Ricard Castellet

Apps infantiles, ¿están en peligro nuestros hijos?

por

A propósito del eco que el profesor de la UOC César Córcoles se hizo recientemente de un Estudio de la Universidad de California («Won’t Somebody Think of the Children?» ) sobre las apps infantiles, nos parece oportuno hacer algunas consideraciones.

Y ello porque, como es obvio, los niños suponen el colectivo más vulnerable en cuanto a la privacidad en Internet. A su corta edad, –pocos conocimientos, menos experiencia y comportamiento grupal– se le añade el hecho de que los adultos les proporcionamos una herramienta ­–el móvil­– con tantas virtudes como peligros potenciales.

¿Cuáles son las estadísticas del Estudio?

Para que nos hagamos una idea, el estudio citado asegura que un 19% de las aplicaciones dirigidas al público infantil recaban datos de sus usuarios de manera ilegal. Es decir, recopilan información personal, a menudo a través de terceros, sin cumplir con la normativa.

Los investigadores han examinado el cumplimiento de la COPPA (Children’s Online Privacy Protection Rule), la normativa americana que impone determinados requisitos a los operadores de sitios web o servicios en línea que recogen información personal de niños menores de 13 años. Y la conclusión es que el 57% de las aplicaciones infantiles gratuitas más populares de Estados Unidos vulnera la privacidad de los menores. Un panorama poco alentador.

¿Qué información obtienen?

La información más frecuente que las aplicaciones obtienen de sus usuarios es la ubicación, cuando esta es innecesaria salvo que la aplicación sea de mapas o del tiempo. Esto lo aprovecha el algoritmo publicitario para hacer recomendaciones de productos y servicios cerca del usuario. También es habitual recoger el identificador único, es decir, la cuenta de correo que se ha usado para registrarse en la app. También pueden tener acceso a los contactos, fotos, cámara, micrófono y un largo etcétera. Haz la prueba. ¡Quedaréis estupefactos!

¿Qué se está haciendo para minimizarlo?

Pero no está todo perdido. Señala el profesor Córcoles que «afortunadamente, tanto Google con Android con Apple con IOS se han vuelto más estrictos con los permisos que podemos dar a las aplicaciones. Sin embargo, siguen habiendo vulneraciones importantes. Y, si esto es un problema para un adulto, todavía lo es más para los niños, que deberían tener más protección».

Poco a poco, también, aparecen nuevas normativas para tratar de minimizar el impacto en la privacidad de los menores. Así podemos citar la California Age-Appropriate Design Code Act, la nueva ley que California acaba de aprobar para proteger a los menores.  Obligará a las redes a garantizar la seguridad de los usuarios más jóvenes en materia de algoritmos y publicidad dirigida, entre otros. Las empresas no podrán compartir o vender cualquier información personal que no sea necesaria para el funcionamiento del servicio.

¿Qué dice el RGPD?

Dice que el consentimiento sólo será válido a partir de los 16 años. En España, sin embargo, la LOPDGDD en virtud de la potestad que le otorga el RGPD, se ha fijado la edad en 14 años. En la misma Ley, se plantea promover una ley dirigida específicamente a garantizar los derechos del menor ante el impacto de Internet.

Recomendaciones

La primera y más importante es la supervisión parental. Debemos entender que los niños tienen móvil a partir de los 10 años (o antes). Y que no tienen un teléfono sino un smartphone. Y la diferencia es sustancial porque el smartphone les abre la puerta a un mundo de adultos para el que no están todavía preparados.

Activar los controles parentales, configurar el móvil con las opciones de privacidad adecuadas, revisar los permisos de las aplicaciones, inhabilitar los identificadores son algunos otros que podemos aplicar. Podéis encontrar ayuda a is4k.

Y diálogo. Un diálogo abierto y sincero. Con los niños, con la familia, con los padres de otros niños y con la escuela. No hablar de ello no es una opción.

¡Y como siempre, cuidaos y cuidemos a los más pequeños!

Menores y huella digital

por

El post de hoy está propiciado por el reciente nacimiento del nieto de unos buenos amigos. Ha sido un niño que ha nacido con todos los pronunciamientos favorables. Y, como es natural, lo primero que han hecho los padres ha sido hacer fotografías y difundirlas entre familia, amigos y conocidos vía Whastapp y otras redes sociales.

Y qué menos, diréis. Desde que existe la fotografía que los orgullosos padres han querido inmortalizar el nacimiento del hijo y enseñarla a cuanta más gente mejor. Y eso está muy bien, faltaría más, pero es que ahora tenemos una nueva variable que tenemos que considerar: la huella digital.

Antes las fotografías se enseñaban en un álbum de papel. Una vez vistas, el álbum se guardaba en un estante y hasta la próxima. Ahora, no. Las fotografías son digitales y se reproducen en la red a toda velocidad. Y quedan, sobre todo quedan para siempre. Y ese rastro del niño o de la niña, tan monos, quedan desde el nacimiento, incluso desde antes si los padres comparten las ecografías, y le acompañará toda la vida. E iremos añadiendo: los primeros pasos, el primer diente, el primer «papá» o «mamá» (esto en vídeo) y así hasta tener una recopilación de centenares de imágenes del bebé hasta que sea mayor de edad y pueda decidir. En ese momento su huella digital será muy extensa.

El problema

La primera obviedad es que cuando se sube una imagen a Internet, se pierde el control sobre ella.

A partir de ahí pueden pasar muchas cosas buenas, pero también de no tan buenas. En el primer caso, por ejemplo, que una empresa de publicidad nos ofrezca un contrato publicitario para explotar la imagen del niño. Pero del otro lado, nos podemos encontrar desde empresas que usen la imagen sin permiso hasta usar la foto para pornografía infantil en manos de pedófilos (grooming).

El Sharenting

Cómo no, Sharenting es un anglicismo que combina dos términos, share (compartir) y parenting (crianza).  Y describe la actividad de documentar exhaustivamente y compartir irreflexivamente en el mundo digital el crecimiento de los niños. Esto ocurre sobre todo en Facebook, Instagram y WhatsApp. Si la actividad es excesiva se denomina oversharenting.

¿Es legal publicar fotos de menores?

En España, la LOPD establece la mayoría de edad para que el menor pueda gestionar su privacidad en Internet en los 14 años. Esto quiere decir que si quiere publicar una foto lo puede hacer sin el consentimiento de los padres. Y los padres no pueden publicar una foto si el menor no lo autoriza. Si publican sin consentimiento se exponen a una sanción.

Por debajo de los 14 años, los progenitores o los tutores legales continúan teniendo todo el poder de decisión. Si el menor quiere crear un perfil en una red social, necesita autorización.

En el caso de parejas separadas, no puedes publicar fotos del menor sin consentimiento de la otra parte.

Recomendaciones

Más allá de la prudencia y el sentido común, podríamos apuntar algunos consejos.

  • Antes de subir una foto del menor, pensarlo dos veces. Todo lo que se publica, queda.
  • Y, una vez publicado, queda fuera de nuestro control.
  • Pensar a largo plazo. La foto que ahora es graciosa puede perjudicarle en el futuro
  • Cuidado con el contexto de la fotografía. Puede ofrecer mucha información como edad, estatus económico, ubicación (aparte del geoposicionamiento por los metadatos), la relación con otras personas, etc.
  • No publicar fotos del menor desnudo o en situaciones incómodas.
  • Leer las condiciones de servicio de las redes sociales.
  • Preguntar al menor, tan pronto como sea posible, si quiere que subamos la foto a Internet. No nos exime de responsabilidad pero facilita la reflexión e implica al menor en la decisión.
  • No publicar fotos de otros menores sin consentimiento de los padres (por ejemplo, fotos de cumpleaños o del colegio).
  • Supervisar los contenidos que el menor sube a la red.

Como recomendación genérica, seguir las indicaciones de la web is4k (Internet Segura for Kids), un portal de INCIBE. Está llena de buenos consejos explicados de forma amena y con contenidos para compartir con los menores.

¿Qué hacemos si queremos retirar las fotos (derecho al olvido)?

En general, no es una buena idea publicar fotos de niños en las redes sociales más allá de algunas hechas con cuidado y prudencia.

Pero si lo necesitamos, está a nuestro alcance el ejercicio del Derecho al olvido. La primera acción obvia, si nosotros no somos los autores, pedir al autor que la retire. Si no obtenemos resultado, el Reglamento General de Protección de Datos (RGPD) nos ampara en el ejercicio del Derecho de Supresión que, en el ámbito de Internet, se denomina Derecho al olvido. De eso ya hemos hablado y podéis encontrar más información aquí.

¡Como siempre, cuidemos a los menores y cuidémonos!

Los muertos vivientes de las tecnológicas

por

Hay que asumirlo: una hora u otra a todos nos llega el momento de dejar este mundo. Y este momento es muy delicado para los familiares del difunto. De manera que todo lo que se haga para facilitar los trámites será de muy agradecido por los allegados. Pero hay empresas que no tienen esa sensibilidad. Y, es evidente, hay que corregir esta carencia.

Todo viene a raíz de una nueva condena a Telefónica y un episodio, uno más, muy desafortunado de Vodafone.

Los hechos de Telefónica

En el primer caso, tal y como explica El País, Telefónica es condenada por incluir en un fichero de morosos a una persona, 18 años después de muerta. El juez ha condenado a la compañía a indemnizar a los herederos de la mujer a la que mantuvo en un registro de deudores, aunque le suplantaron la identidad.

La persona en cuestión murió en abril de 2003 y en febrero de 2021 su hija recibió una carta de Asnef (registro de morosos) informándole de que la difunta estaba incluida en un fichero de morosos por una deuda contraída con Telefónica. La empresa reclamaba una factura de 182,39 euros emitida cuando la mujer ya había fallecido. Alguien dio de alta un teléfono fijo con los datos de la difunta, pero la empresa no enmendó el error a pesar de recibir el certificado de defunción de la presunta morosa.

La sentencia impone a Telefónica el pago de una indemnización de 10.000€ a los familiares de los afectados, más intereses y costas.

Un verdadera pesadilla que, afortunadamente, ha tenido un final, no digo feliz porque la experiencia se las trae, pero al menos justo.

La semana pasada también nos hacíamos eco de una sanción impuesta a Naturgy por un tratamiento ilícito de datos personales como este, por no tener actualizados los datos tal y como exige el Reglamento.

Los hechos de Vodafone.

Según explica Enrique Dans, un conocido periodista y activista británico, George Monbiot, intentó cancelar el contrato de móvil de su madre, a raíz de su muerte. La compañía comenzó a poner todo tipo de dificultades y a acosar a su padre pidiendo datos con la fecha exacta en que había firmado el contrato, que naturalmente no podía recordar, con «extrema rudeza y agresividad«-

Ante la imposibilidad de cancelar la cuenta, decidieron dejar de asumir los cargos. Y, como no podía ser de otra manera, Vodafone los incluyó en un fichero de morosos en una empresa que siguió importunando al padre.

Este caso, se pudo solucionar rápidamente porque el periodista escribió un hilo muy detallado en su cuenta de Twitter que tiene alrededor de medio millón de seguidores. Miles de retweets y likes hicieron su magia, con muchos seguidores relatando experiencias similares. Vodafone pidió inmediatamente disculpas pero el periodista no se conforma porque entiende que la manera de proceder es parte de una política corporativa y quiere llegar al fondo del asunto. Como dice el profesor Dans, con episodios como este, «a Vodafone se le estarán apareciendo sus muertos durante bastante tiempo«.

La conclusión

En ambos casos, se crea un quebranto y una angustia debido al acoso y la impotencia, absolutamente desproporcionados con las deudas cuando, además, no son verdad.

Todo parece indicar que las actuaciones responden a una política corporativa orientada a dar todas las facilidades para contratar los servicios y, en cambio, a ejercer máxima presión sobre quien quiere rescindir el contrato. Y debería ser, al menos, tan fácil salir como entrar, para ser justos. El consumidor siempre es la parte débil del contrato y debe tener una protección especial.

 

Como siempre, ¡cuidaos!

El diablo siempre está en los detalles

por

El diablo siempre está en los detalles, reza el dicho popular. La frase se utiliza en múltiples sentidos pero siempre con la misma idea: muchas veces el problema radica en la minuciosidad de los detalles o en las acciones que parecen no tener importancia antes que en las grandes iniciativas o acuerdos. Podemos tenerlo todo perfectamente calculado y medido pero, en el momento o lugar más inesperado, aparece el diablo.

Y eso es lo que le ha sucedido a una empresa comercializadora del Grupo Naturgy. La aparición del diablo le ha supuesto una sanción de 100.000€.

Los hechos

El motivo de la reclamación es que la empresa envió el contrato de suministro eléctrico de la nueva casa de la parte reclamante, en la que incluía todos sus datos personales, incluyendo la nueva dirección, a la dirección de su antiguo domicilio. Con consecuencias inesperadas.

Porque, y aquí aparece el diablo, el contrato lo recibió precisamente la persona sobre la que había una orden de alejamiento.

La empresa reclamada no actualizó la dirección principal asociada a la reclamante, motivo por el cual la copia del contrato se envió a la previa dirección principal asociada al NIF del cliente que resultó ser la antigua.

Tratamiento ilícito

Dice la AEPD que estamos ante un tratamiento ilícito de datos personales, incurriendo en una infracción del art. 5.1.d) RGPD por no tener actualizados los datos de la afectada. El artículo dice que «Los datos de carácter personal serán (…) d) exactos y, si fuera necesario, actualizadas«. El responsable tomará las medidas necesarias para garantizar la exactitud.

La sanción

A efectos de fijar el importe de la sanción, además de la infracción tipificada en el artículo 83.5.a) del RGPD, la AEPD estima concurrentes, en este caso, dos agravantes: 1)  La intencionalidad o negligencia a la infracción, ya que dada la actividad del reclamado (tratamiento de gran cantidad de datos) le es exigible más cuidado en el tratamiento de los datos y 2)  La vinculación de la actividad del infractor con la realización de tratamientos de datos ya que la actividad empresarial de la reclamada (comercializadora de energía)  supone un continuo tratamiento de datos de carácter personal.

Tenemos en cuenta estas consideraciones, la Agencia decide imponer a la reclamada la sanción de 100.000€. Como sea que la empresa reclamada ha reconocido su responsabilidad y aplicando la reducción de pago voluntario, la sanción ha quedado reducida a 60.000€.

El diablo

Un pequeño error material ha supuesto una sanción notable de lo que la empresa se recuperará sin dificultad.  En este caso sin embargo hay un agravante moral que ha sufrido la víctima por sus circunstancias particulares, de mucho más difícil recuperación.

No olvidemos que detrás de cada dato personal hay una persona. Tratamos adecuadamente los datos porque estaremos tratando adecuadamente a las personas. Al final, es lo que importa. ¡Cuidaos!

¡El dato personal que siempre se olvida!

por

Cuando pensamos en datos personales, en seguida nos viene a la cabeza el nombre, el DNI, el rostro y tantos otros, en particular aquellos denominados de «categoría especial» como son los que se refieren a la salud, a nuestras preferencias políticas o religiosas, la afiliación sindical, la orientación sexual o los datos genéticos o biométricos, por ejemplo. Y hay datos personales que son menos evidentes como puede ser la dirección IP (Internet Protocol), el ID de cookie, el ID de los dispositivos o el IMEI de los teléfonos.

Y la que siempre se olvida, a menudo incluso en ámbitos profesionales, es la voz, dato del que hoy queremos hablar.

Y queremos hablar de la voz a raíz de una sanción que la AEPD ha impuesto recientemente a Radio Televisión Madrid, SA (TeleMadrid) por difundir un audio de una declaración judicial. El importe ha sido de 50.000€ y la razón que la cadena de televisión difundió la grabación, sin distorsionar, de la declaración judicial de la víctima de una violación múltiple en diferentes páginas web y también en Twitter.

Los hechos

Se presenta una reclamación porque varios medios de comunicación habían publicado en sus portales digitales el audio para ilustrar la noticia de la celebración de un juicio en un caso muy mediático. Los medios retiraron las publicaciones pero quedaron las realizadas en los perfiles de Twitter. En estas publicaciones se podía oír la voz de la víctima sin el distorsionado de la voz siendo, por tanto, perfectamente identificable.

La voz como dato personal

Según el artículo 4.1 del RGPD, la voz de una persona es un dato personal en tanto la hace identificable y su protección es, en consecuencia, objeto del Reglamento.

La voz es un atributo personal propio e individual de cada persona física que se define por su altura, intensidad y timbre.

Tiene rasgos distintivos únicos y singulares que la individualizan de manera directa, asociándola a un individuo concreto, es modulada al hablar, pudiendo conocer, a través de ella la edad, el sexo, el estado de salud del individuo, su manera de ser, su cultura, su origen, su estado hormonal, emocional y psíquico. Elementos de la expresión, el idiolecto o la entonación, también son datos de carácter personal considerados conjuntamente con la voz.

Equilibrio entre la protección de datos y libertad de información

Ambos derechos están siempre en un equilibrio precario. En este caso, sin embargo, la AEPD considera que el tratamiento ha sido excesivo, al no existir un interés público informativo prevalente en la difusión de la voz de la víctima sin distorsionar que no aportaba ningún valor añadido.

La Agencia también ha considerado la naturaleza especialmente sensible de los datos personales y la afectación a la intimidad de la víctima «que merece más protección el interés de la titular del derecho a la protección de sus datos personales».

Según la directora de la Institución, se trata de «hacer plenamente compatibles los derechos para que queden ambos absolutamente garantizados».

La sanción

La AEPD califica la infracción de muy grave porque conlleva una pérdida de disposición y control de los datos personales y, además, al difundirlos se condena nuevamente a la víctima a ser reconocida por terceros, con los graves daños y perjuicios que se ocasionan.

No se aprecia intencionalidad pero si el agravante de negligencia porque distorsionar la voz se hace con frecuencia en los medios audiovisuales, máxime en circunstancias tan sensibles.

Se considera que la infracción supone un grave perjuicio para la afectada ya que el suceso está vinculado a su vida sexual.

Derecho al olvido

Es oportuno recordar aquí el derecho al olvido que, amparados en el RGPD, tenemos todos los ciudadanos. Es el derecho a solicitar, bajo determinadas condiciones, que los enlaces a tus datos personales no figuren en los resultados de una búsqueda en Internet realizada por tu nombre.  Si tenéis alguna duda respecto a este derecho, podéis hacernos una consulta aquí, sin compromiso.

Para finalizar, no agravemos el sufrimiento de las víctimas reenviando contenidos lesivos para las personas. La responsabilidad es nuestra. ¡Como siempre, cuidémonos y cuidemos a los demás!

¡Tienes derecho al olvido!

por

El Tribunal Constitucional reconoce el derecho de un comerciante que pidió eliminar datos descalificatorios. Y lo ha hecho declarando inconstitucionales las sentencias que anularon la decisión de la Agencia Española de Protección de Datos (AEPD) de atender la petición.

Pero bien, empezamos por el principio. ¿Qué es el derecho al olvido?

De forma resumida, podemos decir que es el derecho a solicitar, bajo determinadas condiciones, que los enlaces a tus datos personales no figuren en los resultados de una búsqueda en Internet realizada con tu nombre.

Este derecho, de origen jurisprudencial, se encuentra recogido en el RGPD y en la LOPDGDD y no debe confundirse con el Derecho de Supresión (veremos las diferencias más adelante).

El asunto viene de lejos, sólo hay que recordar aquí la conocida como «Sentencia Google Spain”, pionera en la materia. 

Repasamos los principales rasgos de este derecho.

Características

El Derecho al olvido se puede ejercer ante los buscadores y de los editores de las páginas web porque son responsables del tratamiento de datos personales. Prevalece sobre el interés económico del buscador y del interés público para garantizar el derecho a la privacidad. El derecho aparece cuando el nombre de una persona está enlazado a publicaciones que contienen información personal. No hay plazo para ejercerlo, siempre que haya razones legítimas para hacerlo.

Requisitos para ejercerlo

La norma enumera diferentes supuestos que avalan el ejercicio cuando, por ejemplo, los resultados obtenidos después de una búsqueda realizada a partir del nombre de la persona, los enlaces publicados con información de la persona fueran inadecuados, inexactos, no pertinentes, no actualizados o excesivos o hubieran ocurrido como tales por el transcurso del tiempo.

También se podrá solicitar si se evidenciara la prevalencia de los derechos del afectado sobre el mantenimiento de los enlaces para el servicio de búsqueda en Internet.

El derecho subsistirá, aunque sea lícita la conservación de la información publicada en el sitio web y no se procediera a su borrado previo o simultáneo.

Es importante destacar que el ejercicio del derecho no impedirá el acceso a la información publicada en el sitio web si se accede a él utilizando otros criterios diferentes al nombre de quien ejerce el derecho.

Limitaciones

El Pleno del TC ha precisado los límites del derecho al olvido, entre los que ha destacado el factor de la importancia pública de la noticia y el de su antigüedad; así como la responsabilidad de las entidades que operan motores de búsqueda de Internet de respetar el derecho a la supresión de estos enlaces cuando infrinjan la normativa de la Unión Europea y española en la materia.

Apuntar, por nuestra parte, otros límites que recoge el RGPD como son la libertad de expresión e información, el cumplimiento de una obligación legal, por razones de interés público en el ámbito de la salud pública, cuando haya fines de archivo de interés público, investigación científica o histórica y por la defensa de reclamaciones.

Procedimiento para el ejercicio del derecho al olvido

La normativa establece que para ejercer el derecho de supresión (y, por tanto, el derecho al olvido) es imprescindible que el afectado se dirija personalmente a la entidad que trata sus datos (buscador o web).

Si la entidad no responde a la petición realizada o la respuesta recibida no se considera adecuada, el afectado puede interponer una reclamación ante la AEPD que determinará si la estima o no.  La decisión de la Agencia es recurrible ante los Tribunales.

Diferencias entre el derecho al olvido y el derecho de supresión

Aunque a menudo se confunden el Derecho al Olvido y el Derecho de Supresión, no son exactamente lo mismo. Podemos ver el derecho al olvido como la manifestación del derecho de supresión aplicado a los buscadores de Internet. Hace referencia a la posibilidad de impedir la difusión de información personal a través de Internet cuando su publicación bueno cumple los requisitos de adecuación y pertenencia previstos en la normativa…

El primero, citado en el RGPD, está desarrollado en el artículo 93 LOPDGDD en cuanto a las búsquedas en Internet y en el artículo 94 de la misma Ley en cuanto a los servicios de redes sociales y similares.

El Derecho de Supresión se recoge el RGPD, en el artículo 17 que confiere al interesado el derecho a obtener, sin dilación indebida, del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir los datos personales cuando concurra alguna de las circunstancias que se detallan.

Resumiendo

El Derecho al olvido es la aplicación del Derecho de supresión en el entorno de los buscadores de Internet. Recientemente, el Tribunal Constitucional ha dictado una sentencia que reafirma este derecho en Internet.

El Derecho al olvido permite al afectado solicitar, en ciertas condiciones, que los enlaces a sus datos personales no figuren en los resultados de una búsqueda en Internet realizada en su nombre.

El Derecho puede ejercerlo el propio afectado ante los responsables de los buscadores o, si no obtiene respuesta adecuada, ante la AEPD.

En Tecnolawyer, como consultora especialista en Derecho Digital y Protección de Datos, podemos determinar la información personal vuestra que circula por Internet y ejercer en vuestro nombre el derecho al olvido. De forma segura y confidencial. Podéis hacernos una consulta aquí.

Como siempre, cuidémonos, ¡también en Internet!

Post relacionado: Google no olvida. La AEPD tampoco …

Cosas que no puedes hacer cuando quieres contratar personas

por

Ya hemos hablado otras veces de lo que se puede hacer, y cómo, y de lo que no se puede hacer cuando quieres contratar a una persona para la empresa. Hay unas reglas del juego que, cuando no se siguen, dan paso a consecuencias no deseadas, como es el caso que hoy nos ocupa.

Podemos resumir el asunto explicando que una abogada optó a una vacante en una empresa a través de un portal de empleo. Poco después, la candidata averiguó que la empresa había hecho indagaciones sobre ella consultando sin autorización un fichero de morosos y presentó una reclamación ante la Agencia Española de Protección de Datos (AEPD) que ha procedido a sancionar a la empresa.

Según el procedimiento sancionador de la Agencia, la empresa Alquiler Seguro, SA ofrecía, a través de InfoJobs, una plaza de abogada. La reclamante se inscribió en dicha oferta. Y la empresa, antes de llamarla, hizo previamente una consulta a Asnef  (Asociación Nacional de Establecimientos Financieros de Crédito) para conocer su situación. Al no figurar en el registro, a continuación, la llamaron.

Semanas más tarde, a raíz de unas gestiones que la abogada hizo con Asnef, le remitieron un histórico de consultas en la que, para sorpresa de la reclamante, aparecía la consulta de la Alquiler Seguro, SA. Considera la abogada que estamos ante un acceso al fichero por una finalidad diferente a la prevista. La empresa lo ha hecho en el marco de un proceso de selección de personal y no para valorar su solvencia de cara a una futura relación comercial.

La AEPD imputa a la parte reclamada la comisión de una infracción por vulneración del Artículo 6.1 del RGPD, por falta de legitimación en el tratamiento ya que, a su entender la actuación de la empresa no se ajusta a ninguno de los supuestos previstos en la norma. La empresa, por su parte, alegó, entre otros, que esta situación podía haberse dado por un error humano porque a la hora de introducir el DNI de la candidata a «Asnef empresas» lo hizo al «Servicio Bureau Crédito».

Finalmente, la Agencia impone una sanción de 70.000€ que, con el reconocimiento de la responsabilidad manifestado en plazo y la reducción por pago voluntario de la sanción, queda en 42.000€. No es un importe pequeño. Aprovechamos para recordar que el reconocimiento de la responsabilidad que da pie a la reducción hace que, a efectos prácticos, acabe con la vía contenciosa de reclamación.

En resumen, la empresa hizo un tratamiento de datos no legitimado porque no contaba con el consentimiento (u otra base legitimadora) para hacerlo. Y eso, según la LOPDGDD, es una infracción muy grave. La contratación de personas en las empresas tiene que seguir, como con todo, unas reglas de juego. En el post citado al principio se recogen las principales.

Como siempre, ¡Cuidaos!

17.200 millones de registros perdidos entre 2004 y 2021

por

Así se recoge en un reciente artículo de Visual Capitalist titulado «Visualizing The 50 Biggest Data Breaches From 2004–2021«. La verdad es que el dato objetivamente resulta impresionante. Claro que si la ponemos en el contexto del total de datos que se gestionan en el mundo, probablemente se podrá relativizar. En cualquier caso, el titular es lo suficientemente llamativo para hacer algunas reflexiones en torno a la privacidad y su corolario, la ciberseguridad.

¿Qué es una brecha de seguridad?

Empecemos por el principio. Una brecha de seguridad es un incidente por el que información sensible o confidencial es copiada, transmitida o robada por una entidad no autorizada. Esto puede ocurrir como resultado de ataques de malware, fraude en pagos, filtraciones internas o divulgación no intencionada.

Entendiendo los fundamentos de las Brechas de Seguridad

La brecha de seguridad consiste en todo acto de intromisión, ilícito o no autorizado que:

  1. Puede ocasionar la destrucción, pérdida o alteración accidental de los datos personales.
  2. Puede permitir la comunicación, revelación o acceso no autorizados a ficheros o tratamientos de datos personales.

Medidas de seguridad

El RGPD exige a los responsables de tratamiento de datos que apliquen las medidas jurídicas, técnicas y organizativas necesarias para garantizar la seguridad de las mismas.

Pero la seguridad debe ampliarse más allá de la protección de datos y debe rodear todos los activos de la empresa, empezando por los activos intangibles que son muchos y muy valiosos: planes de marketing, patentes, relaciones con clientes, proveedores, partners e instituciones, datos (por ejemplo, listas de clientes potenciales), desarrollo de software, marcas y un largo etcétera. Este patrimonio se puede proteger ampliando las medidas de seguridad que aplicamos a los datos.

Privacidad,  ciberseguridad y el factor humano.

La ciberseguridad es un medio para proteger a las organizaciones y a las personas. Las medidas son, como decíamos, jurídicas, organizativas y técnicas. Y el factor clave es, como siempre, el humano. Porque está en su mano implementar las medidas y, al mismo tiempo, es el activo final a proteger. Las medidas de ciberseguridad son del todo imprescindibles pero, del mismo modo, las personas debemos ser conscientes de la necesidad de protegernos ante prácticas como la ingeniería social, el phishing, la explotación de las redes sociales y tantas otras prácticas que solo buscan hacerse con nuestros datos para obtener un beneficio ilícito. Según el 2022 Data Breach Investigations Report de Verizon, en el 82% de las brechas estuvo implicado el factor humano, incluidos ataques sociales, errores y mal uso.

Medidas técnicas básicas

  1. Uso de contraseñas seguras y doble factor de autenticación
  2. Copias de seguridad
  3. Sistemas actualizados
  4. Exposición de servicios en Internet
  5. Cifrado de dispositivos

¿Qué tenemos que hacer si sufrimos una brecha de seguridad en la empresa? Protocolo AEPD

Partiendo del supuesto de que nuestra empresa está adecuada al RGPD, el artículo 33 nos impone la obligación de notificar el incidente a la autoridad de control cuando sea probable que éste constituya un riesgo para los derechos y libertades de las personas, en un plazo inferior a las 72h. desde que tengamos constancia.

La AEPD tiene publicada una Guía para la notificación de brechas de datos personales.

¡Vigilemos nuestros datos y, como siempre, cuidémonos!

 

 

 

 

¡Si no pagas los servicios con dinero, lo haces con tus datos!

por

Esto no es nuevo. Desde hace tiempo sabemos que todo aquello que nos dan «gratuitamente» lo estamos pagando con nuestros datos personales. Nos bajamos una app para hacer, pongamos por caso, de brújula y nos piden consentimiento para acceder a nuestros datos, a los contactos, a nuestra ubicación, a las fotografías y los vídeos y a un largo etc. de datos. 

Teniendo en cuenta que en nuestro teléfono tenemos de media unas doscientas aplicaciones instaladas, ya nos podemos ir haciendo una idea de la dispersión de datos que hay.

Pero tampoco es necesario que sea una app, ni siquiera que la transacción se haga en Internet. Las tarjetas de pago como VISA o las de fidelización de cualquier comercio, acumulan a lo largo del tiempo una gran cantidad de datos que permiten hacer perfiles muy detallados de los individuos.

Qué comemos, cuántos somos en casa, de qué edades, estatus económico, dificultades para llegar a fin de mes, cuáles son nuestras preferencias en alimentación, viajes, música y tantas otras cosas. Y todo a cambio de miserables puntos o algún descuento de tanto en tanto.

Hasta aquí todo lo que sabíamos pero ahora, CaixaBank, nos ha abierto aún más los ojos. Y de manera francamente desagradable, por decirlo suavemente. Porque la Agencia Española de Protección de Datos le ha sancionado con 2.100.000€ por condicionar la prestación del consentimiento a sus clientes. Una multa de 2.000.000€ por condicionar la obtención del consentimiento a la exención de comisiones bancarias. Y, una segunda, porque en el formulario de consentimiento las casillas estaban premarcadas.  Práctica muy habitual (también ocurre con las cookies) que, en este caso, ha sido sancionada con 100.000€.

Sí, he leído bien. Según la AEPD, el banco condicionaba la exención de comisiones al otorgamiento del consentimiento por parte del cliente para recibir comunicaciones comerciales y para ceder sus datos a las entidades del Grupo Bankia. El Reglamento Europeo, dice claramente que «el consentimiento quedará invalidado por cualquier influencia o presión inadecuada ejercida sobre el interesado que impida que éste ejerza su libre voluntad». La Agencia valora como agravante el gran número de clientes, cerca de un millón, que habían prestado el consentimiento para recibir publicidad y ceder los datos a Bankia.

La segunda multa se debe la inobservancia del requisito de obtener el consentimiento de una manera libre, específica, informada e inequívoca, incumpliendo el RGPD por cuanto «el silencio, las casillas premarcadas o la inacción no deben constituir consentimiento».  Esta invalidez conlleva una falta de legitimación que infringe el artículo 6.1 RGPD.

Estas noticias crean desazón en la sociedad, más si vienen de una institución que muchos consideramos señera. De una empresa de referencia como esta y por la naturaleza de su negocio, se espera que, además cumplir la normativa vigente, apliquen los más altos estándares éticos en el trato a sus clientes. La sanción económica no tendrá más trascendencia pero la reputación del Banco se verá afectada. 

Como dice el chef José Andrés, “lo importante es que nos cuidemos los unos a los otros”. Podemos empezar porque las empresas nos cuiden. ¡Y, no descuidemos, vigilar nosotros mismos!

Revisión Textos Legales Web