Entradas

17 de mayo de 2015, Día de Internet: objetivos y consejos

dia de internetUn año más, y desde el año 2005 a iniciativa de la Asociación de Usuario de Internet (AUI), el día 17 de mayo se celebra el Día Mundial de las Telecomunicaciones y la Sociedad de la Información, conocido como el “Día de Internet”, con una serie de objetos, entre otros:

  • Difundir y promover el uso de internet en la sociedad.
  • Reducir la brecha digital, sirviendo de oportunidad para favorecer el acceso de los no conectados a la sociedad de la información.
  • Aprovechar el potencial que internet nos brinda.

Para dar mayor repercusión a este día, se han impulsado una serie de actividades que se desenvuelven en un espacio temporal más amplio, en una semana, en la que se han agrupado actos y eventos a los que se han sumado un buen número de empresas que ofrecen productos y servicios en condiciones especiales durante estos días.

Aplicando el sentido común y 4 aspectos básicos tenemos mucho ganado

Desde EUROVIMA, queremos hacer hincapié en que simplemente empleando el sentido común que aplicamos en nuestra vida “real” a nuestra vida “digital”, tenemos mucho ganado, y en todo caso nunca debemos olvidar estos 4 aspectos esenciales que garantizan el equilibrio entre el binomio uso de internet y privacidad:

  • Dispositivos móviles y geolocalización. Nuestros móviles y tabletas son cada vez capaces de almacenar mayor cantidad de información personal que debemos proteger con clave. No des datos de tu ubicación de manera innecesaria.
  • Apps: datos recabados y navegación. Las cookies.- Antes de su instalación asegúrese de leer y comprender las condiciones de uso y privacidad, los tipos de datos personales que pueden recoger y el uso que la app hará de esa información. Las cookies, esos pequeños archivos que se instalan cuando navegamos por páginas web, darán información sobre nuestros hábitos de comportamiento, preferencias, gustos, consumo, etc. Activa la navegación privada y elimínalas cada cierto tiempo.
  • Redes sociales. Debemos revisar de manera periódica nuestro perfil y la configuración de privacidad que la Red Social nos ofrece, respetando la privacidad de terceros, no publicando imágenes o vídeos sin su consentimiento.
  • Menores. Al igual que acudimos a una autoescuela para que nos enseñen a conducir, a los menores habrá que enseñarles a navegar por internet. Los menores son especialmente vulnerables en el mundo online y tenemos la obligación y el deber de acompañarles en sus principios de navegación y hacerles ver y entender la importancia de preservar su privacidad y la de su entorno.

Podéis encontrar más información en http://www.diadeinternet.org/2015/

Protección de datos: Resumen 7ª Sesión Anual Abierta de la AEPD, Conclusiones

Protección de datos: Resumen 7ª Sesión Anual Abierta de la AEPD, Conclusiones Ayer 21 de abril de 2015, nuevamente en el Teatro Real de Madrid, es decir, en un marco acorde con el evento, se celebró la 7ª Sesión Anual Abierta de la Agencia Española de Protección de Datos (AEPD).

Un año más con el aforo completo, cerca de 1.200 profesionales de la privacidad y la protección de datos, asistimos a la cita de la AEPD con objetivos como:

  1. Escuchar de la propia Agencia los acontecimientos más significativos en materia de protección de datos personales que se han producido en el último año y su opinión sobre dichas cuestiones, confiando en que no fuese la mera exposición de la memoria anual de la AEPD.
  2. Poder conocer alguna novedad significativa en la materia, y sobre todo del “estado” del Reglamento Europeo, quizás el objetivo más deseado cada año y a la vez el más inalcanzable.
  3. Confiar en que las preguntas expresadas por los asistentes y formuladas de manera previa al evento, sean respondidas con criterios de aplicación efectiva-real y no invocando al artículo de turno.

Lo cierto, es que un año más hemos salido un tanto defraudados con la AEPD, ya que por un lado las novedades tienen una aplicación profesional “limitada”, y por otro la exposición del Director de la Agencia ha confirmado los temores manifestados en el primer punto mencionado, es decir, se ha limitado casi a la exposición de la memoria anual de la AEPD, que ya todos conocemos, y al consabido repaso del victorioso “caso Google” y el “derecho al olvido”.

El Reglamento Europeo

La mayor decepción ha sido una vez más escuchar que el nuevo Reglamento Europeo sigue paralizado, por muchos avances por bloques o capítulos parciales que se vayan alcanzando la realidad es que en palabras del Director “nada estará aprobado hasta que todo esté aprobado”, y por eso a este paso, permítanme la broma, “todos jubilados”.

También destacar las dudas que siempre surgen por atentados como el de París. Dudas entre seguridad frente a privacidad, en base a la necesidad de realizar tratamientos masivos de datos de pasajeros, su proporcionalidad, utilidad e idoneidad, en definitiva optar por una “mejor” o “mayor” información.

Guía sobre protección de los datos personales y la reutilización de la información del sector público: la anonimización

De las pocas novedades, destacar que la AEPD está elaborando una Guía sobre protección de los datos personales y la reutilización de la información del sector público, que una vez publicada será sometido a consulta, y que incluirá orientaciones prácticas buscando favorecer la reutilización de la información del sector público pero minimizando los riesgos de reidentificación de las personas y de su información.

Para la elección de la técnica más eficaz los procesos de anonimización deberán ser evaluados teniendo presente los avances tecnológicos en el análisis de datos, el exponencial crecimiento de la información disponible y en general, su perfil dinámico. Todo ello para garantizar el carácter irreversible en base a una técnica de anonimización adecuada y de garantías que aúne coste, esfuerzo y beneficio, siempre desde el diseño, y que permita afirmar que dicha información quedará excluida de la aplicación de la LOPD.

Aspectos a destacar a efectos prácticos de aplicación profesional en materia de protección de datos

Mencionar la entrega de los premios de protección de datos, y del resto de temas a efectos prácticos de aplicación directa para la mayoría de los asistentes, resaltar:

  • El nuevo procedimiento NOTA, que en general será más funcional y versátil, permitiendo notificar varios ficheros a la vez.
  • Las dudas sobre la figura del DPO, del que parece razonable pensar que habrá un registro.
  • La consideración que la AEPD manifiesta tener sobre los profesionales de la privacidad, con los que dice colaborar y desea seguir haciéndolo, todo ello pese a la falta de recursos y medios de los que la Agencia dispone.
  • Algunas menciones de sentencias y resoluciones, al igual que las respuestas a las consultas planteadas, que habrá que ver con calma una vez expuestas en la página web de la Agencia.

NUESTRAS CONCLUSIONES:

Este evento sirve seguro para seguir poniendo de manifiesto, que hay un amplio sector profesional de la privacidad que tiene gran inquietud e interés por saber cómo aplicar los principios de la LOPD. De igual manera, poder transmitir la necesidad del cumplimiento efectivo a nuestros clientes y en general a las personas que necesitan conocer la manera de salvaguardar su privacidad.

Cuando menos, lo que señalamos el pasado año en este post resumen (6ª sesión anual AEPD) “…llegamos a la conclusión que según la AEPD el cumplimiento normativo es “gratis””, ya no parece tan evidente, una vez la Agencia ha cambiado su mensaje pasando a “no es difícil”. Este mensaje simple, nos deja bastante contentos y con ganas de continuar.

En todo caso, seguro que cualquiera de los casi 1.200 de los profesionales en materia de asesoría LOPD venidos de toda España que nos hemos citado en Madrid, os podremos ayudar, no solo haciéndolo fácil, sino también efectivo y real.

Por una privacidad de una sola “velocidad”, por un marco normativo europeo común | Eurovima Consulting S.L.

Por una privacidad de una sola “velocidad”, por un marco normativo europeo común

Por una privacidad de una sola “velocidad”, por un marco normativo europeo común | Eurovima Consulting S.L.El pasado 28 de enero, con motivo del Día Europeo de Protección de Datos, en el blog de la Asociación Profesional Española de Privacidad (APEP) han publicado un artículo escrito por nuestro CEO, Rafael Varela del que os dejamos una reseña y os invitamos a leer completo en este enlace

Hoy 28 de enero de 2015 estamos celebrando el día de la Protección de Datos en Europa por 9º año consecutivo.

Se trata de una jornada festiva, que impulsada desde la Unión Europea por las autoridades de Protección de Datos de los estados miembros, pretende promover el conocimiento entre los ciudadanos europeos sobre cuáles son sus derechos y responsabilidades en el ámbito de protección de datos y por ende de la privacidad.

Seguramente muchos de nuestros amigos lectores, tendrán cierta información sobre los aspectos que enmarcan su privacidad, pero sobre todo de lo que les gusta y les disgusta de manera especial cuando alguien sobrepasa ciertos límites que atentan contra su persona o entorno. Todos tenemos medianamente claro cuando algo o alguien pretende menoscabar nuestros derechos en materia de protección de datos personales, pero no tanto cuando salimos de nuestro ámbito, canal o esfera cotidiano, y me explico.

Los tiempos están cambiando, siguen cambiando, pero las leyes no lo hacen al mismo ritmo. []

Sanción AEPD: El Responsable del Fichero “también” responde del incumplimiento del Encargado de Tratamiento | Eurovima Consulting S.L.

Sanción AEPD: El Responsable del Fichero “también” responde del incumplimiento del Encargado

En esta ocasión queremos hablaros de una sanción que la Agencia Española de Protección de Datos (AEPD) ha impuesto a dos empresas, una que actuaba como responsable de fichero y otra como encargada de tratamiento de la anterior. El motivo de la sanción es el incumplimiento del deber de información regulado en el art. 5 de la Ley de Protección de datos (LOPD).

La primera de ellas, responsable del fichero, encomendó a la segunda, encargada de tratamiento, la gestión de los servicios de “Call Center” de ésta.

En su defensa inicial, el responsable del fichero y el encargado de tratamiento alegaron que la LOPD no les es aplicable porque tratan datos de entidades jurídicas, y en su caso, de las personas que trabajen para estas entidades, por lo que les sería de aplicación la excepción del art. 2.2 del Reglamento que desarrolla la LOPD (RDLOPD). Pero a lo largo del procedimiento se ha demostrado que se trataban datos de otras personas como familiares o cualquier persona que llamase al “Call Center” con motivo de la relación con la responsable del fichero y se atendían llamadas por personas interesadas en adquirir vehículos de ocasión, siendo desestimada dicha excepción del art. 2.2 del RDLOPD

El origen de la denuncia

Partió del representante sindical que denunció que si bien las llamadas recibidas por el “Call Center” se grababan por acuerdo entre las partes, posteriormente el encargado de tratamiento, y por su cuenta envió un correo electrónico a los coordinadores del servicio diciendo a sus empleados que no se debía informar a los llamantes de que las conversaciones eran grabadas.

La AEPD resuelve que existe corresponsabilidad de ambas entidades

La resolución pone de manifiesto que: “Es al responsable del fichero y tratamiento, a quien corresponde adoptar las cautelas para el cumplimiento de los mandatos de la LOPD y su inobservancia le hace responsable del tratamiento de datos objeto de de la denuncia, con independencia de la actuación del encargado del tratamiento” añadiendo que “no ha aportado elementos de juicio suficientes que permitan entender que dio instrucciones precisas al respecto y no había previsto ningún mecanismo ni establecido ningún control al respecto, ni una obligación cierta, expresa y determinada

Esta corresponsabilidad, viene marcada en la sentencia que establece: “Sobre este particular decir que interpreta el art. 12.4 de la LOPD la sentencia de 14/03/2007 Recurso 280/2005, que haciéndose eco de la anterior Sentencia de 13/04/2005 Rec.241/2003, establece que lo que determina la LOPD en el mismo es que si el encargado del tratamiento destina los datos a una finalidad distinta a la indicada, los comunica o los utiliza incumplido las estipulaciones del contrato “… “será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”.

“El término “también” deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del tratamiento no pierde su condición de tal, ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento, que incumpla lo estipulado, se le atribuya “también” la consideración de responsable del tratamiento…”

Pese al incumplimiento del encargo del Responsable del Fichero, ambos fueron sancionados con 2.300€

En definitiva, aunque el encargado de tratamiento por propia iniciativa es responsable de haber dado instrucciones específicas y expresas a sus trabajadores para que no informen sobre las grabaciones, el responsable del fichero o tratamiento responderá de las infracciones cometidos con motivo del encargo, aunque el encargado del tratamiento haya incumplido sus instrucciones, por no vigilar que esté cumpliendo con la normativa sobre protección de datos.

¿Qué conclusiones podemos extraer de todo lo expuesto?:

  • El deber de información del art. 5 de la LOPD, debe ofrecerse siempre, aunque se haga de forma telefónica, incluso teniendo el consentimiento del titular de los datos para tratar los mismos, por ejemplo por motivo de un contrato previo.
  • Cuando se traten datos de empresas o sus empleados, se hará siempre cumpliendo con la finalidad para los que se recabaron los mismos. Los datos de los empleados que están excluidos de la norma son nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales.
  • Debe existir siempre un contrato, entre el responsable de fichero y el encargado de tratamiento, conforme al 12 de la LOPD, que regule la situación del tratamiento de datos por cuenta del responsable del fichero, en el que se darán instrucciones precisas de cómo se debe actuar por parte del encargado de tratamiento.
  • El incumplimiento de dicho contrato, o de la normativa sobre protección de datos por parte del encargado de tratamiento, con motivo de esta relación, le convierte en responsable de tratamiento, y por tanto se le podrá sancionar. Pudiendo sancionar también al responsable del fichero por no vigilar que el encargado cumpliendo con la normativa sobre protección de datos.

Si queréis más información sobre este procedimiento lo podéis consultar en este enlace.

Desde Eurovima, recomendamos a las empresas regular muy bien las relaciones con los terceros con los que contratamos nuestros servicios y que traten/accedan a datos personales de los que somos responsables, como puedan ser asesores, hosting, informáticos, “Call Center”… y sobre todo que seamos “diligentes” a la hora de elegirlos, cuestión que genera controversia en materia LOPD, al ser un argumento que ha empleado en distintas ocasiones y sobre el que ya hemos hablado: “Nube” o Cloud Computing. Seamos diligentes…

Protección de Datos: Resumen del Foro Debate “Privacy by design” organizado por sección TIC del ICAM, DENAE y APEP | Asesoría Protección de Datos Madrid

Protección de Datos: Resumen del Foro Debate “Privacy by design”, con ICAM, DENAE y APEP

Protección de Datos: Resumen del Foro Debate “Privacy by design” organizado por sección TIC del ICAM, DENAE y APEP | Asesoría Protección de Datos MadridAyer 14 de enero de 2014, en un lleno Salón de Actos del Ilustre Colegio de Abogados de Madrid (ICAM) tuvo lugar un interesante foro de debate que giró sobre la privacidad desde el diseño, es decir, sobre la necesidad de asegurar que cualquier “proyecto” desde la fase de planificación de los procedimientos y sistemas, contemple el cumplimiento de las garantías de protección de los datos de carácter personal que vaya a tratar.

Ponentes.

  • Leticia Lopez-Lapuente. Responsable jurídico de protección de datos Grupo Sanitas.
  • Isabela Crespo. Abogada área de Propiedad Intelectual, Tecnologías y Protección de Datos de Gómez-Acebo & Pombo.
  • María González Moreno. Asociada de ECIJA
  • Antonio Ramos. Vicepresidente de ISACA Madrid

La sesión convocó a más de 100 profesionales del ámbito de la LOPD, presentada por Paloma Llaneza, contó con una fluida moderación que corrió a cargo de Marcos Judel, destacando la buena dinámica en la que transcurrió el debate, no solo entre los ponentes, también de los asistentes que participaron de manera activa.

Las reflexiones que personalmente me gustaría destacar sobre “Privacy by design” y sus implicaciones empresariales, son las siguientes:

  • Tratemos de reducir riesgos, ya que el riesgo nulo no existe.
  • El coste de no tenerlo previsto será más alto cuanto más tarde decidamos asumirlo.
  • Oportunidad de generar valor y obtener una ventaja competitiva del cumplimiento normativo.
  • Aunar accountability y responsabilidad con la transparencia.
  • Que la diligencia en la empresa quede patente en su implementación. Hay que ser proactivos y preventivos.
  • La necesidad de concienciación interna y en todas las áreas de la empresa, y por supuesto desde la Dirección. Evitar enfrentamientos entre seguridad y privacidad.
  • Debemos ser capaces de verificarla y medirla, otra cuestión es quién y cómo.

La privacidad en todos sus ámbitos.

La excusa era hablar de la privacidad desde el diseño, pero desde un primer momento, se vio que como siempre, la privacidad engloba tantos aspectos, actores, conceptos y dudas, que resultó imposible no hablar de todo un poco. Entre otros aspectos, se debatió sobre:

  • El esperado Nuevo Reglamento Europeo de protección de datos, que aunque se hace muy necesario, nos hay previsiones para que llegue antes del 2016.
  • De la figura del DPO (Data Protection Officer) o Delegado/Responsable de Protección de Datos, de su obligatoriedad, de su nombramiento, independencia, perfil y funciones
  • De los mercados, normativa y competitividad: local vs global

En definitiva, agradecer a ICAM, DENAE (Asociación Española de Derecho del Entretenimiento) y APEP (Asociación Profesional Española de Privacidad) esta buena oportunidad para poner sobre la mesa, la actualidad y las inquietudes que a los profesionales en materia de protección de datos nos mantiene en constante conexión.

LOPD: Derechos ARCO, 6.000€ de sanción por no cancelar sus datos

photo credit: David Feltkamp via photopin cc

photo credit: David Feltkamp via photopin cc

En la vida en muchas ocasiones hay que insistir, hacernos oír y luchar por lo que consideramos justo. Luego la justicia o el órgano competente dirá si tenemos o no razón, y en este caso, vemos como la Agencia Española de Protección de Datos (AEPD) atendió en segunda insistencia la denuncia de una persona que estimaba lesionados sus derechos respecto a la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD).

Este artículo es un ejemplo claro de aplicación sobre el que hace unos días escribimos: Cómo cancelar tus datos personales. Si te envían correos y no te hacen caso, mejor habla con el “primo de Zumosol”, en el que el papel del primo de Zumosol recae en la AEPD.

EL MOTIVO DE LA DENUNCIA

El denunciante se dio de alta como Usuario para un servicio concreto, solicitando información sobre productos y servicios de la entidad. Posteriormente mediante el envío de un email a la dirección de la página web del denunciado, les requirió que no habiendo recibido ningún servicio, cancelen todos mis datos personales y me comuniquen que dicha cancelación se ha producido”.

El denunciante continuó recibiendo llamadas comerciales en las que reiteró su solicitud de cancelación, no recibiendo en ningún caso comunicación sobre su solicitud, por lo que decidió presentar denuncia ante la AEPD solicitando su tutela.

LA AGENCIA NO ATENDIÓ INICIALMENTE SU PETICIÓN, NI EL RECURSO.

Aunque inicialmente la AEPD acordó la inadmisión a trámite de la reclamación de tutela de derechos, al considerar que “la solicitud de cancelación remitida por correo electrónico no permite acreditar su recepción por la entidad reclamada, y tampoco aceptó el recurso de reposición por los mismos motivos señalados, posteriormente en su resolución sí consideró que el medio empleado por el denunciante para dirigir su solicitud de cancelación de datos fue el adecuado ya que así lo establecía la entidad a través de su web, ordenando el inicio de las Actuaciones de investigación para esclarecer los hechos.

FINALMENTE: LA SANCIÓN

La sanción señala que “habiendo comprobado que la petición de información del denunciante no había sido atendida, en el momento en que éste ejercitó el derecho de cancelación, en lugar de atenderlo, plantearon recuperar la solicitud de información sobre los servicios de la entidad remitiendo los datos a otro concesionario o por otro medio, habiéndole realizado llamadas telefónicas con este fin en fechas posteriores al ejercicio del derecho, lo que supone un tratamiento de los datos del denunciante contrario a la disposición efectuada por éste y demuestra, en definitiva, que el derecho no fue atendido”.

Además indica, que se incumplió la obligación de contestar la solicitud de cancelación y no comunicarla a los cesionarios a los que se había remitido los datos, para que éstos, a su vez, procedieran a cancelarlos, lo que supuso una infracción del artículo 16 de la LOPD, conforme al derecho de cancelación ejercitado por el denunciante.

En definitiva, por no resolver sobre la petición de acceso en el plazo máximo de 10 días ni proceder al borrado físico de sus datos o a su bloqueo, volver a comunicarse para reactivar el servicio al Usuario y no comunicarlo a los cesionarios, le fue impuesta una sanción de 6.000€. La sanción no fue mayor, ya que la AEPD estimó que:

  1. El denunciado no había obtenido un beneficio de dicha acción
  2. No era reincidente
  3. No provocó perjuicios distintos derivados de la propia infracción y
  4. ha mostrado su disposición a mejorar sus procesos internos para atender dichos derechos (acreditando la elaboración de un nuevo proceso de ejercicio de derechos ARCO y su ofrecimiento para colaborar).

 Pueden consultar el procedimiento sancionador en este enlace

Como cancelar tus datos personales. Si te envían correos y no te hacen caso, mejor habla con el “primo de Zumosol”. | Eurovima Consulting | Asesoría Protección de Datos | LOPD | Madrid

Como cancelar tus datos personales. Si te envían correos y no te hacen caso, mejor habla con el “primo de Zumosol”.

Como cancelar tus datos personales. Si te envían correos y no te hacen caso, mejor habla con el “primo de Zumosol”. | Eurovima Consulting | Asesoría Protección de Datos | LOPD | MadridSuele ser muy habitual que nos llamen, envíen SMS o correos electrónicos de empresas/profesiones/asociaciones (vamos a llamarlas “entidades”) a las que no recordamos haberles facilitado nuestros datos, cuestión que ya puede ser una infracción de la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD), pero es que además aunque tratemos de que no lo vuelvan a hacer, en muchos casos lo siguen haciendo.

¿Qué podemos hacer para cancelar nuestros datos?

Como somos educados, lo primero es dirigirnos a la “entidad” para indicarles que no nos molesten más, aunque en ocasiones no tenemos una manera clara para comunicarnos (cuestión a la que están obligados por otra Ley; la LSSI).

Si hemos logrado contactar, esperamos que surta efecto, pero en caso de insistir en sus molestas comunicaciones, tenemos que saber que podemos acudir a la Agencia Española de Protección de Datos (AEPD) diciendo que estimamos lesionados nuestros derechos respecto a la LOPD y queremos ejercer la tutela de derechos, es decir, que sea la AEPD la que le pida explicaciones.

Qué derechos tenemos sobre el control de nuestros datos personales: Derechos ARCO; de Acceso, Rectificación, Cancelación y Oposición

Veamos, de manera resumida y clara, que significa cada derecho:

  • Derecho de Acceso. De obtener información sobre si están tratando nuestros datos, la finalidad del tratamiento y como los han obtenido.
  • Derecho de Rectificación. A que modifiquen nuestros datos si son inexactos o incompletos.
  • Derecho de Cancelación. A que los eliminen en caso de ser inadecuados o excesivos.
  • Derecho de Oposición. A que no traten nuestros datos de carácter personal o se cese en el mismo (por ejemplo en ficheros con fines publicitarios)

¿Cómo ejercitar los derechos ARCO?

Estos derechos sólo pueden ser ejercidos por el titular de los datos o un representante acreditado, es decir, su ejercicio es “personalísimo”.

Para poder ejercerlo, las entidades (responsables del fichero) deben facilitar medios sencillos y gratuitos, dando respuesta (siempre han de responder, aunque sea para decirnos que no tienen datos nuestros) en los plazos que la LOPD establece. Si creemos que nuestros derechos no son atendidos en tiempo y forma (motivada y detallada), podemos acudir al “primo de zumosol”, es decir, a la tutela de la Agencia Española de Protección de Datos (AEPD).

Algún ejemplo de sanción de la AEPD

La de un usuario que se dió de alta para un servicio, solicitando información sobre los productos de la entidad, requiriendo posteriormente mediante el envío de un email a la dirección de la página web del denunciado, que no habiendo recibido ningún servicio, “cancelen todos sus datos personales y le comuniquen que dicha cancelación se ha producido”.

Posteriormente recibió llamadas comerciales, en las que reiteró su solicitud de cancelación, no recibiendo en ningún caso comunicación sobre su solicitud, por lo que decidió presentar denuncia ante la AEPD, solicitando su tutela.

La AEPD en su resolución de 25-07-2014; PS-00088-2014 estimó infracción del artículo 16 de la LOPD, por no resolver sobre la petición de acceso en el plazo máximo de 10 días ni proceder al borrado físico de sus datos o a su bloqueo, volver a comunicarse para reactivar el servicio al Usuario y no comunicarlo a los cesionarios, le sancionó con 6.000€.

La sanción no fue mayor, ya que la AEPD no estimó dolo, ni beneficio y por ser diligente al revisar sus procedimientos del ejercicio de los derechos ARCO.

Como siempre a vuestra disposición si necesitáis ayuda para ejercer cualquiera de estos derechos y agradecemos los comentarios.

Para más información visita los siguientes enlaces a la AEPD:

 

Cómo aplicar el Derecho al olvido. Expertos de Google se reúnen en Madrid

2568436053_a9734f5d0d_zEl pasado día 9 de septiembre de 2014, en la Casa de América, de Madrid, tuvo lugar la primera de las 7 reuniones del Consejo Asesor de Google sobre derecho al olvido. Y nosotros estuvimos allí.

QUIÉN ASISTIÓ AL EVENTO

La sesión convocó a un gran número de autoridades y expertos en temas de derecho e internet. Allí  estuvo entre muchos otros el Presidente Ejecutivo de Google en España, el Vicepresidente Mundial de Google, el fundador de la Wikipedia, un relator especial de Naciones Unidas, el ex-director de la Agencia Española de Protección de Datos, magistrados, letrados, historiadores, profesores y doctores en derecho, y Asociaciones de usuarios. Una gran representación del mundo de internet.

La sesión se celebró a puerta cerrada, pero un limitado número de asistentes pudimos estar presente como espectadores, y participar en el evento con nuestras preguntas.

PORQUÉ SE CELEBRA ESTA REUNIÓN

Para ponernos en antecedentes, Google fue condenado en una Sentencia del Tribunal de Justicia la Unión Europea, de mayo de 2.014, a “desindexar” en sus buscadores los datos personales de personas concretas, de tal modo que sea imposible realizar búsquedas en atención a un nombre y apellido, y que se relacionen datos o hechos determinados a personas especificas.

Pero este derecho no resulta ilimitado, y para que Google elimine esos datos de la búsqueda se tienen que cumplir una serie de requisitos, que aun no están definidos claramente.

La Sentencia, aunque fundamentada jurídicamente, deja muchos cabos sueltos, de los que no se han contemplado solución. En parte porque no se preguntaron en el asunto judicial, o porque ni siquiera se contemplaron en ese momento.

Todo ello a petición de un usuario que no quería que lo encontrasen con la búsqueda de su nombre completo en Internet vinculado a una información de deudas pasadas, y saldadas, ya que su reputación, y solvencia se veía afectada.

Desde que se publicó la Sentencia Google ha recibido más de 100.000 peticiones de borrado (de las que ha admitido aproximadamente la mitad), habilitando un procedimiento para solicitar el mismo. Google está obligado, pero los criterios que debe seguir para aceptar o no las peticiones no están definidos.

Por ello desde Google y para sentar criterios se está haciendo una labor de recopilación de información, consejos, opiniones, y jurídica, que le ayude en la toma de decisiones para una correcta aplicación, demostrando su aparente interés en hacer las cosas bien.

El Consejo Asesor, se reunirá en más ciudades, y convocará a nuevos expertos en el tema, en búsqueda de una conclusión.

DE QUÉ SE HABLÓ EN ESTA SESIÓN

En esta sesión, se discutieron muchos temas de interés. Cada participante vertía su opinión sobre un tema, y en su caso proponía soluciones, o recomendaciones. Por su parte desde Google, se repreguntó sobre algunas cuestiones, para aclarar conceptos u opiniones.

Uno de los temas que me llamó la atención es la posición de partida de los buscadores.

¿Son meros enlazadores de datos?, y como consecuencia únicamente se encargan de poner en listas los enlaces a las distintas páginas donde se encuentra la información resultado de la búsqueda. ¿O además son Editores de contenido? Es el supuesto de que pueda decidir sobre el contenido de las páginas a las que enlaza.

Pero es que los buscadores además se podrían convertir en editores de contenido, puesto que al fijar criterios de búsqueda determinados, favorecen o obstaculizan la visibilidad de una página en concreto. Recordemos que se han creado profesiones que lo que pretenden es el posicionamiento de una Web atendiendo a los criterios que proponen los buscadores.

¿Es lo mismo desindexado que borrado?

No, el borrado de información, lo debería realizar el editor de datos o contenido, es decir la página web. La solicitud se debería dirigir a éste.

Por el contrario con la desindexación, el buscador, incluso el editor de la Web, puede utilizar unas herramientas informáticas llamadas “no robot.txt” que lo que hacen es que unas determinadas palabras no puedan ser reconocidas por los buscadores, y por lo tanto dificultaría su localización.

¿Se han convertido los buscadores en Jueces?

Al exigirles esta labor de desindexado, deberán decidir en qué supuestos deben conceder la petición al usuario y en cuáles no. Los criterios para realizar esta labor de decisión, en los estados democráticos, se deben fijar en normas por los legisladores, y en su caso los jueces son los que deciden finalmente entre la colisión de derechos, el derecho del usuario, el del buscador, o el del editor…

También los organismos reguladores, como La Agencia Española de Protección de Datos, tienen algo que decir, mediante la fijación de criterios, de interpretación.

Se planteó la posibilidad de regular la situación en el Nuevo Reglamento de protección de datos que se está discutiendo aún a nivel Europeo.

¿Qué se entiende por derecho al olvido?

No existe ninguna norma que regule este supuesto derecho. ¿Estamos hablando del derecho de cancelación de la LOPD? Cuyo bien jurídico protegido es el dato personal. ¿O se trata de ofensas al honor, intimidad o la imagen?

¿Se debe tener en cuenta el origen de la información?

La publicación de contenidos puede tener origen en diversos supuestos, de manera voluntaria, o por obligación legal, como consecuencia de la libertad de información…

¿Debe existir un daño, o se trata de un derecho de arrepentimiento?

Sería el usuario que podría borrar cualquier dato que él mismo publicó. Por ejemplo la foto de adolescentes borrachos en las fiestas de Ibiza, que ahora sale a la luz cuando buscas trabajo.

¿Debe existir autorización para la publicación en todos los casos?

La autorización debería venir dada por el propio usuario, o por una norma legal que regule un derecho en colisión, como pudiera ser el deber de información, libre disposición del empresario, u otros derechos…

¿Todos tenemos este derecho?

No deberían tener la misma consideración una persona física no conocida, que una pública. Y aun así ¿sería admisible la existencia de contenidos de una persona pública referidos a situaciones que se escapan de su condición pública? Es decir son de interés los datos del matrimonio del hijo de la cantante.

¿Consideramos que se deberían borrar los datos de la noticia del político corrupto? ¿O esos datos deberían poder ser consultados en cualquier momento?

Y las personas jurídicas, las empresas, asociaciones, comunidades… ¿tienen también este derecho?

En este caso se podría hacer una limpieza de cara de tal manera que sólo aparecerán las informaciones que nos favorezcan y se borrarán todas aquellas que nos causen perjuicio, o simplemente no nos gusten.

¿Cuánto tiempo debe ser localizable una información? ¿Se opone el derecho al olvido al derecho a la memoria histórica?

En el caso de la comisión de un delito, por el que ya se ha cumplido condena, y se han cancelado los antecedentes penales. ¿Resultaría lícito incluir los resultados de la búsqueda en Internet? Se ha cumplido ya suficientemente la condena. Pero puede existir un escarnio de por vida al existir esta posibilidad de encontrar la información. Pero y qué pasa con los violadores…

Si se retiran los contenidos, o se imposibilita su localización, ¿Se está afectando a la historia? Los buscadores han ahorrado mucho tiempo a los historiadores, en la búsqueda de información para poder contrastar. Si se borra dicha información quedará inaccesible a la historia.

Otra solución sería el borrado o desindexación temporal de la información, de tal manera que como ocurre con los documentos desclasificados de los gobiernos, transcurrido un tiempo se puedan consultar ciertos documentos.

NUESTRA CONCLUSIÓN

Esta es la primera de las reuniones planteadas. No existe una conclusión preliminar, sino una serie de cuestiones de las que existe diversidad de opiniones.

De momento Google, tiene la obligación y facultad de decisión, y lo que decida puede sentar un precedente, o llevarle a la asunción de una multa por incumplimiento de la Sentencia. Y todo ello sin tener unos criterios fijos, claros, y determinados. El camino que ha adoptado la empresa, me parece, como mínimo, favorable, puesto que demuestra un interés sobre el tema. Además con este tipo de reuniones se genera un debate en la red, que de otra forma, y con la petición de informes a estos expertos de forma privada, no generaría.

Nosotros, mientras tanto, estaremos pendientes de las novedades que resulten, para informaros puntualmente, sobre la manera en que se aplicará este “derecho al olvido”, y defender vuestros derechos.

Resumen del evento: “Big Data: claves de negocio y retos jurídicos”.

IMG-20140519-WA0005Ayer 19 de mayo de 2014, en las funcionales instalaciones del BBVA Innovation Center de Madrid, se celebró un foro de debate bajo el título “Big Data: claves de negocio y retos jurídicos” con la organización conjunta de APEP, DENAE e IAB SPAIN, en los que intervinieron 4 expertos que dieron un enfoque al evento desde los puntos de vista del negocio y jurídico: Pepe Cerezo, Mikel Lekaroz, Antonio Muñoz y Javier Puyol.

El foro giró sobre el tratamiento de la información y el marketing digital basado en el Big Data y los retos que supone para su cumplimiento normativo, dada la eclosión y el desarrollo que ha alcanzado.

Pepe Cerezo.- Decisiones de negocio en tiempo real (FAST DATA)

Inició su intervención con un repaso a la evolución de los negocios en los últimos 25 años. Desde la creación de las primeras páginas web hasta el “internet de las cosas”, pasando por el Cloud, la Redes Sociales y la era Mobile, que en su opinión dará lugar a la llamada “internet expandida”, que será un compendio de todas ellas. De cómo esa evolución ha servido para alimentar esos negocios que han surgido en cada etapa, cuyo combustible han sido y son los datos. Cómo desde el conocimiento se ha pasado a la segmentación para poder tomar decisiones en tiempo real en base a una publicidad personalizada puesto que “los datos son la voz de los Clientes”.

Mikel Lekaroz.- El dato en medios ha dejado de usarse como ametralladora, se trata de ir al “objetivo”.

Su enfoque se basó en el triángulo formado por la transformación digital, marketing y modelos de negocio, cómo se ha transformado la manera de medir las audiencias, de la evolución en busca de dejar de ser ineficiente, irrelevante e indiscriminada que en definitiva ha derivado en un cambio en el modo de pensar. Gracias al Big Data está todo conectado, y la evolución tan brutal que ha tenido ha supuesto un “Gap” entre regulación y tecnología, en el que Mikel aboga por una autorregulación basada en el cumplimiento de lo que decimos.

 Antonio Muñoz.- Big Data no es Big Brother

Asociar ambos conceptos distorsiona la realidad pues cuestiona el principio que ha de legitimar la recogida de datos dadas las implicaciones jurídicas que suponen. Por ello aboga por un balance entre la trasparencia y la información, que ha de contemplar el Reglamento Europeo de Protección de datos, que partirá desde el principio incuestionable de la legitimación en la captura, pasando por la seguridad de su almacenamiento (Cloud) y la participación de “terceros” en el proceso, es decir, de aquellos que accedan, traten o gestionen dicha información.

 Javier Puyol.- El derecho civil debe ganar “peso” frente a la privacidad en el Big Data.

Apuesta por simplificar la problemática del Big Data, en el que la disociación debe ser parte del proceso que aúne consentimiento, conocimiento y derechos, además de quedar claramente identificada la responsabilidad de cada uno de los actores que intervienen en el proceso, en el que la propia evolución del Big Data supone un reto para lograr el consentimiento.

Nuestra opinión:

Interesantes exposiciones que personalmente dejan latente la necesidad de contar con una regulación, que si bien no logrará cerrar el “Gap” mencionado, no debería dejar que el mismo continuase agrandándose.

A propósito del comentario realizado en el foro sobre que el Big Data creará 4,5 millones de empleados en los próximos años, quisimos hacer una pequeña reflexión aunque quizás no era el momento puesto que el debate podía quedar desenfocado. Sin embargo, lo queremos dejar en el aire por si alguno quiere aportar su visión sobre si al igual que se crean esos puestos de trabajo, no habrá que pensar en lo que se destruye, o lo que es lo mismo, si el Big Data en sí mismo no destruye, en este caso, nuestra privacidad.

Si hacemos un símil con la “Ley de la conservación de la materia”, podríamos decir que “el dato” no se crea ni se destruye solo se transforma. Por ello, regular esa “transformación” en base a las nuevas claves de negocio, es el verdadero reto jurídico.

 

Os dejamos el enlace al vídeo del evento.

https://www.centrodeinnovacionbbva.com/eventos/32600-big-data-claves-de-negocio-y-retos-juridicos

EL VUELO DE DRONES. PRIVACIDAD Y OTRAS IMPLICACIONES LEGALES.

El vuelo de los Drones. Privacidad y otras implicaciones legales

EL VUELO DE DRONES. PRIVACIDAD Y OTRAS IMPLICACIONES LEGALES.

Futuristic Surveillance Drones Stock Image by Victor Habbick, in Freedigitalphotos

Teníamos acabado este artículo, cuando hemos leído la nota emitida hace 2 días por fuentes del ministerio de Fomento a través de la Agencia Estatal de Seguridad Aérea (AESA).

En dicha nota se indica que en la actualidad el vuelo de DRONES para uso civil profesional o comercial y la realización de trabajos aéreos, siempre que se realice dentro del espacio aéreo nacional, están y siempre han estado prohibidos.

Entonces: ¿para qué se puede usar un DRON?.

Seguramente muchos de vosotros habréis visto en la tele o incluso en la ciudad unos aparatos muy curiosos (llamado DRON o aeronave pilotada por control remoto), que con cuatro hélices, y menos de medio metro de diámetro, cruzan la calle, por encima del tráfico, y de la gente, dando vueltas, con la particularidad que algunos llevan una cámara incorporada, para hacer grabaciones desde el aire.

Recientemente, quedé con un amigo para ver un DRON que había comprado, con la intención de hacer grabaciones en eventos. Conforme me explicaba las capacidades del aparato, más sorprendido me quedaba, aun cuando ya sabemos que hay empresas como AMAZON que pretende darle un uso comercial de transporte de paquetería y por tanto de sus utilidades y bondades.

Como la profesión va por dentro, me puse a hablar con su piloto sobre las implicaciones legales que afectan a los DRONES, y en parte a cuestiones de protección de datos de las imágenes que grababan, y terminamos hablando de muchas otras cuestiones que les afectan, y que parece ser no quedan muy claras aún y ello fue lo que motivó el empezar a escribir este artículo.

Lo que hasta ahora decía o se interpretaba de la normativa:

Investigando la cuestión, me encontré con una noticia en la edición digital del periódico Levante EMV. En ella se planteaban los problemas con los que se encontraron unos operadores de DRONES para la grabación de imágenes de las FALLAS DE VALENCIA, cuando las autoridades les dijeron que no podían volar porque se violaba el espacio aéreo de la ciudad.  La empresa encargada de las grabaciones intentó por todos los medios conseguir una autorización para volar en el evento y no consiguieron resolver el asunto, por mucha intención que pusieron. “El Servicio de Circulación y Transportes y sus Infraestructuras del Ayuntamiento de Valencia les ha contestado que el consistorio no tiene competencias para permitir vuelos de aparatos no tripulados por la ciudad y remite al aeropuerto de Valencia, encargado de distribuir las servidumbre aéreas en la ciudad, para que les facilite los permisos”. Por su parte desde AENA, empresa que gestiona el aeropuerto, “asegura que no puede dar una autorización para el vuelo de los DRONES en la ciudad «al no existir normativa aplicable a estas actividades» y remite a los interesados a la Agencia Estatal de Seguridad Aérea, el organismo del Estado que vela para que se cumplan las normas de aviación civil en el conjunto de la actividad aeronáutica de España”. Y por tanto tendremos que atenernos a la normativa que regula la actividad aeronáutica.

El artículo 5 de la Ley 21/2003, de 7 de julio, de Seguridad Aérea, indica que será el Ministerio de Fomento el competente en materia de ordenación de las actividades y trabajos aéreos, así como de la aviación general y deportiva. Así mismo será competente para el otorgamiento de los títulos que habilitan a las personas y organizaciones civiles para la realización de actividades aeronáuticas civiles y el control del cumplimiento de los requisitos y obligaciones en cada caso exigibles. Por tanto y en mi opinión es ahí donde se debe hacer hincapié para conseguir una normativa específica sobre la materia.

En definitiva, hasta entonces y sin un procedimiento especifico para conseguir autorización, en el uso de DRONES parecía que había un vacío legal, que no estaba prohibido, pero tampoco legalizado.

Aclaraciones sobre la normativa aplicable y el uso:

Tras la nota publicada se aclara específicamente que un DRON, es una aeronave y por tanto se le aplica la misma legislación que al resto de aeronaves para uso civil. De modo que si es para actividades de recreo  o deportivas, son consideradas aeromodelos, y se rigen bajo su normativa.

Por tanto para poder volar por el espacio aéreo español es necesario una autorización previa por parte del organismo competente y la nota señala que “hasta que no esté aprobada la nueva normativa específica que regule el uso de este tipo de aparatos, AESA no puede emitir dichas autorizaciones porque carece de base legal para ello”.

AESA está trabajando en colaboración con la industria para elaborar una norma que contenga disposiciones particulares que permitan su vuelo con determinadas condiciones y limitaciones.

A fecha de hoy solo se podrán usar estos aparatos a nivel recreativo en los espacios habilitados en la normativa sobre aeromodelismo, considerando que desde el nivel del suelo hacia el cielo se supone espacio aéreo y por tanto le será de aplicación la legislación nacional, es decir, no podréis volar vuestros DRONES ni tan siquiera en vuestra finca o propiedades particulares abiertas.

En definitiva, fuera de los espacios de aeromodelismo, la única manera de hacer volar nuestro DRON será si lo hacemos en una propiedad privada y “techada”. A modo de ejemplo en ningún campo de fútbol español se podría emplear.

Privacidad y otras implicaciones legales; la LOPD:

Por ello, a los que hasta ahora habíais comprado estos apartaos con fines comerciales el único aprovechamiento real será cubrir eventos que se realicen en este tipo de recintos y en estos supuestos tendremos en cuenta además lo siguiente:

  • Responsabilidad civil por daños y perjuicios. Es de lógica pensar, que un aparato teledirigido, pueda perder el control, o pueda sufrir un accidente (ya se han producido), en el que se vean implicados tanto personas, como bienes de las mismas. En este sentido lo recomendable sería contratar un seguro de responsabilidad civil, bien el responsable del evento, bien el operador del DRON, para cubrir estos riesgos.
  • Derechos de imagen. Si se contrata los servicios de DRONES, actualmente y en la mayoría de supuestos es para grabar imágenes sobre ciertos eventos de interés. Y en ese sentido las imágenes pueden incluir la de las personas y sus bienes. Pudiendo afectar a la privacidad, derechos de imagen, intimidad, y honor sobre las mismas.

Por ello, se recomienda no grabar a nadie salvo que cuentes con su consentimiento, ya que entramos de lleno en materia de protección de datos de carácter personal. El asistente a un evento es la única persona que puede autorizar la grabación y difusión de su imagen. En este sentido deberá ser informado por el responsable del fichero de imágenes sobre la grabación, y en su caso difusión de la imagen, para que decida si quiere permitir su captación o no.

Aquí debemos distinguir quién va a ser el responsable del fichero de imágenes grabadas en eventos. Podremos encontrar diferentes supuestos.

El operador de DRON y de cámara, como persona que graba directamente la imagen, puede actuar en dos posiciones:

  • Responsable del fichero de imágenes, las imágenes captadas las podrán usar en su beneficio, bien sea en campañas de promoción de la empresa, o para editarlas y hacer su propio reportaje del evento. Y para ello deberán informar a los asistentes de que van a ser responsables del fichero, cuáles van a ser sus finalidades, posibilidad de cesión de las mismas, y donde efectuar los derechos ARCO sobre éstas.

El operador del DRON, deberá estar constituido como entidad con personalidad jurídica, y estar adaptado a lo dispuesto en la LOPD y su Reglamento de desarrollo. En cuanto a sus obligaciones legales, técnicas, y organizativas, en materia de tratamiento de datos de carácter personal.

  • Encargado de tratamiento. Las imágenes captadas serán usadas por  un tercero, diferente, normalmente el Organizador del evento. Y el responsable del aparato sólo será responsable de grabar las imágenes, y devolverlas a éste, con o sin edición. Pero en ningún caso podrá quedárselas. En este sentido será el Organizador y responsable del evento  el responsable del fichero, y de cumplir con lo mencionado anteriormente y estar adaptado a lo dispuesto en la LOPD.

Como obligación legal, y para regular esta situación, el art. 12 de la LOPD, indica que entre el responsable del fichero (Organizador), y el operador del DRON debe existir un contrato de encargado de tratamiento, en el que se indique bajo qué circunstancias se deben usar los datos en representación del organizador.

Ya tenemos claro que debemos informar sobre la captación y uso de imagen. Pero cómo lo hacemos. Lo más efectivo sería informar en la misma entrada al evento, bien con la entrada en papel, de modo electrónico, o mediante la colocación de carteles informativos en la puerta de acceso. En este último caso se deberían tener formularios en la entrada a disposición del público, como mínimo de manera que puedan ser impresos en el momento.

En conclusión, y como vemos muy a menudo, las tecnologías avanzan más rápido que las leyes, y hay situaciones que aun no podemos salvar, pero para las que sí que podemos vuestra asesoría en materia de protección de datos y comercio electrónico, Eurovima, está a vuestra disposición.

 

Escrito por Aurelio J. Martínez Ferre
Abogado, Consultor en derecho y nuevas tecnologías.