Protección de datos sanciona a Telefónica y Vodafone 14 veces en un mes

Telefónica y Vodafone son inasequibles a la persecucion de la Agencia de Protección de Datos. Sólo en el pasado mes de julio, ambas compañias fueron sancionadas un total de 14 veces por la Agencia, que les impuso una multa global de 611.000 euros. Las violaciones de la Ley de Protección de Datos consistieron, mayoritariamente, en la inclusión en ficheros de morosos de clientes con deudas en algunos casos de cuantía ínfima (5,31 euros, en uno de los casos) y que además, o ya estaban saldadas, o nunca existieron. La compañía presidida por César Alierta está a la cabeza de este escandaloso ranking de sanciones. De las 26 multas impuestas el pasado mes de julio por la Agencia de Protección de Datos, 8 recayeron en Telefónica Móviles. En total, se le impusieron 261.000 euros de sanción, al acumular multas que iban desde los 1.000 a los 90.000 euros. El caso más grave correspondió a un cliente de Murcia que denunció que la compañía dió de alta cuatro líneas de móviles usando sin su consentimiento sus datos personales. Ello generó que se le imputase una deuda por un servicio no contratado, y la inclusión de sus datos en un fichero de morosos. Primero, en abril de 2011, denunció los hechos ante la Comisaría de Policía, y posteriormente, en julio del mismo año, ante la Oficima Municipal de Información al Consumidor de Murcia. Teléfonica incorporó a sus sistemas informáticos datos personales del denunciante (nombre, apellidos, número de DNI, domicilio) asociados a unas líneas de telefonía móvil de las que no era titular. Por ello, el tratamiento posterior de esos datos, materializado en la emisión de facturas por unos servicios que el denunciante no contrató determinó que la operadora le imputara una deuda "que no era cierta, ni vencida ni exigible". También queda acreditado que TME (Teléfonica Móviles España) reclamó el pago de 2 cantidades al cliente sobre las líneas controvertidas por un importe de 44,84 euros y 21,71 euros. Posteriormente, ante el impago de la deuda generada, la compañía comunicó a los ficheros de solvencia patrimonial ASNEF y BADEXCUG una incidencia asociada a los datos personales del denunciante por un importe de 66,55 € (44,84€ + 21,71€), cantidad que coincide con la suma de las facturas emitidas en las líneas objeto de controversía. La Agencia aprecia en Telefónica una grave falta de diligencia porque dió de baja las líneas controvertidas el 24 de junio de 2011, y sin embargo 3 meses después el 4 de octubre de 2011 y el 12 de octubre de 2011, dió de alta los datos personales del denunciante en los ficheros de morosos. En consecuencia, los datos personales del denunciante fueron incluidos en esos archivos "vinculados a una deuda a la que era ajena el denunciante"; deuda que no era cierta, ni vencida ni exigible desde la perspectiva del afectado, por cuanto no tenía la condición de deudor ya que él no había prestado su consentimiento para el alta de las líneas controvertidas. La consecuencia fueron dos multas por infracción grave a la Ley de Protección de Datos, que supusieron una sanción pecuniaria total de 90.000 euros (50.000 más 40.000). Vodafone, 350.000 euros de multa Pero Vodafone hace buena competencia a Telefónica en esta materia de violaciones de la Ley de Protección de Datos. El pasado mes de julio, acumuló seis sanciones, por un importe total de 350.000 euros. Y además bate el récord con dos multas de 100.000 euros cada una. En uno de los casos, denunciado en Almería, la compañía reclamó a un cliente el pago de un servicio de telefonía que no tenía contratado, y, al no cobrar --lo que obviamente no le correspondía-- incluyó al denunciante en el fichero de morosos. La segunda sanción se originó en Cádiz. Vodafone reclamó a un cliente 62,77 euros por una línea que no tenía contratada, y al no pagar, puso también su nombre en un archivo de morosos. Otra compañía telefónica sancionada en julio por casos similares fue France Telecom, con 80.000 euros de multa. Con lo que, de las 26 sanciones, 16 fueron para telefonicas. Estas compañías llevan más de un lustro acaparando las sanciones a la Ley de Protección de Datos, y continúan incurriendo en las mimas prácticas, sin que las sanciones hayan tenido ningún efecto disuasorio sobre las mismas. Fuente: Publico.es Fecha: 09/08/2012

Los Recursos Humanos frente a la LOPD

Cuando hablamos del mundo de la protección de datos, vemos que está en continuo desarrollo, en continuo cambio, al igual que nuestra sociedad. Eso hoy en día está bien pues es la mejor manera de adaptarnos a las situaciones que en cada momento existan pero cuando al cumplimiento de las leyes nos referimos podemos tener un problema puesto que se convierte en tarea casi imposible el estar actualizados. La Ley Orgánica de Protección de Datos (en adelante LOPD) está presente en todos y cada uno de los departamentos que forman las empresas puesto que siempre habrá datos que proteger. Ahora bien, cuando nos referimos a los Recursos Humanos debemos hilar muy fino. Hasta ahora se ha tratado dicho departamento como uno más, cuidado pues para la realización de las labores correspondientes a este departamento se puede tener acceso a datos de carácter personal llegando incluso a calificarse alguno de ellos como “especialmente protegidos”, lo que requeriría un tratamiento especial así como la aplicación de las medidas de seguridad que la ley fija para cada nivel, siempre en función de que datos se esté manejando. Me gustaría poder explicaros con más detenimiento el procedimiento que debería seguir cualquier departamento de Recursos Humano en cuanto a la LOPD pero es una ardua tarea y necesitaríamos muchos más tiempo para hacerlo. Por ello lo que voy a hacer es destacar los principales pilares de la LOPD a tener en cuenta cuando al departamento de recursos humanos nos referimos. El primero de los pilares será el Derecho a la Información, este derecho se deberá dar siempre en la recogida de datos y viene marcado por artículo 5 de la LOPD. Nos referimos a que cuando se lleve a cabo una selección de personal deberemos darles un documento elaborado específicamente para informar a los candidatos de para que se están recogiendo sus datos y que se va a hacer con ellos posteriormente. A modo de ejemplo, si la recogida se lleva a cabo mediante formularios que forman parte de la página web de las empresas, también se deberá informar a los candidatos previamente a la recogida y éstos deberán de aceptar y consentir la finalidad que se le vaya a dar a dichos datos antes de continuar con la introducción de los mismos. Cuando se procede a informar, les comunicaremos también la existencia y posibilidad de ejercer los derechos arco (Acceso, Rectificación, Cancelación y Oposición). El segundo de los pilares será el Principio de Calidad de los datos, los datos serán exactos, pertinentes y no excesivos. Los datos que recojamos deberán ser los justos y necesarios para desarrollar la función que tenemos asignada, es decir, nunca recabaremos más datos de aquellos que necesitemos para el fin que nos ocupe y siempre enmarcándolos en el contexto de la relación laboral. Este principio debemos hacerlo extenso a todos los ámbitos. Continuando con la relación laboral que nos ocupa veamos un ejemplo: si la empresa quiere felicitar a los empleados en fechas señaladas o enviarles publicidad, previamente deberá recoger autorización específicamente para ello, no será suficiente la genérica o la justificación de la relación laboral existente. Y por último, aunque no menos importante el Deber de Secreto, éste se dará desde el momento mismo en que el empleado firma el contrato, empieza a formar parte de la empresa y tiene acceso a toda la información que circula por la misma. Es por ello, por ese acceso a datos manejados por la empresa, por lo que se debe guardar secreto profesional, de hecho la posibilidad de revelar datos secretos por cualquier persona que los maneje está contemplado también en el Código Penal, en el art. 197 siempre que esa obtención de datos se realice sin consentimiento del interesado y puede desencadenas en pena de prisión de entre tres y cinco años. Hoy en día las redes sociales están ganando terreno a las relaciones sociales y laborales que venían siendo habituales hasta la fecha. De lógica es que este comportamiento se ha extendido también al funcionamiento de los Recursos Humanos, por lo que deberemos tenerlas en cuenta en los procedimientos que desde éste departamento llevemos a cabo. Las redes sociales son utilizadas cada vez más a menudo para cualquier tipo de acción, esto nos lleva a poder afirmar que la mayoría de candidatos entre los que vamos a tener que escoger tiene un perfil en varias redes sociales. Esta nueva manera de actuar nos lleva a encauzar las indagaciones en dirección a las mismas para poder averiguar más datos de los candidatos, cuando esta práctica se hace de modo legal, mayoritariamente buscando en LinkedIn u otras redes profesionales podríamos decir que no hay problema, siempre y cuando el titular de los datos nos otorgue consentimiento para ello. Ahora bien, se están llevando a cabo prácticas enmarcables en acciones que un buen profesional no llevaría nunca a cabo, tales como solicitarle al candidato la clave de sus redes sociales para poder ver sus perfiles, gustos, opiniones,…. Evidentemente en estos casos, aunque se cuente con el consentimiento de los titulares nos encontraremos ante una ilegalidad puesto que podríamos ver datos que el titular no ha querido hacer públicos y por lo tanto no tendremos derecho a acceder a ellos. Incluso si queremos ir más allá puede conllevar la suplantación de identidad del individuo situación que sería delictiva. Por ello y por las convicciones de cada uno, estas prácticas no deberían de realizarse pues atentan contra la intimidad de los candidatos. Esta práctica, ver las redes sociales profesionales (LinkedIn), sería lícita siempre que accedamos únicamente a aquellos datos que son públicos y siempre en una medida proporcional a la necesidad para saber si el candidato es el adecuado para el puesto y si los datos profesionales son los que nos interesan. Por último hacer una reflexión. Un buen experto en Recursos Humanos nunca empleará medios ilícitos a la hora de desempeñar su trabajo, pero debéis ir con cuidado. Igual que he destacado algunos de los pilares básicos, son muchas las medidas que debéis llevar a cabo a la hora de cumplir con la LOPD debido a la posibilidad de acceso a datos de nivel alto y al continuo manejo de los mismos. Por ello debéis exigir que el cumplimiento de la LOPD en los departamentos de recursos humanos sea una realidad pues los responsables somos todos, en un futuro pueden ser tus datos los que necesiten ser protegidos. Fuente: Ana Vicente RH Media Fecha: 26/07/2012

LOPD: "Las múltiples caras de Facebook".

Recientemente, tras la adquisición de la compañía israelí Face.com por parte de Facebook, el gobierno americano ha tomado cartas en el asunto evaluando el servicio de reconocimiento facial en el entorno de las redes sociales como un potencial peligro para la privacidad de sus usuarios. Este nuevo servicio de reconocimiento facial, no operativo todavía en nuestro país, consiste en sugerir el nombre de los amigos que la aplicación reconozca en fotos que los usuarios suben a su cuenta de Facebook, para que éstos sean etiquetados en dichas fotos. Ante este hecho, la Federal Trade Comission estadounidense ha decidido emitir a finales del 2012 un informe donde se recomendarán una serie de buenas prácticas para el uso de estas tecnologías de manera que jurídicamente se respete la privacidad del consumidor. Ahora bien, este nuevo servicio de Facebook, no sólo será utilizado en el entorno norteamericano, pues la problemática se extiende a lo largo y ancho del planeta, incluyendo a los usuarios de Facebook en España. La cara buena de este servicio, es que, a través de una imagen se puede obtener información y la identificación de datos personales de un individuo, en muchos casos con fines beneficiosos para el conjunto de la sociedad, en sectores como la medicina (identificación facial de la emoción en el campo de la psicología) o en el de la seguridad ciudadana (seguimiento de sospechosos o investigación criminal). Sin embargo, la cara mala es que dichos datos personales obtenidos a través de un reconocimiento facial, pueden ser objeto de graves abusos, si no se adoptan las suficientes medidas protectoras de la privacidad. En el caso de las etiquetas de Facebook, por el momento, las autoridades de protección de datos europeas no se han pronunciado respecto al sometimiento de la compañía norteamericana, a la normativa comunitaria (Directiva 95/46/CE), lo que supone una incertidumbre jurídica y un problema de aplicabilidad, por cuanto que la imagen de una persona es considerada plenamente como dato de carácter personal. En este sentido, recientemente, el Grupo de trabajo del Artículo 29 (grupo consultivo compuesto por representantes de las autoridades nacionales de protección de datos de los Estados miembros, el Supervisor Europeo de Protección de Datos y la Comisión Europea) en suDictamen 02/2012 de Reconocimiento Facial en Servicio en línea y móviles, ha señalado los riesgos que entrañan este tipo de servicios para la privacidad, principalmente, en los supuestos de tratamientos de imágenes de forma ilegal, violaciones de la medidas de seguridad o falta de precisión en la identificación del sujeto. Así, en dicho Dictamen se expone claramente como solución previa a la utilización de este servicio, la necesidad de que exista un consentimiento previo e informado de los usuarios para el tratamiento de las imágenes digitales en el sistema de reconocimiento facial. A mayor abundamiento, señala el Dictamen que el consentimiento otorgado no puede ser derivado de una aceptación general de las condiciones del servicio, por lo que deberá ofrecerse a los usuarios la información específica sobre el funcionamiento del reconocimiento facial de manera clara, accesible e independiente. Por tanto, antes de que un usuario registrado en Facebook suba una imagen a la aplicación, primero deberá ser claramente informado de que estas imágenes estarán sujetas a un sistema de reconocimiento facial, sin que haya posibilidad de no ver o evitar el mensaje informativo. Además, el Dictamen añade que a los usuarios que ya estén registrados en el servicio de reconocimiento facial también se les deberá solicitar su consentimiento para que su plantilla de referencia de identificación facial sea registrada en la base de datos de identificación. Respecto a los usuarios no registrados y usuarios registrados que no hayan dado su consentimiento al tratamiento de sus datos con esta finalidad, no se les podrá sugerir automáticamente una etiqueta a su nombre. Sin embargo, en algunos casos, el responsable del fichero, en este caso Facebook, puede, de forma temporal, realizar algunos procesos de reconocimiento facial, precisamente, con el propósito de evaluar si un usuario ha dado su consentimiento o no como base jurídica para el tratamiento de sus datos. Los datos tratados, durante esta fase deberán ser utilizados con el único fin de verificar el consentimiento del usuario y, por lo tanto, deben ser eliminados inmediatamente después de su comprobación, en caso de que el usuario no esté en la base de datos de consentimientos otorgados. Esto es así, debido a que sólo es posible distinguir entre los rostros de los usuarios registrados que tenían y no había dado su consentimiento antes de haber efectuado el reconocimiento facial. Sólo después de que la identificación haya tenido lugar (o la falta de identificación) el responsable del fichero será capaz de determinar si tienen o no el consentimiento apropiado para el procesamiento específico. En cuanto a las medidas de seguridad, los prestadores de estos servicios deben asegurar y garantizar que las imágenes digitales de los usuarios y las plantillas de reconocimiento facial son utilizadas únicamente para la finalidad prevista, así como que adoptan las medidas adecuadas para garantizar la seguridad de las mismas. Así, Facebook debería implantar las herramientas que permitan a los usuarios controlar la visibilidad de sus imágenes por parte de terceros, para lo cual aún queda mucho camino por andar. Como conclusión, podemos afirmar que el uso de tecnología de reconocimiento facial debe contar, con carácter previo al uso del servicio, con el consentimiento informado del afectado -incluso expreso en determinados casos-, y el prestador del servicio deberá tomar una serie de precauciones desde el punto de vista de la normativa sobre protección de datos y de protección de la intimidad y de la propia imagen, puesto que es el responsable de los datos. En caso de no cumplir con los requisitos expuestos, esta nueva funcionalidad supondría un riesgo para los usuarios de Facebook, por cuanto que la protección de su privacidad no quedaría garantizada. Fuente: Legaltoday

Sanción a UGT por revelar 200 correos electrónicos

La Agencia Española de Protección de Datos ha estimado la denuncia de una afiliada de UGT frente a la Federación de Servicios Públicos de UGT, por mandarle correos electrónicos sin copia oculta junto a 200 personas más. En junio de 2011 la Agencia de Protección de Datos (AEPD) recibió la denuncia de una afiliada a UGT, exponiendo que había recibido diez correos electrónicos de la FSP-UGT, en los que constaban 200 personas incluidas sin copia oculta por lo que (según la denunciante), “todas las personas incluidas en la lista de correos conocerían desde ese momento su afiliación sindical” Una vez que la AEPD admitió a trámite la denuncia indicada, la Federación de UGT afirmó durante el expediente de inspección de la AEPD: “…Reconocemos que alguien de Ia Federación ha cometido el error de enviar una serie de correos electrónicos a los afiliados sin copia oculta, a pesar de las claras instrucciones de Ia organización a todos los niveles para que se utilice siempre. Lo que llama poderosamente la atención es Ia utilización, absolutamente espuria, que hace la denunciante del mencionado error máxime cuando ella ha ocupado un cargo en la Federación durante más de año y medio, que finalizó seis días antes de recibir el primer correo electrónico (…)" Según informa la Resolución de la AEPD, gracias al envío de UGT “se visualizaban datos personales presuntamente de afiliados o simpatizantes de la Federación (nombres, apellidos y direcciones de correo electrónico), por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD, habiéndose realizado la infracción de forma continuada”. Por todos estos motivos la AEPD ha acordado imponer una sanción de 1.000 a la Federación de UGT, tipificada como leve en el artículo 44.2.e) de conformidad con lo establecido en el artículo 45.1 de la LOPD. Desde Salirdeinternet.com destacamos que UGT reconoció el envío a los "afiliados" y sin embargo, fue la propia AEPD quien puso en duda que todos los incluidos en el email tuviesen la consideración de afiliados. La sanción ha tenido en cuenta la vulneración del artículo 10 de la LOPD, que consagra el “deber de secreto” que tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones no consentidas por los titulares de los datos. Fuente: Salir de Internet Fecha: 24/07/2012

Cuando Internet entra por la puerta, la LOPD sale por la ventana

Nadie duda de las bondades de Internet, ni del ahorro de costes que supone pasarlo todo a digital… pero tampoco podemos olvidar que el ciudadano tiene unos derechos fundamentales garantizados constitucionalmente, ni que existen unas leyes que protegen dichos derechos a base de imponer cuantiosas multas. Aún a riesgo de resultar repetitivos o de parecer demasiado conservadores (ya hemos hablado en otras ocasiones sobre el Derecho al Olvido en relación con el periodismo digital y con los boletines y diarios oficiales digitales), debemos decir que la experiencia obtenida a través de nuestros clientes, continúa revelándonos nuevos aspectos de la transición al mundo digital que chocan frontalmente con la protección de datos personales. Hoy le toca el turno a la notificación de los accidentes de trabajo a través del Sistema Delta del Ministerio de Trabajo (o mejor dicho, de Empleo y Seguridad Social). Pasando por encima de la complicación que suponeaplicarle las medidas de seguridad de Nivel Alto al dichoso parte de accidente cuando, sin embargo, un parte de baja por enfermedad común sólo requiere el nivel básico (este tema también lo tratamos anteriormente), el procedimiento establecido por Delta, entraña un riesgo para la protección de datos mucho menos evidente. El proceso más habitual es el siguiente: -Un trabajador, con más sueño que devoción, tiene un accidente de coche mientras se dirigía al trabajo por la mañana. -Resultado de dicho accidente, el trabajador detecta (o incluso se inventa) un dolor en el cuello, por lo que se dirige a su mutua a ver si consigue que le den la baja por AT. -Del análisis de dicha dolencia, se genera un registro del accidente que la mutua comunica a la empresa para que rellene el correspondiente parte Delta (si lleva descripción de la lesión sufrida, ya tenemos esos indeseables datos de salud en nuestra empresa). -El departamento de Recursos Humanos, o la gestoría, o quizá el Departamento de Prevención de Riesgos Laborales recibe esta notificación y, tras recabar la información necesaria, cumplimenta el tedioso parte Delta. -…Disculpen… corrijo el punto anterior: En realidad, UNA PERSONA FÍSICA del departamento de Recursos Humanos, o de la gestoría, o del Departamento de Prevención de Riesgos Laborales, cumplimenta el tedioso parte Delta. -Para ello, únicamente se necesita un “certificado digital de persona física”, que en la mayoría de los casos, es el certificado digital de la FNMT. -Además, entre las funcionalidades del Sistema Delta, aparte de registrar nuevos partes, está la consulta de los partes notificados anteriormente. Por favor, tómense un minuto de reflexión antes de seguir leyendo… ¿Ya? Bien. ¿Y cuál es el problema? Pues básicamente, que es la persona física quien notifica o consulta los partes de accidente, no la empresa. Desde el punto de vista de protección de datos, esto puede implicar varias cosas: -La más preocupante es que cuando esta persona abandona la empresa, puede seguir consultando y descargándose los partes Delta que ha notificado anteriormente… y lo que es peor, parece posible que también siga teniendo capacidad de notificar un nuevo parte Delta. -Otras consecuencias menos probables, pasarían por considerar a la persona física como Responsable del Fichero, puesto que es la única que tiene capacidad de disposición sobre la información notificada a través del Delta (debiendo cumplir con la obligación de inscribir un fichero en la AEPD, informar a los afectados, obtener su consentimiento expreso pues es un dato de salud, elaborar un documento de seguridad, etc.). Tranquilidad, que ya digo que este enfoque no me parece realista ni adecuado, pues normalmente se trata de un trabajador por cuenta ajena que sólo hace lo que le dicen sus jefes. Por esta desconcertante situación, se planteó la siguiente consulta por email al Sistema Delta: “Estimados señores, (bla, bla, bla) ¿Para notificar un accidente de trabajo en una empresa es necesario disponer de algún tipo de autorización específica o basta con tener un certificado digital? En cualquiera de los 2 casos, ¿existe alguna forma para rescindir los permisos de acceso a los partes notificados anteriormente por la persona con su certificado digital cuando ésta abandona la empresa? ¿y de impedir que notifique futuros accidentes? Para evitar el uso de certificados personales, se ha valorado la posibilidad de utilizar certificados de persona jurídica; no obstante, nos indican desde la FNMT que ellos no pueden limitar ni restringir de ninguna forma el uso de dichos certificados (y por motivos obvios, sería interesante limitar dicho uso exclusivamente a la notificación de accidentes de trabajo). ¿El Sistema Delta ofrece alguna posibilidad de obtención de certificado exclusivo para la interacción con Delta, como es el caso del certificado Silcon del Sistema RED de la Seguridad Social? Y en tal caso ¿existe algún procedimiento de revocación de personas autorizadas a utilizar ese certificado cuando abandonan la empresa o cuando cambien sus funciones? Agradezco de antemano su pronta respuesta. Reciban un cordial saludo.” Sorprendentemente, la respuesta no se hizo esperar más de 10 minutos: “Habiendo recibido y analizado su consulta, pasamos a indicarles la solución que creemos más acertada. En Delta se registran personas físicas y no empresas. Los partes tramitados únicamente pueden ser visualizados a través de la aplicación por aquellas personas que lo tramitaron. Solo puede darse de baja de la aplicación la propia persona que esta registrada como representante de empresa. Únicamente pueden revocar las firmas digitales los propietarios de las mismas y no hay ninguna manera de evitar que estas personas no tramiten más partes. Una opción sería tramitar todos los partes de la misma empresa con una única firma digital. Esperamos haber contribuido a solucionar su problema. De no ser así, rogamos vuelvan a contactar con nosotros, mediante un nuevo correo o llamando al 902 88 77 65 (Centro de Atención a Usuarios de aplicaciones externas del MEYSS). Saludos cordiales,” Sin entrar a valorar la sugerencia de que varias personas utilicen una única firma digital personal, se confirman nuestros temores. Básicamente, no hay forma de impedir que una persona que ha notificado un parte Delta con un certificado de la FNMT siga accediendo a este parte aún después de finalizar su relación con la empresa. Sin embargo, el artículo 91 del Reglamento de Desarrollo de la LOPD, exige lo siguiente: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.” Y su incumplimiento, es una infracción grave de la normativa de protección de datos, con sanciones entre 40.000 y 300.000 euros. Es decir, que por cumplir con nuestras obligaciones (cumplimentar el parte Delta) con las herramientas que la Administración pone a nuestra disposición (certificado digital FNMT), nos arriesgamos a recibir una fuerte sanción. ¿Soluciones? -La más lógica sería que la AEPD tomase cartas en el asunto y forzase al Sistema Delta a implantar un procedimiento que no tenga este agujero. No obstante, después de ver la falta de pudor en algunas administraciones públicas a la hora de reconocer que no les importa la protección de datos, yo no depositaría grandes esperanzas en esta solución. -Otra opción más práctica y segura, es recurrir a un certificado digital de una entidad privada (cualquiera de las aceptadas por Delta servirían) que ofrezca un “Certificado corporativo de persona física”, que es un certificado reconocido de persona física que identifica al suscriptor como vinculado a una determinada organización, ya sea como empleado, asociado, colaborador, cliente o proveedor. La empresa podrá revocar este certificado cuando la persona deje la organización. Lo malo es que hay que acordarse de revocarlo (algo que, en la práctica puede quedar en tierra de nadie aunque esté procedimentado por escrito), y que perdemos el acceso a los partes que conserva el Sistema Delta y que haya tramitado esta persona (lo que nos fuerza a quedarnos con una información a la que tenemos que aplicar el nivel alto de seguridad). En fin, lo dicho: cuando Internet entra por la puerta, la LOPD sale por la ventana… y las empresas se quedan perplejos sin saber a quién tenerle más miedo. Fuente:hayderecho.com Fecha: 27/07/2012

El reconocimiento facial de Facebook amenaza la privacidad

La red social Facebook se encuentra bajo el microscopio en Estados Unidos por el alcance en temas de privacidad y los problemas legales que podría causar la tecnología de reconocimiento facial, una vez que la compañía fundada por Mark Zuckerberg adquiriera el mes pasado la start-up israelí Face.com, que desarrolla estos procesos y sugiere el nombre de amigos para etiquetar en las fotos que los usuarios suben a su cuenta. Uno de los sistemas que más ha avanzado en tecnologías biométricas hoy en día, ha sido el reconocimiento facial, haciendo posible que a través de una imagen se pueda obtener información, identificación, seguimiento y obtención y tratamiento de datos personales de un individuo. Si bien su funcionalidad puede ser muy variada y hasta beneficiosa para la sociedad -por ejemplo en sectores como el de la medicina o el de la seguridad, pasando por la publicidad-, también puede ser objeto de graves abusos con demasiada facilidad. El senador norteamericano Al Franken, presidente del subcomité de Privacidad del Senado, ha expresado su preocupación acerca de que Facebook no incluya suficientes protecciones a la privacidad en la función de etiquetas, máxime cuando probablemente esta red social tenga la mayor colección privada de retratos de cara en el mundo. Precisamente el Senado estadounidense debatió ayer este tema y la posibilidad de introducir algunas disposiciones en la legislación que trate este asunto. Se ha acordado que la Federal Trade Commission (FTC) emitirá un informe a finales de este año para recomendar las mejores prácticas para el uso de estas tecnologías de una manera que respete la privacidad del consumidor. Por ahora se sabe que la policía y los departamentos de registro de vehículos de motor también utilizan la tecnología de reconocimiento facial en Estados Unidos. Sin embargo la globalidad de Facebook, con más 900 millones de usuarios en todo el mundo, ha hecho que el problema no se suscriba sólo a nivel norteamericano. Tan sólo en España la red social más popular tiene más de 16 millones de usuarios, siendo el decimoquinto país del mundo con mayor número de usuarios en Facebook, y el quinto en Europa, sólo superado por Reino Unido, Francia, Alemania e Italia. Preocupación Los expertos legales españoles en esta materia consultados por EXPANSIÓN muestran su preocupación por esta nueva práctica. Desde ENATIC (Asociación de Expertos Nacionales de la Abogacía TIC), su presidente Rodolfo Tesone reconoce que hay mucha preocupación por el “impacto que estas tecnologías están teniendo y van a tener para la privacidad y la protección de datos de carácter personal de los ciudadanos, a tenor de creciente penetración de las aplicaciones de reconocimiento facial, y de los abusos que esta tecnología puede suponer de forma autónoma o en combinación con otras tecnologías de inteligencia artificial”. Para el abogado Francisco Pérez-Bes, vicepresidente de ENATIC y secretario de la Asociación Española de Responsables de Comunidades Online (AERCO), “nuestra imagen es nuestra. Una mera fotografía nos identifica y revela muchísima información acerca de nosotros: sexo, edad, incluso dónde y con quién estamos, pero también eventuales problemas de alopecia, de visión o dermatológicos. La utilización de tecnología de reconocimiento facial por los cuerpos y fuerzas de seguridad no es nuevo y está, hasta cierto punto, legitimado por sus fines de seguridad y protección del ciudadano. Sin embargo, la aplicación de dicha tecnología en el ámbito empresarial plantea serias amenazas a la privacidad de las personas, en el sentido de que las finalidades para las cuales se utiliza esa información buscan la explotación comercial de la misma”. La abogada y consultora de seguridad Paloma Llaneza también se muestra muy crítica y preocupada por este asunto, y asegura que el tema del reconocimiento facial es el enésimo tratamiento que hace Facebook, que ya tuvo que modificar su privacidad porque le obligó el Comisionado de Protección de Datos de Canadá. Llaneza asegura que “empresas como Facebook o Google hacen una potente minería de datos para identificar el comportamiento de sus usuarios, haciendo una descripción e incluso una prospección para el futuro”. En el caso de Facebook, la reciente adquisición de la compañía israelí face.com, unido a la compra de Instagram y al hecho de que dicha red social dispone de una de las mayores bases de datos del mundo -incluyendo menores de edad-, hace que los expertos se planteen la adecuación de las políticas de privacidad relativas al etiquetado de fotografías y uso de las mismas por parte de dicha compañía. "La aplicación de la tecnología de reconocimiento facial en el ámbito empresarial plantea serias amenazas a la privacidad de las personas" Francisco Pérez Bes explica que “no hay que olvidar que, aún a pesar de que a Facebook no le resulte aplicable -de momento- la normativa española de protección de la privacidad, el uso de tecnología de reconocimiento facial debe contar con carácter previo con el consentimiento informado del afectado -incluso expreso en determinados casos-, y tomar una serie de precauciones tanto desde el punto de vista de la normativa sobre protección de datos (por cuanto la imagen de una persona es considerado como de tal naturaleza) como de la normativa sobre protección de la intimidad y de la propia imagen. De no ser así, la amenaza a la privacidad que ello supone es inaceptable". Dificultades Llaneza incide en el tema de que “el problema es que si la empresa es española el usuario tiene derecho a modificar si alguien sube una foto suya a la Red, pero las compañías norteamericanas están sujetas a derecho de su país y no se les aplica la directiva europea”. En este sentido, la abogada es clara “llegados a este punto tienes dos opciones: o bien ajustas la privacidad de tu perfil de Facebook o te das de baja de la red social, aunque aun así no tienen obligación de borrar todos tus datos”. Es cierto que existe un borrador de un reglamento comunitario que está intentando cambiar esto, para conseguir que si una empresa americana o de otro país de fuera de la Unión Europea dirija sus servicios a algún país de la Unión tenga que estar sujeto a la legislación comunitaria, pero hay bastante presión por grupos de interés detrás para que este cambio no salga adelante. Rodolfo Tesone asegura que “es preciso que el legislador tome cartas en el asunto exigiendo mediante opt-in un consentimiento previo e informado de los usuarios para el tratamiento de las imágenes digitales a lo largo de todo el proceso del tratamiento de las mismas, tal y como apunta el Dictamen 02/2012, sobre el reconocimiento facial en los servicios en línea y móviles, aprobado por el grupo de autoridades europeas de protección de datos el 22 de marzo 2012, el cual va dirigido a órganos legislativos nacionales y europeos y en virtud del cual se establece el marco jurídico aplicable, las garantías que los proveedores de servicios deben cumplir y formula diversas recomendaciones”. El presidente de ENATIC añade que “junto con la urgente regulación, desde la asociación también abogamos por un marco de autoregulación y vigilancia por parte de la industria vinculada a la Sociedad de la Información y a Internet, junto a planes transversales de educación, concienciación y capacitación de estas tecnologías por parte de la ciudadanía”. Fuente: Expansión Fecha: 18/07/2012

¿Puedo colgar las fotografías de las vacaciones con mis amigos en redes sociales?

Las vacaciones son un derecho reconocido legal y socialmente reconocido para estudiantes y trabajadores por cuenta ajena, así como para todo aquel que se toma merecidamente un receso en su actividad diaria para el descanso. A diferencia unos años atrás, ahora con las nuevas tecnologías, las redes sociales, los Smartphone y otra serie de dispositivos móviles, resulta fácil contar y retratar al detalle dónde nos encontramos, las tareas que estamos cometiendo e incluso nuestros pensamientos y opiniones a todos los amigos, familiares y/o lista de contactos en general. La cuestión, y el objeto del presente post, es analizar jurídicamente las consecuencias de incluir a otras personas en la crónica vacacional en las redes sociales pudiendo en ocasiones, vulnerar inconscientemente derechos fundamentales de terceros. 1) En el marco del derecho a la Intimidad Personal y Familiar y la Propia Imagen Este derecho está reconocido en el artículo 18.1 de la Constitución y regulado en la Ley Orgánica 1/82, de 5 de mayo (Ley Orgánica 1/82, de 5 de mayo1, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen). La Protección de estos derechos está delimitada por las leyes y por los usos sociales según el ámbito que mantenga cada persona reservado para sí o su familia. ¿La captación y publicación de fotografías en las redes sociales de un amigo/a en la esfera de su vida privada, como por ejemplo estar en la playa, podría suponer la intromisión de la intimidad de esa persona? El Tribunal Constitucional ha determinado en múltiples sentencias que la esfera de intimidad de una persona se extiende al “poder que cada individuo tiene respecto a la información relativa a su persona o en su caso a la de su familia pudiendo imponer a terceros su voluntad de no dar a conocer dicha información o prohibiendo su difusión no consentida con los límites que establecen las Leyes”. Por un lado, con carácter general, los límites legales establecidos para no considerar intromisión ilegitima al derecho de la intimidad y a la propia imagen, entre otros, serían: •Que la fotografía sea de una persona con cargo público o notoriedad y se capte en un acto público o en lugares abiertos al público… •Que la fotografía sea sobre un suceso público y la imagen de la persona sea accesoria. •Cuando está autorizado en una ley y/o se hubiere otorgado consentimiento expreso. Entrando a analizar la práctica más habitual en las redes sociales la mayoría de las publicaciones de fotografías, comentarios sobre terceros publicados en las redes sociales son de amigos y/o contactos que no pertenecen al mundo de la proyección pública por lo que se escaparía de los límites legales arriba indicados. Asimismo, una de las confusiones más importantes entre los internautas es en relación a la obtención del consentimiento para colgar fotos de terceros. Es reiterada la jurisprudencia del Tribunal Supremo la que establece que “el consentimiento no debe ser general, sino que debe versar sobre la obtención de la imagen y sobre la concreta publicación de la misma en un determinado medio”. De forma que el hecho de posar para una foto que te hace un amigo no implica que pueda divulgarla por dónde quiera. Por otro lado, para determinar si existe vulneración del derecho de intimidad y/ o a la propia imagen considero que habría que acudir al límite de los “usos sociales” es decir, habría que examinar la conducta que mantiene el individuo afectado respecto al uso de las redes sociales. De forma que, desde mi punto de vista, para valorar la intromisión habría que evaluar el grado de privacidad mantenido de cada individuo y diferenciar entre el usuario de las redes sociales que muestra una conducta participativa y activa en la misma de aquel que mantiene una postura pasiva o no le produce ni el interés mínimo para tener un perfil abierto. Por ello, con carácter general y sin perjuicio de examinar el caso en concreto, la publicación y divulgación de fotografías de personas sin proyección pública y sin consentimiento previo podría constituir a priori una intromisión ilegitima y si con ello se le causa un daño se podría exigir responsabilidad junto con la correspondiente indemnización. 2) En el marco de la normativa de Protección de Datos. Siendo la imagen de una persona es un dato de carácter personal conforme la LOPD, para valorar si el hecho de colgar una foto de un amigo en la playa y subirla a alguna de red social constituye un tratamiento de datos, habrá que determinar previamente si se ha realizado en el marco una actividad exclusivamente personal o doméstica, resultando en ese caso una exclusión en el ámbito de aplicación de la citada normativa. Se entiende por actividad personal o doméstica “los tratamientos de datos que se inscriben en el marco de la vida personal o familiar de los particulares” de forma que la finalidad del tratamiento no sea otra que surtir efectos en esos ámbitos. Si bien es cierto que, en principio, las redes sociales se mueven dentro de una esfera puramente personal, poniéndose en contacto con gente como parte de la gestión de sus asuntos personales el Grupo de Trabajo del Artículo 29 (Órgano consultivo europeo independiente establecido en virtud del artículo 29 de la Directiva 95/46/CE) en su Dictamen 5/2009 sobre “Las Redes Sociales en Línea” estableció tres excepciones por las que no se aplicaría la referida exención del ámbito de aplicación de la LOPD y se considerarían responsables de tratamiento, los siguientes: •El usuario actúe en la Red Social como empresa o asociación. •El usuario facilita el acceso a la información más allá de los “amigos” elegidos •El usuario no garantice los derechos de terceros en relación a los datos sensibles. Solo aquel usuario que tenga una lista desmesurada de “amigos” estaría fuera de las excepciones fijadas por el GT29 y en consecuencia estaría sometido a las obligaciones legales establecidas en la LOPD respecto al tratamiento de datos de terceros. ¿Estaría incurriendo en una infracción en materia de protección de datos el usuario que tuviera una lista amplia de contactos y colgara una foto de su amigo durante un viaje? En mi opinión sí, en el caso de que no se hubiera obtenido el consentimiento del amigo correctamente. La AEPD ha establecido en varias resoluciones que “no cabe entender que se ha otorgado el consentimiento para la difusión de una fotografía de una persona, cuando aquel accedió únicamente a la obtención de la misma y no a su publicación en ningún medio” En este sentido se ha pronunciado recientemente la Audiencia Nacional el 18 de mayo de 2012 ratificando la sanción impuesta por la AEPD. Como podemos observar respecto la utilización de imágenes de terceros son diversas las excepciones y los límites que prevén las leyes para delimitar las libertades individuales en contra de los derechos fundamentales de terceros, y como ocurre siempre en Derecho habrá que estar al caso en concreto. No obstante, llama la atención el convencimiento de la gente al pensar que las relaciones de las redes sociales están al margen de las leyes y se olvida que no se puede imponer a nadie que soporte pasivamente la revelación de datos, fotografías de su vida privada personal. Fuente: Security Art Work Fecha: 18/07/2012