Entradas

¿Puedo grabar una excursión sin solicitar el consentimiento ni informar a los asistentes?

¿Puedo grabar una excursión sin solicitar el consentimiento ni informar a los asistentes?

Imagen de Pexels en Pixabay

Evidentemente no, por ello la AEPD atiende una reclamación en ese sentido y apercibe por doble infracción de protección de datos

Te apuntas a una excursión, la pagas y resulta que antes de la salida en el propio autobús te dicen verbalmente que será grabada y podrás tener una copia, previo pago, y si no quieres salir indiques que no quieres ser grabado y te pongas detrás de la cámara.

Pues resulta que luego alguien te denuncia ya que has vulnerado sus derechos, ya que la imagen es un dato de carácter personal, y la Agencia Española de Protección de Datos (AEPD) atiende dicha reclamación y te apercibe por una doble infracción:

  1. Artículo 13 RGPD, respecto al deber de información que debería haber facilitado de manera previa al inicio del reportaje
  2. Artículo 7 RGPD por falta de consentimiento, que en este caso sería la base legal que legitima la grabación.

El consentimiento en el RGPD:

Definido en el artículo 4 como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”.

Recordemos que para un caso como este, el consentimiento del excursionista debe de ser prestado válidamente, de forma expresa y afirmativamente, siendo evidente que la fórmula empleada por la empresa no fue la adecuada.

La propia AEPD señala en su resolución que “NO es válido alegar que se preguntó antes de empezar las grabaciones del reportaje” ya que recordemos la fórmula utilizada fue: “si alguien no está de acuerdo con que se le filme, que lo indique para no sacarle en el reportaje …”, ya que no acredita que se proporcionó toda la información sobre el tratamiento de datos personales conforme al artículo 13 del RGPD.

¿Qué información debió ser facilitada por la empresa antes de la grabación?

En este caso, si observamos la información facilitada por la empresa respecto a lo que el art. 13 del RGPD establece, vemos que el incumplimiento es evidente, ya que recordemos, de manera resumida es la siguiente:

  • la identidad y los datos de contacto del responsable;
  • los datos de contacto del delegado de protección de datos, en su caso;
  • los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  • los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  • en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional;
  • el plazo durante el cual se conservarán los datos;
  • derecho a solicitar al responsable del tratamiento el ejercicio de derechos: acceso, rectificación o supresión, oposición, etc.;
  • el derecho a presentar una reclamación ante una autoridad de control;
  • ……………
Acreditar el consentimiento

Respecto al consentimiento, recordemos que el responsable del tratamiento debe poder demostrar que el interesado ha dado su consentimiento y por tanto deberá poderlo acreditar.

Por tanto eso supone documentar quién, cómo y cuándo consintió, y qué información le fue facilitada, debiendo sopesar la manera de hacerlo cuando se hace de forma verbal (grabación), offline (firma y fecha) u online (acreditar la información a través del doble opt-in)

Finalidad informativa vs económica de una grabación

Aunque en el presente caso es evidente que existe una finalidad económica directa (pago del mismo) por la grabación, nunca informativa o pública, pero es curioso ver que entre las alegaciones, se indicase lo siguiente: “(…) Las grabaciones en calle públicas por parte de las televisiones no requieren dar autorización expresa de los viandantes solo si ven la cámara y no están de acuerdo con que se les grabé lo advierten al productor de igual manera en los eventos deportivos conciertos fútbol toros etcétera sacan al público sin la autorización previa (…)”

Conclusión de la resolución de la Agencia ante la denuncia planteada

La imagen es un dato de carácter personal y su tratamiento está sujeto a la normativa de protección de datos, entre otras, debe estar sustentado en una base de legitimación y cumplir con el deber de información, debiendo se capaz de acreditarlo.

Todo ello sin entrar en la regulación del derecho a la propia imagen, como derecho fundamental de carácter personal reconocido en el art. 18.1 de la Constitución, que se recoge en la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen (LO 1/1982)

Enlace a la resolución sancionadora de la AEPD publicada el 07/01/2021

https://www.aepd.es/es/documento/ps-00181-2020.pdf

La Agencia Española de Protección de datos impone al BBVA la mayor sanción en protección de datos hasta la fecha: ¡¡¡5 millones!!!

photo credit: David Feltkamp via photopin cc

La propuesta inicial de la Agencia era 6 millones a raíz de varias reclamaciones resueltas en un único procedimiento por infracción de los artículos 13 y 14 #RGPD (2 millones) y otros 3 por artículo 6 del RGPD

La importancia de la información ofrecida y el consentimiento obtenido al tratar datos personales

Básicamente la #AEPD sanciona el formulario en el que el banco da a conocer los términos aplicables a la protección de datos personales, que requiere el #consentimiento (específico, inequívoco e informado) de sus clientes. Dicha información recogida en su política de privacidad, no es adecuada respecto a la finalidad del tratamiento y la base jurídica que lo legitima (especialmente las basadas en el interés legítimo), e insuficiente información sobre sobre el tipo de perfiles que se van a realizar y los usos específicos a que se van a destinar.

La Agencia le requiere que en el plazo de 6 meses corrija sus formularios: “adecúe a la normativa de protección de datos personales las operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos deben prestar su consentimiento para la recogida y tratamiento de sus datos personales, con el alcance expresado en el Fundamento de Derecho X (detallado en la página 114)”

Seguramente habrá recurso del Banco, ya que entre otras cosas considera:

El BBVA declara no estar conforme y solicita la nulidad del procedimiento o la caducidad y subsidiariamente su archivo o, en su defecto, apercibimiento o una reducción significativa.

El BBVA declara reproducidas en su totalidad sus alegaciones al acuerdo de inicio, que, a su juicio, la propuesta de resolución no tiene en cuenta ni rebate; y formula las consideraciones siguientes, que reproducen básicamente aquellas alegaciones a la apertura del procedimiento (página 22 a 37)

El único objeto del procedimiento ha sido el formulario que da a conocer los términos aplicables a la protección de datos personales y requiere el #consentimiento de los interesados, dejando al margen otras cuestiones como: análisis sobre la seguridad de los datos de la EIPD, gestión de derechos, datos comunicados a empresas del “grupo BBVA” y la información ofrecida a través de cualquier otro canal o documento para la contratación de productos o de servicios que, por su especialidad, incluyeran sus propias cláusulas de protección de datos.

La resolución ha sido publicada por la Agencia con fecha 11 de diciembre de 2020.

¿Puede la empresa exponer en el tablón de anuncios el listado de productividad de cada empleado identificado mediante nº de matrícula conforme al RGPD?

Publicación de listado de productividad de empleados y protección de datos

Imagen de Gerd Altmann en Pixabay

¿Puede la empresa exponer en el tablón de anuncios el listado de productividad de cada empleado identificado mediante nº de matrícula conforme al RGPD?

Una empresa plantea a la AEPD una consulta ya que pretende publicar cada semana la productividad semanal individual de cada empleado que participa en una actividad que requiere conocer el rendimiento obtenido, en esta caso vinculado al deshueso y loncheado de jamones en sobres.

La consulta indica que el listado se ubicará en el tablón de anuncios de la sala donde los trabajadores hacen el trabajo y sin datos directos vinculados al empleado, solo con el dato del número de matrícula, que únicamente conoce el empleado y las personas del Departamento de Recursos Humanos que realizan el pago de una prima.

En base al rendimiento a final de mes la empresa paga una prima de productividad reflejada en su nómina, es decir, solo conocida por el trabajador.

Aspectos a contemplar: base de legitimación, ponderación y medidas de seguridad que garanticen el secreto y acceso a dichos datos

La AEPD, que ya se ha pronunciado con anterioridad al RGPD sobre la publicación de los datos de productividad, lo hace para dar traslado respecto al RGPD y a la base legitimadora del tratamiento de datos de la consulta, establecidas en el artículo 6.1 del RGPD y a la necesidad de la previa evaluación de ponderación de los derechos e intereses de los afectados.

La Agencia considera que en este caso, la publicación de los datos de productividad de los empleados está fundamentado en el artículo 6.1.f) del RGPD, es decir, si el mismo “es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales…”

La publicación responde a un interés legítimo de ambos:

Del empresario al generar competitividad sana entre sus empleados y la mejora de la productividad global de la empresa,

y también de los empleados quienes conocerán su propio rendimiento frente al resto de compañeros.

Además, el proceso garantiza la transparencia del dato al tener su correspondiente repercusión económica.

Eso sí, la empresa deberá de adoptar las medidas de seguridad organizativas y técnicas necesarias que garantice el secreto y acceso a dichos datos, y que no dé lugar a tratamientos posteriores, algo que considera se cumple “al limitarse la publicación al tablón de anuncios de la Sala en la que se desarrolla la actividad laboral” y al identificar a cada trabajador por su número de matrícula, dato solo conocido por el empleado y el personal del Departamento de Recursos Humanos.

Conclusión del informe de la AEPD:

La Agencia concluye: “Por todo ello, el tratamiento objeto de consulta, en cuanto fundamentado en el artículo 6.1.f) del RGPD y previa ponderación de los intereses y derechos afectados, habiéndose adoptado garantías adecuadas, se estima conforme a la normativa vigente sobre protección de datos de carácter personal.”

Enlace al informe completo publicado el 27/11/2020

Si tu web no cumple con RGPD y COOKIES ponte las pilas como esta empresa y evita una sanción

Imagen de Tumisu en Pixabay

Llevamos meses leyendo resoluciones de la Agencia Española de Protección de Datos (AEPD) en el ámbito de páginas web que no tienen adecuadas la información respecto a las cookies, o que las instalan sin cometimiento (las no necesarias) o de la inexistencia o inadecuadas políticas de privacidad y/o aviso legal.

En muchos casos terminan en sanciones o apercibimiento y aunque sabemos que las cuantías no son tan importantes como los 30.000€ de sanción impuesta a IBERIA y cuya resolución es de esta semana, concretamente del día 21/10/2020, si estamos ante un momento en el que la Agencia, una vez actualizada su guía de cookies, ha dado de plazo hasta el 31 de octubre para que adecuemos nuestras páginas web.

Una web denunciada pasa de ser propuesta para una sanción a que la Agencia archiva la denuncia. ¿Cómo lo logró?

Una de esas resoluciones de la AEPD en materia de cookies, es la que también se ha publicado esta semana. En este caso se archiva el procedimiento sancionador respecto a una web por inicialmente “carecer de la información preceptiva en una Política de Privacidad y en la instalación de cookies no ofrecer información clara y completa”.

Las alegaciones de la empresa dueña de la web fueron que se estaba trabajando “justamente en la actualización de los textos legales y por ese motivo no disponía de los avisos acorde al RGPD”.

La reclamada aportó los textos actualizados y la Agencia revisa la web pero le abre procedimiento sancionador al considerar que “no cumplía las condiciones que impone la normativa en vigor, por lo que procede la apertura de un procedimiento sancionador” al incumplir el art. 22.2 LSSI respecto a la política de cookies.

La empresa titular de la web “se puso las pilas” y modificó el banner siguiendo la “Guía sobre cookies” y así se lo hace saber a la AEPD que vuelve a revisarla y lo arhiva al entender que “no se contradice con lo estipulado en el artículo 22.2 LSSI”.

Moraleja, si no cumples pero te pones las pilas, quizás no tengas sanción de la Agencia Española de Protección de Datos.

¿Cumple tu web con el RGPD la LSSI y tienes bien configurado tu banner e información sobre las cookies?

Recuerda que tienes de plazo hasta el 31/10/2020.

También recuerda que hay más tareas que debes abordar para que tu actividad o negocio cumpla con la normativa de protección de datos, no solo se trata de aedecuar los textos legales de la página web.

En el siguiente enlace podrás ver la resolución completa finalmente archivda

Y en este otro la de 30.000€ de sanción impuesta a IBERIA

Una sanción LOPD que se repite: Si la AEPD te apercibe, hazle caso o pagarás una multa | Eurovima Consulting | Agencia de Protección de Datos en Madrid

Una sanción LOPD que se repite: Si la AEPD te apercibe, hazle caso o pagarás una multa

Viene siendo una actuación que se repite y lo cierto es que aunque se pueda pensar en que no tiene sentido no atender los requerimientos que te hagan para evitar una sanción, sencillos por otra parte, algunos siguen no atendiéndolos y por tanto terminan sancionados.

La denuncia: Instalar una cámara de videovigilancia en la ventana de una vivienda pudiendo captar la vía pública y propiedades de terceros

Una sanción LOPD que se repite: Si la AEPD te apercibe, hazle caso o pagarás una multa | Eurovima Consulting | Agencia de Protección de Datos en Madrid

Image courtesy of nipitphand at FreeDigitalPhotos.net

Sobre este tema ya hemos hablado en nuestro artículo de julio de 2013: Si la AEPD te tira de las orejas, no hagas oídos sordos y atiende su solicitud o prepara 6.500€ y nuevamente nos encontramos un caso similar en la que un particular instala una cámara de videovigilancia que según la resolución de la Agencia Española de Protección de Datos (AEPD) se aprecia en las fotografías que acompañan la denuncia, la cámara está instalada en la ventana de la vivienda denunciada y orientada hacia el exterior, pudiendo captar por su altura y ángulo de orientación la vía pública y propiedades de terceros.

La denunciada no formula alegación alguna en el plazo que la AEPD establece y una vez acreditados los hechos, es decir, presunta infracción del artículo 6.1 de la LOPD que establece que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”.

¿Pero, en qué consiste la figura del apercibimiento?

Recodemos que la figura del apercibimiento (BOE 55, 5-3-2011 Disposición final quincuagésima sexta) supuso una “gran noticia” para los infractores en materia LOPD, ya que aunque incumplan la LOPD pueden evitar ser sancionados, salvo que se trate de una infracción muy grave o si ya hubiesen sido sancionados o apercibidos con anterioridad.

En definitiva, que sólo tienes que acreditar la adopción de las medidas correctoras que la AEPD determine, aunque hayas incumplido la normativa.

¿Qué requisitos debe cumplir un sistema de videovigilancia según establece la LOPD?

  1. Respetar el principio de proporcionalidad.
  2. Si el sistema está conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada 
  3. No captar imágenes de las personas que se encuentren fuera del espacio privado (en lugares públicos sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad del Estado)
  4. Cumplir con el deber de informar a los afectados (Instrucción 1/2006, de la AEPD, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras), concretamente:
    • Colocar, en las zonas video vigiladas, al menos un distintivo informativo (cartel de aviso) ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
    • tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la LOPD

¿Qué señala la AEPD en su resolución?

De manera literal, la sentencia indica que “La denunciada tiene instalado un sistema de videovigilancia con una videocámara orientada hacia el exterior de la vivienda donde está instalada […], no consta que dicha responsable tenga legitimación para el tratamiento de estas imágenes, realizando por tanto un tratamiento de datos personales sin cumplir con la normativa reguladora de protección de datos”.

No obstante la AEPD, que es muy benévola, acuerda apercibir al tener en cuenta que “no consta vinculación de su actividad con la realización de tratamientos de datos de carácter personal, ni que existan beneficios obtenidos como consecuencia de la comisión de la infracción” instándola a que en el plazo de un mes:

  1. Cumpla lo previsto en el artículo 6.1 de la LOPD, es decir, a que justifique la retirada de la cámara, o bien su reubicación o reorientación para que ni se oriente ni capte espacio público.
  2. E informe a la AEPD del cumplimiento del requerimiento, acreditando la adopción de dichas medidas, por medio de fotografías que evidencien la retirada de la cámara o fotografías que muestren lo que capta la cámara una vez se haya reubicado o reorientado.

La denunciada no contestó a las solicitudes y finalmente ha sido sancionada con 1.000€ (enlace a la resolución)

La AEPD envía 2 escritos al domicilio de la denunciada con acuse de recibo, que no son atendidos y finalmente la denunciada ha sido sancionada con una multa de 1.000€ por la infracción del artículo 37.1.f) de la LOPD que señala que “son funciones de la Agencia de Protección de Datos: f) Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”.

En definitiva, y como conclusión, repetimos que: si la AEPD te apercibe, atiende su solicitud o prepárate para la multa.

Si tienes una web y vendes online, que sepas que inspecciones “haylas”

Internet Shopping by renjith krishnan in www.freedigitalphotos.net

Internet Shopping by renjith krishnan in www.freedigitalphotos.net

En este 2016, en Andalucía se está realizando por los Servicios de Consumo  una campaña de inspección y control del cumplimiento de los requisitos legales en la información de contratación a distancia a través de páginas web.

Una campaña en definitiva que está dirigida a comprobar, a través del análisis e inspección de las páginas Webs, el grado de cumplimiento de la legalidad vigente en materia de consumo.

Si haces Ecommerce, mejor asegúrate de cumplir con la normativa. Si no cumples, ya sabes donde estamos para ayudarte.

En este enlace puedes obtener más información, y en este otro descargar el formulario con las cuestiones que en la inspección se están revisando

Solicita cancelar sus datos, pero siguen enviándole publicidad. Resultado: 1.400€ sanción | Eurovima Consulting S.L.

Solicita cancelar sus datos, pero siguen enviándole publicidad. Resultado: 1.400€ sanción

Solicita cancelar sus datos, pero siguen enviándole publicidad. Resultado: 1.400€ sanción | Eurovima Consulting S.L.

Delete Button For Erasing Or Deleting Trash by Stuart Miles in FreeDigitalPhotos.net

Aunque sobre este tema ya hemos hablado en algún que otro post, queremos hacer hincapié en la utilidad de cumplir nuestros propios protocolos, no sólo por la sanción que nos puedan imponer, sobretodo por no manchar nuestra imagen de marca o negocio.

No atender convenientemente el ejercicio de derechos ARCO (acceso, rectificación, cancelación y oposición) al tratamiento de los datos personales de un cliente o usuario, es uno de los motivos más recurrentes de sanción en el ámbito de la LSSI (Si un cliente solicita la baja de tu newsletter, no le envíes más correos. Sanción de la AEPD)

Normalmente las entidades que han realizado un proyecto de adecuación normativo, habrán establecido un procedimiento de respuesta y actuación ante el ejercicio de derechos ARCO, que habrá notificado a todo su personal con el fin de atenderlos convenientemente, de lo contrario el proyecto de adecuación normativo a la LOPD no ha sido ni completo ni riguroso.

La eterna lucha contra el SPAM

Recordemos que se denomina “spam” a todo tipo de comunicación no solicitada que se realiza por vía electrónica y que se lleva a cabo mediante el envío de correos electrónicos comerciales, SMS o por medios de comunicación electrónica equivalentes.

Como el coste es mínimo y se trata de envíos que se realizan de manera sencilla y ágil, esta práctica se ha extendido entre aquellas empresas que prefieren arriesgarse y lograr una publicidad efectiva antes que legal y respetuosa con sus clientes y los que pudieran llegar a serlo.

El SPAM se considera grave cuando se realiza de forma masiva, abusiva e indiscriminada según se establece en el artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, modificado por el Real Decreto-Ley 13/2012, de 30 de marzo.

En definitiva, cualquier envío de comunicación con publicidad por medios de comunicación electrónica estarán supeditados a que exista un consentimiento previo, específico, inequívoco e informado, salvo relación contractual anterior y que no se indique voluntad en contra – Comunicaciones electrónicas no deseadas: motivo recurrente de sanción.

La AEPD resuelve que queda acreditado el envío de 3 correos publicitarios una vez manifestó su oposición.

La AEPD acredita en su resolución que el denunciante solicitó en 2 ocasiones la petición del cese en el envío de información comercial, señalando respecto al envío de los 3 correos electrónicos publicitarios lo siguiente:

“[…] No contaba con el consentimiento previo y expreso de la denunciante, toda vez que se enviaron con posterioridad a que éste hubiera manifestado su oposición a la recepción de envíos publicitarios. Por ello, los 3 correos electrónicos enviados […] incumplían la prohibición de remitir comunicaciones comerciales no autorizadas o solicitadas establecida en el artículo 21.1 de la LSSI, ya que se trataba de envíos publicitarios no consentidos por su destinatario, quien había manifestado a la citada entidad su voluntad de no continuar recibiendo publicidad circunstancia perfectamente conocida por dicha entidad”.

Respecto a la culpabilidad de conducta de la imputada, la AEPD señala que:

[…] Le era exigible otra conducta diferente de la que observó, habida cuenta que no adoptó todas las precauciones necesarias en orden a asegurarse que los procedimientos instaurados para tramitar las bajas en el envío de comunicaciones publicitarias funcionaban correcta y efectivamente, considerándose que el argumento de la buena fe resulta insuficiente en atención a la diligencia que le resulta exigible como empresa habituada a la remisión de envíos publicitarios por medios de comunicación electrónica, debiendo, por tanto, velar por el cumplimiento de los derechos de los destinatarios de tales mensajes recogidos en la LSSI, causa por la que debió actuar con más prudencia para justificar la legalidad de su conducta.”

La sanción no fue mayor, ya que la AEPD valoró como circunstancias atenuante la ausencia de intencionalidad, o que hubieses ocasionado perjuicios relevantes al denunciante o generado beneficios a la empresa imputada como resultado de los envíos.

La importancia de cumplir con nuestros procedimientos de respuesta y actuación ante el ejercicio de derechos ARCO

Aunque en la resolución podemos ver que aunque la entidad denunciada manifestó que: disponemos de protocolo interno de atención a cualquier solicitud ARCO referenciada al email […] o por correo ordinario, con personas responsables y sistemas de comunicación. En esta ocasión y debido a que la empresa en esas fechas estaba inmersa en cambios estructurales se ha demorado en el tiempo proceder a la cancelación de los datos solicitada por la denunciante. Entienden que ha habido una demora en el tiempo de ejecución de la mencionada cancelación.”

En definitiva, aunque la entidad manifestó su error al no atender la petición, alegando estar en un momento de cambios internos, no le valió para librarse de la sanción, por eso insistimos a nuestros clientes que si han realizado un proyecto de adecuación normativo riguroso, y por tanto han implementado un procedimiento de respuesta y actuación ante el ejercicio de derechos ARCO, que presten especial atención a los mismos al igual que con la gestión de las suscripciones a los boletines o newsletter,

Seguir los procedimientos que hemos implementado y se encontrarán recogidos en nuestro documento de seguridad es vital para cumplir tanto la LOPD como de la LSSI y de paso trasmitir una imagen de garantías a nuestros clientes y a los potenciales a los que nos queremos acercar.

Puedes encontrar más información acerca de los derechos ARCO en este artículo que tenemos publicado: Como cancelar tus datos personales. Si te envían correos y no te hacen caso, mejor habla con el “primo de Zumosol”

Comunicaciones electrónicas no deseadas: motivo recurrente de sanción | Eurovima Consultin S..L.

Comunicaciones electrónicas no deseadas: motivo recurrente de sanción

Comunicaciones electrónicas no deseadas: motivo recurrente de sanción | Eurovima Consultin S..L.

Computer And Envelop
Photo by ddpavumba in Freedigitalphotos.net

La necesidad de desarrollar acciones económicas de bajo coste ha condenado a muchas empresas y profesionales a pagar un coste muy superior: el de una sanción.

El envío de correos electrónicos comerciales, SMS, WhatsApp, mensajería privada en redes sociales es un recurso sencillo, ágil y muy económico para las empresas, que ha propiciado y extendido la práctica del spam.

Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica.

De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico.

El costo del Spam

La comisión europea y la AEPD (Agencia Española De Protección de Datos) llevan años abordando la cuestión de spam y diseñando campañas para luchar contra una práctica que contamina y genera pérdidas millonarias a las empresas, en productividad, malware y pérdida de confianza de los consumidores.

Pero  hay también otro motivo sustancial: constituye una intrusión en tu intimidad y una vulneración de derechos contemplados en la LSSI-CE y la LOPD.

El envío de comunicaciones comerciales no solicitadas o expresamente autorizadas es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española.

La AEPD tiene la competencia para sancionar la comisión de estas infracciones tipificadas en los artículos 38.3 c), d) e i) y 38.4 d), g) y h) de la LSSI, según dispone el artículo 43.1 de dicha Ley. II

El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, señala lo siguiente:

1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.

2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”.

El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente.

El consentimiento; la clave de las comunicaciones electrónicas

Entre los derechos fundamentales que asisten a los ciudadanos está el de la autodeterminación informativa, es decir, decidir la facultad de toda persona para ejercer control sobre la información personal que le concierne.

Aquí es donde el consentimiento adquiere especial relevancia, porque es la manifestación de voluntad del propio ciudadano sobre la información que le concierne. Derecho que toda empresa o profesional debe respetar antes de utilizar su información con fines comerciales.

Para el consentimiento sea válido, debe tener estas características:

  • Ser previo
  • Ser específico
  • Ser inequívoco
  • Ser informado

El deber de información

Para obtener un consentimiento válido, es imprescindible que vaya precedido por información clara y precisa que permitan al destinatario conocer todas las vicisitudes en el manejo de su información personal.

Esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento.

Como evitar sanciones por comunicaciones comerciales no solicitadas

La legislación no admite dudas al respecto: toda comunicación comercial para que sea legal, debe ser consentida o expresamente autorizada por el destinatario.

Por lo tanto, las normas a seguir para evitar sanciones  serían las siguientes:

  • No enviar e-mails de contenido publicitario a aquellas personas que no lo han solicitado, ni autorizado ni consentido expresamente a menos que destinatario y remitente estén vinculados por una relación contractual previa , en cuyo caso, las comunicaciones comerciales deben referirse solo a los productos y/o servicios de la empresa del remitente, similares a los que inicialmente fueron objeto de contratación;
  • Que se le ofrezca al destinatario la posibilidad de darse de baja respeto de la recepción de e-mails publicitarios mediante un procedimiento sencillo, fácil y gratuito (como un enlace con la palabra BAJA)
  • Establecer un sistema que permita obtener el consentimiento expreso, válido y legal del destinatario, como un formulario de suscripción.
  • Informar siempre de forma clara la identidad del remitente, la finalidad de la información capturada y los derechos de los destinatarios sobre la misma.
  • Nunca enviar  e-mails de contenido comercial en los que se oculte o no se especifique claramente la identidad de la organización que lo envía

LSSI: Sanciones

Desatender cualquiera de estas normas es exponerse a una sanción por  infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d).

Normalmente,  se califica como infracción leve, a menos que:

  • Se produzca un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios
  • El envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b)

En esos casos se trataría de una infracción de carácter grave a los efectos de la LSSI.

La cuantía de las sanciones que se impongan se graduará atendiendo a los siguientes criterios:

  1. La existencia de intencionalidad
  2. Plazo de tiempo durante el que se haya venido cometiendo la infracción
  3. La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  4. La naturaleza y cuantía de los perjuicios causados.
  5. Los beneficios obtenidos por la infracción.
  6. Volumen de facturación a que afecte la infracción cometida.
  7. La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.

Sin duda, otro factor decisivo a la hora de estimar el monto de la sanción será el grado de diligencia manifestaba por el infractor para evitar, prevenir o subsanar ese error.

La falta de diligencia opera como agravante

Si una empresa o profesional no ha desarrollado las medidas y controles necesarios para evitar que un cliente reciba comunicaciones comerciales tras revocar su consentimiento previo tendrá un problema mucho mayor.

Una muestra de diligencia clara consiste en poder demostrar por ejemplo, la existencia de mecanismos de control oportunos para gestionar las bajas, sistemas de información al destinatario, herramientas para obtención de consentimiento, etc.

Por eso es imprescindible la presencia de un profesional que desarrolle, implante y acredite en adecuado cumplimiento normativo respecto a comunicaciones comerciales y evite los daños económicos y reputaciones que origina una denuncia.

¡2015! Feliz Año, Conectividad y Privacidad, si nos dejan - Eurovima Consulting

¡2015! Feliz Año, Conectividad y Privacidad, si nos dejan

¡2015! Feliz Año, Conectividad y Privacidad, si nos dejan - Eurovima Consulting

Sexy Target Stock Photo – Photo by Salvatore Vuono. in FreeDigitalPhotos.net

Vamos cerrando el 2014, que en líneas generales consideramos que ha sido un buen año, aunque tampoco podemos decir que haya sido como para recordar.

Un año en el que hemos asistido a la compra de WhatsApp por Facebook, al adiós de Windows XP o al ataque a Sony y los ciberataques masivos, al estancamiento de las Google Glass y al despegue de todo tipo de App´s, de la impresora 3D y de los Wearables, a la incertidumbre del Bitcoin o al año en el que la UE respaldó el derecho al olvido y hace a Google responsable del tratamiento de datos personales.

Los menores hablan en un idioma distinto al de los padres

Son nativos digitales enseñados por inmigrantes digitales y por tanto hablan idiomas distintos. En todo caso, aunque parezca que no, creemos que ha sido un buen año en cuanto a los avances en materia de prevención e información hacia los menores en materia de privacidad y seguridad, aunque el ciberacoso en cualquiera de sus modalidades, aumenta en la medida en que la mensajería instantánea y las Redes Sociales se apoderan de parte de sus vidas y por ello hay que perseverar en ello.

La cuestión es que de en todos esos acontecimientos citados hay un denominador común, la privacidad y la seguridad en un mundo/mercado cada vez más global y online, en el que parece que hemos avanzado poco a nivel de regulación, cuando menos la española/europea, y que en lo que hemos tratado de avanzar, ni siquiera está claro.

La Unión Europea sigue sin aprobar el nuevo marco regulatorio en materia de protección de datos

Desde el punto de vista de la privacidad, ha sido un año convulso marcado principalmente por los coletazos del “viejo” tema del espionaje NSA-SNODWEN, en el que hemos visto como ni siquiera ese terremoto ha acelerado el proceso final que haga que tengamos en la Unión Europea un nuevo marco regulatorio y sigamos con nuestra “vieja-local” LOPD.

Nos espían, lo asumimos y casi aceptamos, pues no somos capaces de ponernos de acuerdo para regularlo.

Otro gran acontecimiento ha sido la reforma de la Ley de Propiedad Intelectual, cuyo “éxito” se resume en que su tramitación ha sido accidentada, aprobada sin consenso y sin tener claro el uso y en qué manera va a afectar, no a los presuntos delincuentes contra los que pretende regular, sino al resto de usuarios de Internet.

La defensa de los derechos de autor se ha mezclado con la llamada “Tasa Google” o “canon AEDE”, ha terminado con el cierre de Google News, una herramienta que al final ayudaba a los propios editores a generar tráfico a sus páginas web.

Sobre los “piratas”, aquellos que serán perseguidos por facilitar enlaces a contenidos no autorizados, generando un “daño”, veremos la manera en que se identificará a los usuarios por la vía civil.

Esta es nuestra visión resumida del 2014. Desde EUROVIMA os seguiremos informando de estas y otras cuestiones que sean de actualidad e interés, en el ámbito que engloba la tecnología, la privacidad y la seguridad.

Aprovechamos para desearos un gran año.

Agencia Española de Protección de Datos | Eurovima Consulting S.L.

LOPD, MEMORIA AEPD: Las Sanciones en 2013 suben un 6% hasta 22,3 millones€

El pasado día 13 de octubre de 2014, la Agencia Española de Protección de Datos (AEPD) publicó su memoria anual, en la que se recogen las actuaciones más significativas, entre otras las relativas a las sanciones impuestas.

Pocos aspectos llaman la atención, para aquellos que venimos siguiendo la actividad diaria de la Agencia, pues la línea de actuación se mantiene, si bien a modo de resumen destacaremos algunos aspectos.

 

Mayor sensibilidad de ciudadanos y Organizaciones:

El conocimiento y la importancia que tanto ciudadanos como organizaciones manifiestan por el cumplimiento normativo sigue en aumento, cuestión que se refleja en el incremento de:

  • El número de consultas realizadas (en el que las relativas a la cesión de datos son las más realizadas).
  • Los Ficheros inscritos,
  • La solicitud de informes
  • Consolidación en el nº de denuncias y reclamaciones presentadas por los ciudadanos (por ejemplo, la demanda sobre la cancelación de datos de los ciudadanos ha crecido un 8%).
  • Se ha consolidado las reclamaciones sobre el llamado “derecho al olvido en Internet”, si bien, será en este 2014 cuando las cifras van a ser particularmente elevadas.

 

Las multas: cuantías, gravedad, normativa infringida y sectores más sancionados

Hay un dato muy curioso, y es que si bien el número de denuncias baja un 1,7%, la cuantía de las mismas sube el 6% y eso que en más del 80% de los casos, la AEPD aplicó los criterios de moderación y atenuación de sanciones previsto en la LOPD, aunque sí es cierto, que en el procedimiento contra Google se declararon 3 infracciones por una sanción de 900.000€ en total.

Según la gravedad, el 90,85% han sido infracciones leves, el 9,15% graves y no han existido infracciones muy graves.

Según la Ley infringida, el 93,9% de las infracciones corresponden a la LOPD, el 5,8% a la LSSI y apenas el 0,3% a la LGT.

Sectores más sancionados: Las denuncias siguen afectando en mayor medida a las empresas de los mismos sectores que en años anteriores, si bien se producen algunas variaciones que señalamos:

  1. Telecomunicaciones (15 millones€). Lo que supone un 67% del total frente al 73% del total en 2012
  2. Empresas del sector de suministro y comercialización de agua y energía (2,1 millones€). Sube hasta el 9% frente al 6% del 2012. Pasa de la tercera a la segunda posición.
  3. Entidades Financieras (1,8 millones€) Baja hasta el 8% desde el 13,5% del año 2012.

 

Otros datos de interés: Videovigilancia, apercibimiento y Administraciones Públicas

Destacar también el número de denuncias presentadas sobre la videovigilancia con 918 actuaciones de investigación (el 11,7% del total) que acapara el 60% de los procedimientos de apercibimiento.

Significativa es también el caso de las Administraciones Públicas, con un incremento del 52,6% en el número de infracciones declaradas, cuyo incremento es especialmente significativo en el ámbito Autonómico.

 Puede consultar la memoria completa en este enlace