Entradas

Protección de datos: Resumen 7ª Sesión Anual Abierta de la AEPD, Conclusiones

Protección de datos: Resumen 7ª Sesión Anual Abierta de la AEPD, Conclusiones Ayer 21 de abril de 2015, nuevamente en el Teatro Real de Madrid, es decir, en un marco acorde con el evento, se celebró la 7ª Sesión Anual Abierta de la Agencia Española de Protección de Datos (AEPD).

Un año más con el aforo completo, cerca de 1.200 profesionales de la privacidad y la protección de datos, asistimos a la cita de la AEPD con objetivos como:

  1. Escuchar de la propia Agencia los acontecimientos más significativos en materia de protección de datos personales que se han producido en el último año y su opinión sobre dichas cuestiones, confiando en que no fuese la mera exposición de la memoria anual de la AEPD.
  2. Poder conocer alguna novedad significativa en la materia, y sobre todo del “estado” del Reglamento Europeo, quizás el objetivo más deseado cada año y a la vez el más inalcanzable.
  3. Confiar en que las preguntas expresadas por los asistentes y formuladas de manera previa al evento, sean respondidas con criterios de aplicación efectiva-real y no invocando al artículo de turno.

Lo cierto, es que un año más hemos salido un tanto defraudados con la AEPD, ya que por un lado las novedades tienen una aplicación profesional “limitada”, y por otro la exposición del Director de la Agencia ha confirmado los temores manifestados en el primer punto mencionado, es decir, se ha limitado casi a la exposición de la memoria anual de la AEPD, que ya todos conocemos, y al consabido repaso del victorioso “caso Google” y el “derecho al olvido”.

El Reglamento Europeo

La mayor decepción ha sido una vez más escuchar que el nuevo Reglamento Europeo sigue paralizado, por muchos avances por bloques o capítulos parciales que se vayan alcanzando la realidad es que en palabras del Director “nada estará aprobado hasta que todo esté aprobado”, y por eso a este paso, permítanme la broma, “todos jubilados”.

También destacar las dudas que siempre surgen por atentados como el de París. Dudas entre seguridad frente a privacidad, en base a la necesidad de realizar tratamientos masivos de datos de pasajeros, su proporcionalidad, utilidad e idoneidad, en definitiva optar por una “mejor” o “mayor” información.

Guía sobre protección de los datos personales y la reutilización de la información del sector público: la anonimización

De las pocas novedades, destacar que la AEPD está elaborando una Guía sobre protección de los datos personales y la reutilización de la información del sector público, que una vez publicada será sometido a consulta, y que incluirá orientaciones prácticas buscando favorecer la reutilización de la información del sector público pero minimizando los riesgos de reidentificación de las personas y de su información.

Para la elección de la técnica más eficaz los procesos de anonimización deberán ser evaluados teniendo presente los avances tecnológicos en el análisis de datos, el exponencial crecimiento de la información disponible y en general, su perfil dinámico. Todo ello para garantizar el carácter irreversible en base a una técnica de anonimización adecuada y de garantías que aúne coste, esfuerzo y beneficio, siempre desde el diseño, y que permita afirmar que dicha información quedará excluida de la aplicación de la LOPD.

Aspectos a destacar a efectos prácticos de aplicación profesional en materia de protección de datos

Mencionar la entrega de los premios de protección de datos, y del resto de temas a efectos prácticos de aplicación directa para la mayoría de los asistentes, resaltar:

  • El nuevo procedimiento NOTA, que en general será más funcional y versátil, permitiendo notificar varios ficheros a la vez.
  • Las dudas sobre la figura del DPO, del que parece razonable pensar que habrá un registro.
  • La consideración que la AEPD manifiesta tener sobre los profesionales de la privacidad, con los que dice colaborar y desea seguir haciéndolo, todo ello pese a la falta de recursos y medios de los que la Agencia dispone.
  • Algunas menciones de sentencias y resoluciones, al igual que las respuestas a las consultas planteadas, que habrá que ver con calma una vez expuestas en la página web de la Agencia.

NUESTRAS CONCLUSIONES:

Este evento sirve seguro para seguir poniendo de manifiesto, que hay un amplio sector profesional de la privacidad que tiene gran inquietud e interés por saber cómo aplicar los principios de la LOPD. De igual manera, poder transmitir la necesidad del cumplimiento efectivo a nuestros clientes y en general a las personas que necesitan conocer la manera de salvaguardar su privacidad.

Cuando menos, lo que señalamos el pasado año en este post resumen (6ª sesión anual AEPD) “…llegamos a la conclusión que según la AEPD el cumplimiento normativo es “gratis””, ya no parece tan evidente, una vez la Agencia ha cambiado su mensaje pasando a “no es difícil”. Este mensaje simple, nos deja bastante contentos y con ganas de continuar.

En todo caso, seguro que cualquiera de los casi 1.200 de los profesionales en materia de asesoría LOPD venidos de toda España que nos hemos citado en Madrid, os podremos ayudar, no solo haciéndolo fácil, sino también efectivo y real.

Protección de datos: Resumen y conclusiones de 6ª Sesión Anual Abierta de la AEPD

El pasado viernes 14 de marzo de 2014, en el marco incomparable del Teatro Real de Madrid, se ha celebrado la 6ª Sesión Anual Abierta de la Agencia Española de Protección de Datos (AEPD) con un aforo completo, como cada año, de unos 1.200 profesionales de la privacidad y la protección de datos.

La cita suele servir para escuchar de la propia AEPD los aspectos más relevantes que se han producido en el último año y que nos den su opinión sobre dichas cuestiones, por otra parte también esperamos que nos cuenten o adelanten alguna novedad, aunque la verdad es que hemos salido algo defraudados pues las novedades han sido escasas y lo expuesto ha sido una mera y rápida puesta en escena de la memoria que cada año publica la AEPD.

Abrió la jornada el Director de la AEPD, D. José L. Rodríguez Álvarez, de cuya intervención resaltamos:

  1. Que no se aprobará el Reglamento Europeo, cuando el año pasado el mensaje fue que “había voluntad política para que antes de que finalice la presente legislatura europea se aprobase”.
  2. Que la información personal adquiere cada vez un mayor valor económico por sí misma.
  3. El aumento en la desconfianza en el desarrollo de la actividad económica digital y la privacidad por los acontecimientos del último año solo pueden ser reparados con más garantías. El Director señaló que en principio la Agencia no tiene competencias, aunque han participado en las solicitudes de información presentada por el Grupo de trabajo del Artículo 29.
  4. Creación de una guía de evaluación de impacto (PIA), que califica como una metodología madura, si bien solicitan nuestra colaboración para completar su contenido.
  5. Que el internet de las cosas, Drones y Big Data son los 3 grandes retos venideros en privacidad.
  6. Sobre las Cookies, que hay 16 procedimientos abiertos de los 28 iniciados y habrá un nuevo régimen sancionador que incluirá el apercibimiento.

Del resto de exposiciones, además de los merecidos premios en materia de privacidad y de que en 7-8 meses solo se haya notificado una brecha de seguridad, de manera resumida destacamos lo siguiente:

COOKIES.- Además de desgranar la única sanción publicada, apenas se aportaron datos nuevos salvo:

  1. Que de momento solo se sanciona la falta de información.
  2. Que la agilidad a la hora de subsanar errores es tenida en cuenta por la Agencia.
  3. Se confirma el nuevo régimen sancionador.

REGLAMENTO EUROPEO DE PROTECCIÓN DE DATOS.- Que si bien hay avances, pues ya ha pasado por distintos trámites parlamentarios, el que se retrase es un secreto a voces, y el espionaje masivo aireado (que no descubierto) seguro que tiene mucho que ver como “causa-efecto” en la brecha de la desconfianza generada. 

PIAs.- Se anunció una guía para las evaluaciones de impacto en materia de privacidad, identificando y evaluando riesgos desde el inicio, es decir, desde el diseño. La intención es dar respuestas al qué/cómo/quién, con el respaldo de la dirección y con la participación de perfiles mixtos y actores internos/externos. Se partirá de un documento de mínimos que se completará con las aportaciones de la consulta pública.

INFORMES Y SENTENCIAS RELEVANTES.- Destacar el incremento en el número de informes y la detallada exposición de las sanciones a Google y sus expresiones condicionales del tipo: “podremos; podrá; es posible” incluidas en su política de privacidad. Además, la Agencia ha constatado que Gmail filtra correos y ficheros anexos para enviar publicidad.

CONSULTAS.- Aunque habrá que verlas en detalle cuando sean publicadas en la web de la Agencia, destacar que si publicas un video en tu perfil de una red social que al ejecutarse lleve a un tercero que instale cookies, deberás obtener el consentimiento informado para dicha instalación.


NUESTRAS CONCLUSIONES:

En un mundo TIC en constate evolución, el legislador se mueve muy lento y demasiado presionado, de manera que cuando llegue el ansiado Reglamento Europeo, este ya habrá quedado desfasado.

Con las COOKIES y la sanción a Google nos encontramos en el “día de la marmota”, una extensa exposición de algo de sobra conocido. No obstante, destacar sobre las cookies la consulta mencionada sobre la publicación de un video en red social ejecutado en plataforma de un tercero, que como diría el Maestro Luis Aragonés (si cambiamos la palabra ganar) la frase sería: “Informar, informar y volver a informar”.

Que estamos ante una guía de evaluación de impacto (PIA) versión 0.1, esperando que no se convierta en un mero informe interno más de la empresa, un informe que se moldee para que no se parezca mucho a la guía, y se guarde para mostrar ante una posible inspección. Como curiosidad, nos preguntamos si las aportaciones de la consulta pública tendrán el mismo eco publicitario sobre aquellas personas/organizaciones que hagan aportaciones significativas, como ya ha ocurrido con otras guías.

Sobre lo señalado en la exposición de las funciones de la SEDE ELECTRÓNICA de la Agencia, llegamos a la conclusión que según la AEPD el cumplimiento normativo es “gratis” ya que la Agencia en su página web pone a disposición toda la información y el material necesario para hacerlo. Que la intención de la Agencia siempre ha sido la de conjugar proximidad/accesibilidad con gratuidad, pero como dice el anuncio: para todo lo demás; EUROVIMA CONSULTING, o cualquiera de los profesionales en materia de asesoría de protección de datos (LOPD) que nos hemos citado en Madrid, o los repartidos por España.

PD.- No queriendo dar ideas, esperemos que siga siendo gratis, sobre todo sin aplicar tasas a las denuncias ante la AEPD.

Protección de datos personales, nuevo paso para el reglamento Europeo

Aunque todavía falta para tener un reglamento Europeo de protección de datos, lentamente se van dando pasos para que en algún momento sea realidad y podamos contar con estándares globales de privacidad. Las palabras de la principal valedora de este largo proceso, la comisaría de Justicia Viviane Reding, sobre que exista «un continente, una norma y una interpretación de esa norma» van tomando cuerpo.

Otra cuestión es que dicho cuerpo y la realidad que aporte llegue a tiempo, venga a tapar las carencias normativas existentes y vaya a gustar o no a los actores implicados que van desde los usuarios, los afectados, emprendedores, pequeños operadores a los gigantes de Internet.

Sobre esas cuestiones ya nos hemos manifestado en distintos post pero en cualquier caso esa realidad será más cercana que la que actualmente marca la directiva de la EU del año 1995, es decir, de la “prehistoria” de Internet, redes sociales, la “nube”, las compras “online” y en general de las nuevas tecnologías de la información, que en España rige nuestra LOPD y su Reglamento de desarrollo.

Un nuevo paso en un momento en el que la privacidad está en boca de todos

Este nuevo paso lo dio ayer, día 21 de octubre de 2013, el Parlamento Europeo al aprobar el texto (enlace al texto completo de los 91 artículos del Reglamento con las enmiendas votadas ayer) de la propuesta de Reglamento de Protección de Datos, cuya aprobación llega tras meses de negociación, numerosas enmiendas, presiones de los “lobby” de turno y a los que hay que sumar el Dictamen Preliminar del Abogado General del TJUE sobre el ejercicio de derechos frente a buscadores de Internet (derecho al olvido) o los escándalos NSA-PRISM-SNOWDEN cuyas informaciones publicadas en los últimos días sobre espionajes a Francia, México o España, ya casi ni llaman la atención.

Bajo la “agitada” situación descrita, el «LIBE», Comité del Parlamento Europeo de Libertades Civiles, Justicia y Asuntos de Interior ha logrado un acuerdo sobre el texto que ahora debe ser consensuado entre el Parlamento, el Consejo y la Comisión (se supone que antes de las elecciones europeas de mayo de 2014).

En un primer análisis del texto que debería llevarnos hacia la armonización y modernización, cabe destacar lo siguiente:

  • El «derecho al olvido» parece ser quedará como el «derecho al borrado de datos», pudiendo exigir que dicha solicitud se haga llegar a las entidades a las que se hayan cedido o replicado los datos.
  • Se aboga por el uso de «pseudónimos» cuando se trate información personal sensible; datos disociados.
  • Se contemplan sanciones cuya cuantía puede llegar hasta 100 millones de euros o el 5% del volumen de negocio anual, pudiendo reclamar una indemnización la persona que haya sufrido daños derivados del incumplimiento normativo.
  • Cualquier infracción ha de ser notificada al regulador «sin dilaciones indebidas», suprimiendo las 24 horas que se habían propuesto.
  • Se permite el tratamiento de datos si son necesarios para la satisfacción del interés legítimo del responsable del tratamiento, salvo cuando deban prevalecer los intereses o derechos fundamentales y libertades de los interesados
  • El consentimiento para el tratamiento de datos ha de ser explícito y no será válido en el momento en que la finalidad del tratamiento deja de existir, debiendo ser sencillo e inmediato retirar dicho consentimiento en cualquier momento.
  • Se amplía el ámbito territorial para casos en los que el tratamiento ni siquiera se produzca en la UE (nube) pero cuando el tratamiento se refiera a bienes o servicios ofrecidos a personas residentes de la UE.
  • Facebook o Google no podrán transferir a USA datos tratados en la UE si no cuentan con autorización de un supervisor nacional, debiendo informar al usuario afectado

Aún quedan pasos para el reglamento y veremos si llegan a tiempo

La figura de las Autoridades de Supervisión, del DPO, PIA, las certificaciones o fijar límites a los perfiles también han sido redefinidas. Esperemos al siguiente paso, al inicio de la ronda de negociaciones a tres bandas: Parlamento, Consejo y la Comisión, para ver el texto definitivo y todo ello con unos márgenes de tiempo ya ajustados, pues las elecciones europeas del próximo mayo marcan la línea para que tengamos nuevo reglamento o demos un paso a un lado esperando que otros pasen y se sumen al “baile”.

Están locos estos romanos - ¿Quo Vadis LOPD?, ¿Quo Vadis Privacidad? - Eurovima Consulting - LOPD Madrid

¿Quo Vadis LOPD? ¿Quo Vadis Privacidad?

Amigos lectores, hemos estado dudando en como titular este post, aunque la verdad es que lo importante es la conclusión que podamos hacer al finalizar su lectura, si es que sacamos alguna.

Hace unos días vimos en la portada del periódico “El País” el siguiente titular: EE UU presiona en la sombra para frenar la normativa de privacidad europea” . Vaya, una portada y bien grande sobre privacidad, que además va acompañada de 3 páginas interiores desgranando parte de las cuestiones que ahora comentaremos.

Todo ello nos hace reflexionar sobre el contenido de los artículos, las entrevistas, noticias y los acontecimientos que se han sucedido últimamente, para ver hasta qué punto parece que los temas de privacidad asoman con fuerza.

La cuestión es que ya la semana pasada pudimos leer en una entrevista  al director de la Agencia Española de Protección de Datos (AEPD), José Luis Rodríguez Álvarez una frase que pienso viene a dar en parte, respuesta al título de este post: “Estamos en un momento crítico para la privacidad”.

Pues sí, un momento en el que había esperanzas por ver cómo quedaría finalmente el reglamento europeo de protección de datos, si es que daba tiempo en ésta legislatura que se agota, y ahora aparecen los escándalos conocidos sobre el programa PRISM que parece va a dejar en eclipse total a la privacidad, no sólo de los europeos, me temo que a la privacidad del “mundo mundial” le esperan tiempos de tinieblas, aunque para según qué lado del atlántico serán mayores o menores si nos atenemos a las palabras de la propia Viviane Reding (vicepresidenta de la Comisión Europea y responsable de Justicia) diciendo “nunca había visto un ‘lobby’ tan potente”.

Vamos que hay una lucha entre EEUU y la UE por el control de la privacidad, en la que a medida que avanzaba el caso PRISM convirtiéndose en el caso SNOWDEN, lo de menos es saber si realmente todas nuestras comunicaciones son intervenidas, más bien si lo seguirán siendo, entre otras cuestiones.

Las declaraciones de los países se han ido sucediendo y al final parece que todos lo sabían, consentían e incluso tenían su propio programa de espionaje. Hace unos días la propia canciller de Alemania, Angela Merkel, manifestó su postura de “endurecer las normas de protección de datos en Internet de la UE y por forzar a las compañías de Internet a ser más abiertas en sus políticas en este sentido tras los escándalos de espionaje protagonizados por el Gobierno de Estados Unidos”.

Pero según indicaban algunos medios alemanes, “Los servicios secretos alemanes conocían desde hacía años la capacidad de sus homólogos estadounidenses para interceptar comunicaciones en todo el mundo y recurrieron a ellos en repetidas ocasiones”. Ante esto la respuesta de momento, es la habitual: “el gobierno ‘no comenta públicamente detalles’ de la ‘cooperación’ entre los servicios secretos alemanes y los estadounidenses”, es decir, NO COMENT.

La semana pasada también desayunábamos con la noticia de que el Gobierno brasileño baraja obligar a las multinacionales que ofrecen acceso y servicios en Internet a almacenar sus datos en Brasil y no en el exterior, creando nuevos incentivos para que las empresas mantengan sus centros de datos en Brasil, ya que el gobierno brasileño entiende que “internet tiene reglas de gestión exclusivamente dictadas por Estados Unidos. Defendemos una gestión multilateral y multisectorial”. El caso de Brasil parece que no será el único o cuando menos en intenciones.Están locos estos romanos - ¿Quo Vadis LOPD?, ¿Quo Vadis Privacidad? - Eurovima Consulting - LOPD Madrid

Y mientras en la UE con una directiva del año 1995, sus Estados miembros no se ponen de acuerdo para sacar adelante la nueva reglamentación, en un momento en el que por todo lo anteriormente comentado, es evidente que hay una necesidad de contar con estándares globales de privacidad. Si a esto le añadimos las palabras asombrosas pronunciadas en una conferencia sobre la reforma de la normativa europea de protección de datos por Giovanni Buttarelli, adjunto al supervisor Europeo de Protección de datos, fijando el año ¡¡¡2025!!! como la fecha en la que entraría por completo en vigor el nuevo reglamento, entonces me viene a la mente la famosa frase de Obélix: “están locos estos Romanos”.

Es evidente que el mundo tiene o tenemos otros problemas, que hay amigos/conocidos que afirman que la LOPD/privacidad es una paranoilla de 4 freekes, a lo que suelo responder que en cierto modo sí, pero que gracias a ellos aún hay quien se preocupa por su privacidad. Impresiones, que en cierto modo se puede confirmar si nos atenemos a una encuesta del mes de mayo, que reflejaba lo siguiente: ”La protección de datos personales, es una leve preocupación para los españoles“ y no les falta razón, sobre todo al ver cómo actúan los romanos en la defensa de su Imperio.

En el 82 ya cantaba Miguel Ríos aquello de “año 2.000”, con estrofas como:

«Esta es la era de Mister Chips,
micro-ordenador de tu porvenir.
Que por lo pronto te quita el curro
además de ser tu ficha sin fin.
Hay que dictar su sentencia,
diciéndote que es por tu bien…..»

Pues sí, de nuestro provenir, nuestra ficha sin fin y por nuestro bien. La batalla del derecho al olvido ya está en marcha y se enfrenta a la libertad de expresión, la de la competitividad marcada por las leyes globales-locales también, la de anteponer seguridad a privacidad es una batalla que renace a golpe de terrorismo. La era del Big Data y el Cloud Computing hacen que conservemos la información “por si acaso”, sin importar dónde o si lo hacemos de forma segura y responsable, sin advertir de las brechas de seguridad …

Vendrán otras guerras, probablemente inimaginables hasta para Miguel Ríos, para las que en el 2025 tampoco habrá respuestas y mientras nos haremos la misma pregunta: ¿Quo Vadis?

Google 1-0 AEPD. Repetimos: “Olvídense del olvido”

privacidad_Eurovima_ConsultingO más bien un ¿2-1?. Ya sabemos que las victorias y sobretodo las morales son muy peculiares. En todo caso, antes de entrar en materia, recordarles que ya en nuestra sección “News del día 26-02-2013: El Derecho al olvido a debate en el TJUE«, se informaba que “el Tribunal de Justicia de la Unión Europea (TJUE) iba a analizar la cuestión prejudicial sobre el ejercicio de derechos frente a buscadores de Internet, a cuya vista tenía previsto asistir el director de la Agencia Española de Protección de Datos (AEPD)”

Al día siguiente, en nuestro Blog – El TJUE y el Derecho al olvido. “Olvídense del olvido” – analizábamos la exposición realizada, en la que para ponernos en situación, hay que recordar que un ciudadano solicitó y recibió el amparo de la AEPD (dándole la razón parcialmente) requiriendo a Google Spain S.L. y Google Inc. que retiraran los datos del ciudadano de su índice, aunque no pidió al periódico que publicó la información que la retirase, dado que su publicación tenía justificación legal.

Pues bien, ya en su día indicamos que la cuestión clave sería delimitar el alcance de la responsabilidad de Google frente a los derechos de los ciudadanos sobre la publicación/indexación de sus datos personales y si pudiese estar sujeto a la normativa de privacidad europea aunque su motor de búsqueda fuese el de una empresa con sede en California.

La cuestión es que hoy se ha conocido el Dictamen Preliminar del Abogado General del TJUE, en el que de manera resumida señala que Google está sujeta a la legislación de la UE sobre privacidad pero no está obligado a borrar la información sensible de su índice de búsqueda. De esta forma, da la razón al buscador (con matices, que ahora analizaremos).

La sentencia definitiva se publicará en pocos meses y aunque el dictamen preliminar no tiene carácter vinculante, se puede decir que casi, ya que los jueces aplican estas «recomendaciones» en la mayoría de los casos.

Según hemos podido leer y aunque a Google no le guste,  le es de aplicación la normativa europea en materia de protección de datos, ya que sus filiales son nexos establecidos en la UE, cuyo fin se indica que es promover y vender espacios publicitarios en su motor de búsqueda, aunque el tratamiento de datos se realice en otro lugar.

No obstante no se le considera responsable del Tratamiento ya que no es “consciente” ni tiene ningún control sobre los datos personales incluidos en las páginas web de terceros, aunque deberá respetar los códigos de exclusión (pudiendo ser obligado a ello).

A la vista de las conclusiones presentadas hoy por el Abogado General del TJUE, si pensábamos que al amparo de la AEPD podíamos encontrar  auxilio en cuestión del derecho al olvido, me temo que estas conclusiones, cuando menos en el ámbito de los medios de comunicación, establece que el derecho a la protección de la vida privada debe convivir con otros derechos fundamentales, como la libertad de expresión e información y no suponer una censura del contenido publicado realizada de manera particular. En definitiva que serán las fuentes del origen de la información los responsables.

Veremos cuando se planteen nuevos casos de manera “no generalizada”, aunque se supone que hasta que no se pronuncie finalmente el TJUE no habrá nuevos casos.

Si volvemos al documento sobre las conclusiones, vemos que además se indica que “todas estas cuestiones, que abordan además importantes aspectos de la protección de los derechos fundamentales, no han sido tratadas hasta ahora por el Tribunal de Justicia” recogiendo las cuestiones anteriormente mencionadas y sus conclusiones en tres apartados:

  1. El ámbito territorial de aplicación de las normas de protección de datos de la Unión Europea. Es decir, si le es de aplicación o no a Google la normativa Europea, se concluye que se considera de manera indiscutible a las filiales de Google ubicadas en la UE como “establecimientoen el sentido del artículo 4, apartado 1, letra a), en un Estado miembro, con el fin de promover y vender espacios publicitarios en su motor de búsqueda, una oficina o una filial que orienta su actividad hacia los habitantes de dicho Estado.
  2. La posición jurídica de un proveedor de servicios de motor de búsqueda en Internet a la luz de la Directiva, particularmente en términos de su ámbito de aplicación, es decir, la responsabilidad del buscador en el tratamiento de datos. No entiende que el buscador sea responsable del tratamiento pero sí que sus operaciones implican claramente un tratamiento de datos personales, señalando queUn proveedor de servicios de motor de búsqueda en Internet no es el «responsable del tratamiento» de datos personales en páginas web fuente de terceros”.
  3. La tercera cuestión referente al llamado derecho al olvido y a si los interesados pueden solicitar que algunos o todos los resultados de búsqueda que les conciernen no estén disponibles a través del motor de búsqueda, es decir, si se puede invocar al derecho generalizado al olvido sobre la base de la Directiva, se remarca que la Directiva no establece ningún «derecho al olvido» generalizado. Los derechos de oposición, supresión y cancelación de datos, de la Directiva no se extienden a un derecho al olvido como el descrito en el auto de remisión, que recordemos señalaba que el interesado pueda dirigirse frente a los buscadores para impedir la indexación de la información referida a su persona, publicada en páginas web de terceros, amparándose en su voluntad de que la misma no sea conocida por los internautas cuando considere que puede perjudicarle o desea que sea olvidada, aunque se trate de una información publicada lícitamente por terceros”.

Estas conclusiones, aunque habrá que ver la sentencia definitiva, llegan en un momento en el que se está debatiendo el borrador del nuevo reglamento europeo, que como ya hemos contado hace unos días, parece que se estanca y veremos si ve la luz antes del final de la presente legislatura europea, no obstante y sin poder valorar como quede o contemple el derecho al olvido, ya empezamos a vislumbrar los papeles que los “actores intervinientes” van a jugar cuando menos desde el punto de vista Judicial.

Por último, indicar que ayer por la tarde la AEPD publicó una breve nota en la que recuerda que hay que esperar a que concluyan las deliberaciones de los jueces, que no es la sentencia del Tribunal, señalando que “la actuación de la AEPD ha sido y será siempre sumamente respetuosa con los ámbitos protegidos por los derechos de libertad de expresión y de información” y que “ en ningún caso se requiere la modificación o alteración de las fuentes originales, sino únicamente que se ponga fin a su difusión general a través de los buscadores”.

Esperaremos pacientemente la resolución definitiva, atentos a ver qué sucede con el reglamento, mientras tanto y en nuestra modesta opinión: “olvídense del olvido…. generalizado”.

Resumen 5ª Sesión Anual Abierta de la AEPD

Esta mañana de viernes 26 de abril de 2013, ha tenido lugar en el marco incomparable del Teatro Real de Madrid, la 5ª Sesión Anual Abierta de la AEPD, cuyo aforo estaba completo a los pocos días de anunciarse su convocatoria.

Como cada año, acudimos con las ganas de escuchar por boca de la propia AEPD que cuestiones relevantes nos deparará nuestra querida protección de datos, esperando encontrar algunas respuestas a las cuestiones que los súbditos hemos planteado, los pequeños comentarios sobre sentencias, resoluciones e informes destacados y su visión respecto a las cuestiones que a día de hoy se encuentran pendientes de concretar dentro del marco regulador.

Particularmente creo que este año ha sido el más interesante, sobre todo por conocer y admitir abiertamente, por parte del Director de la AEPD, D. José Luís Rodríguez Álvarez, cuestiones como:

  • Que hay una voluntad política para que antes de que finalice la presente legislatura europea se apruebe el Reglamento Europeo sobre Protección de Datos.
  • Que existen aspectos puestos en duda como el modelo de ventanilla única que según el Director de la AEPD es un retroceso en las garantías para los ciudadanos que estarán obligados a dirigirse a la autoridad del Estado que corresponda para ejercitar sus derechos.
  • La importancia en hacer compatible la privacidad con el desarrollo tecnológico, en un marco de confianza en el que la protección de datos no sea un obstáculo, más bien la condición necesaria para generar confianza en el desarrollo de la actividad económica digital.

D. Jesús Rubí, presentó dos guías con directrices sobre el Cloud Computing, enfocadas tanto a los clientes que contraten servicios en la nube, como a los proveedores que los prestan, incidiendo en aspectos como la «diligencia» en la elección del prestador del servicio, en las responsabilidades de ambos, la localización, la subcontratación o la portabilidad de los datos.

También se dio un avance de una tercera guía sobre cookies, con orientaciones que han de adaptarse caso a caso o negocio a negocio. En este sentido, como en la mayoría, creo que las orientaciones vendrán de la mano de las sanciones, que por cierto dicen que ya han empezado a producirse inspecciones, recordando que la normativa tiene ya un año de vida, aunque “aparente menos edad” o pensásemos que se encontraba en estado de gestación, dada su escasa aplicación.

Sobre las cookies, se aboga por la información esencial visible desde el primer momento para garantizar el consentimiento informado y su comprensión (sencillez) y también por «capas», destacado que se aceptarán formulas como: “si sigue Usted navegando esta consintiendo…” o “arrastrando su cursor, consiente…” y que las cookies analíticas no están exentas del deber de información. En todo caso, ya veremos como se van implementando.

Posteriormente se realizó la entrega de premios anuales, dando paso al “análisis” de sentencias, informes y resoluciones más relevantes, tanto del Tribunal Supremo como de la Audiencia Nacional, destacando el incremento de denuncias por Suplantación de la identidad (sobre todo sector energía y agua) incidiendo en que es imputable tanto al comercial como al responsable, infracciones derivadas de imágenes colgadas en redes sociales sin consentimiento, del ejercicio de tutela del derecho al olvido siempre enfrentado a la libertad de información, del interés legítimo, etc.

En las últimas intervenciones, se habló de un nuevo modelo de transferencia internacional de datos en base a nuevos criterios que pretende mejorar la posición de los encargados de tratamiento de la UE frente a terceros y de los avances y desarrollos internacionales.

Por último, se expusieron unas 15-20 consultas de las planteadas previamente por los asistentes, esperando poderlas analizar en detalle una vez se encuentren publicadas en la web de la Agencia, cerrando la sesión las preguntas formuladas directamente por los asistentes.

En definitiva, con algo más de calma, iremos desgranando lo acontecido en próximos post, mientras, sean DILIGENTES y respeten y cuiden su PRIVACIDAD (y las de los demás).

Jornada: Proyecto del Reglamento “LOPD” de UE

jornadasDesde Eurovima hemos asistido a la jornada recientemente celebrada por la Agencia de Protección de Datos de la Comunidad de Madrid, en la que se ha debatido sobre el Proyecto de Reglamento general de protección de datos de la Unión Europea.

Con el aforo  completo y con un alto interés por escuchar que aportaciones se podían presentar, interés que se plasma en que el primer día de solicitud se cerraron ya las inscripciones, a mí entender, la jornada cubrió parte de esas expectativas aunque como suele ser habitual muchas cuestiones quedan en el “limbo interpretativo” pero quizás esta vez la excusa perfecta es que hablamos de un proyecto en discusión y análisis, del que se espera que sobreviva un 80% del mismo.

Quiero destacar la intervención del Presidente de la Asociación Profesional Española de Privacidad, no solo como asociado de APEP, ya que en mi opinión, D. Ricard Martínez entró a analizar las cuestiones no únicamente desde un punto de vista jurídico-normativo, que también, sobre todo de aplicación, de cómo afectarán o se prevé implementar dicho reglamento en nuestro país, en nuestra organizaciones, cuestiones que aportan algo de “realidad” a tanta normativa, Directiva, Autoridad de Control, etc.

De modo esquemático, lo más destacable ha sido:

  • La pretensión real de homologar la protección de datos en toda la Comunidad Europea, aunque parece que podrán coexistir normativas puntuales, cuestión que contradice a la pretensión principal.
  • Se prevé un tránsito largo hasta su aprobación y por supuesto su posterior exigencia, que en nuestra opinión puede hacer que el reglamento nazca en parte “obsoleto”, eso sí, parece que los Españoles hemos hecho los deberes ya que somos una referencia en la materia, o eso es lo que el Secretario General Supervisor Europeo de Protección de Datos vino a decir.
  • Exigir un consentimiento explícito (el silencio ya no vale). Veremos hasta qué punto el consentimiento tácito sobrevive o no y que modalidades emplearán aquellos que nos envían sus cartas diciéndonos que cederán nuestros datos a una nueva empresa del grupo y que si en 30 días no contestamos (moléstense) entonces entenderemos otorgado su consentimiento.
  • Sobre los derechos ARCO y los buscadores, en lo referente al derecho al olvido, parece que la cancelación será exigible pero será una cuestión de trasladar la petición y que cada cual cancele. Por tanto el buscador hará de “correveidile”
  • Parece que el consentimiento tácito se “muere”, veremos. Y es que la exigencia de un consentimiento explícito para el que tenga que recabar datos personales, basado en una “clara acción afirmativa” veremos hasta donde se aplica, ya que el término “clara” valga la redundancia no está nada claro.
  • La jornada contó con una amena y locuaz presentación sobre la Seguridad y los Sistemas de Información pero que desde el punto de vista del reglamento no aportó nada concreto.

Veremos cómo se desarrollan los acontecimientos y plazos, mientras continuaremos con nuestra LOPD y su querido reglamento.