Entradas

Comunicaciones comerciales a raíz del RGPD

proteccion de datosHa pasado más de un mes desde aquel aluvión de emails a resultas del RGPD, y aun hoy siguen preguntándonos sobre la misma cuestión: las comunicaciones comerciales y su implicación con el RGPD.

 

Debemos partir de la definición de comunicación comercial, que es toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional.

 

¿Qué no es comunicación comercial? Pues todos aquellos datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.

 

El Reglamento (UE) 2016/679 General de Protección de Datos (RGPD) define el consentimiento en su artículo 4.11 como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Es decir, no cabe el consentimiento tácito.

 

Y el considerando 32 del RGPD establece lo siguiente: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.”

 

En consecuencia, los tratamientos iniciados con anterioridad al inicio de la aplicación del RGPD sobre la base del consentimiento seguirán siendo legítimos siempre que ese consentimiento se hubiera prestado del modo en que prevé el propio RGPD, es decir, mediante una manifestación o acción afirmativa.

 

Por otro lado, al tratarse de comunicaciones electrónicas debe tomarse en consideración la aplicación de la Ley 34/2002, de 11 de julio, de Servicios de la sociedad de la información y de comercio electrónico (LSSICE), por ser norma especial, y por tanto, no podrá acudirse en este punto a las previsiones del RGPD. La LSSICE en su artículo 21 establece: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.

  1. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”.

 

Por tanto, en estos supuestos, la regla general es el consentimiento expreso del interesado, a menos que dichas acciones se refieran a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente.

 

Por otro lado, si los correos electrónicos que se envíen no tienen el carácter de comerciales, el tratamiento de los datos de las personas físicas (y no jurídicas), se encontrará sujeto a lo previsto en el RGPD.

 

El responsable del tratamiento debe encontrarse legitimado para llevar a cabo dichos tratamientos, encontrando dichas causas legitimadoras en el artículo 6 del RGPD, y entre ellas cabe destacar el interés legítimo, que viene de antiguo.

 

La determinación de si existe un interés legítimo requiere ponderar por el responsable, si dicho interés prevalece sobre los derechos y libertades fundamentales del interesado; en el caso de que el mismo prevaleciese, podría llevar a cabo tales tratamientos, pero en todo caso el interesado podrá oponerse a dichos tratamientos conforme a lo dispuesto en el artículo 21 del RGPD.

 

Cómo cumplir el RGPD en tu web

Ya queda muy poco para el 25 de mayo, fecha en la que será de aplicación el Reglamento General de Protección de Datos, como ya todo el mundo sabe.

 

Los nuevos cambios afectan a la implementación de la normativa en la actividad profesional o empresarial, y también, como no, en la web corporativa.

 

Aun veo formularios de contacto que recopilan datos y que, o simplemente tienen el botón de enviar, si remisión a ninguna información sobre la política de privacidad, o la tienen pero no así ninguna casilla para expresar el consentimiento, o teniendo la casilla la misma está premarcada. Muy mal.

 

La prestación del consentimiento es un punto clave del nuevo reglamento, que debe ser expreso, específico y demostrable.

 

En este punto, y ligado con el principio de calidad, es importante que aquellos que obtuvieron el consentimiento de sus usurarios de manera no expresa, hagan un esfuerzo para cambiar dicha situación. Y que lo puedan demostrar, en caso de inspección.

 

Es mejor perder usuarios y tener una base de calidad, que pasar las noches sin dormir porque nos han llovido mil denuncias que hacen peligrar la continuidad de nuestra entidad.

 

El usuario es dueño y señor de sus datos, como lo era antes, pero ahora más. Y como dueño y señor tiene derechos, y ahora más. Por lo que se debe facilitar al interesado la información de estos derechos, sus derechos, y su efectivo ejercicio, y ayudarle en todo lo posible, incluso en el asesoramiento a interponer una denuncia ante la autoridad de control. En el caso de realizar campañas de marketing, es necesario ofrecer un sistema sencillo de oposición al tratamiento de sus datos para dicha finalidad.

 

La información que se ofrezca a los usuarios debe ser clara y concisa, en un lenguaje que sea entendible por todos. Se acabó ya de tanta palabrería que no entendía ni quien lo había hecho.

 

La AEPD recomienda la información por capas, donde en una primera capa, de un vistazo, puedas tener toda la información básica, y en una segunda capa desarrollar dicha información.

 

La información básica debe contener los siguientes puntos:

  • Identidad del responsable del tratamiento, de su representante y de su DPD (Delegado de Protección de Datos), si los tuviere.
  • Destinatarios de los datos personales.
  • Finalidad.
  • Plazo de conservación.
  • Derechos de los interesados.

 

Por tanto, ya no hay excusa para no leer la información legal, al menos la primera capa que no lleva más de medio minuto en leerlo.

 

La información legal debe estar adaptada al responsable que realiza el tratamiento, por lo que se acabó el copy-paste, que muchos casos hemos visto en los que no se molestaban ni en cambiar los datos de quien los había copiado.

 

¿Recordáis qué nos decía el profesor en el colegio cuando hacíamos un examen? Quien copie, suspende.

Reglamento General de Protección de Datos

proteccion de datos

El Reglamento General de Protección de Datos ha entrado en vigor el 25 de mayo de 2016, siendo de plena aplicación a partir del 25 de mayo de 2018.

 

¿A qué empresas u organizaciones se aplica?

El Reglamento se aplicará a empresas o profesionales establecidos en la Unión Europea, y se amplía también a aquellos que, no estando establecidos en la UE, realicen tratamientos derivados de una oferta de bienes o servicios destinados a ciudadanos de la Unión o como consecuencia de una monitorización y seguimiento de su comportamiento, teniendo que nombrar en este caso un representante dentro de la UE.

 

¿Qué implica para los ciudadanos que el Reglamento amplíe el ámbito de aplicación territorial?

Una mayor garantía para sus derechos. En la actualidad, para tratar datos no es necesario mantener una presencia física sobre un territorio, por lo que el Reglamento pretende adaptar los criterios que determinan qué empresas deben cumplirlo a la realidad del mundo de Internet.

 

¿Qué nuevas herramientas de control de sus datos poseen los ciudadanos?

El Reglamento introduce nuevos elementos, como el derecho al olvido y el derecho a la portabilidad, que mejoran la capacidad de decisión y control de los ciudadanos sobre los datos personales que confían a terceros.

 

El derecho al olvido se presenta como la consecuencia del derecho que tienen los ciudadanos a solicitar, y obtener de los responsables, que los datos personales sean suprimidos cuando, entre otros casos, estos ya no sean necesarios para la finalidad con la que fueron recogidos, cuando se haya retirado el consentimiento o cuando estos se hayan recogido de forma ilícita. Asimismo, según la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014, que reconoció por primera vez el derecho al olvido recogido ahora en el Reglamento europeo, supone que el interesado puede solicitar que se bloqueen en las listas de resultados de los buscadores los vínculos que conduzcan a informaciones que le afecten que resulten obsoletas, incompletas, falsas o irrelevantes y no sean de interés público, entre otros motivos.

 

Por su parte, el derecho a la portabilidad implica que el interesado que haya proporcionado sus datos a un responsable que los esté tratando de modo automatizado podrá solicitar recuperar esos datos en un formato que le permita su traslado a otro responsable. Cuando ello sea técnicamente posible, el responsable deberá trasferir los datos directamente al nuevo responsable designado por el interesado.

 

¿A qué edad pueden los menores prestar su consentimiento para el tratamiento de sus datos personales?

El Reglamento establece que la edad en la que los menores pueden prestar por sí mismos su consentimiento para el tratamiento de sus datos personales en el ámbito de los servicios de la sociedad de la información (por ejemplo, redes sociales) es de 16 años.

 

Sin embargo, permite rebajar esa edad y que cada Estado miembro establezca la suya propia, estableciendo un límite inferior de 13 años.

 

En el caso de España, ese límite continúa en 14 años. Por debajo de esa edad, es necesario el consentimiento de padres o tutores.

 

En el caso de las empresas que recopilen datos personales, es importante recordar que el consentimiento tiene que ser verificable y que el aviso de privacidad debe estar escrito en un lenguaje que los niños puedan entender.

 

¿Qué implica la responsabilidad activa recogida en el Reglamento?

Uno de los aspectos esenciales del Reglamento es que se basa en la prevención por parte de las organizaciones que tratan datos. Es lo que se conoce como responsabilidad activa.

 

Las empresas deben adoptar medidas que aseguren razonablemente que están en condiciones de cumplir con los principios, derechos y garantías que el Reglamento establece.

 

El Reglamento entiende que actuar sólo cuando ya se ha producido una infracción es insuficiente como estrategia, dado que esa infracción puede causar daños a los interesados que pueden ser muy difíciles de compensar o reparar. Para ello, el Reglamento prevé una batería completa de medidas:

 

– Protección de datos desde el diseño

– Protección de datos por defecto

– Medidas de seguridad

– Mantenimiento de un registro de tratamientos

– Realización de evaluaciones de impacto sobre la protección de datos

– Nombramiento de un delegado de protección de datos

– Notificación de violaciones de la seguridad de los datos

– Promoción de códigos de conducta y esquemas de certificación.

 

¿Supone el Reglamento una mayor carga de obligaciones para las empresas?

El Reglamento supone un mayor compromiso de las organizaciones, públicas o privadas, con la protección de datos. Pero ello no implica necesariamente ni en todos los casos una mayor carga. En muchos casos será sólo una forma de gestionar la protección de datos distinta de la que se viene empleando ahora.

 

En primer lugar, algunas de las medidas que introduce el Reglamento son una continuación o reemplazan a otras ya existentes, como es el caso de las medidas de seguridad o de la obligación de documentación y, hasta cierto punto, la evaluación de impacto y la consulta a Autoridades de supervisión.

 

Otras constituyen la formalización en una norma legal de prácticas ya muy extendidas en las empresas o que, en todo caso, formarían parte de una correcta puesta en marcha de un tratamiento de datos, como pueden ser la privacidad desde el diseño y por defecto, la evaluación de impacto sobre protección de datos en ciertos casos o la existencia de un delegado de protección de datos.

 

Por ello, es necesario que todas las organizaciones que tratan datos realicen un análisis de riesgo de sus tratamientos para poder determinar qué medidas han de aplicar y cómo hacerlo.

 

El consentimiento como pilar fundamental.

Una de las bases fundamentales para tratar datos personales es el consentimiento. El Reglamento pide que el consentimiento, con carácter general, sea libre, informado, específico e inequívoco.

 

¿Deben las empresas revisar sus avisos de privacidad?

Con carácter general, sí.

 

El Reglamento prevé que se incluyan en la información que se proporciona a los interesados una serie de cuestiones que con la Directiva y muchas leyes nacionales de trasposición no eran necesariamente obligatorias. Por ejemplo, habrá que explicar la base legal para el tratamiento de los datos, los períodos de retención de los mismos y que los interesados puede dirigir sus reclamaciones a las Autoridades de protección de datos.

 

Es importante recordar que el Reglamento exige de forma expresa que la información que se proporcione sea fácil de entender y presentarse en un lenguaje claro y conciso.

 

 

Menores ciberacosadores: el caso del profesor hostigado

Ciberbullying

Ciberbullying

 

 

Se habla mucho del cyberbullying y del bullying en la escuela, entre compañeros de clase, con las nefastas consecuencias que ello acarrea para el acosado, que por sus especiales circunstancias se ve totalmente indefenso, y por desgracia con resultados espantosos en algunos casos.

 

En este campo no escapa nadie, ni los profesores.

 

Hace ya muchos años, cuando aun no existían las redes sociales, defendía a profesores que eran acosados por alumnos e, incluso, los padres de éstos. Ahora, con el acceso de los menores a las redes sociales, unido a que cada vez es más temprana la edad a la que se le facilita un Smartphone, se añade el acoso de los profesores en las redes sociales.

 

El supuesto es el siguiente: menor toma foto de profesor y la sube a una red social (Facebook, Instagram, etc).

 

En el mejor de los casos podemos estar ante una infracción administrativa, por cuanto que la imagen es un dato personal, y la publicación de datos de carácter personal en Internet constituye una cesión de datos, y toda cesión de datos debe contar previamente con el consentimiento del interesado, quien debe ser suficientemente informado de la finalidad a la que se destinen los datos.

 

La Ley Orgánica 1/1982, sobre protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, concreta la protección jurídica dada por la Constitución Española, teniendo la consideración de intromisiones ilegítimas:

 

“La captación, reproducción o publicación por fotografía, filme o cualquier otro procedimiento, de la imagen de una persona en lugares o momentos de su vida privada o fuera de ellos”.

 

Este es el mejor de los panoramas, puesto que podemos encontrarnos con un delito contra la intimidad y la propia imagen, contemplado en el artículo 197 del Código Penal, a los que se les aplicaría la Ley del Menor, con las medidas contempladas en ellas para reeducar al infractor, y la reparación del daño vía indemnización (responsabilidad civil ex delito).

 

En el caso de un menor de 14 años, éste no tiene responsabilidad penal, pero sí que responderían sus padres o tutores respecto a la indemnización civil ex artículo 1903 del Código Civil, que señala que los padres o tutores son responsables de los daños causados por los hijos que se encuentren bajo su guarda.

 

La Ley del Menor traslada esa responsabilidad a los padres, tutores, acogedores y guardadores legales o de hecho, en ese orden. Por tanto, ¿qué ocurre si el acoso (ciber o no) en la red se produce en el colegio?

 

Pues que la responsabilidad civil puede ir de la mano, esto es, solidaria tanto para padres como para el colegio.

 

Ello es así por la obligación que tiene el centro de intervenir cuando de alumnos propios se trata. Si no lo hiciera, habría un delito por omisión, y en el caso de bullying en todas sus modalidades, podría acarrear consecuencias penales para los profesionales de la enseñanza.

 

Me comentaba un profesor amigo que la problemática actual es mayor de lo que se ve en los medios. La cuestión no pasa por prohibir el uso de teléfonos, en parte por miedo a echarse encima la AMPA, sino por fomentar el buen uso de los mismos.

 

Los dispositivos tecnológicos han venido para quedarse: enseñemos a usarlos bien.

 

 

¿Qué consecuencias tiene para tu empresa la anulación del Safe Harbor?

Ya es archiconocida la resolución del Tribunal de Justicia de la Unión Europea sobre Safe Harbor o Puerto Seguro (mecanismo legal que permite la transferencia de datos desde la Unión Europea a Estados Unidos), comenzada por un joven abogado irlandés, Max Schrems, que ha conseguido la anulación del acuerdo de Puerto Seguro por no cumplir las garantías de seguridad en la protección de los datos personales.

 

Posiblemente no tenga mucha incidencia en las grandes compañías, pues éstas podrán establecerse en territorio europeo, cosa que en términos económicos sería magnífico. Pero para las PYMES y autónomos sí que puede afectar, si finalmente no se alcanza un acuerdo a finales de enero de 2016 (el mes que viene). Y es que somos muchos los que hacemos uso de plataformas norteamericanas para tratar y almacenar datos personales.

 

A la sentencia no le falta razón, pues el Safe Harbor o Puerto Seguro no es más que un sistema de autorregulación, una especie de Juan Palomo, yo me lo guiso y yo me lo como, ya que los requisitos a los que se adherían las empresas norteamericanas no son suficientes per se para garantizar o proporcionar un nivel adecuado de protección de los datos personales de los europeos.

 

Por tanto, para esas PYMES y autónomos que hacen uso de datacenters y servidores en los Estados Unidos, la recomendación es la misma que se hace para cuando se realiza una transferencia internacional de datos. Eso, o hacer uso de proveedores nacionales o comunitarios.

 

Recordemos que para realizar una transferencia internacional de datos debemos tener la autorización previa de la Directora de la Agencia Española de Protección de Datos, salvo excepciones. Por ejemplo, que el Estado donde se reciban los datos ofrezca un nivel adecuado de protección, que no son muchos, a saber: Suiza; Canadá, Argentina, Guernsey, Isla de Man, Jersey, Islas Feroe, Andorra, Israel, Uruguay y Nueva Zelanda. O bien, una de las excepciones tasadas de la ley, entre las que se encuentra la del consentimiento inequívoco del afectado a la transferencia. Eso sí, en todo caso se debe notificar las transferencias internacionales de datos al Registro General de Protección de Datos. Lo contrario sería incurrir en una infracción muy grave, con multas de hasta 600.000 euros.

¿Puedo grabar una conversación con el móvil para una prueba en juicio?

TelefonoEs una de las preguntas que más hemos escuchado en Avezalia los últimos años. Los procedimientos en los que ha salido a relucir han sido varios, familia, despidos, querellas, etc., pero todos tienen una misma respuesta: depende. Y es que en el mundo del derecho, esa es la respuesta más acertada.

 

Cada caso es distinto, no hay nunca dos iguales, y las circunstancias del mismo variarán. Hacer valer una prueba de este tipo conlleva que el contrario, como mínimo, te alegue su derecho a la intimidad. Pero dicho derecho a la intimidad cae cuando la conversación no versa sobre la vida privada de los intervinientes, o versando sobre ella, tiene incidencia sobre el fondo del asunto. Y es independiente del sitio donde se produzca, por lo que no importa que se realice en un lugar privado.

 

En otros casos alegarán vulneración del secreto de las comunicaciones, que también caerá cuando es realizado de parte. Distinto sería si lo realizara un tercero, que al no ser parte sí que estaría vulnerando la comunicación en la que no interviene, a no ser que sea detective en el ámbito de sus funciones.

 

En el proceso de una separación o divorcio contencioso, se da muchas veces el supuesto del progenitor que graba la conversación entre el otro progenitor y el menor, por motivos varios, y después quieren hacerlo valer como prueba. Sin embargo, esta prueba es dudosa por cuanto el progenitor que graba interviene aquí como un tercero, ya que quienes mantienen la conversación, quienes comunican entre sí, son el otro progenitor y el menor. Además, dentro de la comunicación puede haber detalles de la vida privada no solo del progenitor, sino del propio menor, que no deben transcender más allá de los intervinientes.

 

También se da el caso del menor que no tiene móvil y usa el de su progenitor para comunicar con el otro a través de Whatsapp. Aquí el problema vendrá dado por demostrar que quien dice ser menor, lo es realmente. De todos modos, y a modo de consejo, además de las fugas de seguridad que tiene dicha aplicación, hay que ser fieles al refranero español y saber que uno es libre de su silencio pero esclavo de sus palabras.

 

Hay autores que ven en dicha grabación un tratamiento de datos personales, ya que la voz constituye como tal un dato personal, al poder identificar a una persona, y por tanto, sujeto a la Ley de Protección de Datos Personales (LOPD), y su precepto más fundamental: el consentimiento del afectado. Y ya se sabe, ante la falta de consentimiento, todo son tortas.

 

Algunos diréis que dicho tratamiento queda dentro del ámbito personal, pero no es más cierto que, si lo hacemos constar en juicio como prueba, ya está saliendo de nuestro control, para cedérselo a la Administración de Justicia. Y precisamente por esto es por lo que se exime del cumplimiento de la LOPD.