Ricard Castellet

Per un grapat de dòlars …

per

Aquest és el títol d’una famosa pel·lícula de 1964, en la que el prolífic director de cine Sergio Leone dirigia a l’inefable Clint Eastwood en un spaghetti western que es va convertir en un clàssic del gènere. No us comentaré la cinta, només aprofito el títol per fer-vos la reflexió que molt sovint hi ha estalvis que es converteixen en un disgust.

Recentment, l’Agència Espanyola de Protecció de Dades (AEPD) va publicar la seva Memòria AEPD 2020. El primer titular de la presentació es que, durant el 2020, es van presentar un total de 10.324 reclamacions. Gairebé 50 diàries, en dia laborable. I podríem afegir-ne a prop d’un miler si hi afegim els casos transfronterers, els que actua per iniciativa pròpia i les fallides de seguretat traslladades a la inspecció.

Les reclamacions més freqüents tenen a veure amb serveis d’Internet, inclusió indeguda en fitxers de morosos, videovigilància, recepció de publicitat i reclamació de deutes. Per sectors, els més sancionats són les entitats financeres i creditores, Administracions Públiques i les empreses de telecomunicacions.

També s’han realitzat 29 intervencions amb caràcter d’urgència per la retirada de continguts sexuals o violents, difosos per Internet, associades al Canal prioritari, amb un percentatge d’èxit superior al 86%.

És important destacar el fet que, a pesar de la pandèmia, l’activitat de l’Agència s’ha mantingut, posant de manifest que la implantació del teletreball no ha disminuït la capacitat de treball de l’Organisme.

Us poden semblar que les reclamacions són moltes o poques. Al meu parer, són suficients per reflexionar sobre si val la pena que, “per un grapat d’euros”, ens posem en mans de professionals que ens ajudin a complir amb la llei.

Perquè sempre diem que el cost de l’adequació de l’empresa és un cost cert però que el cost de no adequar-se és imprevisible. El primer es pot imputar ordenadament en la comptabilitat de l’empresa i, el segon, ens pot fer una destrossa a l’economia i, el que és més important, a la nostra reputació. I aquesta costa molt de recuperar.

Adequar l’empresa a la normativa genera confiança entre empleats (són els primers que pateixen la desconfiança), clients (fem les coses ben fetes excepte complir amb la llei?), proveïdors, administracions (si volem, per exemple, licitar). Fem les coses ben fetes. Per un cost cert.

Cuideu-vos!

Una visita al veterinari que va costar 35.000€

per

De vegades, ens podem complicar molt la vida per deixar-nos portar per els impulsos en comptes de tenir un comportament racional i ajustat a dret. I a la vida no val tot i a Internet, tampoc. Així que fem les coses bé i ens estalviarem disgustos.

En una sentència destacable pel que fa a l’assetjament online, el titular del Jutjat de Primera Instància nº7 de Santander ha estimat la demanda presentada per una clínica veterinària contra un client que els va amenaçar amb que els “aixafaria” a les xarxes socials, va complir l’amenaça i va orquestrar, de manera intencionada, una campanya de descrèdit de la clínica.

La sentència entén que aquesta acció va més enllà del que es podria considerar una lícita critica a la perícia professional dels demandants. L’assumpte, per via penal, ja va acabar amb condemna com autor d’un delicte lleu de amenaces.

Ara se’l condemna "a que cessi en la intromissió il·legítima de el dret a l'honor dels demandants", a que "doni les instruccions precises i, si escau, l'autorització a Google a retirar les afirmacions amb continguts injuriosos, calumniosos i amenaçadors "proferides pel demandat, els seus familiars, amics i companys de treball a la pàgina web de la clínica, i al pagament d'una indemnització que ascendeix a 34.895,83 euros.

I els fets? Doncs com explica la sentència, una parella va portar el gos a la clínica a on li van fer un examen general, li van prendre la temperatura i van proposar fer més proves de diagnòstic. El mateix dia, el demandat va portar a l’animal a un altre clínica que va diagnosticar una infecció d’orina. El demandat va tornar a la primera clínica, va omplir el full de reclamacions i va demanar la devolució dels 55€ que li havien cobrat per la visita. Davant la negativa a la devolució, va proferir les amenaces. Dies després, va escriure una ressenya negativa  a la pàgina My Business de Google de la clínica. A partir d’aquí, van començar a aparèixer ressenyes negatives de la clínica per part de familiars i amics del demandat que, per descomptat, no tenien cap fonament.

Considera el jutge d’instància que aquesta acció està dirigida exclusivament a afectar negativament al prestigi professional públic de la clínica i els seus professionals, constituint una extralimitació del legítim exercici del dret a la llibertat d’expressió.

Manifestar una opinió o una crítica legal per els serveis rebuts és perfectament legítim. No ho és, però, fer servir les xarxes socials per finalitats espúries com pot ser la d’atacar directament el prestigi professional.

En definitiva, una visita al veterinari que va acabar molt malament per no tenir un comportament racional i ajustat  a dret. Condemna, indemnització, estrès per tots els implicats, ... un verdader despropòsit. Fem les coses bé que sempre és més fàcil i costa menys.

Cuideu-vos!

Compte si publiques fotos d’un tercer sense consentiment!

per

Si ens dediquem al màrqueting i a la comunicació hem de tenir especial cura amb la utilització i  publicació d’imatges de tercers. Al marge de vulnerar els drets d’imatge, ens podem trobar amb sancions importants per part de l’Agència Espanyola de Protecció de Dades (AEPD).

En efecte, l’Agència ha sancionat amb 9.000€ al responsable d’una web per publicar material fotogràfic i altres dades personals d’un usuari, sense el seu consentiment. A més, l’usuari va reclamar i no va obtenir resposta.

Segons l’AEPD,  i “de conformitat amb les evidències de que es disposa”, es considera que els fets són constitutius de dos infraccions:

  • Una primera infracció per vulneració de l’article 6 RGPD per el tractament sense consentiment i
  • Una segona, per vulneració de l’article 13 RGPD perquè la Política de Privacitat de la pàgina web mancava dels requisits exigits pel que fa al tractament de dades de caràcter personal

Ja hem parlat en diferents ocasions de la importància d’estar legitimats per tractar dades personals. El Reglament recull diverses bases de licitud com pot ser l’execució d’un contracte, una obligació legal, per interès públic, per protegir interessos vitals de l’usuari, per interès legítim del responsable i, naturalment, per el consentiment de l’interessat (veure posts sobre el tema).

Entenc que no cal insistir en la qüestió. Si no estem legitimats, no podem tractar dades personals. I punt.

Respecte a la segona qüestió, els texts legals web, també n’hem parlat (veure posts). Com responsables, tenim obligació de informar a l’afectat del tractament de les seves dades personals, tal com disposen els articles 13 i 14 RGPD i el 12 LOPDGDD, i posar a la seva disposició els mitjans per exercir, de forma accessible, el drets que li corresponen.

En conseqüència, l’AEPD imposa, per la primera infracció, una multa de 5.000€ i de 4.000€, per la segona. A més dels danys reputacionals que es poden patir, no és plat de bon gust rebre sancions econòmiques per no haver fet les coses ben fetes.

I un altre dia parlarem dels drets d’imatge personal. Recordem que el dret a la imatge és un dret fonamental recollit a la nostra Constitució. Tret de les excepcions que marca la llei, sempre hem de tenir el consentiment de la persona per la captació, reproducció o publicació.

Com sempre, cuideu-vos!

Imatge Pixabay

He llegit i accepto …

per

Així acaben (els que compleixen) els formularis web, just abans de prémer el botó d’Enviar.  La frase completa és “He llegit i accepto la Política de Privacitat” i inclou un casella per marcar (si no es marca, no es pot enviar el formulari) i un enllaç perquè l’usuari pugui navegar còmodament a veure les condicions en que presta el seu consentiment. I prestar-lo, o no, en funció d’aquestes condicions.

El consentiment és una de les bases de licitud de tractament més important i més àmpliament utilitzada de les que reconeix l’art. 6.1 RGPD. Hi ha d’altres com l’execució d’un contracte (per exemple, de serveis), per obligació legal (si ho demana un jutge) o l’interès legítim, vertader calaix de sastre per encabir permisos de tractament de lo més variat.

Els usuaris som cada dia més conscients de la importància de exercir el control sobre les nostres dades personals. Però, sabem realment el que acceptem quan prestem el consentiment? De veritat llegim la Política de Privacitat, les Condicions d’Ús o de Contractació? O, posats a demanar, llegim la Política de Cookies?

I el que és més important, a més de llegir, entenem el que diu? La comprenem? Som capaços d’anticipar les conseqüències de la nostra decisió? Estem manifestant una voluntat en base a una decisió racional i informada que manifestem de forma lliure i espontània? Perquè així ho exigeix el Reglament.

La qüestió no és senzilla de resoldre. Tot i que amb el RGPD les condicions del consentiment s’han endurit, la realitat és que al cap del dia hem de prestar el consentiment diverses vegades, des de comprar per internet fins a veure les notícies d’un diari, passant per infinitat de situacions quotidianes (per exemple, actualitzacions de apps que renoven les condicions) que ens esgoten i ens fan optar per marcar la casella del consentiment sense complir les condicions.

Això sense comptar en que a la xarxa trobem, encara, molts formulari que no tenen Política de Privacitat o que, si la tenen, no es clara, és llarga i farragosa amb la lletra molt petita i, en moltes ocasions, las finalitats del tractament no es corresponen amb la realitat o s’inclouen clàusules inacceptables per l’usuari.

Tots tenim clar que les nostres dades són molt valuoses per empreses que les monetitzen compartint-les o venent-les a intermediaris que creen perfils i fent servir tècniques de Big Data, Intel·ligència artificial i altres tecnologies punteres saben, cada dia més i millor, quins són els nostres hàbits, interessos i preferències.

Anem en compte a qui donem el nostre consentiment i fem el possible per llegir i entendre les polítiques de privacitat. És important.

Un altre dia explicarem com llegir i entendre un text legal de protecció de dades.

Mentrestant, cuideu-vos!

Sí, necessites un Avís legal a la teva web!

per

Són preguntes recurrents. Què és l’Avís legal? En necessito un per a la meva web? Això té a veure amb la Protecció de Dades? Vull aprofitar el post per aclarir els dubtes i explicar quina és la seva obligatorietat, el contingut mínim i la seva funció. Engeguem així una sèrie d’articles que cobriran els diferents aspectes que hem de tenir en compte perquè la nostra web sigui completament legal.

Què és l’Avís legal?

El concepte d’Avís legal es refereix a l’advertència legal que s’inclou en la majoria de webs i que recullen, d’una banda, las responsabilitat del propietari de la web i, de l’altre, els drets del visitant del lloc.

Perquè és obligatori disposar d’un Avís legal?

Perquè així ho diu la Llei 34/2002, d’11 de juliol, de Serveis de la Societat de la Informació y de Comerç Electrònic (LSSICE).

Quan és obligatori tenir un Avís legal?

Estan obligades a exhibir l’Avís legal totes les webs de caràcter corporatiu, és a dir, que pertanyin a una empresa o a un professional, que tinguin o pretenguin tenir activitat econòmica o que estiguin relacionades amb algun tipus d’activitat professional.

Entren dins d’aquests supòsits a) les webs o blogs corporatius que tenen com finalitat oferir, divulgar o promocionar algun tipus d’activitat professional; b) totes aquelles webs dedicades al comerç electrònic, botigues online, ecommerce que ofereixin productes o serveis y c) llocs web que incloguin algun tipus de publicitat.

Què ha d’incloure l’Avís legal?

  • Nom o denominació social, NIF/CIF i dades de contacte (domicili, correu, etc.)
  • Inscripció al Registre Mercantil, si l’empresa està registrada
  • Autorització administrativa si l’activitat ho precisa
  • Dades del Col·legi Professional si l’activitat està regulada
  • Termes d’ús de la web per regular drets i responsabilitats dels usuaris
  • Referència als drets de Propietat Intel·lectual, tant propis com de tercers
  • Responsabilitat i garanties del titular de la web
  • Data, versió i vigència de la informació i possibles canvis

On haig de posar l’Avís legal en la meva web?

S’ha de posar un enllaç al peu de totes les pàgines de la web. L’objectiu és que estigui sempre disponible per consultar. El contingut ha de ser només el propi Avís legal.

I si no complim?

 Doncs, com sempre, estarem exposats a sancions, hi afegirem el dany reputacional i no generarem confiança entre els nostres clients i usuaris. Tindrem, en conseqüència, menys negoci i més feble, sens dubte.

 

Cuideu-vos!

No perdem els papers!

per

Recentment, l’Agència Espanyola de Protecció de Dades (AEPD) ha sancionat a un advocat que va llençar documents amb dades personals de diversos clients al costat d’un contenidor d’escombraries. Entre els papers es trobaven escriptures, poders notarials, sentències d’òrgans judicials, fotocòpies de DNIs de clients, testaments i altres documents amb dades personals.

L’Agència considera que l’advocat ha infringit l’article 32.1 del Reglament General de Protecció de Dades (RGPD) que fa referència a la Seguretat del tractament i tipificada en l’article 83.4.a. Tot i això, l’Agència només imposa un simple amonestació perquè considera que la multa administrativa que podria correspondre per la infracció seria desproporcionada per el reclamat. Només cal recordar que la sanció establerta per el RGPD en aquest article pot arribar als 10.000.000€ o, en el cas d’empresa, una quantia equivalent al 2% del volum total de negoci anual global de l’exercici financer anterior, optant per la de major quantia. No és cap broma.

Segons l’AEPD, la responsabilitat del lletrat ve deriva de la fallida de seguretat en el tractament de les dades personal sota la seva responsabilitat. I això té molt a veure amb no haver implantat de forma efectiva les mesures de seguretat –legals, tècniques i  organitzatives– adequades per garantir el nivell de seguretat apropiat. Així es podria haver assegurat la confidencialitat de les dades en cas d’un incident com és el cas.

Aquest incident es podria haver evitat si el despatx hagués disposat d’una Política d’Eliminació de la documentació  i els protocols corresponents. Així, per a la destrucció de paper es pot fer, des de utilitzar una simple destructora amb les característiques adequades fins a la contractació del servei a una empresa especialitzada en la destrucció de documentació, homologada (Norma UNE EN-15713) que certifiqui el procés. Una mesura de seguretat senzilla, a l’abast de tothom que ens pot estalviar un disgust.

El Reglament no té un llistat de mesures a aplicar sinó que, en el marc de la responsabilitat proactiva del responsable, aquest haurà d’aplicar aquelles mesures que siguin proporcionades i adequades al risc assignat al tractament en qüestió. I aquestes mesures tenen que tenir en compte diversos factors com són els costos d’implementació, l’estat de la tècnica, al context, l’abast, les finalitats del tractament, entre altres.

En fi. Un advocat no pot tirar els seus papers a les escombraries. Tu tampoc!

Cuideu-vos!

Per una Internet segura

per

A finals de gener, va tenir lloc el Dia Internacional de la Protecció de Dades amb l'objectiu de promoure el coneixement entre els ciutadans sobre quins són els seus drets i responsabilitats en matèria de protecció de dades. Aquest dia està impulsat per la Comissió Europea, el Consell d'Europa i les autoritats de protecció de dades dels estats membres de la Unió Europea.

Els Dies Internacionals són un bon mecanisme per alertar i conscienciar als ciutadans de temes importants que ens afecten a tots. Coneixem dies per temes sanitaris, qüestions sobre els drets humans, el racisme, el feminisme i tantes altres causes nobles. Doncs bé, la Protecció de Dades té el seu dia, 28 de gener, i la Internet segura, també: 9 de febrer. De la primera en vam parlar fa uns dies (veure post) i de la segona en parlarem avui.

El Dia de Internet Segura (“Safer Internet Day”) és un esdeveniment que té el recolzament de la Comissió Europea i que té com objectiu promoure un ús segur i positiu de les tecnologies digitals, en particular, entre nens i joves. No tan sols es pretén la creació d’una Internet més segura, sinó millor, per convertir-la es un espai  on tots fem un ús responsable, respectuós, crític i creatiu de la tecnologia. I dirigit en especial a nens i joves, un col·lectiu alhora molt vulnerable i que resulta imprescindible formar-lo com a futur pilar de la societat.

Referent en aquesta matèria és INCIBE (Institut Nacional de Ciberseguretat) i el seu portal is4k, INTERNET SEGURA FOR KIDS. EL seus programes, ajudes i campanyes són imprescindibles perquè tots aprenguem a estar més segurs a Internet. INCIBE treballa per afermar la confiança digital, elevar la Ciberseguretat i la resiliència i contribuir al mercat digital de manera que s'impulsi l'ús segur de ciberespai a Espanya.

Coincident amb el Dia de Internet Segura, Microsoft ha publicat el seu informe anual que titula “Índex de Civisme Online” en el portal dedicat a promoure el civisme digital. El titular més cridaner del estudi diu que Espanya encapçala, a nivell mundial, els fraus, les estafes i enganys online. Per ser la nostra primera inclusió en el estudi, els resultats no són gaire esperançadors i tenen força marge de millora. Diu també l’estudi que el civisme a Internet ha empitjorat des del començament de la pandèmia i que un 34% assegura haver rebut contacte no desitjat a Internet i un 26% afirma haver sigut víctima de “sexting” (El sexting és una pràctica que consisteix en enviar missatges amb contingut eròtic a través de dispositius tecnològics de manera voluntària).

Convé conscienciar-nos sobre els riscs que comporta el mal ús de la tecnologia. Tot lo beneficiós que resulta en tants àmbits, imprescindibles a aquestes altures, se’ns pot tornar en contra per ignorància o excés de confiança. No deixem que passi.

Cuideu-vos!

Nou Codi de Conducta de Tractament de Dades en l’Activitat Publicitària sota el RGPD

per

A finals de l’any passat, l’AEPD va aprovar el primer Codi de Conducta sota el RGPD. Aquest Codi és el de Tractament de Dades en l’Activitat Publicitària. Probablement eclipsat per altres novetats com l’entrada en vigor del nou Codi de Conducta sobre l’Ús de Influencers en la Publicitat (“Inflluencer”: aquí tens els teu Codi), el sector no li ha prestat prou atenció. Així que, en les properes ratlles mirarem de fer un resum de les novetats i de repassar-ne els punts clau.

Diguem, d’entrada, que el contingut principal del Codi és l'establiment d'un sistema extrajudicial per tramitar reclamacions sobre protecció de dades i publicitat, àgil, eficaç i gratuït per als consumidors. L’elaboració dels Codi de Conducta està recollida en els articles 40 i 41 del RGPD. El RGPD estableix que les autoritats de control han de promoure l'elaboració de codis de conducta destinats a contribuir a la correcta aplicació del Reglament, tenint en compte les característiques específiques dels diferents sectors de tractament i les necessitats específiques de les microempreses i les petites i mitjanes empreses .

En la primera part, el Codi revisa els principis de tractament de dades que la indústria publicitària ha de complir, en especial fa referència a les mesures de protecció de dades des del disseny i per defecte i el principi de minimització. També recorda l’obligació de informar als interessats del tractament de les seves dades amb finalitats de màrqueting, que el consentiment s’ha de donar separada i inequívocament o que l’interès legítim exigeix una ponderació. També recorda la necessitat de consulta prèvia als sistemes d’exclusió publicitària si no hi ha consentiment exprés.

Potser un dels aspectes més rellevants del Codi és el nou sistema extrajudicial de resolució de reclamacions de protecció de dades i publicitat. El procediment que s'estableix permet que els usuaris que ho desitgin presentin reclamacions gratuïtament contra les empreses adherides al Codi quan entenguin infringits els seus drets de protecció de dades en el marc d'una activitat publicitària, com ara: la recepció de publicitat no desitjada, l'exercici de drets relacionats amb la publicitat (com el d'oposició), i el tractament de dades en promocions publicitàries o mitjançant cookies publicitàries, entre altres.

I per les empreses, ofereix un mecanisme de resolució de reclamacions especialitzat, àgil, de baix cost i eficaç, alternatiu a la intervenció administrativa. I es considera una mesura de responsabilitat proactiva i pot ser un atenuant en cas d’eventuals sancions.

A aquest Codi si poden adherir qualsevol de les entitats de la indústria publicitària. És una eina útil en matèria de Compliance que ajudarà a les empreses a millorar la seva reputació davant del consumidor, augmentant la seva confiança. I ajudarà als consumidors a mantenir la seva privacitat sota control.

Cuideu-vos!

28 de gener: Dia internacional de la Protecció de Dades

per

Al llarg de l’any es commemoren molts dies per les més diverses causes (el clima, els drets de diversos col·lectius desafavorits i tantes altres causes nobles). Doncs també hi ha una dia per commemorar la Protecció de Dades (Privacy en els països anglosaxons). I aquest dia és el 28 de gener.

Com en la resta de dies, es tracta de crear consciència entre col·lectius de manera que ens conscienciem tots de la importància que la privacitat té a les nostres vides. I les implicacions que pot suposar, cada cop més, que no hi prestem atenció. I, per evitar-ho, celebrem un cop l’any el Dia Internacional de la Protecció de Dades.

Alguns fets recents posen de manifest que les coses estan canviant. Per exemple, l’anul·lació del Privacy Shield per part del Tribunal de Justícia Europeu o les noves directives sobre cookies que vam conèixer aquest estiu. Ens fem ressò també de les recents multes de l’AEPD. Tant les de import molt elevat, a BBVA i Caixabank, com altres més modestes però que castiguen conductes molt habituals en el dia a dia. El cas que hem viscut recentment amb l’eina “RadarCovid” que el govern va posar a disposició de la ciutadania per lluitar contra la pandèmia sense publicar l’avaluació d’impacte. O la recent decisió de Whatsapp d’ajornar l’entrada en vigor de les noves condicions d’ús de l’aplicació.

I aquesta última ha sigut especialment polèmica, perquè obliga a l’usuari a acceptar-les i, per tant, a compartir dades amb Facebook. De fet, ha generat una sortida important d’usuaris cap a altres plataformes de missatgeria com Telegram o Signal. El que posa de manifest aquesta “rebel·lió” és que els usuaris són cada dia més conscients dels seus drets i que no estan disposat a deixar-se avassallar per les grans tecnològiques. De fet, tampoc per els grans bancs o grans empreses, ni siquiera per modestos despatxos d’advocats com hem vist més amunt. Per ningú.

Lluny queden els dies en que els usuaris llegien les condicions i acceptaven sense preguntar, empesos per la il·lusió de fer servir l’aplicació quan abans. Era un temps en el qual es donaven situacions inversemblants i absurdes amb les condicions. Ara, al menys, hi ha gent que sí les llegeix i ens alerta a la resta.

En el bon camí, es va presentar recentment el Pacte Digital per la Protecció de les Persones, un gran pacte per la convivència ciutadana en l’àmbit digital, en el que es posa en valor la privacitat com un actiu per les organitzacions públiques i privades. Un gran pas endavant.

Feliç dia. Cuideu-vos.

Imatge Pixabay

Revisió Texts legals web