Entradas

Por crear un grupo de WhastApp un restaurante es apercibido por la AEPD | Eurovima Consulting S,L.

La AEPD apercibe a un restaurante por crear y usar un grupo de WhatsApp

Y un buen día, WhatsApp se hizo presente en nuestro mundo, y el de las empresas.

Por crear un grupo de WhastApp un restaurante es apercibido por la AEPD | Eurovima Consulting S,L.

Imagen obtenida de Pixabay en Pexels

Desde que se popularizó su uso nos hemos acostumbrado, o resignado, a recibir miles de mensajes, muchos de ellos sin interés, otros tantos de mal gusto, y para colmo después vino la posibilidad de la creación de grupos de usuarios.

Grupos en los que seguramente todos habremos tenido una mala experiencia, amén de las susceptibilidades y el hartazgo que provocan o por el temor a abandonarlos por miedo a ser juzgados, y no hablamos solo de los temidos grupos de padres del colegio.

Además, de un tiempo a esta parte, muchas empresas lo están usando como servicio de atención al cliente, y en ocasiones para comunicaciones comerciales, a las que la Agencia Española de Protección de Datos (AEPD) ya ha sancionado por ello.

Se trata de la primera infracción que la Agencia Española de Protección de Datos (AEPD) ha dictado vinculada a la creación de un grupo de WhatsApp.

Es el caso de un restaurante que infringe dos artículos de la LOPD:

  • El artículo 6.1 de la LOPD (“el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”)
  • El artículo 10 de la LOPD (“El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que ……”.

El motivo de la denuncia fue la inclusión sin permiso en un grupo, del que se salió y fue nuevamente incluido:

En la resolución adjunta (ver enlace) se indica el desarrollo de los hechos: “Con fecha 8 de diciembre de 2016 realizó reserva para la cena del día 31 de diciembre de 2016 en el citado restaurante; varios días antes de la cena, se crea un grupo de whatsapp con las personas que participaban en dicha cena.

El denunciante salió del grupo pero fue incluido nuevamente por el administrador, recibiendo un mensaje privado, en el que le comunican que si sale del grupo se anulará la reserva. Asimismo, en el citado grupo se publicó una lista de los asistentes con nombres y apellidos, las mesa donde se sentarían y cuantas personas le acompañaran”.

La Subdirección General de Inspección de Datos de la AEPD, tras la denuncia procedió a abrir actuaciones previas de investigación para esclarecer los hechos denunciados, tratando de ponerse en contacto con la entidad denunciada, lográndolo con la supuesta dueña (así se identificó) pero siendo infructuosos los intentos posteriores de notificación alguna.

La resolución, pone de manifiesto los siguientes hechos probados:

  1. La realización de la reserva
  2. Que el responsable del restaurante creó un grupo de WhatsApp con las personas que participaban en dicha cena, enviando un listado con el nombre y apellidos de quien hizo la reserva, el número de personas que cenarían y un plano del restaurante con la ubicación de la mesa
  3. Que el denunciante salió del grupo pero fue incluido nuevamente por el administrador, recibiendo un mensaje privado, en el que le comunicaban que “si sale del grupo se anulará la reserva”.

Dos fueron los artículos infringidos.

La AEPD manifiesta que se infringió el artículo 6.1 de la LOPD (“el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”) al haberse acreditado que el restaurante fue el responsable de la creación de un grupo de whatsapp con las personas que cenarían en Nochevieja, insertando un listado de todos los comensales sin que hubiese consentido para el tratamiento de sus datos personales.

Al mismo tiempo, la AEPD señala que además del artículo 6.1, también se infringió el artículo 10, es decir, que se vulneró el deber de secreto, al haber posibilitado el acceso por terceros (el resto de comensales) a datos personales sin que el titular de los datos hubiese prestado su consentimiento para ello.

Al tratarse de un mismo hecho que deriva en dos infracciones, puesto que la comisión de una implica, necesariamente, la comisión de la otra, procede únicamente declarar la infracción más grave, en este caso la del artículo 6 de la LOPD.

Destacar que el restaurante no contaba con antecedentes de sanciones y apercibimientos precedentes.

La AEPD no procede a sancionar económicamente pero apercibe al restaurante, al concluir que se cumplen los requisitos recogidos establecidos en la Ley, es decir:

  • Se constata una cualificada disminución de la culpabilidad ante la no vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal
  • La ausencia de reincidencia
  • Y que no constan perjuicios causados a las personas interesadas.

Eso sí, la AEPD insta al restaurante a que no cree grupos de WhatsApp de comensales, salvo que cuente con el consentimiento de los mismos para la finalidad pretendida.

Como habitualmente indicamos a nuestros Clientes y a todos aquellos que nos consultan, tenemos que ser muy cuidadosos con el tema de gestión de las suscripciones a los boletines o newsletter, de las comunicaciones comerciales que hagamos, y de un tiempo a esta parte, con el uso general que las empresas le dan a la aplicación de WhatsApp (envío de partes de baja, vacaciones, comentarios varios….)

 

Un murmullo en espera de la “nueva” LOPD: La 9ª Sesión Anual Abierta de la Agencia Española de Protección de Datos | Eurovima Consulting

Un murmullo en espera de la “nueva” LOPD

La 9ª Sesión Anual Abierta de la Agencia Española de Protección de Datos

Un murmullo en espera de la “nueva” LOPD: La 9ª Sesión Anual Abierta de la Agencia Española de Protección de Datos | Eurovima ConsultingEl pasado jueves, 25 de mayo de 2017, ha tenido lugar en el centro de Conferencias Fundación Pablo VI de Madrid la 9ª Sesión Anual Abierta de la Agencia Española de Protección de Datos (AEPD).

Como cada año, y ya van 7 de las 9 sesiones anuales realizadas a las que hemos podido asistir, el aforo se completó de profesionales interesados en conocer de boca de la Agencia las últimas novedades referentes al RGPD. La expectación era máxima, prueba de ello es que el aforo se completó a las 4 horas de abrirse la inscripción.

La sesión se ha celebrado justo 365 días antes de que sea de aplicación el Reglamento General de protección de datos (RGPD), es decir, en mitad del periodo de transición hacia el nuevo marco normativo europeo.

Antes de nada, felicitar y dar la enhorabuena a los premiados por la labor que realizan en los ámbitos de la investigación y comunicación en materia de protección de datos, por sus trabajos y dedicación en aras de acercar el mundo de la privacidad a toda la sociedad.

En poco más de media hora, tiempo que duró la intervención de la Directora de la AEPD, las expectativas se tornaron en decepción:

Como sucede en otros ámbitos en este tipo de casos, lamentablemente lo expuesto no ha cubierto las expectativas ya que Mar España, directora de la Agencia, “informó” sobre el estado del anteproyecto de modificación de la LOPD (adaptación al Reglamento Europeo) indicando que esperaba estuviese disponible al público antes del verano (hace meses se indicó que esperaba fuese posible en el primer trimestre de 2017) y que no podía avanzar nada sobre el mismo por un tema de confidencialidad.

Nos contó que el borrador ya ha sido remitido al Ministerio de Justicia para que pueda comenzar el proceso de tramitación (que no es corto), esperando que su aprobación llegue a tiempo, es decir, antes del 25 mayo de 2018.

En definitiva, se generó un sonoro murmullo entre los asistentes al evento ante tal decepción.

Entramos, o mejor dicho continuamos, en el ámbito de la protección de datos personales, en un periodo de incertidumbre sobre si su aprobación llegará antes de que el Reglamento Europeo sea de aplicación y por tanto, a que el texto definitivo no sea conocido hasta casi el último momento, cuestión que entrañará una mayor dificultad a la hora de lograr la integración del nuevo marco normativo europeo “a la carrera”.

Nuevas herramientas del reglamento general de protección de datos:

En la presentación de nuevas herramientas del reglamento general de protección de datos, además de citar las guías ya publicadas, se mencionaron:

  • La que se publicó ese mismo día orientada al “Ciudadano”; ‘Protección de Datos: Guía para el Ciudadano’ que incorpora referencias al nuevo Reglamento Europeo, en aras de informar a los ciudadanos acerca de sus derechos en relación con el tratamiento de sus datos de carácter personal, el asesoramiento en la presentación de denuncias y reclamaciones, etc.
  • Se anunció la publicación de sendas guías para padres y colegios, ya que la formación en materia de seguridad en internet orientada a los menores es y ha sido una prioridad para la AEPD.
  • Herramienta de ayuda web “NanoPymes”. Disponible en junio en la web de la AEPD, pretende “facilitar”* el cumplimiento de las pymes siempre que traten datos con nivel de riesgo muy bajo, en base a los datos del tejido empresarial español y del tipo de tratamiento que realiza una pyme (72.5% del total de tratamiento son de nivel bajo). La AEPD incide en su presentación que es un programa de ayuda en general y los documentos generados serán válidos en la medida en que se ajusten las respuestas con la realidad y por supuesto, su uso no garantiza el cumplimiento del RGPD.

*Andrés Calvo (AEPD): la herramienta “NanoPymes” no reemplaza el asesoramiento de un profesional

Sobre otras cuestiones más destacadas o de relevancia, señalar lo siguiente:

Datos del avance de la memoria 2016: se han recibido unas 12.000 denuncias o tutelas de derechos ante la AEPD, con aplicación del 20% de reducción en cada vez más casos de sanción, sobre todo por pago espontaneo o reconocimiento.

Respecto a la necesidad de realizar una Evaluación de Impacto sobre la protección de datos (EIPD) parece que además del “alto riesgo”, en la lista creada por el Grupo de Trabajo del Artículo 29 encontraremos más consideraciones para su realización. Eso sí, invocando a la “diligencia” a la que la AEPD siempre se refiere, cuando dudes en hacerla o no, si puedes, hazla.

Sobre las certificaciones de profesionales (se encuentra en curso la elaboración del Esquema de Certificación) se reiteró que la certificación es instrumento de garantía de profesionalidad y de transparencia para responsables y encargados, pero no única vía de acceso.

Sobre las entidades que deberán tener un Delegado de Protección de Datos (DPD ó DPO), la Agencia ha dado un primer esbozo de lista que pueden consultar en la web de la AEPD (presentaciones 9 jornada)

La Agencia va a crear una unidad de atención a los responsables y profesionales en materia de privacidad, recomendando que las consultas se realicen a través de asociaciones profesionales.

En casos concretos, el interés legítimo permitirá consentimiento tácito obtenido antes de la aplicación del RGPD. Se podría permitir el consentimiento tácito para el envío de publicidad cuando exista un contrato con el interesado. En todo caso, son cuestiones a concretar….

Se pone fin a la excepción del artículo 2.2 RLOPD (Ámbito objetivo de aplicación: datos de “contacto”)

Finalmente recordar a la AEPD, que el análisis de las sentencias, informes y resoluciones más relevantes, fueron expuestas un año más, a toda pastilla. En menor medida los informes y sentencias relevantes, pero que en todo caso, las revisaremos con calma en los videos expuestos en la web de la Agencia, ya que en directo, es difícil sacar muchas conclusiones.

En definitiva, toca esperar para tener toda la información necesaria para hacer bien nuestro trabajo y mientras, sean DILIGENTES y respeten y cuiden su PRIVACIDAD (y la de los demás).

Agencia Española de Protección de Datos | Eurovima Consulting S.L.

¿Qué es un Delegado de Protección de Datos?

Agencia Española de Protección de Datos | Eurovima Consulting S.L.Nos hacemos eco de la nueva entrada en el blog de la Agencia Española de Protección de Datos en la que nos explica la importancia de un Delegado de Protección de Datos y la obligatoriedad para la empresa de tenerlo o no.

Según la AEPD el Delegado de Protección de Datos debe contar con conocimientos especializados del Derecho aunque no es imprescindible que sea un jurista, pero si es necesario el conocimiento en protección de datos. Este agente actuará de forma independiente, perteneciendo de forma interna a la empresa o de manera externa, persona física o persona jurídica pero sobre todo tiene que estar especializada en esta materia

Sus funciones están reguladas en el artículo 39 del Reglamento General de Protección de Datos, entre las que destacan informar y asesorar, así como supervisar el cumplimiento del citado Reglamento General de Protección de Datos por parte del responsable o encargado.

Desde la AEPD se está trabajando para impulsar los trabajos para desarrollar un modelo de certificación como Delegado de Protección de Datos.

Puedes leer toda la noticia en el siguiente enlace

CIBERSEGUIDAD y Protección de datos. ¿Estamos preparados?

CIBERSEGURIDAD y Protección de datos. ¿Estamos preparados?

Hablamos de ciberseguridad y de la posibilidad de sufrir un ciberataque. La seguridad total no existe, pero lo que no es admisible es que cuando se produce una “brecha de seguridad” que compromete a nuestros datos personales, no sea gestionada de manera correcta. Eurovima Consulting S. L. | Asesoría de Protección de Datos Madrid | LOPD

Un año más: Feliz Navidad y Feliz Privacidad 2017 | Eurovima Consulting | Agencia de Protección de Datos en Madrid

Un año más: Feliz Navidad y Feliz Privacidad 2017

Un año más: Feliz Navidad y Feliz Privacidad 2017 | Eurovima Consulting | Agencia de Protección de Datos en MadridOtro año que va pasando y nuevamente queremos aprovechar esta época para hacer llegar a nuestros clientes, colaboradores, lectores y amigos nuestro mejores deseos.

Nuevamente ha sido un buen año para Eurovima, en el que hemos seguido apostando por el servicio y atención. La “familia” de Eurovima, interna y externa se ha incrementado, por eso volvemos a dar las gracias a los clientes de antaño por continuar a nuestro lado, a los nuevos que se han sumado y a los que vendrán decirles, que les esperamos con los brazos abiertos.

Respecto a “nuestro mundo”, otro año, y van demasiados, en los que la privacidad y la seguridad han vivido momentos convulsos, con el azote nuevamente del terrorismo y las amenazas de la ciberseguridad en el uso del Big Data y el Internet de las Cosas, de manera que una vez más vuelve a poner en liza el valor y la ponderación que ha de tener la privacidad frente a la seguridad. Sin olvidarnos de nuestros menores y las redes sociales: mucho por enseñar y educar.

Un año en el que pensamos que estamos de enhorabuena, ya que el cambio en la Agencia Española de Protección de Datos (AEPD) ha sido para bien, consolidando esas buenas primeras impresiones que nos causó la nueva Directora, Mar España Martí a finales de 2015.

Impresiones que también son positivas sobre el Plan Estratégico que la AEPD estableció con unos objetivos que a nuestro modo de ver van logrando alcanzar en cada uno de los cinco grandes ejes estratégicos en los que se estructuró.

  1. Prevención para una protección más eficaz
  2. Innovación y protección de datos: factor de confianza y garantía de calidad
  3. Una Agencia colaboradora, transparente y participativa
  4. Una Agencia cercana a los responsables y a los profesionales de la privacidad
  5. Una Agencia más ágil y eficiente.

En lo normativo, hemos visto ¡¡¡por fin!!!, la aprobación el pasado abril del nuevo marco regulatorio en materia de Protección de Datos de carácter personal. La aprobación del nuevo Reglamento General de Protección de Datos (RGPD) de la Unión Europea, aunque no será de aplicación hasta dentro de dos años, mayo de 2018, supone contar con un marco jurídico homogéneo, elevando el nivel de responsabilidad de las empresas y concediendo al ciudadano un mayor control sobre sus datos personales.

Veremos ahora el papel de la AEPD a la hora de definir, desarrollar y revisar las cuestiones que el Reglamento confiere a las Autoridades Nacionales de Control de los Estados Miembros, que por otra parte se traducirá en que la LOPD (publicación prevista del anteproyecto de reforma en el primer trimestre de 2.017) y sus normas de desarrollo deben ser revisadas y adaptadas al Reglamento.

Agradecer nuevamente al equipo de colaboradores de Eurovima, a los de siempre y a las nuevas incorporaciones, su esfuerzo y dedicación. A los que han emprendido nuevos retos, desearles mucha suerte y a todos decirles una vez más que hemos tenido mucha suerte de compartir trabajo, conocimiento y experiencias a lo largo de todo este año, deseando repetir.

En definitiva, desde EUROVIMA, haceros llegar nuestros mejores deseos y el agradecimiento por seguir al otro lado.

¡¡¡¡Seguimos contando con vosotr@s!!!! Un fuerte abrazo,

El equipo de Eurovima

Si tienes una web y vendes online, que sepas que inspecciones “haylas”

Internet Shopping by renjith krishnan in www.freedigitalphotos.net

Internet Shopping by renjith krishnan in www.freedigitalphotos.net

En este 2016, en Andalucía se está realizando por los Servicios de Consumo  una campaña de inspección y control del cumplimiento de los requisitos legales en la información de contratación a distancia a través de páginas web.

Una campaña en definitiva que está dirigida a comprobar, a través del análisis e inspección de las páginas Webs, el grado de cumplimiento de la legalidad vigente en materia de consumo.

Si haces Ecommerce, mejor asegúrate de cumplir con la normativa. Si no cumples, ya sabes donde estamos para ayudarte.

En este enlace puedes obtener más información, y en este otro descargar el formulario con las cuestiones que en la inspección se están revisando

Nuevos tiempos para la privacidad: aprobado el Reglamento Europeo General de Protección de Datos | Eurovima Consulting S.L | Asesoría LOPD Madrid

Nuevos tiempos para la privacidad: aprobado el Reglamento Europeo General de Protección de Datos.

Nuevos tiempos para la privacidad: aprobado el Reglamento Europeo General de Protección de Datos | Eurovima Consulting S.L | Asesoría LOPD Madrid

Internet Security Stock Photo by hywards in FreeDigitalPhotos.net

Ya lo veníamos anunciado, pero tardaba tanto en “cerrarse el círculo” que parecía que nunca se iba a completar. Hoy 14 de abril, tras cuatro largos años de negociaciones, el Parlamento Europeo ha aprobado la nueva normativa de Protección de Datos, aunque no será de aplicación hasta dentro de dos años, abril de 2018.

Esta reforma pretende, entre otras cuestiones, garantizar en toda la UE unos estándares de protección de datos un nivel uniforme y adecuado a la nueva era digital, sobre todo si pensamos que la actual directiva data de 1995, una fecha en la que el uso de internet era escaso y primario. Po tanto, se trata de un gran paso a favor de los derechos de los consumidores y usuarios en la era digital.

Una norma única para toda la UE que ofrecerá una mayor claridad a las empresas, reforzando la confianza y la seguridad jurídica.

Será de aplicación a todas las empresas que procesen datos de ciudadanos de la UE, con independencia de si su sede está fuera de la UE.

Entre otras disposiciones, las nuevas reglas incluyen:

  • El llamado “derecho al olvido”, ya reconocido por el Tribunal de Justicia de la UE, que permitirá bajo determinadas condiciones la supresión de datos personales e información.
  • El tratamiento de datos personales deberá de contar con un deber de información y consentimiento reforzado, que puede ser revocado en cualquier momento.
  • Restringe a los menores de 13 años el acceso a las redes sociales, si bien cada estado puede aumentarlo hasta los 16, necesitando autorización de sus padres para el tratamiento de sus datos.
  • El reconocimiento de nuevos derechos como el de la “portabilidad”.
  • Informaciones respecto a las brechas de seguridad y el derecho a ser informado en dichos casos cuando se ponga en peligro la privacidad.
  • Nuevos principios, entre otros, la figura del delegado de protección de datos obligatoria para algunas empresas, la rendición de cuentas “accountability” o la privacidad por diseño y por defecto
  • Cambios en el régimen sancionador con multas que pueden alcanzar hasta el 4% de la facturación global.

Próximos pasos

Una vez el Reglamento se publique en el Diario oficial de la UE, será de aplicación directa en todos los Estados miembros a los dos años que es el tiempo que cada país tendrán para dar traslado a su legislación nacional los cambios, en el caso de España, a la LOPD.

NOTA sobre el estado del Privacy Shield, acuerdo que sustituirá al Safe Harbor o puerto seguro, para regular las transferencias internacionales de datos personales, de UE a EEUU.

Aunque se vienen produciendo importantes avances en las negociaciones para lograr la aprobación del Privacy Shield, el acuerdo que sustituya al Safe Harbor o puerto seguro invalidado por el Tribunal de Justicia de la Unión Europea el pasado octubre de 2015, de momento no ha sido aprobado y por tanto, las empresas europeas que necesiten transferir datos personales a EEUU tendrán que esperar o recurrir a los mecanismos señalados al efecto.

Más información en la nota de prensa oficial

¿Hacemos copias de seguridad por sentido común o por cumplir con la LOPD? | Eurovima Consulting | Asesoría LOPD Madrid |Adecuación de tu proyecto web a la LOPD

¿Hacemos copias de seguridad por sentido común o por cumplir con la LOPD?

¿Hacemos copias de seguridad por sentido común o por cumplir con la LOPD? | Eurovima Consulting | Asesoría LOPD Madrid |Adecuación de tu proyecto web a la LOPDSiempre que tenemos una charla sobre el objeto y alcance de la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD) y su cumplimiento normativo, decimos que la mayoría de las cuestiones técnicas y organizativas que la ley nos obliga a acometer, se vienen realizando por inercia del negocio, así del mismo modo que hacemos con nuestra información personal, con más razón lo haremos para preservar nuestra actividad o negocio.

Posteriormente cuando hacemos un proyecto de adecuación, constatamos que este tipo de cuestiones se vienen realizando en el ámbito del negocio o actividad simplemente por esa inercia mencionada y por la aplicación del sentido común.

Claro que no es necesario que una ley me diga que debo realizar una copia de mi información o que habilite un mecanismo por el cual únicamente las personas que yo o la dirección considera que accedan a determinada información de la empresa, pero sí nos damos cuenta de que algunas de estas cuestiones técnicas u organizativas que obliga la LOPD no se ajustan a lo que establece la normativa y debemos adecuarlas.

Definición de Copia de Seguridad según la LOPD

El artículo 94 del Real Decreto 1720/2007, de 21 de diciembre, de desarrollo de la LOPD, señala que para cualquier fichero:

  1. Deberán establecerse procedimientos de actuación para la realización como mínimo semanal de copias de respaldo, salvo que en dicho período no se hubiera producido ninguna actualización de los datos.
  2. Asimismo, se establecerán procedimientos para la recuperación de los datos que garanticen en todo momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción.

Además, el artículo 102, señala que los ficheros con información de datos personales de nivel alto, deberá conservarse una copia de respaldo de los datos y de los procedimientos de recuperación de los mismos en un lugar diferente de aquel en que se encuentren los equipos informáticos que los tratan, que deberá cumplir en todo caso las medidas de seguridad exigidas en este título, o utilizando elementos que garanticen la integridad y recuperación de la información, de forma que sea posible su recuperación.”

Motivos por los que realizar una Copia de Seguridad

Simplemente con recordar lo sucedido en Madrid con el incendio del edificio Windsor, bastará para darnos cuenta del sentido que tiene contar con un plan de continuidad que nos permita reemprender con menos dificultades nuestro negocio.

En este sentido, las medidas que la LOPD nos obliga a implementar nos van a ayudar sin duda alguna, pero al margen de lo que diga la LOPD, tenemos muchos motivos tales como:

  • Por si te roban o se estropea tu PC o el servidor
  • Se inunda o incendia tu local
  • Para preservar tu información comercial y de negocio
  • Para reutilizar documentos de trabajo o plantillas

No seas simple, haz cuando menos una copia adicional y mantenla a buen recaudo

Aunque solo sea aplicable a la información de nivel alto, siempre aconsejamos mantener una copia de seguridad adicional fuera de las instalaciones principales en donde se almacene, con el fin de preservar la información de negocio de las mismas contingencias que pudiera sufrir el lugar habitual de almacenamiento, ya que en el caso de un accidente o desastre, dicha copia también podría quedar inservible.

Un ejemplo claro de esto es si pensamos en un incendio, robo o inundación de nuestras oficinas, ya que si no tenemos una copia adicional externa, difícilmente podríamos trabajar al día siguiente con cierta normalidad, ¿no os parece?

Si no fuese posible, cosa que dudamos, guardar una copia de los ficheros en un lugar distinto, habrá que adoptar medidas complementarias para disminuir el riesgo, tales como ubicar la copia en armarios ignífugos, implantación de sistemas antiincendios, etc. y si tu sede tiene más de una estancia el sentido común te dirá qué se guarda en la misma.

Hoy en día el coste no puede ser una excusa ya que el adquirir un disco duro externo de gran capacidad, o la posibilidad de realizar las copias en la nube, aunque en ese caso debemos tener presente otras cuestiones ( “Nube” o Cloud Computing. Seamos diligentes…) no suponen una gran cuantía.

¿Y si falla la copia de seguridad?

Pues en ese caso recurriremos a la copia adicional y en todo caso debemos verificar cada cierto tiempo que la restauración de datos cumple su función, cuestión que el RDLOPD establece y de la que os hablaremos en nuestro siguiente artículo.

Solicita cancelar sus datos, pero siguen enviándole publicidad. Resultado: 1.400€ sanción | Eurovima Consulting S.L.

Solicita cancelar sus datos, pero siguen enviándole publicidad. Resultado: 1.400€ sanción

Solicita cancelar sus datos, pero siguen enviándole publicidad. Resultado: 1.400€ sanción | Eurovima Consulting S.L.

Delete Button For Erasing Or Deleting Trash by Stuart Miles in FreeDigitalPhotos.net

Aunque sobre este tema ya hemos hablado en algún que otro post, queremos hacer hincapié en la utilidad de cumplir nuestros propios protocolos, no sólo por la sanción que nos puedan imponer, sobretodo por no manchar nuestra imagen de marca o negocio.

No atender convenientemente el ejercicio de derechos ARCO (acceso, rectificación, cancelación y oposición) al tratamiento de los datos personales de un cliente o usuario, es uno de los motivos más recurrentes de sanción en el ámbito de la LSSI (Si un cliente solicita la baja de tu newsletter, no le envíes más correos. Sanción de la AEPD)

Normalmente las entidades que han realizado un proyecto de adecuación normativo, habrán establecido un procedimiento de respuesta y actuación ante el ejercicio de derechos ARCO, que habrá notificado a todo su personal con el fin de atenderlos convenientemente, de lo contrario el proyecto de adecuación normativo a la LOPD no ha sido ni completo ni riguroso.

La eterna lucha contra el SPAM

Recordemos que se denomina “spam” a todo tipo de comunicación no solicitada que se realiza por vía electrónica y que se lleva a cabo mediante el envío de correos electrónicos comerciales, SMS o por medios de comunicación electrónica equivalentes.

Como el coste es mínimo y se trata de envíos que se realizan de manera sencilla y ágil, esta práctica se ha extendido entre aquellas empresas que prefieren arriesgarse y lograr una publicidad efectiva antes que legal y respetuosa con sus clientes y los que pudieran llegar a serlo.

El SPAM se considera grave cuando se realiza de forma masiva, abusiva e indiscriminada según se establece en el artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, modificado por el Real Decreto-Ley 13/2012, de 30 de marzo.

En definitiva, cualquier envío de comunicación con publicidad por medios de comunicación electrónica estarán supeditados a que exista un consentimiento previo, específico, inequívoco e informado, salvo relación contractual anterior y que no se indique voluntad en contra – Comunicaciones electrónicas no deseadas: motivo recurrente de sanción.

La AEPD resuelve que queda acreditado el envío de 3 correos publicitarios una vez manifestó su oposición.

La AEPD acredita en su resolución que el denunciante solicitó en 2 ocasiones la petición del cese en el envío de información comercial, señalando respecto al envío de los 3 correos electrónicos publicitarios lo siguiente:

“[…] No contaba con el consentimiento previo y expreso de la denunciante, toda vez que se enviaron con posterioridad a que éste hubiera manifestado su oposición a la recepción de envíos publicitarios. Por ello, los 3 correos electrónicos enviados […] incumplían la prohibición de remitir comunicaciones comerciales no autorizadas o solicitadas establecida en el artículo 21.1 de la LSSI, ya que se trataba de envíos publicitarios no consentidos por su destinatario, quien había manifestado a la citada entidad su voluntad de no continuar recibiendo publicidad circunstancia perfectamente conocida por dicha entidad”.

Respecto a la culpabilidad de conducta de la imputada, la AEPD señala que:

[…] Le era exigible otra conducta diferente de la que observó, habida cuenta que no adoptó todas las precauciones necesarias en orden a asegurarse que los procedimientos instaurados para tramitar las bajas en el envío de comunicaciones publicitarias funcionaban correcta y efectivamente, considerándose que el argumento de la buena fe resulta insuficiente en atención a la diligencia que le resulta exigible como empresa habituada a la remisión de envíos publicitarios por medios de comunicación electrónica, debiendo, por tanto, velar por el cumplimiento de los derechos de los destinatarios de tales mensajes recogidos en la LSSI, causa por la que debió actuar con más prudencia para justificar la legalidad de su conducta.”

La sanción no fue mayor, ya que la AEPD valoró como circunstancias atenuante la ausencia de intencionalidad, o que hubieses ocasionado perjuicios relevantes al denunciante o generado beneficios a la empresa imputada como resultado de los envíos.

La importancia de cumplir con nuestros procedimientos de respuesta y actuación ante el ejercicio de derechos ARCO

Aunque en la resolución podemos ver que aunque la entidad denunciada manifestó que: disponemos de protocolo interno de atención a cualquier solicitud ARCO referenciada al email […] o por correo ordinario, con personas responsables y sistemas de comunicación. En esta ocasión y debido a que la empresa en esas fechas estaba inmersa en cambios estructurales se ha demorado en el tiempo proceder a la cancelación de los datos solicitada por la denunciante. Entienden que ha habido una demora en el tiempo de ejecución de la mencionada cancelación.”

En definitiva, aunque la entidad manifestó su error al no atender la petición, alegando estar en un momento de cambios internos, no le valió para librarse de la sanción, por eso insistimos a nuestros clientes que si han realizado un proyecto de adecuación normativo riguroso, y por tanto han implementado un procedimiento de respuesta y actuación ante el ejercicio de derechos ARCO, que presten especial atención a los mismos al igual que con la gestión de las suscripciones a los boletines o newsletter,

Seguir los procedimientos que hemos implementado y se encontrarán recogidos en nuestro documento de seguridad es vital para cumplir tanto la LOPD como de la LSSI y de paso trasmitir una imagen de garantías a nuestros clientes y a los potenciales a los que nos queremos acercar.

Puedes encontrar más información acerca de los derechos ARCO en este artículo que tenemos publicado: Como cancelar tus datos personales. Si te envían correos y no te hacen caso, mejor habla con el “primo de Zumosol”

Comunicaciones electrónicas no deseadas: motivo recurrente de sanción | Eurovima Consultin S..L.

Comunicaciones electrónicas no deseadas: motivo recurrente de sanción

Comunicaciones electrónicas no deseadas: motivo recurrente de sanción | Eurovima Consultin S..L.

Computer And Envelop
Photo by ddpavumba in Freedigitalphotos.net

La necesidad de desarrollar acciones económicas de bajo coste ha condenado a muchas empresas y profesionales a pagar un coste muy superior: el de una sanción.

El envío de correos electrónicos comerciales, SMS, WhatsApp, mensajería privada en redes sociales es un recurso sencillo, ágil y muy económico para las empresas, que ha propiciado y extendido la práctica del spam.

Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica.

De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico.

El costo del Spam

La comisión europea y la AEPD (Agencia Española De Protección de Datos) llevan años abordando la cuestión de spam y diseñando campañas para luchar contra una práctica que contamina y genera pérdidas millonarias a las empresas, en productividad, malware y pérdida de confianza de los consumidores.

Pero  hay también otro motivo sustancial: constituye una intrusión en tu intimidad y una vulneración de derechos contemplados en la LSSI-CE y la LOPD.

El envío de comunicaciones comerciales no solicitadas o expresamente autorizadas es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española.

La AEPD tiene la competencia para sancionar la comisión de estas infracciones tipificadas en los artículos 38.3 c), d) e i) y 38.4 d), g) y h) de la LSSI, según dispone el artículo 43.1 de dicha Ley. II

El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, señala lo siguiente:

1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.

2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”.

El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente.

El consentimiento; la clave de las comunicaciones electrónicas

Entre los derechos fundamentales que asisten a los ciudadanos está el de la autodeterminación informativa, es decir, decidir la facultad de toda persona para ejercer control sobre la información personal que le concierne.

Aquí es donde el consentimiento adquiere especial relevancia, porque es la manifestación de voluntad del propio ciudadano sobre la información que le concierne. Derecho que toda empresa o profesional debe respetar antes de utilizar su información con fines comerciales.

Para el consentimiento sea válido, debe tener estas características:

  • Ser previo
  • Ser específico
  • Ser inequívoco
  • Ser informado

El deber de información

Para obtener un consentimiento válido, es imprescindible que vaya precedido por información clara y precisa que permitan al destinatario conocer todas las vicisitudes en el manejo de su información personal.

Esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento.

Como evitar sanciones por comunicaciones comerciales no solicitadas

La legislación no admite dudas al respecto: toda comunicación comercial para que sea legal, debe ser consentida o expresamente autorizada por el destinatario.

Por lo tanto, las normas a seguir para evitar sanciones  serían las siguientes:

  • No enviar e-mails de contenido publicitario a aquellas personas que no lo han solicitado, ni autorizado ni consentido expresamente a menos que destinatario y remitente estén vinculados por una relación contractual previa , en cuyo caso, las comunicaciones comerciales deben referirse solo a los productos y/o servicios de la empresa del remitente, similares a los que inicialmente fueron objeto de contratación;
  • Que se le ofrezca al destinatario la posibilidad de darse de baja respeto de la recepción de e-mails publicitarios mediante un procedimiento sencillo, fácil y gratuito (como un enlace con la palabra BAJA)
  • Establecer un sistema que permita obtener el consentimiento expreso, válido y legal del destinatario, como un formulario de suscripción.
  • Informar siempre de forma clara la identidad del remitente, la finalidad de la información capturada y los derechos de los destinatarios sobre la misma.
  • Nunca enviar  e-mails de contenido comercial en los que se oculte o no se especifique claramente la identidad de la organización que lo envía

LSSI: Sanciones

Desatender cualquiera de estas normas es exponerse a una sanción por  infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d).

Normalmente,  se califica como infracción leve, a menos que:

  • Se produzca un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios
  • El envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b)

En esos casos se trataría de una infracción de carácter grave a los efectos de la LSSI.

La cuantía de las sanciones que se impongan se graduará atendiendo a los siguientes criterios:

  1. La existencia de intencionalidad
  2. Plazo de tiempo durante el que se haya venido cometiendo la infracción
  3. La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  4. La naturaleza y cuantía de los perjuicios causados.
  5. Los beneficios obtenidos por la infracción.
  6. Volumen de facturación a que afecte la infracción cometida.
  7. La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.

Sin duda, otro factor decisivo a la hora de estimar el monto de la sanción será el grado de diligencia manifestaba por el infractor para evitar, prevenir o subsanar ese error.

La falta de diligencia opera como agravante

Si una empresa o profesional no ha desarrollado las medidas y controles necesarios para evitar que un cliente reciba comunicaciones comerciales tras revocar su consentimiento previo tendrá un problema mucho mayor.

Una muestra de diligencia clara consiste en poder demostrar por ejemplo, la existencia de mecanismos de control oportunos para gestionar las bajas, sistemas de información al destinatario, herramientas para obtención de consentimiento, etc.

Por eso es imprescindible la presencia de un profesional que desarrolle, implante y acredite en adecuado cumplimiento normativo respecto a comunicaciones comerciales y evite los daños económicos y reputaciones que origina una denuncia.