Ricard Castellet

A part dels texts legals a la web, que més haig de fer?

per

És una consulta freqüent. Ja em vam parlar en un post, allà per el mes de maig, sobre els texts legals de la web. El que interessa explicar avui és que per tenir una web legal es necessari que l’empresa com a tal compleixi amb el Reglament General de Protecció de Dades (RGPD). No en hi ha prou amb que els texts legals tinguin aparença de legalitat, necessitem fer més coses.

A Internet és freqüent trobar tota mena de texts legals. A banda dels correctes (en denominació ii contingut), podem veure texts amb noms inventats (Termes i condicions d’ús de Privacitat), text copiats (“afusellats”, amb el perill que suposa fer servir els texts d’una altre empresa), texts incomplets i una llarga casuística de la que ens ocuparem un altre dia.

Avui vull cridar l’atenció a les empreses que fan servir texts sense haver-se adequat al Reglament. Comencem per dir que els texts legals que apareixen a la web són la part pública de l’adequació. Però per disposar d’aquests texts, l’empresa té que, prèviament i entre altres, haver fet un Anàlisis de Riscos, tenir un Registre d’Activitats de Tractament, definir una Estructura tècnica i organitzativa, haver establert les Mesures de seguretat corresponents, signar els necessaris Acords de confidencialitat amb els empleats i el Contractes d’encarregat de tractament amb empreses terceres que tracten dades per compte nostra, generar els Protocols de informació i comunicació (clàusules de tractament, Internet, Drets de l’usuari, ...) y produir els Informes reglamentaris.

Només quan l’empresa està adequada al Reglament es pot generar la Política de Privacitat i els textos necessaris per els formularis que recullen les dades personals del usuaris. Naturalment, hi haurem d’afegir altres texts que depenen d’altres normatives, segons el cas, com són l’Avís legal, la Política de Cookies (amb el banner corresponent) i les Condicions de Contractació (si tenim una botiga virtual).

Copiar els texts d’un altre web (o pràctiques similars) perquè no tenim l’empresa adequada és un frau que està perseguit per les autoritats. I és força fàcil detectar-ho i, per tant, sancionar-ho.

La Protecció de dades no és complexa però s’ha de fer bé. En els supòsits més senzills, el propi usuari la pot implementar seguint les indicacions de l’Agència Espanyola de Protecció de Dades (AEPD) a través del programa FACILITA. Per la resta, recomanem buscar l’ajuda d’un professional.

Recordem que implantar la Protecció de Dades té un cost cert i moltes avantatges com evitar costos reputacionals i sancions i generar confiança entre empleats, clients, proveïdors, entre altres. No tenir un programa de Protecció de Dades, en canvi, pot tenir un cost incalculable.

Imatge Pixabay

L’AEPD publica recomanacions per minimitzar els riscos per la privacitat en la navegació per Internet

per
  • El document repassa algunes de les tècniques més utilitzades per fer seguiment a internet, com les galetes o les basades en identificadors únics de publicitat
  • Valorar la privacitat a l'hora de triar un navegador o evitar la instal·lació d'aplicacions innecessàries són algunes recomanacions bàsiques
  • Per a usuaris avançats s'aconsella configurar a la xarxa domèstica un bloquejador de consultes DNS o navegar a través d'una VPN o la xarxa TOR

    Baixa la infografia

Privacy Shield: què has de saber si fas màrqueting digital?

per

Ja ens vam referir en un post anterior (‘Efecte Brussel·les’: cop de puny de la UE sobre la taula) a la decisió del Tribunal de Justícia de la Unió Europea (TJUE) que invalidava l’acord conegut com “Privacy Shield”  que garantia que les empreses americanes adherides al mateix, més de 5.000, aplicaven els mateixos estàndards de protecció de dades que les empreses europees regides per el RGPD. Aquesta decisió permetia, entre altres coses, que les transferències de dades entre països adequats i els Estats Units es poguessin realitzar com si d’un país europeu adequat es tractés.

La raó, segons diu el Tribunal, és que la normativa interna americana relativa a l’accés i utilització de dades personals per les autoritats no ofereix les garanties suficients ja que els programes de vigilància no es limiten a lo estrictament necessari, vulnerant el principi de proporcionalitat.

 I aquesta decisió comporta, naturalment, conseqüències en diferents ordres de valor i per diferents sectors. El que ens ocupa aquí és el sector del màrqueting perquè moltes empreses del sector utilitzen plataformes d’enviament massiu, per exemple MailChimp, que estan ubicades en els Estats Units. Com sigui que el Privacy Shield s’anul·lat sense període de transició ni moratòria alguna, tots els fluxos s’han quedat sense suport legal i, en rigor, s’haurien de suspendre (des de el passat 16 de juliol, data de la sentència).

En el moment d’escriure aquestes línies no es veuen alternatives de compliment plenament satisfactòries. L’única solució, ara mateix, és moure les dades personals a plataformes ubicades en territori europeu (si cal, canviant de proveïdor). Som conscients de les dificultats operatives de fer això en la majoria dels casos, sobretot si suposa canvi de proveïdor.

Les demés solucions, com per exemple recavar el consentiment explícit dels usuaris o subscriure amb l’importador noves o millorades clàusules contractuals tipus, no són fàcils d’implementar i, hores d’ara, no està clar que compleixin la legalitat. S’ha d’estudiar cas per cas.

Us recomanem insistentment que demaneu consell professional si us trobeu en la circumstància de tenir que tractar dades personals que s’allotgen en servidors als Estats Units. No us la jugueu!

Imatge Pixabay

Cookies again

per

Teníem pendent dos qüestions pel que fa a les cookies: la validesa de l’opció “seguir navegant” com manera de prestar el consentiment per part dels usuaris i la possibilitat de d’utilitzar els coneguts com “murs de galetes” que permeten limitar l’accés a determinats serveis o continguts als usuaris que expressament accepten l’ús de cookies.

I l’Agència Espanyola de Protecció de Dades (AEPD) ha actualitzat  recentment la seva Guia sobre l’ús de les cookies per adaptar-la a les Directrius sobre consentiment modificades  el maig de 2020 per el Comitè Europeu de Protecció de Dades (CEPD). La nova Guia ja està publicada en la web de l’Agència.

Respecte al primer aspecte destacable, l’opció de “seguir navegant”, la Guia explicita que no és, en cap circumstància, una forma vàlida de prestar el consentiment, en la mesura que aquestes accions poden ser difícils de distingir d’altres activitats o interaccions de l’usuari, per la qual cosa no seria possible entendre que el consentiment és inequívoc.

Pel que fa als “murs de galetes”, la Guia diu que no es podran utilitzar sinó ofereixen una alternativa al consentiment. Aquest criteri resulta especialment important en aquells supòsits en què la denegació d'accés impediria l'exercici d'un dret legalment reconegut a l'usuari, per ser, per exemple, l'accés a un lloc web l'únic mitjà facilitat a l'usuari per a exercitar aquest dret.

Aquests nous criteris s’hauran d'implementar, com a molt tard, el 31 d'octubre d'aquest any, establint-se així un període transitori de tres mesos per introduir els canvis necessaris en els mecanismes d'obtenció del consentiment per a l'ús de cookies que s'estiguin utilitzant.

És clar que la indústria publicitària haurà de moure fitxa i potser el camí és explicar-li a l’usuari, de forma transparent, perquè es fan servir les cookies. Si l’usuari sap exactament perquè volem les seves dades i en què el beneficia, estarà disposat, a ben segur, a compartir-les amb nosaltres. No hi ha un altre camí.

El compliment normatiu no és un camí curt i fàcil però si tots –institucions, empreses, ciutadans i professionals de la privacitat– treballem junts en la mateixa direcció aconseguirem que contribueixi significativament al creixement de l’activitat econòmica, amb seguretat. I, al cap i a la fi, això és el que volem tots.

Imatge Pixabay

El Tribunal de Justícia de la Unió Europea declara invàlid l’Escut de privadesa per a la realització de transferències internacionals de dades als EUA

per

El 16 de juliol de 2020 el Tribunal de Justícia de la Unió Europea (TJUE) ha fet pública una sentència en la qual anul·la la Decisió 2016/1250 de la Comissió que declarava el nivell adequat de protecció de l'esquema de l'Escut de Privacitat (Privacy Shield ) per a les transferències internacionals de dades als EUA. Aquesta Decisió substituïa al seu torn a Port Segur, que també va ser declarat invàlid pel TJUE a l'octubre de 2015.

Més informació

L’AEPD actualitza la seva Guia sobre l’ús de cookies per adaptar-la a les noves directrius del Comitè Europeu de Protecció de Dades

per
  • La nova versió de la Guia adapta el contingut a les Directrius sobre consentiment revisades pel Comitè Europeu de Protecció de Dades al maig d'aquest any
  • A l'igual que en versions anteriors, l'Agència ha comptat amb la participació dels sectors afectats
  • Els nous criteris s'han d'implementar, com a molt tard, el 31 d'octubre d'aquest any, establint-se així un període transitori de tres mesos per a l'adaptació

Més informació

‘Efecte Brussel·les’: cop de puny de la UE sobre la taula

per

En pocs dies s’han aplegat dos fets que guarden una estreta relació i que són de suma importància per els ciutadans europeus i, m’atreveixo a dir, per molts ciutadans del món. M’estic referint al llibre ‘L’efecte Brussel·les’ d’Anu Bradford i, naturalment, l’anul·lació de l’acord conegut com Privacy Shield amb els Estats Units.

Bradford sosté que és Europa –i no Estats Units o Xina– qui domina el món. Com? Gràcies a l’Efecte Brussel·les o, el que és el mateix, l’externalització involuntària de regulacions a través de mecanismes globalitzadors del mercat. Segons l’autora, aquest efecte acaba influint més en la vida de molts habitants del planeta que el poder econòmic o militar dels gegants americans i xinesos.

Europa és un mercat únic molt envejable, entre altres coses, per el seu gran poder adquisitiu. I les empreses internacionals assumeixen les estrictes lleis de la UE per poder-hi accedir i beneficiar-se. I aquestes empreses imposen aquestes regles a les seves filials a tot el món per tal d’uniformar els procediments, aprofitar les economies d’escala i reduir costos.

I un exemple que avala la tesis és el Reglament General de Protecció de Dades (RGPD) que va entrar en vigor ara fa poc més de dos anys. Ja vam escriure llavors que era una legislació amb vocació  ‘universal’ perquè afectava als ciutadans de la UE i que les empreses que volguessin tractar dades personals –imprescindibles per el tràfic econòmic– estaven obligades a complir amb la normativa. Qualsevol empresa, de qualsevol part del món, sense excepció.

Estats Units ha regulat, des de sempre, de forma molt laxa la protecció de dades i sempre a remolc de la UE. Fins a tal punt que Europa acaba d’anul·lar l’acord denominat Privacy Shield. Es tracta d’un acord signat fa quatre anys que permetia transferir dades personals de ciutadans d’Estats membres europeus als Estats Units. La decisió d’invalidar l’acord es basa en que la UE no confia en que la informació sigui tractada amb les garanties pertinents en termes de privacitat.

De les conseqüències de la decisió –tant pel que fa a les grans tecnològiques americanes o per milers de pymes– en parlarem en una altre ocasió. El que es tracta avui és de posar de manifest el cop de puny sobre la taula de la UE, fent visible l’Efecte Brussel·les’ en matèria de protecció de dades. I no serà l’últim.

Twitter, on vas?

per

Hem conegut aquest setmana, dimecres, que Twitter, la xarxa social dels missatges curts, ha estat hackejada. Els comptes de Jeff Bezos, Musk, Obama o Gates s’han vist decididament compromesos. Això, junt amb la resposta de la companyia a l’incident, ha disparat totes les alarmes.

En els Estats Units ja ho han qualificat de “tweet-tastrophe”. I no és per menys. La bretxa de seguretat ha afectat a unes 130 comptes de persones rellevants. I els hackers, segons les primeres informacions, han pogut tenir accés total a un nombre indeterminat d’aquests comptes.

Twitter pot tenir actualment uns 400 milions d’usuaris i és la forma més ràpida de comunicació de masses. Cap altre mitjà hi pot competir. I tot el que té de bo ho té de pervers en situacions com aquesta. I perversitat en dos vessants: la gravíssima situació creada d’una banda i, de l’altre, la irresponsabilitat de la companyia i la seva decebedora resposta a l’incident.

Respecte a la primera, ara hem tingut evidència del risc que suposa que els líders mundials facin servir un producte comercial que no ha estat verificat per les autoritats de seguretat i que està en mans d’una empresa privada. Imaginem, per un moment, la importància que pot tenir per la cotització de Tesla a borsa un tweet malintencionat tuitat, suposadament, per Elon Musk. O per a les economies mundials si el tweet procedeix d’un Bill Gates impostat. I que dir d’un tweet fake de Trump quan els verdaders ja ens posen els cabells de punta. Des de l’enfonsament d’una companyia a un terrabastall econòmic, o ves a saber si sanitari si el tuit es refereix al COVID-10, fins a posar en perill la seguretat mundial amb tuits falsos creuats entre Trump i Putin, per exemple.

Respecte a la responsabilitat de la companyia val a dir que és màxima. És clar que tot sistema és susceptible de ser hackejat però per això les empreses, i més quan són així de rellevants, han de tenir plans de contingència que permetin minimitzar sinó evitar els possibles danys. I en qualsevol cas, si els comptes són atacats, mai hauria d’existir la possibilitat que algú prengués el control del compte d’un usuari quan aquest ha seguit totes les normes i ha aplicat les seves mesures de seguretat. La irresponsabilitat de Twitter és estratosfèrica i absolutament imperdonable.

 I la resposta a l’incident has estat absolutament insuficient. Sense comunicació, sense informació, sense explicacions, sense disculpes. Silenci total. Descontrol total. I aquest no és el camí. Per això preguntem, Twitter, on vas?

Imatge Pixabay

Reutilitzar paper pot resultar molt car

per

L'AEPD multa a una advocada per reutilitzar documents amb dades de clients en el revers. La lletrada, que afronta una sanció de 2.000 euros, va aprofitar paper usat que contenia informació personal d’altres clients.

Sempre és bo reutilitzar i reciclar qualsevol consumible i el paper és, encara, un dels més importants en aquest aspecte. Tradicionalment, a més, en els despatxos d’advocats s’ha fet servir molt paper per raons òbvies – escrits de tota mena, comunicats dels jutjats, còpies per totes les parts, etc.– Per raó de la professió l’advocat necessita molt paper i és pràctica habitual reciclar tot el paper possible.

Però les coses estan canviant. La transformació digital, que ha avançant molt durant la pandèmia, és una revolució imparable. Però fins que no estigui implantada completament hem d’anar en compte i observar curosament la legislació vigent, en aquest cas, el Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d’abril de 2016 (RGPD).

L’AEPD considera  que l’actuació de la lletrada suposa, precisament, una vulneració de l’article 32 d’aquest Reglament. La norma en qüestió obliga als responsables de tractament de dades a “aplicar mesures tècniques i organitzatives per garantir el nivell de seguretat adequat. Per això ha fixat una sanció de 2.000 euros.

Segons recull la resolució, l’advocada va fer servir paper que contenia informació personal de clients anteriors, fins i tot un menor d’edat, per convocar una reunió de llogaters. Paper que en el revers apareixien dades de tercers referides a procediments anteriors, el que suposava fer accessible aquestes dades a tercers, sense consentiment dels titulars.

L’article 32 del RGPD, en el marc de la Seguretat de les dades personals, apunta les mesures a prendre per garantir un nivell de seguretat adequat al risc com, per exemple, la seudonimització i el xifrat, garantir la confidencialitat, integritat, disponibilitat i resiliència dels sistemes, la capacitat de restaurar les dades i l’accés a la informació en cas d’incident i un procés de verificació i avaluació de l’eficàcia de les mesures implementades. Aplicant aquestes mesures minimitzarem els riscos i evitarem les sancions.

Perquè 2.000 euros és una sanció relativament petita. L’equivalent, aproximadament a 625 paquets de 500 fulls DIN A4. I es poden recuperar en el proper assumpte que ens encarreguin. Però el pitjor, com sempre, és la reputació. Confiaríem els nostres assumptes més importants a un professional que no té cura de les dades personals i de la privacitat dels seus clients? És més, confiaríem en un advocat que no compleix la llei en la seva activitat?

Imatge Pixabay

Revisió Texts legals web