Derecho y empresa en entornos digitales

A propòsit d’una recent resolució de l’AEPD en la que apareix com indicador d’un ús no diligent de les seves claus per part d’un usuari, escrivim aquest post. El cas és que les claus van aparèixer en el lloc web haveibeenpwned.com. En la resolució s’al·lega que el reclamant és un exponent d’acreditada escassa diligència en la gestió i custòdia de les seves credencials.

Podríem traduir lliurement del anglès el terme “pawned” com “compromès”. El lloc web ofereix un servei gratuït perquè l’usuari pugui comprovar si la seva direcció de correu electrònic o contrasenyes apareixen en les seves llistes i, en conseqüència, si les seves claus han estat compromeses y convé canviar-les immediatament.

Perquè són importants les contrasenyes?

Accés a la gestió de la informació, utilització de serveis com la banca online o compres per internet són tres exemples quotidians en els que fer servir contrasenyes adequades resulta imprescindible.

Si poden suplantar la nostra identitat, poden tenir accés a la nostra informació confidencial (per exemple, l’emmagatzemada en el cloud amb documents, fotos y vídeos, etc.), entrar en el nostre compte bancari (amb conseqüències imprevisibles) o fer compres importants que haurem de pagar nosaltres.

Què hem de fer?

La majoria de consells que es poden donar són de sentit comú. Sobretot, d’allò que no s’ha de fer. Post-it en el monitor, sota el teclat, llibretes amb llista de claus, … són pràctiques que ja fa temps haurien d’estar desterrades.

En qualsevol cas, convé insistir.

• No compartir la contrasenya amb ningú
• Contrasenyes robustes (al menys 8 caràcters, majúscules, números, símbols, …
• No fer servir la mateixa contrasenya en diferents serveis. Per exemple, la del banc i la de Facebook.
• No entrar en un servei amb el compte de Google o FB. Si aquest es veu compromès, l’atacant tindrà accés a tots els serveis que depenen d’aquest compte. I de molts altres perquè, estigueu segurs, ho provaran amb tots.
• Compte amb les preguntes de seguretat. Mira que només tu coneguis la resposta (i que no es pugui deduir de les teves xarxes socials: data de naixement, nom de la mascota, etc.)
• Fer servir sempre que sigui possible el doble factor d’autenticació (2FA).
• Utilitzar gestors de contrasenyes. Hi ha moltes opcions en el mercat a preus molt assequibles

Què passa si el nostre compte apareix a haveibeenpwned.com?

Doncs que òbviament estem en una situació compromesa i hem d’actuar immediatament.

Primer identificant els correus i contrasenyes que han estat exposats. A continuació, fent servir un gestor, generar contrasenyes fortes i diferents per tots els serveis compromesos, començant per els més crítics (primer el banc abans que el FB) i canviar-les totes.

Cuideu-vos!

Quid Pro Quo és una expressió llatina, d’ús molt freqüent en l’àmbit jurídic, que podríem traduir com “una cosa per una altre”. Es refereix al que es dona a canvi d’una altre cosa.

Aprofitant el joc de paraules, l’empresa Shackleton ha presentat Data Pro Quo, la primera màquina vending en la que es paga amb dades. Sí, els productes no es paguen amb diners sinó amb les nostres dades. Partint del concepte que les dades són la nova moneda, l’empresa ho ha dut a la pràctica de forma literal.

Ja estem acostumats a canviar dades per serveis, encara que fins ara ho fèiem de forma implícita. Ho fem cada dia dotzenes de vegades: quan volem entrar en una pàgina web (recordem les cookies), quan volem baixar un document o un ebook, quan ens instal·lem una app i tants altres exemples.

Ja fa temps que vam perdre la innocència. Al principi pensàvem que els productes i serveis on line eren gratuïts. Omplíem formularis a tort i a dret, baixàvem qualsevol mena de infoproducte com si no hi hagués un demà i, per descomptat, instal·làvem apps diàriament (heu comptat quantes apps teniu instal·lades en el mòbil?). Per no parlar de les xarxes socials que són verdaderes ionquis de les dades.

Perquè tot aquest cabdal de dades que corre per Internet requereix una colossal infraestructura formada, entre altres, per centenar de milers de servidors, milions de kilòmetres de fibra òptica i una gestió brutal de l’energia necessària per que nosaltres puguem enviar un whastapp. I això té un cost molt elevat.

Amb Data Prop Quo ens trobem amb la primera proposta honesta de intercanvi de dades per producte. El funcionament és el mateix que qualsevol màquina de vending en la que l’usuari tria el producte que vol comprar. I per pagar, en comptes de diners o targeta (no s’admet altre forma de pagament), ha de respondre a una sèrie de preguntes començant per el càrrec (la màquina està destinada a entorns corporatius) i, en funció del perfil,  apareixen diferents qüestions que,  un cop contestades, donen accés al producte desitjat.

A més d’honesta i creativa, la proposta és intel·ligent en el sentit que considera a l’usuari com una persona formada, que valora la seva privacitat i a qui, de forma oberta, se li pot proposar l’intercanvi de dades per producte.

Com sempre, haurem d’estar atents a la gestió de les dades, un cop recollides, des del punt de vista de la privacitat i el control que faci l’empresa sobre el risc d’una eventual fuita de dades del servidor intern. Però això serà tema d’un altre post.

Cuideu-vos!

A finals de l’any passat, l’AEPD va aprovar el primer Codi de Conducta sota el RGPD. Aquest Codi és el de Tractament de Dades en l’Activitat Publicitària. Probablement eclipsat per altres novetats com l’entrada en vigor del nou Codi de Conducta sobre l’Ús de Influencers en la Publicitat (“Inflluencer”: aquí tens els teu Codi), el sector no li ha prestat prou atenció. Així que, en les properes ratlles mirarem de fer un resum de les novetats i de repassar-ne els punts clau.

Diguem, d’entrada, que el contingut principal del Codi és l’establiment d’un sistema extrajudicial per tramitar reclamacions sobre protecció de dades i publicitat, àgil, eficaç i gratuït per als consumidors. L’elaboració dels Codi de Conducta està recollida en els articles 40 i 41 del RGPD. El RGPD estableix que les autoritats de control han de promoure l’elaboració de codis de conducta destinats a contribuir a la correcta aplicació del Reglament, tenint en compte les característiques específiques dels diferents sectors de tractament i les necessitats específiques de les microempreses i les petites i mitjanes empreses .

En la primera part, el Codi revisa els principis de tractament de dades que la indústria publicitària ha de complir, en especial fa referència a les mesures de protecció de dades des del disseny i per defecte i el principi de minimització. També recorda l’obligació de informar als interessats del tractament de les seves dades amb finalitats de màrqueting, que el consentiment s’ha de donar separada i inequívocament o que l’interès legítim exigeix una ponderació. També recorda la necessitat de consulta prèvia als sistemes d’exclusió publicitària si no hi ha consentiment exprés.

Potser un dels aspectes més rellevants del Codi és el nou sistema extrajudicial de resolució de reclamacions de protecció de dades i publicitat. El procediment que s’estableix permet que els usuaris que ho desitgin presentin reclamacions gratuïtament contra les empreses adherides al Codi quan entenguin infringits els seus drets de protecció de dades en el marc d’una activitat publicitària, com ara: la recepció de publicitat no desitjada, l’exercici de drets relacionats amb la publicitat (com el d’oposició), i el tractament de dades en promocions publicitàries o mitjançant cookies publicitàries, entre altres.

I per les empreses, ofereix un mecanisme de resolució de reclamacions especialitzat, àgil, de baix cost i eficaç, alternatiu a la intervenció administrativa. I es considera una mesura de responsabilitat proactiva i pot ser un atenuant en cas d’eventuals sancions.

A aquest Codi si poden adherir qualsevol de les entitats de la indústria publicitària. És una eina útil en matèria de Compliance que ajudarà a les empreses a millorar la seva reputació davant del consumidor, augmentant la seva confiança. I ajudarà als consumidors a mantenir la seva privacitat sota control.

Cuideu-vos!

A principis de desembre, l’Agència Espanyola de Protecció de Dades publicava la resolució per la que s’imposava a un despatx d’advocats una sanció de 10.000 €. El motiu? Haver enviat un correu electrònic a vuit destinataris, informant sobre el bloqueig de les seves comptes, sense utilitzar la copia oculta.

EL RGPD estableix en l’article 5 els principis que han de regir el tractament  de les dades personals i menciona entre ells el de “integritat i confidencialitat”. L’article exigeix les dades “seran tractades de tal  manera que es garanteixi una seguretat adequada”.

Alhora, l’article 32 del RGPD “Seguretat del tractament”, estableix una sèrie de mesures tècniques i organitzatives que garanteixen un nivell adequat al risc que s’ha definit. Entre elles està la capacitat de garantir la confidencialitat de les dades personals.

Entén l’Agència que, de la documentació revisada, hi havia indicis suficients de que el despatx d’advocats havia vulnerat l’article 32 RGPD perquè s’havia produït una bretxa de seguretat dels seus sistemes. Per aquesta infracció, l’AEPD considera que la sanció que correspondria seria d’advertència, instant al denunciat a que corregeixi el efectes de la infracció comesa i s’adeqüi a les exigències de l’article 32.

En canvi, per la infracció de l’article 5.1 f) del RGPD la sanció que correspon és una multa per import de 10.000 €. I el que és més important, al ser una infracció de l’article 5 RGPD, la sanció podria arribar fins als 20.000.000 € o el 4% del volum de negoci total anual global de l’exercici financer anterior, optant per la de major quantia. Una barbaritat!

En efecte, un disbarat de sanció però que posa de manifest la importància que la protecció de dades està adquirint cada dia més. Convindreu amb mi que 10.000 € de multa per 8 correus és una sanció molt important.

I no és una sanció a una gran empresa sinó a un modest despatx d’advocats. És el que es coneix com “avís a navegants”. La protecció de dades requereix que tots fem un esforç per entendre els seus objectius finals i posem les mesures necessàries per complir. Les regles del joc estan per seguir-les i això no és una excepció.

Cuideu-vos!