Ricard Castellet

Aparte de los textos legales en la web, ¿qué más tengo que hacer?

por

Es una consulta frecuente. Ya hablamos en un post, allá por el mes de mayo, sobre los textos legales de la web. Lo que interesa explicar hoy es que para tener una web legal es necesario que la empresa como tal cumpla con el Reglamento General de Protección de Datos (RGPD). No basta con que los textos legales tengan apariencia de legalidad, necesitamos hacer más cosas.

En Internet es frecuente encontrar todo tipo de textos legales. Aparte de los correctos (en denominación y contenido), podemos ver textos con nombres inventados (Términos y condiciones de uso de Privacidad), texto copiados ( "fusilados", con el peligro que supone utilizar los textos de otra empresa) , textos incompletos y una larga casuística de la que nos ocuparemos otro día.

Hoy quiero llamar la atención a las empresas que utilizan textos sin haberse adecuado al Reglamento. Empecemos por decir que los textos legales que aparecen en la web son la parte pública de la adecuación. Pero para disponer de estos textos, la empresa tiene que, previamente y entre otros, haber hecho un Análisis de Riesgos, tener un Registro de Actividades de Tratamiento, definir una Estructura técnica y organizativa, haber establecido las Medidas de seguridad correspondientes, firmar los necesarios Acuerdos de confidencialidad con los empleados y el Contratos de encargado de tratamiento con empresas terceras que tratan datos por cuenta nuestra, generar los Protocolos de información y comunicación (cláusulas de tratamiento, Internet, Derechos del usuario, ... ) y producir los Informes reglamentarios.

Sólo cuando la empresa está adecuada al Reglamento se puede generar la Política de Privacidad y los textos necesarios para los formularios que recogen los datos personales de los usuarios. Naturalmente, tendremos que añadir otros textos que dependen de otras normativas, según el caso, como son el Aviso legal, la Política de Cookies (con el banner correspondiente) y las Condiciones de Contratación (si tenemos una tienda virtual).

Copiar los textos de otro web (o prácticas similares) porque no tenemos la empresa adecuada es un fraude que está perseguido por las autoridades. Y es bastante fácil detectarlo y, por tanto, sancionarlo.

La Protección de datos no es compleja pero hay que hacerlo bien. En los supuestos más sencillos, el propio usuario la puede implementar siguiendo las indicaciones de la Agencia Española de Protección de Datos (AEPD) a través del programa FACILITA. Por el resto, recomendamos buscar la ayuda de un profesional.

Recordemos que implantar la Protección de Datos tiene un coste cierto y muchas ventajas como evitar costes reputacionales y sanciones y generar confianza entre empleados, clientes, proveedores, entre otros. No tener un programa de Protección de Datos, en cambio, puede tener un coste incalculable.

Imagen Pixabay

La AEPD publica recomendaciones para minimizar los riesgos para la privacidad en la navegación por Internet

por
  • El document repassa algunes de les tècniques més utilitzades per fer seguiment a internet, com les galetes o les basades en identificadors únics de publicitat
  • Valorar la privacitat a l'hora de triar un navegador o evitar la instal·lació d'aplicacions innecessàries són algunes recomanacions bàsiques
  • Per a usuaris avançats s'aconsella configurar a la xarxa domèstica un bloquejador de consultes DNS o navegar a través d'una VPN o la xarxa TOR

    Baja la infografía

Privacy Shield; ¿qué has de saber si haces márqueting digital?

por

Ya nos referimos en un post anterior ( 'Efecto Bruselas': puñetazo de la UE sobre la mesa) a la decisión del Tribunal de Justicia de la Unión Europea (TJUE) que invalidaba el acuerdo conocido como "Privacy Shield "que garantizaba que las empresas estadounidenses adheridas al mismo, más de 5.000, aplicaban los mismos estándares de protección de datos que las empresas europeas afectadas por el RGPD. Esta decisión permitía, entre otras cosas, que las transferencias de datos entre países adecuados y Estados Unidos se pudieran realizar como si de un país europeo adecuado se tratara.

La razón, según dice el Tribunal, es que la normativa interna americana relativa al acceso y utilización de datos personales por las autoridades no ofrece las garantías suficientes ya que los programas de vigilancia no se limitan a lo estrictamente necesario, vulnerando el principio de proporcionalidad.

Y esta decisión conlleva, naturalmente, consecuencias en diferentes órdenes de valor y por diferentes sectores. Lo que nos ocupa aquí es el sector del marketing para muchas empresas del sector utilizan plataformas de envío masivo, por ejemplo MailChimp, que están ubicadas en los Estados Unidos. Como sea que el Privacy Shield sse ha anulado sin periodo de transición ni moratoria alguna, todos los flujos se han quedado sin soporte legal y, en rigor, se deberían suspender (desde el pasado 16 de julio, fecha de la sentencia).

En el momento de escribir estas líneas no se ven alternativas de cumplimiento plenamente satisfactorias. La única solución, ahora mismo, es mover los datos personales a plataformas ubicadas en territorio europeo (si es necesario, cambiando de proveedor). Somos conscientes de las dificultades operativas de hacer esto en la mayoría de los casos, sobre todo si supone cambio de proveedor.

Las demás soluciones, como por ejemplo recabar el consentimiento explícito de los usuarios o suscribir con el importador nuevas o mejoradas cláusulas contractuales tipo, no son fáciles de implementar y, actualmente, no está claro que cumplan la legalidad. Hay que estudiar caso por caso.

Recomendamos insistentemente pedir consejo profesional si se encuentra en la circunstancia de tener que tratar datos personales que se alojan en servidores en Estados Unidos. No se la juegue!

Imagen Pixabay

Cookies again

por

Teníamos pendiente dos cuestiones con respecto a las cookies: la validez de la opción "seguir navegando" como forma de prestar el consentimiento por parte de los usuarios y la posibilidad de utilizar los conocidos como "muros de galletas" que permiten limitar acceso a determinados servicios o contenidos a los usuarios que expresamente aceptan el uso de cookies.

Y la Agencia Española de Protección de Datos (AEPD) ha actualizado recientemente su Guía sobre el uso de las cookies para adaptarla a las Directrices sobre consentimiento modificadas en mayo de 2020 por el Comité Europeo de Protección de Datos (CEPD) . La nueva Guía ya está publicada en la web de la Agencia.

Respecto al primer aspecto destacable, la opción de "seguir navegando", la Guía explicita que no es, en ninguna circunstancia, una forma válida de prestar el consentimiento, en la medida en que estas acciones pueden ser difíciles de distinguir de otras actividades o interacciones del usuario, por lo que no sería posible entender que el consentimiento es inequívoco.

En cuanto a los "muros de galletas", la Guía dice que no se podrán utilizar sino ofrecen una alternativa al consentimiento. Este criterio resulta especialmente importante en aquellos supuestos en que la denegación de acceso impediría el ejercicio de un derecho legalmente reconocido al usuario, por ser, por ejemplo, el acceso a un sitio web el único medio facilitado al usuario para ejercitar este derecho.

Estos nuevos criterios se deberán implementar, a más tardar, el 31 de octubre de este año, estableciéndose así un periodo transitorio de tres meses para introducir los cambios necesarios en los mecanismos de obtención del consentimiento para el uso de cookies que se estén utilizando.

Está claro que la industria publicitaria deberá mover ficha y quizás el camino es explicarle al usuario, de forma transparente, para que se usan las cookies. Si el usuario sabe exactamente porqué queremos sus datos y en qué le beneficia, estará dispuesto, a buen seguro, a compartirlas con nosotros. No hay otro camino.

El cumplimiento normativo no es un camino corto y fácil pero si todos -instituciones, empresas, ciudadanos y profesionales de la privacidad- trabajamos juntos en la misma dirección conseguiremos que contribuya significativamente al crecimiento de la actividad económica, con seguridad. Y, al fin y al cabo, eso es lo que queremos todos.

Imagen Pixabay

El Tribunal de Justicia de la Unión Europea declara inválido el Escudo de Privacidad para la realización de transferencias internacionales de datos a EEUU

por

El 16 de julio de 2020 el Tribunal de Justicia de la Unión Europea (TJUE) ha hecho pública una sentencia en la que anula la Decisión 2016/1250 de la Comisión que declaraba el nivel adecuado de protección del esquema del Escudo de Privacidad (Privacy Shield) para las transferencias internacionales de datos a EEUU. Esta Decisión sustituía a su vez a Puerto Seguro, que también fue declarado inválido por el TJUE en octubre de 2015.

Más información

La AEPD actualiza su Guía sobre el uso de cookies para adaptarla a las nuevas directrices del Comité Europeo de Protección de Datos

por
  • La nueva versión de la Guía adapta el contenido a las Directrices sobre consentimiento revisadas por el Comité Europeo de Protección de Datos en mayo de este año
  • Al igual que en versiones anteriores, la Agencia ha contado con la participación de los sectores afectados
  • Los nuevos criterios deberán implementarse, a más tardar, el 31 de octubre de este año, estableciéndose así un periodo transitorio de tres meses para la adaptación

Más información

‘Efecto Bruselas’: puñetazo de la UE sobre la mesa

por

En pocos días se han reunido dos hechos que guardan una estrecha relación y que son de suma importancia para los ciudadanos europeos y, me atrevo a decir, para muchos ciudadanos del mundo. Me estoy refiriendo al libro 'El efecto Bruselas' de Anu Bradford y, naturalmente, la anulación del acuerdo conocido como Privacy Shield con Estados Unidos.

Bradford sostiene que es Europa -y no Estados Unidos o China- quien domina el mundo. ¿Cómo? Gracias al Efecto Bruselas o, lo que es lo mismo, la externalización involuntaria de regulaciones a través de mecanismos globalizadores del mercado. Según la autora, este efecto acaba influyendo más en la vida de muchos habitantes del planeta que el poder económico o militar de los gigantes americanos y chinos.

Europa es un mercado único muy envidiable, entre otras cosas, por su gran poder adquisitivo. Y las empresas internacionales asumen las estrictas leyes de la UE para poder acceder y beneficiarse. Y estas empresas imponen estas reglas a sus filiales en todo el mundo con el fin de uniformar los procedimientos, aprovechar las economías de escala y reducir costes.

Y un ejemplo que avala la tesis es el Reglamento General de Protección de Datos (RGPD) que entró en vigor hace poco más de dos años. Ya escribimos entonces que era una legislación con vocación 'universal' porque que afectaba a los ciudadanos de la UE y que las empresas que quisieran tratar datos personales -imprescindibles para el tráfico económico- estaban obligadas a cumplir con la normativa. Cualquier empresa, de cualquier parte del mundo, sin excepción.

Estados Unidos ha regulado, desde siempre, de forma muy laxa la protección de datos y siempre a remolque de la UE. Hasta tal punto que Europa acaba de anular el acuerdo denominado Privacy Shield. Se trata de un acuerdo firmado hace cuatro años que permitía transferir datos personales de ciudadanos de Estados miembros europeos en Estados Unidos. La decisión de invalidar el acuerdo se basa en que la UE no confía en que la información sea tratada con las garantías pertinentes en términos de privacidad.

De las consecuencias de la decisión -tanto con respecto a las grandes tecnológicas americanas o para miles de pymes- hablaremos en otra ocasión. Hoy se trata de poner de manifiesto el puñetazo sobre la mesa de la UE, haciendo visible el Efecto Bruselas 'en materia de protección de datos. Y no será el último.

Twitter, ¿a dónde vas?

por

Hemos conocido este semana, miércoles, que Twitter, la red social de los mensajes cortos, ha sido hackeada. Las cuentas de Jeff Bezos, Musk, Obama o Gates se han visto decididamente comprometidos. Esto, junto con la respuesta de la compañía al incidente, ha disparado todas las alarmas.

En los Estados Unidos ya lo han calificado de "tweet-tastrophe". Y no es para menos. La brecha de seguridad ha afectado a unas 130 cuentas de personas relevantes. Y los hackers, según las primeras informaciones, han podido tener acceso total a un número indeterminado de estas cuentas.

Twitter puede tener actualmente unos 400 millones de usuarios y es la forma más rápida de comunicación de masas. Ningún otro medio puede competir. Y todo lo que tiene de bueno lo tiene de perverso en situaciones como ésta. Y perversidad en dos vertientes: la gravísima situación creada por un lado y, del otro, la irresponsabilidad de la compañía y su decepcionante respuesta al incidente.

Respecto a la primera, ahora se ha evidenciado el riesgo que supone que los líderes mundiales utilicen un producto comercial que no ha sido verificado por las autoridades de seguridad y que está en manos de una empresa privada. Imaginemos, por un momento, la importancia que puede tener para la cotización de Tesla en bolsa un tweet malintencionado tuitado, supuestamente, por Elon Musk. O para las economías mundiales si el tweet procede de un Bill Gates impostado. Y que decir de un tweet fake de Trump cuando los verdaderos ya nos ponen los pelos de punta. Desde el hundimiento de una compañía a un estallido económico, o vete a saber si sanitario si el tuit se refiere al Covid-19, hasta poner en peligro la seguridad mundial con tuits falsos cruzados entre Trump y Putin, por ejemplo.

Respecto a la responsabilidad de la compañía cabe decir que es máxima. Está claro que todo sistema es susceptible de ser hackeado pero para ello las empresas, y más cuando son así de relevantes, deben tener planes de contingencia que permitan minimizar, sino evitar, los posibles daños. Y en cualquier caso, si las cuentas son atacadas, nunca debería existir la posibilidad de que alguien tomara el control de la cuenta de un usuario cuando éste ha seguido todas las normas y ha aplicado sus medidas de seguridad. La irresponsabilidad de Twitter es estratosférica y absolutamente imperdonable.

Y la respuesta al incidente has sido absolutamente insuficiente. Sin comunicación, sin información, sin explicaciones, sin disculpas. Silencio total. Descontrol total. Y este no es el camino. Por eso preguntamos, Twitter, ¿a dónde vas?

Imagen Pixabay

Reutilizar papel puede resultar muy caro

por

La AEPD multa a una abogada para reutilizar documentos con datos de clientes en el reverso. La letrada, que afronta una sanción de 2.000 euros, aprovechó papel usado que contenía información personal de nuestros clientes.

Siempre es bueno reutilizar y reciclar cualquier consumible y el papel es, todavía, uno de los más importantes en este aspecto. Tradicionalmente, además, en los despachos de abogados se ha utilizado mucho papel por razones obvias - escritos de todo tipo, comunicados de los juzgados, copias para todas las partes, etc.- Por razón de la profesión, el abogado necesita mucho papel y es práctica habitual reciclar todo el papel posible.

Pero las cosas están cambiando. La transformación digital, que ha avanzando mucho durante la pandemia, es una revolución imparable. Pero hasta que no esté implantada completamente debemos tener cuidado y observar cuidadosamente la legislación vigente, en este caso, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD).

La AEPD considera que la actuación de la letrada supone, precisamente, una vulneración del artículo 32 de este Reglamento. La norma en cuestión obliga a los responsables de tratamiento de datos a "aplicar medidas técnicas y organizativas para garantizar el nivel de seguridad adecuado". Para ello ha fijado una sanción de 2.000 euros.

Según recoge la resolución, la abogada usó papel que contenía información personal de otros clientes, incluso un menor de edad, para convocar una reunión de inquilinos. Papel que en el reverso aparecían datos de terceros referidas a procedimientos anteriores, lo que suponía hacer accesible estos datos a terceros, sin consentimiento de los titulares.

El artículo 32 del RGPD, en el marco de la Seguridad de los datos personales, apunta las medidas a tomar para garantizar un nivel de seguridad adecuado al riesgo como, por ejemplo, la seudonimización y el cifrado, garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, la capacidad de restaurar los datos y el acceso a la información en caso de incidente y un proceso de verificación y evaluación de la eficacia de las medidas implementadas. Aplicando estas medidas minimizaremos los riesgos y evitaremos las sanciones.

Porque 2.000 euros es una sanción relativamente pequeña. El equivalente, aproximadamente a 625 paquetes de 500 hojas DIN A4. Y se pueden recuperar en el próximo asunto que nos encarguen. Pero lo peor, como siempre, es la reputación. ¿Confiaríamos nuestros asuntos más importantes a un profesional que no tiene cuidado de los datos personales y de la privacidad de sus clientes? Es más, ¿confiaríamos en un abogado que no cumple la ley en su actividad?

Imagen Pixabay

Revisión Textos Legales Web