noviembre 22, 2018

Partidos políticos y barra libre de consentimientos LOPD

Filed under: Comercio Electrónico,Protección de Datos,RGPD — legisconsulting @ 13:24

Daños colaterales de la Ley Electoral: ¿Podrá cualquiera tratar datos personales de cuaualquiera sin consentimiento por el mero hecho de haberlos encontrado en Internet?

Ante las noticias aparecidas en medios de comunicación sobre la modificación de la Ley Orgánica del Régimen Electoral General (LOREG) en la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales, la Agencia Española de Protección de Datos (AEPD) quiere manifestar lo siguiente(*):

«El texto no permite el tratamiento de datos personales para la elaboración de perfiles basados en opiniones políticas.

Tampoco permite el envío de información personalizada basada en perfiles ideológicos o políticos.

Sólo permite, conforme al Considerando 56 del Reglamento Europeo de Protección de Datos, la recopilación por parte de los partidos políticos de datos personales relativos a opiniones políticas para obtener información que les permita pulsar las inquietudes de los ciudadanos con el fin de poder darles respuesta en sus propuestas electorales. Esta interpretación se fundamenta en la supresión del término “tratamiento” recogido en la enmienda 331 inicialmente presentada en el Congreso.

Este criterio se basa, asimismo, en la supresión del apartado 2 de dicha enmienda, que permitía la difusión de propaganda electoral basada en perfiles ideológicos con determinadas garantías.

El texto permite el envío de propaganda electoral sin que su contenido pueda basarse en los perfiles antes citados, identificando en cualquier caso su naturaleza electoral y garantizando el ejercicio sencillo y gratuito del derecho de oposición.

En todo caso, las previsiones del artículo recogido deben cumplir todas las garantías establecidas en el Reglamento Europeo de Protección de Datos.»

(*)Texto extraido de la web Noticias Jurídicas

Pero al margen de comunicado, veamos las normas:

1.-) REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD)

Considerando (56):  Si, en el marco de actividades electorales, el funcionamiento del sistema democrático exige en un Estado miembro que los partidos políticos recopilen datos personales sobre las opiniones políticas de las personas, puede autorizarse el tratamiento de estos datos por razones de interés público, siempre que se ofrezcan garantías adecuadas.

2.-) Ley Orgánica de Protección de Datos Personales y Garantía de Derechos Digitales (en tramitación)

Disposición final tercera. Modificación de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General.

«Artículo 58 bis. Utilización de medios tecnológicos y datos personales en las actividades electorales.

1. La recopilación de datos personales relativos a las opiniones políticas de las personas que lleven a cabo los partidos políticos en el marco de sus actividades electorales se encontrará amparada en el interés público únicamente cuando se ofrezcan garantías adecuadas.
2. Los partidos políticos, coaliciones y agrupaciones electorales podrán utilizar datos personales obtenidos en páginas web y otras fuentes de acceso público para la realización de actividades políticas durante el periodo electoral.

3. El envío de propaganda electoral por medios electrónicos o sistemas de mensajería y la contratación de propaganda electoral en redes sociales o medios equivalentes no tendrán la consideración de actividad o comunicación comercial.

4. Las actividades divulgativas anteriormente referidas identificarán de modo destacado su naturaleza electoral.

5. Se facilitará al destinatario un modo sencillo y gratuito de ejercicio del derecho de oposición.

Y  según el RGPD, tienen la consideración de fuentes de acceso público:

  • el censo promocional,
  • las guías telefónicas
  • las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo.
  • los diarios y boletines oficiales
  • los medios de comunicación… (Internet y las Redes Sociales no lo son, al menos hasta ahora)

Entonces, eso de «páginas Web y otras fuentes de acceso público«: ¿cambia el concepto de fuente de acceso público?; ¿podremos -cualquiera, no solo los partidos- tratar datos de cualquiera que cumpla la LSSI en su Web?; ¿o de cualquiera con un perfil de Linkedin o Facebook?; ¿¡…sin consentimiento expreso!?

Personalmente pienso que no puede ser, pero aquello de la seguridad jurídica parece ser un bien cada vez más escaso…

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

agosto 30, 2013

¿Obliga la LOPD a formatear el ordenador?: PP vs Bárcenas

Filed under: Protección de Datos — legisconsulting @ 10:45

La noticia del los ordenadores de Bárcenas entregados al juez nos da pie a analizar a qué obliga la ley caso de baja de un trabajador.

Antecedentes

Legalmente Bárcenas era un ‘empleado’ que usaba los medios de la empresa entre los que parece que se encontraban dos ordenadores.

El PP, una vez producida la baja del Sr. Bárcenas en el partido, ha procedido a formatear o destruir los discos duros de dichos dispositivos.

¿Es obligatorio el formateo?

La respuesta simple es que NO, aunque SÍ lo es el borrado de datos personales.

El Art 92 del RD obliga a la ‘destrucción o borrado’ del ordenador (de hecho cualquier soporte) caso de ‘desecharse’ el dispositivo, pero en este caso el dispositivo parece que no ha sido desechado (tirado a la basura), sino que el ordenador se la ha asignado a otro trabajador. Y todos los datos personales que no vaya a utilizar el nuevo trabajador dentro de sus funciones deberán ser borrados para que no tenga acceso a los mismos (Art. 91, 1 RD).

El PP borró todos los datos personales mediante el formateo del ordenador o la destrucción del disco duro. Un mecanismo de borrado tan legal y casi tan efectivo como la trituradora o el mechero.

Sin entrar a valorar si el ordenador formaba parte de un procedimiento judicial abierto o sobre las pruebas del mismo porque es mucho más complejo, cabe concluir que el PP cumplió la LOPD en este punto.

Copia de seguridad

Aunque los ordenadores fueran borrados, debe existir una copia de seguridad de esos mismos datos, ya que hay una obligación legal de realizar copias de seguridad de los ficheros que contengan datos personales con una actualización como mínimo semanal (Art. 94.1 RD).

Es decir, el PP debe tener una copia de seguridad de todos los archivos que, en contra de lo oído ayer en algún medio, estará en cualquier sitio menos en la sede del PP (Art. 102 RD)

Pero el problema que surge en este punto son los datos sobre los que se habrá hecho el ‘backup’.

Todo el mundo tiene en el ordenador de la empresa también documentos personales y que van desde la factura del teléfono, las direcciones de los amigos o las fotos de las vacaciones. En este caso la empresa no es titular ni ha obtenido autorización para el almacenamiento ni tratamiento de esos datos, por lo que tales datos, caso de haberse trasladado a la copia de seguridad, deberían también ser borrados.

En definitiva, caso de encontrarse documentos personales del Sr. Bárcenas en la copia de seguridad, el PP debería, para cumplir la ley, borrarlos sin que pudieran ser recuperados. Otra cuestión es que tales documentos no sean personales, sino referidos al partido o no contener ‘datos personales’. Pero una vez borrados sin posibilidad de recuperación, ¿quién podrá demostrar que no eran personales o estaban en el ordenador?.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

junio 18, 2013

Cámaras y LOPD: cazador cazado

Filed under: Protección de Datos,Uncategorized — Etiquetas: , , — legisconsulting @ 12:14

La AGPD establece que la grabación de vídeos para ser utilizadas como base de una denuncia es contraria a la ley y susceptible de ser castigada con una sanción.

Partiendo de una consulta sobre si es posible grabar a empleados públicos en su puesto de trabajo con el fin de denunciarles por el incumplimiento de sus obligaciones, la AGPD dicta un informe que, a pesar de no ser novedoso, sí resulta muy clarificador sobre los límites a las grabaciones en un sentido que va mucho más allá que el que plantea tal consulta.

Límites a la grabación

En caso de grabar a una persona física, existe una limitación que parte de la propia Constitución que busca proteger el derecho a la propia imagen de las personas. Limitación a la que el Tribunal Constitucional atribuye mayor relevancia si la grabación se realiza en el lugar de trabajo.

Así, las grabaciones realizadas de personas físicas identificadas o identificables entran dentro del marco de protección de la LOPD. Y ello con la única excepción recogida en la Directiva europea de las grabaciones realizadas “por una persona física en el ejercicio de actividades exclusivamente personales o domésticas” afectando a la “esfera más íntima de la persona”. Entendiendo como tales sólo las correspondientes a la vida privada o familiar de los particulares.

Y considerando que ni un lugar de trabajo, ni una oficina o establecimiento público puede formar parte de la esfera personal o doméstica más estricta, para cualquier grabación serán de aplicación todas las exigencias de información y autorización expresa previas de la LOPD.

En definitiva, que una grabación sólo podrá efectuarse –o casi– sin las exigencias que para ella exige la LOPD si se realiza por un sujeto en el salón de su propia casa y de sus niños.

Uso de la grabación

La LOPD dedica buena parte de su contenido al tratamiento de los datos –las grabaciones en este caso– y a su almacenamiento. Situaciones para las que la ley establece una serie de exigencias y requisitos. Pero también excluye de tales exigencias a las grabaciones realizadas exclusivamente en el ámbito privado.

Así, quedaran excluidas de tales exigencias sólo si la utilización de la grabación se realiza exclusivamente dentro del ámbito “de las relaciones familiares o de amistad y que la finalidad del tratamiento no sea otra que surtir efectos en esos ámbitos”

Podemos grabar el cumpleaños de las niñas, pero sólo para verlo en casa con los amigos­–o casi–. Nada de exhibirlo en el cine del barrio por guapas que estuvieran las niñas.

Cazador cazado

O lo que es lo mismo, denunciante denunciado.

Lo que viene a decir la AEPD es que las grabaciones sólo se pueden realizar en el ámbito estrictamente doméstico y ser utilizadas en el mismo ámbito. Y ni un puesto de trabajo, ni una oficina, ni un tan siquiera un juzgado en que presentáramos una denuncia pertenecen a tal ámbito.

Quien realice una grabación de alguien para denunciarle por incompetente, ya avisa la AGPD que se puede encontrar con una denuncia por incumplimiento de las numerosísimas exigencias de la Ley de Protección de datos. Y con una importante sanción.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

diciembre 4, 2012

Guía de uso seguro del Cloud: LOPD

Filed under: Comercio Electrónico,Informática,Protección de Datos — Etiquetas: , , — legisconsulting @ 11:34

El almacenamiento en la nube (en adelante Cloud) es una solución fácil, eficiente y práctica. Pero es una herramienta con unos requisitos y condicionantes –exigidos por la LOPD y controlados por la AEPD– que hay necesariamente que conocer y seguir para un uso seguro de la misma.

Las condiciones y requisitos exigidos por la Ley no deben entenderse como para ser negociados punto por punto, sino para elegir de entre los proveedores de servicios de almacenamiento Cloud, al que los ofrezca directamente sin –prácticamente– más trámites.

¿Como se cumplen todas las exigencias?

Se mostrarán más adelante la gran cantidad de requisitos exigidos por la Ley par este tipo de contratos, ¿pero como se cumplen?: pues, en resumen, eligiendo un proveedor de Servicios Cloud que incluya en sus condiciones todas las exigencias legales en lugar de exigir cada punto.

Obviamente, si nos planteamos negociar con el prestador de los servicios punto por punto y requisito por requisito cada uno de los extremos legalmente exigidos, la contratación de estos servicios sería imposible. Pero eso no es así.

Se ha manifestado reiteradamente en este blog que las condiciones que ponemos en las Web son contratos por los que las partes vienen obligados (el contrato obligatorio para este servicio). Y si el proveedor nos muestra el resto de condiciones exigidas, pues cumplimos con la ley.

Sirva como ejemplo un conocido proveedor de estos servicios que ni tan siquiera está radicado en España ni en la UE, sino que es simplemente una de las entidades adheridas al mencionado acuerdo Safeharbour. Y como para cumplir la práctica totalidad de las exigencias sólo hay que ver su Web.

No se trata de elegir el contrato de almacenamiento y todas sus exigencias, sino elegir al proveedor que las ofrezca sin prácticamente más trámites.

Involucrados en el Cloud

En términos de la LOPD, en un contrato de almacenamiento de datos en la nube, además de los titulares de los datos, hay una actividad que es el Tratamiento de dichos datos y dos personas involucradas:

  • Tratamiento de los datos: “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”.
  • El contratante de servicios Cloud: es lo que la LOPD llama el ‘Responsable del Fichero’. Es decir, quien decide sobre la finalidad, contenido y uso del tratamiento. Y a quien corresponde exigir a su proveedor de servicios Cloud que articule las medidas de seguridad que correspondan
  • El prestador de servicios Cloud: o lo que la LOPD llama el ‘Encargado del Tratamiento’, que es la persona que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento. Es su obligación articular las medidas necesarias para dotar a los datos del nivel de seguridad que proceda.

En este marco, es el contratante de los servicios Cloud –el usuario de los servicios– el responsable de que el prestador de los servicios cumpla la normativa española. Y para ello es esencial la formalización del Contrato de prestación de servicios de tratamiento de datos personales por cuenta de terceros cuyo contenido se detalla más adelante en este artículo.

En ningún caso cabe legalmente el pacto de que la normativa a aplicar sea la de otro país.

Almacenamiento de datos (localización)

Resulta esencial para la seguridad del contratante saber en qué condiciones y en que país se almacenarán físicamente los datos. Y como lo más normal es que los datos no se almacenen en España, cabe señalar que la transferencia internacional de datos sólo se podrá dar a países que tengan lo que la ley llama un nivel de protección adecuado (lista).

Para el almacenamiento de datos en países que no se incluyan en esa lista de países con un nivel de protección adecuado será necesaria, previa aportación de las garantías adecuadas, la autorización del Director de la AEPD.

Por el contrario, no será necesaria esa autorización del director de la AEPD:

  • Si la transmisión se realiza dentro del Espacio Económico Europeo, porque ello no se considera una transferencia internacional de datos
  • En Países a los que la Comisión Europea considera con un nivel de protección de los datos equiparable al Europeo
  • Servicios prestados por Entidades radicadas en los EEUU que se hayan adherido voluntariamente para la prestación de estos servicios al acuerdo Safeharbor (entidades adheridas). Si bien, si estas entidades van a transferir los datos personales a un tercer país, deberá aportar garantías por escrito para ofrecer al menos el mismo nivel de protección que se le haya requerido.

También será posible contratar con un proveedor de servicios Cloud de un tercer país –de los de un nivel de protección no adecuado– cuando este proveedor haya obtenido previamente del Director de la AEPD la autorización para realizar transferencias internacionales de datos.

De cualquier forma, en todos los casos –sea o no necesaria autorización– será necesaria la formalización de un contrato. Y en este sentido cabe señalar que los contratos que se celebren de acuerdo con “Las Cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países” (Decisión CE 2010/87/UE), se considera que ofrecen las garantías adecuadas.

Contenido mínimo del (obligatorio) Contrato

En todo caso, y sean cuales sean las circunstancias, la LOPD exige la formalización de un contrato entre proveedor de servicios de Cloud y el usuario de los mismos.

Art. 12.2 LOPD. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas.

En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar

Al margen de lo exigido por el artículo trascrito, en el preceptivo contrato que debe existir entre Prestador del servicio de almacenamiento y el Usuarios, hay una serie de cláusulas que considero esenciales

  • Cumplimiento de la legislación en materia de Protección de datos: El prestador del servicio debe asumir de forma expresa su condición de Encargado del Tratamiento en los términos y con todas las obligaciones establecidas por la Ley española y europea. Incluidas las autorizaciones y requisitos citados anteriormente si los datos se almacenaran en países con un nivel de protección NO adecuado en los términos expuestos en el apartado anterior.
  • Datos: Es imprescindible la mención expresa de que el uso de los datos que haga el prestador del servicio será única y exclusivamente el autorizado por el contratante, y de que en ningún caso podrá disponer de los datos que le hayan sido proporcionados
  • Acceso a los datos: El prestador del servicio debe garantizar en el contrato que la información aportada sólo será accesible para el contratante del servicio.
  • Caso de que alguno de los datos aportados sea de los calificados por la ley como de especial protección, se exigirá que consten las medidas de seguridad exigibles en función de los mismos.
  • Integridad y conservación. El prestador del servicio deberá disponer y hacer constar en el contrato los mecanismos disponibles para recuperación de la información y copias de seguridad que garanticen la conservación íntegra de la información y datos aportados.
  • Disponibilidad: Se deberá hacer constar un elevado porcentaje de tiempo en que el servicio estará disponible, así como la obligación de notificar las paradas programadas del mismo.
  • Resolución y Portabilidad: Plazo y forma en que se podrá rescindir el contrato por alguna de las partes, así como el plazo y la forma en que se hará entrega al contratante de los datos almacenados, su formato y la debida integridad de los mismos.
  • Mecanismo de borrado: para datos una vez hayan sido migrados o transferidos al Usuario de los servicios Cloud
  • Penalizaciones para el prestador del servicio caso de incumplimiento de las obligaciones tanto legales como de los términos del contrato.
  • Exclusión de responsabilidad: Que el cumplimiento diligente de las obligaciones por parte del contratante del servicio de Cloud le eximirá de sus responsabilidades.
  • Cláusulas contractuales tipo elaboradas por la AEPD que permiten la subcontratación de los servicios (Art. 21 RLOPD) de Cloud con un proveedor de dichos servicios que, de acuerdo con dichas cláusulas, tenga autorizada la transferencia internacional de datos
  • Sometimiento a la jurisdicción del estado del Usuario: caso de conflicto en que estén envueltos tanto prestador del servicio como usuario, como ambos o cualquiera de los dos con un tercero titular de datos, cabe establecer este sometimiento.
  • Medidas de seguridad: Si bien deben ser parte del contrato, entiendo que es una materia que necesita de un apartado propio dada su extensión e importancia.

Seguridad de los Datos

Artículo 9.1 LOPD. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.

Condiciones mínimas de seguridad a incluir en el contrato:

  • Mención a la diligencia debida, tanto del prestador del servicio como del usuario en cuanto a la custodia de los datos. Y en este sentido, también mención de las medidas concretas que vayan a implementar para su seguridad. Y dado que no todos los datos necesitan del mismo nivel de protección,  información expresa sobre la naturaleza de los datos a fin de poder establecer el nivel de seguridad que en función de los mismos, proceda.
  • Mención a los mecanismos de seguridad, tanto físicos como lógicos, establecidos para preservar los datos. Así como a las copias de seguridad, la periodicidad en su realización y su mecanismo.
  • Los mecanismos de autenticación para el acceso a la información en los términos y en la forma que el usuario determine.
  • Cifrado de los datos y nivel de seguridad ofrecido por las técnicas de cifrado de la información que se aplique en los sistemas del proveedor.
  • Procedimiento de recuperación y migración de los datos y mecanismos de borrado.
  • Caso de tratarse de datos especialmente protegidos de acuerdo con la legislación española, será necesario que el proveedor de los servicios establezca un registro de los accesos realizados a los datos.
  • Caso de que sea materialmente imposible verificar en persona las medidas de seguridad del prestador del servicio –imposible en este tipo de contrato ir a ver si el servidor está cerrado con llave– se podrá designar a un tercero independiente que las audite. Y es este un extremo que también debería ser incluido en el contrato dado que la ley exige el control del Encargado del tratamiento por parte del Encargado del Fichero.
  • La obligación de poner en conocimiento del Usuario del servicio cualquier incidencia que se produzca en el mismo y las medidas adoptadas para su subsanación.

Además, para todo ello y en cumplimiento del deber de diligencia exigido al Usuario de los servicios Cloud en el control del Encargado del tratamiento (el proveedor de los servicios), el Responsable del Fichero deberá exigir y tener acceso a toda la documentación técnica o auditorías externas que garanticen que se cumplen las todas las exigencias legales para el almacenamiento de datos de carácter personal.

Un contrato complejo

Es efectivamente un contrato complejo con gran cantidad de variables y exigencias cuyo incumplimiento puede traer graves consecuencias de acuerdo con la Ley. Y es que en tanto no se apruebe un método más ágil y acorde con el medio en que se desenvuelven este tipo de contratos, la normativa que hay es esta y lo más seguro es cumplirla.

Hay en proyecto un nuevo Reglamento de Protección de Datos que sin duda cambiará las condiciones y los intervinientes en este tipo de contratos, pero de momento no lo tenemos, y lo expuesto en este artículo a grandes rasgos, es sólo una breve guía a tener en cuenta para contratar este tipo de servicios para el almacenamiento de datos personales.

Como ha visto, si va a almacenar son datos personales, lo más razonable es contar con un asesoramiento profesional. A ello invita un régimen sancionador de la LOPD que hace que, sin duda, el coste-beneficio compense.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

junio 7, 2012

Los peligros de la Web: LOPD y LSSI

Filed under: Comercio Electrónico,Informática,Protección de Datos — Etiquetas: , , , , — legisconsulting @ 13:37

Es la historia del turista que va de safari a África y pregunta al guía:

– ¿Qué animales deberían darme más miedo?; ¿De cuales debería alejarme?; ¿Cuáles son peligrosos?

A lo que el guía responde:

– Todos

Pues si tenemos o nos planteamos tener un negocio de Comercio Electrónico o una Web que preste servicios –aunque estos sean gratuitos–, la pregunta a hacer es

– ¿Qué ley debo cumplir?. ¿Con cuál corro más riesgos?

A lo que el guía responde:

– Todas

Las Leyes de los peligros

Obviamente la normativa dependerá de la actividad y los servicios, y aparte de la normativa ‘analógica’, en el sector del Comercio Electrónico hay dos normas a las que hay que prestar especial atención:

  • LSSI (Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico) -> en adelante ‘el hipopótamo’
  • LOPD (Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal) -> en adelante ‘el leon’

Si le preguntamos al turista nos dirá que el león es mucho más peligroso que el pesado hipopótamo. Pero si le preguntamos al guía –o a cualquiera aficionado a los documentales de La 2– nos contará que el hipopótamo es el animal que más muertes causa en África.

Pues con las leyes pasa más o menos lo mismo: la mala fama –merecida en parte– de la LOPD y de su brazo armado, la AEPD, no quiere en absoluto decir que el turista deba despreocuparse de esos otros aparentemente pacíficos vecinos para con los que poner los datos del titular de la web y poco más, se cree que ya habremos cumplido.

Los peligros

Pero vayamos por partes: ¿Cuál es el importe de las sanciones previstas en cada una de la normas?

LOPD:

Artículo 45. Tipo de sanciones.

  1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros.
  2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros
  3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros.

LSS:

Artículo 39. Sanciones.

a. Por la comisión de infracciones muy graves, multa de 150.001 hasta 600.000 euros.

b. Por la comisión de infracciones graves, multa de 30.001 hasta 1 50.000 euros.

c. Por la comisión de infracciones leves, multa de hasta 30.000 euros.

Como se ve, el importe de las sanciones no varía tanto en una u otra ley, entonces ¿cual nos debería dar más miedo?

Bajarse del coche para la foto

El problema del la LSSI (el hipopótamo que decíamos) es la fama. Y es que al no estar tan claro quién puede imponer la sanción como en el caso de la LOPD, las repercusiones mediáticas de estas no son tan espectaculares como las de la AEPD.

Atendiendo a quien puede imponer la sanción, las sanciones por incumplimiento de la LSSI podrán ser impuestas:

  • por la autoridad que dictó la resolución incumplida,
  • o por el órgano al que estén adscritos los inspectores,
  • o por el órgano correspondiente de consumo de las Comunidades Autónomas,
  • o por el ministro de industria caso de infracciones graves,
  • o por el Secretario de Estado en infracciones y leves,
  • o por la autoridad competente en función de la materia de que se trate,
  • o por la AEPD,
  • ¡… o por varios de ellos!

Ello genera una inseguridad que ya se trató en este blog recientemente y de forma más detallada en un post sobre las infracciones y sanciones en las web.

Evidentemente, el león (LOPD) tiene una reputada fama, rapidez y poderosos colmillos (AEPD), pero el hipopótamo (LSSI) protege con fiereza su territorio y puede salir en cualquier momento de debajo del agua.

Las fotos, tras el cristal

Tal como empezábamos este post

– ¿Qué ley debo cumplir?. ¿Con cuál corro más riesgos?

– Todas

Y no conviene ponerse a juguetear ni con el león ni con el hipopótamo, porque el E-commerce sin asesoramiento legal es como ir de safari con un tirachinas. La broma, sin duda, saldrá cara.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

abril 21, 2023

Datos empresariales (V): Protección (y aprendizaje)

Filed under: Comercio Electrónico,Economía,Organización de Empresa,Propiedad Intelectual e Industrial,Protección de Datos — Etiquetas: , , , , , — legisconsulting @ 12:07

El objetivo de este hilo es ser consciente de la información valiosa de la empresa y como protegerla. Especialmente ahora y en un futuro en que el desarrollo de la Inteligencia Artificial lucha (en este caso) en contra nuestra.

Somos los buenos defendiendo el fuerte. Y aunque no tenemos garantía alguna de victoria porque “Dios ayuda a los malos cuando son más que los buenos”, seremos Blas de Lezo en la defensa de la Cartagena de Indias que es nuestra empresa. Y de acuerdo con Sun Tzu, la mejor estrategia es la más simple y la mejor enfocada, ya que las estrategias demasiado complejas pueden confundir a los miembros del propio ejército comprometiendo sus posibilidades de victoria.

Ya todos estamos acostumbrados a la gestión de datos personales según la LOPDGDD, pero, ¿y si extrapolamos los mecanismos que ya usamos con fluidez a la protección de datos empresariales?. Existen pautas y mecanismos para protegerlos.

Así, de una forma muy general, podríamos establecer los siguientes pasos/pautas:

1.- Análisis previo.-

−  Categorización de los Datos

−  Estudio de los contratos con terceros (Google, Amazon, Fb… )

−  Limitación en contratos con proveedores y clientes

−  Designar un responsable de tratamiento de Datos Empresariales

2.- Control pasivo de los Datos.-

2.1.- Obviamente la ciberseguridad. El uso de medios de prevención de jaqueos, intrusiones o filtraciones que pueden generar daños:

−  Siniestros en la red

−  Brechas de seguridad y privacidad

−  Suplantaciones

−  Ciber extorsión

−  Daños reputacionales,

2.2.- Pero también filtraciones indirectas (Fb, Linkedin -de empresa y de sobre todo de empleados-, Whatsapp y/o Telegram (grupos de empresa y empleados).

2.3.- O incluso filtraciones directas ‘involuntarias’: las redes, contactos y/o mensajes de los propietarios, directivos o empleados pueden revelar una increíble cantidad de datos que, como hemos dicho, de forma aislada no significan nada pero que en su conjunto, cruzados, estudiados y evaluados, pueden revelar informaciones valiosísimas.

3.- Control de datos liberados.-

Suena a película de espías y algo hay de ello, pero liberar datos ‘controlados’ puede suponer una interesante arma empresarial.

4.- Protección activa.-

−  Planteamiento desde el diseño, tanto del conjunto y filosofía de la empresa como de cada una de las acciones a adoptar en cualquier ámbito dentro de la misma.

−  Planificación y diseño de las acciones a tomar con la perspectiva de protección de datos empresariales.

−  Establecimiento de mecanismos y protocolos.

−  Análisis de Riesgos.

− Inclusión de los empleados, clientes y proveedores en el plan (cláusulas de confidencialidad, seguimiento de contactos, educación a empleados para prevención de posibles filtraciones en redes, control de los medios de la empresa, etc). Y a modo de nota, recordemos que controlar el teléfono y el ordenador de la empresa, aunque sea de uso privado de un empleado, es legal.

Además, ese análisis de los datos de nuestra propia empresa (nuestra ‘ramita’ de nuestro árbol), también ayudarán a conocer el funcionamiento de las ‘ramitas’ de alrededor. Y aunque normalmente nunca podremos ver el bosque completo, reconocer el árbol en que está nuestra ‘ramita’, su estructura, su ‘orientación’ y su movimiento con el viento nos podría proporcionar una ventaja competitiva.

Y en el plano operativo, tal recopilación de datos llevará sin duda a conocer sin demasiado esfuerzo los proveedores, los clientes (tipo o incluso individualizados), las estrategias, los proyectos, los objetivos, el rango de tarifas/precios, el sector de mercado, las vulnerabilidades, etc. Es decir, hacia donde sopla el aire (o tendencias del mercado, dicho de otra forma).

En conclusión, debemos controlar sobremanera los datos liberados de la empresa, porque al contrario del caso de los Datos Personales, esa recopilación de los datos empresariales con el fin de obtener un beneficio económico −en su mayor parte− ES LEGAL.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

septiembre 30, 2022

Datos empresariales I-introducción: Comercio de Datos Personales vs Empresariales

Filed under: Comercio Electrónico,Emprender,Organización de Empresa,Protección de Datos,RGPD,Sociedades — Etiquetas: , , , — legisconsulting @ 10:03

Empiezo aquí este ‘hilo’ de posts para mostrar como los datos empresariales son vulnerables, su valor en el mercado las posibles acciones para protegerlos.

LOPD vs Ley de Secretos Empresariales.

Google, Facebook, Amazon, etc, venden y/o usan sus datos personales, ¿Qué le hace suponer que los datos empresariales mucho más valiosos no son utilizados o no están a la venta?

Particulares y empresas usamos utilísimos servicios de internet para comunicarnos, para almacenar datos, para comunicar con terceros, para relacionarnos o conectar con terceros; para nuestras actividades personales y para nuestras actividades profesionales.

El comercio de los Datos personales.

Es extensamente sabido por un lado que los Datos Personales son un enorme mercado con un inmenso valor que va mucho más allá de la publicidad dirigida en nuestros móviles, sino que tienen un mercado donde se compran y se venden desde datos de contraseñas, de tarjetas de crédito o datos médicos –por los que más se paga en el mercado- que van desde esos datos que ‘regalamos’ con nuestras búsquedas en Internet; con nuestros relojes; con esas divertidas apps del teléfono que te cuentan los pasos, cuándo y por donde los das; o hasta de expedientes médicos completos. Datos que ‘liberamos’ las 24 horas del día (¿duerme con su smartwatch o su pulsera de correr?, pues una empresa conoce las pautas de todo lo que hace en la cama) y que tienen un valor económico.

Con esos datos se elaboran exhaustivos ‘dosieres’ –individualizados aunque erróneamente pensemos que en ese inmenso océano que es Internet somos solo una gota indistinguible de las demás– de cada persona obtenidos con robots o con invitaciones masiva en redes sociales a través de las cuales acceden a datos que compartimos solo con nuestros contactos. Y que se venden a empresas o instituciones en función de los perfiles específicos que demanden los compradores.

El comercio de los datos empresariales.

Menos conocido, aunque igual de preocupante, el mercado de esos Datos Empresariales o Profesionales que liberamos a través de esos medios de internet oponemos en manos de terceros de forma consciente o inconsciente. 

Más allá del evidente uso de datos concretos de cada empresa, algunos de los cuales pueden ser el mismísimo corazón del negocio, Metadatos, tendencias del mercado, anticipación e incluso manipulación del mismo lo hacen un ‘mercado’ para quien lo quiera aprovechar aún más interesante y lucrativo que el de los datos personales.

Desde ‘backup’ colgado en ‘la nube’ aparentemente tan inocente y que nos hace sentir tan seguros. Los datos colgados en páginas Web, en redes sociales, los contactos de sus empleados, clientes y proveedores; Los comentarios, imágenes o mensajes de estos en redes sociales.

Todos esos datos se cruzan o son susceptibles de ser cruzados para obtener un beneficio potencialmente mucho mayor que le ya grandísimo de los Datos Personales, porque en este caso el beneficio potencial es mucho mayor que vender una camisa, un implante coronario o un coche.

Y se preguntará: ¿es todo eso legal? En su mayor parte -particularmente los datos personales-, no, pero existe recomiendo leer para quien no esté familiarizado ‘La privacidad es poder’ de Carissa Veliz )..

La normativa se preocupa en extremo del primero de ellos, los Datos Personales: categorizados como Derechos Fundamentales regula lo que pueden hacer con nuestros datos, del valor que tienen en el mercado y del coste que tiene su cesión para nosotros

Pero no ocurre lo mismo y la regulación no es la misma en el caso de los Datos Empresariales. ¿Cuál es la protección de la parte ‘empresarial’ de potencial y directamente de mucho mayor valor?. ¿Protegemos adecuadamente los secretos de nuestras empresas?

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

febrero 27, 2020

El teléfono del empleado: control por la empresa

Filed under: Protección de Datos,RGPD — Etiquetas: — legisconsulting @ 12:20

El teléfono es una herramienta imprescindible para trabajar, pero la empresa a veces ―como se verá en algún caso concreto más adelante―  excede los límites y restricciones.

El desarrollo de mecanismos de legítimo control por parte de las empresas a través del teléfono ha provocado algunos conflictos en el ámbito laboral o de la protección de datos que trae como consecuencia un conflicto de derechos. De una parte, la intimidad y el secreto de las comunicaciones de los trabajadores; y de otra el derecho a la libertad de empresa y a la propiedad privada de la empresa.

Normativa básica

Artículo 20.3 ET.

3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad.

Y tratándose en este caso concreto del uso de teléfonos móviles:

Art 90 LOPDGDD. Derecho a la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboral.

1. Los empleadores podrán tratar los datos obtenidos a través de sistemas de geolocalización para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo.

2. Con carácter previo, los empleadores habrán de informar de forma expresa, clara e inequívoca a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de la existencia y características de estos dispositivos. Igualmente deberán informarles acerca del posible ejercicio de los derechos de acceso, rectificación, limitación del tratamiento y supresión.

En un teléfono propiedad del empleado

En caso de que el empleado aporte su propio teléfono, con este se están aportando datos personales como el propio número de teléfono o, en algunos casos, el correo electrónico.

En este caso, antes de hacer uso de este mecanismo, es necesario realizar un ‘Juicio de Proporcionalidad’ en que se estudie si los datos que se recaban son necesarios, adecuandos, pertinentes y no excesivos. Extremos detallados en la  Sentencia TC 123/2002 que establece que debe ser estudiada:

  • La idoneidad; para determinar si el uso que se le va al teléfono del empleado es susceptible de conseguir el objetivo propuesto por la empresa.
  • La necesidad; si no hay formas alternativas para cumplir la misma función.
  • De proporcionalidad en sentido estricto; si la medida es suficientemente  equilibrada al derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto.

En este sentido resulta muy interesante la Sentencia de la AN 13/2019 en la que los sindicatos recurrieron la decisión de la empresa Telepizza de obligar a los empleados a instalar en sus teléfonos personales una APP que les tenía localizados en los repartos.

En este caso, la Audiencia Nacional anuló la decisión de la empresa al entender:

  1. Realizando el ‘Juicio de Proporcionalidad’ , que la medida adoptada por Telepizza atentaba contra la privacidad de los empleados y que eran posibles  medidas alternativas que supusiesen una menor lesión para los derechos de estos;
  2. Que establecer la obligación a los empleados de aportar su teléfono en los términos en que se hacía suponía un abuso de Derecho.
  3. Y, en el plano laboral, que no había respetado el derecho de información y consulta de los representantes sindicales

En todo caso, el uso del teléfono del empleado para funciones propias de la empresa, necesitará del deber de información previo de los Art 13 y 14 RGPD (además de los deberes de información propios de la normativa laboral) y el imprescindible consentimiento previo del empleado.

En un teléfono propiedad de la empresa que se le entrega al empleado

Más habitual es el hecho de que la empresa, igual que aporta un ordenador o una furgoneta de reparto, entregue al empleado un teléfono móvil como medio necesario para el desarrollo del trabajo y/o para cumplir con las facultades de control para las que está legitimada. Pero también es habitual que el empleado siga haciendo uso de ese teléfono una vez concluida su jornada laboral en un entorno estrictamente personal.

Obviamente en este caso el teléfono es propiedad de la empresa  y podrá disponer de él, pero no acceder a él de forma ilimitada. Y dado que el teléfono puede ser a día de hoy un más que importante ‘archivo‘ de datos personales del empleado que lo usa, conviene establecer unos límites generales a la legítima actuación de control de la empresa:

Control limitado estrictamente a la jornada laboral: Como señala en una Sentencia el TSJ de Asturias, «toda vez que ha finalizado la jornada laboral, el contrato de trabajo deja de constituir el vínculo entre las partes que ampara el poder del empresario para imponer las medidas implantadas de captación y tratamiento de datos«.

Geolocalización limitada a la jornada laboral: Caso de haberse instalado  en el teléfono algún mecanismo de geolocalización:

  • Se requiere la información (que no consentimiento) previa al trabajador de cualquier sistema de control instalado, su finalidad y la mención expresa de que este servirá para verificar el cumplimiento por parte de los trabajadores de las obligaciones y deberes laborales  .
  • Que el sistema cumpla con los requisitos de ‘proporcionalidad‘  al cumplir con el requisito imprescindible de que los datos recabados sean «necesarios, adecuandos, pertinentes y no excesivos«.
  • En ningún caso  el sistema de ‘control’ se puede extender más allá de los estrictamente laboral, dado que extenderlo supondría vulneración de derechos fundamentales del trabajador. Derechos que siempre prevalecerían caso de entrar en conflicto con los derechos de control y organización de la empresa del Art 20.3 ET .

Acceso limitado a correos electrónicos: No existe jurisprudencia específica en este sentido referida a teléfonos móviles, pero extrapolando la existente sobre ordenadores, sí podemos llegar a las siguientes conclusiones también a los móviles:

  • La empresa puede acceder al correo corporativo, pero el empleado tiene que ser conocedor de tal acceso (deber de información).
  • Al encuadrarse dentro de las facultades de control de la empresa, los controles deben ser idóneos, proporcionales, justificados y necesarios

Acceso al historial de navegación, llamadas:  El TEDH ha establecido que la recogida y almacenamiento de información personal relativa a las llamadas telefónicas, comercio electrónico y navegación por internet, sin conocimiento del interesado, constituye una injerencia en el derecho a su privacidad y al secreto de sus comunicaciones en el sentido del artículo 8 del Convenio de Derechos y Libertades Fundamentales de 1999.

Límite, en los Derechos del Trabajador

Las medidas de control por parte de la empresa, para ser legales,  tienen siempre el límite del respeto a los derechos del trabajador.

Resulta difícil dar unas reglas exactas para el ejercicio de  las facultades de control de la empresa, pero sí podemos fijarnos en las pautas establecidas por el Tribunal Constitucional para el establecimiento de medidas de control:

  • Idónea: La medida debe satisfacer el interés de la empresa de conocer la conducta laboral de sus empleados.
  • Necesaria: No existe ninguna otra medida menos gravosa agresiva o limitadora de los derechos del trabajador que pueda aplicarse con la misma eficacia.
  • Proporcionada: Deben derivarse de ella más beneficios para el interés general que perjuicios sobre otros derechos en conflicto.
  • Justificada: Debe responder a razones objetivas y no a razones de oportunidad o arbitrariedad.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

febrero 19, 2020

El teléfono del niño: lo que debería saber

Filed under: Actualidad,Protección de Datos — Etiquetas: — legisconsulting @ 10:44

«Los móviles son una droga, un instrumento muy peligroso para cometer hechos delictivos y el instrumento para convertirse en victima«

Emilio Calatayud – Magistrado de menores.

– – –

Es raro el niño que no tiene móvil. Y aunque los niños no tienen por qué conocer el derecho, los padres, como tutores -tanto para lo bueno como para lo malo-, sí deben conocerlo. Y de ahí este esquemático post.

Los datos de los menores.

Un menos de 14 años necesitará el consentimiento paterno para abrir cualquier tipo de cuenta en redes sociales, servicios de mensajería, juegos, etc.

Con 14 años cumplidos ya no necesitan esa autorización.

  1. Antes de los 14 años, solo con el consentimiento de los padres: El consentimiento (Art 7.2 LOPDGDG) para el tratamiento de Datos personales de menores antes de los 14 años puede ser prestado exclusivamente por los padres. Y  el ejercicio de los derechos sobre los datos personales del menor corresponderán a los padres hasta los 14 años (Art. 12. 6 LOPDGDG).
  2. Una vez cumplidos los 14, años los niños ya pueden dar su consentimiento y ejercer sus derechos.  Es cierto que el RGPD en su art 8.1 sugería una edad mínima de 16 años, pero el legislador español ha considerado que los niños españoles son más «maduros» (Art. 3 LO 1/82) y ha decidido rebajar esa edad a los 14.
  3. Está prohibido el tratamiento de datos de menores en base al Interés Legítimo (considerando 47 RGPD) del que ya se ha tratado anteriormente en este Blog.

Desde el número de teléfono, al correo electrónico, las fotos de perfil, el Nick que se use para los juegos online, aplicaciones de mensajería o redes sociales. Todo son datos personales.

Derechos del menor

El menor tiene derecho a su intimidad y a su propia imagen. Los padres no pueden, ni abrir de forma indiscriminada y sin límites el móvil de sus hijos ni registrarles su habitación.

 “Los menores tienen derecho al honor, a la intimidad personal y familiar y a la propia imagen. Este derecho comprende también la inviolabilidad del domicilio familiar y de la correspondencia, así como del secreto de las comunicaciones”

 “Los padres o tutores y los poderes públicos respetarán estos derechos y los protegerán frente a posibles ataques de terceros”.

Art 4 LO 1/1996 de Protección Jurídica del Menor)

Como se verá más adelante: control sí, Gran Hermano, no

Límites al control por los padres

La patria potestad, como responsabilidad parental, se ejercerá siempre en interés de los hijos, de acuerdo con su personalidad, y con respeto a sus derechos, su integridad física y mental.

Esta función comprende los siguientes deberes y facultades:

1.º Velar por ellos,

Artículo 154 Código Civil

Controlar sí, pero no espiar. Y para fijar el límite entre ambas se pueden tomar una serie de pautas, derivadas de la ya extensa jurisprudencia:

  • La inspección o el control de teléfonos o dispositivos se debe realizar por una causa justificada y concreta.
  • Siempre en beneficio del menor y con la finalidad superior de su protección física o mental.
  • En ejercicio de la obligación de educación y control que tienen los padres.
  • Acceso a los dispositivos, preferiblemente, en presencia del menor.

En cuanto a los ‘programas espía’ instalados en los dispositivos, solo podrían ser legales -a pesar de los extendidos que están- si se instalan con el conocimiento del menor o por alguna razón justificada, concreta, puntual y de forma temporal.

Responsabilidad del menor

Por encima de los 14 años, el menor será responsable penal por delitos tanto por acción (cyberbullying, sextorsión y grooming) como por omisión, como por ejemplo sería la mera tenencia de la imagen de otro menor desnudo.

Los hijos deben: 1.º Obedecer a sus padres mientras permanezcan bajo su potestad, y respetarles siempre.

Artículo 155 Código Civil

Responsabilidad penal

LO 5/2000 de responsabilidad penal del menor

Artículo 3 Régimen de los menores de catorce año.

Cuando el autor de los hechos mencionados en los artículos anteriores sea menor de catorce años, no se le exigirá responsabilidad con arreglo a la presente Ley, sino que se le aplicará lo dispuesto en las normas sobre protección de menores previstas en el Código Civil y demás disposiciones vigentes.

LO 5/2000 de Responsabilidad Penal del Menor

Responsabilidad de los padres

Derivado de los deberes atribuidos a los padres, estos son responsables de los daños, perjuicios e indemnizaciones por los actos de sus hijos, sean o no estos penalmente responsables.

Así, los padres vendrían obligados al pago de las cantidades que correspondan, aunque el menor no sea penalmente responsable por edad, derivadas de esos delitos de nuevo cuño digital, lamentablemente tan extendidos.

En el colegio

A la vista de la normativa mostrada en este post, parece evidente que el teléfono que el niño lleva al colegio forma parte de su espacio de privacidad y que tiene derecho al secreto de las comunicaciones, por lo que se podría deducir que el acceso de un profesor al móvil de un menor de 14 años sin el consentimiento de los padres vulnera su derecho a la privacidad.

No obstante, existe una sentencia de la Audiencia Nacional que manifiesta que el colegio sí puede acceder al teléfono de un alumno por razones de interés general en casos excepcionales en los que esté en riesgo la protección de derechos fundamentales de un menor al tener el colegio encomendada la protección de otros menores cuya guarda, asimismo, se le confía.

Para ponerlo en contexto, la sentencia en concreto trataba del acceso a un móvil de un menor ante el conocimiento de que había enseñado a una compañera el contenido de un vídeo sexual.

Ahora bien, ese acceso no legitima al colegio a  hacer copia del los datos encontrados o tratar los mismos en modo alguno que no sea dar parte, llegado el caso, a la autoridad competente.

Sí que sería legítimo en algunos casos, sin acceder a los datos que contiene, retirar el teléfono a los niños porque así lo recoge alguna normativa autonómica  como la de Madrid (art 24.7), pero con límites estrictos.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

noviembre 20, 2019

Novedades (con sorpresa) en las Cookies

Filed under: Comercio Electrónico,Emprender,Informática,Protección de Datos,RGPD — Etiquetas: , , , — legisconsulting @ 10:53

La AEPD ha actualizado Guía Sobre el Uso de las Cookies. Que no es norma, pero que son una serie de recomendaciones a la luz del RGPD y de la LOPDGDD que más nos vale seguir.

El documento es extenso, pero las novedades no son tantas.

Información

En primer lugar se mantiene la recomendación del sistema de información por capas, con una primera capa con la información esencial sin ‘rollos‘ innecesarios ni frases vacías de contenido del tipo «usamos cookies para personalizar su contenido y crear una mejor experiencia para usted«.

Así, para esta primera capa, en función de las cookies que se usen y de la funcionalidad de las mismas, la AEPD sugiere una serie de textos

Ejemplo 1:  Utilizamos cookies propias y de terceros para analizar nuestros servicios y mostrarte publicidad relacionada con tus preferencias en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas). Puedes obtener más información y configurar tus preferencias AQUÍ.

ACEPTAR COOKIES         RECHAZAR COOKIES

Ejemplo 2: Utilizamos cookies propias y de terceros para fines analíticos y para mostrarte publicidad personalizada en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas). Clica AQUÍ para más información. Puedes aceptar todas las cookies pulsando el botón “Aceptar” o configurarlas o rechazar su uso clicando AQUÍ.

ACEPTAR

Ejemplo 3: Utilizamos cookies propias y de terceros para analizar nuestros servicios y mostrarte publicidad relacionada con tus preferencias, en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas). Si continúas navegando, consideraremos que aceptas su uso.

Puedes configurar o rechazar la utilización de cookies u obtener más información AQUÍ.

Consentimiento (y sorpresa)

Es este último ejemplo el que probablemente marca la mayor novedad y más interés despertará entre los diseñadores de páginas Web, puesto que admite que la opción de ‘seguir navegando‘ constituye una prestación válida del consentimiento .

Si bien este tipo de consentimiento solo será válido si se cumplen requisitos de FORMA como

  • Que el aviso se encuentra  en un lugar claramente visible, de modo que por su forma, color, tamaño o ubicación pueda existir seguridad de que el aviso no ha pasado desapercibido para el usuario.
  • Que se incluya en el panel un botón para rechazar todas las cookies, para respetar el requisito de que sea tan fácil retirar el consentimiento como darlo.

Y  que el usuario realice una acción que pueda calificarse como una clara acción afirmativa. A modo de ejemplo, podrá considerarse una clara acción afirmativa navegar a una sección distinta del sitio web (que no sea la segunda capa informativa sobre cookies ni la política de privacidad), deslizar la barra de desplazamiento, cerrar el aviso de la primera capa o pulsar sobre algún contenido del servicio, sin que el mero hecho de permanecer visualizando la pantalla, mover el ratón o pulsar una tecla del teclado pueda considerarse una aceptación. O en dispositivos como el móvil o la tablet, cuando desliza la pantalla accediendo al contenido.

Y límites en cuento al FONDO, por cuanto  no será válido en los casos en que a través de las cookies se realicen tratamientos de datos que requieran un consentimiento expreso, tales como:

  • categorías especiales de datos personales del Art 9 RGPD
  • que se tomen decisiones individuales automatizadas del Art 22  RGPD
  • o se realicen transferencias internacionales de datos amparadas en el consentimiento de las del Capítulo V  RGPD

Tiempo  

Por una parte la AEPD recomienda valorar si es necesario la instalación de cookies persistentes en lugar de las de sesión,  puesto que señala que, «para que una cookie pueda estar exenta del deber de consentimiento informado, su caducidad debe estar relacionada con su finalidad«. Y que es mucho más probable que se consideren como exceptuadas del deber de  consentimiento  las cookies de sesión que las persistentes.

Y en cuanto a las cookies persistentes instaladas, la AEPD viene a recomendar una actualización del consentimiento cada 2 años: «Esta Agencia considera buena práctica que la validez del consentimiento prestado por un usuario para el uso de una determinada cookie no tenga una duración superior a 24 meses y que durante este tiempo se conserve la selección realizada por el usuario sobre sus preferencias, sin que se le solicite un nuevo consentimiento cada vez que visite la página en cuestión.»

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

Older Posts »