Sanciones a entidades privadas

Lease Plan Servicios, S.A.

Con fecha de 29/11/2012 tuvo entrada en la AEPD una denuncia de A.A.A. en la que declara que ha recibido en su domicilio una “información sobre publicación de edicto: multa de circulación” expedida por el Ayuntamiento de Madrid sobre una infracción cometida por él. Figura que fue identificado como conductor del vehículo ***MATRÍCULA.1. 

Junto a la comunicación se adjuntó por el Ayuntamiento foto del vehículo infractor figurando en la trasera del mismo la publicidad “www.makro.es”.

El denunciante manifiesta que con fecha 11/05/2012 dejó de prestar sus servicios en MAKRO AUTOSERVICIO MAYORISTA S.A., “MAKRO”, por lo que la identificación del conductor que se ha hecho es incorrecta.

MAKRO indica que la causa por la cual se ha identificado a D A.A.A. ha sido un “error interno”, siendo cierto que dicho colaborador no prestaba servicio a la Compañía en el momento de la infracción. MAKRO tiene suscrito un contrato de alquiler de vehículos y gestión de flota con LEASE PLAN. La identificación del conductor no se efectuó por MAKRO sino por LEASE PLAN, quien al parecer por un error interno no identificó correctamente al conductor.” MAKRO, al amparo de aquel contrato, y del artículo 12 puede facilitar los datos de los trabajadores a LEASE para poder efectuar la prestación del servicio.

Se imputa en el presente procedimiento a LEASE PLAN SERVICIOS S.A., por una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. 

La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación.

El director de la Agencia Española de Protección de Datos resolvió imponer a Lease Plan Servicios, SApor la infracción del artículo 4.3 de la LOPD, tipificada como grave, una multa de 6.000 €.

Sanciones a entidades privadas.

Viva Aqua Service Spain, S.A.

Tuvo entrada en la EPD un escrito de A.A.A. en el que declara que el día 30 de enero de 2013 recibió una llamada en la cual se identificaban como la empresa AQUA SERVICE. Tras manifestar que su número está protegido y que no le pueden llamar le indican que su número está en una base de datos.

El teléfono de la denunciante, consta desde el 21 de agosto de 2009 en el Servicio de Lista Robinson.

VIVA AQUA SERVICE SPAIN, SA ha manifestado que la llamada se realizó por error, al no constar a la operadora la inclusión del número en una lista de exclusión.

Dispone el artículo 6 de la LOPD que el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.

Si bien los datos personales de la denunciante consta en un repertorio telefónico, en concreto las Guía de Abonados, y en principio dicha circunstancia opera como excepción a la prestación del consentimiento, no pueden obviarse dos elementos fundamentales: en primer lugar la circunstancia de que en dicho repertorio consta el distintivo “U” y la segunda, que los datos personales del denunciante constan inscritos en un fichero general de exclusión de acciones comerciales.

El director de la Agencia Española de Protección de Datos resolvió imponer a Viva Aqua Service Spain, SA por una infracción del artículo 6 de la LOPD, tipificada como grave, una multa de 15.000 €.

¿Qué coste económico enfrenta una empresa que incumple en marketing digital la LOPD?.

En un contexto en el que el usuario pasa gran parte de su tiempo conectado a internet los anunciantes apuestan por el marketing digital. Esta apuesta no puede realizarse de cualquier manera; en caso contrario las acciones online podrían pasar factura a la empresa, muchas veces con sanciones económicas que afectan al ROI de las campañas. Durante el ‘eShow’ se han enumerado casos reales de sanciones legales al no respetar la protección de datos en internet al desarrollar campañas de marketing y violar la LOPD (Ley de Protección de Datos). El envío de una información puntual en una ocasión sin autorización por e-mailing ha costado 1.800 euros a una empresa, no decir qué tipos de cookies se utilizaban ni información adecuada al respecto3.000 euros a otra y permitir la participación de menores de 14 años sin autorización de sus padres o tutores supusieron 41.000 euros a la empresa del producto ToiBollycao. También ha contado que la falta de avisos legales en formularios de recogida de datos ha conllevado una sanción de 1.500 euros, olvidarse de utilizar el sistema de copia oculta en envíos masivos de e-mails 2.000 euros (al infringir la normativa de cesión de datos) y no borrar datos ante petición de un usuario de la base de datos 6.000 euros.  Además, una empresa que ha publicado un parte médico temporal de un trabajador en sus redes sociales ha pagado finalmente 2.000 euros, el traspase de datos ha costado 40.000 euros a una empresa (porque hay que avisar de que se cederán los datos, pidiendo consentimiento incluso si se trata de proveedores, según el artículo 12 de la LOPD). Por último, obstaculizar el acceso, rectificación, cancelación u oposición en la gestión de datos por parte del usuario ha supuesto 300.000 euros a una compañía. (Fuente: PR Noticias)

La cancelación de datos personales encabeza las denuncias ciudadanas en Protección de Datos.

La AEPD publica su Memoria anual, que recoge las tendencias más destacadas en materia de protección de datos, las decisiones y procedimientos más relevantes.

La Agencia Española de Protección de Datos (AEPD) ha publicado hoy su Memoria anual de 2013, que recoge la actividad y el funcionamiento de las distintas áreas de la institución, las tendencias más destacadas en materia de protección de datos, las decisiones y procedimientos más relevantes, y un completo análisis de los desafíos para la privacidad, tanto presentes como futuros.

El análisis de la actividad anual de la Agencia pone de manifiesto, en primer lugar, que ciudadanos y organizaciones son cada vez más conscientes de las garantías que pueden exigir o deben cumplir, respectivamente, en cuanto a protección de datos. El crecimiento de las inquietudes trasladadas por los ciudadanos, el aumento de la inscripción de ficheros por parte de los sujetos obligados, el incremento de las consultas realizadas al Registro y la consolidación tanto del número de denuncias y reclamaciones como de la solicitud de informes son algunos de los elementos en los que se concreta ese interés creciente.

En 2013 se ha afianzado el número de denuncias y reclamaciones presentadas ante la AEPD, situándose en 10.604 las peticiones realizadas en 2013 frente a las 10.787 de 2012. El ejercicio que se recoge en la Memoria también evidencia, un año más, el notable esfuerzo realizado por la institución para consolidar el elevado número de resoluciones dictadas (10.741) , que ya había aumentado el año anterior casi un 40%. En cuanto a los ámbitos de actividad con mayor número de actuaciones de investigación, en primer lugar se encuentra el sector de las telecomunicaciones (2.256 actuaciones previas iniciadas) seguido de las entidades financieras (1.566) y de la videovigilancia (918).

En lo relativo a las solicitudes de ciudadanos que acudieron a la Agencia recabando la tutela de sus derechos -que previamente han ejercitado ante el responsable del tratamiento y este los ha denegado o no ha respondido- ocupan el primer lugar las solicitudes de cancelación, seguidas de las referentes al acceso. El mayor conocimiento de los ciudadanos sobre sus derechos consolida al alza la relevancia que estos otorgan a la cancelación de sus datos, cuya solicitud se incrementa un 8% respecto a 2012.

Derecho al olvido

En paralelo, los ciudadanos en España han sido pioneros en el ejercicio del denominado derecho al olvido (derecho de cancelación y oposición) para evitar la difusión universal y permanente de sus datos en Internet. En 2013 se aprecia una consolidación del número de reclamaciones recibidas (184), si bien con un incremento de las resueltas (181 en 2012 y 226 en 2013). El mayor número de reclamaciones resueltas (157) se han dirigido frente a los prestadores de servicios de búsqueda en internet, lo que pone de manifiesto que la mayor inquietud de los ciudadanos se refiere a la hiperaccesibilidad que proporcionan estos servicios a su información personal.

En 2013 el promedio de resoluciones estimatorias en esta área se situó en el 26,10%, con un porcentaje que es superior en los Boletines y diarios oficiales (45,65%) e inferior respecto de los buscadores en internet (22,29%) y los medios de comunicación (13,04%).

En este punto, es necesario mencionar que estas cifras -referidas al año 2013- son anteriores a la Sentencia del TJUE que respalda las tesis defendidas por la AEPD en relación con el derecho al olvido respecto al buscador Google. Aun así, hay que recordar que, siguiendo los términos de la Sentencia, en ningún caso se elimina la información en sí misma, que permanece intacta en la fuente y en el buscador del medio, y que sigue siendo localizable a través de Google buscando por un término o concepto que no sea el dato personal del afectado.

Sanciones y sectores

En cuanto al volumen total de las sanciones económicas declaradas en 2013, este creció un 6,10% (22.339.440 euros). Cabe destacar que en casi el 84% de los casos se han aplicado los criterios de moderación y atenuación de sanción previstos en la LOPD. Asimismo, debe tenerse en cuenta que en un solo procedimiento se declararon tres infracciones, imponiéndose una sanción de 900.000 euros.

El sector de actividad en el que se ha declarado un mayor volumen de sanciones ha sido el de lastelecomunicaciones, con un importe total de 15.035.008 euros, suponiendo más de un 67% del volumen total de las sanciones declaradas en 2013. Resulta relevante señalar que el sector de suministro ycomercialización de agua y energía ha pasado a ocupar el segundo lugar en cuanto a volumen de sanciones con un importe de 2.084.901 euros, superando a la actividad de las entidades financieras (1.811.501 euros), que ocupa en 2013 el tercer lugar.

En cuanto a las resoluciones de procedimientos de apercibimiento (en los que se declara la infracción pero no se impone sanción económica) estos han recaído mayoritariamente en la actividad de videovigilancia (59,82%) debido a que frecuentemente los denunciados son particulares y pymes, ámbitos en los que procede aplicar los criterios de disminución de culpabilidad y antijuridicidad exigidos en la LOPD así como el requisito de no haber sido sancionados o apercibidos previamente. A gran distancia se encuentran los servicios de internet (8,68%).

En cuanto a las sentencias de la Audiencia Nacional recaídas en los recursos interpuestos contra resoluciones de la AEPD, del total de 274 sentencias, un 72% confirmaron los criterios de la Agencia en cuanto al fondo del asunto. Por su parte, el Tribunal Supremo, dictó un total de 12 resoluciones frente a sentencias dictadas en procesos en los que era parte la AEPD. En relación con estos recursos, los criterios de la Agencia fueron confirmados en su totalidad.

(Fuente: Publico.es)

El Supremo prohíbe a la industria musical recabar datos de usuarios de redes P2P sin su consentimiento.

El Tribunal Supremo ha confirmado en una sentencia del pasado 3 de octubre que las direcciones IP son datos de carácter personal y, por tanto, sujetos a la protección de la Ley Orgánica de Protección de Datos (LOPD). Por tanto, rechaza la pretensión de los productores musicales de recabar los datos de los usuarios de redes de intercambio P2P sin el consentimiento de estos.

La sentencia desestima un recurso de casación de Promusicae, una asociación que aglutina a laindustria musical, contra una sentencia de la Audiencia Nacional de 2011 que establecía lo mismo: las direcciones IP son un dato personal y no se puede vulnerar su protección para proteger el derecho a la propiedad intelectual. El Alto Tribunal considera, al igual que la Audiencia, que "las direcciones IP son datos personales", ya que contienen información concerniente a personas físicas "identificadas o identificables". 

El caso arranca cuando la industria musical decide contratar los servicios de la compañía DtecNet Software para barrer las redes de intercambios de archivos entre pares (P2P) e identificar a aquellos internautas que se descargaban archivos protegidos -a partir de una lista proporcionada por la propia industria del disco- de forma masiva. Así, una vez identificados dichos usuarios a partir de sus direcciones IP, podrían actuar contra ellos por vulneración de la propiedad intelectual.

En 2009, Promusicae solicitó a la Agencia Española de Protección de Datos (AEPD) ampararse en el artículo 5.5 de la LOPD para no informar a los usuarios de que se recababa las direcciones IP, algo a lo que obliga la ley en el caso del tratamiento de datos personales salvo casos excepcionales, que recoge el propio artículo 5 ya mencionado. No obstante, Protección de Datos falló en contra de esta pretensión y Promusicae recurrió a la Audiencia Nacional, que a su vez desestimó el recurso.

Datos de carácter personal

El Supremo incide en varias razones para dar carpetazo el recurso de casación interpuesto por Promusicae. Para empezar, recuerda que las direcciones IP sí que han de ser tratadas como un dato de carácter personal "ya que contienen información concerniente a personas físicas 'identificadas o identificables'".

"No cabe duda que, a partir de la dirección IP puede identificarse directa o indirectamente la identidad del interesado", alega el Supremo, "ya que los proveedores de acceso a internet tienen constancia de losnombres, teléfono y otros datos identificativos de los usuarios a los que han asignado las particulares direcciones IP".

Tampoco considera el Alto Tribunal, como alega Promusicae, que resulte imposible llevar a cabo la labor de informar a los usuarios uno a uno del tratamiento de sus datos, extremo que tanto la Audiencia Nacional como el Supremo consideran que no ha sido suficientemente probado.

Asimismo, esta sentencia del Supremo tumba el argumento de la industria de que los usuarios ponen a disposición del público su dirección IP libre y voluntariamente por el mero hecho de usar estos servicios de descargas P2P. Así, la sentencia considera que "no puede equipararse el conocimiento por el titular de que su dirección IP es visible en las redes P2P, con su consentimiento para su tratamiento automatizado junto con otros datos de su tráfico". Recuerda el Supremo que el consentimiento "podrá ser tácito pero, en todo caso, ha de ser inequívoco".

"El hecho de que un usuario de red P2P conozca que su dirección IP es visible y puede ser conocida", razona el Supremo, "no significa que acepte de forma inequívoca su uso y tratamiento por terceros, ni que consienta de forma específica el tratamiento de sus datos que pretende la parte recurrente".

Interés legítimo

La sentencia pone en cuestión, además, la finalidad de la obtención de las direcciones IP por parte de Promusicae en este caso, así como su "interés legítimo". Así, recuerda "la especial protección dispensada por el legislador a los datos vinculados a la comunicación a través de Internet", y afirma que "no es posible entregar las direcciones IP a una entidad privada", como la recurrente, que "ni siquiera tiene la consideración de entidad de gestión a los efectos de valorar el uso que pretende hacer de los datos de descarga de fonogramas y películas".

"La protección de los derechos de propiedad intelectual, que está en la base de lo pretendido por la entidad recurrente, merece todo el respeto de esta Sala", concluye el Supremo, "pero no puede hacerse sobre la base de violar derechos, que también merecen protección, como son los derivados de la protección de datos (entendida en un sentido mucho más amplio que el simple derecho a la intimidad)".

(Fuente: El Mundo)