Derecho y empresa en entornos digitales

Quid pro quo es una expresión latina, de uso muy frecuente en el ámbito jurídico, que podríamos traducir como “una cosa por otra”. Se refiere a lo que se da a cambio de otra cosa.

Aprovechando el juego de palabras, la empresa Shackleton ha presentado Data Pro Quo, la primera máquina vending en la que se paga con datos. Sí, los productos no se pagan con dinero sino con nuestros datos. Partiendo del concepto de que los datos son la nueva moneda, la empresa lo ha llevado a la práctica de forma literal.

Ya estamos acostumbrados a cambiar datos por servicios, aunque hasta ahora lo hacíamos de forma implícita. Lo hacemos cada día una docena de veces: cuando queremos entrar en una página web (recordemos las cookies), cuando queremos descargar un documento o un ebook, cuando nos instalamos una app y tantos otros ejemplos.

Ya hace tiempo que perdimos la inocencia. Al principio pensábamos que los productos y servicios en línea eran gratuitos. Llenábamos formularios a diestro y siniestro, bajábamos cualquier tipo de infoproducto como si no hubiera un mañana y, por supuesto, instalábamos apps cada día (¿habéis contado cuántas apps tenéis instaladas en el móvil?). Por no hablar de las redes sociales que son verdaderas yonquis de los datos.

Porque todo este capital de datos que corre por Internet requiere una colosal infraestructura formada, entre otras, por centenares de miles de servidores, millones de kilómetros de fibra óptica y una gestión brutal de la energía necesaria por que nosotros podamos enviar un whastapp. Y esto tiene un coste muy elevado.

Con Data Pro Quo nos encontramos con la primera propuesta honesta de intercambio de datos por producto. El funcionamiento es el mismo que cualquier máquina de vending en la que el usuario elige el producto que quiere comprar. Y para pagar, en vez de dinero o tarjeta (no se admite otro forma de pago), tiene que responder a una serie de preguntas empezando por el cargo (la máquina está destinada a entornos corporativos) y, en función del perfil, aparecen diferentes cuestiones que, una vez contestadas, dan acceso al producto deseado.

Además de honesta y creativa, la propuesta es inteligente en el sentido que considera al usuario como una persona formada, que valora su privacidad y a quien, de forma abierta, se le puede proponer el intercambio de datos por producto.

Como siempre, tendremos que estar atentos a la gestión de los datos, una vez recogidos, desde el punto de vista de la privacidad y el control que haga la empresa sobre el riesgo de un eventual escape de datos del servidor interno. Pero esto será tema de otro post.

Cuidaos!

A finales del año pasado, la AEPD aprobó el primer Código de Conducta bajo el RGPD. Este Código es el de Tratamiento de Datos en la Actividad Publicitaria. Probablemente eclipsado por otras novedades como la entrada en vigor del nuevo Código de Conducta sobre el Uso de Influencers en la Publicidad (que ya tratamos en este post: “Inflluencer”: aquí tienes tu Código), el sector no le ha prestado suficiente atención. Así que en las próximas líneas haremos un resumen de las novedades y repasaremos los puntos clave.

Digamos, de entrada, que el contenido principal del Código es el establecimiento de un sistema extrajudicial para tramitar reclamaciones sobre protección de datos y publicidad, ágil, eficaz y gratuito para los consumidores. La elaboración de los Código de Conducta está recogida en los artículos 40 y 41 del RGPD. El RGPD establece que las autoridades de control tienen que promover la elaboración de códigos de conducta destinados a contribuir a la correcta aplicación del Reglamento, teniendo en cuenta las características específicas de los diferentes sectores de tratamiento y las necesidades específicas de las microempresas y las pequeñas y medianas empresas .

En la primera parte, el Código revisa los principios de tratamiento de datos que la industria publicitaria tiene que cumplir, en especial hace referencia a las medidas de protección de datos desde el diseño y por defecto y el principio de minimización. También recuerda la obligación de informar a los interesados del tratamiento de sus datos con fines de marketing, que el consentimiento se tiene que dar separado e inequívocamente o que el interés legítimo exige una ponderación. También recuerda la necesidad de consulta previa a los sistemas de exclusión publicitaria si no hay consentimiento expreso.

Quizás uno de los aspectos más relevantes del Código es el nuevo sistema extrajudicial de resolución de reclamaciones de protección de datos y publicidad. El procedimiento que se establece permite que los usuarios que lo deseen presenten reclamaciones gratuitamente contra las empresas adheridas al Código cuando entiendan infringidos sus derechos de protección de datos en el marco de una actividad publicitaria, como por ejemplo; la recepción de publicidad no deseada, el ejercicio de derechos relacionados con la publicidad (como el de oposición), y el tratamiento de datos en promociones publicitarias o mediante cookies publicitarias, entre otras.

Y para las empresas, ofrece un mecanismo de resolución de reclamaciones especializado, ágil, de bajo coste y eficaz, alternativo a la intervención administrativa. Y se considera una medida de responsabilidad proactiva y puede ser una atenuante en caso de eventuales sanciones.

A este Código se pueden adherir cualquiera de las entidades de la industria publicitaria. Es una herramienta útil en materia de Compliance que ayudará a las empresas a mejorar su reputación ante el consumidor, aumentando su confianza. Y ayudará a los consumidores a mantener su privacidad bajo control.

Cuidaos!

A principios de diciembre, la Agencia Española de Protección de Datos publicaba la resolución por la que se imponía a un despacho de abogados una sanción de 10.000 €. El motivo? Haber enviado un correo electrónico a ocho destinatarios, informando sobre el bloqueo de sus cuentas, sin utilizar la copia oculta.

EL RGPD establece en el artículo 5 los principios que deben regir el tratamiento de los datos personales y menciona entre ellos el de «integridad y confidencialidad». El artículo exige los datos «serán tratados de tal manera que se garantice una seguridad adecuada».

Asimismo, el artículo 32 del RGPD «Seguridad del tratamiento», establece una serie de medidas técnicas y organizativas que garantizan un nivel adecuado al riesgo que se ha definido. Entre ellas está la capacidad de garantizar la confidencialidad de los datos personales.

Entiende la Agencia que, de la documentación revisada, se desprendían indicios suficientes de que el despacho de abogados había vulnerado el artículo 32 RGPD porque se había producido una brecha de seguridad de sus sistemas. Por esta infracción, la AEPD considera que la sanción que correspondería sería de advertencia, instando al denunciado a que corrija los efectos de la infracción cometida y se adecue a las exigencias del artículo 32.

En cambio, por la infracción del artículo 5.1 f) del RGPD la sanción que corresponde es una multa por importe de 10.000 €. Y lo que es más importante, al ser una infracción del artículo 5 RGPD, la sanción podría llegar hasta los 20.000.000 € o el 4% del volumen de negocio total anual global del ejercicio financiero anterior, optando por la de mayor cuantía. Una barbaridad!

En efecto, un disparate de sanción pero que pone de manifiesto la importancia que la protección de datos está adquiriendo cada día más. Convendréis conmigo que 10.000 € de multa por 8 correos es una sanción muy importante.

Y no es una sanción a una gran empresa sino a un modesto despacho de abogados. Es lo que se conoce como «aviso a navegantes». La protección de datos requiere que todos hagamos un esfuerzo para entender sus objetivos finales y pongamos las medidas necesarias para cumplir. Las reglas del juego están para seguirlas y esto no es una excepción.

Cuidaos!

Aunque parezca que hace mucho tiempo, fue poco antes de Navidad cuando la AEPD impuso la sanción más alta de su historia: 5 millones de euros de multa al BBVA por vulnerar 3 artículos del RGPD. Y a esto hay que añadir que España es líder de la Unión Europea en sanciones a PYMES por incumplimientos del RGPD.

En realidad han sido dos infracciones. La primera, calificada de muy grave, de 3 millones de euros por vulnerar el artículo 6 del Reglamento General de Protección de Datos (RGPD), en cuanto a la fórmula para obtener el consentimiento de los clientes. La segunda, de carácter leve, por los datos obtenidos del interesado que suponen una vulneración de los artículos 13 y 14 del citado Reglamento.

Al mismo tiempo, la resolución impone una serie de medidas que obliga al BBVA a cambiar, en un plazo máximo de seis meses, su sistema de gestión de protección de datos en relación al deber de información y la obtención del consentimiento.

Sin querer entrar en más detalle de la resolución (puedes leerla íntegra aquí), si quiero aprovechar para hacer varias consideraciones.

Para empezar, el hecho más llamativo que supone el elevado importe de las sanciones. Parece que la AEPD, en línea con otras autoridades de control europeas, ha decidido imponer sanciones muy elevadas. Alguien puede decir que para una entidad como el BBVA se trata de una cantidad irrisoria. Pero no debemos olvidar que las sanciones pueden llegar hasta 20.000.000 de euros o el 4% de la facturación anual consolidada del grupo. Y parece que se ha puesto en marcha un camino más estricto.

Por otro lado, el daño reputacional para la entidad puede ser muy elevado. El eco mediático que ha tenido la noticia no ha pasado, estoy seguro, desapercibido para la sociedad, en general, y para los grupos de interés del banco (clientes, accionistas, etc.), en particular.

Y todo comenzó con un SMS publicitario enviado a un cliente que estaba dado de alta en Lista Robinson desde hacía tiempo. Fíjate tú quién lo iba a decir.

Y para completar el panorama sancionador, adelantaros que España lidera la UE en sanciones a PYMES. El número aún es modesto pero el incremento de multas del 2019 al 2020 ha sido del 252%. Pero de esto hablaremos en un próximo post en el que aportaremos datos de un estudio propio.

Conviene, en cualquier caso, que las empresas extremen sus precauciones.

¡Cuidaos!