Browsing Tag

Protección de datos

Obligaciones legales en la página web: Protección de datos, uso de cookies y más

Author: \ 22 abril, 2024 \ Actualidad, comercio electrónico, Proteccion de datos, Publicaciones AEPD, Reglamento europeo, Tecnología \ 0 Comentarios

En esta entrega explicaremos las obligaciones legales que debemos cumplir para asegurar el cumplimiento normativo en nuestra página web. Desde la protección de datos hasta el uso de cookies, condiciones generales de contratación y otras cuestiones relevantes. Todas estas cuestiones las analizamos en base a la normativa vigente, tanto el Reglamento Europeo General de Protección de Datos (2016/679 (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSICE), la Ley General para la Defensa de los Consumidores y Usuarios, así como la reciente Guía sobre cookies de la AEPD.

Textos legales necesarios

La primera obligación es facilitar el acceso al aviso legal, política de privacidad, política de cookies y, en su caso, condiciones de compra. Pude servir de ejemplo nuestro sitio web www.legaldpo.es

Aviso legal

Un aviso legal es fundamental y debe incluir información sobre la identidad del titular del sitio web, términos y condiciones de uso del sitio, limitación de responsabilidad, propiedad intelectual, jurisdicción y legislación aplicable, entre otras cuestiones

Política de privacidad

Esta política debe detallar cómo se recopilan, utilizan, protegen y gestionan los datos personales de los usuarios. Debe incluir información sobre el responsable del tratamiento de datos, los derechos de los usuarios y cómo ejercerlos, entre otros aspectos. La política de privacidad sirve como la “información adicional y detallada” sobre el tratamiento de datos que hacemos, dando cumplimiento a los artículos 13 del RGPD y 11 LOPDGDD.

Información por capas

Siguiendo la guía y directrices de la AEPD, es necesario ofrecer a los usuarios la información sobre el tratamiento de datos de dos modos:

Primera capa: será la información básica, de forma clara y sencilla sobre el tratamiento de datos que realizamos. A modo de ejemplo, en un formulario de contacto se podrá incluir mediante un enlace, texto fijo, scroll, imagen o en cualquier formato, la información sobre nuestra empresa, finalidad del uso de los datos, posibles destinatarios, plazos de conservación y ejercicio de derechos. Puede consultar el apartado “contacto” de nuestra web en www.legaldpo.es.

Segunda capa: enlace que estará disponible desde el pie de página y desde la información de primera capa. Detallaremos en profundidad toda la información sobre el tratamiento de datos, de manera lícita, lela y transparente.

Política de cookies

Informa a los usuarios sobre el uso de cookies en tu sitio web, incluyendo qué tipos de cookies utilizas, para qué fines y cómo pueden gestionar sus preferencias de cookies, ya sea para mejorar o recordar su visita al sitio web.

Consentimiento de cookies: debemos obtener el consentimiento explícito de los usuarios antes de utilizar cookies no esenciales en nuestro sitio web. Esto puede hacerse mediante un banner de cookies, pop up o una ventana emergente que informe y solicite el consentimiento. Será necesario ofrecer a los usuarios información sobre estas (analíticas, de publicidad, estadísticas, etc) y ofrecer al usuario la posibilidad de desactivar o activar aquellas cookies que no son necesarias para navegar por el sitio web. Obtenga información adicional sobre el consentimiento para el uso de cookies en la reciente publicación de la AEPD.

Condiciones de compra. Política de e- Commerce

Por último, si realizamos venta electrónica, tenemos la obligación de disponer un unas condiciones de compra completas. Aunque se tratará en otro artículo que puede leer pulsando aquí, esta política es fundamental, no solo para evitar sanciones, sino porque sin ella no podremos obtener ni implementar en nuestra web un TPV o plataforma de pago virtual. Por otro lado, estaremos incumpliendo la Ley General para la Defensa de los Consumidores y Usuarios y, en caso de conflicto, se aplicará íntegramente lo dispuesto en la Ley, sin perjuicio de las infracciones y sanciones que podemos incurrir.

Legislación aplicable

Reglamento General de Protección de Datos (RGPD): Si operas en la Unión Europea o recopilas datos de ciudadanos europeos, debes cumplir con el RGPD, que establece normas estrictas sobre el manejo de datos personales.

Ley de Protección de Datos Personales: En otros países, asegúrate de cumplir con la legislación nacional sobre protección de datos personales. Esto puede variar según la región, pero por lo general incluye regulaciones similares al RGPD.

Ley de Servicios de la Sociedad de la Información (LSSI): Si operas en España, la LSSI regula el comercio electrónico y los servicios en línea, incluyendo disposiciones sobre información y contratación electrónica.

Seguridad de datos

Es necesario implementar medidas de seguridad adecuadas para proteger los datos personales de los usuarios, como el cifrado de datos, el acceso restringido y la capacitación del personal. En el “Manual de seguridad técnica” de su documentación dispone de algunas recomendaciones para garantizar un tratamiento de datos seguro. Estas recomendaciones las podrá encontrar en la documentación sobre la página web del área de clientes.

Tiene disponible toda la documentación en su área de clientes. Puede acceder pulsando aquí. Si ha olvidado su contraseña, utilice el apartado “ha olvidado su contraseña”. No dude en contactar con el equipo de LegalDPO a través del correo hola@legaldpo.es, en nuestra web www.legaldpo.es o consulte las guías y directrices de la AEPD en www.aepd.es.

Instrucciones para colocar el cartel de videovigilancia

Author: \ 15 febrero, 2024 \ Proteccion de datos, Publicaciones AEPD, Videovigilancia \ 0 Comentarios

El uso de las instalaciones de cámaras y videocámaras debe seguir ciertas reglas que rigen todo el proceso desde su captación, almacenamiento, reproducción hasta su cancelación. El responsable deberá tener en cuenta los siguientes principios:

  • Se instalará un cartel (como mínimo) en lugar visible que informe de que se está en un establecimiento videovigilado. LEGALDPO le proveerá del mencionado cartel con todas aquellas estipulaciones exigidas por la legislación.
  • Deberá colocarse un cartel en cada entrada que de paso a una estancia videovigilada. Ej. Tenemos una instalación con 3 entradas y dos de ellas dan paso a un recinto principal videovigilado. Cada entrada deberá tener un cartel. La tercera entrada da paso a una estancia privada para el personal que no está vigilada por cámaras, no necesitará cartel. Sin embargo, la estancia del personal si da paso al recinto principal videovigilado, por lo que si necesitará cartel. En total, debemos colocar 3 carteles.
  • Debe existir una relación de proporcionalidad entre la finalidad perseguida y el modo en el que se traten los datos.
  • Debe informarse sobre la captación y/o grabación de las imágenes. Ej. Incluso en los casos en los que las videocámaras se utilicen para fines lícitos y legítimos como la seguridad de las instalaciones, se deberá informar igualmente.
  • El uso de instalaciones de cámaras o videocámaras sólo es admisible cuando no exista un medio menos invasivo. Ej. No es necesario grabar a los estudiantes de una clase para realizar controles de presencia cuando bastaría el método tradicional de pasar lista.
  • Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos. Ej. Una videocámara utilizada con fines de seguridad privada situada en un edificio no debería tomar imágenes de toda la calle en la que éste se encuentre.
  • Podrían tomarse imágenes parciales y limitadas de vías públicas cuando resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Ej. Si una cámara debe ubicarse necesariamente en la puerta de entrada de una entidad bancaria, o en la esquina de un edificio debería orientarse de modo que la parte de vía pública que recoja se limite al acceso vigilado sin recoger más porción de la imprescindible. No podrán captarse imágenes del resto de la acera o de la calle. Otro ejemplo sería la entrada de un garaje que graba las matrículas de los vehículos y, necesariamente, enfoca a la vía pública. Debería colocarse la cámara de tal forma que capte la matrícula pero enfoque la menor porción posible de la vía pública.

En cualquier caso el uso de sistemas de videovigilancia deberá ser respetuoso con los derechos de las personas y el resto del Ordenamiento jurídico. Ej. No sería admisible la captación de imágenes en espacios protegidos por el derecho a la intimidad como los interiores de viviendas cercanas, en baños o vestuarios o en espacios físicos ajenos al específicamente protegido por la instalación.

Lea nuestro artículos sobre la videovigilancia en las empresas en este enlace.

Tiempo de conservación

Las imágenes se conservarán por el tiempo imprescindible para la satisfacción de la finalidad para la que se recabaron. Ej. Como más adelante se señala en esta Guía la Instrucción 1/2006 sobre conservación de las imágenes con fines de vigilancia fija un plazo máximo de un mes. En los casos en que las imágenes se capten a otros efectos se someterá a la legislación específica aplicable.

Brecha de seguridad en los datos

Author: \ 6 febrero, 2024 \ Actualidad, Proteccion de datos, Publicaciones AEPD, Reglamento europeo \ 0 Comentarios

En esta entrega queremos hablaros sobre las brechas de seguridad, qué son, clases, medidas, cómo actuar y las posibles consecuencias.

El Reglamento General de Protección de Datos Europeo (RGPD 2017/679, de 27 de abril) nos da una definición muy amplia sobre este concepto. La brecha de seguridad supone cualquier incidente, pérdida, robo, alteración o destrucción de información personal, comunicación o cesión a terceros sin consentimiento o autorización. En este sentido, podemos catalogar como brecha de seguridad, por ejemplo, los siguientes casos:

  • Pérdida o robo de ordenador, teléfono o cualquier documento o dispositivo que almacene o contenga datos de terceros
  • Envío de documentación personal por error a un tercero que no es destinatario
  • Acceso a nuestros sistemas o documentos por terceros no autorizados
  • Eliminación accidental de documentos con datos personales

¿Qué hago si he sufrido una brecha de seguridad?

En primer lugar, cualquier sospecha de haber sufrido una brecha será necesario analizar y registrar la misma. Dispone del registro en su área de clientes. Si usted es cliente de LegalDPO, contacte con juridico@legaldpo.es para que realicemos el análisis.

Recuerde que es fundamental atender al procedimiento del art. 33 RGPD, siendo necesario actuar en plazo de 72 horas desde que se tienen conocimiento de una brecha de seguridad. Por ello, es fundamental que notifique a LegalDPO la información necesaria en plazo de 24 horas y que podamos realizar el análisis. Puede utilizar el formulario para registro de brechas en su documentación del área de clientes.

La información que necesitamos y deberá remitir al departamento jurídico:

  • Breve descripción de los hechos
  • Naturaleza de la brecha: si un tercero no autorizado a accedido a información personal, si ha sido robado o perdido un dispositivo o documentación, si se ha alterado información original, se han bloqueado el acceso a los datos. La naturaleza de la brecha se clasificará en brecha de confidencialidad, integridad o disponibilidad.
  • Origen de la amenaza: si ha sido interna (personal de la empresa) o externa (tercero), así como la intencionalidad: error humano, error técnico, intencionada o accidental.
  • Medios por los que se ha materializado la brecha: hacking, datos enviados por error, robo, eliminación incorrecta, publicación no intencionada, revelación verbal, pérdida de dispositivo.
  • Sujetos afectados: clientes, alumnos, empleados, usuarios de la web, proveedores y número aproximado de personas que se han visto afectadas por la brecha.
  • Categoría de datos afectados: la clase de datos que han sido objeto de la brecha, tales como datos de contacto, datos bancarios, datos sensibles (salud, biométricos, etc.), información patrimonial, datos de menores, personas vulnerables, etc.
  • Medidas de seguridad previas a la brecha: descripción de las medidas existentes hasta la materialización o sospecha de la brecha de seguridad, tales como contraseñas en dispositivos, registro de entrada/salida de soportes, cifrado de datos, copias de seguridad, formación de empleados, entre otras.

Actuación ante las brechas de seguridad

Una vez analizada la brecha de seguridad y las consecuencias, nos encontraremos varios escenarios:

  • Necesidad de denunciar ante las autoridades
  • Contactar con los afectados
  • Comunicar la brecha a la Agencia Española de Protección de Datos (AEPD), de acuerdo al artículo 33 del RGPD.
  • Implementación de medidas correctoras o mejora de las existentes

Estas acciones dependerán del análisis previo. En la mayoría de ocasiones son acumulativas, aunque la implementación de medidas correctoras o mejora de éstas siempre estará presente.

Estas acciones se llevarán a cabo en plazo máximo de 48 horas desde que notifique a LegalDPO la información necesaria.

Infracciones y consecuencias

Un error muy común es la falsa creencia o el miedo de comunicar una brecha a la AEPD. No debemos olvidar que los errores humanos, técnicos así como los hackeos estarán siempre presentes. La Agencia no va a sancionar siempre que hayamos hecho todo lo posible para prevenir y evitar una brecha de seguridad, pero es imposible asegurar que no se produzcan. Es importante que cuando sea necesario, se notifique a la Autoridad. Siempre será más beneficioso comunicar que no hacerlo por miedo a las consecuencias.

La vulneración del procedimiento descrito en el art. 33 RGPD es constitutivo de una infracción grave contemplada por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en concreto del art. 73.r), cuya sanción podrá ascender hasta los 10 millones de euros o el 2% del volumen total del negocio. En cualquier caso, atendiendo a las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, para empresas cuya facturación sea inferior a 2 millones de euros, la cuantía de la sanción podrá ser de 4.000 a 40.000 euros y para facturaciones superior a 2 millones de euros podrán ascender hasta los 200.000 euros.

Medidas tras una brecha de seguridad

Una vez que damos por concluida la brecha de seguridad, salvo que lo hayamos hecho previamente, tendremos que revisar las medidas de seguridad que tenemos implementadas.

Estas medidas podrán ser muy diversas: desde la formación y sensibilización al personal en materia de protección de datos, actualización de protocolos de actuación, cambio en los períodos de realización de copias de seguridad, cifrado de datos, entre otras.

Junto al departamento jurídico de LegalDPO se realizará un nuevo análisis de riesgos y se decidirán las mejoras o actualizaciones que deben implementarse, siempre atendiendo a lo dispuesto en el art. 25 del RGPD, teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas.

Artículo 25.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)

No olvide contactar con LegalDPO si tiene cualquier duda o quiere ampliar esta información a través del correo hola@legaldpo.es, en nuestra web www.legaldpo.es o consulte las guías y directrices de la AEPD en www.aepd.es. Puede consultar nuestros servicios en las páginas web, aplicables en toda España.

Por último, puede ampliar toda esta información desde el apartado «brechas de seguridad» en el sitio web de la AEPD.

https://www.aepd.es/preguntas-frecuentes/2-rgpd/11-brechas-de-datos-personales

Uso de Cookies y obligaciones en la página web

Author: \ 31 enero, 2024 \ Actualidad, Canal de denuncias, Cookies, Proteccion de datos, Publicaciones AEPD, Reglamento europeo \ 0 Comentarios

La política de cookies de nuestro sitio web es obligatoria. Debido a que suele ser la gran olvidada, desde LegalDPO queremos recordaros la importancia que tiene y que, por ser clientes, tenéis a vuestra disposición esta documentación para incluir en la página web y un equipo que os ayudará en su implementación.

Nueva guía sobre el uso de cookies en la página web

Para ofrecer información práctica y adaptarla a la normativa europea sobre uso de cookies aprobadas por las Directrices 03/2022, la AEPD ha publicado una nueva guía, haciendo alusión a las distintas clases de cookies, funciones, obligaciones, forma de ofrecer la información a los usuarios, modo de aceptación y rechazo, disposición del pop up, entre otras cuestiones relevantes, todo en colaboración con distintos organismos y asociaciones.

Puede acceder al contenido de la guía pulsando aquí. Desde el equipo de LegalDPO queremos acercaros la información de forma resumida y sencilla.

¿Qué es una cookies?

Es un archivo que crean las páginas web, se instalan en los equipos de los usuarios y nos ayudan a obtener información de éstos cuando navegan por nuestra página.

Como norma general, estos archivos cumplen dos funciones: por una lado ayudan al usuario a navegar más fácilmente  y, por otro lado, obtener información de lo que hace el usuario en nuestra web.

¿Estoy obligado a disponer de política de cookies en mi web?

La realidad es que es fundamental disponer del apartado con información adicional sobre las cookies, sus funciones, proveedor, destino de los datos y tiempo de almacenamiento. Este apartado se encuentra regulado por la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), modificada posteriormente por el Real Decreto-Ley 13/2012, así como por las Directrices europeas anteriormente mencionadas.

Las cookies técnicas y necesarias para el normal funcionamiento de la web están excluidas de la exigencia de aceptar o rechazar su instalación y obtener el consentimiento, siendo necesario disponer de pop up de cookies en caso de emplear analíticas, de publicidad, seguimiento, entre otras, ya sean propias o de terceros.

En ambos casos necesitamos implementar la información sobre las cookies, pero en caso de utilizar otras distintas a las técnicas y necesarias, será necesario que el usuario acepte o rechace su instalación y, de este modo, preste su consentimiento.

Cookies obligadas

Cuando utilizamos cookies, tenemos las siguientes obligaciones:

  1. Pop up que se visualice cuando el usuario acceda a la web, le permita conocer información de primera capa, aceptar o denegar las cookies o personalizar su instalación
  2. Apartado de la política en el pie de página o en lugar visible y que el usuario pueda acceder desde cualquier pestaña de la página web.
  3. Informar a los usuarios de qué son las cookies, para qué se utilizan, cuáles usamos en nuestra web, con qué finalidad y de quién proceden (propias o de terceros).En

Cookies de pago

Es una práctica habitual que está de moda. Mucha gente se pregunta si para rechazar las cookies nos pueden exigir un pago o una suscripción, lo que se denomina denegación total o parcial del servicio.

La realidad es que sí. Es una práctica habitual en revistas o periódicos digitales. Estos medios pueden pedir una suscripción o pago para poder rechazar la instalación de determinadas cookies, sobre todo publicitarias, pues los ingresos de estas empresas son fundamentalmente publicitarios. Para ello, se tendrá que informar debidamente al usuario, ofrecerle información sobre esta finalidad. Aunque las nuevas directrices sobre uso de cookies parezcan más restrictivas, ahora se podrá cobrar al usuario para no instalarlas.

Ahora bien, habrá que tener en cuenta que no será posible denegar el acceso si nuestra web es el único medio que empleamos, por ejemplo, para el ejercicio de derechos o para el canal de denuncias. Puede acceder a nuestro artículo sobre el canal obligatorio de denuncias.

Recuerde que si es cliente de LegalDPO, le facilitamos toda la documentación con los requisitos legales, disponible en su área de clientes. Contacte con nosotros en el correo hola@legaldpo.es o visite nuestra web en www.legaldpo.es. Consulte nuestras tarifas y servicios que prestamos en toda España.

CANAL DE DENUNCIAS OBLIGATORIO

Author: \ 30 enero, 2024 \ Actualidad, Canal de denuncias, Economía, Medioambiente, Otros temas, Proteccion de datos, Publicaciones AEPD, Redes Sociales, Reglamento europeo, Sin categoría, Tecnología \ 0 Comentarios

Como muchos sabéis, desde el pasado mes de diciembre es de obligado cumplimiento la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, y al amparo del artículo 24 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que incorpora al Derecho español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019 (Directiva Whistleblowing), para la implementación de un canal de denuncias interno o, también denominado, canal ético de información. En este artículo, queremos hacer un breve resumen sobre quién tiene la obligación de implementarlo, cómo debe gestionarse, qué y quién puede denunciar y demás obligaciones establecidas por la normativa citada.

¿Quién está obligado?

El canal de denuncias es una acción de compliance penal, obligatoria para las empresas que se acogen a determinadas normas ISO y para empresas públicas o privadas en los siguientes casos:

  • Empresas de 50 o más trabajadores
  • Empresas, con independencia del número de trabajadores, sujetos obligados o que aplican la normativa en materia de servicios, productos y mercados financieros; prevención del blanqueo de capitales; seguridad del transporte y; protección del medio ambiente.
  • Partidos políticos, los sindicatos, las organizaciones empresariales y las fundaciones creadas por unos y otros, siempre que reciban o gestionen fondos públicos
  • Fundaciones o asociaciones sostenidas con fondos públicos
  • Todas las entidades que integran el sector público
  • Empresas que contemplan los artículos 10, 11 y 13 de la Ley 2/2023

Para el resto de empresas el canal tiene carácter voluntario, cuyo objetivo principal es la protección de las personas informantes sobre las infracciones que puedan cometer las empresas o personas vinculadas a éstas.

Ámbito de aplicación material, ¿qué se puede denunciar?

En general, establece el artículo 2 de la Ley 2/2023 en relación con el anexo de la Directiva, cualquier incumplimiento de la normativa vigente que afecte directa o indirectamente a una empresa, sus empleados o terceros colaboradores:

  • Contrataciones irregulares,
  • Incumplimiento de normas de seguridad,
  • Fraude,
  • Incumplimiento de códigos o normas éticas,
  • Tratos vejatorios,
  • Vulneración de normativa medioambiental,
  • Protección y bienestar de los animales,
  • Derechos de los pacientes,
  • Derechos de los consumidores y usuarios,
  • Servicios financieros,
  • Seguridad del transporte,
  • Delitos contra los trabajadores,
  • Delitos contra la Hacienda Pública y Seguridad Social.

Ámbito de aplicación personal, ¿quién puede hacer uso del canal?

La Ley establece en su artículo 3 quién puede hacer uso del canal de denuncias, sin embargo, cualquier persona podrá hacer uso del canal debido a que debemos garantizar la posibilidad de presentar una denuncia de forma anónima: becarios, voluntarios, empleados, clientes, proveedores, colaboradores, trabajadores autónomos, familiares y, en definitiva, cualquier persona que tenga conocimiento de alguna vulneración por parte de la empresa o contra ella, sus directivos, empleados o cualquier persona física o jurídica relacionada con éstos.

Los artículos 7.3 y  17 de la Ley 2/2023, establecen que el informante, aunque sea anónimo, podrá facilitar un medio de comunicación. En todo caso se deberá comunicar al denunciante o afectado la resolución del procedimiento, debiendo garantizar el anonimato del infórmate en todo momento. Plazo de días 10 para resolver desde que se registra la denuncia y comunicación en plazo de 5 desde la resolución.

¿Cómo se puede denunciar?

Se podrán presentar denuncias por escrito o de forma verbal. Asimismo, estas podrán ser de manera física o telemática, incluida la vía telefónica o mediante entrevista personal reservada. La legislación establece la obligación de establecer al menos un modo, siempre que podamos garantizar el acceso al canal a las personas con discapacidad.

Protocolo interno

Será obligatorio disponer de un protocolo interno en el que se establezca la normativa de aplicación, personal designado para la gestión ya sea interno o empresa externa, procedimiento de actuación frente a denuncias, acuerdos de confidencialidad y demás obligaciones recogidas por el art. 9 de la Ley 2/2023

Contacte con LegalDPO si necesita gestionar el canal de denuncia, escribiendo a hola@legaldpo.es o llamando al 912 300 312. Asimismo, visite nuestra web www.legaldpo.es para conocer más información sobre nuestros servicios.

WhatsApp en la empresa

Author: \ 26 enero, 2024 \ Actualidad, Proteccion de datos, Publicaciones AEPD, Reglamento europeo, Tecnología, Teletrabajo, WhatsApp \ 0 Comentarios

Como usar el WhatsApp con clientes, empleados, proveedores y resto de comunicaciones en nuestro día a día

Desde el equipo de LegalDPO queremos facilitaros de una forma sencilla y clara sobre las posibilidades que tenemos a la hora de utilizar la aplicación WhatsApp en nuestra actividad empresarial. Para ello, vamos a conocer qué podemos hacer con esta aplicación y su uso en nuestro día a día.

¿Qué podemos hacer a través de WhatsApp?

El uso de esta aplicación es muy común para la gestión de nuestros servicios, contacto con el cliente, recordatorio de citas y, en ocasiones, envío de publicidad. Para ello, tenemos que considerar algunos aspectos fundamentales:

Clientes o antiguos clientes:

  • SE PUEDE contactar con los clientes cuando tengamos o hayamos tenido relación contractual. Ya sea para gestionar un servicio, comunicaciones relacionadas con este o con nuestros productos, recordatorios de citas y, en general, cualquier comunicación sin fines publicitarios. En ningún caso deberá utilizarse para facilitar información de carácter personal o para enviar documentación, deberán utilizarse otros medios más seguros.

Estas comunicaciones no necesitan consentimiento expreso, pero sí es necesario informar con la cláusula correspondiente en el momento en que recogemos los datos.

  • NO SE DEBE enviar publicidad. Salvo que nos autoricen expresamente marcando la casilla de aceptación, no debemos enviar publicidad a través de WhatsApp. Para realizar campañas publicitarias debemos obtener el consentimiento expreso.

A los dos puntos anteriores es de aplicación una cuestión muy importante: ofrecer al usuario la posibilidad de oponerse al tratamiento de sus datos en cualquier momento o darse de baja para las comunicaciones vía WhatsApp.

Clientes potenciales

En este caso sí será necesario que el cliente potencial acepte las comunicaciones por WhtsApp, sobre todo si queremos enviar publicidad. Distinto será que se pongan en contacto directamente con nosotros, en cuyo caso solo tendremos que informar sobre el tratamiento de sus datos, pero sin la posibilidad de enviar información comercial, salvo autorización expresa.

Empleados:

Las comunicaciones relacionadas con la actividad laboral también están permitidas, siempre que el trabajador/a no se oponga. Será fundamental informarle sobre esta finalidad, garantizando en todo caso el derecho a la desconexión digital. Esto lo haremos con la firma del “Manual de funciones y obligaciones”, que tiene a su disposición en el área de clientes.

Teléfonos de empresa: si ponemos nuestros teléfonos a disposición de los empleados, se les informará sobre la utilización de WhatsApp, además de la posibilidad de ser incluidos en un grupo, pero no es necesario el consentimiento expreso.

Teléfonos personales: distinguimos entre comunicaciones individuales que podamos hacer al empleado, siendo necesario informar y, la posibilidad de ser incluido en un grupo, para lo que necesitaremos el consentimiento expreso.

WhatsApp Business como herramienta comercial

Toda la información que hemos ofrecido es recomendable aplicarla y realizarla a través de WhatsApp Business (Google Play o App Store). Esta herramienta ha sido creada para ser utilizada por las empresas en su actividad comercial, ofreciendo herramientas para gestionar el contacto con los clientes de manera efectiva. Sin embargo, los condiciones de uso son idénticas y las causas de exclusión o vulneración de derechos como spam, contactos no autorizados, publicidad mediante procesos automáticos, etc., se mantienen para esta versión.

Tenga en cuenta que todas estas recomendaciones se pueden adaptar a las necesidades de cada empresa o profesional autónomo. Para poder dar una mejor respuesta, no dude en contactar con el equipo de LegalDPO a través del correo hola@legaldpo.es, en nuestra web www.legaldpo.es o consulte las guías y directrices de la AEPD en www.aepd.es.

Roban 9 millones de datos de clientes a EasyJet en un ciberataque

Author: \ 30 mayo, 2020 \ Actualidad \ 0 Comentarios

A finales de enero de este año la aerolínea low cost, EasyJet, sufrió un robo masivo tras un ciberataque que se saldó con 9 millones de datos sustraídos. Pero, ¿qué se encontraba exactamente entre esta información que se extrajo? Pues, tal y como ha comunicado la compañía, entre esa información se encontraban detalles de los viajes de sus clientes, direcciones de correo electrónico e incluso números de tarjetas de crédito, esto último más concretamente de 2.208 clientes. Más de dos mil números de tarjetas de crédito que quedan a disposición de los ladrones para hacer con ellas cualquier tipo de operación.

 

Sin duda, noticias como esta nos hacen plantearnos hasta qué punto están a salvo nuestros datos cuando hacemos cualquier compra por internet, incluso en páginas web que, a priori, pueden parecer seguras. Desde la aerolínea señalaron que se trató de un ataque muy sofisticado y que ya están trabajando en las soluciones. Pero, ¿qué solución puede haber ante un problema de seguridad como este? A veces hay situaciones que son irreversibles, pero lo importante es actuar de la mejor manera posible. En este caso, desde EasyJet se comunicó que se pondrían en contacto con cada uno de los usuarios afectados por este ciberataque, para informarles sobre los datos que habían sido sustraídos y poder poner una rápida solución.

 

A pesar del riesgo de este tipo de robos en el que después se puede usar la información para estafar a las personas (delito conocido como phishing), la aerolínea en su comunicado señalaba que «no hay evidencia de que ninguna información personal de ninguna naturaleza haya sido mal utilizada».

 

¿Qué es y en qué consiste el phising?

 

Para entender mejor qué es exactamente lo que le ha ocurrido a la aerolínea low cost tenemos que conocer el concepto phising. Este término se usa para hablar de los métodos que usan los delincuentes a través de internet para hacerse con información confidencial de forma fraudulenta.

 

El ladrón o estafador se hace pasar por un ente de confianza (suplanta una identidad falsa), se pone en contacto con una gran cantidad de usuarios a través de vías como un correo electrónico y tan solo le queda esperar a que quienes lo reciban caigan en su trampa y de esa forma consiga todos sus datos.

 

Una vez se hacen con los datos las consecuencias suelen ser siempre las mismas:

  • Uso de la tarjeta de crédito o cuenta bancaria para hacerse con dinero.
  • Venta de datos personales.
  • Suplantación de identidad.

Las aerolíneas como foco de los ciberataques

 

Aunque el caso de EasyJet sea el más reciente no es, ni de lejos, el único en el que una aerolínea sufre un robo de datos.

 

Hace dos años, entre los meses de agosto y septiembre, British Airways fue víctima del robo de todas las reservas que se hicieron en ese periodo de tiempo y sus correspondientes datos, más de 300.000. Esto dejó como resultado la sustracción de miles de nombres, apellidos, correos electrónicos, tarjetas de crédito y sus correspondientes códigos de seguridad, etc. En este caso, la compañía tuvo que asumir una multa de 183 millones de libras impuesta por La Oficina del Comisionado de Información de Reino Unido (ICO).

 

Otros ataques hacia compañías de vuelos fueron el de Transavia, afectando a más de 80.000 clientes, y el de Cathay Pacific, quien en su caso vio quebrantado su sistema afectando a más de 9 millones de usuarios.

 

La conclusión que extraemos de todo esto es que cuanto más digitalizada está nuestra vida más riesgos corremos con nuestros datos personales. Como decían nuestras abuelas, toda precaución es poca. Y con esto no queremos decir que tengamos que volvernos paranoicos y dejar de hacer uso de estos servicios, sino que tenemos que andar con ojo y fijándonos siempre en toda situación que pueda resultar anómala y plausible de ser poco fiable.

La Agencia Española de Protección de Datos multa con 10.000€ a un particular por difundir fotos en WhatsApp

Author: \ 28 febrero, 2020 \ Actualidad, Publicaciones AEPD, Redes Sociales, Reglamento europeo, Tecnología \ 0 Comentarios

Con fecha 18 de diciembre de 2019, la Agencia Española de Protección de Datos (en adelante, AEPD) hacía uso de su potestad sancionadora y multaba con 10.000€ a un particular que, a través de los ‘’estados de WhatsApp’’ publicó fotos personales de dos compañeros de su trabajo y que, previamente, obtuvo de un dispositivo USB que había sustraído. Aunque no es el primer caso en el que la AEPD sanciona a un particular como veremos más adelante, si es un caso especial por la polémica generada por la aplicación del RGPD (Reglamento Europeo de Protección de Datos 2016/679, de 27 de abril) y de la LOPDGDD (Ley Orgánica de Protección de Datos y garantía de los derechos digitales 3/2018, de 5 de diciembre) a una actividad personal o doméstica, como se deduce de la resolución y que, por lo tanto, queda excluida su aplicación al caso que nos ocupa, debiendo haber actuado la jurisdicción penal.

¿Puede la AEPD multar a particulares?

La polémica que ha generado este caso deriva de lo establecido en el artículo 2.2.c) del RGPD, así como en su considerando 18 y el 2.2.a) de la LOPDGDD. Ambos artículos establecen que ninguna de las dos normas será de aplicación ‘’al tratamiento de datos personales efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas’’. Sin embargo, estos preceptos chocarían con el objeto principal del propio Reglamento que en su artículo 1.2 establece el objeto principal: proteger los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de datos. A esta protección hay que añadir el derecho fundamental de las personas físicas en los que respecta al tratamiento de sus datos personales, amparado por el artículo 18.4 de la Constitución Española.

La opinión generalizada es que la AEPD no puede sancionar a particulares puesto que el RGPD fue concebido para proteger a los ciudadanos del tratamiento de datos que realizan las empresas, ya sea en el marco de una relación contractual o no. Sin embargo, la AEPD ya dejó claro en varias ocasiones que si era competente para conocer y resolver estos casos.

Precedentes

Hay que remontarse al año 2017 para encontrar un caso similar. En este caso, una mujer grabó con su teléfono móvil a un agente de la policía local que, supuestamente, estaba realizando un acto de violencia de género durante la prestación de los servicios policiales. La mujer alegó que grabó el vídeo con la única pretensión de que la agredida pudiera utilizar el vídeo como prueba en un proceso judicial, hecho que no ocurrió. La mujer autora del vídeo envió el mismo a varios de sus contactos vía WhatsApp, con lo que infringió el deber de solicitar el consentimiento del afectado y siendo sancionada por ello con multa de 2.000 euros. Estando todavía vigente la LOPD 15/1999 para este caso concreto, recordemos que en su artículo 2.2.a) establecía que la LOPD no sería de aplicación a los, tan famosos, ficheros mantenidos por personas en el ejercicio de actividades meramente personales o domésticas. Pese a ello, en este procedimiento sancionador PS/00576/2017 la AEPD se consideró plenamente competente para resolver el caso, al amparo del artículo 37 de la antigua LOPD en el que se establecen las funciones de la AEPD que, entre otras, recoge la atención de las reclamaciones y peticiones formuladas por las personas afectadas.

Nuevo Reglamento, pero pocos cambios

En la actualidad hemos sufrido un cambio normativo muy grande en materia de protección de datos, sin embargo, los preceptos antes mencionados se mantienen prácticamente iguales. El caso que nos ocupa, sobre la sanción de 10.000 euros impuesta al hombre que difundió por WhatsApp mensajes íntimos de dos compañeros de trabajo, la AEPD ha hecho uso de los mismos fundamentos ya mencionados. La Directora de la AEPD se considera competente al amparo de los artículos 58.2 del RGPD y 47 y 48 de la actual LOPDGDD. En este sentido, termina por sancionar con 10.000 euros por infringir el artículo 6.1 del RGPD conforme a los establecido en el 83.5.b) del mismo reglamento y difundir los mensajes sin el consentimiento de los afectados.

¿Sanción administrativa o delito?

Otro debate que genera este caso es la vulneración del artículo 197.1 del Código Penal, relativo al descubrimiento de secretos o violación de la intimidad. Aunque no es nuestra materia, este es un delito privado y que se persigue a instancia de parte, por lo que es necesaria la interposición de querella por parte del agraviado, salvo lo dispuesto en el artículo 201 del Código Penal que podrá actuar el Ministerio Fiscal: cuando se trate de menores de edad o se vean afectados los intereses generales o una pluralidad de personas.

Canales de denuncia

La Agencia dispone, además de un canal ordinario, de un canal urgente de denuncia, cuya finalidad es que personas que vean perjudicados sus derechos a la intimidad o al honor, por publicaciones en Internet o redes sociales cuyo contenido tenga carácter violento o sexual, puedan solicitar la eliminación del mismo de forma ‘’inmediata’’.

En relación con este canal urgente de denuncia, junto al ordinario, comprenden herramientas eficaces para que los ciudadanos puedan protegerse ellos mismos por violaciones de sus derechos en materia de protección de datos. Pero hay que recordar que la AEPD puede iniciar de oficio procedimientos sancionadores y viendo que las sanciones a particulares prosperan, es razón de peso ahora más que nunca cuidar todo aquello que compartimos en la red, WhatsApp o cualquier red social. Las sanciones de la AEPD no tienen bonificación como otras que muchos conocemos, además de que el impago de la posible multa impuesta será causa de embargo de la cantidad requerida.

Ejercicio de derechos de carácter personal sobre personas con enfermedades degenerativas.

Author: \ 25 abril, 2019 \ Actualidad, Reglamento europeo \ 0 Comentarios

Tanto el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679), como la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPD 3/2019, de 5 de diciembre), otorgan a las personas físicas una serie de derechos (derecho de acceso, rectificación, supresión –olvido-, limitación del tratamiento, portabilidad y oposición). Hoy nos centraremos en el ejercicio de derechos, pero concretamente, en el ejercicio de derechos sobre los datos de carácter personal de las personas que padecen algún tipo de enfermedad degenerativa.