El nuevo Reglamento Europeo de Protección de Datos endurece el control a las empresas y aumenta las multas, que podrán basarse en su facturación anual.

Esta semana ha habido votación en el Parlamento Europeo del paquete normativo de Protección de Datos, tras veinte años de vigencia del actual y su notoria obsolescencia. La nueva normativa afecta directamente a todos los temas relacionados con el permiso, la notificación de una brecha de datos y las consiguientes sanciones – hasta un 5% de la facturación global -, lo que significa un cambio drástico respecto a la legislación vigente” .

El Parlamento Europeo ha respaldado este miércoles un paquete legislativo que adapta la norma europea de 1995 sobre protección de datos al mundo de internet y las nuevas tecnologías. Las nuevas reglas buscan reforzar el control de las personas sobre sus datos, armonizando el nivel de protección en toda la UE. Los diputados han votado medidas más duras contra las empresas respecto al texto que recibieron de la Comisión.

El paquete legislativo está formado por dos propuestas:

a) un reglamento general que cubre la práctica totalidad de los datos procesados en la Unión Europea, desde las redes sociales, las páginas de compras por internet o los servicios bancarios en línea hasta los registros universitarios y de hospitales, pasando por las bases de datos de clientes de las empresas.

b) una directiva de mínimos que reemplaza una decisión marco del Consejo de 2008 y se aplica a los datos personales procesados en el marco de la cooperación policial y judicial. Hasta ahora, las reglas europeas en este ámbito se aplicaban a los datos intercambiados por las autoridades de distintos Estados miembros. Sin embargo, la nueva norma abarcaría también los datos procesados por las autoridades dentro de cada país.

Los puntos esenciales son los siguientes:

1. Derecho al olvido

La Comisión Europea defiende que los ciudadanos puedan solicitar que sus datos sean borrados si no desean que los sigan procesando. Algunos eurodiputados proponen borrar este derecho porque consideran que es imposible aplicarlo.

2. Consentimiento explícito

La Comisión Europea propone que una empresa pueda procesar información personal sólo si antes ha obtenido el permiso de la persona afectada. Tal permiso puede ser retirado en cualquier momento.

3. Análisis del perfil y el comportamiento

Los datos personales se analizan de manera automática para predecir el comportamiento de las personas en su trabajo o en tanto que consumidores, la evolución de su situación económica, de su salud, de sus gustos, etcétera.

4. Transparencia, empresas y autoridades públicas

Las empresas y las autoridades públicas deberían explicar con claridad sus políticas de protección de datos y disponer de un responsable si cuentan con al menos 250 empleados, según la propuesta de la Comisión Europea. El eurodiputado Jan Phili

Albrecht cambia este criterio al defender que esta medida se aplique a empresas que procesen datos de al menos 500 personas al año.

Qué sanciones establece el Reglamento en trámite para las empresas

Las empresas que incumplan las obligaciones establecidas en el Reglamento sufrirán como mínimo una de las sanciones siguientes:

- Advertencia escrita en el caso de un primer incumplimiento no deliberado
- Auditorías periódicas de protección de datos
- Una multa de hasta 100 000 000 euros o el 5 % de su volumen de negocios anual a escala mundial en el caso de una empresa, si esta última cifra fuera mayor

La sanción administrativa tendrá en cuenta, entre otros, los siguientes factores:

- la naturaleza, gravedad y duración de la infracción;
- la intencionalidad o negligencia en la infracción;
- el grado de responsabilidad de la persona física o jurídica y de las anteriores infracciones cometidas por dicha persona;
- el carácter repetitivo de la infracción;
- el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;

La nueva normativa afecta directamente a todos los temas relacionados con el permiso, la notificación de una brecha de datos y las consiguientes sanciones - hasta un 5% de la facturación global, lo que significa un cambio drástico respecto a la legislación vigente. Las empresas que fracasen en dar una solución a estos retos ahora, no solo corren el riesgo de tener que afrontar cuantiosas multas en el futuro próximo, sino que también podrían enfrentarse a serios daños para su reputación, lo que haría peligrar la retención de sus clientes.

(Fuente: Legal Today)

El Cloud Computing y la protección de datos personales.

Es posible que los datos almacenados en ‘la nube’ se encuentren físicamente en un servidor ubicado en cualquier punto del planeta, cuestión muy relevante en cuanto a protección de datos.

El ‘Cloud Computing’ es un servicio del cual cada día se aprovechan más despachos de abogados, que permite acceder a una serie de servicios, desde el correo electrónico hasta el almacenamiento de documentos, pasando por aplicaciones de gestión del despacho o de bases de datos de jurisprudencia, sin necesidad de disponer de servidores o de software en el propio despacho, ya que los documentos se almacenan en ‘la nube’.

La propia naturaleza de este modelo hace posible que, en principio, estos datos almacenados en ‘la nube’ se encuentren físicamente en un servidor ubicado en cualquier punto del planeta. Esta circunstancia es muy relevante en materia de protección de datos de carácter personal.

A continuación, intentamos plasmar los principales puntos a tener en cuenta a la hora de proteger nuestros datos personales y los de nuestros clientes en el contexto del Cloud Computing.

En primer lugar, es necesario tener en cuenta que el papel del despacho que decide poner en manos de su proveedor de servicios Cloud sus ficheros de carácter personal, según la Ley Orgánica de Protección de Datos (LOPD), es el de ‘responsable del fichero’, mientras que el proveedor de servicios Cloud pasa a ser el ‘encargado del tratamiento del fichero’. De este modo, el proveedor está obligado a seguir las instrucciones del responsable del fichero en el tratamiento de los datos.

Es importante destacar que no todos los datos de carácter personal gozan del mismo nivel de protección. La LOPD establece la existencia de datos especialmente protegidos, entre los que se encuentran, por ejemplo, los relativos a salud, orientación sexual, ideología o religión, para los cuales las medidas de protección que debe adoptar el encargado del tratamiento del fichero son especialmente rigurosas.

Así, la normativa establece tres niveles de seguridad (básico, medio y alto) que se asocian a tres categorías de datos en función del nivel de protección de los mismos. Es obligación del encargado del tratamiento articular las medidas necesarias para dotar a los datos del nivel de seguridad correspondiente; y corresponde al responsable del fichero, en este caso el despacho de abogados, exigir a su proveedor de servicios Cloud que articule dichas medidas.

La cuestión más sensible es el lugar donde se almacenan nuestros datos, ya que es probable que no se encuentren en territorio español. En este momento tendremos que contemplar qué ocurre si los datos están almacenados en otro país en el que la LOPD carece de fuerza legal. La normativa vigente establece que la transferencia ha de limitarse a naciones en las que los datos cuenten con lo que se define como “un nivel de protección adecuado”.

Por consiguiente, hay que distinguir dos posibilidades: el caso para el que en el país en el que se ubiquen los datos exista una legislación equiparable que garantice un adecuado nivel de protección, y el caso en que no.

En el seno de la Unión Europea, se aplican dos directivas traspuestas por los distintos estados miembros a sus respectivas legislaciones nacionales. Esta armonización normativa permite a cualquier despacho acudir a los servicios de almacenamiento de información de un proveedor de Cloud Computing que tenga sus centros de proceso de datos ubicados en la Unión Europea, sin temor a que las obligaciones en materia de protección de datos se vean incumplidas. Estas consideraciones son extensivas a los estados cuyas normativas en la materia son consideradas equiparables a la europea, así como a aquellos proveedores radicados en los EE.UU. que son considerados “safe harbour” (puerto seguro), por adherirse voluntariamente a este protocolo “safe harbour” en virtud del cual se obligan a cumplir requisitos equivalentes a los europeos en materia de protección de datos. En la página web de la Agencia de Protección de Datos pueden consultarse los países cuya regulación en la materia se considera equiparable a la europea.

En los casos en los que el proveedor almacena sus datos en un país cuya normativa de protección de datos no es equiparable a la europea, hay que tener en cuenta que, por un lado, es necesaria la autorización previa de la Agencia de Proyección de Datos para que el responsable de un fichero de datos de carácter personal encargue su tratamiento a una persona o empresa que reside fuera del espacio de legislación armonizada o equiparada. Por otro lado, el contrato de provisión de servicios ha de incorporar cuantas condiciones sean necesarias para suplir la carencia de legislación y trasladar al encargado del tratamiento del fichero las mismas obligaciones que contempla la normativa europea.

(Fuente: Valencia Business)

Más privacidad y garantías para el ciudadano frente a los nuevos retos de Internet.

 

En la 6 Sesión Anual de la AEPD se presentó el borrador de una Guía de Evaluación del Impacto en la Protección de Datos, una herramienta para ayudar a los responsables a detectar los riesgos que un producto o servicio puede implicar para la privacidad .

En su intervención, el director de la AEPD, José Luis Rodríguez Álvarez, destacó que la protección de datos va a convertirse en un elemento esencial en la configuración de los modelos de negocio de Internet en los próximos años, estableciendo que este derecho fundamental tiene una importancia real “que va más allá de la imagen de carga administrativa que se fomenta desde algunos sectores”. Rodríguez avanzó la creación de una Guía de Evaluación de Impacto en la Protección de Datos que desde hoy lunes está abierta a consulta pública.

En un momento donde se ha conocido el primer fallo sancionador de cookies en nuestro país, el Reglamento Europeo de Protección de Datos queda pendiente para la próxima legislatura y se está pendiente de la resolución del TJUE sobre la cuestión prejudicial presentada por la propia Audiencia Nacional por un asunto pendiente entre la propia AEPD y Google, esta 6 sesión de la AEPD no defraudó a nadie.

Rodríguez Álvarez subrayó la protección de datos como un elemento básico para potenciar la confianza de los usuarios en un mundo marcado por los rápidos avances tecnológicos, la deslocalización de la información y la tensión entre libertad y seguridad. En este sentido, ha apuntado que “la confianza en los servicios de Internet está sensiblemente dañada, y sólo puede repararse con más privacidad y más garantías para el ciudadano”.

El director de la AEPD se refirió a la importancia de incorporar nuevos enfoques y herramientas, destacando un nuevo instrumento que permite a las organizaciones identificar los riesgos para protección de datos.

Se trata de la Evaluación del Impacto en la Protección de Datos (EIPD), una herramienta útil para ayudar a los responsables a localizar y gestionar los posibles riesgos que un producto o servicio puede implicar para la privacidad.

La gran ventaja de las EIPD es que permiten descubrir riesgos y corregirlos anticipadamente, lo que repercute en un ahorro de costes y un refuerzo de la imagen y la reputación de las entidades. “Su uso mejorará las políticas y las prácticas de protección de datos de las organizaciones que las adopten, lo que sin duda contribuirá a generar más confianza en los usuarios”.

La Sesión Anual fue el marco escogido para presentar el borrador de una Guía de Evaluación del Impacto en la Protección de Datos (EIPD) que contribuirá a fomentar una mejora proactiva de la privacidad, proporcionando un marco de referencia flexible que ayude a quienes manejen datos personales a identificar los posibles riesgos en una fase temprana.

Para este proyecto, Rodríguez Álvarez avanzó que el lunes 17 de marzo la AEPD abrirá un período de consulta pública online que servirá como canal de comunicación con quienes deseen aportar sus observaciones y propuestas para la confección de la versión definitiva de la Guía. “Queremos contar con la opinión de todos los interesados para elaborar el documento final de forma participativa”, ha añadido.

El director de la Agencia se refirió a que, en un contexto como el actual, en el que cada día se ponen en circulación nuevos productos y servicios que hacen un uso intensivo de los datos personales “resulta imprescindible complementar los planteamientos tradicionales con enfoques proactivos que contribuyan a respetar los derechos de las personas y, con ello, a fortalecer la confianza”.

Una parte destacada de la Sesión estuvo dedicada a realizar un repaso exhaustivo por las diferentes áreas de la Agencia. En este sentido, la Sesión Anual puso de manifiesto las dos líneas estratégicas de actuación de la AEPD: favorecer que los ciudadanos tengan un mejor conocimiento de sus derechos y puedan ejercerlos de forma sencilla, y facilitar a quienes manejan datos personales el cumplimiento de las obligaciones que impone la LOPD.

Por otro lado, la jornada profundizó en las resoluciones más destacadas dictadas por la Agencia en los últimos meses, destacando que la mayoría de ellas recaen sobre cuestiones como la videovigilancia, el alta en servicios sin consentimiento, la inserción indebida en ficheros de morosidad, o la publicidad y comunicaciones comerciales.

También es significativo el aumento –en número y relevancia– de las resoluciones relacionadas con la protección de datos en los servicios que se prestan en Internet.

La Agencia ha sancionado nuevas estrategias publicitarias realizadas de forma viral a través de Internet, bien a través de redes sociales o utilizando correos electrónicos para recopilar datos personales indebidamente.

Asimismo, en la Sesión Anual también se reservó un espacio para analizar la incidencia de la aplicación de la normativa de cookies cuando se cumple casi un año de la presentación de la primera guía en Europa elaborada junto a los representantes de la industria.

(Fuente: Lawyer Press)

Publicidad en redes sociales.

Los anunciantes están obligados a distinguir claramente los actos publicitarios que realizan en los medios de comunicación. Sin embargo, estas normas no siempre son aplicadas en redes sociales como Twitter o Facebook. Las redes sociales como Facebook o Twitter se han convertido en un nuevo terreno de juego para los anunciantes. Las marcas han decidido apostar por estos medios y han contratado a celebridades para hacer llegar su mensaje al resto de usuarios. Sin embargo, muchas veces, las reglas que se aplican a la publicidad en otros ámbitos se incumplen en estas plataformas, cruzando así la delgada línea que les separa de la publicidad encubierta. El principio de información en el mundo de la publicidad es esencial. El consumidor debe poder distinguir entre lo que es un anuncio y lo que es una información. Por eso, en Internet y en las redes sociales se aplica la misma regulación que existe para la publicidad offline –Ley General de Publicidad y Ley de Competencia Desleal–, así como lo estipulado sobre comunicaciones comerciales en la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI). La falta de resoluciones en España frente a la publicidad encubierta en las redes sociales está provocando el continuo incumplimiento de la normativa vigente. Sin embargo, en Reino Unido, el organismo regulador encargado del control de la publicidad en los medios ya ha intervenido ante denuncias de consumidores. La Autoridad de Estándares en Publicidad (ASA, por sus siglas en inglés) ha fijado ciertas obligaciones que los anunciantes deben cumplir en sus mensajes publicitarios, como incrustar en el texto el hashtag #ad, para indicar que es una publicidad (advertisement). En EEUU ya han optado por crear una regulación específica sobre comunicaciones electrónicas. Falta de estándares A falta de un reglamento específico para este tipo de publicidad, se debería tener en cuenta la legislación existente. El artículo 20.1 de la LSSI impone que las comunicaciones comerciales realizadas por vía electrónica sean claramente identificables como tales, contemplando la inclusión de los términos publi o publicidad. Teniendo en cuenta esto, utilizar el hashtag #publi en los tuits publicitarios podría ser una solución fácil para cumplir con la normativa actual. Otro asunto complicado en una denuncia por este tipo de publicidad encubierta es demostrar que el prescriptor lo ha hecho a cambio de algún tipo de remuneración, sea de la naturaleza que sea. El caso Danone En julio de 2013, varios famosos españoles –Nuria Roca, Carolina Cerezuela, Jesús Vázquez o Santi Millán– publicaron en sus perfiles de Twitter un mensaje con el #porfincalor. Lo que parecía ser un simple mensaje personal, ya que no se indicaba que fuera un tuit patrocinado, resultó formar parte de una campaña de Danone para su producto Yolado. Cerezuela fue la única que integró el #publi dentro de su mensaje. (Fuente: Expansión)

Telefónica pagará 20.000 euros por meter a una oleirense en una lista de morosos.

- La Audiencia Nacional la sanciona porque le imputó una deuda de 155 euros inexistente - Se contrató una línea en Arteixo con su número de DNI pero la firma no era la suya. La compañía Telefónica incluyó a una vecina de Oleiros en un fichero de morosos por el impago de 155,30 euros de una línea de teléfono fijo y ADSL que los técnicos instalaron en una casa de Meicende (Arteixo) que no tenía nada que ver con ella. La Audiencia Nacional ha confirmado la sanción de 20.000 euros a Telefónica por dos infracciones graves de la ley de protección de datos. La Agencia de Protección de Datos ya acordó estas dos sanciones a Telefónica en su resolución de diciembre de 2012 pero la compañía interpuso un recurso contencioso y ahora la Audiencia lo ha desestimado, ratificando las dos multas de 10.000 euros cada una. Esta oleirense acudió a Caja España para solicitar un préstamo y allí se enteró de que estaba incluida en el fichero Asnef de morosos. Tras contactar con Asnef averiguó que Telefónica había incluido sus datos por una deuda de 155,30 euros. La afectada presentó entonces una denuncia ante la Guardia Civil en diciembre de 2010 y en enero de 2011 ante la Agencia de Protección de Datos Los inspectores de la agencia determinaron entonces que en diciembre de 2009 se contrató un teléfono fijo con ADSL en una vivienda en Meicende, generándose ocho facturas, algunas compensadas tras problemas de funcionamiento del router. Telefónica realizó hasta dos requerimientos de pago por un impago. La denunciante expuso que ella no contrató esa línea y que tiene su residencia en Oleiros y ninguna vivienda en Arteixo. Telefónica aportó copia del contrato donde figuraba su DNI y su dirección en Meicende pero la firma del contrato no tenía nada que ver con la que figuraba en el carné original de la perjudicada. La compañía telefónica expuso que no es obligatoria la copia del DNI para contratar un servicio pero la Agencia de Protección de Datos y ahora la Audiencia Nacional, recuerdan que siempre se deben tomar "las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento", lo que Telefónica no hizo. Los magistrados señalan además que para tratar datos personas hace falta el "consentimiento inequívoco del afectado", lo que no se produjo. La Audiencia apuntó también que se vulneró el principio de calidad de datos porque Telefónica dio datos de la oleirense a Asnef por una deuda "que no era cierta, vencida y exigible y por tanto inexacta". La compañía también ha sido condenada al pago de las costas. (Fuente: La Opinión A Coruña)