització que ascendeix a 34.895,83 euros.

I els fets? Doncs com explica la sentència, una parella va portar el gos a la clínica a on li van fer un examen general, li van prendre la temperatura i van proposar fer més proves de diagnòstic. El mateix dia, el demandat va portar a l’animal a un altre clínica que va diagnosticar una infecció d’orina. El demandat va tornar a la primera clínica, va omplir el full de reclamacions i va demanar la devolució dels 55€ que li havien cobrat per la visita. Davant la negativa a la devolució, va proferir les amenaces. Dies després, va escriure una ressenya negativa  a la pàgina My Business de Google de la clínica. A partir d’aquí, van començar a aparèixer ressenyes negatives de la clínica per part de familiars i amics del demandat que, per descomptat, no tenien cap fonament.

Considera el jutge d’instància que aquesta acció està dirigida exclusivament a afectar negativament al prestigi professional públic de la clínica i els seus professionals, constituint una extralimitació del legítim exercici del dret a la llibertat d’expressió.

Manifestar una opinió o una crítica legal per els serveis rebuts és perfectament legítim. No ho és, però, fer servir les xarxes socials per finalitats espúries com pot ser la d’atacar directament el prestigi professional.

En definitiva, una visita al veterinari que va acabar molt malament per no tenir un comportament racional i ajustat  a dret. Condemna, indemnització, estrès per tots els implicats, … un verdader despropòsit. Fem les coses bé que sempre és més fàcil i costa menys.

Cuideu-vos!

Compte si publiques fotos d’un tercer sense consentiment!

per

Si ens dediquem al màrqueting i a la comunicació hem de tenir especial cura amb la utilització i  publicació d’imatges de tercers. Al marge de vulnerar els drets d’imatge, ens podem trobar amb sancions importants per part de l’Agència Espanyola de Protecció de Dades (AEPD).

En efecte, l’Agència ha sancionat amb 9.000€ al responsable d’una web per publicar material fotogràfic i altres dades personals d’un usuari, sense el seu consentiment. A més, l’usuari va reclamar i no va obtenir resposta.

Segons l’AEPD,  i “de conformitat amb les evidències de que es disposa”, es considera que els fets són constitutius de dos infraccions:

  • Una primera infracció per vulneració de l’article 6 RGPD per el tractament sense consentiment i
  • Una segona, per vulneració de l’article 13 RGPD perquè la Política de Privacitat de la pàgina web mancava dels requisits exigits pel que fa al tractament de dades de caràcter personal

Ja hem parlat en diferents ocasions de la importància d’estar legitimats per tractar dades personals. El Reglament recull diverses bases de licitud com pot ser l’execució d’un contracte, una obligació legal, per interès públic, per protegir interessos vitals de l’usuari, per interès legítim del responsable i, naturalment, per el consentiment de l’interessat (veure posts sobre el tema).

Entenc que no cal insistir en la qüestió. Si no estem legitimats, no podem tractar dades personals. I punt.

Respecte a la segona qüestió, els texts legals web, també n’hem parlat (veure posts). Com responsables, tenim obligació de informar a l’afectat del tractament de les seves dades personals, tal com disposen els articles 13 i 14 RGPD i el 12 LOPDGDD, i posar a la seva disposició els mitjans per exercir, de forma accessible, el drets que li corresponen.

En conseqüència, l’AEPD imposa, per la primera infracció, una multa de 5.000€ i de 4.000€, per la segona. A més dels danys reputacionals que es poden patir, no és plat de bon gust rebre sancions econòmiques per no haver fet les coses ben fetes.

I un altre dia parlarem dels drets d’imatge personal. Recordem que el dret a la imatge és un dret fonamental recollit a la nostra Constitució. Tret de les excepcions que marca la llei, sempre hem de tenir el consentiment de la persona per la captació, reproducció o publicació.

Com sempre, cuideu-vos!

Imatge Pixabay

He llegit i accepto …

per

Així acaben (els que compleixen) els formularis web, just abans de prémer el botó d’Enviar.  La frase completa és “He llegit i accepto la Política de Privacitat” i inclou un casella per marcar (si no es marca, no es pot enviar el formulari) i un enllaç perquè l’usuari pugui navegar còmodament a veure les condicions en que presta el seu consentiment. I prestar-lo, o no, en funció d’aquestes condicions.

El consentiment és una de les bases de licitud de tractament més important i més àmpliament utilitzada de les que reconeix l’art. 6.1 RGPD. Hi ha d’altres com l’execució d’un contracte (per exemple, de serveis), per obligació legal (si ho demana un jutge) o l’interès legítim, vertader calaix de sastre per encabir permisos de tractament de lo més variat.

Els usuaris som cada dia més conscients de la importància de exercir el control sobre les nostres dades personals. Però, sabem realment el que acceptem quan prestem el consentiment? De veritat llegim la Política de Privacitat, les Condicions d’Ús o de Contractació? O, posats a demanar, llegim la Política de Cookies?

I el que és més important, a més de llegir, entenem el que diu? La comprenem? Som capaços d’anticipar les conseqüències de la nostra decisió? Estem manifestant una voluntat en base a una decisió racional i informada que manifestem de forma lliure i espontània? Perquè així ho exigeix el Reglament.

La qüestió no és senzilla de resoldre. Tot i que amb el RGPD les condicions del consentiment s’han endurit, la realitat és que al cap del dia hem de prestar el consentiment diverses vegades, des de comprar per internet fins a veure les notícies d’un diari, passant per infinitat de situacions quotidianes (per exemple, actualitzacions de apps que renoven les condicions) que ens esgoten i ens fan optar per marcar la casella del consentiment sense complir les condicions.

Això sense comptar en que a la xarxa trobem, encara, molts formulari que no tenen Política de Privacitat o que, si la tenen, no es clara, és llarga i farragosa amb la lletra molt petita i, en moltes ocasions, las finalitats del tractament no es corresponen amb la realitat o s’inclouen clàusules inacceptables per l’usuari.

Tots tenim clar que les nostres dades són molt valuoses per empreses que les monetitzen compartint-les o venent-les a intermediaris que creen perfils i fent servir tècniques de Big Data, Intel·ligència artificial i altres tecnologies punteres saben, cada dia més i millor, quins són els nostres hàbits, interessos i preferències.

Anem en compte a qui donem el nostre consentiment i fem el possible per llegir i entendre les polítiques de privacitat. És important.

Un altre dia explicarem com llegir i entendre un text legal de protecció de dades.

Mentrestant, cuideu-vos!

Revisió Texts legals web