Entradas

Feliz Navidad y feliz Privacidad 2016

Feliz Navidad y Feliz Privacidad 2016

Feliz Navidad y feliz Privacidad 2016No queríamos dejar pasar estas Navidades, sin desearos lo mejor para nuestros lectores, amigos, clientes y colaboradores.

Cerrando el año que hoy termina, podemos deciros que para Eurovima ha sido un buen año gracias a vosotros, a vosotros como clientes ya históricos por seguir a nuestro lado , y a vosotros como nuevos clientes que os habéis sumado a nosotros para poder ofreceros nuestros servicios de la mejor manera posible como siempre intentamos hacerlo. También gracias a nuestros colaboradores de siempre y a las nuevas incorporaciones, con los que hemos tenido la suerte de compartir trabajo a lo largo de todo este año.

Ha sido un año en el que la privacidad, la seguridad y su entorno han vivido momentos convulsos, en el que nuevamente el terrorismo nos azotó y ha vuelto a resonar con fuerza el dilema interminable entre privacidad vs seguridad.

Un año en el que la actividad online ha seguido creciendo de manera imparable y lamentablemente con ella también la inseguridad, sobre todo la de nuestros menores.

En lo normativo, hemos visto un acelerón a final de año entrando en el proceso final para tener en la Unión Europea un nuevo marco regulatorio en materia de protección de datos de carácter personal con la aprobación del nuevo Reglamento de Protección de Datos de la Unión Europea previsto para los próximos meses.

En definitiva, que dejamos otro año atrás, y vamos a por el quinto, que dicen «no lo hay malo» y esperamos que así sea.
Desde EUROVIMA, queremos haceros llegar nuestros mejores deseos y el agradecimiento por seguir al otro lado, sea el medio en el que sea que nos encontremos y compartamos vivencias.

Contamos con vosotr@s!!!!.

Un fuerte abrazo.

El equipo de Eurovima

¡2015! Feliz Año, Conectividad y Privacidad, si nos dejan - Eurovima Consulting

¡2015! Feliz Año, Conectividad y Privacidad, si nos dejan

¡2015! Feliz Año, Conectividad y Privacidad, si nos dejan - Eurovima Consulting

Sexy Target Stock Photo – Photo by Salvatore Vuono. in FreeDigitalPhotos.net

Vamos cerrando el 2014, que en líneas generales consideramos que ha sido un buen año, aunque tampoco podemos decir que haya sido como para recordar.

Un año en el que hemos asistido a la compra de WhatsApp por Facebook, al adiós de Windows XP o al ataque a Sony y los ciberataques masivos, al estancamiento de las Google Glass y al despegue de todo tipo de App´s, de la impresora 3D y de los Wearables, a la incertidumbre del Bitcoin o al año en el que la UE respaldó el derecho al olvido y hace a Google responsable del tratamiento de datos personales.

Los menores hablan en un idioma distinto al de los padres

Son nativos digitales enseñados por inmigrantes digitales y por tanto hablan idiomas distintos. En todo caso, aunque parezca que no, creemos que ha sido un buen año en cuanto a los avances en materia de prevención e información hacia los menores en materia de privacidad y seguridad, aunque el ciberacoso en cualquiera de sus modalidades, aumenta en la medida en que la mensajería instantánea y las Redes Sociales se apoderan de parte de sus vidas y por ello hay que perseverar en ello.

La cuestión es que de en todos esos acontecimientos citados hay un denominador común, la privacidad y la seguridad en un mundo/mercado cada vez más global y online, en el que parece que hemos avanzado poco a nivel de regulación, cuando menos la española/europea, y que en lo que hemos tratado de avanzar, ni siquiera está claro.

La Unión Europea sigue sin aprobar el nuevo marco regulatorio en materia de protección de datos

Desde el punto de vista de la privacidad, ha sido un año convulso marcado principalmente por los coletazos del “viejo” tema del espionaje NSA-SNODWEN, en el que hemos visto como ni siquiera ese terremoto ha acelerado el proceso final que haga que tengamos en la Unión Europea un nuevo marco regulatorio y sigamos con nuestra “vieja-local” LOPD.

Nos espían, lo asumimos y casi aceptamos, pues no somos capaces de ponernos de acuerdo para regularlo.

Otro gran acontecimiento ha sido la reforma de la Ley de Propiedad Intelectual, cuyo “éxito” se resume en que su tramitación ha sido accidentada, aprobada sin consenso y sin tener claro el uso y en qué manera va a afectar, no a los presuntos delincuentes contra los que pretende regular, sino al resto de usuarios de Internet.

La defensa de los derechos de autor se ha mezclado con la llamada “Tasa Google” o “canon AEDE”, ha terminado con el cierre de Google News, una herramienta que al final ayudaba a los propios editores a generar tráfico a sus páginas web.

Sobre los “piratas”, aquellos que serán perseguidos por facilitar enlaces a contenidos no autorizados, generando un “daño”, veremos la manera en que se identificará a los usuarios por la vía civil.

Esta es nuestra visión resumida del 2014. Desde EUROVIMA os seguiremos informando de estas y otras cuestiones que sean de actualidad e interés, en el ámbito que engloba la tecnología, la privacidad y la seguridad.

Aprovechamos para desearos un gran año.

Reflexiones sobre la jornada “cómo ejercer la patria potestad en internet" | Eurovima Consulting | Asesoría LOPD Madrid

Reflexiones sobre la jornada: Cómo ejercer la patria potestad en Internet

Será coincidencia o no, pero la pasada semana los menores han estado muy presentes en nuestra actividad, por una parte se celebró el Día Universal del Niño, por otra hemos publicado el post Don Psico en: Un caso de adicción a las nuevas tecnologías en el que también los menores eran los protagonistas, y además asistimos a una jornada muy interesante celebrada en Madrid, excelentemente organizada por Orange y la Asociación Profesional Española de la Privacidad (APEP) con el título: “Cómo ejercer la patria potestad en Internet«.

Reflexiones sobre la jornada “cómo ejercer la patria potestad en internet" | Eurovima Consulting | Asesoría LOPD Madrid

Beautiful Girl Hiding Her Face With Touch By stockimages in Freedigitalphotos.net

Es sobre el evento de lo que os queremos hablar, haciendo un breve resumen acompañado de algunas pequeñas reflexiones que hemos sacado de una jornada que congregó a expertos nacionales e internacionales tanto del ámbito público, como privado, que resultó muy instructiva aunque generase inquietantes reflexiones a los asistentes, no sólo como profesionales sino como padres y educadores.

Estamos en un momento en el que las nuevas tecnologías llegan cada vez de manera más temprana a los menores, los llamados “nativos digitales”, mientras los educadores, padres y formadores, en la mayoría de los casos, no tenemos capacidad de obtener las respuestas, ni sabemos cómo dotarles de las herramientas que les permitan afrontar su uso con las garantías necesarias, ni ofrecerles los mecanismos de defensa adecuados ante los peligros que conllevan.

Es lo que se conoce como “brecha generacional” o “brecha digital” en el ámbito del uso de las nuevas tecnologías.

Las nuevas tecnologías suscitan infinidad de preguntas con la particularidad de que los padres deben decidir qué papel han de jugar ellos, y la manera en la que han de intervenir desde el minuto cero, es decir, desde el momento en que decidimos que las usen.

La cuestión es, que muy probablemente las usen antes de que nos demos cuenta o incluso antes de lo que nosotros quisiéramos. Si los 10 años es la edad de inicio de acceso a Internet, es evidente que a esa edad los niños tienen todavía una gran «inmadurez«.

Las distintas intervenciones y las preguntas de los asistentes giraron en torno a cuestiones que al final plantearon debates como:

  • ¿A qué edad deben tener acceso los menores a esas nuevas tecnologías?
  • ¿Debe el ámbito educativo actuar para formar a los “nativos digitales”? ¿Debería existir formación específica?
  • ¿Qué se le debe de exigir a la industria? ¿Cómo conjugamos las leyes nacionales frente a las internacionales y los elementos que marcan la competitividad? ¿Cómo certificar las edades de acceso a las redes sociales?
  • ¿Cómo modulamos la privacidad del menor? ¿Qué espacio de privacidad debemos concederles? ¿A partir de qué momento-edad?
  • Si en cuestiones de tecnologías, redes sociales, etc., un menor sabe más que el adulto, ¿a quién se va a dirigir si probablemente no va a saber responderle? Y sobre todo, ¿qué pasa cuando … “todo falla”?.

En definitiva, son tantas cuestiones que merecen un ámbito específico de análisis cada una, por eso únicamente podemos dejaros algunas de las conclusiones que hemos obtenido de manera general y que os hacemos llegar:

La edad de inicio

Lo importante es que cuando se inicie, lo haga acompañado y a ser posible desde el principio, pues a los 13-14 años muy probablemente no querrán que les acompañemos.

Dónde

Si el inicio del acceso del menor a las nuevas tecnologías, Internet, redes sociales,…, es desde casa y en concreto desde los dispositivos de los padres (de los que el 90% conocen sus contraseñas de acceso), será en casa donde deban encontrar ayuda y enseñanza, que ha de continuar en la escuela y por supuesto en la universidad.

Cómo

Hemos de incidir en que aprecien su intimidad y respeten la ajena. También resaltar un comentario de Toñi Quiñones (vocal de la Asociación Espiral, Educación y Tecnología) en el que reflexionaba sobre si por ejemplo para sacarnos el carnet de conducir vamos previamente a una autoescuela, porqué no hacemos lo mismo para iniciarnos en “Internet”, adquiriendo igualmente un aprendizaje previo.

Qué

De la misma manera, se insistió en la necesidad de explicarles los conceptos por los que nos preocupamos de ellos, pues no saben ni conocen el significado de los mismos. A los más pequeños hay que explicarles lo más elemental, desde que es un acoso. A otros que es el sexting, el ciberbullying, etc. pero además, también habrá que explicarles que pueden estar cometiendo un delito, pues hay falta de conciencia en ese sentido y la falsa creencia de impunidad, pues “como soy un menor, no me pasará nada”. Debemos explicarles que la responsabilidad existe, distinta a la del adulto, pero existe.

Los recursos y las herramientas

Para que las usen en caso de necesidad, pues probablemente no se atrevan a contárnoslo pero sí sabrán que pueden acudir a esa web en donde contar su problema o que usen el botón de denuncia/pánico. Hemos de usar los sistemas de control parental.

Implicación/Participación

Escasa de los padres en los talleres y sesiones que se realizan. Nos preocupa que se descarguen aplicaciones sin permiso, pero sobre todo si cuestan dinero.

Vida Real vs On line

Si en la vida real no compartimos con extraños, ni contamos cosas sobre nuestros gustos, aficiones, etc, ¿no deberíamos hacer lo mismo en la vida on line?

Finalmente dejaros un dato curioso:

Si pudiésemos considerar a Facebook como un país, por su número de seguidores, sería el tercer país del mundo en la actualidad y debe ser por eso que tiene sus propias leyes, que criticadas o no, son aceptadas o de lo contrario “estás fuera”.

Por eso queremos suscitar debate y conocer vuestras opiniones sobre todas estas cuestiones que en el evento se trataron y como de costumbre si necesitáis de nuestros servicios de asesoría en materia de privacidad (LOPD), estamos a vuestra disposición.

 

 

Fallo de seguridad de acceso a Banca On-line supone una sanción de 6.000€ a ING de la AEPD | Eurovima Consulting | Asesoría LOPD Madrid

Fallo de seguridad de acceso a banca on-line supone una sancion de 6.000€ a ING de la AEPD

Es evidente que siempre van a existir fallos en los sistemas de seguridad, por mucho que nos empeñemos en poner todos los medios y medidas de seguridad de índole técnica y organizativas a disposición del negocio y por ende de los datos de carácter personalde los que somos responsables.

No obstante es muy importante una vez que se producen, tratar de solucionarlos de manera ágil, analizando lo sucedido y tomando las medidas correctoras adecuadas para que no se vuelvan a repetir.

Algo así es lo que le ha sucedió a una entidad bancaria que ha sido sancionada  (PS-00344-2013) por la Agencia Española de Protección de Datos (AEPD) a raíz de la denuncia presentada por dos particulares en julio de 2012, en la que reflejaban que utilizando sus propias claves de acceso a sus cuentas de banca on-line mediante teléfonos móviles, han podido acceder a los datos de otros clientes, aportando impresiones de pantalla como prueba.

Los hechos fueron reconocidos por la entidad durante la inspección

Tras recibir la denuncia, la AEPD inició las actuaciones previas de investigación para esclarecer los hechos y en la inspección la entidad manifestó que tuvo conocimiento de dichas incidencias por una llamada recibida en su Call Center, que fue escalada a los responsables correspondientes siendo bloqueado dicho sistema de acceso a los 12 minutos de dicha llamada.

Los representantes de la entidad entregaron a los inspectores de la Agencia la impresión del registro de la incidencia, que incluía un informe descriptivo de la misma, así como las acciones emprendidas por la entidad para su resolución y las mejoras de seguridad que fueron recomendadas.

Según el informe, la incidencia se produjo a raíz de una “subida a producción” de una nueva versión de la aplicación que da soporte al acceso de los clientes mediante el canal móvil y que en ningún caso hubo acceso a datos de contraseñas ni era posible la realización de operaciones bancarias ni de ningún tipo. El problema afectó a 27 clientes, con los que el Departamento de Atención al Cliente, contactó.

Posteriormente el Director de la AEPD acordó el inicio de procedimiento sancionador por presunta infracción del artículo 9.1 LOPD, tipificada como grave en su artículo 44.3.h), pudiendo ser sancionada con multa de 40.001€ a 300.000€.

La entidad bancaria presentó alegaciones reconociendo de manera plena, voluntaria y espontánea los hechos, declarándose responsable y culpable del fallo de seguridad, acogiéndose a la aplicación del artículo 45.5, es decir, que le fuese de aplicación la escala relativa a las infracciones leves y en su grado mínimo, dadas las circunstancias concurrentes, vamos a una “rebaja”.

AEPD imputó la vulneración del principio de seguridad de datos personales (multa de 40.000€ a 300.000€)

La AEPD imputó a la entidad bancaria la vulneración del principio de seguridad de los datos personales, establecido en el artículo 9.1 de la LOPD, que establece el “principio de seguridad de los datos” que impone la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros.

Asumidos los hechos por la entidad bancaria, la AEPD refleja que ha quedado acreditado que la citada entidad incumplió ésta obligación, como lo recoge el informe descriptivo de la incidencia habida y se refleja en el acta de inspección llevado a cabo en la sede de la compañía, puesto que la aplicación para el acceso mediante móviles y utilizando el código de usuario y clave, no impidió que los denunciantes pudieran acceder a datos personales de otros clientes usuarios de la entidad denunciada.

[pullquote]La Agencia consideró aplicar el artículo 45.4, en base a la actuación de la entidad, siendo la sanción únicamente de 6.000€ [/pullquote]

La Agencia valoró los criterios, tanto favorables como adversos, de graduación de las sanciones e impuso una sanción de 6.000€, ya que consideró lo siguientes aspectos:

  • Favorables: “Cuando el infractor haya reconocido espontáneamente su culpabilidad”, por lo que es posible la aplicación de una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Además, la entidad actuó de manera diligente al regularizar la situación creada de manera inmediata, poniendo remedio a fallo cometido tan pronto tuvo conocimiento de los hechos ocurridos, estableciendo contacto con los afectados y adoptando nuevas medidas de seguridad para evitar que el fallo pudiera repetirse.
  • Adversos: es evidente que en el desarrollo de la actividad empresarial que desempeña la entidad denunciada se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros, toda vez que se trata de una gran entidad financiera por cuota de mercado.

En definitiva, hemos de recordar que las medidas de seguridad no son infalibles y ante fallos en la seguridad hemos de actuar de manera ágil y contundente, realizando un buen análisis e implementando las medidas correctoras oportunas.

Los datos de carácter personal que nuestros clientes nos confían son lo suficientemente importantes como para revisar nuestras medidas de seguridad de manera recurrente. Como no tendremos el tamaño ni los recursos de una entidad bancaria, recordar que como consultoría y asesoría os ayudamos y asesoramos sobre cómo hacerlo.

¿Quién ha accedido al móvil de mi niño? Yo, su director, y la AN me avala

¿Quién ha accedido al móvil de mi niño? Yo, su director, y la AN me avala

En primer lugar, queremos señalar que no entraremos en “moralinas”, aunque se hace difícil no hacerlo y por eso os pedimos vuestros comentarios y opiniones sobre este tema que la verdad es que no deja indiferente a quien lo haya conocido.

Hablamos de la reciente Sentencia de la Audiencia Nacional (AN) del 26 de septiembre de 2013

El origen de los hechos: Niño de 12 años enseña video de contenido sexual a compañera en el colegio.

¿Quién ha accedido al móvil de mi niño? Yo, su director, y la AN me avala

Teenagers Reading Sms Stock Photo By Ambro in Ffreedigitalphotos.net

En un colegio de Madrid, un alumno de 12 años, muestra con su teléfono movil a una compañera, un video de contenido sexual y la alumna “denuncia” los hechos ante el director del centro. El centro que ya había requisado el móvil del menor por tenerlo encendido en clase, ante la denuncia de la alumna llama al menor para verificar la misma.

Con la ayuda de una persona del centro del área de “informática”, acceden al teléfono solicitándole el numero PIN, no está claro si de manera “forzada” o voluntaria, revisando la navegación en Internet del día en cuestión verificando el acceso en ese día a dos páginas Web de contenido sexual.

De esta situación, no son informados los padres del menor y por tanto se hace sin el consentimiento de los mismos.

Las denuncias: Primero en el juzgado, después ante la AEPD y finalmente el recurso.

Una vez conocidos los hechos, el padre del menor los denunció en el Juzgado pero fue archivado, al igual que el recurso de apelación, ya que no se apreció la violación del derecho a la intimidad, privacidad y secreto de las comunicaciones, pese a que “De las pruebas practicadas en dichas diligencias penales se deprendería, como acreditado judicialmente, el acceso inconsentido a datos personales del menor por parte del director del centro y, en concreto, la revisión del archivo histórico de navegación por internet …” 

Viendo denegada su petición, los padres deciden denunciar estos mismos hechos ante la Agencia Española de Protección de Datos (AEPD), que denegó incoación de procedimiento, dando lugar a la presentación del recurso contencioso administrativo sobre cuyo fallo estamos comentando.

El padre del menor alegaba que se había vulnerado la intimidad del menor, que no había prestado su consentimiento (recordemos que son los padres, en el caso de menores de 14 años según el artículo 13 del reglamento LOPD) para la revisión del historial de navegación, alegando cesión de datos personales (navegación en Internet).

La resolución de la AEPD; dos las razones para archivar la denuncia

La Agencia dictó resolución de archivo al considerar que no es de aplicación a los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas, es decir, quedarían fuera del ámbito la LOPD (lo considera actividad doméstica) aunque este argumento ha sido rechazado por el Tribunal.

La segunda razón que la Agencia señaló para el archivo fue que el acceso al terminal móvil estaría amparado por la Ley Orgánica 2/2006 de Educación, y las normas propias del centro educativo, es decir, que existirían normas específicas que habilitarían el acceso al citado móvil.

En lo referente al carácter domestico, hay varias resoluciones/informes de la propia AEPD, en los que se establecen criterios sobre esta cuestión al igual que la Directiva Europea, no obstante en el caso que nos ocupa el Tribunal ha manifestado que no se pueden considerar como tales y por tanto no le es aplicable la exclusión (bofetada a la AEPD).

Conclusiones a la sentencia

Una vez que la AN le da la razón al padre, en cuanto a que al ser un menor de 14 años debería de existir el consentimiento de sus padres para el acceso o tratamiento de sus datos, posteriormente se la deniega al señalar que en realidad hay que “conjugar el contexto real en que se produjo”, es decir, “en la protección de los derechos de esa niña o de otros menores del centro”, recurriendo a una frase que en el ámbito de la LOPD se usa mucho “el derecho a la protección de datos no es ilimitado…. puede quedar constreñido por la presencia de otros derechos en conflicto” y por tanto el auto habla de realizar una detallada ponderación de los mismos.

Vamos, que hay que ponderar el derecho del resto de compañeros, frente al derecho del menor acusado por el acceso a su móvil o dicho de una manera más simple ponderar el derecho del resto de compañeros frente las actuaciones realizadas por el colegio.

Además, la sentencia señala que resulta de aplicación que el tratamiento de datos sea necesario para el cumplimiento de una misión de interés público, y para la AN la actividad educativa «no solo puede calificarse de interés público sino de verdadero servicio público«.

En definitiva, que el director debe preservar en aras del servicio público que presta y al que ha sido encomendado, la protección de otros menores del centro escolar, amparado en satisfacer un interés legítimo o que la misión educativa del colegio prevalece sobre el derecho a la protección de datos.

Esta cuestión estamos seguros que algunos la consideraréis excesiva y “moralinas” aparte, nos gustaría que la valoraseis y para ello esperamos vuestros comentarios, dejando abierta algunas cuestiones, a la espera de si el padre recurre ante el Tribunal Supremo, como:

  • ¿Qué derecho debe prevalecer: el derecho del resto de compañeros o el del menor acusado por el acceso a su móvil?
  • ¿La misión educativa del colegio prevalece sobre el derecho a la intimidad de sus alumnos?
  • ¿El interés legítimo atribuido al centro es excesivo?
  • ¿Dónde ponemos los límites al interés legítimo?

Otros artículos sobre el tema:

Amedeo Maturo: El Director de Instituto: el Omnipotente.

Francisco Javier Sempere: Audiencia Nacional: acceso del Director de un centro educativo al móvil de un alumno.

Si tu LOPD te la lleva otro, asegúrate de ello o te costará caro (6.500€ de multa)

En abril de 2011 la Policía Municipal de Madrid comunica a la Agencia Española de Protección de Datos (AEPD) una posible infracción de la LOPD motivada porque un “establecimiento” tiene 8 cámaras de vídeo-vigilancia instaladas y no cuentan con los oportunos carteles de zona vídeo-vigilada, ni con los formularios de acceso para los afectados.

La denuncia señala que las 8 cámaras, están conectadas a un monitor central receptor, no pudiendo comprobar el sistema de grabación empleado, observando que se encuentran conectadas a un vídeo y a un módem de una compañía telefónica.

photo credit: David Feltkamp via photopin cc

photo credit: David Feltkamp via photopin cc

Los Servicios de Inspección de la Agencia iniciaron actuaciones previas con objeto de determinar si el tratamiento de los datos personales, a través del citado sistema de vídeo-vigilancia, cumplían las condiciones que impone la normativa.

Es de suponer que el establecimiento, antes de la llegada de los Servicios de Inspección de la Agencia, colocaron los carteles preceptivos y editaron el formulario informativo que debe estar a disposición de los ciudadanos acorde a la Instrucción 1/2006, ya que la inspección constató su existencia, aunque por lo que se ve “olvidaron” registrar el fichero ante la AEPD.

La inspección, también constató que las cámaras grababan las imágenes en un grabador sin que se pudiese precisar durante cuánto tiempo, ya que el sistema había sido instalado por los anteriores propietarios y estaba protegido el acceso por una clave que los actuales propietarios decían desconocer y no podían saber (pues la empresa que instaló el sistema ya no existía).

El procedimiento de la AEPD señala que “se pone de manifiesto que las cámaras efectúan grabaciones, no constando que dicho fichero se encuentre inscrito en el Registro General de Protección de Datos de esta Agencia” y la AEPD decide APERCIBIR (A/00050/2012) al  establecimiento por infracción del artículo 26 de la LOPD (“Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la AEPD”), tipificada como leve por la LOPD.

En este caso, el establecimiento se “iba de rositas”, ya que simplemente debía inscribir en el plazo de un mes (marzo de 2012) dicho fichero, advirtiéndole la Agencia que en caso contrario se iniciaría la apertura de un procedimiento sancionador, como finalmente ha sido.

En éste tiempo, la Agencia por dos veces (mayo y septiembre de 2012) reitera al establecimiento, por medio del servicio de correos con acuse de recibo, lo requerido en el procedimiento de apercibimiento (inscripción de fichero con finalidad de vídeo-vigilancia) sin que se hayan adoptado las medidas correctoras solicitadas.

Por ello el 4 de febrero de 2013, el director de la AEPD acordó iniciar el procedimiento sancionador por presunta infracción del artículo 37.1.f) de la LOPD (“son funciones de la AEPD: f) Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”) tipificada como grave, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo a la LOPD.

Una vez notificado, el Establecimiento formuló alegaciones, entre otras y de manera textual las siguientes:

“…En cuanto tomamos conocimiento de dicha notificación nos pusimos en contacto telefónico con la Agencia Protectora de Datos, solicitando más información sobre el tema, allí muy amablemente la persona que se puso al habla no comunico bien de que iba todo el tema, y nos aclaró que ya hacía bastante tiempo que nos envían notificaciones si respuesta alguna de nuestra parte.

Allí fue nuestro asombro ya que todo lo referente a nuestro negocio en cuestiones de papeleos lo llevaba un gestor al cual nosotros le enviábamos las mismas para que solucionara todo tipo de gestión.

Esta persona por lo visto no les ha presentado ningún tipo de notificación haciendo quedar a la empresa como irresponsable, de todos modo con excusarnos en otra persona no queremos evitar alguna responsabilidad, sino todo lo contrario.

… Por lo expuesto reiteramos que no poseemos ningún Registro Fichero o algo que se le parezca, nuestro sistema es obsoleto y puede venir y corroborarlo ustedes mismos.”

En resumen que la culpa es del gestor (seguramente sea así) y como manifiestan “haciendo quedar a la empresa como irresponsable” aunque ellos insisten en su incomprensión ya que “reiteramos que no poseemos ningún Registro Fichero o algo que se le parezca, nuestro sistema es obsoleto y puede venir y corroborarlo ustedes mismos”.

Estamos seguros que no van a volver a corroborarlo y que ya no se irán de rositas, ya que se le ha impuesto una multa de 6.500€ por la infracción mencionada del artículo 37.1.f) de la LOPD.

II Congreso Nacional de Privacidad ¿Estamos ante un periodo de “Sede Vacante”?

II_Congreso_Privacidad_APEP_2013Los pasados días 13 y 14 de junio de 2013, ha tenido lugar el II Congreso Nacional de Privacidad organizado por la Asociación Profesional Española de Privacidad (APEP).

En un marco idóneo para su celebración (Campus BBVA), nos reunimos gran parte de los asociados de APEP, junto a un buen número de profesionales, empresas y personalidades del ámbito de la privacidad, tanto nacional como internacional.

En esta ocasión, el congreso centró gran parte de su programa en el futuro Reglamento de Protección de Datos de la Unión Europea, en cómo afectará su aprobación (si es que se aprueba) y en general sobre el futuro del tratamiento de datos de carácter personal desde distintas perspectivas:

  • La privacidad Europea frente al otro lado del atlántico.
  • Menores de edad.
  • Los futuros DPO
  • Privacy by design, Privacy impact assessment
  • Gestión de Incidencias de Seguridad.

Quizás el mensaje que más resume el congreso sea que, toma cada vez más consistencia el rumor sobre que el futuro Reglamento de Protección de Datos de la Unión Europea siga siendo “futuro”, pues amén de las 3.000 enmiendas, de lo cercano del fin de la legislatura, de la existencia de desacuerdos importantes y los habituales grupos de presión, habrá otras cuestiones ocultas, que a los “mundanos” se nos escapan, pero que por distintos comentarios de personas/personalidades destacadas en el congreso hacen pensar que esas cuestiones existen y que deben tener un buen peso para que por el momento no sea aprobado.

En todo caso desde mi opinión, la esencia del congreso se ha visto bien respaldada en sus ponencias y por sus ponentes, en los debates generados, en el intercambio de opiniones, de pensamiento, dejando de lado si habrá “fumata blanca” o continuaremos en “sede vacante” y centrándose en los aspectos vinculados a la protección de datos de carácter personal.

Nuestro resumen no se centra en analizar cada una de las ponencias, gira en torno a una serie de palabras, términos o frases que a lo largo de las dos jornadas se han ido repitiendo, no de manera machacona, pero sí en la mayoría de los debates con independencia del tema tratado, a saber:

  • COMPETITIVIDAD.- Leyes-Privacidad-Empresas-Sectores: Global-local
  • Innovación y Big Data: brechas de seguridad
  • Accountability: reputación-diligencia; transparencia y confianza.
  • Redefinición del término “Dato de carácter personal”. Derecho fundamental pero no garantizado.
  • Seguridad frente a Privacidad: 11S y ahora PRISM
  • La armonización gana peso frente a la unificación: la ventanilla única.
  • DPO.- ¿Como gestionar su independencia?

Seguro que estamos de acuerdo en que éstas cuestiones son las que marcan el devenir de la privacidad a nivel global y en que el termino COMPETITIVIDAD cobra un papel predominante.

De cómo quede configurado el futuro reglamento y de su aplicación dependerá que sigamos hablando de un mundo global gestionado de manera global o marcada por la Seguridad Jurídica de aplicación.

Desde la caída de la Torres Gemelas, el debate Seguridad-Privacidad se aviva o se apaga en función de los acontecimientos y quizás los más recientes hagan que el rumbo del futuro reglamento se vea alterado, o no. Mientras, nosotros continuaremos bajo nuestra LOPD y la Directiva vigente aunque los que quieran cumplirla y hacer negocios más allá de la UE lo seguirán teniendo algo más difícil que otros.

En definitiva, creo que el Congreso ha sido un éxito en todos los aspectos, alcanzando el fin y objetivos propuestos, como ha demostrado el gran interés por debatir e intercambiar opiniones en torno a nuestra profesión, transmitiendo además un nivel organizativo, de «saber hacer» y de imagen fabuloso.

No obstante sería bueno que el congreso tuviese continuidad en un marco cuyo alcance no sea meramente el enfocado normativamente a la problemática de aplicación global en términos de privacidad, es decir, sería deseable una continuidad con un enfoque local-nacional de aplicación para los grandes profesionales que hemos conocido y tratado en estos días y que conforman nuestra Asociación.

Todo ello en aras de buscar respuestas y una mejor aplicación de la normativa a la realidad de nuestros clientes, que en la mayoría de los casos, no se enmarca ni gira en torno a esas palabras, términos o frases que antes significábamos y que a modo de resumen decíamos que a lo largo de las dos jornadas se han ido repitiendo.

Confiando en que así sea, gracias y enhorabuena a todas las personas que han participado en el evento y en especial a los implicados en la organización del mismo.

 

Grabaciones de imágenes desde un coche, algo más que una moda, pero… ¿es legal?

Imagen de Jabo en Flick.com

Imagen de Jabo en Flick.com

Que existan numerosas imágenes de la caída del meteorito en los Urales rusos ha sido en parte, gracias a que muchos de sus ciudadanos optaron por instalar una cámara en su coche, con distintos fines.

En general muchos lo hacen para defenderse de la corrupción policial y de la picaresca de los estafadores a las aseguradoras, unos como prueba judicial, otros como medida disuasoria o simplemente para compartir imágenes impactantes en internet con las que hacerse notar.

Recientemente hemos leído algunos artículos en los que se planteaba si ésta cuestión en España sería legal o no y también hemos recibido una consulta específica al respecto, por ello hemos decidido aportar nuestra visión.

Aunque alguna mención será necesaria, dejemos claro que como de costumbre no pretendemos hacer un repaso ni acopio de menciones normativas con sus correspondientes Leyes, Reglamentos, etc. y menos desde el punto de vista de la Seguridad Vial o de Tráfico.

Haremos un enfoque normativo sobre si esas cámaras pueden grabar imágenes según establece nuestra LOPD y demás reglamentos o instrucciones como la «Videovogilancia«.

No obstante, lo primero que debemos recordar es que hay múltiples casos en los que la Agencia Española de Protección de Datos (AEPD) ha impuesto sanciones por grabaciones indebidas y que en España hay distintas leyes que regulan aspectos vinculados a una grabación, como los que tienen fines de investigación policial o de prevención de un delito (LO 4 de 1997 de 4 de agosto, regula la utilización de videocámaras por las fuerzas y cuerpos de seguridad en lugares públicos) o la ley que regula la grabación de imágenes con fines de seguridad privada (Ley 23/92 de 30 de julio, de Seguridad Privada).Puesto que no estamos hablando de un caso que se enmarque en el ámbito de grabación con fines de investigación policial o de prevención de delitos ni de la grabación de imágenes con fines de seguridad privada, nos centraremos en la normativa que sí se aplica al caso.

Por tanto, para el tema que nos ocupa, debemos considerar la INSTRUCCIÓN 1/2006, de 8 de noviembre, de la AEPD, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (más conocida como Videovigilancia), que establece, entre otras cuestiones que:

  • “La seguridad y la vigilancia, elementos presentes en la sociedad actual, no son incompatibles con el derecho fundamental a la protección de la imagen como dato personal, lo que en consecuencia exige respetar la normativa existente en materia de protección de datos, para de esta manera mantener la confianza de la ciudadanía en el sistema democrático”.
  • “Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas.”

Es decir, hablamos de un derecho fundamental que debemos respetar, constatando que las imágenes se consideran un dato de carácter personal, en virtud de lo establecido por la LOPD, que considera como dato de carácter personal la información gráfica o fotográfica, quedando excluidas el tratamiento de imágenes en el ámbito personal y doméstico (el realizado por una persona física en el marco de una actividad exclusivamente privada o familiar).

Existen otros ámbitos en los que la grabación de imágenes pueden estar justificados y serán lícitos, como el periodista que asiste y graba un evento que tiene un claro valor informativo, en el que puedan verse imágenes de los asistentes. Dicha grabación y publicación será lícita siempre que no se invada un espacio de privacidad o cuando la información prevalezca sobre la privacidad. En cambio habrá otros en los que se enmarcan en una esfera o ámbito privado pero al que asisten personas que se escapan de nuestro ámbito privado estricto, como la función de fin de curso de un hijo o una competición. En estos casos, de los que conviene hacer un post sobre ello, habrá que ir con pies de plomo.

Volviendo a nuestras cámaras en el coche, es evidente que las nuevas tecnologías son cada vez más útiles y accesibles, en este caso para ubicarlas en un coche, por tamaño y precio hasta hace poco instalar una cámara era impensable, siendo también evidente que el uso de estas nuevas tecnologías puede generar nuevos problemas relacionados con la privacidad.

Recordemos que se considera identificable a una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la Instrucción sobre videocámaras y cámaras, sin requerir plazos o actividades desproporcionados, vamos que si alguno sigue con alguna duda, que tenga muy claro, que la  imagen personal se considera dato de carácter personal, al igual que las matrículas de los vehículos (aunque sobre esta cuestión existen ciertas contradicciones).

Estas cámaras enfocarán y grabarán imágenes de la vía pública, por la que circulamos las personas y los coches y por tanto pueden grabar nuestra imagen o las matrículas de coches a discreción y por ser un dato de carácter personal, los titulares de las cámaras tendrían que cumplir con la normativa en la materia, pero además, como estamos hablando de unas imágenes que serán tomadas de la vía pública, éstas únicamente podrán ser grabadas por las Fuerzas y Cuerpos de Seguridad.

En definitiva ya no hablamos, porque ya ni procede, de esos aspectos normativos a los que los titulares de las cámaras estarían sujetos, como el consentimiento o el deber de informar al interesado (carteles informativos) o que las imágenes que se capten sean las necesarias y no excesivas para la finalidad perseguida, etc.

No obstante, seguro que alguno estará pensado en Google y su última campaña de Street View, por ello conviene recordar el “contencioso” AEPD-Google, en el que la AEPD concluyó en su investigación que Google se compromete a anonimizar las imágenes de personas y matrículas de vehículos antes de publicarlas, es decir, a difuminar de manera permanente e irreversible, los rostros y matrículas para que no puedan ser reconocidos y a mantener un mecanismo ágil para que los interesados puedan obtener la corrección de cualquier error (nota de prensa completa).

En resumen salvo que la normativa cambie, a día de hoy, no es posible que los particulares instalemos está cámaras en nuestros vehículos, sea cual sea el motivo (notoriedad o nuestra defensa) ya que desde el punto de vista de la LOPD no está permitido.

Ahora sólo nos queda escuchar sus opiniones o que nos planteen las dudas que puedan albergar.

Ley de “Murphy” y privacidad online

 

Ley de “Murphy” y privacidad online - Eurovima Consulting S.L.

Creo que todos estamos de acuerdo en que parte de la información sobre nosotros, quiénes y cómo somos, nuestros gustos, aficiones, hábitos, etc… que está divulgada en Internet la ha publicado uno mismo. En ocasiones compartimos intimidades solo por el simple hecho de comunicarnos, de que sepan que hemos sido padres, tíos, abuelos o que estamos de vacaciones en tal país o tomando una copa en un local nuevo, en una boda o de visita cultural o que la gente sepa que nos gusta una página web, que en función de su contenido puede revelar datos más comprometedores o sensibles sobre nosotros.

Podemos decir que esa información la hemos compartido de manera directa, pero también hay información que otros pueden deducir de nuestra actividad digamos “indirecta” en la Red o cuando menos no pública, como la que proporcionan las aplicaciones que nos hemos descargado en el móvil, las páginas visitadas o las compras realizadas.

Con todo ello, a las empresas con servicios online les resulta relativamente sencillo recabar nuestros datos, cruzarlos y analizarlos para ampliar sus opciones de venta ofreciéndonos publicidad/productos de manera personalizada. ¿Cuántas veces hemos consultado vuelos y posteriormente nos aparecen anuncios ofreciéndonos ofertas para esos destinos?.

También existe otra vía, cada vez más extendida y es la información que otros dan de nosotros en la red y que de entrada no podemos controlar y en ocasiones ni siquiera llegamos a saber que existe, pero existe y como ya sabemos que existe una “Ley de Murphy” será usada y con malas intenciones.

Por todo ello y por lo que vendrá, creo que estaremos muy de acuerdo en que la privacidad en Internet no existe, es difícil de administrar, pero cuando menos sí que podemos decidir libremente qué información queremos trasmitir de manera directa, a quién se la damos y los medios que usamos. Todo ello sí está en nuestras manos.

Pero si todo esto lo hacemos los mayores/adultos, que podemos esperar de los adolescentes y jóvenes, que en realidad no son conscientes de las consecuencias de los datos que revelan en la Red.

Las redes sociales tratan de protegerles en cierta medida, prohibiendo su registro a los menores de 14 años (edad mínima legal), pero entenderemos que no es fácil que exista un sistema de identificación sólido que gestione el acceso por la edad, sobre todo cuando son sus propios padres los que les permiten registrarse.

Bueno, en todo caso, conviene repasar algunos de las cuestiones que debemos tener presentes para proteger nuestra privacidad online:

  1. Lee el aviso legal y las políticas de privacidad, prestando especial atención a la identidad del responsable, a la finalidad con la que se recaban todos tus datos y a que puedas ejercitar tus derechos ARCO (de acceso, rectificación, cancelación y oposición de tus datos).
  2. Instala un antivirus en tu equipo/dispositivo, accede al mismo y a sus registros con contraseñas robustas y cámbialas cada cierto tiempo o si detectas algo sospechoso, toda ayuda es poca. Si usas red WIFI protégela.
  3. Los archivos temporales y las cookies que se guardan en nuestros equipos dicen mucho de nuestra actividad en la Red, bórrelos periódicamente.
  4. Antes de aceptar la invitación de un tercero y agregarlo como contacto, piénsalo dos veces.
  5. No publiques datos de terceras personas sin su consentimiento.
  6. Piensa si de verdad necesitas publicar tu ubicación, gustos, fotos, etc. y por ende la de otros.
  7. Nuestras aficiones y gustos pueden decir mucho de nosotros, cuida de tu reputación online, de la información publicada hoy puedes arrepentirte mañana. Recuerda la “Ley de Murphy”.
  8. Si eres menor de edad seguramente no estarás leyendo este post, pero confiamos en que un adulto te lo cuente.

Resumen 5ª Sesión Anual Abierta de la AEPD

Esta mañana de viernes 26 de abril de 2013, ha tenido lugar en el marco incomparable del Teatro Real de Madrid, la 5ª Sesión Anual Abierta de la AEPD, cuyo aforo estaba completo a los pocos días de anunciarse su convocatoria.

Como cada año, acudimos con las ganas de escuchar por boca de la propia AEPD que cuestiones relevantes nos deparará nuestra querida protección de datos, esperando encontrar algunas respuestas a las cuestiones que los súbditos hemos planteado, los pequeños comentarios sobre sentencias, resoluciones e informes destacados y su visión respecto a las cuestiones que a día de hoy se encuentran pendientes de concretar dentro del marco regulador.

Particularmente creo que este año ha sido el más interesante, sobre todo por conocer y admitir abiertamente, por parte del Director de la AEPD, D. José Luís Rodríguez Álvarez, cuestiones como:

  • Que hay una voluntad política para que antes de que finalice la presente legislatura europea se apruebe el Reglamento Europeo sobre Protección de Datos.
  • Que existen aspectos puestos en duda como el modelo de ventanilla única que según el Director de la AEPD es un retroceso en las garantías para los ciudadanos que estarán obligados a dirigirse a la autoridad del Estado que corresponda para ejercitar sus derechos.
  • La importancia en hacer compatible la privacidad con el desarrollo tecnológico, en un marco de confianza en el que la protección de datos no sea un obstáculo, más bien la condición necesaria para generar confianza en el desarrollo de la actividad económica digital.

D. Jesús Rubí, presentó dos guías con directrices sobre el Cloud Computing, enfocadas tanto a los clientes que contraten servicios en la nube, como a los proveedores que los prestan, incidiendo en aspectos como la «diligencia» en la elección del prestador del servicio, en las responsabilidades de ambos, la localización, la subcontratación o la portabilidad de los datos.

También se dio un avance de una tercera guía sobre cookies, con orientaciones que han de adaptarse caso a caso o negocio a negocio. En este sentido, como en la mayoría, creo que las orientaciones vendrán de la mano de las sanciones, que por cierto dicen que ya han empezado a producirse inspecciones, recordando que la normativa tiene ya un año de vida, aunque “aparente menos edad” o pensásemos que se encontraba en estado de gestación, dada su escasa aplicación.

Sobre las cookies, se aboga por la información esencial visible desde el primer momento para garantizar el consentimiento informado y su comprensión (sencillez) y también por «capas», destacado que se aceptarán formulas como: “si sigue Usted navegando esta consintiendo…” o “arrastrando su cursor, consiente…” y que las cookies analíticas no están exentas del deber de información. En todo caso, ya veremos como se van implementando.

Posteriormente se realizó la entrega de premios anuales, dando paso al “análisis” de sentencias, informes y resoluciones más relevantes, tanto del Tribunal Supremo como de la Audiencia Nacional, destacando el incremento de denuncias por Suplantación de la identidad (sobre todo sector energía y agua) incidiendo en que es imputable tanto al comercial como al responsable, infracciones derivadas de imágenes colgadas en redes sociales sin consentimiento, del ejercicio de tutela del derecho al olvido siempre enfrentado a la libertad de información, del interés legítimo, etc.

En las últimas intervenciones, se habló de un nuevo modelo de transferencia internacional de datos en base a nuevos criterios que pretende mejorar la posición de los encargados de tratamiento de la UE frente a terceros y de los avances y desarrollos internacionales.

Por último, se expusieron unas 15-20 consultas de las planteadas previamente por los asistentes, esperando poderlas analizar en detalle una vez se encuentren publicadas en la web de la Agencia, cerrando la sesión las preguntas formuladas directamente por los asistentes.

En definitiva, con algo más de calma, iremos desgranando lo acontecido en próximos post, mientras, sean DILIGENTES y respeten y cuiden su PRIVACIDAD (y las de los demás).