Entradas

Si tienes una web y vendes online, que sepas que inspecciones “haylas”

Internet Shopping by renjith krishnan in www.freedigitalphotos.net

Internet Shopping by renjith krishnan in www.freedigitalphotos.net

En este 2016, en Andalucía se está realizando por los Servicios de Consumo  una campaña de inspección y control del cumplimiento de los requisitos legales en la información de contratación a distancia a través de páginas web.

Una campaña en definitiva que está dirigida a comprobar, a través del análisis e inspección de las páginas Webs, el grado de cumplimiento de la legalidad vigente en materia de consumo.

Si haces Ecommerce, mejor asegúrate de cumplir con la normativa. Si no cumples, ya sabes donde estamos para ayudarte.

En este enlace puedes obtener más información, y en este otro descargar el formulario con las cuestiones que en la inspección se están revisando

Nota de prensa de la AEPD: “El Reglamento de protección de datos en 12 preguntas”

NEWS5Hoy, 26 de mayo de 2016, la Agencia Española de Protección de Datos (AEPD) ha publicado en su página web un documento en el que de manera simple, siguiendo un formato de pregunta-respuesta, facilita la comprensión del nuevo marco normativo tanto a los ciudadanos, como para ayudar a las organizaciones a adaptarse a los cambios que va a incorporar y cumplir así con sus obligaciones, en el momento en que entre en vigor.

Os emplazamos a consultar la nota en el siguiente enlace y como siempre a vuestra disposición para cualquier duda, consulta o comentario.

Feliz Navidad y feliz Privacidad 2016

Feliz Navidad y Feliz Privacidad 2016

Feliz Navidad y feliz Privacidad 2016No queríamos dejar pasar estas Navidades, sin desearos lo mejor para nuestros lectores, amigos, clientes y colaboradores.

Cerrando el año que hoy termina, podemos deciros que para Eurovima ha sido un buen año gracias a vosotros, a vosotros como clientes ya históricos por seguir a nuestro lado , y a vosotros como nuevos clientes que os habéis sumado a nosotros para poder ofreceros nuestros servicios de la mejor manera posible como siempre intentamos hacerlo. También gracias a nuestros colaboradores de siempre y a las nuevas incorporaciones, con los que hemos tenido la suerte de compartir trabajo a lo largo de todo este año.

Ha sido un año en el que la privacidad, la seguridad y su entorno han vivido momentos convulsos, en el que nuevamente el terrorismo nos azotó y ha vuelto a resonar con fuerza el dilema interminable entre privacidad vs seguridad.

Un año en el que la actividad online ha seguido creciendo de manera imparable y lamentablemente con ella también la inseguridad, sobre todo la de nuestros menores.

En lo normativo, hemos visto un acelerón a final de año entrando en el proceso final para tener en la Unión Europea un nuevo marco regulatorio en materia de protección de datos de carácter personal con la aprobación del nuevo Reglamento de Protección de Datos de la Unión Europea previsto para los próximos meses.

En definitiva, que dejamos otro año atrás, y vamos a por el quinto, que dicen “no lo hay malo” y esperamos que así sea.
Desde EUROVIMA, queremos haceros llegar nuestros mejores deseos y el agradecimiento por seguir al otro lado, sea el medio en el que sea que nos encontremos y compartamos vivencias.

Contamos con vosotr@s!!!!.

Un fuerte abrazo.

El equipo de Eurovima

¿Hacemos copias de seguridad por sentido común o por cumplir con la LOPD? | Eurovima Consulting | Asesoría LOPD Madrid |Adecuación de tu proyecto web a la LOPD

¿Hacemos copias de seguridad por sentido común o por cumplir con la LOPD?

¿Hacemos copias de seguridad por sentido común o por cumplir con la LOPD? | Eurovima Consulting | Asesoría LOPD Madrid |Adecuación de tu proyecto web a la LOPDSiempre que tenemos una charla sobre el objeto y alcance de la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD) y su cumplimiento normativo, decimos que la mayoría de las cuestiones técnicas y organizativas que la ley nos obliga a acometer, se vienen realizando por inercia del negocio, así del mismo modo que hacemos con nuestra información personal, con más razón lo haremos para preservar nuestra actividad o negocio.

Posteriormente cuando hacemos un proyecto de adecuación, constatamos que este tipo de cuestiones se vienen realizando en el ámbito del negocio o actividad simplemente por esa inercia mencionada y por la aplicación del sentido común.

Claro que no es necesario que una ley me diga que debo realizar una copia de mi información o que habilite un mecanismo por el cual únicamente las personas que yo o la dirección considera que accedan a determinada información de la empresa, pero sí nos damos cuenta de que algunas de estas cuestiones técnicas u organizativas que obliga la LOPD no se ajustan a lo que establece la normativa y debemos adecuarlas.

Definición de Copia de Seguridad según la LOPD

El artículo 94 del Real Decreto 1720/2007, de 21 de diciembre, de desarrollo de la LOPD, señala que para cualquier fichero:

  1. Deberán establecerse procedimientos de actuación para la realización como mínimo semanal de copias de respaldo, salvo que en dicho período no se hubiera producido ninguna actualización de los datos.
  2. Asimismo, se establecerán procedimientos para la recuperación de los datos que garanticen en todo momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción.

Además, el artículo 102, señala que los ficheros con información de datos personales de nivel alto, deberá conservarse una copia de respaldo de los datos y de los procedimientos de recuperación de los mismos en un lugar diferente de aquel en que se encuentren los equipos informáticos que los tratan, que deberá cumplir en todo caso las medidas de seguridad exigidas en este título, o utilizando elementos que garanticen la integridad y recuperación de la información, de forma que sea posible su recuperación.”

Motivos por los que realizar una Copia de Seguridad

Simplemente con recordar lo sucedido en Madrid con el incendio del edificio Windsor, bastará para darnos cuenta del sentido que tiene contar con un plan de continuidad que nos permita reemprender con menos dificultades nuestro negocio.

En este sentido, las medidas que la LOPD nos obliga a implementar nos van a ayudar sin duda alguna, pero al margen de lo que diga la LOPD, tenemos muchos motivos tales como:

  • Por si te roban o se estropea tu PC o el servidor
  • Se inunda o incendia tu local
  • Para preservar tu información comercial y de negocio
  • Para reutilizar documentos de trabajo o plantillas

No seas simple, haz cuando menos una copia adicional y mantenla a buen recaudo

Aunque solo sea aplicable a la información de nivel alto, siempre aconsejamos mantener una copia de seguridad adicional fuera de las instalaciones principales en donde se almacene, con el fin de preservar la información de negocio de las mismas contingencias que pudiera sufrir el lugar habitual de almacenamiento, ya que en el caso de un accidente o desastre, dicha copia también podría quedar inservible.

Un ejemplo claro de esto es si pensamos en un incendio, robo o inundación de nuestras oficinas, ya que si no tenemos una copia adicional externa, difícilmente podríamos trabajar al día siguiente con cierta normalidad, ¿no os parece?

Si no fuese posible, cosa que dudamos, guardar una copia de los ficheros en un lugar distinto, habrá que adoptar medidas complementarias para disminuir el riesgo, tales como ubicar la copia en armarios ignífugos, implantación de sistemas antiincendios, etc. y si tu sede tiene más de una estancia el sentido común te dirá qué se guarda en la misma.

Hoy en día el coste no puede ser una excusa ya que el adquirir un disco duro externo de gran capacidad, o la posibilidad de realizar las copias en la nube, aunque en ese caso debemos tener presente otras cuestiones ( “Nube” o Cloud Computing. Seamos diligentes…) no suponen una gran cuantía.

¿Y si falla la copia de seguridad?

Pues en ese caso recurriremos a la copia adicional y en todo caso debemos verificar cada cierto tiempo que la restauración de datos cumple su función, cuestión que el RDLOPD establece y de la que os hablaremos en nuestro siguiente artículo.

Por una privacidad de una sola “velocidad”, por un marco normativo europeo común | Eurovima Consulting S.L.

Por una privacidad de una sola “velocidad”, por un marco normativo europeo común

Por una privacidad de una sola “velocidad”, por un marco normativo europeo común | Eurovima Consulting S.L.El pasado 28 de enero, con motivo del Día Europeo de Protección de Datos, en el blog de la Asociación Profesional Española de Privacidad (APEP) han publicado un artículo escrito por nuestro CEO, Rafael Varela del que os dejamos una reseña y os invitamos a leer completo en este enlace

Hoy 28 de enero de 2015 estamos celebrando el día de la Protección de Datos en Europa por 9º año consecutivo.

Se trata de una jornada festiva, que impulsada desde la Unión Europea por las autoridades de Protección de Datos de los estados miembros, pretende promover el conocimiento entre los ciudadanos europeos sobre cuáles son sus derechos y responsabilidades en el ámbito de protección de datos y por ende de la privacidad.

Seguramente muchos de nuestros amigos lectores, tendrán cierta información sobre los aspectos que enmarcan su privacidad, pero sobre todo de lo que les gusta y les disgusta de manera especial cuando alguien sobrepasa ciertos límites que atentan contra su persona o entorno. Todos tenemos medianamente claro cuando algo o alguien pretende menoscabar nuestros derechos en materia de protección de datos personales, pero no tanto cuando salimos de nuestro ámbito, canal o esfera cotidiano, y me explico.

Los tiempos están cambiando, siguen cambiando, pero las leyes no lo hacen al mismo ritmo. []

Derecho al olvido. Google pone en marcha una herramienta para solicitarlo - Eurovima Consulting - Asesoría Protección de Datos - Madrid

Derecho al olvido. Google pone en marcha una herramienta para solicitarlo

Derecho al olvido. Google pone en marcha una herramienta para solicitarlo - Eurovima Consulting - Asesoría Protección de Datos - Madrid

Imagen original de http://www.redusers.com

Se podría decir que “Ya podemos eliminar nuestros datos de internert!!!!”, pero seamos prudentes y de momento digamos que se van dando pasos, ya que eso será siempre que se den determinadas circunstancias.

Después de que el pasado 13 de mayo de 2014, tal y como EUROVIMA informó (ver enlace), la Justicia europea fallaba contra Google obligandola a cumplir con la normativa de protección de datos europea y a desindexar la información solicitada por los afectados, Google acaba de poner en marcha una herramienta que permita a los afectados solicitarlo, en el apartado “legal” de su página indica “Cómo retirar contenido de Google” (ver enlace).

Bueno, esto no acaba más que empezar, veremos como se implementa ya que una cuestión es que se facilite poder ejercer ese derecho y otra distinta es que se atienda en tiempo y modo, es más, de momento ni siquiera el formulario cumple con el deber de información que la LOPD establece en su artículo 5¡¡¡¡ (Derecho de información en la recogida de datos), es decir, empezamos bien.

En cualquier caso, seguiremos informando y si necesitáis hacernos alguna consulta al respecto,  es decir, si hay información que os afecte y entendéis que no debería estar publicada en la Red, no dudéis en consultar a vuestra asesoría en materia de protección de datos, privacidad, comercio electrónico y derecho TIC, al igual que esperamos vuestras opiniones.

El Derecho al Olvido; del “Olvídense del olvido” al “olvídense de lo dicho”, o no…

Free-Google-Desktop-Wallpapers-1Parece que nuestra querida Agencia Española de Protección de Datos (AEPD) ha logrado dar la vuelta al resultado contra todo pronóstico (el nuestro desde luego), y lo que el 25 de julio de 2013, con “el Dictamen Preliminar del Abogado General del TJUE”, hacía suponer que Google no estaría obligado a borrar la información sensible de su índice de búsqueda, ahora con la sentencia publicada hoy, ¡¡¡martes y 13!!!, ya no lo parece (ver post del 26 de junio de 2013)

En todo caso, decimos parece, pues pensamos que estamos ante lo que será un punto y seguido, del que queremos haceros llegar un primer análisis.

La cuestión era si con el amparo de la AEPD, no solo el ciudadano español del que partió la denuncia sino todos, encontraríamos el auxilio para lograr el derecho al olvido. De cómo el derecho a la protección de nuestra privacidad iba a convivir con la libertad de expresión e información sin suponer una censura al contenido indexado o la responsabilidad  de las fuentes del origen de la información y de los buscadores. También si la normativa europea sería o no de aplicación a una empresa con sede en California, que por ende fuese considerada Responsable de Tratamiento, y en definitiva, resolver si existía tratamiento de datos o no.

Pues bien, estamos ante una sentencia histórica que obliga al buscador a eliminar los enlaces de sus resultados de búsqueda si se dan una serie de requisitos (cuando sea solicitado por el afectado) aunque la información no sean de “su propiedad”, ya que el buscador realiza un tratamiento de datos de dicha información y por tanto la sentencia considera que el buscador es el Responsable.

ANTECEDENTES:

Para ponernos en situación, recordar que un ciudadano español solicitó y recibió el amparo de la AEPD requiriendo a Google que eliminasen sus datos del buscador.

Pues bien, ya en su día indicamos que la cuestión clave sería delimitar el alcance de la responsabilidad de Google frente a los derechos de los ciudadanos sobre la publicación/indexación de sus datos personales y si pudiese estar sujeto a la normativa de privacidad europea aunque su motor de búsqueda fuese el de una empresa con sede en California.

Las conclusiones resumidas del Dictamen Preliminar del Abogado General del TJUE, que ya publicamos en su momento, fueron:

  1. El ámbito territorial de aplicación.- Concluyó que se considera de manera indiscutible a las filiales de Google ubicadas en la UE como “establecimiento”.
  2. No entiende que el buscador sea Responsable del Tratamiento pero sí que sus operaciones implican claramente un tratamiento de datos personales.
  3. La Directiva no establece ningún «derecho al olvido» generalizado. Los derechos de oposición, supresión y cancelación de datos, de la Directiva no se extienden a un derecho al olvido como el descrito en el auto de remisión.

LAS CONCLUSIONES DE LA SENTENCIA

La sentencia del Tribunal de Justicia de la Unión Europea conocida hoy, supone:

  1. Que a Google le es aplicable la normativa Europea sobre protección de datos, al vender y promocionar espacios publicitarios a los ciudadanos de un estado miembro de la UE. A este respecto, la sentencia indica: “….Pues bien, toda vez que dicha presentación de resultados está acompañada, en la misma página, de la presentación de publicidad vinculada a los términos de búsqueda, es obligado declarar que el tratamiento de datos personales controvertido se lleva a cabo en el marco de la actividad publicitaria y comercial del establecimiento del responsable del tratamiento en territorio de un Estado miembro, en el caso de autos el territorio español”… “basta por sí mismo para concluir que un establecimiento como Google Spain cumple el criterio recogido en el artículo 4, apartado 1, letra a), de la Directiva 95/46….”
  2. Responsable del Tratamiento.- Su motor de búsqueda determina los fines y los medios del tratamiento de datos personales, por tanto esa actividad que desarrolla constituye un tratamiento de datos de los que es Responsable. A este respecto, la sentencia indica: “en base al artículo 2-d de la directiva 95/46, hay que considerar que la actividad del buscador al rastrear páginas web supone un tratamiento de datos de carácter personal ya que “determina los fines y los medios del tratamiento de datos personales”….. “
  3. Derecho al olvido.- Que asiste al interesado a solicitar que se eliminen sus datos y referencias del motor de búsqueda, sin necesidad de que hayan sido eliminadas previamente por el editor. Todo ello salvo en caso de relevancia o interés público. A este respecto, la sentencia indica: “incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. Éste es el caso, en particular, cuando son inadecuados, no pertinentes o ya no pertinentes o son excesivos en relación con estos fines y el tiempo transcurrido”….. “en el supuesto en el que se aprecie, tras una solicitud del interesado….”…… “que esta información…….es inadecuada, no es pertinente, o ya no lo es, o es excesiva en relación con los fines del tratamiento en cuestión realizado por el motor de búsqueda, la información y los vínculos de dicha lista de que se trate deben eliminarse”.

En definitiva, sentencia histórica, de la que esperamos pacientemente su aplicación y de los más de 220 recursos de Google contra resoluciones de la AEPD pendientes.

Sentencia que abre nuevos interrogantes como:

  • Qué pasará con las Redes Sociales, ya que les será de aplicación al igual que cualquier operador extranjero con filial en España.
  • Qué sucede respecto a otros derechos fundamentales, con la libertad de expresión….
  • Cómo afectará al esperado y ansiado Reglamento Europeo de protección de Datos.
  • Cómo se realizará la revisión de las peticiones….
EL VUELO DE DRONES. PRIVACIDAD Y OTRAS IMPLICACIONES LEGALES.

El vuelo de los Drones. Privacidad y otras implicaciones legales

EL VUELO DE DRONES. PRIVACIDAD Y OTRAS IMPLICACIONES LEGALES.

Futuristic Surveillance Drones Stock Image by Victor Habbick, in Freedigitalphotos

Teníamos acabado este artículo, cuando hemos leído la nota emitida hace 2 días por fuentes del ministerio de Fomento a través de la Agencia Estatal de Seguridad Aérea (AESA).

En dicha nota se indica que en la actualidad el vuelo de DRONES para uso civil profesional o comercial y la realización de trabajos aéreos, siempre que se realice dentro del espacio aéreo nacional, están y siempre han estado prohibidos.

Entonces: ¿para qué se puede usar un DRON?.

Seguramente muchos de vosotros habréis visto en la tele o incluso en la ciudad unos aparatos muy curiosos (llamado DRON o aeronave pilotada por control remoto), que con cuatro hélices, y menos de medio metro de diámetro, cruzan la calle, por encima del tráfico, y de la gente, dando vueltas, con la particularidad que algunos llevan una cámara incorporada, para hacer grabaciones desde el aire.

Recientemente, quedé con un amigo para ver un DRON que había comprado, con la intención de hacer grabaciones en eventos. Conforme me explicaba las capacidades del aparato, más sorprendido me quedaba, aun cuando ya sabemos que hay empresas como AMAZON que pretende darle un uso comercial de transporte de paquetería y por tanto de sus utilidades y bondades.

Como la profesión va por dentro, me puse a hablar con su piloto sobre las implicaciones legales que afectan a los DRONES, y en parte a cuestiones de protección de datos de las imágenes que grababan, y terminamos hablando de muchas otras cuestiones que les afectan, y que parece ser no quedan muy claras aún y ello fue lo que motivó el empezar a escribir este artículo.

Lo que hasta ahora decía o se interpretaba de la normativa:

Investigando la cuestión, me encontré con una noticia en la edición digital del periódico Levante EMV. En ella se planteaban los problemas con los que se encontraron unos operadores de DRONES para la grabación de imágenes de las FALLAS DE VALENCIA, cuando las autoridades les dijeron que no podían volar porque se violaba el espacio aéreo de la ciudad.  La empresa encargada de las grabaciones intentó por todos los medios conseguir una autorización para volar en el evento y no consiguieron resolver el asunto, por mucha intención que pusieron. “El Servicio de Circulación y Transportes y sus Infraestructuras del Ayuntamiento de Valencia les ha contestado que el consistorio no tiene competencias para permitir vuelos de aparatos no tripulados por la ciudad y remite al aeropuerto de Valencia, encargado de distribuir las servidumbre aéreas en la ciudad, para que les facilite los permisos”. Por su parte desde AENA, empresa que gestiona el aeropuerto, “asegura que no puede dar una autorización para el vuelo de los DRONES en la ciudad «al no existir normativa aplicable a estas actividades» y remite a los interesados a la Agencia Estatal de Seguridad Aérea, el organismo del Estado que vela para que se cumplan las normas de aviación civil en el conjunto de la actividad aeronáutica de España”. Y por tanto tendremos que atenernos a la normativa que regula la actividad aeronáutica.

El artículo 5 de la Ley 21/2003, de 7 de julio, de Seguridad Aérea, indica que será el Ministerio de Fomento el competente en materia de ordenación de las actividades y trabajos aéreos, así como de la aviación general y deportiva. Así mismo será competente para el otorgamiento de los títulos que habilitan a las personas y organizaciones civiles para la realización de actividades aeronáuticas civiles y el control del cumplimiento de los requisitos y obligaciones en cada caso exigibles. Por tanto y en mi opinión es ahí donde se debe hacer hincapié para conseguir una normativa específica sobre la materia.

En definitiva, hasta entonces y sin un procedimiento especifico para conseguir autorización, en el uso de DRONES parecía que había un vacío legal, que no estaba prohibido, pero tampoco legalizado.

Aclaraciones sobre la normativa aplicable y el uso:

Tras la nota publicada se aclara específicamente que un DRON, es una aeronave y por tanto se le aplica la misma legislación que al resto de aeronaves para uso civil. De modo que si es para actividades de recreo  o deportivas, son consideradas aeromodelos, y se rigen bajo su normativa.

Por tanto para poder volar por el espacio aéreo español es necesario una autorización previa por parte del organismo competente y la nota señala que “hasta que no esté aprobada la nueva normativa específica que regule el uso de este tipo de aparatos, AESA no puede emitir dichas autorizaciones porque carece de base legal para ello”.

AESA está trabajando en colaboración con la industria para elaborar una norma que contenga disposiciones particulares que permitan su vuelo con determinadas condiciones y limitaciones.

A fecha de hoy solo se podrán usar estos aparatos a nivel recreativo en los espacios habilitados en la normativa sobre aeromodelismo, considerando que desde el nivel del suelo hacia el cielo se supone espacio aéreo y por tanto le será de aplicación la legislación nacional, es decir, no podréis volar vuestros DRONES ni tan siquiera en vuestra finca o propiedades particulares abiertas.

En definitiva, fuera de los espacios de aeromodelismo, la única manera de hacer volar nuestro DRON será si lo hacemos en una propiedad privada y “techada”. A modo de ejemplo en ningún campo de fútbol español se podría emplear.

Privacidad y otras implicaciones legales; la LOPD:

Por ello, a los que hasta ahora habíais comprado estos apartaos con fines comerciales el único aprovechamiento real será cubrir eventos que se realicen en este tipo de recintos y en estos supuestos tendremos en cuenta además lo siguiente:

  • Responsabilidad civil por daños y perjuicios. Es de lógica pensar, que un aparato teledirigido, pueda perder el control, o pueda sufrir un accidente (ya se han producido), en el que se vean implicados tanto personas, como bienes de las mismas. En este sentido lo recomendable sería contratar un seguro de responsabilidad civil, bien el responsable del evento, bien el operador del DRON, para cubrir estos riesgos.
  • Derechos de imagen. Si se contrata los servicios de DRONES, actualmente y en la mayoría de supuestos es para grabar imágenes sobre ciertos eventos de interés. Y en ese sentido las imágenes pueden incluir la de las personas y sus bienes. Pudiendo afectar a la privacidad, derechos de imagen, intimidad, y honor sobre las mismas.

Por ello, se recomienda no grabar a nadie salvo que cuentes con su consentimiento, ya que entramos de lleno en materia de protección de datos de carácter personal. El asistente a un evento es la única persona que puede autorizar la grabación y difusión de su imagen. En este sentido deberá ser informado por el responsable del fichero de imágenes sobre la grabación, y en su caso difusión de la imagen, para que decida si quiere permitir su captación o no.

Aquí debemos distinguir quién va a ser el responsable del fichero de imágenes grabadas en eventos. Podremos encontrar diferentes supuestos.

El operador de DRON y de cámara, como persona que graba directamente la imagen, puede actuar en dos posiciones:

  • Responsable del fichero de imágenes, las imágenes captadas las podrán usar en su beneficio, bien sea en campañas de promoción de la empresa, o para editarlas y hacer su propio reportaje del evento. Y para ello deberán informar a los asistentes de que van a ser responsables del fichero, cuáles van a ser sus finalidades, posibilidad de cesión de las mismas, y donde efectuar los derechos ARCO sobre éstas.

El operador del DRON, deberá estar constituido como entidad con personalidad jurídica, y estar adaptado a lo dispuesto en la LOPD y su Reglamento de desarrollo. En cuanto a sus obligaciones legales, técnicas, y organizativas, en materia de tratamiento de datos de carácter personal.

  • Encargado de tratamiento. Las imágenes captadas serán usadas por  un tercero, diferente, normalmente el Organizador del evento. Y el responsable del aparato sólo será responsable de grabar las imágenes, y devolverlas a éste, con o sin edición. Pero en ningún caso podrá quedárselas. En este sentido será el Organizador y responsable del evento  el responsable del fichero, y de cumplir con lo mencionado anteriormente y estar adaptado a lo dispuesto en la LOPD.

Como obligación legal, y para regular esta situación, el art. 12 de la LOPD, indica que entre el responsable del fichero (Organizador), y el operador del DRON debe existir un contrato de encargado de tratamiento, en el que se indique bajo qué circunstancias se deben usar los datos en representación del organizador.

Ya tenemos claro que debemos informar sobre la captación y uso de imagen. Pero cómo lo hacemos. Lo más efectivo sería informar en la misma entrada al evento, bien con la entrada en papel, de modo electrónico, o mediante la colocación de carteles informativos en la puerta de acceso. En este último caso se deberían tener formularios en la entrada a disposición del público, como mínimo de manera que puedan ser impresos en el momento.

En conclusión, y como vemos muy a menudo, las tecnologías avanzan más rápido que las leyes, y hay situaciones que aun no podemos salvar, pero para las que sí que podemos vuestra asesoría en materia de protección de datos y comercio electrónico, Eurovima, está a vuestra disposición.

 

Escrito por Aurelio J. Martínez Ferre
Abogado, Consultor en derecho y nuevas tecnologías.

Presentacion EUROVIMA_Desayuno AEGAMA_2_abril_2014

LSSICE y LOPD: Que debo saber si tengo una página web

Presentacion EUROVIMA_Desayuno AEGAMA_2_abril_2014Este miércoles día 2 de abril, organizamos un desayuno de trabajo en AEGAMA, Asociación de Empresarios Gallegos en Madrid, calle Orense 10, de 9:30 a 11 h. al que os invitamos (gratuito previa inscripción).

El objetivo es informar a todos aquellos que tienen una página web, aunque sea solo presencial, sobre la normativa que les afecta, es decir:

  1. Sobre Ley de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSICE).
  2. Como afecta desde el punto de vista de aplicación de la LOPD (protección de datos personales)

Explicaremos cómo adecuar tu página web en función de la actividad que desarrolles y también si haces comercio electrónico.

Animaros y animar a quién tenga pensado crear su página web o ya la tenga pero no adecuada a la normativa.

Se trata de un evento gratuito pero las plazas son limitadas.

Mas información en el 91 446 79 62 y 91 556 23 79.

Gracias.

 


En Protección de Datos, asumir la culpabilidad y alegar un error no indulta la sanción de AEPD (1.200€)

photo credit: David Feltkamp via photopin cc

photo credit: David Feltkamp via photopin cc

Hace poco, en concreto en diciembre de 2013, escribíamos un artículo titulado: “Si un Cliente es baja de tu newsletter, no le envíes más correo. Sanción de la AEPD y hoy nuevamente volvemos a escribir para incidir en una situación muy similar, que concluyó con una sanción de 1.200€ de la Agencia Española de Protección de Datos (AEPD).

Hablamos de la enésima sanción de la AEPD por el envío de correos comerciales no solicitados, lo que se conoce como “spam” (todo tipo de comunicación no solicitada, realizada por vía electrónica).

En este caso, queremos resaltar que por una parte el denunciado reconoció su culpabilidad y por otra los argumentos que el denunciado alegó para tratar de librarse de la multa. Pero antes de entrar a valorarlos, vayamos por partes.

La denuncia:

Nos encontramos ante el “típico” caso de una persona que recibió un par de correos electrónicos (comunicación comercial) de una empresa de la que nunca había sido cliente ni había mantenido contacto alguno, a la que posteriormente les notificó mediante un email que le diesen de baja de su base de datos e indicasen cuando les había autorizado para recibir su publicidad.

Según la denunciante, no obtuvo respuesta y siguió recibiendo sus emails (hay que recordar que la LSSI en su artículo 21 prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas).

La Agencia solicita información a la entidad, señalando que la dirección IP desde la que se enviaron los correos, estuvo asignada esos días y a esas horas a la denunciada (verificando lo indicado en la denuncia).

Las alegaciones de la Entidad denunciada:

Como respuesta a la solicitud de información del inspector de la AEPD, la empresa denunciada remitió un escrito en el que manifestaron, entre otras cuestiones, lo siguiente:

  • Que la dirección de correo electrónico de la denunciante se incluyó por error de un miembro de su personal en dos correos informativos que remiten frecuentemente a antiguos clientes, clientes que les solicitan información y empresas con las que tienen una relación habitual.
  • El origen del dato de la dirección de correo electrónico es una consulta realizada en Internet, aunque no disponen de acreditación del consentimiento prestado por el reclamante para la remisión de correos comerciales.
  • No han recibido solicitud alguna del reclamante solicitando el ejercicio de derechos ARCO.

Posteriormente la AEPD inició procedimiento sancionador por la presunta infracción del artículo 21 de la LSSI, tipificada como leve (cuya sanción puede llegar a los 30.000€), a la que la denunciada presentó alegaciones, reiterando y reconociendo que “por error de un miembro de nuestro personal la dirección de correo electrónico a la que se hace referencia se incluyó en dos de los correos informativos que remitimos frecuentemente a antiguos clientes, clientes que nos solicitan información …“  y que “ha existido un error puntual en el proceso de tratamiento de la información y rogamos tengan en consideración que no se ha actuado en ningún caso de mala fe. Así mismo esta empresa aumentará sus esfuerzos por controlar las actuaciones de nuestro personal en el cumplimiento de la normativa.…”.

Una vez la entidad denunciada reconoce los hechos, la agencia resuelve y le sanciona con 1.200€, aplicando una disminución en la cuantía de la sanción:

Al haber reconocido los hechos y la responsabilidad derivada,  y en aplicación del artículo 8.1 del Real Decreto 1398/93 que señala que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”, la Agencia resuelve desestimar su alegato sobre que “obtuvo la dirección de correo destinataria de la red internet….de una fuente accesible al público (la página web de la denunciante)”, ya que la AEPD considera que “ni tenía la autorización previa y expresa y tampoco una relación comercial previa y por tanto ha resultado probado que el denunciado envío dos comunicaciones comerciales por medios electrónicos incumpliendo lo dispuesto en el art. 21.1 de la LSSI”.

No obstante, la Agencia aplica los criterios de graduación de las sanciones ante la ausencia de intencionalidad, de perjuicios causados y de los beneficios obtenidos por la entidad denunciada imponiendo una sanción de 1.200 €.

En definitiva, asumir el error ha servido para que la Agencia simplificase el procedimiento, pero no para considerar las alegaciones de que se trató de un “error” cometido por un empleado o que tuviese legitimidad para el envío por el simple hecho de  que el origen del dato de la dirección de correo electrónico fuese una consulta realizada en Internet.

Una vez más, queremos recordar a nuestros lectores y Clientes, ser muy cuidadosos con la gestión de las suscripciones a los boletines o newsletter, al igual que en la atención de los derechos ARCO (acceso, rectificación, cancelación y oposición de datos). Hay que seguir los procedimientos previstos y recogidos en el documento de seguridad y sobre todo, que es mejor una consulta previa a nuestro servicio de asesoría para valorar las implicaciones normativas tanto de la LOPD como de la LSSI, respecto a cualquier acción o campaña de marketing que suponga una comunicación comercial.

 

Enlace a la Resolución de la AEPD: PS-00598-2013