Privacitat – protecció de dades

5.1. Privacidad en un entorno disruptivo: IoT, Big Data, Cloud, redes sociales…
5.2. Marco normativo de protección de datos: España, Unión Europea, Privacy Shield, BCR y un mundo global.
5.3. Reglamento Europeo de Protección de Datos: análisis sistemático. Principios, obligaciones y régimen aplicable.
5.4. El responsable de tratamiento y sus obligaciones: evaluaciones de impacto y un nuevo modelo de cumplimiento en protección de datos.
5.5. Data Protection Officer (DPO): análisis detallado de sus funciones y obligaciones. Formación específica y habilitadora para el perfil DPO.
5.6. La privacidad en modelos de compliance y de certificación de protección de datos.

Claus sobre Protecció de Dades en el treball

per

L’Agència Espanyola de Protecció de Dades ha publicat una guia sobre protecció de dades i relacions laborals. El document encara qüestions com la consulta de l’empleador a les xarxes socials, els sistemes  interns de denuncies (whistleblowing), el registre de la jornada laboral, la protecció de dades de les víctimes d’assetjament a la feina, els de les dones supervivents a la violència de gènere o l’ús de tecnologia wearable com element de control.

La protecció de dades en l’àmbit laboral sempre ha estat envoltada de polèmica. Fins fa poc, però, es mantenia en la col·lisió dels drets fonamentals del treballador respecte a la seva intimitat amb l’ús – i moltes vegades abús- de la tecnologia per part de la direcció empresarial. L’accés indegut a les comunicacions electròniques del treballador (cas Barbulescu) o la utilització indiscriminada de les càmeres de vigilància són dos dels exemples més coneguts.

L’Agència aborda ara temes de molta actualitat. Per exemple, l’ús de les xarxes socials per part dels departaments de selecció de personal que no  tenen permís per indagar en els perfils dels candidats, ni durant el procés de selecció ni durant l’execució del contracte, encara que el perfil sigui d’accés públic. L’empresa, fins i tot, no està legitimada per sol·licitar “amistat” als candidats perquè proporcionin accés a continguts dels seus perfils.

Pel que fa als sistemes interns de denuncies, s’admeten denuncies anònimes i, quan no ho sigui, la confidencialitat de la informació i del denunciat han de preservar-se. Només es podran accedir aquestes dades en cas de procediments disciplinaris i notificacions a les autoritats de fet constitutius d’il·lícit penal o administratiu.

Respecte el registre de jornada laboral, l’AEPD recomana que aquest sigui el menys invasiu possible, sense que sigui d’accés públic ni visible per tots. I aquesta informació no es pot fer servir per finalitats diferents com, per exemple, geolocalitzar al treballador.

L’Agència s’ocupa també de les víctimes d’assetjament a la feina i de la violència de gènere, atorgant amb caràcter general la consideració de categoria especial de les dades personals, considerant-los dades sensibles que requereixen una protecció reforçada.

L’Agència recorda que l’única base jurídica que legitima el tractament de les dades és l’execució d’un contracte de treball (a més del imperatiu legal o per un conveni col·lectiu).  I cal facilitar la informació corresponent, explicar els drets que assisteixen als treballadors en aquesta matèria i com exercir-los.

Són tots temes rellevants en l’àmbit laboral que, empresaris i treballadors han de tenir molt present en el dia a dia.

Cuideu-vos!

IA, Màrqueting i Protecció de Dades

per

IA, Màrqueting i Protecció de Dades

 La intel·ligència artificial (IA), en contraposició a la natural, es la intel·ligència duta a terme per les màquines. Marvin Minsky assigna a la intel·ligència artificial la “realització de sistemes informàtics amb un comportament que en l’ésser humà qualificaríem d’intel·ligent”. Està destinada a resoldre els tipus de problemes que, fins ara, estaven reservats als éssers humans.

Les aplicacions quotidianes de la IA són cada cop més freqüents: quan parlem amb un assistent de veu (Alexa) que aprèn dels nostres gustos, consultem una ruta en temps real a Google Maps, aplicacions de streaming com Spotify o Netflix aprenen de les nostres preferències i de la nostra activitat per fer-nos recomanacions. I que dir de l’inefable Facebook que, un estudi de La Universitat de Stanford va concloure que la xarxa social podia jutjar la nostra personalitat millor que els amics o la família, i fins i tot, millor que nosaltres mateixos. Tot a partir de determinat nombre de likes (i no massa).

Com és natural, la IA té una infinitat de camps de treball. Un d’ells, i un dels més importants, és el màrqueting digital. Entre les capacitats necessàries per desenvolupar una estratègia de màrqueting digital, hi ha una imprescindible que és la capacitat analítica. I aquí la IA resulta imprescindible per, d’una banda, conèixer les motivacions, els objectius, les aspiracions i el comportament dels usuaris i, de l’altre, la anàlisis dels resultats de totes les activitats de màrqueting que portem a terme.

La IA ens pot ajudar, per exemple, en el anàlisis predictiu (podem avançar-nos a les necessitats de l’usuari per oferir-li productes i serveis fins i tot abans que en sigui conscient); en la gestió de clients (CRM) per gestionar leads (clients potencials) i convertir-los, via embut de vendes, finalment en clients; naturalment, podem fer servir IA per publicitat digital nativa fent servir cookies (o píxels de FB), chatbots i tècniques de Machine learning. Fins i tot ens pot ajudar en la generació de continguts gràcies a la tecnologia de Processament del Llenguatge Natural (PLN).

I tot això de la IA parteix de dades, de les nostres dades, per donar resultats. I, com són les nostres dades, ha generat, com diu l’AEPD, molts dubtes entre usuaris, especialistes, autoritats  i la indústria en relació a aspectes de compliment normatiu, respecte als drets dels interessats i seguretat jurídica de tots els intervinents.

No hi ha dubte dels immensos beneficis que ens reporta ja la IA i els que ens reportarà en el futur. Però cal que tinguem present que no tot val i que la nostra privacitat és l’última frontera de la tecnologia. Traspassada aquesta, el futur serà molt complicat.

Cuideu-vos!

Data Pro Quo

per

Quid Pro Quo és una expressió llatina, d’ús molt freqüent en l’àmbit jurídic, que podríem traduir com “una cosa per una altre”. Es refereix al que es dona a canvi d’una altre cosa.

Aprofitant el joc de paraules, l’empresa Shackleton ha presentat Data Pro Quo, la primera màquina vending en la que es paga amb dades. Sí, els productes no es paguen amb diners sinó amb les nostres dades. Partint del concepte que les dades són la nova moneda, l’empresa ho ha dut a la pràctica de forma literal.

Ja estem acostumats a canviar dades per serveis, encara que fins ara ho fèiem de forma implícita. Ho fem cada dia dotzenes de vegades: quan volem entrar en una pàgina web (recordem les cookies), quan volem baixar un document o un ebook, quan ens instal·lem una app i tants altres exemples.

Ja fa temps que vam perdre la innocència. Al principi pensàvem que els productes i serveis on line eren gratuïts. Omplíem formularis a tort i a dret, baixàvem qualsevol mena de infoproducte com si no hi hagués un demà i, per descomptat, instal·làvem apps diàriament (heu comptat quantes apps teniu instal·lades en el mòbil?). Per no parlar de les xarxes socials que són verdaderes ionquis de les dades.

Perquè tot aquest cabdal de dades que corre per Internet requereix una colossal infraestructura formada, entre altres, per centenar de milers de servidors, milions de kilòmetres de fibra òptica i una gestió brutal de l’energia necessària per que nosaltres puguem enviar un whastapp. I això té un cost molt elevat.

Amb Data Prop Quo ens trobem amb la primera proposta honesta de intercanvi de dades per producte. El funcionament és el mateix que qualsevol màquina de vending en la que l’usuari tria el producte que vol comprar. I per pagar, en comptes de diners o targeta (no s’admet altre forma de pagament), ha de respondre a una sèrie de preguntes començant per el càrrec (la màquina està destinada a entorns corporatius) i, en funció del perfil,  apareixen diferents qüestions que,  un cop contestades, donen accés al producte desitjat.

A més d’honesta i creativa, la proposta és intel·ligent en el sentit que considera a l’usuari com una persona formada, que valora la seva privacitat i a qui, de forma oberta, se li pot proposar l’intercanvi de dades per producte.

Com sempre, haurem d’estar atents a la gestió de les dades, un cop recollides, des del punt de vista de la privacitat i el control que faci l’empresa sobre el risc d’una eventual fuita de dades del servidor intern. Però això serà tema d’un altre post.

Cuideu-vos!

Per un grapat de dòlars …

per

Aquest és el títol d’una famosa pel·lícula de 1964, en la que el prolífic director de cine Sergio Leone dirigia a l’inefable Clint Eastwood en un spaghetti western que es va convertir en un clàssic del gènere. No us comentaré la cinta, només aprofito el títol per fer-vos la reflexió que molt sovint hi ha estalvis que es converteixen en un disgust.

Recentment, l’Agència Espanyola de Protecció de Dades (AEPD) va publicar la seva Memòria AEPD 2020. El primer titular de la presentació es que, durant el 2020, es van presentar un total de 10.324 reclamacions. Gairebé 50 diàries, en dia laborable. I podríem afegir-ne a prop d’un miler si hi afegim els casos transfronterers, els que actua per iniciativa pròpia i les fallides de seguretat traslladades a la inspecció.

Les reclamacions més freqüents tenen a veure amb serveis d’Internet, inclusió indeguda en fitxers de morosos, videovigilància, recepció de publicitat i reclamació de deutes. Per sectors, els més sancionats són les entitats financeres i creditores, Administracions Públiques i les empreses de telecomunicacions.

També s’han realitzat 29 intervencions amb caràcter d’urgència per la retirada de continguts sexuals o violents, difosos per Internet, associades al Canal prioritari, amb un percentatge d’èxit superior al 86%.

És important destacar el fet que, a pesar de la pandèmia, l’activitat de l’Agència s’ha mantingut, posant de manifest que la implantació del teletreball no ha disminuït la capacitat de treball de l’Organisme.

Us poden semblar que les reclamacions són moltes o poques. Al meu parer, són suficients per reflexionar sobre si val la pena que, “per un grapat d’euros”, ens posem en mans de professionals que ens ajudin a complir amb la llei.

Perquè sempre diem que el cost de l’adequació de l’empresa és un cost cert però que el cost de no adequar-se és imprevisible. El primer es pot imputar ordenadament en la comptabilitat de l’empresa i, el segon, ens pot fer una destrossa a l’economia i, el que és més important, a la nostra reputació. I aquesta costa molt de recuperar.

Adequar l’empresa a la normativa genera confiança entre empleats (són els primers que pateixen la desconfiança), clients (fem les coses ben fetes excepte complir amb la llei?), proveïdors, administracions (si volem, per exemple, licitar). Fem les coses ben fetes. Per un cost cert.

Cuideu-vos!

Possiblement la broma telefònica més cara del mòn

per

L’Agència Espanyola de Protecció de Dades va publicar dimarts passat la Memòria anual de l’exercici 2020. Durant aquest exercici, es van presentar un total de 10.324 reclamacions a l’organisme.

Les reclamacions plantejades amb major freqüència el passat 2020 fan referència a:

– Serveis d’internet (16%)
– Inserció indeguda en fitxers de morositat (15%)
– Videovigilància (12%)
– Recepció de publicitat (7%)
– Reclamació de deutes (6%)

Veiem com les reclamacions relacionades amb serveis d’internet encapçalen la llista, amb un increment del 5% respecte a l’any passat.

Un exemple a destacar és el procediment instruït a Miraclia per “la utilització de les dades personals del reclamant per a fer-li una broma mitjançant una trucada telefònica al seu mòbil, servint-se per a això d’una app”. La trucada va ser gravada i difosa a tercers sense el consentiment de l’afectat. Doncs bé, la broma va costar a Miraclia dues sancions de 20.000 € cadascuna, és a dir 40.000 € en total. Afegint-li el mal reputacional a la marca, possiblement és la broma telefònica més cara del món. A més, Miraclia va haver d’adequar els seus tractaments a la normativa de protecció de dades.

Finalment, el passat 2020 l’Agència ha dictat 393 resolucions sancionadores, la qual cosa suposa un increment del 16% respecte a l’any anterior. En aquest cas, les àrees més freqüents amb expedients sancionadors són videovigilància seguida de serveis d’internet. No obstant això, els sectors que s’enduen la palma quant a import de sancions són el sector bancari i el de telecomunicacions, que només aquest 2020 entre els dos aconsegueixen els 8 milions d’euros en sancions, un increment del 27% respecte al 2019.

Veiem doncs que, malgrat la pandèmia, l’Agència Espanyola de Protecció de Dades continua actuant amb fermesa, i no li tremola el pols a l’hora de sancionar. I tot apunta al fet que aquesta tendència continuï creixent.

Cuideu-vos.

Compte si publiques fotos d’un tercer sense consentiment!

per

Si ens dediquem al màrqueting i a la comunicació hem de tenir especial cura amb la utilització i  publicació d’imatges de tercers. Al marge de vulnerar els drets d’imatge, ens podem trobar amb sancions importants per part de l’Agència Espanyola de Protecció de Dades (AEPD).

En efecte, l’Agència ha sancionat amb 9.000€ al responsable d’una web per publicar material fotogràfic i altres dades personals d’un usuari, sense el seu consentiment. A més, l’usuari va reclamar i no va obtenir resposta.

Segons l’AEPD,  i “de conformitat amb les evidències de que es disposa”, es considera que els fets són constitutius de dos infraccions:

  • Una primera infracció per vulneració de l’article 6 RGPD per el tractament sense consentiment i
  • Una segona, per vulneració de l’article 13 RGPD perquè la Política de Privacitat de la pàgina web mancava dels requisits exigits pel que fa al tractament de dades de caràcter personal

Ja hem parlat en diferents ocasions de la importància d’estar legitimats per tractar dades personals. El Reglament recull diverses bases de licitud com pot ser l’execució d’un contracte, una obligació legal, per interès públic, per protegir interessos vitals de l’usuari, per interès legítim del responsable i, naturalment, per el consentiment de l’interessat (veure posts sobre el tema).

Entenc que no cal insistir en la qüestió. Si no estem legitimats, no podem tractar dades personals. I punt.

Respecte a la segona qüestió, els texts legals web, també n’hem parlat (veure posts). Com responsables, tenim obligació de informar a l’afectat del tractament de les seves dades personals, tal com disposen els articles 13 i 14 RGPD i el 12 LOPDGDD, i posar a la seva disposició els mitjans per exercir, de forma accessible, el drets que li corresponen.

En conseqüència, l’AEPD imposa, per la primera infracció, una multa de 5.000€ i de 4.000€, per la segona. A més dels danys reputacionals que es poden patir, no és plat de bon gust rebre sancions econòmiques per no haver fet les coses ben fetes.

I un altre dia parlarem dels drets d’imatge personal. Recordem que el dret a la imatge és un dret fonamental recollit a la nostra Constitució. Tret de les excepcions que marca la llei, sempre hem de tenir el consentiment de la persona per la captació, reproducció o publicació.

Com sempre, cuideu-vos!

Imatge Pixabay

He llegit i accepto …

per

Així acaben (els que compleixen) els formularis web, just abans de prémer el botó d’Enviar.  La frase completa és “He llegit i accepto la Política de Privacitat” i inclou un casella per marcar (si no es marca, no es pot enviar el formulari) i un enllaç perquè l’usuari pugui navegar còmodament a veure les condicions en que presta el seu consentiment. I prestar-lo, o no, en funció d’aquestes condicions.

El consentiment és una de les bases de licitud de tractament més important i més àmpliament utilitzada de les que reconeix l’art. 6.1 RGPD. Hi ha d’altres com l’execució d’un contracte (per exemple, de serveis), per obligació legal (si ho demana un jutge) o l’interès legítim, vertader calaix de sastre per encabir permisos de tractament de lo més variat.

Els usuaris som cada dia més conscients de la importància de exercir el control sobre les nostres dades personals. Però, sabem realment el que acceptem quan prestem el consentiment? De veritat llegim la Política de Privacitat, les Condicions d’Ús o de Contractació? O, posats a demanar, llegim la Política de Cookies?

I el que és més important, a més de llegir, entenem el que diu? La comprenem? Som capaços d’anticipar les conseqüències de la nostra decisió? Estem manifestant una voluntat en base a una decisió racional i informada que manifestem de forma lliure i espontània? Perquè així ho exigeix el Reglament.

La qüestió no és senzilla de resoldre. Tot i que amb el RGPD les condicions del consentiment s’han endurit, la realitat és que al cap del dia hem de prestar el consentiment diverses vegades, des de comprar per internet fins a veure les notícies d’un diari, passant per infinitat de situacions quotidianes (per exemple, actualitzacions de apps que renoven les condicions) que ens esgoten i ens fan optar per marcar la casella del consentiment sense complir les condicions.

Això sense comptar en que a la xarxa trobem, encara, molts formulari que no tenen Política de Privacitat o que, si la tenen, no es clara, és llarga i farragosa amb la lletra molt petita i, en moltes ocasions, las finalitats del tractament no es corresponen amb la realitat o s’inclouen clàusules inacceptables per l’usuari.

Tots tenim clar que les nostres dades són molt valuoses per empreses que les monetitzen compartint-les o venent-les a intermediaris que creen perfils i fent servir tècniques de Big Data, Intel·ligència artificial i altres tecnologies punteres saben, cada dia més i millor, quins són els nostres hàbits, interessos i preferències.

Anem en compte a qui donem el nostre consentiment i fem el possible per llegir i entendre les polítiques de privacitat. És important.

Un altre dia explicarem com llegir i entendre un text legal de protecció de dades.

Mentrestant, cuideu-vos!

Sí, necessites un Avís legal a la teva web!

per

Són preguntes recurrents. Què és l’Avís legal? En necessito un per a la meva web? Això té a veure amb la Protecció de Dades? Vull aprofitar el post per aclarir els dubtes i explicar quina és la seva obligatorietat, el contingut mínim i la seva funció. Engeguem així una sèrie d’articles que cobriran els diferents aspectes que hem de tenir en compte perquè la nostra web sigui completament legal.

Què és l’Avís legal?

El concepte d’Avís legal es refereix a l’advertència legal que s’inclou en la majoria de webs i que recullen, d’una banda, las responsabilitat del propietari de la web i, de l’altre, els drets del visitant del lloc.

Perquè és obligatori disposar d’un Avís legal?

Perquè així ho diu la Llei 34/2002, d’11 de juliol, de Serveis de la Societat de la Informació y de Comerç Electrònic (LSSICE).

Quan és obligatori tenir un Avís legal?

Estan obligades a exhibir l’Avís legal totes les webs de caràcter corporatiu, és a dir, que pertanyin a una empresa o a un professional, que tinguin o pretenguin tenir activitat econòmica o que estiguin relacionades amb algun tipus d’activitat professional.

Entren dins d’aquests supòsits a) les webs o blogs corporatius que tenen com finalitat oferir, divulgar o promocionar algun tipus d’activitat professional; b) totes aquelles webs dedicades al comerç electrònic, botigues online, ecommerce que ofereixin productes o serveis y c) llocs web que incloguin algun tipus de publicitat.

Què ha d’incloure l’Avís legal?

  • Nom o denominació social, NIF/CIF i dades de contacte (domicili, correu, etc.)
  • Inscripció al Registre Mercantil, si l’empresa està registrada
  • Autorització administrativa si l’activitat ho precisa
  • Dades del Col·legi Professional si l’activitat està regulada
  • Termes d’ús de la web per regular drets i responsabilitats dels usuaris
  • Referència als drets de Propietat Intel·lectual, tant propis com de tercers
  • Responsabilitat i garanties del titular de la web
  • Data, versió i vigència de la informació i possibles canvis

On haig de posar l’Avís legal en la meva web?

S’ha de posar un enllaç al peu de totes les pàgines de la web. L’objectiu és que estigui sempre disponible per consultar. El contingut ha de ser només el propi Avís legal.

I si no complim?

 Doncs, com sempre, estarem exposats a sancions, hi afegirem el dany reputacional i no generarem confiança entre els nostres clients i usuaris. Tindrem, en conseqüència, menys negoci i més feble, sens dubte.

 

Cuideu-vos!

No perdem els papers!

per

Recentment, l’Agència Espanyola de Protecció de Dades (AEPD) ha sancionat a un advocat que va llençar documents amb dades personals de diversos clients al costat d’un contenidor d’escombraries. Entre els papers es trobaven escriptures, poders notarials, sentències d’òrgans judicials, fotocòpies de DNIs de clients, testaments i altres documents amb dades personals.

L’Agència considera que l’advocat ha infringit l’article 32.1 del Reglament General de Protecció de Dades (RGPD) que fa referència a la Seguretat del tractament i tipificada en l’article 83.4.a. Tot i això, l’Agència només imposa un simple amonestació perquè considera que la multa administrativa que podria correspondre per la infracció seria desproporcionada per el reclamat. Només cal recordar que la sanció establerta per el RGPD en aquest article pot arribar als 10.000.000€ o, en el cas d’empresa, una quantia equivalent al 2% del volum total de negoci anual global de l’exercici financer anterior, optant per la de major quantia. No és cap broma.

Segons l’AEPD, la responsabilitat del lletrat ve deriva de la fallida de seguretat en el tractament de les dades personal sota la seva responsabilitat. I això té molt a veure amb no haver implantat de forma efectiva les mesures de seguretat –legals, tècniques i  organitzatives– adequades per garantir el nivell de seguretat apropiat. Així es podria haver assegurat la confidencialitat de les dades en cas d’un incident com és el cas.

Aquest incident es podria haver evitat si el despatx hagués disposat d’una Política d’Eliminació de la documentació  i els protocols corresponents. Així, per a la destrucció de paper es pot fer, des de utilitzar una simple destructora amb les característiques adequades fins a la contractació del servei a una empresa especialitzada en la destrucció de documentació, homologada (Norma UNE EN-15713) que certifiqui el procés. Una mesura de seguretat senzilla, a l’abast de tothom que ens pot estalviar un disgust.

El Reglament no té un llistat de mesures a aplicar sinó que, en el marc de la responsabilitat proactiva del responsable, aquest haurà d’aplicar aquelles mesures que siguin proporcionades i adequades al risc assignat al tractament en qüestió. I aquestes mesures tenen que tenir en compte diversos factors com són els costos d’implementació, l’estat de la tècnica, al context, l’abast, les finalitats del tractament, entre altres.

En fi. Un advocat no pot tirar els seus papers a les escombraries. Tu tampoc!

Cuideu-vos!

Revisió Texts legals web