Privacitat – protecció de dades

Les caselles premarcades no es poden considerar una forma vàlida de consentiment. El consentiment requereix una acció positiva de l’usuari per tenir validesa. I estem veient que moltes empreses han adaptat la seva política de cookies fent servir aquesta mala praxis.

Des de l’entrada en vigor del RGPD, el consentiment tàcit va ser una de les formes que van quedar invalidades. I aquí entren també les famoses caselles premarcades que ara tornen a aparèixer amb les renovades polítiques de cookies que estem veient aquests dies.

Tot això ve perquè, a més de constatar la situació sobre el terreny, el Tribunal de Justícia de la Unió Europea (TJUE) en una sentencia ha imposat una multa a l’empresa Orange Romania per haver celebrat contractes de prestació de serveis amb una clàusula de consentiment en que la casella de consentiment havia estat marcada per el responsable del tractament de forma prèvia a la firma del contracte. La sentencia recorda que el consentiment de l’interessat ha de ser lliure, específic, informat i inequívoc. No es considera vàlid el silenci, les caselles premarcades o la inacció.

I tot el que diu la sentència també és vàlid per a les cookies. Des del passat 31 d’octubre l’opció de “Seguir navegant” no està permesa i cal oferir a l’usuari la possibilitat de configurar la gestió de les cookies. I aquí està el problema perquè, en més casos dels desitjables, les caselles ja estan marcades. D’aquesta manera, l’usuari té que desmarcar-les per a que el servidor no instal·li cookies no desitjades. Però si no va a la configuració, al prémer el botó “Acceptar” estarà donant el consentiment sense saber-ho i s’instal·laran totes les cookies. Les úniques cookies que es poden instal·lar sense consentiment de l’usuari són les de caràcter tècnic, es a dir, les necessàries per establir la comunicació entre el servidor i el navegador client. Tota la resta, s’han d’instal·lar després del pertinent consentiment, no abans com succeeix amb més freqüència de la desitjada.

Imatge Pixabay

Com dèiem el passat juliol (veure post), l ’Agència Espanyola de Protecció de Dades (AEPD), va donar un termini per implementar els nous criteris pel que fa a les cookies (petites informacions que ens envien els llocs web per, entre altres, donar-nos servei i rastrejar la nostra activitat a Internet). Aquest termini s’acaba demà 31/10/2020).

Com és natural, aquest seguiment que permeten les cookies té moltes implicacions en matèria de protecció de dades. A tots ens ha passat anar a veure unes sabates a un botiga online i, a partir d’aquell moment, els anuncis de sabates ens perseguiran per tota la web, vagis on vagis. I aquesta és una de les funcions més innòcues de les cookies. Estem immersos, cada dia més, en una economia de les dades. I nosaltres som això: dades. Dades de comportament, de preferències, d’hàbits, etc. I quan naveguem anem deixant un rastre que és una mina per les empreses que tracten dades i, en general, per totes que les aprofiten. Google o Facebook són els paradigmes més coneguts però hi ha milers d’altres.

Estan així les coses, el Comitè Europeu de Protecció de Dades (CEPD) el maig passat va modificar les Directrius sobre la prestació del consentiment per part de l’usuari en matèria de cookies. Les noves directrius es basen en la interpretació dels principis de transparència en la informació i la lliure prestació del consentiment del usuari.

En aquest sentit, les modificacions principals van ser:

• És necessària una clara afirmació afirmativa per part de l’usuari. L’opció “seguir navegant” ja no és vàlida. No es podrà activar cap cookie (excepte les tècniques) si no hi ha acceptació expressa.
• No es podran fer servir els “murs de cookies” que condicionen l’accés de l’usuari a l’acceptació de cookies, tret que se l’informi i ofereixi una alternativa.
• L’usuari ha de poder acceptar o no les cookies, de manera senzilla i de forma granular. Per exemple, agrupades per finalitat (analítiques, publicitàries, etc.)
• Si s’inclouen cookies de tercers, cal detallar com s’oferirà la informació, l’obtenció del consentiment i els mitjans per revocar-lo.

I per acabar, dos coses: els titulars de les pàgines web que no s’hagin adaptat a les noves exigències s’exposen a ser sancionades amb multes fins a 30.000 € per incompliment lleu de la Llei 34/2002, d’11 de juliol, de Serveis de la Societat de la Informació i de Comerç Electrònic (LSSICE).

I, dos, sense perjudici que, en la mesura que la instal·lació de cookies afecti al tractament de dades personals dels usuaris, el RGPD contempla sancions que poden ser força altes per les infraccions més greus.

Segons recull el diari Cinco Días, l’enviament d’emails fora de la jornada de treball pot comportar multes de fins a 6.250€. Des de la Inspecció de Treball veuen els correus sancionables si l’empresa no aclareix que s’han de respondre en horari laboral.

Primer de tot, fem memòria de què és la Desconnexió Digital. El dret a la desconnexió digital fora de l’horari de treball es conceptua com la limitació a l’ús de les tecnologies de la comunicació per garantir el temps de descans i vacances dels treballadors. I aquest Dret ve recollit en el Títol X de la Llei Orgànica de Protecció de Dades i Garantia dels drets digitals (LOPDGDD).

Durant la pandèmia hi ha hagut un considerable augment del teletreball. I ho hem fet sense estar preparats tècnicament, ni culturalment, ni, per suposat, laboralment. Amb videoconferències a totes hores (sí, aquelles amb camisa i pijama), la bústia plena fins dalt de correus amb infinitat d’annexes i tots preguntant-nos com omplir o signar un pdf (i buscant a corre cuita una signatura digital).

I tot això fent més hores que un rellotge. La falta de preparació i de mitjans, un sumatori de ineficiències elevat al infinit, es compensava en temps de dedicació laboral. Horaris extensos, caps de setmana, festes, sacrificant el descans, la família, … Lluny queda el temps en que el divendres la migdia tancaves el despatx fins dilluns. Ara el despatx i moltes feines (en especial en el sector serveis) estan obertes 24/7.

Per què, qui no mira el correu fora d’hores de feina? O ens estimem més arribar dilluns i trobar-nos la safata d’entrada plena fins dalt amb temes que podíem haver avançat durant el cap de setmana?

Desconnexió digital per a tothom o no? La desconnexió digital és, al meu parer, imprescindible per a tothom. I les empreses faran bé de complir la norma. Però, més enllà del compliment, el que necessitem és aprendre a fer servir les diferents eines de comunicació i informació per sobreviure en la frenètica societat d’avui. Entre tots hem de posar límits.

Mentrestant, recordem que si volem enviar un correu a un treballador, podem fer-ho en qualsevol moment però, això sí, complint amb la normativa que, en aquest cas, exigeix  indicar clarament que s’ha de respondre en horari laboral. I això val per trucades, whatsapp i altres eines de comunicació. I entendre que, si es divendres tarda, no podem demanar un informe per dilluns a primera hora. Tan simple com això.

Imatge Pixabay

L’AEPD multa a una advocada per reutilitzar documents amb dades de clients en el revers. La lletrada, que afronta una sanció de 2.000 euros, va aprofitar paper usat que contenia informació personal d’altres clients.

Sempre és bo reutilitzar i reciclar qualsevol consumible i el paper és, encara, un dels més importants en aquest aspecte. Tradicionalment, a més, en els despatxos d’advocats s’ha fet servir molt paper per raons òbvies – escrits de tota mena, comunicats dels jutjats, còpies per totes les parts, etc.– Per raó de la professió l’advocat necessita molt paper i és pràctica habitual reciclar tot el paper possible.

Però les coses estan canviant. La transformació digital, que ha avançant molt durant la pandèmia, és una revolució imparable. Però fins que no estigui implantada completament hem d’anar en compte i observar curosament la legislació vigent, en aquest cas, el Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d’abril de 2016 (RGPD).

L’AEPD considera  que l’actuació de la lletrada suposa, precisament, una vulneració de l’article 32 d’aquest Reglament. La norma en qüestió obliga als responsables de tractament de dades a “aplicar mesures tècniques i organitzatives per garantir el nivell de seguretat adequat. Per això ha fixat una sanció de 2.000 euros.

Segons recull la resolució, l’advocada va fer servir paper que contenia informació personal de clients anteriors, fins i tot un menor d’edat, per convocar una reunió de llogaters. Paper que en el revers apareixien dades de tercers referides a procediments anteriors, el que suposava fer accessible aquestes dades a tercers, sense consentiment dels titulars.

L’article 32 del RGPD, en el marc de la Seguretat de les dades personals, apunta les mesures a prendre per garantir un nivell de seguretat adequat al risc com, per exemple, la seudonimització i el xifrat, garantir la confidencialitat, integritat, disponibilitat i resiliència dels sistemes, la capacitat de restaurar les dades i l’accés a la informació en cas d’incident i un procés de verificació i avaluació de l’eficàcia de les mesures implementades. Aplicant aquestes mesures minimitzarem els riscos i evitarem les sancions.

Perquè 2.000 euros és una sanció relativament petita. L’equivalent, aproximadament a 625 paquets de 500 fulls DIN A4. I es poden recuperar en el proper assumpte que ens encarreguin. Però el pitjor, com sempre, és la reputació. Confiaríem els nostres assumptes més importants a un professional que no té cura de les dades personals i de la privacitat dels seus clients? És més, confiaríem en un advocat que no compleix la llei en la seva activitat?

Imatge Pixabay

L’anunciant és responsable de la publicitat encara que l‘hagi externalitzat. La sala tercera del contenciós administratiu estima que encara que es subcontracti a una empresa externa per a les campanyes publicitàries això no elimina la responsabilitat de l’anunciant.

Ho ha dictaminat el Tribunal Suprem. L’externalització de la publicitat no eximeix a les empreses de l’obligació que tenen de d’excloure als clients que no la volen rebre. Confirma així una multa de 40.000€ a Mutua Madrileña per enviar anuncis a un client que expressament havia rebutjat l’ús de les seves dades.

Diu la Sala Tercera que encari que es subcontracti a una empresa externa per les campanyes publicitàries, no s’elimina la responsabilitat de l’empresa anunciant.

El client, que tenia tres pòlisses d’assegurança en la Mútua, comptava amb dos comptes de correu electrònic inscrites en la Llista Robinson (servei d’exclusió publicitària) des de gener de 2012. Segons els fets provats en el plet, el 20 de desembre de 2011 va exercir el seu dret d’oposició al tractament de les seves dades personals davant Mutua Madrileña, en una comunicació en la qual només autoritzava a la companyia a que utilitzés les seves dades personals en el que resultés imprescindible per al desenvolupament de la relació contractual, excloent “tractaments amb fins publicitaris o de prospecció comercial, “la realització de segmentacions”, “estudis de màrqueting” o “campanyes publicitàries”. A pesar d’això, el denunciant va continuar rebent comunicacions comercials.

Mutua Madrileña, en recurs, va al·legar que haver facilitat  a l’empresa de publicitat un fitxer d’exclusió amb clients que no volien publicitat hagués  suposat una cessió consentida de dades. I que l’empresa contractista assumia com propi el compliment de les obligacions en matèria de protecció de dades.

El Tribunal rebutja els arguments perquè MM no va adoptar cap mesura cautelar per evitar l’enviament de publicitat i que segons la normativa de protecció de dades, l’anunciant està obligat a comunicar les sol·licituds del dret d’oposició que s’hagin exercit a l’empresa que fa la campanya publicitària.

En resum, les empreses han d’estar atentes a l’exercici de drets per part de l’usuari (per la qual cosa han de tenir els corresponents protocols) i fer-los efectius. I per la seva part, les empreses de publicitat, en els contractes de tractament de dades, han de tenir present circumstàncies con la recollida aquí i estar vigilants  perquè, encara que no acabi en sanció, la seva reputació es pot veure perjudicada.