Noticias y Actualidad

La Agencia Española de Protección de Datos ha dado a conocer su memoria de Actividades referente al pasado año 2013, en ella destacan varios datos de interés entre ellos que el mayor número de consultas de tutela de derechos hace referencia a la cancelación de datos personales. Estas peticiones crecen un 8% respecto al ejercicio anterior. En total el número de denuncias y reclamaciones presentadas ante este organismo se ha mantenido estable respecto a 2012, con un ligero descenso. Si el año anterior fueron 10.787 denuncias, en 2013, la cifra fue de 10.604. Lo mismo ocurre con las resoluciones de casos. En 2013, la AEPD elaboró 10.741 resoluciones. El sector de las telecomunicaciones y el de entidades financieras son los que monopolizan gran parte de las investigaciones. En lo que respecta a los procedimientos sancionadores, se incrementó el valor económico de las multas en un 6,10%, alcanzando los 22,33 millones de euros. Como en años anteriores, el sector que concentra el mayor número de sanciones es el de las telecomunicaciones (un 67% de las sanciones), el segundo lugar lo ocupa el sector de suministro y comercialización de agua y energía que supera al de las actividades financieras que lo ocupaba anteriormente. En la gran mayoría de los casos, las infracciones ponen de manifiesto el incumplimiento de la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD). Son más del 90% de las sanciones impuestas. Siendo 9 de cada 10 incumplimientos graves. En su nota la AEPD destaca también el número de consultas recibidas referentes al derecho al olvido de las personas en Internet. La AEPD recibió 184 consultas y resolvió a este respecto 226. Una cifra que se espera sea mayor tras la sentencia del Tribunal de Justicia Europeo que da la razón a los defensores del derecho al olvido, al obligar a los buscadores a desindexar datos personales que se consideren irrelevantes, desactualizados. En su memoria anual la AEPD también lanza un mensaje que desde Legitec hemos querido resaltar en este post: El año 2013 fue particularmente revelador de los riesgos y las amenazas que se ciernen sobre la vida privada de las personas en las sociedades actuales, altamente tecnologizadas y globalmente conectadas, donde se hace un uso intenso de la información de carácter personal y se amplían las posibilidades de explotación comercial de la misma. A ello hay que sumar lo que se califica en la Memoria como un “fenómeno preocupante”: la concentración de ingentes cantidades de información personal en manos de unos pocos actores globales”. Por todo ello, remarca la Agencia, estamos ante un periodo crítico para la protección de la privacidad. El impacto de la tecnología en este aspecto, está agravando y erosionando la libertad de las personas y si no se actúa con rapidez ésta podría desaparecer. La solución para la AEPD pasa por reforzar las garantías legales y fortalecer las instituciones encargadas de proteger a los ciudadanos. La memoria de la AEPD referente al año 2013 podéis consultarla íntegra en este enlace.

Ayer día 9-Sept. en Madrid en la Casa de América, Vicente Moncholi , como Director de Legitec y MCA Consultores, y Jesús Fernández como DPO y Abogado especializado en Privacidad, estuvieron invitados a asistir y participar en el Advisory Council-Consejo Asesor de Google a nivel mundial, con Right To Be Forgotten-Derecho al Olvido como tema de discusión-opinión del Advisory Council. El Consejo Asesor preguntó y escuchó las opiniones de expertos en el tema de Privacidad y Derecho al Olvido, y en ese contexto están convocadas varias reuniones por toda Europa, siendo un honor para LEGITEC haber participado en la primera de ellas. Se trata de la primera reunión pública que celebra el Consejo y en ella estarán presentes todos los expertos que lo componen:  Eric Schmidt, Presidente Ejecutivo de Google; David Drummond, Vicepresidente Mundial de Google; Jimmy Wales, fundador de la Wikipedia; Frank La Rue, relator especial de Naciones Unidas; Sylvie Kauffmann, Directora de redacción de Le Monde; Luciano Floridi, profesor de Filosofía y Ética de la Información en la Universidad de Oxford; Lidia Kolucka-Zuk, ex Directora ejecutiva de Trust for Civil Society in Central and Eastern Europe; Sabine Leuftheusser-Schanarrenberger, parlamentaria alemana y ex-Ministra federal de Justicia; José Luis Piñar, ex-director de la Agencia Española de Protección de Datos y Catedrático de derecho administrativo; y Peggy Valcke, profesora de la Universidad Católica de Lovaina, del Instituto Universitario Europeo de Florencia y de la Universidad de Tilburg.”

Buceando por Internet hemos encontrado la web photowhatsapp.com que muestra en abierto fotos de personas que supuestamente han compartido o tienen en su perfil de Whatsapp. El problema es que cualquiera puede introducir nuestro móvil y la aplicación escaneará nuestras fotos de Whatsapp y las publicará en la web. En su página como podéis ver no aparece ningún tipo de información que explique los términos del servicio, ni la política de privacidad, ni el uso que puede hacer de las fotos, tampoco hay forma de saber quién está detrás del mismo, no se especifica. Haciendo una búsqueda hemos descubierto que la web está registrada en Estados Unidos. Al hacer una búsqueda en Google con el nombre del servicio, encontramos que en la descripción se dice que photowhatsapp escanea y guarda las fotos de tus amigos, pero no hay forma de saber más sobre esta aplicación. Analizando el servicio en términos de protección de datos, hemos de decir que incumple todas las normas habidas y por haber en esta materia y por supuesto la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD). Como vemos, en ningún caso se pide consentimiento para publicar fotos de menores, tampoco informa al propietario del teléfono de que su número ha sido incluido en la web y que por tanto sus fotos, en muchos casos de carácter personal e íntimo están siendo publicadas y son accesibles. Tampoco aparece un botón para que una vez alguien ha introducido en su directorio un número de teléfono, pueda darlo de baja, no existe la opción de cancelar o borrar las fotos ya publicadas. Dudamos de que el contenido no esté protegido para que sea rastreado por los buscadores. No pide ningún documento de verificación de que el teléfono que estás dando es el tuyo propio, así que cualquiera puede introducir tu teléfono y tus fotos de Whatsapp quedarán al descubierto. Las fotos aparecen con una leyenda con los primeros números del teléfono y el país al que corresponden, lo que facilita mucho más su identificación. Este tipo de aplicaciones ponen de manifiesto la falta de seguridad de servicios como el de Whatsapp en el que sus usuarios comparten imágenes e información de carácter personal sin que éstas estén protegidas. Hasta la propia app reconoce en su política de privacidad y términos de servicio esta falta de seguridad, como ya os hablamos en este post anterior.

La videovigilancia permite la captación y grabación de información personal en forma de imágenes, cuando su uso afecta a personas identificadas o identificables, esta información, constituye un dato de carácter personal a efectos de la aplicación de la LO 15/1999 de Protección de Datos de Carácter Personal (LOPD). Con respecto a las imágenes, el responsable del fichero tiene una serie de obligaciones que se enumeran a continuación: INSCRIPCIÓN DEL FICHERO Se deberá de inscribir un fichero de “VIDEOVIGILANCIA” en el Registro General de Protección de Datos (RGPD) , siempre que exista grabación de las imágenes. En el se determinará cual es la finalidad para la cual se están grabando las imágenes. Debemos llevar cuidado cuando decidimos la finalidad, ya que si indicamos que la finalidad es la seguridad privada de las instalaciones, no podremos utilizarlas para otras finalidades diferentes a las declaradas en el RGPD, por tanto no se podrá utilizar para, control de empleados, fines comerciales o promocionales, así como cualquier otro fin al declarado en la AGPD. DEBER DE INFORMAR Se tendrá que colocar un distintivo informando de la existencia de cámaras de seguridad. El distintivo se deberá de colocar, como mínimo en los accesos a las zonas vigiladas, sean exteriores o interiores. Además del cartel  informativo, la empresa dispondrá de un impreso en el que se deberá de informar de: La existencia de un fichero o tratamiento de datos de carácter personal y cual es la finalidad del mismo. Posibilidad de ejercer los Derechos de Acceso, Rectificación, Cancelación u Oposición. Identidad y direcciones del Responsable del Tratamiento. El impreso debe de estar disponible, existiendo, cuando menos, la posibilidad de imprimirlo a petición del afectado.  ACCESO A DATOS POR CUENTA DE TERCEROS Cuando la empresa de seguridad contratada, utilice las videocámaras y/o acceda a las imágenes por medio de su personal, se deberá de celebrar un contrato de “encargado de tratamiento” tal y como dispone el Art. 12 de la LOPD. En los casos en los que la empresa de seguridad no acceda a las imágenes, el contrato de prestación de servicios recogerá expresamente la prohibición de acceder a los datos de carácter personal y la obligación de secreto respecto a los datos que hubiera podido conocer con motivo de la prestación del servicio. CANCELACIÓN DE OFICIO DE LAS IMÁGENES La Instrucción 1/2006 de la Agencia Española de Protección de Datos, establece en su Art. 6 un plazo de cancelación máximo de un mes desde la captación de la imagen, una vez transcurrido dicho plazo, las imágenes deberán ser canceladas, lo que implica el bloqueo de las mismas, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales. Supuestos concretos a tener en cuenta por el Responsable del fichero: A.    CÁMARAS CON ACCESO A LA VÍA PÚBLICA La legitimación para el uso de instalaciones de videovigilancia se ciñe a la protección de entornos privados, únicamente se podrá obtener imágenes de espacios públicos, cuando resulte imprescindible para la finalidad de videovigilancia que se pretende o resulte imposible evitarlo por la ubicación de las cámaras. Esta excepción, deberá de aplicarse siempre de manera restrictiva, y únicamente, se aplicará cuando no exista posibilidad de instalación alternativa. B.    CÁMARAS EN ESPACIOS PÚBLICOS DE USO PRIVADO Cuando las imágenes se graben en espacios públicos de uso privado como comercios, restaurantes, lugares de ocio, etc. deberá de cumplirse de manera estricta con el principio de proporcionalidad, a título de ejemplo: En ningún caso será admisible la instalación de cámaras en baños o vestuarios. No se grabarán conversaciones. No se usarán las imágenes con fines comerciales o promocionales salvo autorización del afectado.

El Ejecutivo español ha descartado tal y como le pedía UPyD pedir a la Agencia Española de Protección de Datos un estudio sobre la privacidad de la aplicación de mensajería instantánea whatsapp, al considerar que ya está sujeta a la leyes de protección de datos de España y de la Unión Europea. Además, tal y como señala en su respuesta parlamentaria, y según informa la agencia de noticias Europa Press, la AEPD tienen la capacidad y libertad suficiente para decidir por sí misma analizar las condiciones de privacidad de esta u otras aplicaciones y en caso de considerar que no cumple con lo establecido en la Ley, puede iniciar un proceso sancionador. La pregunta de UPyD estaba fundamentada en la decisión del órgano de protección de datos alemán que ha aconsejado a los ciudadanos abstenerse en el uso de esta aplicación, al considerar que no cumple con la seguridad y condiciones de privacidad que son exigibles por Ley. Más aún, si tenemos en cuenta la compra de esta aplicación por parte de Facebook, una de las compañías que se han caracterizado por el poco respeto hacia la privacidad de los usuarios. El futuro dirá si estos miedos son fundados, de momento la red social ha señalado que no debe existir tal preocupación. En nuestro país, la Agencia de Protección de Datos de Cataluña ya emitió un informe sobre el uso de Whatsapp. Aunque se centraba en la utilización de esta aplicación en las comunicaciones entre abogado y cliente, su consejo era que no debe usarse, al no poder asegurar la privacidad y seguridad de los mensajes. Su informe puede leerse íntegro en este enlace. La propia aplicación asegura en sus términos de servicio que no puede asegurar al cien por cien la seguridad de las informaciones que se transmiten. Además, tal y como remarca la agencia catalana hay informaciones como los destinatarios a los que ofrece los datos, los conocidos como terceros, o los derechos ARCO (acceso, rectificación, cancelación y oposición) que no quedan definidos en su política de privacidad. En este artículo del diario Información de Alicante se pueden leer muchas otras vulnerabilidades de la aplicación de mensajería, entre ellas los fallos en los cifrados de mensaje, en la ubicación del usuario a través de GPS, la falta de antivirus que la hacen vulnerable a ataques de malware… Whatsapp utiliza la conexión de Internet del usuario, para que éste pueda enviar mensajes a sus contactos. En el momento que alguien se instala la aplicación en el teléfono, la plataforma accede a todos los teléfonos de contacto almacenados en él, independientemente de si tienen instalado o no Whatsapp. El usuario que se instala la app está sometido, en caso de cualquier conflicto legal que se pueda producir, a la jurisdicción de California, según se explica en la información legal disponible, exclusivamente en inglés, en la web www.whatsapp.com («Terms of service», apartados 10 y 11). Por tanto, en caso de existir un desacuerdo entre el usuario y Whatsapp, la normativa aplicable no sería la española. Sin embargo, si el responsable utiliza medios ubicados en un Estado miembro de la UE, se aplica la ley nacional, en el caso de España la Ley Orgánica de Protección de Datos.

    Desde el 13 de junio los contratos con consumidores y usuarios deben estar adecuados a la nueva Ley para la Defensa de los Consumidores y Usuarios que entre otros aspectos regula las relaciones comerciales entre empresa y cliente en las tiendas online. A modo de resumen indicamos a continuación las principales obligaciones y requisitos:   Obligación de informar La empresa debe informar de forma clara y gratuita al cliente sobre determinados aspectos, entre ellos: -Datos de la empresa y el empresario: dirección, teléfono, razón social, nombre comercial… -Datos sobre los productos y servicios: características, precio final con impuestos y tasas. -Datos sobre política de garantías, pedidos, devoluciones -Datos sobre los medios y procedimientos de pago aceptados -Política posventa -Duración del contrato Requisitos formales La tienda online debe cumplir una serie de obligaciones de carácter formal para que el contrato de compra sea válido. Entre éstas destacan: -Que exista un botón etiquetado como “Pedido con obligación de pago”. -El tamaño de la letra de las condiciones contractuales, no debe ser “inferior al milímetro y medio” y debe ser fácilmente legible y accesible para todos los clientes. -Pedir el consentimiento para emitir la factura electrónica -Debe confirmar por escrito el contrato de compra. El cliente lo firmará y lo remitirá por correo, email, fax o sms. Política comercial y publicidad En caso de que la tienda online realice campañas de promoción vía llamada telefónica, la nueva Ley establece una serie de criterios que debe cumplir: -El horario de las llamadas comerciales será de 9:00 a 21:00 horas, de lunes a viernes, a excepción de festivos. -El número de teléfono desde el que llama debe ser identificable. -La persona que habla en nombre de la empresa, debe informar sobre la empresa y el objetivo de la llamada. Política de atención al cliente Entre las especificaciones de la nueva norma destaca que las empresas no podrán utilizar su canal de atención al cliente para difundir información comercial de la empresa. De ahí que si usamos las redes sociales como canal de atención al cliente, deberemos crear perfiles específicos para este fin, ya que no podremos hacer como hasta ahora, una única cuenta para todo. Además, si realizamos atención al cliente telefónica, ya no podremos contar para ello con un número 902, el coste de la llamada para el cliente no puede ser superior a la tarifa básica. Requisitos formales que deberá cumplir el diseño de nuestro ecommerce en este apartado destaca: -Información clara y accesible sobre cómo realizar quejas y reclamaciones. Además, éstas deberán resolverse en un plazo máximo de un mes. -Debe dar la posibilidad al cliente de ejercer su derecho de desistimiento, en caso de querer devolver la mercancía. Puede hacerse vía online. La norma ha ampliado este plazo de los 7 días a los 14 días naturales. En caso de que el comprador haga uso de este derecho, los costes de devolución y los de envío correrán a su cargo.Una vez recibido este desistimiento, la empresa cuenta con 14 días naturales -anteriormente eran 30 días- para devolver el dinero del producto o servicio contratado. Estas son solo algunas de las especificaciones de la norma que afectan a las tiendas online, pero hay otras de carácter más específico y particular. En Legitec podemos ayudarte para que tu tienda online cumpla con los requisitos de la nueva Ley, además te asesoramos en materia de protección de datos, con el fin de que tu plataforma ecommerce cumpla también con la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD). Rellena y envía este formulario y nos pondremos en contacto contigo. En este enlace del BOE podéis consultar de forma íntegra la nueva Ley de Defensa de los Consumidores y Usuarios.

La mayoría de ocasiones el criterio de evaluación a la hora de seleccionar a una empresa que te asesore en el proceso de implantación, suele ser el precio, lo que no suele ser acertado en la mayor parte de los casos, y normalmente influye en la calidad del servicio contratado. Esto ocurre porque aun existe mucho desconocimiento acerca de esta materia, y las empresas no disponen de criterios objetivos de evaluación que les permitan una elección adecuada. Con el fin de aportar a las empresas criterios de evaluación a la hora de externalizar el servicio de consultoría y auditoría LOPD, recomendamos tener en cuenta, al menos, los siguientes aspectos: Especialización: Consultoras que se dediquen única y exclusivamente a la prestación de servicios relacionados con la seguridad de la información y privacidad o que tengan un departamento especializado en la materia. Solvencia Técnica: La consultora debe contar con un equipo capaz de dar respuesta a la diferente casuística del cliente (abogados especializados en derecho TIC, auditores CISA, informáticos,…). Solicite el currículum del personal asignado a su proyecto. Referencias contrastables: Solicitar referencias, especialmente en nuestro sector y en proyectos relacionados con protección de datos. Experiencia en el sector de la consultoría: Es necesario saber los años que la empresa lleva en el mercado como garantía de su solvencia. Evite subcontrataciones: La empresa debe contar con personal propio especializado que permita llevar a cabo una adecuada implantación sin necesidad de llevar a cabo subcontrataciones que aumenten el riesgo de no obtener el resultado pretendido. Garantía: Se debe firmar un contrato que defina el alcance y las fases del proyecto y garantice a la empresa la calidad de los servicios. Responsabilidad Civil: La consultora deberá tener una póliza de responsabilidad civil específica para servicios de consultoría y auditoría en Protección de Datos. Evite empresas que disponen de pólizas de RC para otras actividades o para asesoramientos generalistas, estos seguros no cubrirán los riesgos en materia de protección de datos. Certificaciones: Debemos valorar las certificaciones con las que cuenta la empresa. Cumplir con la norma ISO 9001 o ISO 27001 implica una sensibilidad de la empresa por buscar la mejora continua en la calidad de sus servicios y en el tratamiento de la información de sus clientes. Servicios Presenciales: Evite la consultoría a distancia, salvo en contadas ocasiones (portales web, servicios replicados, etc), para llevar a cabo un correcto proyecto de adecuación es necesario conocer la organización, la información que trata cada uno de los departamentos y los flujos de información internos y externos. Coste Cero: Cuidado con las consultoras que le ofrezcan hacer la implantación a coste cero a cambio de realizar un curso de formación. La fundación tripartita ya se ha pronunciado en varias ocasiones indicando que es un fraude emplear créditos destinados a formación de los trabajadores para pagar servicios de consultoría.

Las nuevas tecnologías avanzan a un ritmo imparable y generan nuevas formas de compartir información, muchas veces ésta es de naturaleza sensible y personal. Uno de estos avances en materia de datos es el conocido como Big Data, mediante el cual las empresas recogen y comparten una ingente cantidad de datos con el fin de analizarlos, utilizarlos, cederlos a terceros… para poder sacar conclusiones sobre determinados aspectos o poder diseñar y ejecutar sus servicios. El problema es que las normas de protección de estos datos no avanzan al mismo ritmo, y se hace necesaria una normativa para asegurar la privacidad de los usuarios. Dentro del Big Data podemos incluir los datos que se recogen por parte de empresas tecnológicas como Microsoft, Google, Facebook, Apple, Twitter… datos que posteriormente comparten con desarrolladores de aplicaciones o con empresas de marketing para ofrecer publicidad. Las administraciones también comparten los datos que recogen, por ejemplo de tráfico, metereológicos, censos de población…. con el fin de que terceros los analicen y puedan sacarse conclusiones a determinados problemas o aspectos de la sociedad, del mundo, etc. Todos estos datos son material sensible y personal que en muchos casos, la propia persona a la que se refieren no sabe que se están compartiendo, ni para el fin que se están utilizando. Muchas veces los usuarios ceden sus datos, sin tener muy claro qué tratamiento está aceptando que se haga con ellos. Hay que destacar que solo un 61% de las aplicaciones móviles especifican su política de uso y privacidad de datos. La actual Ley de Protección de Datos de Carácter Personal (LOPD) regula ciertos aspectos, pero como decíamos anteriormente no existe un apartado concreto para el Big Data, aunque sí existe una limitación explícita al cruce de datos, con el fin de evitar que una determinada información se pueda relacionar con un determinado usuario, salvaguardando así su privacidad. La regulación del Big Data en materia de protección de datos estará disponible en la futura legislación que está siendo discutida por los estados miembros europeos, pero mientras ésta llega, son muchas las empresas que están vulnerando la privacidad de los datos y poniendo en jaque la privacidad del usuario. A la espera de la nueva Legislación europea, que como decimos marcará un nuevo escenario para el Big Data, lo que sí sabemos seguro es que las grandes empresas no pueden conservar en el tiempo los datos de sus usuarios y cederlos a las autoridades con el fin de preservar la seguridad nacional. Esta práctica estaba amparada bajo la Directiva 2006/24/CE de retención de datos, que fue derogada el pasado mes de abril por el Tribunal de Justicia Europeo. Confiemos en que los estados miembros no cedan a los grandes grupos tecnológicos que abogan por una regulación flexible de los datos, que les permite sacar más beneficio de ellos y se comprometan a salvaguardar la privacidad de los ciudadanos y usuarios de Internet.

El pasado 30 de marzo, se publicó el Real Decreto Ley 13/2012, de 30 de marzo por el que se transponen varias directivas europeas y que ha producido modificaciones en la Ley de Servicios de la Sociedad de la Información y el Comercio Electrónico (LSSICE) que afecta entre otras cosas, al uso de cookies. Concretamente el Art. 22.2 de la LSSICE modificado versa lo siguiente: Artículo 22. Derechos de los destinatarios de servicios. 2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones, siempre que aquél deba proceder a su configuración durante su instalación o actualización mediante una acción expresa a tal efecto. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. A groso modo, se establece la obligación de que las páginas web que utilizan cookies hayan obtenido el consentimiento por parte del usuario para su uso, y que este consentimiento haya sido otorgado de manera previa e informada.