Google 1-0 AEPD. Repetimos: “Olvídense del olvido”

/0 Comentarios/en /por

privacidad_Eurovima_ConsultingO más bien un ¿2-1?. Ya sabemos que las victorias y sobretodo las morales son muy peculiares. En todo caso, antes de entrar en materia, recordarles que ya en nuestra sección “News del día 26-02-2013: El Derecho al olvido a debate en el TJUE«, se informaba que “el Tribunal de Justicia de la Unión Europea (TJUE) iba a analizar la cuestión prejudicial sobre el ejercicio de derechos frente a buscadores de Internet, a cuya vista tenía previsto asistir el director de la Agencia Española de Protección de Datos (AEPD)”

Al día siguiente, en nuestro Blog – El TJUE y el Derecho al olvido. “Olvídense del olvido” – analizábamos la exposición realizada, en la que para ponernos en situación, hay que recordar que un ciudadano solicitó y recibió el amparo de la AEPD (dándole la razón parcialmente) requiriendo a Google Spain S.L. y Google Inc. que retiraran los datos del ciudadano de su índice, aunque no pidió al periódico que publicó la información que la retirase, dado que su publicación tenía justificación legal.

Pues bien, ya en su día indicamos que la cuestión clave sería delimitar el alcance de la responsabilidad de Google frente a los derechos de los ciudadanos sobre la publicación/indexación de sus datos personales y si pudiese estar sujeto a la normativa de privacidad europea aunque su motor de búsqueda fuese el de una empresa con sede en California.

La cuestión es que hoy se ha conocido el Dictamen Preliminar del Abogado General del TJUE, en el que de manera resumida señala que Google está sujeta a la legislación de la UE sobre privacidad pero no está obligado a borrar la información sensible de su índice de búsqueda. De esta forma, da la razón al buscador (con matices, que ahora analizaremos).

La sentencia definitiva se publicará en pocos meses y aunque el dictamen preliminar no tiene carácter vinculante, se puede decir que casi, ya que los jueces aplican estas «recomendaciones» en la mayoría de los casos.

Según hemos podido leer y aunque a Google no le guste,  le es de aplicación la normativa europea en materia de protección de datos, ya que sus filiales son nexos establecidos en la UE, cuyo fin se indica que es promover y vender espacios publicitarios en su motor de búsqueda, aunque el tratamiento de datos se realice en otro lugar.

No obstante no se le considera responsable del Tratamiento ya que no es “consciente” ni tiene ningún control sobre los datos personales incluidos en las páginas web de terceros, aunque deberá respetar los códigos de exclusión (pudiendo ser obligado a ello).

A la vista de las conclusiones presentadas hoy por el Abogado General del TJUE, si pensábamos que al amparo de la AEPD podíamos encontrar  auxilio en cuestión del derecho al olvido, me temo que estas conclusiones, cuando menos en el ámbito de los medios de comunicación, establece que el derecho a la protección de la vida privada debe convivir con otros derechos fundamentales, como la libertad de expresión e información y no suponer una censura del contenido publicado realizada de manera particular. En definitiva que serán las fuentes del origen de la información los responsables.

Veremos cuando se planteen nuevos casos de manera “no generalizada”, aunque se supone que hasta que no se pronuncie finalmente el TJUE no habrá nuevos casos.

Si volvemos al documento sobre las conclusiones, vemos que además se indica que “todas estas cuestiones, que abordan además importantes aspectos de la protección de los derechos fundamentales, no han sido tratadas hasta ahora por el Tribunal de Justicia” recogiendo las cuestiones anteriormente mencionadas y sus conclusiones en tres apartados:

  1. El ámbito territorial de aplicación de las normas de protección de datos de la Unión Europea. Es decir, si le es de aplicación o no a Google la normativa Europea, se concluye que se considera de manera indiscutible a las filiales de Google ubicadas en la UE como “establecimiento” en el sentido del artículo 4, apartado 1, letra a), en un Estado miembro, con el fin de promover y vender espacios publicitarios en su motor de búsqueda, una oficina o una filial que orienta su actividad hacia los habitantes de dicho Estado.
  2. La posición jurídica de un proveedor de servicios de motor de búsqueda en Internet a la luz de la Directiva, particularmente en términos de su ámbito de aplicación, es decir, la responsabilidad del buscador en el tratamiento de datos. No entiende que el buscador sea responsable del tratamiento pero sí que sus operaciones implican claramente un tratamiento de datos personales, señalando que ”Un proveedor de servicios de motor de búsqueda en Internet no es el «responsable del tratamiento» de datos personales en páginas web fuente de terceros”.
  3. La tercera cuestión referente al llamado derecho al olvido y a si los interesados pueden solicitar que algunos o todos los resultados de búsqueda que les conciernen no estén disponibles a través del motor de búsqueda, es decir, si se puede invocar al derecho generalizado al olvido sobre la base de la Directiva, se remarca que la Directiva no establece ningún «derecho al olvido» generalizado. Los derechos de oposición, supresión y cancelación de datos, de la Directiva no se extienden a un derecho al olvido como el descrito en el auto de remisión, que recordemos señalaba que “el interesado pueda dirigirse frente a los buscadores para impedir la indexación de la información referida a su persona, publicada en páginas web de terceros, amparándose en su voluntad de que la misma no sea conocida por los internautas cuando considere que puede perjudicarle o desea que sea olvidada, aunque se trate de una información publicada lícitamente por terceros”.

Estas conclusiones, aunque habrá que ver la sentencia definitiva, llegan en un momento en el que se está debatiendo el borrador del nuevo reglamento europeo, que como ya hemos contado hace unos días, parece que se estanca y veremos si ve la luz antes del final de la presente legislatura europea, no obstante y sin poder valorar como quede o contemple el derecho al olvido, ya empezamos a vislumbrar los papeles que los “actores intervinientes” van a jugar cuando menos desde el punto de vista Judicial.

Por último, indicar que ayer por la tarde la AEPD publicó una breve nota en la que recuerda que hay que esperar a que concluyan las deliberaciones de los jueces, que no es la sentencia del Tribunal, señalando que “la actuación de la AEPD ha sido y será siempre sumamente respetuosa con los ámbitos protegidos por los derechos de libertad de expresión y de información” y que “ en ningún caso se requiere la modificación o alteración de las fuentes originales, sino únicamente que se ponga fin a su difusión general a través de los buscadores”.

Esperaremos pacientemente la resolución definitiva, atentos a ver qué sucede con el reglamento, mientras tanto y en nuestra modesta opinión: “olvídense del olvido…. generalizado”.

II Congreso Nacional de Privacidad ¿Estamos ante un periodo de “Sede Vacante”?

/0 Comentarios/en /por

II_Congreso_Privacidad_APEP_2013Los pasados días 13 y 14 de junio de 2013, ha tenido lugar el II Congreso Nacional de Privacidad organizado por la Asociación Profesional Española de Privacidad (APEP).

En un marco idóneo para su celebración (Campus BBVA), nos reunimos gran parte de los asociados de APEP, junto a un buen número de profesionales, empresas y personalidades del ámbito de la privacidad, tanto nacional como internacional.

En esta ocasión, el congreso centró gran parte de su programa en el futuro Reglamento de Protección de Datos de la Unión Europea, en cómo afectará su aprobación (si es que se aprueba) y en general sobre el futuro del tratamiento de datos de carácter personal desde distintas perspectivas:

  • La privacidad Europea frente al otro lado del atlántico.
  • Menores de edad.
  • Los futuros DPO
  • Privacy by design, Privacy impact assessment
  • Gestión de Incidencias de Seguridad.

Quizás el mensaje que más resume el congreso sea que, toma cada vez más consistencia el rumor sobre que el futuro Reglamento de Protección de Datos de la Unión Europea siga siendo “futuro”, pues amén de las 3.000 enmiendas, de lo cercano del fin de la legislatura, de la existencia de desacuerdos importantes y los habituales grupos de presión, habrá otras cuestiones ocultas, que a los “mundanos” se nos escapan, pero que por distintos comentarios de personas/personalidades destacadas en el congreso hacen pensar que esas cuestiones existen y que deben tener un buen peso para que por el momento no sea aprobado.

En todo caso desde mi opinión, la esencia del congreso se ha visto bien respaldada en sus ponencias y por sus ponentes, en los debates generados, en el intercambio de opiniones, de pensamiento, dejando de lado si habrá “fumata blanca” o continuaremos en “sede vacante” y centrándose en los aspectos vinculados a la protección de datos de carácter personal.

Nuestro resumen no se centra en analizar cada una de las ponencias, gira en torno a una serie de palabras, términos o frases que a lo largo de las dos jornadas se han ido repitiendo, no de manera machacona, pero sí en la mayoría de los debates con independencia del tema tratado, a saber:

  • COMPETITIVIDAD.- Leyes-Privacidad-Empresas-Sectores: Global-local
  • Innovación y Big Data: brechas de seguridad
  • Accountability: reputación-diligencia; transparencia y confianza.
  • Redefinición del término “Dato de carácter personal”. Derecho fundamental pero no garantizado.
  • Seguridad frente a Privacidad: 11S y ahora PRISM
  • La armonización gana peso frente a la unificación: la ventanilla única.
  • DPO.- ¿Como gestionar su independencia?

Seguro que estamos de acuerdo en que éstas cuestiones son las que marcan el devenir de la privacidad a nivel global y en que el termino COMPETITIVIDAD cobra un papel predominante.

De cómo quede configurado el futuro reglamento y de su aplicación dependerá que sigamos hablando de un mundo global gestionado de manera global o marcada por la Seguridad Jurídica de aplicación.

Desde la caída de la Torres Gemelas, el debate Seguridad-Privacidad se aviva o se apaga en función de los acontecimientos y quizás los más recientes hagan que el rumbo del futuro reglamento se vea alterado, o no. Mientras, nosotros continuaremos bajo nuestra LOPD y la Directiva vigente aunque los que quieran cumplirla y hacer negocios más allá de la UE lo seguirán teniendo algo más difícil que otros.

En definitiva, creo que el Congreso ha sido un éxito en todos los aspectos, alcanzando el fin y objetivos propuestos, como ha demostrado el gran interés por debatir e intercambiar opiniones en torno a nuestra profesión, transmitiendo además un nivel organizativo, de «saber hacer» y de imagen fabuloso.

No obstante sería bueno que el congreso tuviese continuidad en un marco cuyo alcance no sea meramente el enfocado normativamente a la problemática de aplicación global en términos de privacidad, es decir, sería deseable una continuidad con un enfoque local-nacional de aplicación para los grandes profesionales que hemos conocido y tratado en estos días y que conforman nuestra Asociación.

Todo ello en aras de buscar respuestas y una mejor aplicación de la normativa a la realidad de nuestros clientes, que en la mayoría de los casos, no se enmarca ni gira en torno a esas palabras, términos o frases que antes significábamos y que a modo de resumen decíamos que a lo largo de las dos jornadas se han ido repitiendo.

Confiando en que así sea, gracias y enhorabuena a todas las personas que han participado en el evento y en especial a los implicados en la organización del mismo.

 

Grabaciones de imágenes desde un coche, algo más que una moda, pero… ¿es legal?

/2 Comentarios/en /por
Imagen de Jabo en Flick.com

Imagen de Jabo en Flick.com

Que existan numerosas imágenes de la caída del meteorito en los Urales rusos ha sido en parte, gracias a que muchos de sus ciudadanos optaron por instalar una cámara en su coche, con distintos fines.

En general muchos lo hacen para defenderse de la corrupción policial y de la picaresca de los estafadores a las aseguradoras, unos como prueba judicial, otros como medida disuasoria o simplemente para compartir imágenes impactantes en internet con las que hacerse notar.

Recientemente hemos leído algunos artículos en los que se planteaba si ésta cuestión en España sería legal o no y también hemos recibido una consulta específica al respecto, por ello hemos decidido aportar nuestra visión.

Aunque alguna mención será necesaria, dejemos claro que como de costumbre no pretendemos hacer un repaso ni acopio de menciones normativas con sus correspondientes Leyes, Reglamentos, etc. y menos desde el punto de vista de la Seguridad Vial o de Tráfico.

Haremos un enfoque normativo sobre si esas cámaras pueden grabar imágenes según establece nuestra LOPD y demás reglamentos o instrucciones como la «Videovogilancia«.

No obstante, lo primero que debemos recordar es que hay múltiples casos en los que la Agencia Española de Protección de Datos (AEPD) ha impuesto sanciones por grabaciones indebidas y que en España hay distintas leyes que regulan aspectos vinculados a una grabación, como los que tienen fines de investigación policial o de prevención de un delito (LO 4 de 1997 de 4 de agosto, regula la utilización de videocámaras por las fuerzas y cuerpos de seguridad en lugares públicos) o la ley que regula la grabación de imágenes con fines de seguridad privada (Ley 23/92 de 30 de julio, de Seguridad Privada).Puesto que no estamos hablando de un caso que se enmarque en el ámbito de grabación con fines de investigación policial o de prevención de delitos ni de la grabación de imágenes con fines de seguridad privada, nos centraremos en la normativa que sí se aplica al caso.

Por tanto, para el tema que nos ocupa, debemos considerar la INSTRUCCIÓN 1/2006, de 8 de noviembre, de la AEPD, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (más conocida como Videovigilancia), que establece, entre otras cuestiones que:

  • “La seguridad y la vigilancia, elementos presentes en la sociedad actual, no son incompatibles con el derecho fundamental a la protección de la imagen como dato personal, lo que en consecuencia exige respetar la normativa existente en materia de protección de datos, para de esta manera mantener la confianza de la ciudadanía en el sistema democrático”.
  • “Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas.”

Es decir, hablamos de un derecho fundamental que debemos respetar, constatando que las imágenes se consideran un dato de carácter personal, en virtud de lo establecido por la LOPD, que considera como dato de carácter personal la información gráfica o fotográfica, quedando excluidas el tratamiento de imágenes en el ámbito personal y doméstico (el realizado por una persona física en el marco de una actividad exclusivamente privada o familiar).

Existen otros ámbitos en los que la grabación de imágenes pueden estar justificados y serán lícitos, como el periodista que asiste y graba un evento que tiene un claro valor informativo, en el que puedan verse imágenes de los asistentes. Dicha grabación y publicación será lícita siempre que no se invada un espacio de privacidad o cuando la información prevalezca sobre la privacidad. En cambio habrá otros en los que se enmarcan en una esfera o ámbito privado pero al que asisten personas que se escapan de nuestro ámbito privado estricto, como la función de fin de curso de un hijo o una competición. En estos casos, de los que conviene hacer un post sobre ello, habrá que ir con pies de plomo.

Volviendo a nuestras cámaras en el coche, es evidente que las nuevas tecnologías son cada vez más útiles y accesibles, en este caso para ubicarlas en un coche, por tamaño y precio hasta hace poco instalar una cámara era impensable, siendo también evidente que el uso de estas nuevas tecnologías puede generar nuevos problemas relacionados con la privacidad.

Recordemos que se considera identificable a una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la Instrucción sobre videocámaras y cámaras, sin requerir plazos o actividades desproporcionados, vamos que si alguno sigue con alguna duda, que tenga muy claro, que la  imagen personal se considera dato de carácter personal, al igual que las matrículas de los vehículos (aunque sobre esta cuestión existen ciertas contradicciones).

Estas cámaras enfocarán y grabarán imágenes de la vía pública, por la que circulamos las personas y los coches y por tanto pueden grabar nuestra imagen o las matrículas de coches a discreción y por ser un dato de carácter personal, los titulares de las cámaras tendrían que cumplir con la normativa en la materia, pero además, como estamos hablando de unas imágenes que serán tomadas de la vía pública, éstas únicamente podrán ser grabadas por las Fuerzas y Cuerpos de Seguridad.

En definitiva ya no hablamos, porque ya ni procede, de esos aspectos normativos a los que los titulares de las cámaras estarían sujetos, como el consentimiento o el deber de informar al interesado (carteles informativos) o que las imágenes que se capten sean las necesarias y no excesivas para la finalidad perseguida, etc.

No obstante, seguro que alguno estará pensado en Google y su última campaña de Street View, por ello conviene recordar el “contencioso” AEPD-Google, en el que la AEPD concluyó en su investigación que Google se compromete a anonimizar las imágenes de personas y matrículas de vehículos antes de publicarlas, es decir, a difuminar de manera permanente e irreversible, los rostros y matrículas para que no puedan ser reconocidos y a mantener un mecanismo ágil para que los interesados puedan obtener la corrección de cualquier error (nota de prensa completa).

En resumen salvo que la normativa cambie, a día de hoy, no es posible que los particulares instalemos está cámaras en nuestros vehículos, sea cual sea el motivo (notoriedad o nuestra defensa) ya que desde el punto de vista de la LOPD no está permitido.

Ahora sólo nos queda escuchar sus opiniones o que nos planteen las dudas que puedan albergar.

Ley de “Murphy” y privacidad online

/0 Comentarios/en /por

 

Ley de “Murphy” y privacidad online - Eurovima Consulting S.L.

Creo que todos estamos de acuerdo en que parte de la información sobre nosotros, quiénes y cómo somos, nuestros gustos, aficiones, hábitos, etc… que está divulgada en Internet la ha publicado uno mismo. En ocasiones compartimos intimidades solo por el simple hecho de comunicarnos, de que sepan que hemos sido padres, tíos, abuelos o que estamos de vacaciones en tal país o tomando una copa en un local nuevo, en una boda o de visita cultural o que la gente sepa que nos gusta una página web, que en función de su contenido puede revelar datos más comprometedores o sensibles sobre nosotros.

Podemos decir que esa información la hemos compartido de manera directa, pero también hay información que otros pueden deducir de nuestra actividad digamos “indirecta” en la Red o cuando menos no pública, como la que proporcionan las aplicaciones que nos hemos descargado en el móvil, las páginas visitadas o las compras realizadas.

Con todo ello, a las empresas con servicios online les resulta relativamente sencillo recabar nuestros datos, cruzarlos y analizarlos para ampliar sus opciones de venta ofreciéndonos publicidad/productos de manera personalizada. ¿Cuántas veces hemos consultado vuelos y posteriormente nos aparecen anuncios ofreciéndonos ofertas para esos destinos?.

También existe otra vía, cada vez más extendida y es la información que otros dan de nosotros en la red y que de entrada no podemos controlar y en ocasiones ni siquiera llegamos a saber que existe, pero existe y como ya sabemos que existe una “Ley de Murphy” será usada y con malas intenciones.

Por todo ello y por lo que vendrá, creo que estaremos muy de acuerdo en que la privacidad en Internet no existe, es difícil de administrar, pero cuando menos sí que podemos decidir libremente qué información queremos trasmitir de manera directa, a quién se la damos y los medios que usamos. Todo ello sí está en nuestras manos.

Pero si todo esto lo hacemos los mayores/adultos, que podemos esperar de los adolescentes y jóvenes, que en realidad no son conscientes de las consecuencias de los datos que revelan en la Red.

Las redes sociales tratan de protegerles en cierta medida, prohibiendo su registro a los menores de 14 años (edad mínima legal), pero entenderemos que no es fácil que exista un sistema de identificación sólido que gestione el acceso por la edad, sobre todo cuando son sus propios padres los que les permiten registrarse.

Bueno, en todo caso, conviene repasar algunos de las cuestiones que debemos tener presentes para proteger nuestra privacidad online:

  1. Lee el aviso legal y las políticas de privacidad, prestando especial atención a la identidad del responsable, a la finalidad con la que se recaban todos tus datos y a que puedas ejercitar tus derechos ARCO (de acceso, rectificación, cancelación y oposición de tus datos).
  2. Instala un antivirus en tu equipo/dispositivo, accede al mismo y a sus registros con contraseñas robustas y cámbialas cada cierto tiempo o si detectas algo sospechoso, toda ayuda es poca. Si usas red WIFI protégela.
  3. Los archivos temporales y las cookies que se guardan en nuestros equipos dicen mucho de nuestra actividad en la Red, bórrelos periódicamente.
  4. Antes de aceptar la invitación de un tercero y agregarlo como contacto, piénsalo dos veces.
  5. No publiques datos de terceras personas sin su consentimiento.
  6. Piensa si de verdad necesitas publicar tu ubicación, gustos, fotos, etc. y por ende la de otros.
  7. Nuestras aficiones y gustos pueden decir mucho de nosotros, cuida de tu reputación online, de la información publicada hoy puedes arrepentirte mañana. Recuerda la “Ley de Murphy”.
  8. Si eres menor de edad seguramente no estarás leyendo este post, pero confiamos en que un adulto te lo cuente.

Resumen 5ª Sesión Anual Abierta de la AEPD

/0 Comentarios/en /por

Esta mañana de viernes 26 de abril de 2013, ha tenido lugar en el marco incomparable del Teatro Real de Madrid, la 5ª Sesión Anual Abierta de la AEPD, cuyo aforo estaba completo a los pocos días de anunciarse su convocatoria.

Como cada año, acudimos con las ganas de escuchar por boca de la propia AEPD que cuestiones relevantes nos deparará nuestra querida protección de datos, esperando encontrar algunas respuestas a las cuestiones que los súbditos hemos planteado, los pequeños comentarios sobre sentencias, resoluciones e informes destacados y su visión respecto a las cuestiones que a día de hoy se encuentran pendientes de concretar dentro del marco regulador.

Particularmente creo que este año ha sido el más interesante, sobre todo por conocer y admitir abiertamente, por parte del Director de la AEPD, D. José Luís Rodríguez Álvarez, cuestiones como:

  • Que hay una voluntad política para que antes de que finalice la presente legislatura europea se apruebe el Reglamento Europeo sobre Protección de Datos.
  • Que existen aspectos puestos en duda como el modelo de ventanilla única que según el Director de la AEPD es un retroceso en las garantías para los ciudadanos que estarán obligados a dirigirse a la autoridad del Estado que corresponda para ejercitar sus derechos.
  • La importancia en hacer compatible la privacidad con el desarrollo tecnológico, en un marco de confianza en el que la protección de datos no sea un obstáculo, más bien la condición necesaria para generar confianza en el desarrollo de la actividad económica digital.

D. Jesús Rubí, presentó dos guías con directrices sobre el Cloud Computing, enfocadas tanto a los clientes que contraten servicios en la nube, como a los proveedores que los prestan, incidiendo en aspectos como la «diligencia» en la elección del prestador del servicio, en las responsabilidades de ambos, la localización, la subcontratación o la portabilidad de los datos.

También se dio un avance de una tercera guía sobre cookies, con orientaciones que han de adaptarse caso a caso o negocio a negocio. En este sentido, como en la mayoría, creo que las orientaciones vendrán de la mano de las sanciones, que por cierto dicen que ya han empezado a producirse inspecciones, recordando que la normativa tiene ya un año de vida, aunque “aparente menos edad” o pensásemos que se encontraba en estado de gestación, dada su escasa aplicación.

Sobre las cookies, se aboga por la información esencial visible desde el primer momento para garantizar el consentimiento informado y su comprensión (sencillez) y también por «capas», destacado que se aceptarán formulas como: “si sigue Usted navegando esta consintiendo…” o “arrastrando su cursor, consiente…” y que las cookies analíticas no están exentas del deber de información. En todo caso, ya veremos como se van implementando.

Posteriormente se realizó la entrega de premios anuales, dando paso al “análisis” de sentencias, informes y resoluciones más relevantes, tanto del Tribunal Supremo como de la Audiencia Nacional, destacando el incremento de denuncias por Suplantación de la identidad (sobre todo sector energía y agua) incidiendo en que es imputable tanto al comercial como al responsable, infracciones derivadas de imágenes colgadas en redes sociales sin consentimiento, del ejercicio de tutela del derecho al olvido siempre enfrentado a la libertad de información, del interés legítimo, etc.

En las últimas intervenciones, se habló de un nuevo modelo de transferencia internacional de datos en base a nuevos criterios que pretende mejorar la posición de los encargados de tratamiento de la UE frente a terceros y de los avances y desarrollos internacionales.

Por último, se expusieron unas 15-20 consultas de las planteadas previamente por los asistentes, esperando poderlas analizar en detalle una vez se encuentren publicadas en la web de la Agencia, cerrando la sesión las preguntas formuladas directamente por los asistentes.

En definitiva, con algo más de calma, iremos desgranando lo acontecido en próximos post, mientras, sean DILIGENTES y respeten y cuiden su PRIVACIDAD (y las de los demás).

Ricard Martínez, presidente APEP en La2; La Red, Privacidad y Menores

/2 Comentarios/en /por

Desde EUROVIMA y en colaboración con APEP, queremos dejaros este vídeo en el que se tratan temas muy interesantes desde el punto de vista de la Privacidad e Internet,  desde ¿Qué seguridad nos ofrece la red y hasta qué punto? a ¿Cómo podemos proteger nuestra intimidad? y sobre todo la de los menores.

En un momento en el que el número de internautas crece y crece y el auge de las redes sociales es tal que se ha instalado como un nuevo canal de comunicación que para muchos sustituye a los convencionales, hemos de pensar en las personas más vulnerables (los menores) y en la manera que la red tiene acceso a todo tipo de datos personales.

Los jóvenes hablan en la Red de sus gustos, sus aficiones, publican imágenes y en definitiva cualquier información en ocasiones sin pudor, que a posteriori no les gustará que en ella se encuentre, pero probablemente ellos mismos la habrán volcado en algún momento. Y allí estará ese buscador para devolvérnosla, que aunque fuera de contexto, estará accesible a cualquiera.

En todo caso, hay que recordar que la seguridad y la privacidad no deben ser incompatibles y eso en una Red Social se puede limitar cuando menos acotando a quienes queremos dar acceso o no, es decir, soy libre de renunciar a «mi intimidad».

Por tanto, debemos educar y darles criterios para que sepan que hay peligros y para que sean capaces de percibir el valor que la red también aporta. No podemos dejarles que los descubran por sí solos, pues igual que no les dejamos hacer determinadas cosas solos, tampoco lo haremos en la Red.

Por último, recordemos que la Red y los buscadores no deben limitar la libertad de expresión, que al igual que la privacidad es también un derecho, pero también hay que ser responsable sobre lo que se dice.

La educación es fundamental, cuando menos si viene acompañada de información. El resto es un camino en el que el aprendizaje se hace caminando.

El TJUE y el Derecho al olvido. «Olvídense del olvido»

/0 Comentarios/en /por

Como se indicaba en la sección «news» el día 26-02-2013, el Tribunal de Justicia de la Unión Europea (TJUE) analizó el ejercicio de derechos de oposición y cancelación de datos personales de ciudadanos frente a buscadores en Internet, y en concreto al buscador de Google, el conocido como “El Derecho al Olvido.”

Pues bien, según informaciones publicadas hoy en diarios como el mundo o el país, la Sala analizó entre otros, el caso de un particular que (después de varias demandas de Google contra sanciones de la AEPD) al teclear su nombre en el citado buscador, se encontraba con un enlace a un anuncio de un diario nacional, en el que aparecía la subasta de un inmueble suyo por impago a la Seguridad Social. Pese a que el asunto ya se había resuelto, el anuncio aun era accesible.

El ciudadano recibió el amparo de la AEPD, le dio la razón parcialmente y requirió a Google Spain S.L. y Google Inc. que retiraran los datos del anunciante de su índice, aunque no pidió al periódico ‘La Vanguardia’ que retirase la información dado que su publicación tenía justificación legal.

Como cuestiones principales destacar que Google manifiesta que la responsabilidad es de quien publica, que ellos buscan e indexan y que además será más sencillo que lo elimine quien lo ha publicado y que en todo caso ellos tiene su sede en California (no le aplicaría la LOPD).

Lo que la acusación entiende es que Google realiza un tratamiento de datos, aunque con una finalidad diferente al del editor, pero puesto que su negocio deriva en la publicidad, para ello gestiona, almacena y trata la información con dicha finalidad y lo hace sobre las cookies de los terminales de usuarios ubicados en España.

Por ende, se entiende que Google se encuentra sometido a la normativa europea y española de protección de datos, que, tal y como recordó la propia Comisión Europea y la AEPD en la audiencia, la directiva no exige que los medios usados por la compañía sean propios sino que pueden ser de terceros, y la actividad de la filial de Google en España se aprovecha de medios españoles, concretamente en su actividad publicitaria en la Red.

En definitiva, veremos qué se resuelve y cómo. Las cuestiones claves serán delimitar el alcance de la responsabilidad de Google frente a los derechos de los ciudadanos sobre la publicación/indexación de sus datos personales y si puede estar sujeto a la normativa de privacidad europea aunque su motor de búsqueda sea de una empresa con sede en California.

La cuestión es si su resolución llegará a tiempo, por ejemplo antes de que se publique la nueva normativa, el Reglamento general de protección de datos de la Unión Europea y como se regulará ese derecho al olvido y que papel han de cumplir cada uno de los actores intervinientes.

Aunque en Junio podemos tener una primera conclusión, hasta pasados 6-9 meses no se espera la definitiva, mientras tanto y en nuestra modesta opinión; «olvídense del olvido».

 

Motivos para adecuarnos a la Ley de Protección de datos y LSSI; ¿Elige el tuyo? - Eurovima Consulting

Motivos para adecuarnos a la LOPD y LSSI; ¡elige el tuyo!

/0 Comentarios/en /por

Motivos para adecuarnos a la Ley de Protección de datos y LSSI; ¿Elige el tuyo? - Eurovima Consulting

Veamos: ¿A quién afecta?  y  ¿Por qué es importante?

Primero hagámonos ésta pregunta, ¿a qué empresas/organizaciones/ profesionales afecta?

A TODAS; empresas, profesionales y también a entidades que tengan o no ánimo de lucro; fundaciones, asociaciones, comunidades de vecinos, etc.

De tal manera que las que tengan empleados/clientes/asociados/etc. estarán afectas por la Ley de Protección de Datos de Carácter Personal (LOPD) y las que actúen por Internet –aunque sólo tengan una página informativa-, por la LSSI.

En segundo lugar, veamos y busquemos motivos, legales o no, para adecuarnos; ¿por qué es importante? Entre otros motivos podemos señalar:

  • Ser un requerimiento legal, desde hace ya muchos, muchos, muchos años.
  • Se trata de uno de los derechos fundamentales reconocidos por la Constitución: “garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”.
  • Su aplicación compete a toda la Organización (dirección, empleados, comerciales, etc).
  • Su incumplimiento puede originar sanciones y problemas de imagen y confianza.
  • Permite implementar y revisar las medidas técnicas y organizativas que garantizan la confidencialidad, integridad, disponibilidad y un correcto tratamiento de la información que nuestros Clientes/Usuarios/Asociados/Miembros/Colaboradores nos han confiado.
  • Debemos garantizar la continuidad de nuestro negocio. Invertir en seguridad supone ganar en rapidez y eficacia, adquiriendo un compromiso con la calidad y ética empresarial.
  • Ofrecer al cliente de Internet la misma imagen, seguridad, garantías y confianza que tienen de nuestra empresa de manera presencial.
  • Los servicios, comunicaciones en Internet, Redes Sociales, etc. se han convertido en canales de comunicación y marketing importantes para las empresas, grandes y pequeñas; donde ofrecer servicios, productos, imagen y filosofía, sin limitaciones geográficas y a una multitud de visitantes.
  • Recordemos que no estamos ante un proceso estático ya que es necesario que se encuentre actualizado siendo necesario establecerlo como un proceso de mejora continua.

¿A qué estamos obligados? Entre otras cuestiones a:

  • Declarar que datos tratamos, su finalidad, usos, cesiones, etc. y que los medios usados (captación, tratamiento y difusión) en el tratamiento de datos de carácter personal, sean adecuados y que los datos sean proporcionales a su finalidad, veraces y obtenidos legítimamente
  • Mantener actualizadas las medidas seguridad y procedimientos que garanticen el cumplimiento de los requerimientos legales de la información con datos de carácter personal que gestionamos.
  • Revisar o formalizar los contratos, con aquellos que nos prestan un servicio con acceso o tratamiento de nuestros datos (asesorías, mantenimiento informático, etc.).
  • Informar/implicar a los intervinientes (empleados, colaboradores, empresas externas), y facilitar y garantizar derechos de oposición, acceso, rectificación y cancelación a los clientes.
  • A la adaptación de nuestra página web, desde el punto de vista LOPD como LSSICE (Boletín de Novedades o Newsletter, registros de usuarios, Ventas, etc.).

Busca tu motivo para cumplir con la protección de datos y la LSSI

Habitualmente nos encontramos que muchos de estos aspectos las empresas los cumplen simplemente por el interés de salvaguardar su propio negocio y la información que lo sustenta.

Puede que también tengan implementadas medidas técnicas y organizativas que garantizan la seguridad, confidencialidad y un correcto tratamiento de la información que gestionan aun cuando no se encuentran gestionados, documentados o controlados tal y como establece la normativa.

Por todo lo dicho, busca tu motivo para cumplir con la protección de datos y la LSSI y llámanos, te informaremos en detalle.

Redes Sociales II; Riesgos y aspectos a tener en cuenta por las empresas

/4 Comentarios/en /por

Hace poco más de un mes, os prometimos un segundo post en el que hablásemos de cómo Internet genera por sí misma, situaciones de riesgo, desde el punto de vista de la seguridad y privacidad, que provocan un impacto reputacional y económico para la organización y de cómo los llamados community manager, nos pueden ayudar o no.

Pensemos que la «finalidad», el sentido o lo que perseguimos estando en una Red Social y lo que pensamos hacer en la misma, serán cuestiones que marcarán nuestra exposición al riesgo y un posible impacto reputacional.

Podemos definir la identidad online de la empresa como el conjunto de información que aparece en Internet sobre la misma: datos, imágenes, registros, comentarios, etc. Información que engloba los comentarios y opiniones que los demás vierten en la red, vengan o no, a partir de aquellos contenidos que activamente genera la organización.

Pero antes, analicemos algunos estudios como el documento publicado por Panda Security: “Índice Anual de riesgo de las Redes Sociales para PYMES” (acceso al artículo completo) cuyo objetivo de la encuesta es descubrir las preocupaciones que tienen las PYMEs sobre el uso de las redes sociales y presentar la relación entre la incidencia actual del malware (software malicioso, hostil, intrusivo o molesto) y las pérdidas económicas. El estudio se realizó en base a una encuesta realizada a 315 empresas americanas, de entre 15 y 1.000 empleados y las conclusiones principales fueron:

  1. Casi un tercio de las PYMEs se han infectado con malware a través de redes sociales
  2. El 35% de las empresas infectadas han sufrido pérdidas económicas, y de éstas, más de un tercio reporta unos 5.000$ de pérdidas
  3. Facebook es la fuente principal de infecciones así como de violaciones de privacidad de los empleados
  4. Más de la mitad de las PYMES han adoptado una política de uso de las redes sociales

Otro ejemplo, nos llega desde la Fundación Banesto que en octubre de 2011 publicó el “Observatorio sobre el uso de las redes sociales en las PYMEs españolas” (acceso al artículo completo), que a modo de resumen enumera 15 puntos clave, de los que destacamos aspectos como:

  1. El 50% de las PYMEs en España usan redes sociales para desarrollarse profesionalmente.
  2. Del 50,2% de las PYMEs españolas que aún no utilizan plataformas sociales, el 60% tiene intención de hacerlo en el futuro.
  3. La mayoría de estas empresas se concentran en el sector servicios.
  4. Facebook es la red más utilizada, con un 38,7%.
  5. Los 3 objetivos principales por los que las PYMEs entran en redes sociales son: promocionar el producto; mejorar las vías de difusión y comunicación con clientes; y, en menor medida, ganar conocimiento de mercado.
  6. Un 82% de compañías piensan que es un canal en ascenso claro, solo un 2% auguran un descenso.
  7. El 90% de las empresas que piensan entrar en redes empezará por Facebook

Por tanto, si las pymes españolas están interesadas en las redes sociales y, ese interés va en aumento, y como hemos visto, las redes sociales tienen una incidencia directa en la infección por malware y en las pérdidas económicas que produce, será cuestión de preocuparnos por nuestra identidad digital y nuestra reputación online, y por establecer estrategias que permitan a las organizaciones alcanzar una determinada posición en los medios sociales y comunicarse mejor con sus clientes, proveedores, seguidores y público en general, minimizando los riesgos y los costes derivados de los mismos.

Estas estrategias hoy en día están en manos o son dirigidas por los Community Manager que no sólo deben aportar sus conocimientos técnicos y de marketing, sino que también conviene que tengan en cuenta los aspectos legales (LOPD-LSSI) que afectan a su actividad en relación con el medio en el que se desenvuelven, ya que hablamos de obtener la información que la audiencia social transmite y aplicarla en nuestra marca, servicios, productos, clientes y seguidores.

Cuando menos, la empresa deberá estar alerta para que su labor de comunicación no tenga efectos dañinos desde el punto de vista de reputación social para la empresa que le paga, pero también de los aspectos legales en los que pueda incurrir.

Pensemos a quién le damos el poder de expresarse de la manera que quiera, en nuestro nombre, o de cómo actuará cuando surja algún conflicto, ya que sabemos que hay meteduras de pata tontas que cuestan más que dinero.

El CM tiene que saber estar, mantenerse en el papel de la empresa, no será una simple persona que “chatea”, será la imagen y voz de la empresa, con comunicación bilateral y por tanto deberá escuchar, recabar y obtener la información que la audiencia social le transmite y aplicarla en nuestro beneficio.

Redes Sociales I; Aspectos Normativos

/2 Comentarios/en /por

Redes-LOPDSabiendo que nos adentramos en temas de profundo calado o amplio espectro, o más bien de constante evolución, hemos considerado que vamos a abordar este tema por capítulos, aunque de momento no tengamos claro cuántos vamos a necesitar para comentarlo.

Podríamos enfocar el tema desde el punto de vista de las Redes Sociales más reconocidas, pero lo cierto es que el medio no tiene por qué ser determinante (o no es determinante).

Lo importante y que realmente tiene implicación para escribir este post, es la «finalidad», el sentido o lo que perseguimos estando en una Red Social y qué pensamos hacer en la misma. Cuestiones que marcan aspectos en los que las LEYES, como la LOPD y/o la LSSI, van a estar presentes.

En este primer post, hablaremos del uso de los datos que hacen las empresas, de la finalidad (comercial o doméstica) para la que crean sus perfiles en redes sociales, para valorar sí estarán sometidas a la Normativa vigente y cómo.

Partiremos de la máxima de que todo Usuario personal o individual que se registra en una Red Social recibe y recopila información personal de los contactos que establece, pero lo hace en un entorno “doméstico”, que la LOPD establece como excepción, por tanto no sujeta a la LOPD. Pero cuando una empresa crea sus perfiles en redes sociales sí está sometida a su regulación, ya que su entorno no lo podemos calificar como “doméstico”, en su actividad interactúan personas jurídicas y/o físicas y a estas últimas le es de aplicación la LOPD.

Además hay que considerar el medio, es decir, que una Red Social se desarrolla en un medio que es un Servicio de la Sociedad  de la Información. Por ello a las empresas que tienen presencia en una Red Social les será de aplicación la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico o LSSICE. No obstante, en función de las acciones que emprenda esta afección será mayor o menor, entrando en juego un nuevo factor que llamaremos “riesgo”.

Este factor está marcado por la visibilidad que la empresa desea alcanzar y que irá acompañada de un riesgo mayor, a medida que su visibilidad y acciones, normalmente comerciales, le hagan estar cada vez más presente en la Red con el objetivo de garantizar la presencia de sus productos o servicios en Internet.

En el camino nos creamos lo que se conoce como identidad digital, que indefectiblemente viene acompañada de su reputación online, es decir, la valoración que el público hace de la Empresa en la Red, que puede provocar y provoca un impacto reputacional. Que sea negativo o no, dependerá de factores internos y externos . Estos últimos la propia Empresa no puede, y en ocasiones no sabe, controlar.

[pullquote]Pero cuando una empresa crea sus perfiles en redes sociales sí está sometida a su regulación, ya que su entorno no lo podemos calificar como “doméstico”, en su actividad interactúan personas jurídicas y/o físicas y a estas últimas le es de aplicación la LOPD.[/pullquote]

Las organizaciones difunden su imagen en Internet mediante su web corporativa, blogs empresariales, perfiles o en redes sociales y son los usuarios y clientes los que generan opinión sobre ellas, aunque  ni siquiera es necesario que la organización esté en Internet para que existan y se generen todo tipo de opiniones sobre ella.

Por tanto lo primero de lo que ha de ocuparse la Organización es de garantizar y hacer ver a sus potenciales clientes que cumple con las garantías legales establecidas, de tal manera que clientes, usuarios o seguidores, perciban las mismas garantías que si entrasen en contacto de manera presencial con nuestros productos o servicios.

En un próximo post hablaremos de cómo Internet genera por sí misma, situaciones de riesgo desde el punto de vista de la seguridad y privacidad que provocan un impacto reputacional y económico para la organización o de cómo las figuras emergentes, los llamados community manager, nos pueden ayudar o no.