Privacitat – protecció de dades

Ja em parlat en diverses ocasions del tema de les cookies. Cal entendre que a aquestes alçades ja sabem como ha de funcionar la solució que tenim que implementar perquè l’usuari pugui fer efectiu el seu dret de conèixer i triar les cookies que vol instal·lar en el seu ordinador. Però, i la resta?

Doncs sí, la solució de cookies per la nostra web és condició necessària però no suficient. I no ho és perquè la web necessita altres texts legals per complir amb la normativa de protecció de dades i, molt important, requereix que l’empresa estigui adequada al RGPD i a la LOPDGDD.

És clar que la web és la part visible de l’empresa i que els texts legals que hi apareixen es poden veure i valorar per persones externes a l’empresa. El primer col·lectiu que ho fa és el de clients i usuaris. I no és l’únic: empleats, accionistes, proveïdors, competència, administracions públiques i tots els grups d’interès que envolten a l’empresa també ho fan. I, naturalment, les autoritats de control en protecció de dades i de l’àmbit mercantil, entre altres, també veuen i revisen les nostres pàgines legals.

Aquí també, torna a ser condició necessària però no suficient el disposar dels texts legals sense que l’empresa estigui adequada. És més, si l’empresa no està adequada, no es poden generar els texts legals perquè, simplement, estaríem cometen un frau.

I aquesta situació de frau és més freqüent del que sembla. Des de copiar i enganxar texts legals d’una altre empresa a generar texts amb aparença de legalitat, el ventall de solucions fake que es fan servir són molt variades.

El camí correcte, per tant, és adequar l’empresa a la normativa de protecció de dades (RGPD i LOPDGDD) per, a continuació, generar els texts legals, incloent aquells que depenen de la LSSICE.

I que cal fer per adequar la nostra empresa a la normativa? Sense pretendre fer una llista exhaustiva de les tasques a dur a terme, hauríem de començar per una Auditoria que valori la situació inicial (descobriment de dades, mesures de seguretat, anàlisis de riscos, …). La segona fase consistiria en definir el Registre d’Activitats (RAT), establir l’Estructura tècnica i organitzativa, implementar les Mesures de Seguretat, dissenyar els contractes amb Intervinents de tractament (empleats, tercers, …) i generar tota la Informació i Comunicació dels tractaments necessària des de Clàusules de Personal, Tractament o Internet –tests legals– entre molts altres, fins a la redacció dels Informes Reglamentaris, Protocols d’Actuació i de Tractament, sense oblidar la important gestió de l’exercici de Drets.

I les avantatges? Ser més transparent, generar confiança i, per tant, més negoci de qualitat. I, per descomptat, evitar sancions econòmiques i, sobretot, la pèrdua de reputació que, en molts casos, pot ser irreversible.

En tots els casos, l’adequació només comporta beneficis. I deixar-ho en mans de professionals ens permet poder centrar-nos en l’important: el nostre negoci. I tenir la satisfacció de fer les coses ben fetes.

Cuideu-vos!

Aquesta setmana s’han complert tres anys des de que el Reglament General de Protecció de Dades va entrar en aplicació. Repassem en aquest post algunes de les fites més importants i farem una mica de balanç que, com sempre, tindrà llums i ombres.                                

El RGPD va entrar en vigor el 2016 però, gràcies a una moratòria, la seva aplicació no va a començar fins al maig de 2018. No és que la Protecció de Dades personals fos una novetat al nostre país, la LORTAD és de 1992 i la LOPD de 1999, però no cap dubte que va suposar un canvi de paradigma en el tractament de les dades personals per part de les empreses. Molts van descobrir, a partir d’aquell moment, el dret fonamental a la privacitat o, el que és el mateix, garantir a les persones el control sobre les seves dades personals .

Ara parlem d’un model preventiu (no reactiu per denúncies) amb responsabilitat proactiva, on s’ha establert la privacitat per defecte, des del disseny, i tot l’enfocament de les obligacions dels responsables s’ha de fer basat en l’enfocament del risc.

Consentiment reforçat, noves clàusules informatives, nous contractes d’encarregat de tractament, mesures de seguretat (violacions de seguretat), nous drets dels interessats i figures com el Delegat de Protecció de Dades són algunes de les novetats que ens va portar el RGPD i que ja a hores d’ara ens resulten, a més de familiars, imprescindibles en el nostre dia a dia en la matèria.

I les sancions, no ens oblidem, són considerables. Espanya és el país que ha imposat fins ara més sancions a Pimes, encara que, val a dir, l’import de la suma de les sancions no és el més elevat comparat amb els altres països. I, com sempre, al marge del aspecte econòmic, el més important té a veure amb la pèrdua de reputació de l’empresa. Aquest és l’intangible més apreciat i que hem de preservar a tota costa.

Aquest temps no ha estat exempt de dificultats. Només cal recordar l’anul·lació de l’Acord Privacy Shield que donava cobertura jurídica a les transferències de dades entre Europa i els Estats Units. O les modificacions en la regulació de les cookies que, encara avui, incompleixen moltes empreses.

I no oblidem la tecnologia que avança de manera espectacular, alhora que les normatives van per darrera dels esdeveniments. Amb la pandèmia hem vist l’auge de la videoconferència o els xats i el teletreball amb les seves dificultats per preservar la privacitat. I altres, com per exemple, el reconeixement facial o de veu, la Intel·ligència Artificial (IA), el Big Data o el Blockchain que estaven a les beceroles o directament no existien quan van començar els treballs del Grup de Treball de l’article 29, allà per el 1996.  

Un balanç, a la fi, prou positiu en general. Però queda molt camí per fer.

Cuideu-vos!

Aquest és el títol d’una famosa pel·lícula de 1964, en la que el prolífic director de cine Sergio Leone dirigia a l’inefable Clint Eastwood en un spaghetti western que es va convertir en un clàssic del gènere. No us comentaré la cinta, només aprofito el títol per fer-vos la reflexió que molt sovint hi ha estalvis que es converteixen en un disgust.

Recentment, l’Agència Espanyola de Protecció de Dades (AEPD) va publicar la seva Memòria AEPD 2020. El primer titular de la presentació es que, durant el 2020, es van presentar un total de 10.324 reclamacions. Gairebé 50 diàries, en dia laborable. I podríem afegir-ne a prop d’un miler si hi afegim els casos transfronterers, els que actua per iniciativa pròpia i les fallides de seguretat traslladades a la inspecció.

Les reclamacions més freqüents tenen a veure amb serveis d’Internet, inclusió indeguda en fitxers de morosos, videovigilància, recepció de publicitat i reclamació de deutes. Per sectors, els més sancionats són les entitats financeres i creditores, Administracions Públiques i les empreses de telecomunicacions.

També s’han realitzat 29 intervencions amb caràcter d’urgència per la retirada de continguts sexuals o violents, difosos per Internet, associades al Canal prioritari, amb un percentatge d’èxit superior al 86%.

És important destacar el fet que, a pesar de la pandèmia, l’activitat de l’Agència s’ha mantingut, posant de manifest que la implantació del teletreball no ha disminuït la capacitat de treball de l’Organisme.

Us poden semblar que les reclamacions són moltes o poques. Al meu parer, són suficients per reflexionar sobre si val la pena que, “per un grapat d’euros”, ens posem en mans de professionals que ens ajudin a complir amb la llei.

Perquè sempre diem que el cost de l’adequació de l’empresa és un cost cert però que el cost de no adequar-se és imprevisible. El primer es pot imputar ordenadament en la comptabilitat de l’empresa i, el segon, ens pot fer una destrossa a l’economia i, el que és més important, a la nostra reputació. I aquesta costa molt de recuperar.

Adequar l’empresa a la normativa genera confiança entre empleats (són els primers que pateixen la desconfiança), clients (fem les coses ben fetes excepte complir amb la llei?), proveïdors, administracions (si volem, per exemple, licitar). Fem les coses ben fetes. Per un cost cert.

Cuideu-vos!

Si ens dediquem al màrqueting i a la comunicació hem de tenir especial cura amb la utilització i  publicació d’imatges de tercers. Al marge de vulnerar els drets d’imatge, ens podem trobar amb sancions importants per part de l’Agència Espanyola de Protecció de Dades (AEPD).

En efecte, l’Agència ha sancionat amb 9.000€ al responsable d’una web per publicar material fotogràfic i altres dades personals d’un usuari, sense el seu consentiment. A més, l’usuari va reclamar i no va obtenir resposta.

Segons l’AEPD,  i “de conformitat amb les evidències de que es disposa”, es considera que els fets són constitutius de dos infraccions:

• Una primera infracció per vulneració de l’article 6 RGPD per el tractament sense consentiment i
• Una segona, per vulneració de l’article 13 RGPD perquè la Política de Privacitat de la pàgina web mancava dels requisits exigits pel que fa al tractament de dades de caràcter personal

Ja hem parlat en diferents ocasions de la importància d’estar legitimats per tractar dades personals. El Reglament recull diverses bases de licitud com pot ser l’execució d’un contracte, una obligació legal, per interès públic, per protegir interessos vitals de l’usuari, per interès legítim del responsable i, naturalment, per el consentiment de l’interessat (veure posts sobre el tema).

Entenc que no cal insistir en la qüestió. Si no estem legitimats, no podem tractar dades personals. I punt.

Respecte a la segona qüestió, els texts legals web, també n’hem parlat (veure posts). Com responsables, tenim obligació de informar a l’afectat del tractament de les seves dades personals, tal com disposen els articles 13 i 14 RGPD i el 12 LOPDGDD, i posar a la seva disposició els mitjans per exercir, de forma accessible, el drets que li corresponen.

En conseqüència, l’AEPD imposa, per la primera infracció, una multa de 5.000€ i de 4.000€, per la segona. A més dels danys reputacionals que es poden patir, no és plat de bon gust rebre sancions econòmiques per no haver fet les coses ben fetes.

I un altre dia parlarem dels drets d’imatge personal. Recordem que el dret a la imatge és un dret fonamental recollit a la nostra Constitució. Tret de les excepcions que marca la llei, sempre hem de tenir el consentiment de la persona per la captació, reproducció o publicació.

Com sempre, cuideu-vos!

Imatge Pixabay