Ricard Castellet

Multes AEPD: Sanció per 8 correus sense còpia oculta

per

A principis de desembre, l’Agència Espanyola de Protecció de Dades publicava la resolució per la que s’imposava a un despatx d’advocats una sanció de 10.000 €. El motiu? Haver enviat un correu electrònic a vuit destinataris, informant sobre el bloqueig de les seves comptes, sense utilitzar la copia oculta.

EL RGPD estableix en l’article 5 els principis que han de regir el tractament  de les dades personals i menciona entre ells el de “integritat i confidencialitat”. L’article exigeix les dades “seran tractades de tal  manera que es garanteixi una seguretat adequada”.

Alhora, l’article 32 del RGPD “Seguretat del tractament”, estableix una sèrie de mesures tècniques i organitzatives que garanteixen un nivell adequat al risc que s’ha definit. Entre elles està la capacitat de garantir la confidencialitat de les dades personals.

Entén l’Agència que, de la documentació revisada, hi havia indicis suficients de que el despatx d’advocats havia vulnerat l’article 32 RGPD perquè s’havia produït una bretxa de seguretat dels seus sistemes. Per aquesta infracció, l’AEPD considera que la sanció que correspondria seria d’advertència, instant al denunciat a que corregeixi el efectes de la infracció comesa i s’adeqüi a les exigències de l’article 32.

En canvi, per la infracció de l’article 5.1 f) del RGPD la sanció que correspon és una multa per import de 10.000 €. I el que és més important, al ser una infracció de l’article 5 RGPD, la sanció podria arribar fins als 20.000.000 € o el 4% del volum de negoci total anual global de l’exercici financer anterior, optant per la de major quantia. Una barbaritat!

En efecte, un disbarat de sanció però que posa de manifest la importància que la protecció de dades està adquirint cada dia més. Convindreu amb mi que 10.000 € de multa per 8 correus és una sanció molt important.

I no és una sanció a una gran empresa sinó a un modest despatx d’advocats. És el que es coneix com "avís a navegants”. La protecció de dades requereix que tots fem un esforç per entendre els seus objectius finals i posem les mesures necessàries per complir. Les regles del joc estan per seguir-les i això no és una excepció.

Cuideu-vos!

Multes AEPD: no hi ha dos sense tres?

per

Primer de tot, permeteu-me la llicència de la traducció del títol de l’espanyol. No estic segur que sigui del tot correcte però és que encaixa perfectament amb la situació que estem vivint. Abans d’ahir una altre multa rècord de l’AEPD. Aquest cop a Caixabank per un import de 6 milions d’euros, superant els 5 de BBVA de fa uns dies.

 A la sanció del BBVA ens hi vam referir la setmana passada. I tot el que vam dir llavors és perfectament aplicable al cas present. A Caixabank, com van fer amb BBVA, li han imposat dos sancions; una lleu, de 2 milions d’euros i una de greu, per un import de 4 milions d’euros.

La lleu correspon a la vulneració dels articles 13 i 14 del RGPD i la greu per saltar-se l’article 6 del Reglament. Recordem que l’article 13 fa referència a la informació que s’haurà de facilitar quan les dades personals s’obtinguin de l’interessat. I que el 6 parla de la Licitud del tractament. Segons l’AEPD, Caixabank incompleix els requisits establerts per a la prestació d’un consentiment vàlid, en tant que manifestació de voluntat específica, inequívoca i informada tal com demana el RGPD. Fins i tot es menciona una cessió il·lícita de dades personals a empreses del Grup Caixabank.

També, com en el cas del BBVA, l’AEPD commina a Caixabank a que, en el termini de 6 mesos, adeqüi a la normativa les operacions de tractament que realitza, la informació que ofereix als seus clients i els procediments que fa servir per recollir el consentiment.

Dit això,  algunes consideracions sobre la marxa. D’aquella multa a Facebook de 1,2 milions d’euros el 2017 hem passat a les actuals. Sembla que hi ha un salt quantitatiu molt important. I sembla que a l’Agència no li tremola el pols, que ha perdut la por. Encara estem lluny de les multes de desenes de milions però estem en camí.

I  el que em sembla molt rellevant és que l’AEPD obligui expressament a les empreses a esmenar els procediments per adequar-los a la normativa. Això posa de manifest la voluntat de que les coses es facin ben fetes. I, a ben segur, que aquestes modificacions no seran gens senzilles donada la mida de les entitats afectades.

Hi haurà una tercera sanció en aquesta línia? Podria ser un altre banc?

La resolució, de 177 pàgines, caldrà llegir-la amb atenció. Però sens dubte, això és un clar avís a navegants. Haurem d’estar atents.

AEPD: Sanció rècord i rècord de sancions

per

Encara que sembli que fa molt temps, va ser poc abans de Festes quan l’AEPD va imposar la sanció més alta de la seva història: 5 milions d’euros de multa al BBVA per vulnerar 3 articles del RGPD. I a això s’ha d’afegir que Espanya és líder de la Unió Europea en sancions a PIMES per incompliments del RGPD.

En realitat han estat dos infraccions. La primera, qualificada de molt greu, de 3 milions d’euros  per vulnerar l’article 6 del Reglament General de Protecció de Dades (RGPD), quant a la fórmula per obtenir el consentiment dels clients. La segona, de caràcter lleu, per les dades obtingudes de l’interessat que suposen una vulneració dels articles 13 i 14 de l’esmentat Reglament.

Al mateix temps, la resolució imposa una sèrie de mesures que obliga al BBVA a canviar, en un termini màxim de sis mesos, el seu sistema de gestió de protecció de dades en relació al deure de informació i l’obtenció del consentiment.

Sense voler entrar en més detall de la resolució (podeu llegir-la íntegre aquí), si vull aprofitar per fer diverses consideracions.

Per començar, el fet més cridaner que suposa l’elevat import de les sancions. Sembla que l’AEPD, en línia amb altres autoritats de control europees ha decidit imposar sancions molt elevades. Algú pot dir que per una entitat com el BBVA es tracta d’una quantitat irrisòria. Però no hem d’oblidar que les sancions podem arribar fins a 20.000.000 d’euros o el 4% de la facturació anual consolidada del grup. I sembla que s’ha engegat un camí més estricte.

D’altre banda, el dany reputacional per l’entitat pot ser molt elevat. El ressò mediàtic que ha tingut la noticia no ha passat, estic segur, desapercebut per la societat, en general, i per els grups d’interès del banc (clients, accionistes, etc.), en particular.

I tot va començar amb un SMS publicitari enviat a un client que estava donat d’alta en Llista Robinson des de feia temps. Fixa’t tu qui ho havia de dir.

I per completar el panorama sancionador, avançar-vos que Espanya lidera la UE en sancions a PIMES. El número encara és modest però l'increment de multes del 2019 al 2020 ha estat del 252%. Però d’això en parlarem en un proper post en el que aportarem dades d’un estudi propi.

Convé, en qualsevol cas, que les empreses extremin les seves precaucions.

Cuideu-vos!

Texts webs, legals o il·legals?

per

Tothom parla, i aquests dies més que mai, dels texts legals de la web. Entre el rebombori de les cookies i la normativa aplicable al comerç online, imprescindible en aquestes dates, hi ha, per una banda, una certa confusió en saber quins texts es necessiten i, per l’altre, hi ha diferents pràctiques esteses al sector que comporten seriosos riscos. I aquests riscos són per als empresaris que encarreguen la pàgina web però també per a alguns dissenyadors web, per als quals, tot sovint veiem que la privacitat o les condicions de compra no són una preocupació prioritària perquè no és la seva responsabilitat.

 Els texts legals web estan subjectes a normatives diferents. A més dels relatius a la Protecció de Dades derivats del Reglament General de Protecció de Dades (RGPD) i la LOPD (com la Política de Privacitat), dels quals n’hem parlat en diferents ocasions (A part dels texts legals a la web, que més haig de fer?  o Em puc refiar de la teva web? ), estan els que són conseqüència de la LSSICE (com l’Avís legal o la Política de Cookies). I naturalment els que es refereixen a les Condicions de compra quan el site disposa d’un e-commerce (Llei d’ordenació del Comerç minorista i RDL de la Llei General per la Defensa dels Consumidors i Usuaris).  I d’això últim en parlem avui.

Ara vénen les Festes de Nadal en les que les compres online es disparen. Totes les compres estan subjectes a unes condiciones de contractació específiques per cada cas que necessàriament han d’estar exposades en el site web, a disposició dels usuaris. En conseqüència, totes les compres, com a compravenda que són, estan subjectes a aquests contractes vinculants entre les parts.  I que afecten a actuacions que poden tenir conseqüències greus com no avisar al consumidor del dret desistiment[1] que l’assisteix per a retornar el producte comprat en els 14 dies següents a la compra i amb quines condicions s’han de fer les devolucions. I si l’empresari no ha complert amb el seu deure de informació i documentació, aquest període serà d’un any i 14 dies. No és cap broma.

Per tant, l’empresari té que assessorar-se degudament amb professionals que garanteixin el compliment de les obligacions legals en el món de Internet de la mateixa manera que ho fan en el món físic. Perquè si l’empresari no ho fa, el dissenyador web no hi presta atenció (al cap i a la fi no és la seva responsabilitat) i, per arrodonir-ho, l’usuari no és llegeix els texts legals, estem davant d’una situació de inseguretat jurídica extrema que, més aviat que tard, tindrà conseqüències per el tràfic web, en especial per el comerç electrònic.

Fem, entre tots els professionals, que tenir texts legals a la nostra web sigui la normalitat. I, com usuaris, no signem contractes sense llegir i entendre les conseqüències.

[1] Reial Decret Legislatiu 1/2007, de 16 de novembre, pel qual s'aprova el text refós de la Llei General per a la Defensa dels Consumidors i Usuaris i altres lleis complementàries.

Pandèmia, Ciberseguretat i Protecció de dades

per

La pandèmia ha accelerat molts processos digitals, tant a nivell particular com professional i empresarial. Teletreball, videoconferències, núvol, transformació digital, etc. ja eren tendències abans del COVID però ara s’han fet gairebé imprescindibles. I en el nou escenari, la Ciberseguretat ha saltat a la primera plana.

Noves maneres de treballar i fer negocis s’han tingut que adaptar i fer un salt qualitatiu en l’ús de les tecnologies per poder sobreviure. A més, he estat testimonis d’un fenomen inaudit com és que hem pogut fer un experiment sociològic a nivell global que era impensable fa un any. Si al gener li dic a un client que, en comptes de venir al despatx, farem una videoconferència, el més probable és que m’hagués quedat sense client. I ara n’hem aprés tots, fins i tot la gent gran, que la tecnologia ens obre un ventall enorme de possibilitats i que res tornarà a ser igual. I per millor.

Però, es clar, tot anvers té un revers. I un exemple, no l’únic, és el de la Ciberseguretat. Segons l’enquesta anual Digital Trust Survey 2021 de PwC, la pandèmia ha obligat a les empreses a donar un salt en les tecnologies digitals per, en molts casos, canviar o reinventar els seus models de negoci. I això  està  provocant un augment de les bretxes de seguretat que es troben en determinats escenaris (per exemple, en el teletreball) més exposats que mai als ciberatacs. La falta de mitjans, de preparació i de cultura digital, entre altres, situen a les empreses en un escenari molt delicat, front el qual han de fer inversions en Ciberseguretat i minimitzar riscos.

Perquè les conseqüències de patir un ciberatac poden ser devastadores. No poder accedir a la informació per un atac de ransomware o que les dades de les que som custodis (per exemple, les dades personals de les quals som responsables) es vegin exposades tindrà conseqüències en termes econòmics i, a ben segur, en termes de reputació amb un cost incalculable. L’empresa, fins i tot, pot incorre en responsabilitat penal, derivada del delicte de danys informàtics (art. 264 Codi Penal) i del de revelació de secrets (art. 197 i següents CP), sense comptar la responsabilitat civil subsidiària  de la persona jurídica que recull l’article 120.4 CP.

En resum, passada la necessària rauxa inicial en la que les empreses estaven comprensiblement lluitant per la seva supervivència, cal establir les bases de desenvolupament del negoci fent les corresponents inversions en infraestructures tecnològiques, en compliment de les diferents normatives i, sobretot, en cultura digital en l‘entorn de les persones. Només així ens garantirem el futur.

Cuideu-vos!

No, les caselles premarcades no són consentiment vàlid

per

Les caselles premarcades no es poden considerar una forma vàlida de consentiment. El consentiment requereix una acció positiva de l’usuari per tenir validesa. I estem veient que moltes empreses han adaptat la seva política de cookies fent servir aquesta mala praxis.

Des de l’entrada en vigor del RGPD, el consentiment tàcit va ser una de les formes que van quedar invalidades. I aquí entren també les famoses caselles premarcades que ara tornen a aparèixer amb les renovades polítiques de cookies que estem veient aquests dies.

Tot això ve perquè, a més de constatar la situació sobre el terreny, el Tribunal de Justícia de la Unió Europea (TJUE) en una sentencia ha imposat una multa a l’empresa Orange Romania per haver celebrat contractes de prestació de serveis amb una clàusula de consentiment en que la casella de consentiment havia estat marcada per el responsable del tractament de forma prèvia a la firma del contracte. La sentencia recorda que el consentiment de l’interessat ha de ser lliure, específic, informat i inequívoc. No es considera vàlid el silenci, les caselles premarcades o la inacció.

I tot el que diu la sentència també és vàlid per a les cookies. Des del passat 31 d’octubre l’opció de “Seguir navegant” no està permesa i cal oferir a l’usuari la possibilitat de configurar la gestió de les cookies. I aquí està el problema perquè, en més casos dels desitjables, les caselles ja estan marcades. D’aquesta manera, l’usuari té que desmarcar-les per a que el servidor no instal·li cookies no desitjades. Però si no va a la configuració, al prémer el botó “Acceptar” estarà donant el consentiment sense saber-ho i s’instal·laran totes les cookies. Les úniques cookies que es poden instal·lar sense consentiment de l’usuari són les de caràcter tècnic, es a dir, les necessàries per establir la comunicació entre el servidor i el navegador client. Tota la resta, s’han d’instal·lar després del pertinent consentiment, no abans com succeeix amb més freqüència de la desitjada.

Imatge Pixabay

Em puc refiar de la teva web?

per

La pàgina web de l’empresa és el nostre aparador, com si d’una botiga es tractés. És la primera impressió que se’n porta el nostre client potencial. I com deia Oscar Wilde, “Mai hi ha una segona oportunitat per causar una primera bona impressió”. I la base per causar una bona impressió és que la web sigui segura. Després ja podrem desenvolupar els continguts i adaptar-la estèticament.

Una web insegura és la pitjor impressió inicial que es pot emportar un visitant. Transmet una sensació entre la deixadesa i la negligència. I, a més, pot ser objecte de sanció, com és el cas d’aquesta empresa a la que l’AEPD ha imposat una multa de 3.000€ per vulnerar tant el Reglament (RGPD[1]) com la Llei de Serveis de la Societat de la Informació (LSSICE[2]). I no estem parlant d’una multinacional sinó d’una SL com hi ha tantes en el mercat.

Com saber si la web és insegura?

Lo primer és comprovar si la web té instal·lat el certificat SSL que garanteixi el xifrat entre el navegador i la pàgina. Hem d’assegurar-nos que el protocol de la pàgina comença per https:// o mostra un cadenat. Fent clic en el cadenat veurem si el certificat és vàlid i altres detalls. Altres qüestions són disposar d’un hosting que mantingui la web actualitzada, fer servir formularis de contacte en comptes de correus electrònics i altres que seran objecte d’un proper post.

Perquè, a més de la part tècnica, ens hem d’ocupar de la part legal. I això passa per posar a disposició de l’usuari, com a mínim, els següents texts legals:

  • Avís legal
  • Banner de cookies
  • Política de cookies
  • Política de privacitat
  • Condicions de contractació (si tenim e-commerce)
  • Formulari de contacte (consentiment positiu)

Tots ells resultat de l’adequació de l’empresa al RGPD i la LSSICE. És a dir, no val posar només els texts sense adequar o, el que és pitjor, copiar els texts d’una altre pàgina web. I cal prestar atenció, ara mateix, a les cookies, tema del que ja hem parlat.

Tenir una web segura i adequada en matèria de protecció de dades ens permetrà evitar sancions i transmetre confiança al visitant. La resta, contingut i estètica, ja són figues d'un altre paner.

[1] Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d’abril de 2016 (RGPD)
[2] Llei 34/2002, d’11 de juliol de Serveis de la Societat de la Informació i de Comerç Electrònic (LSSICE)
Imatge Pixabay

“Segueixes navegant” amb les cookies?

per

El passat 31/10/2020 es va acabar el termini que la Agència Espanyola de Protecció de Dades (AEPD) havia donat per adaptar-se a les noves Directrius del Comitè Europeu de Protecció de Dades que afectaven a la regulació que, fins el moment, existia sobre les cookies.

Concretament, les directrius giren en torn a dos qüestions principals:

  • La validesa de l’opció “Seguir navegant” com forma de prestar el consentiment per part dels usuaris.
  • Sobre la possibilitat de limitar l’accés a determinats serveis o continguts només als usuaris que acceptin l’ús de cookies. El que es coneix a la indústria com “mur de cookies”.

D’aquesta qüestió ja ens hem ocupat anteriorment (Cookies again ... i Cookies s’ha acabat el temps). L’AEPD va publicar el juliol la “Guia sobre l’ús de les cookies” que ofereix orientacions més que obligacions. Les obligacions, que sí imposa la normativa, són el principi de transparència en la informació i la lliure prestació del consentiment amb una clara afirmació positiva. Per tant, l’opció de “seguir navegant” i els “murs de cookies” ja no són vàlides des del passat dia 31.

De totes formes, la qüestió no és pacífica. El passat 1 d’octubre, l’autoritat francesa de protecció de dades (CNIL) va publicar unes directrius que possibilita instal·lar cookies sense demanar el consentiment sempre que es compleixin determinats requisits.

D’altre banda, l’interès legítim que s’està fent servir a Espanya per molts avisos de cookies és una pràctica que, ja el passat setembre, el Comitè Europeu de Protecció de Dades va dir que no podia fer-se servir com fonament jurídic apropiat per a la instal·lació de cookies.

Mentrestant, la nostra recomanació és la d’adaptar-se per complir amb les obligacions certes que tenim en aquest moment: seguir navegant i els murs de cookies no són una opció. I hem d’actuar sota el principi de transparència de la informació (explicar a l’usuari quines cookies volem instal·lar i perquè les volem fer servir)  i el de lliure prestació del consentiment (fer servir únicament cookies tècniques i permetre a l’usuari fer una clara afirmació positiva respecte a la resta).

Així, a més de complir, transmetrem confiança als nostres usuaris. El que, al final, és, junt a evitar sancions, el que més ens interessa.

Nota: Tot això que hem dit és vàlid també per a les apps que es fan servir en tablets i mòbils.

Imatge Pixabay

L’AEPD publica els resultats del seu pla d’auditoria sobre la contractació de serveis a distància en els sectors de telecomunicacions i energia

per

La Agencia Española de Protección de Datos (AEPD) ha publicado un ‘Plan de inspección de oficio sobre contratación a distancia en operadores de telecomunicaciones y comercializadores de energía’ en el que analiza los tratamientos de datos en estos sectores y su adecuación a la normativa de protección de datos desde la perspectiva de la acreditación de la identidad del contratante y de los servicios contratados. 

Llegir  més

Revisió Texts legals web