Ricard Castellet

Ciberseguridad, ¡siempre la ciberseguridad!

por

Hemos hablado de ello muchas veces pero no nos cansaremos al insistir en la importancia creciente que tiene la ciberseguridad en nuestras vidas, personales y profesionales. Debemos ser conscientes de que la tecnología evoluciona muy rápidamente y nosotros debemos seguir esta evolución si queremos seguir siendo competitivos en el mundo profesional y estar tranquilos en la esfera personal.

Y no, la ciberseguridad no es algo que no tiene que ver conmigo o con mi empresa. Tiene que ver y mucho. Sólo hace falta darse una vuelta por páginas como el PortalTIC de Europa Press o por los Avisos de Seguridad de INCIBE. Y si desea impresiones más fuertes puede ver el Mapa en tiempo real de amenazas cibernéticas de Kaspersky. En el momento de escribir este post, España era el octavo país más atacado del mundo.

Y nada escapa a la voracidad de los ciberatacantes. Estafas a cuenta de la guerra de Ucrania, campañas fraudulentas en Whatsapp que piden datos personales a cambio de una cafetera Nespresso o, incluso, venta de historiales médicos en la Dark Web por un euro. Y podemos añadir noticias más genéricas por igualmente impactantes como que más de tres millones de páginas web expusieron sus copias de seguridad por una vulnerabilidad, que los ataques DDos se multiplicaron por 4,5 en el cuarto trimestre de 2021 o 6 de cada 10 españoles tienen malware en su ordenador.

Naturalmente, es para tomárselo en serio. Tanto si queremos preservar los activos intangibles de la empresa (que son más y más importantes de lo que pensamos) como si queremos tener una vida personal sin sobresaltos (otro día hablaremos de la privacidad en las redes sociales) debemos tomar medidas y no bajar la guardia. Nunca.

Y la pregunta recorriendo, en empresas y a nivel personal, es, ¿qué debemos hacer? Pues para empezar, concienciarnos de la importancia de la ciberseguridad. Y podemos realizar un símil muy familiar con la conducción de un automóvil. Pensamos en el tiempo, dinero y atención que le dedicamos al vehículo y los desplazamientos que hacemos. Desde la elección del modelo y sus prestaciones hasta las revisiones periódicas, pasando por disponer de seguro, cumplir la normativa, prever la meteorología y el tiempo a emplear en los desplazamientos y tantas otras variables que controlamos, muchas veces y por rutina, sin ser plenamente conscientes de ello.

Pues lo mismo con nuestros dispositivos, las aplicaciones, el uso que hacemos, las precauciones que tomamos y, en definitiva, la atención que le prestamos a nuestra actividad cibernética. Y, sobre todo, vigilemos a los menores que son los más vulnerables.

Un buen sitio para empezar es la página “Tú Ayuda en Ciberseguridad” de INCIBE. Y para quien tenga dudas sobre el significado de los términos informáticos que se utilizan a menudo en Ciberseguridad, puede acudir al Glosario de términos publicado por INCIBE. Muy completo y fácil de consultar. Recomendable.

Esforcémonos, por bien de todos, en tener una vida cibersegura. ¡Cuidados también en este aspecto!

Industria publicitaria: ¿cómo afectará el nuevo RD sobre publicidad de alimentos y bebidas para menores?

por

Esta semana, el Ministerio de Consumo ha presentado el borrador del Real Decreto que regulará la emisión de publicidad de alimentos y bebidas para menores de 16 años. El documento, que estará en trámite de audiencia e información pública hasta el próximo 29 de marzo, tiene como objetivo "garantizar la protección de los derechos a la salud y el desarrollo integral de la infancia".

Dos son los grandes objetivos del Real Decreto:

1) Definir un marco regulatorio mínimo para la protección de la salud de la infancia y la adolescencia.

2) Promocionar acuerdos de corregulación y códigos de conducta en el ámbito de las comunicaciones comerciales sometidas a la norma.

Con el fin de justificar el Real Decreto, el Ministerio realiza una larga exposición de motivos, incluyendo numerosas referencias a estudios de la Organización Mundial de la Salud (OMS), de la Autoridad Europea de Seguridad Alimentaria (EFSA) y otros de carácter nacional como el que asegura que en España, cuatro de cada diez escolares entre 6 y 9 años sufren exceso de peso, Además la obesidad y el sobrepeso afecta especialmente a sectores vulnerables de la población.

La norma limita y reduce la exposición del público infantil y adolescente a la publicidad de alimentos y bebidas considerados poco saludables. Y va dirigida a menores de 16 años con acceso a contenido publicitario a través de medios como televisión, prensa y revistas infantiles, páginas web o redes sociales.

¿Y cuáles son las principales restricciones y prohibiciones? Por lo que afecta a la industria publicitaria, destacamos:

Evitar el uso de elementos de fantasía como dibujos animados.
No presentar alimentos y bebidas en cantidades excesivas.
Prohibir comunicaciones que sugieran que la compra aportará éxito social, popularidad o cualidades especiales de quien aparece en sus anuncios.
Prohibir comunicaciones comerciales que inciten a los menores a pedir a los familiares que les compren el producto anunciado.

El RD también incluye prohibiciones específicas de hacer publicidad en 5 categorías de productos:

  • Chocolate y productos de confitería, barritas energéticas, coberturas de dulces y postres
  • Pasteles, galletas dulces y bollería y otros productos de pastelería
  • Zumos
  • Bebidas energéticas y
  • Helados

Respecto a los productos no afectados de forma específica, se podrán publicitar siempre que no excedan determinadas cantidades de sodio, azúcar, edulcorantes, grasas totales y saturadas por cada 100 gr. de producto.

También se incluyen prohibiciones específicas en cuanto a las comunicaciones comerciales como que aparezcan “madres o padres, educadores, docentes, profesionales de programas infantiles, deportistas, artistas, influencers, personas o personajes de relevancia, notoriedad pública o proximidad con el público infantil , sea real o de ficción, que por su trayectoria sean susceptibles de constituir un modelo o ejemplo para las personas menores de edad”.

También se prohíbe realizar promociones dirigidas al público infantil que publiciten alimentos que no respeten los límites mencionados.

Destacar, por último, las restricciones sobre la publicidad en Internet de los productos limitados o prohibidos. En los servicios de intercambio de vídeos a través de plataformas o redes sociales, sólo se permitirá en plataformas que dispongan de mecanismos eficaces para evitar que las comunicaciones se dirijan al público infantil y permitan el bloqueo de anuncios emergentes por parte de los usuarios. La publicidad en páginas web y aplicaciones también queda supeditada a que dispongan de mecanismos similares.

Por último, el régimen sancionador remite a la Ley 17/2011, de 5 de julio, sobre Seguridad Alimentaria que prevé sanciones de hasta 600.000€ por las infracciones más graves en la materia.

Habrá que seguir la evolución del texto legal durante la exposición pública y ver cómo queda la norma definitiva. Sin embargo, tomamos nota y empezamos a prever los posibles escenarios que se pueden plantear y a pensar en alternativas. La previsión es siempre buena consejera.

Como siempre, ¡Cuidados!

¿Del interfono al Whatsapp?

por

Digo lo del interfono porque todavía no lo sabemos manejar correctamente y ahora cada día tenemos que aprender cosas nuevas. Pues bien, hoy toca repasar el Whastapp, que todos utilizamos, porque hay aspectos de los que quizás no somos conscientes de ello y pueden ocasionarnos problemas. Existen conductas, incluso, que pueden tipificarse como delito y tener consecuencias penales.

Más allá de cuestiones básicas como la de pedir el consentimiento para añadir a alguna persona a un chat grupal (ejemplo clásico son el grupo de padres de la clase o el grupo de viaje, en el marco de la normativa de protección de datos) o la difusión de imágenes íntimas, con o sin consentimiento (que vulnera el artículo 197.7 de nuestro Código Penal) y existen otras conductas más desconocidas que también pueden acarrear consecuencias.

Hablamos, por ejemplo, de prácticas muy habituales como es el compartir fotografías y reenviar capturas de pantalla con conversaciones ajenas, y archivos, mediante Whatsapp. Son infracciones, sino delito, cuando se realiza sin el consentimiento de los afectados y son especialmente graves cuando los datos se difunden de forma abierta ya un gran número de destinatarios. Sin olvidar la protección de los menores y personas vulnerables.

En estos supuestos podríamos estar lesionando el derecho a la intimidad o al honor de las personas implicadas. También puede ser delito difundir audios, vídeos o simplemente imágenes de un tercero sin consentimiento. En los casos más graves se puede incurrir en un delito de descubrimiento y revelación de secretos.

Otra conducta a la que quiero referirme es al espionaje del móvil de otra persona. Acceder al contenido de un móvil ajeno y hacerse con la información que contiene –fotos, vídeos, conversaciones, etc. es delito si no está autorizado por el propietario del dispositivo. Si además se reenvía la información a otras personas también se comete una ilegalidad, incluso la cometen quienes la difunden aunque no hayan participado en su obtención. Recordemos algunos ejemplos, a veces muy tristes, como el de la trabajadora de Iveco o el de Amanda Todd.

Respecto al espionaje, cabe decir que el Código Penal castiga incluso la mera adquisición de programas o contraseñas destinados a facilitar el acceso al dispositivo de otra persona. Pero si, además, se instalan y descubre la intimidad del propietario, estaríamos ante un delito de descubrimiento y revelación de secretos recogido en el citado artículo 197 del Código Penal que prevé penas de prisión de uno a cuatro años y multa de doce a 24 meses. No es ninguna broma.

Nos dejamos en el tintero muchos otros conductos habituales que tienen carácter de ilícitas como pueden ser las amenazas, las injurias, las calumnias, el grooming (engatusar a menores para que faciliten material sexual explícito), el stalking (acoso) y otros.

La tecnología pone en nuestras manos medios que hasta hace poco eran ciencia ficción. Debemos aprender a utilizarlos y, sobre todo, formar a los menores porque, desde la inconsciencia propia de la edad, existen conductas que, más allá de su reproche penal, pueden tener graves consecuencias para las personas afectadas. Como siempre, sentido común y prudencia.

Aprenda, también, cómo funciona el interfono que va siendo hora. ¡Cuidados!

Cuando la realidad supera a la ficción, una vez más

por

La RAE recoge en su diccionario, bajo la primera acepción de realidad, la "existencia real y efectiva de algo". Y, en la segunda, "verdad, lo que ocurre verdaderamente". Y por realidad virtual, la “representación de escenas o imágenes de objetos producida por un sistema informático, que da la sensación de su existencia real”.

Viene esto a cuento de algunas noticias aparecidas en los medios en los últimos días referidas a los “deepfakes”. El término se popularizó el pasado año a raíz de la aparición en la red social TikTok de la cuenta “deeptomcruise” que en cuestión de minutos se volvió viral con millones de seguidores.

En la cuenta se pueden ver imágenes del famoso actor haciendo trucos de magia, tocando la guitarra, promocionando productos de limpieza industrial y otras actividades, todas ellas con el denominador común de ser falsas o, como ahora se dice, “fakes. Esto con un realismo inquietante por las posibilidades, tan buenas como malas, que se nos pueden ocurrir.

Tanto es así que provocan el efecto que se denomina "uncanny valley". Una hipótesis que afirma que cuando las réplicas antropomórficas se acercan en exceso a la apariencia y comportamiento de un ser humano real, causan una respuesta de rechazo entre los observadores humanos. Vale la pena visualizar algunos vídeos para hacernos una idea hasta dónde puede llegar esta tecnología que no ha hecho más que empezar.

De hecho, según Scientific American, "los humanos encuentran las caras generadas por IA más fiables que las reales". Lo cierto es que las imágenes generadas por ordenador con Inteligencia Artificial son prácticamente indistinguibles de las caras humanas.

Y esta tecnología plantea muchas cuestiones a las que se les tendrá que dar respuesta. Porque esto va más allá del Photoshop o de los extraordinarios efectos especiales a los que Hollywood nos ha acostumbrado en los últimos años. Ahora cualquiera puede, de forma muy fácil y económica (en Internet hay muchos programas para hacerlo), sustituir una cara en un vídeo o en una foto y que resulte imperceptible al espectador.

Tecnología que permite desde bromear o divertirse poniendo la propia cara a un personaje de ficción en el cine (podemos ser Rick o Ilsa en Casablanca, por ejemplo) hasta hacer campañas de desinformación (políticas o de otro tipo ), creación de escenas porno falsas para chantajear o cualquier otra actuación orientada al fraude, al abuso o cualquier iniciativa orientada a extorsionar a otro.

Naturalmente, como con cualquier nueva tecnología, ya han salido al mercado herramientas para ayudar a identificar a los “deepfakes” y ha comenzado la guerra entre dos tecnologías opuestas. Y también, como era previsible, ya aparecen voces que proponen prohibir la tecnología por los peligros que puede acarrear. Prohibición que, obviamente, tendrá poco recorrido. Creo más posible la instalación en el dispositivo de un software tipo antivirus que detecte los deepfakes, por lo que no seamos tomada de los delincuentes.

Y esto, sin duda, no ha hecho más que empezar.

Como siempre, ¡cuidados!

 

¿Eres europeo? Pues la guerra de Ucrania no es la única amenaza

por

La semana pasada recogíamos el conflicto de Google con la legislación de protección de datos de la UE. De hecho, el Supervisor Europeo acababa, nada menos, de sancionar al Parlamento Europeo por infringir el RGPD al utilizar, precisamente, Google Analytics. Puedes leer el post aquí.

Y ahora toca, no podía faltar el inefable Mark Zuckerberg. Amenaza con cerrar Facebook e Instagram en Europa. La advertencia se encuadra en la guerra que Meta, la matriz de Facebook, Instagram y Whatsapp, tiene con las leyes europeas de protección de datos.

El problema tiene la misma raíz que con Google Analytics, MailChimp y una larga lista de empresas americanas que no cumplen con la legislación europea. Todo viene de la sentencia que anuló el acuerdo denominado Privacy Shield entre la UE y EEUU el pasado verano de 2020. Y ya lo explicamos en su día ('Efecto Bruselas': puñetazo de la UE sobre la mesa). Y la UE está dispuesta a hacer valer el Derecho de la Unión.

Y por si esto no ha quedado claro, la UE dar dos pasos definitivos en el sentido regulador: la reciente Ley de Servicios Digitales (DSA) que ha aprobado el Parlamento Europeo (que todavía no entrará en vigor hasta que se negocie con la Comisión y el Consejo Europeo) es una y, la otra, la Ley de Mercados Digitales.

Respecto a la primera, y en palabras del comisario de competencia de la UE, “Es hora de poner orden en el salvaje oeste digital. Hay un nuevo sheriff en la ciudad, que se llama DSA”. El resumen de la Ley sería que lo que es ilegal en la vida real, debería serlo online. La Ley se centra en crear un entorno digital más seguro para los usuarios y las empresas digitales, a través de la protección de los derechos fundamentales online. La Ley aborda, entre otros, el comercio e intercambio de bienes, servicios y contenidos ilegales online y, muy importante, los sistemas algorítmicos que amplían la propagación de la desinformación.

Y respecto a la segunda, complementaria de la primera, pretende igualar las condiciones para todas las empresas digitales, independientemente de su tamaño. Fija reglas claras sobre lo que las grandes plataformas de Internet pueden y no pueden hacer en la UE. Busca promover la innovación, el desarrollo y la competitividad, ayudando a las empresas más pequeñas ya las nuevas empresas a competir con las grandes.

Como decíamos en el post, Europa es un mercado único muy envidiable, entre otras cosas, por su gran poder adquisitivo. ¿Será suficiente para que los gigantes tecnológicos se sometan a las leyes europeas? ¿Es lo de Facebook una fanfarronada para presionar a las autoridades europeas? ¿Qué hará Google con Google Analytics?

Veremos lo que ocurre en los próximos meses pero, lo que esta claro, es que la UE quiere, y probablemente lo conseguirá, marcar el paso. Wait and see.

Mientras tanto, ¡cuidados!

¿Qué sabes de Google Analytics?

por

Pues si sabes poco o nada y tienes una web que utiliza cookies para recoger datos de Google Analytics, ya puedes ir aprendiendo rápido. El Supervisor Europeo de Protección de Datos acaba de sancionar al Parlamento Europeo por infringir el Reglamento de Protección de Datos al utilizar, precisamente, Google Analytics.

No deja de tener gracia que la primera sanción de este tipo se haya impuesto en el Parlamento Europeo. Está claro que, a partir de ahí, todos –empresas, administraciones, instituciones, etc.– tendrán que cumplir la normativa porque, como decía el clásico de Rojas Zorrilla, “del rey abajo, ninguno”.

Durante la pandemia, el Parlamento contrató a una empresa para la realización de pruebas de detección de Covid a los europarlamentarios y al resto de trabajadores de la Cámara. Los usuarios debían registrarse en la web del proveedor que utilizaba cookies de Google Analytics y de la pasarela de pago Stripe. Los datos personales recogidos eran transferidos a Estados Unidos sin suficientes garantías de protección. El Parlamento ha estado apercibido y obligado a actualizar los avisos relativos al tratamiento de los datos personales.

¿Y esto en qué nos afecta? Pues que cualquier web, y son la mayoría, utilizan cookies de Google Analytics y los datos recogidos son transferidos a Estados Unidos, cometen una infracción en materia de protección de datos. No es el único caso. MailChimp es otra empresa muy conocida, que se utiliza por miles de empresas para hacer mailings, que tampoco cumple con la normativa. Y sus clientes, por tanto, tampoco.

Y esto, ¿por qué ocurre?

Pues eso ocurre porque en el verano de 2020, a raíz de la histórica sentencia conocida como Schrems II, una resolución del Tribunal de Justicia de la Unión Europea invalidó el escudo de protección de la privacidad (Privacy Shield) entre la Unión Europea y los Estados Unidos por no cumplir con los niveles de protección comunitarios. Lo que significa que si queremos continuar transfiriendo datos deberemos hacerlo aumentando las garantías por el usuario (por ejemplo, con Cláusulas Contractuales Tipo CTT, Normas Corporativas Vinculantes NCV y otros).

Si no se establecen las garantías y medidas técnicas adecuadas, a las empresas españolas –europeas– no les que otro que alojar los datos en servidores localizados fuera de Estados Unidos. Y puestos a cambiar, la recomendación es hacerlo en territorio comunitario. Y lo que decimos es válido, no sólo para el cloud sino también para aquellas aplicaciones que utilizamos a diario y que, muchas veces inadvertidamente para casi todos, transfieren los datos a un país no adecuado.

Lo dicho. Tenga cuidado. Y cuando contratamos un servicio (web, cloud, marketing, etc.) hacemos la pregunta de rigor: ¿se realizan transferencias internacionales de datos personales? Y no nos conformamos con una respuesta verbal. Pidámoslo por escrito al proveedor.

Como siempre, cuide los datos y ¡Cuídese!

¿Publicas fotos de tus trabajadores en la web o en las redes sociales?

por

Pues hay que tener cuidado. La AEPD ha sancionado a una empresa con 9.000 euros por publicar en su web y redes sociales fotos de un trabajador sin su consentimiento.

Porque publicar imágenes de un trabajador sin permiso es sancionable pero no hacer caso a las peticiones para retirarlas aún más. Esto es lo que le ha pasado a una empresa de formación que ha sido sancionada con 9.000 € por tratar los datos del trabajador sin consentimiento (6.000 €) y no atender a las demandas para eliminar las imágenes de las redes sociales (Facebook e Instagram), otros 3.000€. Además del coste reputacional, por supuesto. No es ninguna broma.

Así lo ha entendido la AEPD en su Resolución de Procedimiento Sancionador. La empresa publicó fotografías de la trabajadora sin consentimiento. La trabajadora pidió a la empresa, al menos en dos ocasiones, que retiraran las fotografías en las que aparecía, sin que la empresa atendiera su petición. Tras intentarlo una segunda vez, de nuevo sin éxito, la trabajadora afectada presentó una reclamación, en noviembre de 2020, ante la AEPD.

La Agencia intentó ponerse, por distintas vías, en contacto con la empresa sin conseguirlo. Quedó acreditado que la empresa había llevado a cabo un tratamiento de datos consistente en haber subido las fotografías a su página web y sus redes sociales. No consta que la exhibición de las imágenes estuviera amparada por ninguna base legitimadora del arte. 6 RGPD (por ejemplo, el consentimiento), quedando acreditada la comisión de la infracción.

Para agravarlo más si cabe, la empresa no atendió el derecho de supresión de la interesada, amparado por el artículo 17 RGPD, y no excluyó los datos personales de su tratamiento. Según este artículo “el interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan”. Y el responsable estará obligado a suprimir sin tardar los datos personales cuando, entre otras condiciones, se dé la recogida en el apartado “d) los datos personales hayan sido tratados ilícitamente”.

Para graduar las sanciones, la Agencia considera que los tratamientos vienen de lejos -desde 2017 a 2020-, la cantidad no es escasa y el alcance es importante ya que figuran en dos redes sociales y la propia web de la empresa. Respecto a la infracción por no atender el derecho de supresión del artículo 17 RGPD, la Agencia relata que se solicitó en dos ocasiones, sin obtener ninguna respuesta, lo que pone de manifiesto una falta de cumplimiento en los deberes que le corresponden a la empresa.

Aprendamos la lección. No se pueden publicar imágenes de los trabajadores sin su consentimiento. Atendamos las peticiones de supresión que nos hagan. La carencia de diligencia es imperdonable. Y un recordatorio. Cuando un trabajador deja la empresa (despedido o por voluntad propia), recordemos suprimir las imágenes en las que aparece (web, redes, folletos, anuncios, etc.). Salvo, claro, que no tengamos su consentimiento expreso.

Como siempre, ¡Cuidados!

La agresión sexual ya está pasando en el Metaverso

por

Meta afirma que los usuarios no lo usaban correctamente. La plataforma de realidad virtual  Horizon Worlds, apenas acaba de presentarse al público, y los usuarios ya están siendo asediados sexualmente e incluso agredidos, según podemos leer en The Verge.

Empecemos por el principio. ¿Qué es Meta? El pasado mes de octubre, por los que lo desconocen, el inefable Mark Zuckerberg presentó Meta, la nueva marca de Facebook, la finalidad de la cual será dar vida al metaverso y ayudar la gente a conectarse, encontrar comunidades y hacer crecer negocios. En la presentación, Zuckerberg explicó que, a partir de ahora, su compañía se centraría en hacer realidad esta idea, la del metaveros, y, por lo tanto, tenía sentido cambiar el nombre para reflejar mejor sus objetivos: Facebook ahora se llama Meta.

La realidad es que, según parece, el cambio de nombre representa un intento por deshacerse de lo que los propios empleados consideran una marca tóxica y que afecta, cada día más, a la percepción de sus productos. La marca que hasta hace unos años era reconocida y valorada, ha perdido su reputación, justo es decir, que por los errores cometidos por su fundador. Los escándalos de privacidad se asocian cada vez más con la marca FB. Recordamos solo el de Cambridge Analytica que, a pesar de ser de los más famosos, no ha sido el único ni mucho menos.

¿Y qué es entonces el metaverso? Podríamos entenderlo como un ciberespacio evolucionado. En un sentido amplio, involucra una serie de tecnologías, la primera de las cuales es la realidad virtual, caracterizada por mundos virtuales persistentes que continúan existiendo, con vida propia, aunque tú no estés. El acceso al metaversp se hace a través de gafas de realidad virtual como, por ejemplo, Oculus. El metaverso abre nuevos horizontes y un montón de posibilidades. Cómo podía ser Internet a finales de los 70 del siglo pasado. Nadie sabía exactamente cómo sería pero todo el mundo (los que estaban al corriente de la tecnología) tenían la percepción que sería una cosa grande. Bien, al final esta siendo una cosa inmensa que no se ve donde acabará.

Y todo esto es para explicar que la nueva plataforma de Zuckerberg ya ha sufrido el primer tropiezo. En efecto, ya han llegado las primeras denuncias por acoso e incluso por agresión sexual en el metaverso. Según un testigo, “No solo me palparon ayer noche, sino que había otras personas que apoyaron a este comportamiento que me hizo sentir aislada en la Plaza.”

La condición humana no cambia ni tanto solos en el metaverso. Comportamiento delictivo en unos y mirar hacia otro lado, los otros. Está claro que nos tenemos que adaptar a lo que está por venir porque es inevitable. De manera similar a que no podemos ir contra la ley de la gravedad, tampoco podemos ir contra el metaverso. Eso sí, ya de buen comienzo tenemos que asentar las bases de convivencia. Si no, se nos irá de las manos.

Como siempre, cuidaos (en el metaverso, también)!

FanPages, cumplimiento obligado del RGPD

por

A raíz de una consulta empresarial, hacemos este post para aclarar conceptos sobre la relación entre las FanPages y el RGPD. La respuesta corta es que sí, las empresas que las usan tienen que cumplir con la normativa de protección de datos.

Empezaremos para explicar, para quien no lo sepa, qué es una FanPage. Las fanpages son una funcionalidad que Facebook introdujo ya hace años. Es una página creada especialmente para ser un canal de comunicación con fans dentro de la red social.

A diferencia de los perfiles, son espacios que reúnen a personas interesadas sobre un asunto, empresa, causa o algún rasgo en común sin la necesidad de la aprobación de la solicitud de amistad. Es el fan el que elige si seguirá o no las actualizaciones de una determinada página.

Son canales de comunicación muy apreciados por las empresas porque es una forma económica, rápida, sencilla y cuantificable de comunicar en tiempo real con clientes potenciales. Una especie de televisión o radio pero con unos costes infinitamente más económicos.

La consulta que nos hacía el empresario era básicamente sobre dos puntos ¿Estamos obligados a cumplir con el RGPD? y, si es así, ¿Qué tenemos que hacer?

A efectos de la normativa de protección de datos, estas páginas funcionan como una página web. Recogen datos personales de los usuarios y, por lo tanto, se tiene que aplicar la misma normativa, es decir, proporcionar acceso al Aviso legal, a la Política de Privacidad y a la Política de Cookies de la empresa. Y naturalmente que toda la documentación cumpla la normativa vigente. Si además, como es frecuente, la empresa instala el píxel de seguimiento de Facebook, con más motivo. Pero del píxel ya hablaremos otro día.

Dicho esto y entienden que es una página situada en una plataforma en la que la empresa tiene muy poco margen de maniobra, conviene establecer quién es realmente el responsable de los datos personales, la empresa o Facebook. Pues bien, lo son los dos.

Una sentencia de junio de 2018 del Tribunal de Justicia de la Unión Europea resolvió que el concepto de responsable del tratamiento comprendía también al administrador de un página web alojada en una red social. Según la sentencia, a pesar de que Facebook trata los datos personales mediante cookies sin informar a la empresa, no es menos cierto que FB pone a disposición de la empresa estadísticas (anónimas) de los visitantes y que la empresa puede definir criterios a partir de los cuales se tienen que elaborar las estadísticas e, incluso, designar las categorías de personas los datos de las cuales serán objeto de explotación por parte de FB. La sentencia concluye que el administrador de la página tiene que ser calificado como responsable del tratamiento conjuntamente con FB.

Por lo tanto tenemos que cumplir con lo siguiente: informar de los datos y su finalidad, recoger el consentimiento explícito para el tratamiento, pedir solo los datos necesarios, no usar los datos con una finalidad diferente a la pedida, no conservar los datos más tiempos del necesario, implementar medidas organizativas adecuadas, atender las solicitudes de ejercicio de los derechos de los usuario y crear la correspondiente actividad en el Registro.

Como siempre, atentos a todos los detalles de cumplimiento. Y si tenéis dudas, consultadnos.

Y lo más importante, cuidaos!

Revisión Textos Legales Web