protección de datos – Guillermo Marcet Señor

Ejercer el derecho al olvido contra Google

Hace pocos años se aprobó el famoso “Derecho al Olvido” en la Unión Europea. Explicado de forma simple: El Derecho al Olvido consiste en del derecho que tenemos los ciudadanos a que no aparezcan en las búsquedas de Google (u otros buscadores) ciertos datos o información sobre nosotros. Con la nueva normativa de protección de datos (RGPD) este derecho está aun más reforzado.

Pero, a nivel práctico, ¿cómo se traduce este derecho? ¿Qué puedo borrar y qué no? ¿a quién debo reclamar? ¿Qué trámites necesito hacer? En este artículo voy a despejar estas dudas.

¿Qué incluye el derecho al olvido?

No confundir Derecho al Olvido con Derecho de Cancelación de datos. El Derecho al Olvido no elimina tus datos de internet.

Si quieres borrar tus datos o noticias sobre ti en internet, tienes que utilizar el Derecho de Cancelación. Una herramienta legal específicamente pensada para borrar tus datos.

El Derecho al Olvido no borra tus datos. Simplemente impide o limita la difusión de tus datos personales a través de los buscadores de internet (Google, yahoo, Bing, etc). Que suelen ser la puerta de acceso a dicho datos.

Es decir, si ejerces este Derecho puede que consigas que tus datos ya no aparezcan en las búsquedas de Google. Pero eso no significa que se hayan borrado de internet.

Requisitos para poder reclamar

El Derecho al Olvido no es “barra libre”. No podrás exigir que se elimine toda la información sobre ti en internet. Cuando se ejerce este Derecho, se intenta encontrar un equilibrio entre tu privacidad y el derecho a la información del resto de los ciudadanos.

Hay varios criterios que se toman en cuenta para lograr ese equilibrio:

¿Eres un personaje público o desempeñas un papel en la vida pública? Si eres una figura pública, el Derecho a la Información de los ciudadanos será más fuerte. Los futbolistas y actores son personajes públicos. Los políticos son figuras públicas (aunque no los conozcas).
¿Eres menor de edad? Como regla general, los menores de edad gozan una protección total de su privacidad.
¿Los datos que pretendes borrar son reales o falsos? Los datos inexactos, falsos o inventados no están protegidos por Derecho a la Información de los ciudadanos.
Si son datos reales ¿son relevantes para el resto de los ciudadanos? El Derecho a la Información pierde poder cuando los datos son irrelevantes o excesivos.
¿Se trata de datos relacionados con tu vida personal o laboral? Los datos relacionados con la vida laboral suelen tener menor protección.
Esos datos ¿Te están causando un perjuicio o te pone en una situación de riesgo? Esto no es una condición necesaria para pedir el borrado de tus datos. Pero puede ser un factor decisivo para que la protección de tus datos prime sobre el Derecho a la Información.

¿Contra quién reclamar?

Si quieres que tus datos desaparezcan de internet. Lo primero es reclamar contra la fuente original de esos datos. Es decir, reclamar al gestor de la página web que los ha publicado.

En el caso de que no consigas contactar con ese gestor o no te haga caso, puedes solicitar protección a la Agencia Española de Protección de Datos (AEPD). Paralelamente, también puedes exigir a Google (u otro buscador) que no muestre el contenido de esa web cuando alguien busca información sobre ti.

Esto te permite limitar mucho la difusión de esa información por internet mientras intentas borrarla.

Importante: Google no borrará esa información, sólo la deja de mostrar. Por lo tanto, los datos que quieres borrar seguirán disponibles en internet para cualquier persona.

¿Qué trámites debo hacer para conseguirlo?

1º.- Pedírselo a google a través del formulario que han creado específicamente para ello: https://www.google.com/webmasters/tools/legal-removal-request?complaint_type=rtbf&visit_id=636764002228618721-2140008647&hl=es&rd=1&pli=1

2º.- Si Google acepta esta petición, debes seguir sus instrucciones.

3º.- Si Google no acepta esta petición o crees que la solución que te han aportado no es suficiente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) a través de su sede electrónica.

4º.- Si la AEPD acepta tu reclamación, debes seguir sus instrucciones.

5º.- Si la AEPD tampoco acepta tu reclamación, puedes acudir en ultima instancia a los tribunales (el tribunal concreto dependerá de cada caso).

Espero que esto te ayude. Si lo necesitas, siempre puedes mandarme un mail

#CaféYalLio

eCommerce 2015 en España: Récords y Peligros

eCommerce en España 2015: Récords y peligros

El comercio electrónico encuentra una gran aceptación en España y es cada vez más usado. En el año 2015 se han vuelto a batir récords en número de usuarios y volumen de negocio.

El 32% de la población española ya consume activamente a través de portales web o apps.

El volumen de negocio del comercio electrónico en España en el segundo trimestre de 2010 fue de 1.800 millones de euros. 5 años después, en 2015, ese volumen de negocio ha aumentado a 5.000 millones. Eso es un incremento espectacular en sólo 5 años.

El volumen de negocio total del comercio electrónico en España en 2015 ronda los 20.000 millones.

Las ramas de mayor negocio y expansión en el comercio electrónico son las agencias de viajes y operadores turísticos con un 20%, transporte aéreo con un 15%, prendas de vestir con un 6%.

–

Las mejores empresas de Comercio electrónico en España en 2015, según los los premios “Ecommerce awards” otorgados por el Club Ecommerce han sido: La nevera roja, Pisamonas, Miscota, Imaginarium y PC Componentes.

Pero las buenas noticias no sólo son en clave nacional. Desde el punto de vista internacional España está demostrando ser uno de los países más punteros en lo que a comercio electrónico se refiere. Gracias los informes elaborados por criteo y RetailMeNot podemos darnos cuenta de la potencia de España en este sector.

La evolución del comercio electrónico en nuestra vida cotidiana es palpable, pensad un momento en cómo han cambiado las cosas del día a día. Incluso hay tiendas que solo existen online y que triunfan a nivel mundial, por ejemplo Privalia o Amazon. Además de las nuevas formas de aplicar las tecnologías, que podrían incluso llegar a sustituir a oficios de gran tradición como los notarios.

–

Facebook, Instagram, Twitter, Linkedin, Google+, snapchat, YouTube… Todas las RRSS también son comercio electrónico.

Y toda esta revolución se ha dado en menos de 10 años, desde luego la tecnología es algo increíble. Pero como dijo el político y novelista inglés, Charles Percy Snow, la tecnología nos ofrece grandes cosas con una mano y con la otra nos apuñala por la espalda.

Todos hemos sufrido o conocemos a alguien que ha sufrido los problemas del comercio electrónico:

compras en online que se pierden por el camino,
datos bancarios que se roban por internet ( el famoso fishing, el hijacking y muchas otras cosas malas que acaban en –ing),
el insoportable spam,
suplantación de identidad,
la cesión de nuestros datos personales como si de una bolsa de pipas se tratara,
la invasión constante de nuestra privacidad
el uso de nuestra imagen sin permiso,
etc.

Hay que reconocer que parte de esos problemas se originan por la inconsciencia del usuario… ¿Cuántas veces habéis dado a “he leído y acepto los términos y condiciones de uso” sin leerlos? eso es un consentimiento plenamente informado y válido en derecho.

Los que tenéis snapchat ¿sabéis que al usar la aplicación estáis otorgando a la compañía el derecho de usar todas las fotos que hacéis con ella en todo el mundo y para cualquier fin? Leed el 2do y 3er párrafo del punto número 2 de los términos y condiciones de uso de snapchat. Después de leerlo ya no os parecerá una app tan privada.

¿Es importante el comercio electrónico en nuestras vidas? Sí, está presente en nuestro día a día. Pero, como parte trascendental de internet, no está libre de peligros y problemas y por ello es importante, también, un derecho específico que regule internet y las nuevas tecnologías. Muy importante y necesario para protegernos los usuarios y consumidores.

Imágenes e infografías realizados con flaticon y freepik

Sentencia Safe Harbour ¿Realmente cambia algo?

Sentencia Safe Harbour

¿Realmente cambia algo?

Este post ha sido redactado por los abogados Guillermo Marcet Señor y Antonio Jiménez Gil.

Hace dos días fue Trending Topic la sentencia del Tribunal Superior de Justicia de la Unión Europea (TJUE) en la que invalidaba el “Safe Harbour”. Dicha sentencia afecta a todas las empresas estadounidenses presentes en nuestro día a día (Google, Facebook, Whatsapp, Instagram, Twitter, Apple, Microfost…)

Pero ¿Cuáles son las consecuencias reales para ellas?

1.- Qué es el Safe Harbour.

Estamos hablando de protección de datos de carácter personal, algo que cada vez se oye más y la gente es más consciente de sus derechos al respecto.

Dentro de la Unión Europea todos los países siguen las mismas reglas, pero fuera de la UE cada país tiene sus propias normas. Algunas son más protectoras y otras menos.

Estados Unidos es un país especialmente importante en este aspecto porque las empresas que más datos nuestros tienen, son de allí: Facebook, Google, Whatsapp, Instagram, Twitter, Apple, Microfost, etc. etc.

En el año 2000 se estableció un pacto entre EE.UU. y UE por el cual se permitía la cesión de datos personales de los ciudadanos europeos a empresas estadounidenses. Ese pacto fue llamado “Safe Harbour” (en español, Puerto Seguro).

Se supone que todas las empresas adheridas al “Safe Harbour” ofrecen un nivel de protección de datos personales similar al de la UE y por tanto los europeos siguen protegidos con garantías contra el tratamiento ilegal de su intimidad.

2.- Contra quién va realmente la sentencia

La sentencia no va dirigida contra Facebook ni contra ninguna empresa estadounidense. No se les condena a nada.

La sentencia está dirigida a los órganos encargados de proteger los datos personales en cada país de la UE. En el caso de España, la Agencia Española de Protección de Datos (AEPD).

3.- Que dice la sentencia

La sentencia no contiene ningún tipo de condena para nadie. Pero llega a dos conclusiones importantes para todos los países:

La primera, que el Safe Harbour no protege los datos de los ciudadanos europeos. Por lo tanto, queda invalidado.
La segunda, que los órganos encargados de proteger los datos personales en cada país de la UE deben examinar las reclamaciones de los ciudadanos europeos al respecto, con la máxima diligencia exigible.

4.- Porqué el Safe Harbour no protege la intimidad de los ciudadanos europeos.

El Safe Harbour únicamente es aplicable a las empresas estadounidenses que se han adherido a él. Pero las autoridades públicas americanas (el Gobierno de EE.UU.) no están sometidas a dicho régimen. Además, la ley de este país marca que cuando el pacto Safe Harbour y las leyes de EE.UU. se contradigan, siempre prevalecerán las leyes de EE.UU., sin limitación.

Según el TJUE, esto significa que el gobierno de EE.UU. puede acceder a los datos de los ciudadanos europeos, en poder de las empresas americanas, y usarlos para lo que quiera, yendo más allá de lo que es estrictamente necesario y proporcionado para proteger la seguridad nacional.

Además, resulta que las personas afectadas no disponen de vías jurídicas que les permitan acceder a los datos que les concernían y obtener, en su caso, su rectificación o supresión para proteger su intimidad.

Por todo ello, se ha sentenciado que el famoso pacto ahora pasa a ser inválido. Con esta medida se pretende que el gobierno americano no pueda acceder a los datos de europeos, que permanecerán en Europa.

5.- Cómo afecta a Facebook, Google, Twitter, etc.

Estas empresas están directamente afectadas por esta sentencia. La consecuencia principal para ellas es la siguiente: Ya no pueden seguir guardando los datos de los ciudadanos europeos en el territorio de EE.UU.

La forma en la que Facebook (como ejemplo) trata nuestros datos, es la siguiente:

1º.- El usuario acepta el tratamiento de sus datos al registrarse en la red social

2º.- Esos datos, al ser de un ciudadano europeo, serán recopilados por la sede de Facebook en Europa: Facebook Ireland.

3º.- Facebook Ireland, después de realizar las gestiones que procedan, envía esos datos a Facebook USA. Donde permanecerán guardados en los servidores de ese país.

Estas empresas trabajan con una cantidad enorme de datos y necesitan servidores físicos para poder guardarlos y gestionarlos (algo parecido a muchos discos duros externos). Estos servidores están establecidos en grandes naves industriales o edificios. Estos edificios están en EE.UU. Gracias al Safe Harbour no había problema en ello.

Ahora que el Safe Harbour está invalidado, las empresas americanas ya no pueden guardar los datos de los europeos en sus servidores de EE.UU. Los datos de los europeos no pueden salir de Europa. Es decir, el tercer paso antes descrito, ya no se puede hacer.

6.- Qué van a hacer ahora.

Todavía no hay declaración oficial de ninguna de estas empresas sobre que van a hacer al respecto.

Desde un primer estudio, cuentan con estas soluciones:

1.- Construir en Europa centros de servidores en los que guardar los datos de los europeos. Así se aseguran de que el tratamiento de los datos cumple con las leyes europeas.

2.- Modificar las condiciones de privacidad de su web y servicios (ese “acepto las condiciones” que nunca nadie lee) de modo que es el usuario, y no Facebook Ireland, el que autoriza la transmisión de sus datos a EE.UU.

3.- Que la sede europea de cada una de las empresas consiga la autorización, por separado, de cada uno de los países en los que van a tratar datos.

Algunas soluciones son más caras que otras, pero lo cierto es que, a efectos prácticos, para el usuario no cambia nada. domain tech info Mucho ruido y mucha noticia, pero todo seguirá igual por dos motivos:

a) Todas esas compañías han estado tratando legalmente nuestros datos hasta ahora, por lo que no se les podrá reclamar por ello.

b) Las soluciones se aplicarán rápidamente, por lo que los usuarios no van a notar ningún cambio en el uso de la app ni en el tratamiento de sus datos, que será el mismo (con los mencionados pequeños cambios).

Imágenes e infografías realizados con flaticon y freepik

Casuística de Protección de Datos

Casuística de Protección

de Datos de Carácter Personal

1 – Captación y grabación de imágenes de empleados públicos (como policías).

Está permitido cuando la grabación o las fotografías se las queda una persona para su uso únicamente en su esfera personal o doméstica. Se conoce como “excepción doméstica”. (art. 2 LOPD)

No está permitido cuando se publique o distribuya al público dichos datos. Sobre todo cuando se suban a internet, en una página accesible a cualquier persona. También será ilegal cuando la página de Internet tenga acceso restringido pero el número de personas invitadas a contactar con dicha página sea demasiado alto para ser compatible con la mencionada “excepción doméstica”. (Informe 0077/2013 de la AEPD)

2 – Particulares que comparten fotos de sus hijos en Internet.

Estas fotos sí tienen la consideración de dato de carácter personal ya que identifica a la persona sin duda.

La siguiente duda es ¿estos casos están incluidos en la “Excepción doméstica” (excepción por la que no se aplica la LOPD)?.

Se aplica dicha excepción cuando los datos tratados afectan a la esfera más íntima de la persona, a sus relaciones familiares y de amistad. Por lo que, en principio, el típico caso de subir las fotos de tu hijo a Facebook u otras redes sociales parece que sí está dentro de la excepción doméstica.

Sin embargo, el hecho de subir a internet estos datos de modo que resulten accesibles a un grupo indeterminado de personas que alcance más allá de la esfera personal, puede ser determinante para que sí se aplique la LOPD. Se dará esta situación cuando publicación se efectúe en una página de libre acceso para cualquier persona. (Informe 0615/2008 de la AEPD)

3 – Huellas dactilares de clientes.

La creación de una base de datos con la huella dactilar de los clientes, al que se otorga un código alfanumérico.

Dicho código alfanumérico basado en la huella dactilar es un dato de carácter personal ya que identifica sin ningún tipo de esfuerzos a los clientes.

En algunos casos identificar a los clientes mediante huella dactilar es algo desproporcionado. Por lo tanto se considera contrario a la Ley. Por ejemplo, recabar la huella dactilar para prestar un servicio comercial a los clientes, cuando dicho servicio puede prestarse con otros medios como las tarjetas de fidelización. (Informe 0082/2010 de la AEPD)

4- Videovigilancia en el lugar de trabajo

Las imágenes de la videocámara, sólo podrán ser consideradas datos de carácter personal cuando permitan la identificación de las personas que aparecen en ellas. En el caso de videovigilancia en el lugar de trabajo sí se produciría dicha identificación, dado que siempre aparecerían los trabajadores de la empresa en su lugar de actividad (lo que les hace perfectamente identificables).

El fichero se encontrará sometido a lo dispuesto en la Ley Orgánica 15/1999. Se deberá informar a los trabajadores y se necesitará su consentimiento. Ante la negativa a dar consentimiento prevalece el derecho del empresario.

5 – Cesión de datos de asociados a otros socios o a terceros con fines publicitarios

A – Cesión de datos de un asociado a otro asociado: Sí está permitido, sin necesidad el consentimiento para cada caso concreto, cuando dicha cesión esté prevista en los estatutos de la asociación.

B – Ceder los datos de los socios a empresas con las que se han firmado convenios de colaboración que supongan ventajas para aquéllos, con el fin de que el contacto se haga con ellos directamente: Esto es, claramente un fin publicitario. Por lo tanto, Se necesitará el consentimiento expreso para ello. Debe avisarse de ello en los estatutos de la agrupación especificando los sectores de actividad a que va a referirse la publicidad. No se podrá hacer publicidad de un sector diferente a los mencionados. (Informe 0038/2010 de la A EPD)

6 – LOPD a empresas o autónomos.

A – Las obligaciones de protección de datos no se aplican a las empresas, asociaciones fundaciones y resto de personas jurídicas.

B – Respecto a los Autónomos. Para que NO se le aplique la LOPD se deben dar los siguientes requisitos: (Informe 0652/2009 de la AEPD)

Los datos del autónomo hacen referencia, únicamente, a su condición de comerciante, industrial o naviero. Es decir, a su actividad empresarial.
El uso de esos datos quedará limitado a las actividades empresariales. Si la utilización de dichos datos se produjera en un ámbito distinto, quedaría plenamente sometida a las normas de protección de datos.

7- Aplicación de la LOPD a ficheros determinados

A – Lista que sólo tenga matrículas de coches: Sí se le aplica la LOPD. Se deben cumplir todas las obligaciones. Las matrículas de los vehículos están incorporadas a un registro en el que se podrá identificar al titular del vehículo sin un esfuerzo o plazo de tiempo desproporcionado.

B – Lista que sólo tenga direcciones IP: Sí se le aplica la LOPD. Se deben cumplir todas las obligaciones. Ya que los proveedores de acceso a Internet (Vodafone, Movistar, etc.) pueden identificar por medios razonables a los usuarios de Internet a los que han asignado direcciones IP.

C – Lista que sólo tenga números de teléfono: No se le aplica la LOPD. El número de teléfono, sin aparecer directamente asociado a una persona, sólo puede considerarse un dato personal si a través de él se puede identificar a su titular. Por lo tanto, el número de teléfono móvil sin estar acompañado de otros datos que ayuden a identificar a su propietario, no tiene el carácter de dato personal.

D – Lista que sólo tenga el número de DNI: Sí se le aplica la LOPD. Se deben cumplir todas las obligaciones. Así lo afirma la Audiencia Nacional, el DNI es, claramente, un dato de carácter personal.

E – Lista que sólo tenga números de pasaporte: Sí se le aplica la LOPD. Por los mismos motivos que el punto D.

F – Lista que sólo tenga número de la seguridad social: Sí se le aplica la LOPD. Por los mismos motivos que el punto D.

G – Lista que sólo tenga direcciones de correo electrónico: Sí se le aplica la LOPD. . Se deben cumplir todas las obligaciones. Aunque no contengan el nombre y apellidos, también están dentro del ámbito de aplicación de la LOPD.

(Informe 0427/2010 de la AEPD)

Utilizar Facebook para publicidad

¿Puedo usar facebook

con fines publicitarios?

Todo lo explicado en este artículo sobre

Facebook es aplicable a todas las redes sociales

Respecto la utilización de los datos de los usuarios de Facebook hay que distinguir tres supuestos:

1º – Utilizar los datos de los usuarios en Facebook para enviarles publicidad.

Si un usuario de Facebook actúa en nombre de una empresa o utiliza la red principalmente como una plataforma con fines comerciales, políticos o sociales asume todas las obligaciones de un responsable de datos. En estas circunstancias, la empresa necesita el consentimiento de las personas cuyos datos pretende utilizar. (Dictamen 5/2009, sobre redes sociales del GT29)

Dicho consentimiento, para ser válido a efectos legales, debe cumplir todos los requisitos siguientes (art. 3.h LOPD)

Libre: obtenido sin error, violencia o intimidación contra la persona.
Inequívoco: de forma que no deja lugar a dudas de que realmente se ha querido dar.
Específico: dirigido a una determinada operación y para una finalidad determinada.
informado: el que consiente conoce la recogida de datos y sus finalidades.

Los tres primeros requisitos se cumplen por el simple hecho de convertirse en “amigo” o “seguidor” de la página de la empresa. Pero esto sirve únicamente para la persona que se hace “amigo” o “seguidor”. Nunca puede extenderse al tratamiento de datos de terceros relacionados con dicha persona.

Respecto al cuarto requisito, consiste en la información exigida a la empresa por la LOPD. En una web es fácil, pero ¿Cómo se puede hacer eso en Facebook? Una posible solución sería ubicar dicha información en el espacio que facilita Facebook para la información personal de la empresa. También pueden utilizarse enlaces a políticas de privacidad colocadas en la web de la empresa. Es importante destacar que se tiene que especificar qué tipo de datos se van a recoger (gustos, aficiones, periodicidad de la utilización de los servicios de la empresa o cualquier otro que pueda utilizarse con para enviar publicidad personalizada)

Si se cumplen todos los requisitos, la empresa estará actuando correctamente desde el punto de vista legal. (Informe 0241/2011 de la AEPD)

2º – Invitar a todo el mundo o amigos de mis amigos.

Es el caso de la invitación a visitar o dar “Like” a la página de Facebook de la empresa, mediante comunicaciones electrónicas. Esto es: correo electrónico, SMS, MMS u otros sistemas equivalentes (incluye la utilización del servicio de mensajería de Facebook).

Cuando esta invitación se envía a todos los contactos, o amigos de mis amigos, es un caso claro de spam y está terminantemente prohibido por las leyes de internet. (art 21.1 LSSI)

Existe una única excepción a lo dicho: Cuando el destinatario de la invitación tiene una relación previa con la empresa por servicios o productos que le haya comprado. Aún así, es importante tener en cuenta que esas personas siempre tienen que tener la posibilidad de oponerse a ello de forma gratuita y sencilla. (art 21.2 LSSI)

Típico caso en la que dicho spam se envía a los amigos y familiares de los clientes. Por ejemplo “Manda este mail/invitación a 30 amigos y tendrás un 30% de descuento“. Esto se considera ilegal, por lo explicado anteriormente, y se sanciona. Sin embargo, no están prohibidas ofertas como “Consigue que se apunten 3 amigos y paga la mitad” o “por cada cliente que nos traigas, te damos 10 euros“. (Informe 0241/2011 de la AEPD)

3º – Otras obligaciones para la empresa que usa Facebook con fines publicitarios.

Derechos ARCO: El cumplimiento respecto a ellos, dentro de las redes sociales, está limitado a aquellos aspectos que estén bajo el control de la empresa como, por ejemplo, eliminar datos en el propio muro o dar de baja a los “amigos”/ “seguidores” cuando así lo soliciten.

Deber de secreto: los datos conocidos en Facebook debe tratarse en su ámbito y conforme a las reglas del mismo. Por lo tanto, no se puede difundir o tratar dichos datos fuera de la red social, por cualquier medio, sin consentimiento del interesado, o excediendo de lo permitido por las normas de uso de la concreta red social.

Privacidad de la empresa: La empresa debe configurar sus parámetros de privacidad en Facebook de forma que no sea posible el acceso a la información de sus “amigos” / “seguidores”. Es decir, no debe ser accesible la lista de amigos de la empresa por parte de no usuarios de la red social o de terceros que no sean “amigos” / “seguidores”. (Informe 0241/2011 de la AEPD)