Privacidad – protección de datos

5.1. Privacidad en un entorno disruptivo: IoT, Big Data, Cloud, redes sociales…
5.2. Marco normativo de protección de datos: España, Unión Europea, Privacy Shield, BCR y un mundo global.
5.3. Reglamento Europeo de Protección de Datos: análisis sistemático. Principios, obligaciones y régimen aplicable.
5.4. El responsable de tratamiento y sus obligaciones: evaluaciones de impacto y un nuevo modelo de cumplimiento en protección de datos.
5.5. Data Protection Officer (DPO): análisis detallado de sus funciones y obligaciones. Formación específica y habilitadora para el perfil DPO.
5.6. La privacidad en modelos de compliance y de certificación de protección de datos.

¿Me puedo fiar de tu web?

por

La página web de la empresa es nuestro escaparate, como si de una tienda se tratara. Es la primera impresión que se lleva nuestro cliente potencial. Y como decía Oscar Wilde, “Nunca hay una segunda oportunidad para causar una primera buena impresión”. Y la base para causar una buena impresión es que la web sea segura. Después ya podremos desarrollar los contenidos y adaptarla estéticamente.

Una web insegura es la peor impresión inicial que se puede llevar un visitante. Transmite una sensación entre la dejadez y la negligencia. Y, además, puede ser objeto de sanción, como es el caso de esta empresa a la que la AEPD ha impuesto una multa de 3.000€ por vulnerar tanto el Reglamento (RGPD[1]) como la Ley de Servicios de la Sociedad de la Información (LSSICE[2]). Y no estamos hablando de una multinacional sino de una SL como tantas hay en el mercado.

¿Cómo saber si la web es insegura?

Lo primero es comprobar si la web tiene instalado el certificado SSL que garantice el cifrado entre el navegador y la página. Tenemos que asegurarnos de que el protocolo de la página empieza por https:// o muestra un candado. Haciendo clic en el candado veremos si el certificado es válido y otros detalles. Otras cuestiones son disponer de un hosting que mantenga la web actualizada, usar formularios de contacto en vez de correos electrónicos y otros que serán objeto de un próximo post.

Porque, además de la parte técnica, nos tenemos que ocupar de la parte legal. Y esto pasa por poner a disposición del usuario, como mínimo, los siguientes textos legales:

  • Aviso legal
  • Banner de cookies
  • Política de cookies
  • Política de privacidad
  • Condiciones de contratación (si tenemos e-commerce)
  • Formulario de contacto (consentimiento positivo)

Todos ellos resultado de la adecuación de la empresa al RGPD y la LSSICE. Es decir, no vale poner solo los textos sin adecuar o, lo que es peor, copiar los textos de otra página web. Y hay que prestar atención, ahora mismo, a las cookies, tema del que ya hemos hablado en este post.

Tener una web segura y adecuada en materia de protección de datos nos permitirá evitar sanciones y transmitir confianza al visitante. El resto, contenido y estética, ya son harina de otro costal.

[1] Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD)
[2] Ley 34/2002, del 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSICE)
Imagen Pixabay

Cookies: ¡se acabó el tiempo!

por

Cómo decíamos el pasado julio (ver post), la Agencia Española de Protección de Datos (AEPD), dio un plazo para implementar los nuevos criterios en cuanto a las cookies (pequeñas informaciones que nos envían los sitios web para, entre otros, darnos servicio y rastrear nuestra actividad en Internet). Este plazo se acaba mañana 31/10/2020.

Cómo es natural, este seguimiento que permiten las cookies tiene muchas implicaciones en materia de protección de datos. A todos nos ha pasado ir a ver unos zapatos a un tienda online y, a partir de aquel momento, los anuncios de zapatos nos persiguen por toda la web, vayas donde vayas. Y esta es una de las funciones más inocuas de las cookies. Estamos inmersos, cada día más, en una economía de los datos. Y nosotros somos esto: datos. Datos de comportamiento, de preferencias, de hábitos, etc. Y cuando navegamos vamos dejando un rastro que es una mina para las empresas que tratan datos y, en general, para todas que los aprovechan. Google o Facebook son los paradigmas más conocidos pero hay otras miles.

El Comité Europeo de Protección de Datos (CEPD) el pasado mayo modificó las Directrices sobre la prestación del consentimiento por parte del usuario en materia de cookies. Las nuevas directrices se basan en la interpretación de los principios de transparencia en la información y la libre prestación del consentimiento del usuario.

En este sentido, las modificaciones principales fueron:

  • Es necesaria una clara afirmación afirmativa por parte del usuario. La opción “seguir navegando” ya no es válida. No se podrá activar ninguna cookie (excepto las técnicas) si no hay aceptación exprés.
  • No se podrán usar los “muros de cookies” que condicionan el acceso del usuario a la aceptación de cookies, salvo que se le informe y ofrezca una alternativa.
  • El usuario tiene que poder aceptar o no las cookies, de manera sencilla y de forma granular. Por ejemplo, agrupadas por finalidad (analíticas, publicitarias, etc.)
  • Si se incluyen cookies de terceros, hay que detallar como se ofrecerá la información, la obtención del consentimiento y los medios para revocarlo.

Y para acabar, dos cosas: los titulares de las páginas web que no se hayan adaptado a las nuevas exigencias se exponen a ser sancionados con multas de hasta 30.000 € por incumplimiento leve de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSICE).

Y dos, sin perjuicio de que, en la medida que la instalación de cookies afecte al tratamiento de datos personales de los usuarios, el RGPD contempla sanciones que pueden ser elevadas para las infracciones más graves.

Así funciona la desconexión digital: ¡hasta 6.250€ de multa!

por

Según recoge el diario Cinco Días, el envío de emails fuera de la jornada de trabajo puede conllevar multas de hasta 6.250 €. Desde la Inspección de Trabajo ven los correos sancionables si la empresa no aclara que se deben responder en horario laboral.

Primero, hagamos memoria de qué es la Desconexión Digital. El derecho a la desconexión digital fuera del horario de trabajo se conceptúa como la limitación al uso de las tecnologías de la comunicación para garantizar el tiempo de descanso y vacaciones de los trabajadores. Y este Derecho viene recogido en el Título X de la Ley Orgánica de Protección de Datos y Garantía de los derechos digitales (LOPDGDD).

Durante la pandemia ha habido un considerable aumento del teletrabajo. Y lo hemos hecho sin estar preparados técnicamente, ni culturalmente, ni, por supuesto, laboralmente. Con videoconferencias a todas horas (sí, aquellas con camisa y pijama), el buzón lleno hasta arriba de correos con infinidad de adjuntos y todos preguntándonos cómo rellenar o firmar un pdf (y buscando a toda prisa una firma digital).

Y todo ello haciendo más horas que un reloj. La falta de preparación y de medios, un sumatorio de ineficiencias elevado al infinito, se compensaba en tiempo de dedicación laboral. Horarios extensos, fines de semana, fiestas, sacrificando el descanso, la familia, ... Lejos queda el tiempo en que el viernes al mediodía cerrabas el despacho hasta el lunes. Ahora el despacho y muchos trabajos (en especial en el sector servicios) están abiertos 24/7.

¿Por qué, quién no mira el correo fuera de horas de trabajo? O preferimos llegar lunes y encontrarnos la bandeja de entrada llena hasta arriba con temas que podíamos haber avanzado durante el fin de semana?

Desconexión digital para todos o no? La desconexión digital es, en mi opinión, imprescindible para todos. Y las empresas harán bien en cumplir la norma. Pero, más allá del cumplimiento, lo que necesitamos es aprender a utilizar las diferentes herramientas de comunicación e información para sobrevivir en la frenética sociedad de hoy. Entre todos tenemos que poner límites.

Mientras tanto, recordemos que si queremos enviar un correo a un trabajador, podemos hacerlo en cualquier momento pero, eso sí, cumpliendo con la normativa que, en este caso, exige indicar claramente que se debe responder en horario laboral. Y esto vale para llamadas, whatsapp y otras herramientas de comunicación. Y entender que, si es viernes tarde, no podemos pedir un informe para el lunes a primera hora. Tan simple como eso.

Imagen Pixabay

Cookies again

por

Teníamos pendiente dos cuestiones con respecto a las cookies: la validez de la opción "seguir navegando" como forma de prestar el consentimiento por parte de los usuarios y la posibilidad de utilizar los conocidos como "muros de galletas" que permiten limitar acceso a determinados servicios o contenidos a los usuarios que expresamente aceptan el uso de cookies.

Y la Agencia Española de Protección de Datos (AEPD) ha actualizado recientemente su Guía sobre el uso de las cookies para adaptarla a las Directrices sobre consentimiento modificadas en mayo de 2020 por el Comité Europeo de Protección de Datos (CEPD) . La nueva Guía ya está publicada en la web de la Agencia.

Respecto al primer aspecto destacable, la opción de "seguir navegando", la Guía explicita que no es, en ninguna circunstancia, una forma válida de prestar el consentimiento, en la medida en que estas acciones pueden ser difíciles de distinguir de otras actividades o interacciones del usuario, por lo que no sería posible entender que el consentimiento es inequívoco.

En cuanto a los "muros de galletas", la Guía dice que no se podrán utilizar sino ofrecen una alternativa al consentimiento. Este criterio resulta especialmente importante en aquellos supuestos en que la denegación de acceso impediría el ejercicio de un derecho legalmente reconocido al usuario, por ser, por ejemplo, el acceso a un sitio web el único medio facilitado al usuario para ejercitar este derecho.

Estos nuevos criterios se deberán implementar, a más tardar, el 31 de octubre de este año, estableciéndose así un periodo transitorio de tres meses para introducir los cambios necesarios en los mecanismos de obtención del consentimiento para el uso de cookies que se estén utilizando.

Está claro que la industria publicitaria deberá mover ficha y quizás el camino es explicarle al usuario, de forma transparente, para que se usan las cookies. Si el usuario sabe exactamente porqué queremos sus datos y en qué le beneficia, estará dispuesto, a buen seguro, a compartirlas con nosotros. No hay otro camino.

El cumplimiento normativo no es un camino corto y fácil pero si todos -instituciones, empresas, ciudadanos y profesionales de la privacidad- trabajamos juntos en la misma dirección conseguiremos que contribuya significativamente al crecimiento de la actividad económica, con seguridad. Y, al fin y al cabo, eso es lo que queremos todos.

Imagen Pixabay

El Tribunal de Justicia de la Unión Europea declara inválido el Escudo de Privacidad para la realización de transferencias internacionales de datos a EEUU

por

El 16 de julio de 2020 el Tribunal de Justicia de la Unión Europea (TJUE) ha hecho pública una sentencia en la que anula la Decisión 2016/1250 de la Comisión que declaraba el nivel adecuado de protección del esquema del Escudo de Privacidad (Privacy Shield) para las transferencias internacionales de datos a EEUU. Esta Decisión sustituía a su vez a Puerto Seguro, que también fue declarado inválido por el TJUE en octubre de 2015.

Más información

‘Efecto Bruselas’: puñetazo de la UE sobre la mesa

por

En pocos días se han reunido dos hechos que guardan una estrecha relación y que son de suma importancia para los ciudadanos europeos y, me atrevo a decir, para muchos ciudadanos del mundo. Me estoy refiriendo al libro 'El efecto Bruselas' de Anu Bradford y, naturalmente, la anulación del acuerdo conocido como Privacy Shield con Estados Unidos.

Bradford sostiene que es Europa -y no Estados Unidos o China- quien domina el mundo. ¿Cómo? Gracias al Efecto Bruselas o, lo que es lo mismo, la externalización involuntaria de regulaciones a través de mecanismos globalizadores del mercado. Según la autora, este efecto acaba influyendo más en la vida de muchos habitantes del planeta que el poder económico o militar de los gigantes americanos y chinos.

Europa es un mercado único muy envidiable, entre otras cosas, por su gran poder adquisitivo. Y las empresas internacionales asumen las estrictas leyes de la UE para poder acceder y beneficiarse. Y estas empresas imponen estas reglas a sus filiales en todo el mundo con el fin de uniformar los procedimientos, aprovechar las economías de escala y reducir costes.

Y un ejemplo que avala la tesis es el Reglamento General de Protección de Datos (RGPD) que entró en vigor hace poco más de dos años. Ya escribimos entonces que era una legislación con vocación 'universal' porque que afectaba a los ciudadanos de la UE y que las empresas que quisieran tratar datos personales -imprescindibles para el tráfico económico- estaban obligadas a cumplir con la normativa. Cualquier empresa, de cualquier parte del mundo, sin excepción.

Estados Unidos ha regulado, desde siempre, de forma muy laxa la protección de datos y siempre a remolque de la UE. Hasta tal punto que Europa acaba de anular el acuerdo denominado Privacy Shield. Se trata de un acuerdo firmado hace cuatro años que permitía transferir datos personales de ciudadanos de Estados miembros europeos en Estados Unidos. La decisión de invalidar el acuerdo se basa en que la UE no confía en que la información sea tratada con las garantías pertinentes en términos de privacidad.

De las consecuencias de la decisión -tanto con respecto a las grandes tecnológicas americanas o para miles de pymes- hablaremos en otra ocasión. Hoy se trata de poner de manifiesto el puñetazo sobre la mesa de la UE, haciendo visible el Efecto Bruselas 'en materia de protección de datos. Y no será el último.

Twitter, ¿a dónde vas?

por

Hemos conocido este semana, miércoles, que Twitter, la red social de los mensajes cortos, ha sido hackeada. Las cuentas de Jeff Bezos, Musk, Obama o Gates se han visto decididamente comprometidos. Esto, junto con la respuesta de la compañía al incidente, ha disparado todas las alarmas.

En los Estados Unidos ya lo han calificado de "tweet-tastrophe". Y no es para menos. La brecha de seguridad ha afectado a unas 130 cuentas de personas relevantes. Y los hackers, según las primeras informaciones, han podido tener acceso total a un número indeterminado de estas cuentas.

Twitter puede tener actualmente unos 400 millones de usuarios y es la forma más rápida de comunicación de masas. Ningún otro medio puede competir. Y todo lo que tiene de bueno lo tiene de perverso en situaciones como ésta. Y perversidad en dos vertientes: la gravísima situación creada por un lado y, del otro, la irresponsabilidad de la compañía y su decepcionante respuesta al incidente.

Respecto a la primera, ahora se ha evidenciado el riesgo que supone que los líderes mundiales utilicen un producto comercial que no ha sido verificado por las autoridades de seguridad y que está en manos de una empresa privada. Imaginemos, por un momento, la importancia que puede tener para la cotización de Tesla en bolsa un tweet malintencionado tuitado, supuestamente, por Elon Musk. O para las economías mundiales si el tweet procede de un Bill Gates impostado. Y que decir de un tweet fake de Trump cuando los verdaderos ya nos ponen los pelos de punta. Desde el hundimiento de una compañía a un estallido económico, o vete a saber si sanitario si el tuit se refiere al Covid-19, hasta poner en peligro la seguridad mundial con tuits falsos cruzados entre Trump y Putin, por ejemplo.

Respecto a la responsabilidad de la compañía cabe decir que es máxima. Está claro que todo sistema es susceptible de ser hackeado pero para ello las empresas, y más cuando son así de relevantes, deben tener planes de contingencia que permitan minimizar, sino evitar, los posibles daños. Y en cualquier caso, si las cuentas son atacadas, nunca debería existir la posibilidad de que alguien tomara el control de la cuenta de un usuario cuando éste ha seguido todas las normas y ha aplicado sus medidas de seguridad. La irresponsabilidad de Twitter es estratosférica y absolutamente imperdonable.

Y la respuesta al incidente has sido absolutamente insuficiente. Sin comunicación, sin información, sin explicaciones, sin disculpas. Silencio total. Descontrol total. Y este no es el camino. Por eso preguntamos, Twitter, ¿a dónde vas?

Imagen Pixabay

Reutilizar papel puede resultar muy caro

por

La AEPD multa a una abogada para reutilizar documentos con datos de clientes en el reverso. La letrada, que afronta una sanción de 2.000 euros, aprovechó papel usado que contenía información personal de nuestros clientes.

Siempre es bueno reutilizar y reciclar cualquier consumible y el papel es, todavía, uno de los más importantes en este aspecto. Tradicionalmente, además, en los despachos de abogados se ha utilizado mucho papel por razones obvias - escritos de todo tipo, comunicados de los juzgados, copias para todas las partes, etc.- Por razón de la profesión, el abogado necesita mucho papel y es práctica habitual reciclar todo el papel posible.

Pero las cosas están cambiando. La transformación digital, que ha avanzando mucho durante la pandemia, es una revolución imparable. Pero hasta que no esté implantada completamente debemos tener cuidado y observar cuidadosamente la legislación vigente, en este caso, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD).

La AEPD considera que la actuación de la letrada supone, precisamente, una vulneración del artículo 32 de este Reglamento. La norma en cuestión obliga a los responsables de tratamiento de datos a "aplicar medidas técnicas y organizativas para garantizar el nivel de seguridad adecuado". Para ello ha fijado una sanción de 2.000 euros.

Según recoge la resolución, la abogada usó papel que contenía información personal de otros clientes, incluso un menor de edad, para convocar una reunión de inquilinos. Papel que en el reverso aparecían datos de terceros referidas a procedimientos anteriores, lo que suponía hacer accesible estos datos a terceros, sin consentimiento de los titulares.

El artículo 32 del RGPD, en el marco de la Seguridad de los datos personales, apunta las medidas a tomar para garantizar un nivel de seguridad adecuado al riesgo como, por ejemplo, la seudonimización y el cifrado, garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, la capacidad de restaurar los datos y el acceso a la información en caso de incidente y un proceso de verificación y evaluación de la eficacia de las medidas implementadas. Aplicando estas medidas minimizaremos los riesgos y evitaremos las sanciones.

Porque 2.000 euros es una sanción relativamente pequeña. El equivalente, aproximadamente a 625 paquetes de 500 hojas DIN A4. Y se pueden recuperar en el próximo asunto que nos encarguen. Pero lo peor, como siempre, es la reputación. ¿Confiaríamos nuestros asuntos más importantes a un profesional que no tiene cuidado de los datos personales y de la privacidad de sus clientes? Es más, ¿confiaríamos en un abogado que no cumple la ley en su actividad?

Imagen Pixabay

Externalizar la publicidad no exime de responsabilidad

por

El anunciante es responsable de la publicidad aunque  la haya externalizado. La sala tercera del contencioso administrativo estima que aunque es subcontrate a una empresa externa para las Campañas Publicitarias ESTO no elimina la Responsabilidad del anunciante.

Lo ha dictaminado el Tribunal Supremo. La externalización de la publicidad no exime a las empresas de la obligación que tienen de excluir a los clientes que no la quieren recibir. Confirma así una multa de 40.000 € a Mutua Madrileña por enviar anuncios a un cliente que expresamente había rechazado el uso de sus datos.

Dice la Sala Tercera que aunque se subcontrate a una empresa externa para los Campañas Publicitarias, no se elimina la Responsabilidad de la empresa anunciante.

El cliente, que tenía tres pólizas de seguro en la Mutua, contaba con 2 Cuentas de correo electrónico inscritas en la Lista Robinson (Servicio de exclusión publicitaria) desde enero de 2012. Según a los hechos probados en el pleito, el 20 de diciembre de 2011 ejerció sume derecho de oposición al tratamiento de sus  datos personales ante Mutua Madrileña, en una comunicación a la que sólo autorizaba a la compañía a que utilizara sus datos personales cuando resultara imprescindible para el desarrollo de la relación contractual, excluyendo "tratamientos con fines publicitarios o de prospección comercial," la realización de segmentaciones "," estudios de marketing "o" campañas publicitarias ". A pesar de esto, el denunciante continuó recibiendo comunicaciones comerciales.

Mutua Madrileña, en recurso, alegó que haber facilitado a la empresa de publicidad un fichero de exclusión con clientes que no querían publicidad hubiera supuesto una cesión consentida de datos. Y que la empresa contratista asumía como propio el cumplimiento de las obligaciones en materia de protección de datos.

El Tribunal rechaza los argumentos para que MM no adoptó ninguna medida cautelar para evitar el envío de publicidad y que según la normativa de protección de datos, el anunciante está obligado a comunicar las solicitudes del derecho de oposición que se hayan ejercido a la empresa que hace la campaña publicitaria.

En resumen, las empresas deben estar atentas al ejercicio de derechos por parte del usuario (por lo que deben tener los correspondientes protocolos) y hacerlos efectivos. Y por su parte, las empresas de publicidad, en los contratos de tratamiento de datos, deben tener presente circunstancias con la recogida aquí y estar vigilantes para que, aunque no acabe en sanción, su reputación se puede ver perjudicada.

Revisión Textos Legales Web