Ricard Castellet

Cumplir con el Reglamento General de Protección de Datos cuando hacemos e-mail marketing, no es complejo. Basta observar unas buenas prácticas y añadir dosis de prudencia y sentido común. A continuación repasamos algunas.

Mantener listas limpias pidiendo confirmación ( "double opt-in")

Cuando el interesado nos envíe sus datos a través de un formulario, envíen un correo de confirmación en el que debe confirmar su suscripción. Así tendremos listas más limpias y confiables.

Procesar los datos personales bajo la base de legitimación correcta

Podemos tratar los datos de los interesados ​​por diferentes propósitos pero debemos determinar siempre cuál es la base legal que nos legitima a hacerlo: Consentimiento inequívoco, Necesidad contractual, Obligación legal, Interés legítimo, Interés público e Interés vital del interesado.

Obtener el consentimiento explícito antes de enviar correos de marketing

Si la base legal es la de Consentimiento inequívoco, enviamos los e-mails de consentimiento a los suscriptores. De este modo, nos aseguramos de que aquellos suscriptores que han mostrado interés, por ejemplo en ferias, convenciones, webinars, ..., han expresado explícitamente su consentimiento para recibir nuestras comunicaciones. Y tendremos que ofrecer también la posibilidad de denegar el consentimiento.

Informar al usuario

El usuario tiene el derecho a que se le informe, expresamente o por remisión a la Política de Privacidad, de quién es el responsable del tratamiento, la finalidad, la base de legitimación, la conservación y comunicación de los datos, los derechos que asisten a los usuarios y forma de ejercerlos. Además de cumplir con la normativa, generamos confianza en el usuario.

Ser transparentes con los datos de los usuarios

En virtud al Derecho de acceso que reconoce el RGPD, el usuario tiene que poder acceder a sus datos personales cuando lo pida. Puede pedir, también, que se le faciliten estos datos en formato digital, legible por máquinas.

Decir claramente quiénes somos

Facilitamos nuestros datos: nombre de la empresa responsable de los datos, CIF, dirección electrónica (específica para protección de datos) y postal y un número de teléfono de contacto. Generamos confianza y facilitamos la comunicación.

Explicar de donde hemos sacado los datos

O, lo que es lo mismo, explicar a los suscriptores como los hemos conocido y por qué están en nuestra lista.

Dejamos elegir lo que quieren recibir

Diferenciamos nuestra oferta de forma que se pueda elegir, con una acción positiva, la información que los suscriptores quieren recibir, sin condicionarlo. Hagámoslo fácil para todos.

Permitir la modificación / eliminación de datos personales

Los suscriptores podemos pedir modificar o eliminar su información personal de nuestros registros. Son derechos que recoge el RGPD. Y es nuestra obligación facilitar los mecanismos necesarios para poder ejercerlos.

Protegemos la información

La protección de los datos es un aspecto clave del RGPD. Debemos tener cuidado de almacenar los datos personales con la máxima seguridad, controlando el acceso, cifrando y haciendo las preceptivas copias de seguridad.

Garantizar todo con una Política de Privacidad

En todas las comunicaciones debemos añadir un enlace a la Política de Privacidad. Y a la hora de recoger el consentimiento, debemos disponer de una casilla que el usuario debe marcar conforme ha leído y acepta la Política de Privacidad. Esta Política debe explicar, al menos, quién es el responsable del tratamiento, la finalidad, la base de legitimación, la conservación y comunicación de los datos, los derechos que asisten a los usuarios y forma de ejercerlos.

Primera sanción de la AEPD por no cumplir la normativa respecto a la utilización de cookies en su página web a la compañía Vueling . 

Según el usuario denunciante, "la Web de la compañía no permite utilizar las cookies estrictamente necesarias y además huelga una acción afirmativa y positiva que no se pueda malinterpretar el consentimiento y lo asumen simplemente al visitar su página web".  

Una vez realizadas las oportunas comprobaciones, según la Agencia, la empresa no cumple con las condiciones que impone la normativa en vigor. En los fundamentos de derecho dice que "si se accede a la segunda capa, el consentimiento a que se cedan datos a terceros a través de cookies es implícito, ya que en ningún momento da la opción de poder oponerse a la  instalación de estas en el dispositivo o de cualquier otra cookies".

Además, no facilita un sistema de gestión o panel de configuración de cookies que permita al usuario eliminarlas de forma granular. Para facilitar esta selección el panel podrá habilitar un mecanismo o botón para rechazar todas las cookies, otro para habilitar todas las cookies o hacerlo de forma granular para poder administrar preferencias. 

Los hechos expuestos, prosigue la Agencia, podrían suponer por parte de la empresa reclamada, la comisión de la infracción del artículo 22.2 de la LSSI¹, según el cual: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal".

Esta Infracción estas tipificada como leve en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI.

Finalmente, la Agencia, tras las evidencias obtenidas en la fase de investigaciones previas, considera que procede graduar la sanción a imponer en la cuantía de 30.000€. Como sea que ha habido reconocimiento de la responsabilidad por parte de la empresa, la sanción se ha reducido hasta los 18.000€.

Leer la Resolución completa aquí.

¹ LSSI: Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico

 

 

A finales de abril de este año, se han conocido las primeras resoluciones sancionadoras emitidas por la Agencia Española de Protección de Datos (AEPD) en las que se aplica la nueva normativa de protección de datos. Las sanciones impuestas son multas o apercibimientos.

Los principales actos sancionados con multa han sido por las siguientes causas:

Por enviar a una persona al fichero de morosidad:

• Infringiendo el principio de exactitud de los datos 5.000 €- (a Vodafone)
• Vulnerando el consentimiento 28.000 €-
• Vulnerando el principio de calidad en relación con los ficheros de morosidad 24.000 €-.
• Por incumplir los requisitos para enviar una persona al fichero de morosidad 2.500€-

Por recibir más de 200 SMS a pesar de que había ejercitado del derecho de cancelación del servicio

• Por falta de diligencia en el tratamiento de datos al no ejercer el derecho de cancelación de un servicio 45.000 €-. (a Vodafone)

Vodafone es una de las empresas que más sanciones sufre en materia de protección de datos

Las sanciones con multa tienen una reducción del 20% por reconocimiento de responsabilidad y de otro 20% por pago voluntario.

Los principales actos sancionados con apercibimiento -sin sanción económica- han sido por las siguientes causas:

Videovigilancia

• Por grabar en la vía pública y en algún caso por no informar de ello. Se han sancionado con apercibimientos a bares, tabernas y particulares.

Envío de correo electrónico sin copia oculta

• Por envíos a direcciones de correo electrónico sin ocultar las direcciones de los destinatarios por parte de pequeñas empresas. Ninguna de ellas había sido comunicada como brecha de seguridad.

Brechas de seguridad

• Por utilización de terminales de teléfono expuestos a disposición de potenciales clientes desde los que se podía acceder a datos personales de empleados y clientes por parte de 2 tiendas de teléfonos móviles
• Por tener en la basura documentos con datos personales de alumnos por parte de una cooperativa que gestiona un centro de enseñanza. La policía local vio como las trabajadoras de la limpieza tiraban a la basura los documentos y denunció al colegio ante la AEPD. La Junta Directiva tuvo que ser destituida por este motivo.

Imágenes de menores

• Por tomar fotografías a un menor de 5 años sin consentimiento de quien ostenta la patria potestad por parte de una feria de atracciones.
• Por realizar fotos de menores, sin consentimiento, para comercializar unos calendarios denunciado por parte del AMPA. Las familias habían dado el consentimiento al colegio, pero no al AMPA. El padre de uno de los menores interpuso reclamación ante la AEPD.

Publicación de datos en la web

• Un antiguo trabajador cuya imagen seguía apareciendo en la página web de su anterior empresa
• Publicación en la web de una asociación de una sentencia estimatoria de un recurso en el ámbito judicial militar sin estar anonimizados los datos personales

En vista de estas actuaciones, para las sanciones con apercibimiento parece ser suficiente con que se acredite la toma de medidas organizativas y/o técnicas o bien se informe de la intención de no volver a incurrir en la acción sancionada.

Estas han sido las primeras sanciones que se han dado a conocer. Se prevé que, a partir de septiembre, la acción sancionadora de la AEPD se intensifique.