La Agencia Española de Protección de Datos (AEPD) ha publicado la Guía de Protección de Datos por Defecto (PDpD), que ofrece una visión práctica para ayudar a aplicar este principio a los tratamientos de datos siguiendo lo establecido en el Reglamento General de Protección de Datos (RGPD) y en las directrices adoptadas por el Comité Europeo de Protección de Datos.
Ricard Castellet
La AEPD publica los resultados de su plan de auditoría sobre la contratación de servicios a distancia en los sectores de telecomunicaciones y energía
La Agencia Española de Protección de Datos (AEPD) ha publicado un ‘Plan de inspección de oficio sobre contratación a distancia en operadores de telecomunicaciones y comercializadores de energía’ en el que analiza los tratamientos de datos en estos sectores y su adecuación a la normativa de protección de datos desde la perspectiva de la acreditación de la identidad del contratante y de los servicios contratados.
Cookies: ¡se acabó el tiempo!
Cómo decíamos el pasado julio (ver post), la Agencia Española de Protección de Datos (AEPD), dio un plazo para implementar los nuevos criterios en cuanto a las cookies (pequeñas informaciones que nos envían los sitios web para, entre otros, darnos servicio y rastrear nuestra actividad en Internet). Este plazo se acaba mañana 31/10/2020.
Cómo es natural, este seguimiento que permiten las cookies tiene muchas implicaciones en materia de protección de datos. A todos nos ha pasado ir a ver unos zapatos a un tienda online y, a partir de aquel momento, los anuncios de zapatos nos persiguen por toda la web, vayas donde vayas. Y esta es una de las funciones más inocuas de las cookies. Estamos inmersos, cada día más, en una economía de los datos. Y nosotros somos esto: datos. Datos de comportamiento, de preferencias, de hábitos, etc. Y cuando navegamos vamos dejando un rastro que es una mina para las empresas que tratan datos y, en general, para todas que los aprovechan. Google o Facebook son los paradigmas más conocidos pero hay otras miles.
El Comité Europeo de Protección de Datos (CEPD) el pasado mayo modificó las Directrices sobre la prestación del consentimiento por parte del usuario en materia de cookies. Las nuevas directrices se basan en la interpretación de los principios de transparencia en la información y la libre prestación del consentimiento del usuario.
En este sentido, las modificaciones principales fueron:
- Es necesaria una clara afirmación afirmativa por parte del usuario. La opción “seguir navegando” ya no es válida. No se podrá activar ninguna cookie (excepto las técnicas) si no hay aceptación exprés.
- No se podrán usar los “muros de cookies” que condicionan el acceso del usuario a la aceptación de cookies, salvo que se le informe y ofrezca una alternativa.
- El usuario tiene que poder aceptar o no las cookies, de manera sencilla y de forma granular. Por ejemplo, agrupadas por finalidad (analíticas, publicitarias, etc.)
- Si se incluyen cookies de terceros, hay que detallar como se ofrecerá la información, la obtención del consentimiento y los medios para revocarlo.
Y para acabar, dos cosas: los titulares de las páginas web que no se hayan adaptado a las nuevas exigencias se exponen a ser sancionados con multas de hasta 30.000 € por incumplimiento leve de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSICE).
Y dos, sin perjuicio de que, en la medida que la instalación de cookies afecte al tratamiento de datos personales de los usuarios, el RGPD contempla sanciones que pueden ser elevadas para las infracciones más graves.
«Influencer»: ¡aquí tienes tu Código!
El próximo 1 de enero de 2021 entrará en vigor el Código de Conducta sobre el Uso de Influencers en la Publicidad, recogiendo un conjunto de reglas que vincularán a los anunciantes adheridos a la AEA (Asociación Española de Anunciantes), a AUTOCONTROL, así como a cualquier otro anunciante del sector y a Influencers que voluntariamente se adhieran al mismo.
Los influencers son , quién lo puede negar, un actor de creciente importancia en el sector de la difusión publicitaria en la, cada vez más tecnológica y comunicada, sociedad actual. Y, como sea que la regulación va siempre por detrás de las posibilidades que nos ofrece la tecnología –internet sobre todo–, la publicación del Código es una buena noticia para el sector y para toda la sociedad.
Hasta ahora, la línea entre la publicidad legal y la publicidad ilícita era muy delgada y a menudo se traspasaba, incluso por desconocimiento, provocando una inseguridad jurídica en el sector y una conducta inapropiada hacia los consumidores. El Código viene a perfilar la función de los Influencers en la publicidad, introduciendo novedades interesantes en el uso de personas influyentes en las redes sociales para promocionar todo tipo de productos y servicios. Todo con el objetivo de acabar con prácticas prohibidas por nuestra legislación como la publicidad encubierta.
El objetivo del Código es que los contenidos digitales o menciones realizadas por los Influencers que tengan naturaleza publicitaria sean claramente identificables por los usuarios que los siguen. Así se recomienda1 que las menciones o los contenidos publicitarios divulgados sean:
• Explícitos y claros, usando indicaciones como “Publicidad”, “Patrocinado por”, Regalo de (marca), ...
• También cuando se comparte, la indicación se tiene que mantener o añadirse cuando se comparte o “repostea” el contenido a otras plataformas.
• Adecuadas al medio y al mensaje, por escrito o verbal según las circunstancias
• Visibles, directamente visible, sin necesidad de acciones por parte del usuario. Preferiblemente al inicio del mensaje, de forma que se perciban claramente.
Lo importante es que los seguidores tienen que saber que el mensaje que reciben es publicidad.
Y las empresas y los Influencers disponen de poco más de dos meses para adaptarse a la nueva regulación. A partir del año que viene, veremos el grado de cumplimiento que logramos en la reducción de la publicidad encubierta en las redes y otros medios digitales.
1Aquí podéis encontrar la infografía publicada al respecto.
Imagen freepik
Health Data Hub de Francia se trasladará a la infraestructura de nube europea para evitar transferencias de datos UE-EE. UU.
La Comissió Nacional d'Informàtica i Llibertats (CNIL) ha emès algunes recomanacions per als serveis francesos que tracten dades de salut. Aquests serveis han d'evitar l'ús d'empreses d'allotjament en el núvol que estiguin ubicades als Estats Units, com Microsoft Azure, Amazon Web Services i Google Cloud.
RGPD: Más de7.000 millones de euros en multas desde que entró en vigor en 2018
Desde que fuera de obligado cumplimiento en mayo de 2018, el Reglamento General de Protección de Datos (RGPD o GDPR, por sus siglas en inglés) las sanciones impuestas por no cumplir con esta normativa suman más de 7.000 millones de euros en toda Europa.
Teletrabajo y el respeto a los derechos a la intimidad y la privacidad
El pasado martes 13 entró en vigor la nueva Ley del Teletrabajo que regula el trabajo a distancia. La norma quiere dar forma jurídica a las relaciones laborales en el marco del teletrabajo, una realidad que cada día se impone más. Y no sólo por la pandemia, acelerador de la transformación digital como ningún otro, sino porque ambas partes -trabajador y empresa- han encontrado ventajas que en muchos casos superan a las desventajas.
Y, como es natural, situaciones jurídicas que conocíamos del trabajo presencial, continúan estando presentes en la nueva normativa. Así como hablábamos hace poco de la desconexión digital (a raíz de una multa de la AEPD), ahora hay que hablar otra vez de los derechos del trabajador -sobretodo intimidad y privacidad- y también de la potestad discrecional que tiene el empresario, siempre cumpliendo la normativa, en el ámbito del teletrabajo.
En el contexto del teletrabajo todo es más complejo por diferentes razones: por la novedad (quiero decir, inexperiencia), el uso intensivo de la tecnología, la falta de medios y de cultura de teletrabajo, el respeto a los derechos de unos y otros , la supervisión del empresario y otros aspectos que todos hemos sufrido estos últimos meses (como, por ejemplo, hacer una videoconferencia desde el salón de casa con los niños corriendo arriba y abajo).
El teletrabajo ha llegado para quedarse. Y la normativa, también. El futuro se plantea con soluciones mixtas -presencial y a distancia, en proporciones variables según situaciones- y la normativa debe ser lo suficientemente flexible para proporcionar posibilidades antes que recortarlas. Y, si queremos ser competitivos, entre todos debemos hacerlo posible.
Y en este contexto, la Ley faculta a las empresas (artículo 22) a "adoptar las medidas que estimen más oportunas de vigilancia y control para verificar el cumplimiento por la persona trabajadora de sus obligaciones y deberes laborales, incluyendo la utilización de medios telemáticos". Y en el artículo 17, Derecho a la intimidad y la protección de datos, dice "La utilización de los medios telemáticos y el control de la prestación laboral mediante dispositivos automáticos garantizará adecuadamente el derecho a la intimidad y la protección de datos".
Expuestas las condiciones, ahora es necesario aterrizar las cuestiones jurídicas planteadas. Para eso tendremos que responder a múltiples preguntas:
- ¿Qué programas y dispositivos puede usar el empresario para controlar a los trabajadores?
- La empresa ¿debe proporcionar los medios informáticos y de comunicaciones al trabajador?
- ¿Cómo se hace efectivo el derecho a la desconexión digital (a través del Registro de jornada?)?
- ¿Puede el empresario obligar al trabajador a instalar determinados programas en su portátil?
- ¿Y a usar su conexión wifi? ¿Y el móvil?
La Ley impone al empresario la obligación de informar a los trabajadores de los protocolos de uso de los dispositivos electrónicos y las vías por las que las tareas pueden ser monitorizadas. Y todo ello con dos límites: la intimidad y la protección de datos del trabajador, observando los principios de "idoneidad, necesidad y proporcionalidad".
Como podemos ver, nos queda un largo camino por delante. Y lo tenemos que recorrer rápido y bien. No hay otra.
Así funciona la desconexión digital: ¡hasta 6.250€ de multa!
Según recoge el diario Cinco Días, el envío de emails fuera de la jornada de trabajo puede conllevar multas de hasta 6.250 €. Desde la Inspección de Trabajo ven los correos sancionables si la empresa no aclara que se deben responder en horario laboral.
Primero, hagamos memoria de qué es la Desconexión Digital. El derecho a la desconexión digital fuera del horario de trabajo se conceptúa como la limitación al uso de las tecnologías de la comunicación para garantizar el tiempo de descanso y vacaciones de los trabajadores. Y este Derecho viene recogido en el Título X de la Ley Orgánica de Protección de Datos y Garantía de los derechos digitales (LOPDGDD).
Durante la pandemia ha habido un considerable aumento del teletrabajo. Y lo hemos hecho sin estar preparados técnicamente, ni culturalmente, ni, por supuesto, laboralmente. Con videoconferencias a todas horas (sí, aquellas con camisa y pijama), el buzón lleno hasta arriba de correos con infinidad de adjuntos y todos preguntándonos cómo rellenar o firmar un pdf (y buscando a toda prisa una firma digital).
Y todo ello haciendo más horas que un reloj. La falta de preparación y de medios, un sumatorio de ineficiencias elevado al infinito, se compensaba en tiempo de dedicación laboral. Horarios extensos, fines de semana, fiestas, sacrificando el descanso, la familia, ... Lejos queda el tiempo en que el viernes al mediodía cerrabas el despacho hasta el lunes. Ahora el despacho y muchos trabajos (en especial en el sector servicios) están abiertos 24/7.
¿Por qué, quién no mira el correo fuera de horas de trabajo? O preferimos llegar lunes y encontrarnos la bandeja de entrada llena hasta arriba con temas que podíamos haber avanzado durante el fin de semana?
Desconexión digital para todos o no? La desconexión digital es, en mi opinión, imprescindible para todos. Y las empresas harán bien en cumplir la norma. Pero, más allá del cumplimiento, lo que necesitamos es aprender a utilizar las diferentes herramientas de comunicación e información para sobrevivir en la frenética sociedad de hoy. Entre todos tenemos que poner límites.
Mientras tanto, recordemos que si queremos enviar un correo a un trabajador, podemos hacerlo en cualquier momento pero, eso sí, cumpliendo con la normativa que, en este caso, exige indicar claramente que se debe responder en horario laboral. Y esto vale para llamadas, whatsapp y otras herramientas de comunicación. Y entender que, si es viernes tarde, no podemos pedir un informe para el lunes a primera hora. Tan simple como eso.
Imagen Pixabay
Ciberdelincuencia y Protección de Datos
El aumento imparable de la ciberdelincuencia es un hecho en nuestro país y en todas partes. Según un Informe de Cibercriminalidad del Ministerio del Interior de 2019, los ciberdelitos ya representan el 10% de las infracciones penales conocidas. Y los fraudes en Internet son el segundo delito más común por detrás de los hurtos.
Y este hecho no ha hecho más que empeorar en tiempos de pandemia. El teletrabajo a toda prisa, sin medios y sin preparación por parte de las empresas y trabajadores ha sido un campo abonado para todo tipo de fraudes, estafas y, lo que más nos importa ahora y aquí, los ciberataques a las empresas.
Check Point, proveedor especializado en Ciberseguridad a nivel mundial, en su Informe "Cyber Attack Trends: 2020 Mid-Year Report", muestra cómo los cibercriminales han aprovechado del Covid-19 para lanzar campañas contra las empresas de todo el mundo y todos los sectores, incluyendo gobiernos, infraestructuras críticas, instituciones sanitarias, proveedores de servicio, usuarios finales y otros. Los datos señalan que las empresas españolas han sufrido más de 450 ciberataques semanales de media. Y las cifras no dejan de aumentar. Por nuestra parte, apuntar que este año, por primera vez, algunos clientes han sufrido ataques en la nube (ransomware, encriptación de datos con petición de rescate).
Y todo esto, que es necesario conocer, qué tiene que ver con la protección de datos? Pues tiene mucho que ver en dos aspectos: por una parte, por la obligación que tiene el responsable del tratamiento de preservar adecuadamente los datos personales que se lo encomiendan. Y por el otro, la posibilidad que tiene la empresa de aprovechar la adecuación al Reglamento para hacer extensivo a todos los intangibles de la empresa las medidas implementadas.
En efecto, de acuerdo con el Reglamento General de Protección de Datos (RGPD), la primera medida que debe impulsar el responsable es un Análisis de Riesgo que permita valorar los riesgos que se asumen al tratar datos personales. A partir de esta valoración, el responsable viene obligado a implementar, de forma discrecional (partiendo de la responsabilidad proactiva), medidas técnicas y organizativas para garantizar la seguridad de los datos.
Y nuestra recomendación es extender el Análisis de Riesgo en el resto de activos intangibles de la empresa (know-how, proyectos, patentes, marcas, planes de marketing, clientes, etc.) y, una vez hecha la valoración global , ampliar y reforzar las medidas de seguridad que, además de garantizar el cumplimiento de la normativa en materia de protección de datos, preserve todo nuestro patrimonio empresarial intangible y, sobre todo, que preserve nuestra reputación.
Imagen Pixabay