L'Agència Espanyola de Protecció de Dades (AEPD) ha publicat la Guia de Protecció de Dades per defecte (PDpD), que ofereix una visió pràctica per ajudar a aplicar aquest principi als tractaments de dades seguint el que estableix el Reglament General de Protecció de dades (RGPD) i en les directrius adoptades pel Comitè Europeu de Protecció de dades.
Ricard Castellet
Cookies: s’ha acabat el temps!
Com dèiem el passat juliol (veure post), l ’Agència Espanyola de Protecció de Dades (AEPD), va donar un termini per implementar els nous criteris pel que fa a les cookies (petites informacions que ens envien els llocs web per, entre altres, donar-nos servei i rastrejar la nostra activitat a Internet). Aquest termini s’acaba demà 31/10/2020).
Com és natural, aquest seguiment que permeten les cookies té moltes implicacions en matèria de protecció de dades. A tots ens ha passat anar a veure unes sabates a un botiga online i, a partir d’aquell moment, els anuncis de sabates ens perseguiran per tota la web, vagis on vagis. I aquesta és una de les funcions més innòcues de les cookies. Estem immersos, cada dia més, en una economia de les dades. I nosaltres som això: dades. Dades de comportament, de preferències, d’hàbits, etc. I quan naveguem anem deixant un rastre que és una mina per les empreses que tracten dades i, en general, per totes que les aprofiten. Google o Facebook són els paradigmes més coneguts però hi ha milers d’altres.
Estan així les coses, el Comitè Europeu de Protecció de Dades (CEPD) el maig passat va modificar les Directrius sobre la prestació del consentiment per part de l’usuari en matèria de cookies. Les noves directrius es basen en la interpretació dels principis de transparència en la informació i la lliure prestació del consentiment del usuari.
En aquest sentit, les modificacions principals van ser:
- És necessària una clara afirmació afirmativa per part de l’usuari. L’opció “seguir navegant” ja no és vàlida. No es podrà activar cap cookie (excepte les tècniques) si no hi ha acceptació expressa.
- No es podran fer servir els “murs de cookies” que condicionen l’accés de l’usuari a l’acceptació de cookies, tret que se l’informi i ofereixi una alternativa.
- L’usuari ha de poder acceptar o no les cookies, de manera senzilla i de forma granular. Per exemple, agrupades per finalitat (analítiques, publicitàries, etc.)
- Si s’inclouen cookies de tercers, cal detallar com s’oferirà la informació, l’obtenció del consentiment i els mitjans per revocar-lo.
I per acabar, dos coses: els titulars de les pàgines web que no s’hagin adaptat a les noves exigències s’exposen a ser sancionades amb multes fins a 30.000 € per incompliment lleu de la Llei 34/2002, d’11 de juliol, de Serveis de la Societat de la Informació i de Comerç Electrònic (LSSICE).
I, dos, sense perjudici que, en la mesura que la instal·lació de cookies afecti al tractament de dades personals dels usuaris, el RGPD contempla sancions que poden ser força altes per les infraccions més greus.
“Influencer”: aquí tens el teu Codi!
El proper 1 de gener de 2021 entrarà en vigor el Codi de Conducta sobre l’Ús de Influencers en la Publicitat, recollint un conjunt de regles que vincularan als anunciants adherits a AEA (Associació Espanyola d’Anunciants), a AUTOCONTROL, així com a qualsevol altre anunciant del sector i a Influencers que voluntàriament s’adhereixin al mateix.
Els influencers són , qui ho pot negar, un actor de creixent importància en el sector de la difusió publicitària en la, cada cop més tecnològica i comunicada, societat actual. I, com sigui que la regulació va sempre per darrera de les possibilitats que ens ofereix la tecnologia –internet sobretot–, la publicació del Codi és una bona noticia per al sector i per a tota la societat.
Fins ara, la línia entre la publicitat legal i la publicitat il·lícita era molt fina i sovint es traspassava, fins i tot per desconeixement, provocant una inseguretat jurídica en el sector i una conducta inapropiada envers els consumidors. El Codi ve a perfilar l’ús dels Influencers en la publicitat, introduint novetats interessants a l'hora de fer servir persones influents a les xarxes socials per promocionar tot tipus de productes i serveis. Tot amb l’objectiu d’acabar amb pràctiques prohibides per la nostra legislació com la publicitat encoberta.
L’objectiu del Codi és que els continguts digitals o mencions realitzades per els Influencers que tinguin naturalesa publicitària siguin clarament identificables per els usuaris que els segueixen. Així es recomana[i] que les mencions o els continguts publicitaris divulgats siguin:
- Explícits i clars, fent servir indicacions com “Publicitat”, “Patrocinat per”, Regal de (marca), ...
- També quan es comparteix, la indicació s’ha de mantenir o afegir-se quan es comparteix o “reposteja” el contingut a altres plataformes.
- Adequades al medi i al missatge, per escrit o verbal segons les circumstàncies
- Visibles, directament visible, sense necessitat d’accions per part del usuari. Preferiblement al inici del missatge, de forma que es percebin clarament.
Lo important és que els seguidors han de saber que el missatge que reben és publicitat.
I les empreses i els Influencers disposen de poc més de dos mesos per adaptar-se a la nova regulació. A partir de l’any que ve, veurem el grau de compliment que assolim en la reducció de la publicitat encoberta en les xarxes i altres mitjans digitals.
[i] Aquí podeu trobar la infografia publicada al respecte.
Imatge freepik
RGPD: Més de 7.000 milions d’euros en multes des que va entrar en vigor el 2018
Des que fos d'obligat compliment al maig de 2018, el Reglament General de Protecció de Dades (RGPD o GDPR, per les sigles en anglès) les sancions imposades per no complir amb aquesta normativa sumen més de 7.000 milions d'euros a tot Europa.
Health Data Hub de França es traslladarà a la infraestructura de núvol europea per evitar transferències de dades UE-EE. UU.
La Comissió Nacional d'Informàtica i Llibertats (CNIL) ha emès algunes recomanacions per als serveis francesos que tracten dades de salut. Aquests serveis han d'evitar l'ús d'empreses d'allotjament en el núvol que estiguin ubicades als Estats Units, com Microsoft Azure, Amazon Web Services i Google Cloud.
Teletreball i el respecte als drets a la intimitat i la privacitat
El passat dimarts 13 va entrar en vigor la nova Llei del Teletreball que regula el treball a distancia. La norma vol donar forma jurídica a les relacions laborals en el marc del teletreball, una realitat que cada dia s’imposa més. I no sols per la pandèmia, accelerador de la transformació digital com cap altre, sinó perquè ambdues parts –treballador i empresa– hi han trobat avantatges que en molts casos superen a les desavantatges.
I, com és natural, situacions jurídiques que coneixíem del treball presencial, continuen estan presents a la nova normativa. Així com parlàvem fa poc de la desconnexió digital (arran d’una multa de l’AEPD), ara cal parlar una altre vegada dels drets del treballador –sobretot intimitat i privacitat– i també de la potestat discrecional que té l’empresari, tot complint la normativa, en l’àmbit del teletreball.
En el context del teletreball tot és més complex per diferents raons: per la novetat (vull dir, inexperiència), l’ús intensiu de la tecnologia, la falta de mitjans i de cultura de teletreball, el respecte als drets dels uns i dels altres, la supervisió de l’empresari i altres aspectes que tots hem patit aquests darrers mesos (com, per exemple, fer una videoconferència des del saló de casa amb els nens corrent amunt i avall).
El teletreball ha arribat per quedar-se. I la normativa, també. El futur es planteja amb soluciones mixtes –presencial i a distancia, en proporcions variables segons situacions– i la normativa ha de ser prou flexible per proporcionar possibilitats abans que retallar-ne. I si volem ser competitius, entre tots hem de fer-ho possible.
I en aquest context, la Llei faculta a les empreses (article 22) a “adoptar les mesures que estimin més oportunes de vigilància i control per verificar el compliment per la persona treballadora de les seves obligacions i deures laborals, incloent-hi la utilització de mitjans telemàtics”. I en l’article 17, Dret a la intimitat i a la protecció de dades, diu “La utilització dels mitjans telemàtics i el control de la prestació laboral mitjançant dispositius automàtics garantirà adequadament el dret a la intimitat i a la protecció de dades”.
Exposades les condicions, ara és necessari aterrar les qüestions jurídiques plantejades. Per això haurem de respondre a múltiples preguntes:
- Quins programes i dispositius pot fer servir l’empresari per controlar els treballadors?
- L’empresa ha de proporcionar els mitjans informàtics i de comunicacions al treballador?
- Com es fa efectiu el dret a la desconnexió digital (a través del Registre de jornada?)?
- Pot l’empresari obligar al treballador a instal·lar determinats programes en el seu portàtil?
- I a fer servir la seva connexió wifi? I el mòbil?
La Llei imposa a l’empresari l’obligació d’informar als treballadors dels protocols d’ús dels dispositius electrònics i les vies per les quals las tasques poden ser monitoritzades. I tot això amb dos límits: la intimitat i la protecció de dades del treballador, tot observant els principis de “idoneïtat, necessitat i proporcionalitat”.
Com podem veure, ens queda un llar camí per endavant. I l’hem de recórrer ràpid i bé. No hi ha una altre.
Així funciona la desconnexió digital: fins a 6.250€ de multa!
Segons recull el diari Cinco Días, l’enviament d’emails fora de la jornada de treball pot comportar multes de fins a 6.250€. Des de la Inspecció de Treball veuen els correus sancionables si l’empresa no aclareix que s’han de respondre en horari laboral.
Primer de tot, fem memòria de què és la Desconnexió Digital. El dret a la desconnexió digital fora de l'horari de treball es conceptua com la limitació a l'ús de les tecnologies de la comunicació per garantir el temps de descans i vacances dels treballadors. I aquest Dret ve recollit en el Títol X de la Llei Orgànica de Protecció de Dades i Garantia dels drets digitals (LOPDGDD).
Durant la pandèmia hi ha hagut un considerable augment del teletreball. I ho hem fet sense estar preparats tècnicament, ni culturalment, ni, per suposat, laboralment. Amb videoconferències a totes hores (sí, aquelles amb camisa i pijama), la bústia plena fins dalt de correus amb infinitat d’annexes i tots preguntant-nos com omplir o signar un pdf (i buscant a corre cuita una signatura digital).
I tot això fent més hores que un rellotge. La falta de preparació i de mitjans, un sumatori de ineficiències elevat al infinit, es compensava en temps de dedicació laboral. Horaris extensos, caps de setmana, festes, sacrificant el descans, la família, ... Lluny queda el temps en que el divendres la migdia tancaves el despatx fins dilluns. Ara el despatx i moltes feines (en especial en el sector serveis) estan obertes 24/7.
Per què, qui no mira el correu fora d’hores de feina? O ens estimem més arribar dilluns i trobar-nos la safata d’entrada plena fins dalt amb temes que podíem haver avançat durant el cap de setmana?
Desconnexió digital per a tothom o no? La desconnexió digital és, al meu parer, imprescindible per a tothom. I les empreses faran bé de complir la norma. Però, més enllà del compliment, el que necessitem és aprendre a fer servir les diferents eines de comunicació i informació per sobreviure en la frenètica societat d’avui. Entre tots hem de posar límits.
Mentrestant, recordem que si volem enviar un correu a un treballador, podem fer-ho en qualsevol moment però, això sí, complint amb la normativa que, en aquest cas, exigeix indicar clarament que s’ha de respondre en horari laboral. I això val per trucades, whatsapp i altres eines de comunicació. I entendre que, si es divendres tarda, no podem demanar un informe per dilluns a primera hora. Tan simple com això.
Imatge Pixabay
Ciberdelinqüència i Protecció de Dades
L’augment imparable de la ciberdelinqüència es un fet al nostre país i a tot arreu. Segons un Informe de Cibercriminalitat del Ministeri de l’Interior de 2019, els ciberdelictes ja representen el 10% de les infraccions penals conegudes. I els fraus a Internet són el segon delicte més comú per darrere dels furts.
I aquest fet no ha fet més que empitjorar en temps de pandèmia. El teletreball a corre cuita, sense mitjans i sense preparació per part de les empreses i treballadors ha sigut un camp abonat per tota mena de fraus, estafes i, el que més ens importa ara i aquí, els ciberatacs a les empreses.
Check Point, proveïdor especialitzat en Ciberseguretat a nivell mundial, en el seu Informe “Cyber Attack Trends: 2020 Mid-Year Report”, mostra com els cibercriminals s’han aprofitat del Covid-19 per llençar campanyes contra les empreses de tot el món i tots els sectors, incloent-hi governs, infraestructures crítiques, institucions sanitàries, proveïdors de servei, usuaris finals i altres. Les dades assenyalen que les empreses espanyoles han patit més de 450 ciberatacs setmanals de mitjana. I les xifres no paren d’augmentar. Per part nostre, apuntar que aquest any, per primera vegada, alguns clients han patit atacs en el núvol (ransomware, encriptació de dades amb petició de rescat).
I tot això, que és necessari conèixer, que té a veure amb la protecció de dades? Doncs té molt a veure en dos vessants: d’una part, per l’obligació que té el responsable del tractament de preservar adequadament les dades personals que l’hi són encomanades. I per l’altre, la possibilitat que té l’empresa d’aprofitar la adequació al Reglament per fer extensiu a tots els intangibles de l’empresa les mesures implementades.
En efecte, d’acord amb el Reglament General de Protecció de Dades (RGPD), la primera mesura que ha d’impulsar el responsable és un Anàlisi de Risc que permeti valorar els riscos que s’assumeixen al tractar dades personals. A partir d’aquesta valoració, el responsable ve obligat a implementar, de forma discrecional (partint de la responsabilitat proactiva), mesures tècniques i organitzatives per tal de garantir la seguretat de les dades.
I la nostra recomanació és estendre l’Anàlisi de Risc a la resta d’actius intangibles de l’empresa (know-how, projectes, patents, marques, plans de màrqueting, clients, etc.) i, un cop feta la valoració global, ampliar i reforçar les mesures de seguretat que, a més de garantir el compliment de la normativa en matèria de protecció de dades, preservi tot el nostre patrimoni empresarial intangible i, sobretot, que preservi la nostra reputació.
Imatge Pixabay
Màrqueting de permís i Protecció de Dades
El “màrqueting de permís” és un terme encunyat per Seth Godin ja fa anys en el seu llibre “Permission Marketing”, en el que exposa aquest concepte que va revolucionar la manera en que els professionals del màrqueting enfocaven aquest mitjà. La pregunta és, si fa vint anys que va exposar la seva teoria en força èxit, perquè costa tant entendre el concepte des del punt de vista de la Protecció de Dades si tots dos estan força alineats.
L’article 4.11 del RGPD (Reglament General de Protecció de Dades) defineix el “consentiment de l’interessat” com “ tota manifestació de voluntat lliure, específica, informada i inequívoca per la qual l'interessat accepta, ja sigui mitjançant una declaració o una clara acció afirmativa, el tractament de dades personals que el concerneixen”. Això no vol dir, és clar, que sigui fàcil aconseguir el permís dels teus clients potencials. Però si volem tenir èxit en el llarg termini, cal considerar-ho com una inversió que donarà els fruits al llarg del temps.
I aquesta definició coincideix fil per randa amb el concepte de Godin. De fet el subtítol del llibre és “Turning Strangers into Friends, and Friends into Customers”, o el que és el mateix, “Convertint Desconeguts en Amics, i Amics en Clients”. De fet, el mateix Godin acaba la frase convertint els Clients en Venedors”.
Per una d’aquelles coincidències còsmiques, el llibre es va publicar el 1.999, el mateix any que a Espanya es promulgava la LOPD (Llei Orgànica de Protecció de Dades). Si en aquell moment haguéssim començat amb el màrqueting de permís, complint amb la normativa de Protecció de dades, ara tindríem unes sòlides relacions establertes sobre la base de la confiança. Però sempre hi ha un moment per començar i podria ser ara.
Perquè el màrqueting de permís és Anticipat (l’usuari espera rebre el teu missatge), Personal (els missatges estan directament relacionats amb la persona i Rellevant (el missatge té interès per el receptor). I això coincideix cent per cent amb la normativa de protecció de dades.
El revers de la moneda és el màrqueting d’interrupció que no respecta a l’usuari perquè no demana el seu permís, és invasiu i genera rebuig i desconfiança. Fem les coses ben fetes perquè com deia fa molts anys un eslògan institucional “la feina ben feta, no té fronteres; la feina mal feta, no té futur”.
Imatge Pixabay