Noticias y Actualidad

Creo conveniente empezar este post tratando de diferenciar dos aspectos fundamentales cuando hablamos de la protección del consumidor en la contratación a través de medios electrónicos. Por un lado, nos encontraremos con el deber de información al consumidor y, por otro lado, con el derecho de desistimiento. Los contratos celebrados a través de Internet son contratos que quedan regulados en el Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios (TRLGDCU) por lo que se deberán cumplir todas y cada una de las obligaciones dispuestas en dicha ley, debiéndose a su vez cumplir con aquellas que quedan establecidas en otra norma, la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI). Información al consumidor Encontramos un primer momento donde se podría empezar a hablar de la protección del consumidor y es en la información previa que se debe facilitar a este cuando adquiere bienes o contrata servicios a través de medios electrónicos. En este momento, el empresario, debe facilitar al consumidor de forma clara y comprensible la siguiente información según lo dispuesto en el art. 60 TRLGDCU:             – Las características principales de los bienes o servicios             – La identidad del empresario, incluidos los datos correspondientes a la razón social, el nombre comercial, su dirección completa y su número de teléfono y, en su caso, la identidad del empresario por cuya cuenta actúe             – El precio total, incluidos todos los impuestos y tasas. Si no pudiera calcularse en un primer momento el precio del bien, debería informarse sobre la forma de determinar el precio, además de los gastos adicionales de transporte o entrega             – Los procedimientos de pago, entrega o ejecución, así como la fecha en que el empresario se compromete a entregar el bien o a ejecutar la prestación del servicio             – Existencia de una garantía legal para el bien adquirido o el servicio contratado             – La duración del contrato, o, si este no tiene una duración determinada o se prolonga de forma automática, las condiciones de resolución. Deberá indicarse la existencia de compromisos de permanencia o vinculación de uso exclusivo de los servicios de un determinado prestador, así como las penalizaciones en caso de baja en la prestación del servicio             –  La lengua o lenguas en las que podrá formalizarse el contrato             – La existencia del derecho de desistimiento que pueda corresponder y el plazo y la forma de ejercitarlo             – La funcionalidad de los contenidos digitales, incluidas las medidas técnicas de protección aplicables             – Toda interoperabilidad relevante del contenido digital con los aparatos y programas conocidos por el empresario (sistema operativo, la versión necesaria o determinados elementos de los soportes físicos)             – El procedimiento para atender las reclamaciones de los consumidores, así como, la información sobre el sistema extrajudicial de resolución de conflictos. Información según LSSI Además de lo dispuesto en la norma a la que nos hemos referido anteriormente, el empresario, en virtud de lo dispuesto en el art. 27 de la LSSI, debe poner a disposición del destinatario, antes de iniciar el procedimiento de contratación y mediante técnicas adecuadas al medio de comunicación utilizado, de forma permanente, fácil y gratuita, información clara, comprensible e inequívoca sobre los siguientes extremos:             – Los distintos trámites que deben seguirse para celebrar el contrato.             –  Si el prestador va a archivar el documento electrónico en que se formalice el contrato y si éste va a ser accesible.             – Los medios técnicos que pone a su disposición para identificar y corregir errores en la introducción de los datos, y             – La lengua o lenguas en que podrá formalizarse el contrato. Estos extremos no deberán ser aplicados cuando las partes del contrato no tengan la consideración de consumidor o cuando el contrato se haya celebrado exclusivamente mediante intercambio de correos electrónicos u otro tipo de comunicación electrónica equivalente. Una vez perfeccionado el contrato, el consumidor, debe ser informado de nuevos aspectos. Entre dichos aspectos, encontramos uno que debemos destacar: La confirmación por parte del empresario del contrato celebrado en un formato duradero, entendiendo como formato duradero, aquel instrumento que permita al consumidor o al empresario almacenar la información de forma que, en el futuro, pueda ser recuperada fácilmente. Derecho de desistimiento Posteriormente, en un segundo momento, podemos encontrar la protección del consumidor en el derecho de desistimiento. Este, que se encuentra regulado en el TRLGDCU, queda establecido como el derecho que tiene el consumidor a desistir del contrato durante un periodo de 14 días naturales, sin necesidad de indicar motivo alguno y sin necesidad de incurrir en ningún gasto salvo supuestos muy específicos. Este derecho tiene sus excepciones, de entre las que podemos destacar las siguientes:             – El suministro de bienes confeccionados conforme a las especificaciones del consumidor             – El suministro de bienes que puedan deteriorarse             – El suministro de bienes precintados que no sean aptos para ser devueltos por razones de protección de la salud o de higiene y que hayan sido desprecintados tras la entrega             – El suministro de grabaciones sonoras o de vídeo precintadas o de programas informáticos precintados que hayan sido desprecintados por el consumidor después de la entrega. Respecto al comienzo del computo de plazo, se debe diferenciar entre la contratación de servicios, donde el cómputo de plazo comienza desde el día de la celebración del contrato y entre la adquisición de un bien, donde el cómputo de plazo comienza en el momento en que el consumidor o un tercero por el indicado, adquiera la posesión material del bien. Una vez ejercido el derecho de desistimiento por parte de consumidor, el empresario, deberá reembolsar a este todo pago recibido, incluidos los costes de entrega y siempre, antes de los 14 días naturales desde que haya recibido la decisión de desistimiento del contrato. Os podemos ayudar Desde Legitec nos esmeramos

La Agencia Española de Protección de Datos ha publicado su informe anual, donde se comunica la situación de cumplimiento de su Plan Estratégico 2015-2019. En el ejercicio 2018 este grado de cumplimiento ha sido del 96%, dejando 4 acciones aplazadas para este año en el que estamos, 2019. En el siguiente enlace se puede acceder al Informe completo, de 125 páginas. En el año 2018, tercer año de ejecución del Plan Estratégico de la AEPD, se han ejecutado 48 iniciativas de ejecución continua o plurianual y 34 de ejecución continua a anual/bianual. Han quedado aplazadas tres iniciativas que se contemplaban para el ejercicio 2018, pero que pasan a 2019. Se trata de la actualización de la Guía de Cookies, la creación de un espacio Web para desarrolladores y la elaboración de un tesauro de protección de datos para facilitar la búsqueda de la información disponible en la web de la Agencia. Cuando la Agencia presentó su Plan Estratégico señaló el carácter dinámico del mismo, que se muestra con la incorporación, según las necesidades de nuevas iniciativas. Así, aunque en un principio para el ejercicio 2018 estaban contempladas un total de 74 iniciativas, la actualidad y necesidades ha hecho que se incorporasen otras 7. Se puede ver todas las iniciativas y su grado de cumplimiento en estas fichas elaboradas por la AEPD. Ejes de actuación del Plan Estratégico de la AEPD 2015-2019 El Plan Estratégico de la AEPD se divide en cinco ejes distintos de actuación. Eje 1. Prevención para una protección eficaz. Eje 2. Innovación y protección de datos: factor de confianza y garantía de calidad. Eje 3. Una agencia colaboradora, transparente y participativa. Eje 4. Una agencia cercana a los responsables y a los profesionales de la privacidad. Eje 5. Una agencia más ágil y eficiente. Iniciativas incorporadas en el ejercicio 2018 Las siete iniciativas incorporadas al cronograma del Plan para su ejecución durante 2018, han sido: Orientaciones/recomendaciones sobre juguetes conectados. Actuaciones en el ámbito sanitario, farmacéutico y de la investigación biomédica. Colaboración con la Comisión Nacional de los Mercados y la Competencia. Colaboración con el servicio 060 (Portal de Atención Ciudadana de la AGE). Encuentro sobre Compra Segura en Internet. Listado de Cumplimiento Normativo. Encuentro con Delegados de Protección de Datos de las Diputaciones Provinciales. Por otra parte, se han descartado cuatro iniciativas que contemplaba el cronograma: Guía de Universidades, que se integra en la Guía de Centros Docentes, Guía de Empleados Públicos, Proyecto Archive y Reglamento de la LOPD. Iniciativas incorporadas al ejercicio 2019 Además de las 3 iniciativas aplazadas para 2019, se incorporan al Plan para ser ejecutadas en su último año de vigencia, otras 14 acciones. Son las siguientes. Site Web sobre reclamaciones en materia de contratación eléctrica y gas. Encuentro con Delegados de Protección de Datos de Universidades. Jornada de formación en el RGPD con la Audiencia Nacional. Orientaciones sobre el tratamiento de los datos personales en la actividad de los partidos políticos. Convenio de colaboración con el Centro para el Desarrollo Tecnológico Industrial (CDTI). Estudio de privacidad en dispositivos y aplicaciones móviles para la monitorización de la actividad física, el bienestar y la salud. Estudio de privacidad de aplicaciones para su uso en el aula en entornos de educación obligatoria. Orientaciones en protección de datos para operadores de drones. Análisis comparativo de privacidad en navegadores web. Orientaciones sobre el tratamiento de datos biométricos. Herramienta de evaluación de impacto en protección de datos (EIPD) para Administraciones Públicas. Herramienta de análisis de riesgos para PYME. Herramienta de evaluación de impacto en protección de datos (EIPD) para PYME. Desde Legitec queremos aprovechar estas líneas para Felicitar a la Agencia Española de Protección de Datos por su gran labor.

La Oficina de Seguridad del Internauta (OSI) y el Instituto Nacional de Ciberseguridad (INCIBE) han alertado de una nueva campaña de phishing que pretende robar tus datos personales y bancarios haciéndose pasar por Hacienda. El fraude consiste en el envío de un email suplantando a la Agencia Tributaria, en el que se informa que el usuario es acreedor de un reembolso económico por parte de la Hacienda Pública. Para cobrar este dinero debe acceder a un enlace que aparece en el email y que deriva a un formulario. El usuario debe rellenar el formulario con una serie de datos personales y bancarios para poder percibir la devolución del dinero. Cómo actuar ante el phishing Desde la OSI y el INCIBE alertan de la necesidad de no realizar ningún trámite ni rellenar el formulario, con el fin de evitar que nuestros datos personales y bancarios queden comprometidos. Se debe hacer caso omiso al email en caso de recibirlo en nuestra bandeja de entrada. Phishing con Hacienda En las siguientes imágenes extraídas de la web de la OSI se muestra cómo es el mecanismos de esta nueva campaña de phishing. Como vemos en la primera imagen superior, el usuario recibe un email con el asunto “Nuevo mensaje:Código Numérico”, el emisor del mensaje no es la Agencia Tributaria. Es importante fijarse en los remitentes antes de abrir un mensaje y no hacerlo cuando son remitentes desconocidos. En el texto del mensaje se puede leer que al usuario le corresponde un reembolso de 350.16 €. En caso de querer recibir esta cantidad de dinero debe acceder a un enlace web que aparece al final del texto. Una vez que hemos accedido al enlace nos encontramos con una pantalla que simula ser la web de la Agencia Tributaria, pero que no lo és. Ya que la Agencia siempre trabaja con protocolos seguros https y con certificados digitales o claves PIN. En la página se muestra un formulario en el que se piden datos personales y bancarios del usuario incluidas números de tarjeta bancaria y datos de acceso a la Agencia Tributaria: usuario y clave, con las que operamos en la sede electrónica de la Agencia. Una vez introducidos los datos y hacer clic en “Entrar”, se nos muestra el siguiente mensaje: “Por favor espere, mientras procesamos su solicitud. Por favor, espere y no cierre la ventana”. Pasados unos momentos, la página vuelve a cargarse y aparece el siguiente mensaje, indicando que el usuario recibirá un SMS con un código que debe introducir. Qué hacer si caes en el phishing En caso de que no hayamos detectado el fraude y hayamos rellenado y completado los pasos, desde OSI nos recomiendan contactar con nuestro banco para comentar la situación y evitar que suframos fraude. Además nos aconsejan buscar periódicamente nuestra información personal en los buscadores para saber qué circula por la red y en caso de ver datos que no queremos que estén, contactar con la Agencia de Protección de Datos para exigir nuestros derechos de acceso, rectificación, cancelación u oposición (ARCO) al tratamiento de nuestros datos personales. Si has sido destinatario de esta campaña de phishing o de otras comunica a las autoridades este hecho y denuncia. Puedes informarte de cómo actuar en la Línea de ayuda en ciberseguridad de INCIBE. Teléfono: 900.116.117.

Hemos comentado en varias de nuestras noticias que desde el 06 de diciembre de 2018 tenemos una nueva Ley de protección de datos, concretamente la Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales. (LOPDPyGDD). Esta norma viene a complementar el muy mentado Reglamento Europeo de Protección de datos (RGPD), por lo que ha aprovechado el legislador para regular puntos en los cuales el RGPD no se había detenido.Uno de esos puntos, es la creación de sistemas de exclusión publicitaria. Estos sistemas ya estaban regulados en el anterior Reglamento de protección de datos, que data del 2007, y fruto del mismo se habían creado algunas listas de exclusión. La más conocida era la denominada Lista Robinson , que podemos todavía consultar en www.listarobinson.es .Por su parte, la LOPDPyGDD, en su Artículo 23 establece, a groso modo:• Que las entidades responsables de los sistemas de exclusión publicitaria comunicarán a la autoridad de control competente su creación, de carácter general o sectorial, así como el modo en que los afectados pueden incorporarse al mismo.• Cuando un afectado manifieste a un Responsable de Tratamiento su deseo de que sus datos no sean tratados para la remisión de comunicaciones comerciales, éste deberá informarle de los sistemas de exclusión publicitaria existentes.• Las organizaciones que pretendan realizar comunicaciones de mercadotecnia directa (El envío de cualquier newsletter o boletín informativo), deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación, excluyendo del tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa al mismo. No será necesario realizar la consulta a la que se refiere el párrafo anterior cuando el afectado hubiera prestado su consentimiento expreso para recibir la comunicación, por lo que sólo tendremos que consultar las citadas listas cuando los envíos comerciales que realicemos estén basados en el interés legítimo. Por ejemplo. Cuando enviemos una newsletter a clientes de los cuales no tengamos un consentimiento expreso para el envío de publicidad.Hasta ahora, no tenemos conocimiento de que la Agencia Española de Protección de datos haya publicado en su sede electrónica ninguna lista de exclusión, pero en sucesivas noticias os iremos informando de la evolución de estas listas, además, si desean obtener información adicional, no duden en ponerse en contacto con Legitec para asesorarse sobre éste y otros aspectos relacionados con la protección de datos.

En este artículo me gustaría tratar brevemente lo que se ha denominado “canal de denuncias”. Como expuso el abogado José Antonio Sánchez Pérez en las IV jornadas sobre prevención y represión del blanqueo de capitales que tuvieron lugar en Valencia, el canal de denuncias se configura como un sistema o vehículo de comunicación bidireccional, que tiene por objetivo la atención a cualquier denuncia, comunicación o consulta realizada por los trabajadores y grupos de interés – “stakeholders”-, de una organización. Estas denuncias o comunicaciones deben ser relativas a actuaciones o comportamientos contrarios a la normativa vigente, o que vulneren los códigos de conducta y/o protocolos internos que tenga implantados la entidad en su fuero interno. La Directiva (UE) 2015/849 del Parlamento Europeo y del Consejo, de 20 de mayo de 2015, relativa a la prevención de la utilización del sistema financiero para el blanqueo de capitales o la financiación del terrorismo, establece en su artículo 61 la necesidad de que los Estados miembros garanticen el establecimiento de mecanismo eficaces y fiables para alentar que se informe a las autoridades competentes de infracciones potenciales o reales de las disposiciones de la citada normativa. Es obligación de los Estados miembros establecer, a través de los organismos y mecanismos oportunos, un canal de comunicación seguro de comunicación para la transmisión de información, debiendo este canal garantizar el anonimato y la confidencialidad entre el emisor de la información -denunciante- y el organismo encargado de analizar la información facilitada. La figura del canal de denuncias incorporada a la normativa europea ha sido exportada de la legislación estadounidense, en concreto de la Lloyd–La Follete Act de 1912, la Whistleblower Protection Act de 1989 y de la Sarbanes–Oxley Actde 2002. A nivel nacional, el Código Penal recoge, en su artículo 31 bis.5.4, la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento del modelo de prevención. Por su parte, la nueva LOPDGDD establece en su artículo 24 el esquema básico de funcionamiento del canal de denuncia remarcando, entre otros aspectos, la necesidad de que el mismo preserve y garantice la confidencialidad del mensaje y proteja la identidad del denunciante. A nivel internacional, es la norma ISO 19600:2014, relativa a sistemas de gestión de compliance, la que recoge la posibilidad de creación del canal como herramienta efectiva de comunicación, sin perjuicio de la implantación de otras herramientas o sistemas. Respecto a la efectiva implantación del canal de denuncias, las organizaciones deben establecer una serie de principios rectores del funcionamiento, y deben asegurarse de que los mismos son conocidos por todos aquellos interesados y potenciales usuarios del canal. En todo caso, y como principios rectores, esta herramienta debe ser totalmente confidencial, se debe realizar siempre un exhaustivo análisis de los hechos que se denuncian -con el objeto de asegurar la veracidad del incumplimiento denunciado-, se debe garantizar la presunción de inocencia de las personas implicadas. Asimismo, deben imperar, como principios rectores, el rigor y la fundamentación de todas aquellas actuaciones llevadas a cabo a tenor de las comunicaciones recibidas. En conclusión, la implantación de un canal de denuncias es un elemento clave para la prevención y detección de todo tipo de actuaciones irregulares e ilícitos penales, limitando las posibles responsabilidades penales y perjuicios de carácter reputacional, siendo una herramienta especialmente interesante para la mejora de los procesos internos de la organización. El canal de denuncia correctamente implantado en el seno de una organización también es un elemento útil para ponderar el grado de responsabilidad social de la misma. Cuando el canal de denuncias se lleva a término de forma externalizada, este aspecto da información sobre el grado de madurez del modelo de prevención implantado por la organización. Guillermo Coloma Serna (Consultor ESOC by LEGITEC)

Los nuevos cambios normativos introducidos en los últimos tiempos en materia de protección de datos, en un principio por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (en adelante RGPD), y, posteriormente, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPD-GDD), permite observar importantes similitudes entre la regulación en esta materia y otros sistemas de Compliance. ANÁLISIS DE RIESGOS Y EVALUACIÓN DE IMPACTO El análisis de los riesgos relativos al tratamiento nos permite controlar la incertidumbre relativa a una amenaza mediante una secuencia de actividades que incluyen la identificación y evaluación del riesgo, así como, las medidas para su reducción o mitigación. Una vez evaluado el riesgo, el artículo 35 RGPD establece que cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Es decir, en los supuestos en los cuales existan riesgo de incumplir la normativa, se evaluará el potencial impacto que supondría en caso de producirse, en los derechos y libertades de las personas físicas afectadas. El análisis de riesgos y la evaluación de impacto en materia de protección de datos la podríamos asemejar a la identificación, análisis y valoración de los riesgos penales que se realiza en la primera fase de implantación de un Sistema de Compliance para definir el programa de cumplimiento. Una vez analizados los riesgos y sus consecuencias, debemos establecer y valorar los controles para prevenir o detectar la posible ocurrencia de los mismos. CANAL DE DENUNCIAS INTERNO En este sentido, el artículo 24 de la LOPD-GDD promueve la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable. Los empleados y terceros deberán ser informados acerca de la existencia de estos sistemas de información. El acceso a los datos contenidos en estos sistemas será limitado exclusivamente a quienes desarrollen las funciones de control interno y de cumplimiento, o a los encargados del tratamiento que eventualmente se designen a tal efecto. Dentro de los protocolos de actuación que incluyen la segunda fase del Sistema de Compliance, comprende la definición del funcionamiento de un Canal de Denuncias, que permitirá la realización de consultas y la comunicación de situaciones ilícitas o contrarias al marco ético o a las políticas internas. DELEGADO DE PROTECCIÓN DE DATOS/COMPLIANCE OFFICER Dentro de las novedades del nuevo marco legal en protección de datos nos encontramos la aparición de un nuevo órgano de control: el Delegado de Protección de Datos (DPO), figura introducida por el RGPD (artículos 37 a 39) y reforzada en la LOPD-GDD (artículos 34 a 37). Si atendemos a las funciones de ambos, el DPO se asemeja al Compliance Officer, en los términos recogidos en el Código Penal en su artículo 31bis, al ser un órgano encargado de asesorar, controlar y supervisar el cumplimiento de la normativa. RESPONSABILIDAD PROACTIVA El RGPD introduce el Principio de Responsabilidad Proactiva (artículo 5.2) entendiendo que el responsable del tratamiento será responsable del cumplimiento de los principios relativos al tratamiento y, además, capaz de demostrarlo. La Ley 31/2014, de 3 de diciembre, por la que se modifica la Ley de Sociedades de Capital para la mejora del gobierno corporativo, introduce cambios en los órganos de administración de todas las sociedades entre los cuales que, los mismos, deberán actuar con la diligencia y lealtad debidas y que, además, deberán poder demostrarlo. En este punto, la diligencia debida en el contexto del Sistema de Compliance podríamos definirla como el adecuado cumplimiento de los requisitos y obligaciones de carácter penal por parte de los grupos de interés, especialmente de los propios miembros de la Organización (proyección interna) y de los socios de negocio (proyección externa). FORMACIÓN Dentro de las funciones del DPO y, en cumplimiento del principio de Responsabilidad Proactiva, se encuentra la de supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes. La formación y concienciación del personal con acceso a los datos personales se configura, en este sentido, como un pilar fundamental para evidenciar la responsabilidad proactiva. Dentro del Sistema de Compliance, el proyecto se completa con el diseño y ejecución de un plan de formación y concienciación a los miembros de la organización (Dirección, mandos intermedios, empleados y colaboradores en general). No podrá evidenciarse la idoneidad del sistema si no se lleva a cabo una formación continua adaptada a los roles y circunstancias específicas de cada área, dando a conocer las políticas, procedimientos y canales con que cuenta y las consecuencias de su incumplimiento. En definitiva, nos encontramos que, con el nuevo marco legal de protección de datos, se han introducido mecanismos de control similares a los de Compliance, detectándose una tendencia hacia la autorregulación de las empresas, en virtud del análisis desde el riesgo, y la supervisión dentro de la organización por parte de figuras autónomas e independientes. Visita nuestra web e infórmate de cómo implementar un sistema que integre Protección de Datos y

Los hogares inteligentes o smart homes utilizan el Internet de las Cosas, es decir los dispositivos y sensores conectados entre sí para facilitarnos el día a día. Podemos subir o bajar la intensidad de la luz, saber qué tenemos en la nevera, la despensa, cerrar la puerta a distancia, instalar la alarma, ver nuestro hogar, encender la televisión… y todo aquello que nos podamos, o no imaginar. Cada vez son más los hogares que se unen a la domótica, la tecnología que nos permite disfrutar de hogares inteligentes. Desde una pantalla táctil (tablet, móvil, ordenador…) con conexión a Internet, el propietario controla su hogar. Además de hacernos la vida más fácil, son muchas las ventajas que tienen estos hogares inteligentes. Nos permiten llevar un control y reducir el gasto del hogar (electricidad, agua, calefacción, gas…). Pero estos smart homes no están exentos de riesgos. Desde la Oficina de Seguridad del Internauta nos recuerdan que como toda tecnología que está conectada a Internet nos encontramos en riesgo de sufrir ciberataques. La mayoría de los sistemas de casas inteligentes se manejan desde una Aplicación, la cual solo nos pide un usuario y una contraseña. De ahí la importancia de elegir contraseñas seguras: más de 8 caracteres, mezclar minúsculas, mayúsculas y caracteres numéricos. Cuanto más segura sea la contraseña más difícil será que nos hackeen. También es importante tener actualizados los sistemas informáticos, tanto el software como los antivirus, para evitar ataques de ciberdelincuentes. Antes de instalar un sistema es conveniente informarnos sobre las opiniones de los expertos y saber qué vulnerabilidades tiene. Es necesario además revisar y leer las condiciones del servicio y la política de privacidad de cada aplicación y sistema. Debemos saber qué hacen las empresas con nuestros datos personales y como tratan esta información tan privada: ¿qué información recoge el dispositivo?, ¿qué hace la empresa fabricante con esa información?, ¿es compartida con terceras empresas?, ¿dónde y cómo se guarda esta información, y por cuánto tiempo?, ¿el consumidor tiene control sobre qué información desea compartir? Un ejemplo de sus riesgos: La equivocación de Amazon Esta semana se ha conocido el gran error que cometió Amazon al enviar los archivos recogidos por sus sistema Alexa, smart home a un usuario que no se correspondía con el propietario de ese hogar. Concretamente un usuario de Amazon le pidió a esta compañía que le enviará un archivo con todos los datos personales que tenía la firma sobre él. Amparando su petición en los derechos que le reconoce el Reglamento Europeo de Protección de Datos. Amazon le envió el archivo, pero fue el archivo equivocado. En él había datos e información sobre el hogar de otro usuario que hacía uso de su sistema Alexa, asistente virtual de Amazon que nos permite domotizar nuestro hogar. De esta forma el usuario que solicitó la información pudo conocer intimidades e invadir la privacidad de otra persona. Desde la compañía se asegura que fue fruto de un error humano, pero queda expuesto la vulnerabilidad de estos sistemas. Pero también se han dado casos en los que el error ha sido del propio asistente virtual, al haber malinterpretado una orden. Desde Legitec os recordamos la importancia de conocer los riesgos de cualquier sistema conectado a Internet. Es importante tener toda la información antes de instalar o acceder a un servicio.

La Agencia Española de Protección de Datos (AEPD) ha elaborado un informe que analiza el tratamiento de datos por parte de los partidos, tras los cambios realizados en las regulaciones en materia de protección de datos y del régimen electoral general (LOREG). La llegada de las nuevas tecnologías y técnicas como el Big Data han supuesto cambios en muchos ámbitos. Alguno de ellos afecta al tratamiento de datos referentes a las opiniones públicas de las personas sobre sus opiniones e ideologías políticas. ¿Qué es legítimo? ¿Dónde están los límites? Para dar respuesta a algunos de estos interrogantes y sobre todo para velar por los derechos en materia de protección de datos, la AEPD elabora este informe, disponible en este enlace: Informe tratamiento datos opiniones políticas por partidos políticos. En el citado informe, la Agencia señala que solo podrán tratar opiniones políticas cuando estas hayan sido libremente expresadas por las personas en el ejercicio de su derecho a la libertad de expresión y a su libertad ideológica, y se hayan expresado de manera pública. Establece que en ningún caso se podrán aplicar o usar tecnologías como el big data, la inteligencia artificial, el micro-targeting en los procesos electorales, que pueden llevar a la manipulación de las personas mediante la realización de perfilados exhaustivos y el fenómeno de las “fake-news” o “desinformación online”. Como ya ha ocurrido en el escándalo de Cambridge Analytica. Artículo 58 bis de la LOREG Para evitar que estos hechos ocurran y la información se utilice para fines ilegítimos. El legislador español ha modificado el artículo 58 bis de la LOREG con el fin de regular específicamente la recopilación y tratamiento de opiniones políticas por los partidos políticos así como el envío de propaganda electoral. Artículo 58 bis. Utilización de medios tecnológicos y datos personales en las actividades electorales. 1. Conforme a lo establecido en el Considerando 56 del Reglamento (UE) 2016/679, se considera de interés público la recopilación y tratamiento de datos personales sobre las opiniones políticas de las personas que realicen los partidos políticos en el marco de sus actividades electorales únicamente cuando se ofrezcan garantías adecuadas. 2. Cuando la difusión de propaganda electoral en redes sociales o medios equivalentes se base en la elaboración sistemática y exhaustiva de perfiles electorales de personas físicas, deberá realizarse una previa evaluación de impacto relativa a la protección de datos personales en los términos previstos en el artículo 35 del Reglamento (UE) 2016/679. Dicha difusión no podrá realizarse cuando se identifique un alto riesgo para los derechos y libertades de las personas y no se adopten las medidas necesarias para impedirlo. Quedan prohibidas las actividades de propaganda electoral basadas en la elaboración de perfiles electorales en redes sociales o equivalentes cuando no se informe a sus destinatarios sobre su finalidad, la identidad del responsable o la entidad contratada para su realización y los criterios de selección. 3. Los partidos políticos, coaliciones y agrupaciones electorales podrán utilizar datos personales obtenidos en páginas web y otras fuentes de acceso público para la realización de actividades políticas durante el periodo electoral. 4. El envío de propaganda electoral por medios electrónicos o sistemas de mensajería y la contratación de propaganda electoral en redes sociales o medios equivalentes no tendrán la consideración de actividad o comunicación comercial. 5. Las actividades divulgativas anteriormente referidas identificarán de modo destacado su naturaleza electoral. 6. Se facilitará al destinatario un modo sencillo y gratuito de ejercicio del derecho de oposición. Garantías para el tratamiento de datos Como leemos en el apartado 1 de este artículo 58 bis señala que se podrán tratar cuando cuando se ofrezcan garantías adecuadas. La Agencia en su informe establece en qué consisten estas garantías. 1. Responsabilidad desde el diseño y por defecto. Los responsables deberán adoptar medidas técnicas y organizativas apropiadas, como la seudonimización e incluso la agregación y anonimización. 2. Designar un delegado de protección de datos. 3. Elaborar el registro de actividades de tratamiento, debiendo ser precisos y claros, conforme a los principios de lealtad y transparencia. 4. Realizar una evaluación de impacto relativa a la protección de datos, al realizar un tratamiento a gran escala de categorías especiales de datos. 5. Consultar a la AEPD antes de proceder al tratamiento cuando la evaluación de impacto muestre que el tratamiento entraña un alto riesgo. Si esa evaluación de impacto se realiza adecuadamente será obligatorio consultar a la AEPD, salvo que el responsable garantice que el riesgo puede mitigarse. 6. Adoptar medidas de seguridad, que deberán ser lo más rigurosas que permita el estado de la técnica, teniendo en cuenta que se trata de datos referentes a opiniones políticas cuyo tratamiento es excepcional y que suponen un importante riesgo para los derechos y libertades de las personas. 7. Cuando el tratamiento vaya a realizarlo un encargado del tratamiento, deberán seleccionar uno que ofrezca garantías suficientes y haber suscrito con él un contrato en el que deberá garantizarse que el encargado actuará sólo siguiendo instrucciones del responsable, debiendo contemplar dichas instrucciones las garantías definidas por la Agencia. 8. Facilitar el ejercicio de los derechos de acceso, rectificación, supresión y oposición. 9. En el caso de que se pretenda obtener los datos de terceros (que no actúen como encargados del tratamiento) el responsable deberá comprobar que esos datos fueron obtenidos de manera lícita y cumpliendo con todos los requisitos del RGPD, especialmente que el tercero tenga una legitimación específica para obtener y tratar dichos datos y que haya informado expresamente a los afectados de la finalidad de cesión a los partidos políticos. 10. El responsable deberá cumplir con las garantías del artículo 22 del RGPD si se van a realizar decisiones automatizadas, incluida la elaboración de perfiles generales. En su informe la AEPD establece que los partidos deben informar sobre el tratamiento de estos datos. Esta información debe ser concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Del mismo modo, cuando el responsable pretenda obtener los datos de un tercero, deberá comprobar que este ha cumplido con su obligación de

Estamos acabando el año 2018 y es tradición hacer un repaso a lo acontecido y plantear nuevos propósitos y objetivos para el año que está por venir. Un año de duro trabajo. Para LEGITEC el 2018 ha sido un año de duro trabajo. La entrada en vigor el pasado Mayo del Reglamento General de Protección de Datos implicó una carga de trabajo desmesurada. Aunque las organizaciones habían tenido 2 años para prepararse – seamos conscientes de que somos españoles y lo de planificar no se nos da del todo bien-, lo cierto es que la inmensa mayoría esperó a Mayo de 2018 para ponerse manos a la obra. Muchas organizaciones empezaron a solicitar consentimientos masivos por email, en muchas ocasiones innecesarios por estar mal aconsejados, y eso aumentó el estrés de aquellos responsables que no paraban de recibir impactos en relación a las obligaciones del nuevo reglamento. Esto supuso una auténtica avalancha de solicitudes de información, consulta de dudas y prisas como nunca antes habíamos visto en nuestro sector.  En LEGITEC habíamos estado preparándonos, formándonos en la materia, cambiando nuestros procesos internos, herramientas, documentación, incorporando a nuevos compañeros de muy alto nivel a nuestra plantilla, etc. El reto no fue pequeño, pero lo cierto es que gracias al gran equipo que forma LEGITEC sobrevivimos a la entrada en vigor del RGPD. GRACIAS A TODOS LOS COMPAÑEROS DE LEGITEC POR EL COMPROMISO Y ESFUERZO DEMOSTRADO. He de agradecer igualmente a todas las organizaciones que han confiado en nosotros para acompañarles y asesorarles en esta tarea. Nuestra experiencia nos dice que la implantación de sistemas de gestión de protección de datos es un proceso de mejora continua. Sabemos que no resulta ni conveniente ni efectivo establecer procedimientos inicialmente y no darles seguimiento, dejando el sistema de gestión prácticamente muerto. Es por ello que esperamos poder seguir aconsejándoos y mejorando vuestros procesos para que podáis ser capaces de demostrar vuestra responsabilidad activa con la protección de los datos que tratáis. Revolución en el sector de la protección de datos. 2018 ha sido un año de revolución en nuestro sector. Hemos comprobado como muchas organizaciones no han estado a la altura de las circunstancias y las necesidades que generaban este importante cambio normativo. Hemos podido observar un cierto cambio de tendencia en el sector. El sector está madurando, de alguna forma se está profesionalizando. Ya no vale lo de » a mi me lo lleva uno que ha hecho un curso de protección de datos» o «puedes hacer un curso y así te sale a coste cero«. Los charlatanes y vendehumos de la protección de datos se han ido disipando. Sin duda siguen ahí, pero ahora se les ve el plumero. Se necesita un profundo conocimiento jurídico y tecnológico para poder dar un asesoramiento adecuado, como así lo establecen las recientes normativas aplicables a la figura del Delegado de Protección de Datos. Hace años que en LEGITEC apostamos por contar en nuestro equipo con juristas e informáticos formados en profundidad en la materia de protección de datos, y hoy nos congratula poder confirmar que estábamos en el buen camino.  Nuevos Palabros. La entrada en vigor de las nuevas normativas nos ha inundado de nuevas siglas a las que el entorno tendrá que ir habituándose.  El Reglamento General de Protección de Datos (RGPD) por su carácter europeo, hace que sus siglas en inglés sean muy utilizadas (GDPR). Igualmente hace que el Delegado de Protección de Datos (DPD) también sea conocido por su nomenclatura en Inglés – DPO-, que ya era utilizada con anterioridad a la aparición del Reglamento.  También tenemos el PbD, por Privacy by Default/Design, que hace mención a la privacidad desde el diseño y por defecto. Además vemos como se amplía el uso de los términos anglosajones para nuestro responsable y encargado del tratamiento, encontrándonos en muchas políticas el Data controller y el Data Processor, que alguno traduce de forma no adecuada como Controlador y Processador. Cuidado con eso. Adicionalmente la aparición de la Ley 3/2018 de Protección de Datos de Carácter Personal y Garantía de los Derechos Digitales, nos ha dejado un cambio de la LOPD por la LOPDGDD, a la que aún no nos hemos terminado de acostumbrar. Qué lejos quedó la LORTAD, en 1992, cuando ya se empezaba a hablar de los riesgos del tratamiento automatizado de datos. El tiempo dirá qué nomenclatura acaba por imponerse y se convierte en un estándar de uso. Consolidación en Alicante. Este año también ha sido un año de ampliación geográfica. Aunque ya teníamos una actividad habitual en Alicante, hemos consolidado nuestra presencia en dicha provincia a través de una alianza estratégica con Grupo ESOC y fundando ESOC by LEGITEC. Hemos tenido un crecimiento importante en esta provincia y esperamos seguir ampliando nuestro ámbito geográfico de actuación. Retos para el próximo año. En unas semanas empezamos el 2019 y no dejaremos de asumir los retos que nos presenta con ilusiones renovadas. La LOPDGDD. La nueva Ley Orgánica nos llevará nuevamente a ajustar nuestros procesos, nuestra consultoría y nuestra documentación para que nuestros clientes cumplan con ella con las máximas garantías. En este caso se le pasó por alto al legislador eso del Vacatio Legis, entrando en vigor al día siguiente de su publicación, así que ya es de aplicación, y desde ya la tenemos en cuenta en nuestras actuaciones. Aún así será, sin duda alguna, un acicate para redoblar esfuerzos en demostrar que nuestros clientes cumplen de la mejor forma con la normativa de protección de datos. Delegado de Protección de Datos. El RGPD estableció la obligatoriedad de disponer de esta figura en determinadas organizaciones y la LOPDGDD ha aclarado y ampliado los casos en que aplica. En Legitec estamos preparados para cubrir estas necesidades en las organizaciones y estamos deseando asumir ese reto y acompañar a nuestros clientes aportando toda nuestra experiencia de los más de 16 años dedicados a estas actividades. A lo largo de 2019 esperamos ampliar el número de consultores que certifican su conocimiento y capacidades para asumir la figura

Con el objetivo de difundir y dar publicidad a la lista de delegados de protección de datos, la Agencia Española de Protección de Datos ha publicado el registro de Delegados de Protección de Datos (DPD). Este listado se encuentra disponible en la sede electrónica de la Agencia y permite conocer el contacto de los delegados de protección de datos comunicados a la AEPD. De esta forma, los ciudadanos, que quieran ejercitar sus derechos o presentar una reclamación ante una entidad, pueden introducir el nombre, razón social o NIF de la organización para conocer los datos de contacto del DPD y dirigirle sus solicitudes. Este registro se publica en cumplimiento con el artículo 34.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que establece que la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos mantendrán, en el ámbito de sus respectivas competencias, una lista actualizada de delegados de protección de datos que será accesible por medios electrónicos. La información se actualizará diariamente y se corresponde con los datos de contacto que los responsables o encargados del tratamiento facilitan a la Agencia a través del formulario previsto al efecto en su Sede electrónica. Cabe recordar, que conforme al artículo 34.3 de la Ley Orgánica 3/2018, El nombramiento y cese de los delegados debe realizarse en el plazo de diez días, tanto en aquellos supuestos en los que su designación sea obligatoria como en los voluntarios. La comunicación de los datos del delegado de protección de datos a la AEPD es obligatoria para las entidades previstas en el artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, en los siguientes supuestos (artículo 34.1 de la Ley Orgánica 3/2018): Los colegios profesionales y sus consejos generales. Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas. Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala. Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio. Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito. Los establecimientos financieros de crédito. Las entidades aseguradoras y reaseguradoras. Las empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores. Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural. Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude. Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados. Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes (salvo los profesionales que ejerzan a título individual). Las entidades que tengan como uno de sus objetos la emisión de Informes comerciales que puedan referirse a personas físicas. Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego. Las empresas de seguridad privada. Las federaciones deportivas cuando traten datos de menores de edad. En Legitec, somos Delegados de Protección de Datos y contamos con una dilatada experiencia para asumir esta responsabilidad en su empresa, no dude en contactar con nosotros y solicitar información acerca de nuestro servicio de DPO externo.