phone 915 752 750 email aec@aec.es

    Sobre la «Excepción Doméstica»

    1 febrero, 2021 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    La Directiva 95/46 ya contemplaba la excepción doméstica en su art 3.2 y establecía que “Las disposiciones de la presente Directiva no se aplicarán al tratamiento de datos personales efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas”. En su Considerando 12 concretaba “que debe excluirse el tratamiento de datos efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas, como la correspondencia y la llevanza de un repertorio de direcciones”.

    El RGPD en su artículo 2.2 c) establece de modo idéntico que “El presente Reglamento no se aplica al tratamiento de datos personales c) efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas”.

    Por su parte el Considerando 18 concreta que “no se aplica al tratamiento de datos de carácter personal por una persona física en el curso de una actividad exclusivamente personal o doméstica y, por tanto, sin conexión alguna con una actividad profesional o comercial. Entre las actividades personales o domésticas cabe incluir la correspondencia y la llevanza de un repertorio de direcciones, o la actividad en las redes sociales y la actividad en línea realizada en el contexto de las citadas actividades. No obstante, el presente Reglamento se aplica a los responsables o encargados del tratamiento que proporcionen los medios para tratar datos personales relacionados con tales actividades personales o domésticas”.

    Por tanto, el RGPD, aun sin variar la literalidad en su articulado, nos aporta varias concreciones a través del Considerando 18 con respecto a la regulación establecida por la Directiva 95/46:

    • La actividad personal o doméstica ha de ser sin conexión alguna con una actividad profesional o comercial, en coherencia con la exigencia ya existente de que la actividad ha de ser exclusivamente personal o doméstica.
    • Se añade como ejemplos de actividad personal o doméstica, “la actividad en las redes sociales y la actividad en línea realizada en el contexto de las citadas actividades” por lo que es necesario que la actividad en la red social o en internet se realice en dicho contexto personal o doméstico para quedar incluidas dentro de la excepción. Este nuevo ejemplo, incluido tras la sugerencia realizada por el Supervisor Europeo de Protección de Datos (SEPD), era necesario pues la “correspondencia y la llevanza de un repertorio de direcciones” habían quedado un tanto obsoletos y debía contemplarse la realidad de internet.

    Con anterioridad a la aprobación del RGPD, el TJUE en la conocida Sentencia Lindqvist (C-101/01) ya afirmó en 2003 que la conducta consistente en publicar en una página web datos relativos a terceras personas, constituía un “tratamiento” a nivel de protección de datos, no quedando comprendido en ninguna de las excepciones del artículo 3.2 de la Directiva 95/46. Además afirmó que “la excepción debe interpretarse en el sentido de que contempla únicamente las actividades que se inscriben en el marco de la vida privada o familiar de los particulares; evidentemente, no es éste el caso de un tratamiento de datos personales consistente en la difusión de dichos datos por Internet de modo que resulten accesibles a un grupo indeterminado de personas”.

    La AEPD se pronunciaba en su Informe 0615/2008 “En definitiva, para que nos hallemos ante la exclusión prevista en el artículo 2 LOPD, lo relevante es que se trate de una actividad propia de una relación personal o familiar, equiparable a la que podría realizarse sin la utilización de Internet, por lo que no lo serán aquellos supuestos en que la publicación se efectúe en una página de libre acceso para cualquier persona o cuando el alto número de personas invitadas a contactar con dicha página resulte indicativo de que dicha actividad se extiende más allá de lo que es propio de dicho ámbito”.

    En dicho informe la AEPD cita la Sentencia de la Audiencia Nacional de 15 de junio de 2006 la cual afirma en su Fundamento de Derecho Tercero que:

    • “Qué ha de entenderse por «personal» o «doméstico» no resulta tarea fácil. En algunos casos porque lo personal y lo profesional aparece entremezclado” en cuyo caso dichos tratamientos quedarían incluidos en el ámbito de aplicación de la ley al no tener como finalidad exclusiva el uso personal.
    • “Tampoco hay que entender que el tratamiento se desarrolla en un ámbito exclusivamente personal cuando es realizado por un único individuo” pues “por ejercicio de una actividad personal no debe entenderse ejercicio de una actividad individual. No deja de ser personal aquella actividad de tratamiento de datos que aun siendo desarrollada por varias personas físicas su finalidad no trasciende de su esfera más íntima o familiar”.
    • “Será personal cuando los datos tratados afecten a la esfera más íntima de la persona, a sus relaciones familiares y de amistad y que la finalidad del tratamiento no sea otra que surtir efectos en esos ámbitos”.

    En cuanto al uso de Redes sociales, el GT29 establecía en el Dictamen 5/2009 sobre las redes sociales en línea que “el tratamiento de datos personales por los usuarios corresponde en la mayoría de los casos a la exención doméstica, pero existen casos en que las actividades de un usuario no se benefician de esta exención”. Así por ejemplo, el GT29 entiende que se trasciende una actividad puramente personal o doméstica cuando:

    • la red social se utiliza como una plataforma de colaboración para una asociación o una empresa;
    • cuando el acceso a la información del perfil va más allá de los contactos elegidos, en particular, cuando todos los miembros que pertenecen al servicio de red social pueden acceder a un perfil o
    • cuando los datos son indexables por los motores de búsqueda.

    El TJUE posteriormente (Caso RYNES C-212/13) ha establecido que la excepción debe ser interpretada en sentido estricto. “Tal interpretación estricta se fundamenta también en el propio texto de la disposición que acaba de citarse, según el cual la Directiva 95/46 no se limita a prever que sus disposiciones no se aplicarán al tratamiento de datos personales en el ejercicio de actividades personales o domésticas, sino que exige que se trate del ejercicio de actividades «exclusivamente» personales o domésticas”. Asimismo, recoge la conclusión del Abogado General de que “la excepción (…) únicamente se aplica al tratamiento de datos personales cuando éste se efectúa en la esfera exclusivamente personal o doméstica de quien procede al tratamiento de datos”.

    Durante los años previos a la aprobación del RGPD, se discutieron varias opciones para reformar la redacción de la excepción doméstica. El SEPD sugirió en 2012 “insertar un criterio para diferenciar las actividades públicas y domésticas, basadas en el número indefinido de personas que pueden acceder a la información” (si bien puntualiza que “este criterio debe entenderse como una indicación”) y por tanto, siguiendo el criterio establecido en el caso Lindqvist. Por su parte, la Comisión Europea sugirió introducir el requisito del “interés lucrativo” (gainful interest), para diferenciar las actividades de tratamiento personales de las comerciales. Estas cuestiones fueron debatidas en la Comisión de Libertades Civiles, Justicia y Asuntos de Interior (LIBE) del Parlamento Europeo, que finalmente no adopta introducir el requisito del interés lucrativo y respecto al criterio del acceso por un número indefinido de personas, sugiere una redacción alternativa, “cuando pueda esperarse razonablemente que sólo tendrá acceso un número limitado de personas”.

    El GT29 se pronunció posteriormente en 2013 en el Anexo 2 Proposals for Amendments regarding exemption for personal or household activities. El GT29 tampoco era partidario de incluir el requisito del “interés lucrativo” ya que entendía que actividades realizadas por particulares por el hecho de reportar un rendimiento económico, quedarían incluidas (ej ventas privadas en línea), y viceversa, actividades que trascienden el ámbito personal o doméstico pero no suponen una ganancia económica, podrían quedar incluídas en el ámbito de aplicación de la excepción y por tanto, fuera del ámbito de aplicación de la normativa de protección de datos. Por otro lado, consciente de los cambios que internet y las TIC han supuesto, posibilitando la compartición instantánea de datos personales por parte de cualquier persona, el GT29 propone una serie de criterios para ser incluidos en el Considerando del RGPD, que pueden ser utilizados para clarificar cuándo un concreto tratamiento de datos se realiza en el contexto de fines personales o domésticos. Puntualiza que dichos criterios no son determinantes per se pero una combinación de los mismos podría servir para determinar si un tratamiento queda incluido en el ámbito de la excepción o no. Dichos criterios (traducción no oficial) son:

    • ¿Se difunden los datos personales a un número indefinido de personas, en lugar de a una comunidad limitada de amigos, familiares o conocidos?
    • ¿los datos personales son relativos a individuos que no tienen relación con la persona que lo publica?
    • ¿Sugiere la escala y la frecuencia del tratamiento de los datos personales una actividad profesional o a tiempo completo?
    • ¿Existen pruebas de que un número de individuos actúan juntos de manera colectiva y organizada?
    • ¿Existe un potencial impacto adverso en los individuos, incluyendo la intromisión en su privacidad?

    Finalmente, la redacción definitiva adoptada por el RGPD sigue una línea continuista con la establecida por la Directiva 95/46 y no introduce grandes modificaciones ni criterios que pudieran servir de aclaración a los operadores jurídicos en relación a la aplicación de la excepción.

    Ya aprobado el RGPD, el 30 de Noviembre de 2018, se realizó una petición al Parlamento Europeo solicitando concretar el alcance del artículo 2.2 c) del RGPD, a lo que la Comisión encargada contestó que:

    • “Este considerando (18) aclara de forma explícita que «una actividad exclusivamente personal o doméstica» es, a efectos de la referida cláusula, una actividad privada de carácter exclusivamente personal o limitada al propio hogar y sin conexión alguna con una actividad profesional o comercial”.
    • “la explicación contenida en el considerando ya aclara suficientemente que «una actividad exclusivamente personal o doméstica» en el sentido del artículo 2, apartado 2, letra c, del RGPD cubre únicamente aquellas actividades privadas que son exclusivamente personales o constituyen una actividad meramente doméstica, y no están relacionadas, en particular, con ninguna actividad profesional o comercial”.

    El peticionario solicitaba la inclusión en el artículo 2.2 de las palabras «privado» y «no comercial», a lo que la Comisión encargada le contesta que “la adición de las palabras propuestas, coordinadas con la conjunción disyuntiva «o», podría entenderse incluso como una vía de extender la excepción a actividades «privadas» y «no comerciales» que rebasan las actividades meramente personales o domésticas y en cuyo marco puede ocurrir, por consiguiente, que se efectúa un tratamiento de datos personales de personas no pertenecientes al respectivo hogar. Tal extensión de la exceptuación de la aplicación de las disposiciones del RGPD podría poner en entredicho la protección de las personas en lo relativo al tratamiento de sus datos personales”.

    Esto significa que el límite ha de provenir precisamente del hecho de no rebasar el ámbito de las actividades personales o domésticas y no del carácter del sujeto que realiza el tratamiento de datos. Si se hubiera querido excluir del ámbito de aplicación a las actividades realizadas por personas físicas, es decir, las actividades personales en general y sin distinguir el marco o dimensión en que se realizan, se les habría excluido directamente del ámbito subjetivo de aplicación.

    El Consejo de Europa publicó en 2018 el Handbook on European Data Protection elaborado junto con la Agencia de los Derechos Fundamentales de la UE (FRA), el Supervisor Europeo de Protección de Datos y el Tribunal Europeo de Derechos Humanos. Se afirma que “El acceso de los ciudadanos a internet y la posibilidad de utilizar plataformas de comercio electrónico, redes sociales y blogs para compartir información personal acerca de sí mismos y de otras personas hace que sea cada vez más difícil distinguir el tratamiento de datos para actividades personales del tratamiento de datos para actividades no personales. La consideración de las actividades como puramente personales o domésticas depende de las circunstancias”. “(…) es crucial que los usuarios sean conscientes de que subir información de otras personas sin obtener su consentimiento puede violar los derechos a la privacidad y la protección de datos de esas personas”.

    Los casos del TJUE, Lindqvist y Rynes, son citados por el Comité Europeo de Protección de Datos en sus Guidelines 3/2019 on processing of personal data through video devices, al hablar de la exención doméstica en el ámbito de la video vigilancia.

    También son citadas dichas sentencias del TJUE por nuestro Tribunal Supremo en Sentencia Núm 815/2020 de 18/06/2020, que tiene en cuenta la interpretación estricta de la excepción. El TS afirma que “son dos los requisitos legales para que entre en juego la cláusula de exclusión, que el tratamiento de datos lo haga un particular y que lo haga en el marco de una actividad exclusivamente particular o doméstica”.

    Siguiendo el criterio fijado en la Sentencia Lindqvist, la Guía de Videovigilancia de la AEPD en relación a las cámaras on board, establece que las grabaciones para una finalidad “doméstica” estarían exceptuadas de la aplicación de la normativa de protección de datos. Por ejemplo, el uso de estas cámaras en los cascos de un ciclista o motorista, que fuesen tomando imágenes paisajísticas. “No obstante, su uso posterior, como por ejemplo, la publicación de las grabaciones en internet quedaría sometido a la normativa de protección de datos”. También afirma la AEPD que “sobre la aplicación de esta excepción doméstica, no podrán entenderse exceptuados aquellos supuestos en los que la información tratada sea puesta en conocimiento de un número indeterminado o indefinido de personas”. Asimismo, “tampoco se aplica la excepción en aquellos casos en los que el tratamiento de estos datos pueda lesionar los derechos e intereses de las personas. A tal efecto, debe tenerse en cuenta que la utilización de las tecnologías de la información y las comunicaciones puede dar lugar a que un tratamiento de los datos inicialmente vinculado con la vida privada de quien lo realiza pueda implicar un acceso a información de un tercero que éste no desea que sea del dominio público”.

    ¿Quiere decir todo lo anterior que los datos obtenidos con motivo de actividades personales o domésticas, al quedar fuera del ámbito objetivo de aplicación de la norma, ya no pueden quedar protegidos por la misma?

    La Audiencia Nacional en Sentencia (Núm de Recurso 481/2012) de fecha 26/09/2013 da respuesta a esta cuestión afirmando que sí son objeto de protección por parte de la normativa de protección de datos, pero de forma diferente, pues en relación a los datos personales (lista de contactos) que puede contener un teléfono móvil, el hecho de quedar incluidos dentro de la excepción doméstica no significa que los datos queden exentos de protección en el sentido de que el acceso al terminal sea libre por no quedar sujeto al régimen protector de la Ley.

    Es un hecho que el desarrollo de la sociedad y la forma en que las personas interactuamos con las tecnologías han multiplicado de forma exponencial las situaciones que pueden suponer precisamente rebasar ese ámbito personal o doméstico, razón por la cual hemos podido conocer resoluciones sancionadoras de la AEPD en las que considera responsable del tratamiento a una persona física por exceder el tratamiento de datos realizado de una actividad personal o doméstica (PS/00334/2019 sanción de 10.000 eur). No obstante, sancionar a particulares no es una novedad, pues en el ámbito de videovigilancia ya habíamos conocido sanciones a particulares por captar imágenes de la vía pública y por tanto, trascender ese ámbito personal o doméstico, tal y como se estableció en el Caso RYNES por el TJUE (R/02869/2013 sanción de 2.000 eur, PS/00055/2012 diversas sanciones 2000 €, 900 € y 1000€).

    El RGPD no ha introducido novedades en la materia, a pesar de las propuestas de modificación discutidas en durante su tramitación, sino únicamente puntualizaciones y actualizaciones a través del Considerando 18 que refuerzan lo establecido en su articulado y son coherentes con la interpretación que los Tribunales y el GT29 han venido realizando hasta la fecha, si bien es cierto tampoco incluyó los criterios sugeridos por el GT29 para clarificar su aplicación por parte de las autoridades de control y Tribunales.

    En ocasiones, no resulta sencillo discernir cuándo estamos ante actividades privadas que sean exclusivamente personales o constituyan una actividad meramente doméstica, pero debemos tener en cuenta que ese ámbito personal o doméstico, puede ser rebasado. Es por ello que el ámbito objetivo de la excepción doméstica debe analizarse caso por caso en función de las concretas circunstancias, teniendo en cuenta que no será suficiente que el tratamiento de datos lo realice un particular, sino que, además, deberá circunscribirse en el marco de una actividad exclusivamente particular o doméstica y todo ello interpretado en sentido estricto tal y como ha establecido la Jurisprudencia del TJUE.

    María Loza Corera
    Lead Advisor en Govertis
    @Mlozac

    1. Handbook on European data protection law, 2018, P. 103.
    2. P. 369
    3. SAN Núm de Recurso 481/2012: “la exclusión del régimen protector de la Ley Orgánica 15/1999, de 13 diciembre, contenido en su artículo 2.2.a), debe ser cabalmente interpretado en el sentido del libre establecimiento de archivos y del tratamiento de datos por personas físicas (ya decimos que por su carácter mínimo o inocuo) correspondientes a terceros (por ejemplo una lista de contactos) siempre que se haga en un contexto puramente personal o doméstico. No, por el contrario, en el de que quede libre y exento de protección el acceso a los datos contenidos en un terminal telefónico, a los que bien puede alcanzar la más estricta privacidad. Nótese que tales dispositivos pueden albergar determinadas informaciones como las referentes a la salud o la vida sexual, que son objeto de protección reforzada en el art. 7 de la Ley Orgánica 15/1999 , de 13 diciembre. Y sin embargo, paradójicamente, quedarían exentos de protección si el acceso a esta clase de terminales fuera libre por no quedar sujetos al régimen protector de la Ley”. (FD 4º).
    KEEP READING

    Hardening, una oportunidad de mejora compartida

    21 enero, 2021 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    Cuando desarrollamos tanto proyectos basados en la adecuación o cumplimiento y debemos presentar Planes de tratamiento o simplemente necesitamos mejorar el entorno de Seguridad de la información, hay uno que no falla y casi aparece (o por lo menos en mis proyectos he debido proponerlo) y debemos considerar; el Hardening (Endurecimiento), como veremos a continuación, cuando establecemos el Hardening como una de las iniciativas de protección podemos definir diferentes actividades que, si las miramos de manera global, generaran un impacto positivo.

    Antes que nada y para quienes no lo conozcan, el Endurecimiento de la Infraestructura o Hardening, es una medida de protección o plan de tratamiento, conforme sea el caso, que es ejecutada por el personal a cargo de la infraestructura «los fierros» y busca realizar ajustes con el objetivo de dificultar la realización de acciones maliciosas, o contar con las suficientes pistas en caso de que algo ocurra.

    Cuando nace como una iniciativa de tecnología, es el propio personal de TI el que busca la manera de realizar la implementación, considerando las buenas prácticas (que hay muchas), por otro lado cuando se realiza por temas de cumplimiento o adecuación estas medidas vienen socializadas por los responsables de Seguridad de la información, y he aquí uno de los primeros beneficios, cuando proponemos el Hardening como responsables de Seguridad de la información tenemos la oportunidad de colaborar con TI generando sinergia.

    Si bien existen diferentes formas de abordarlo son 4 puntos básicos los que debemos considerar y que vamos a identificar como oportunidades de implementación de controles listados en el Anexo A de la norma ISO/IEC 27001:2013.

    1. Mínimo privilegio: se basa en permitir el acceso, tanto físico como lógico, únicamente a roles que justifiquen la necesidad de conocer, por lo cual viendo desde un punto de vista objetivo es en parte la implementación de la filosofía “cero confianza” (zero trust), podrían por ejemplo considerarse algunos procesos como:
      • Gestión de cuentas de usuario; A.9.1.2, A.9.4.2
      • Configuración de archivos y directorios; A.13.2.1
      • Configuraciones para protegerse de posibles ataques físicos; A.11.1
      • Configuraciones para protegerse de posibles ataques de hardware de la máquina; A.9.4.4
        • Upgrade de firmware
        • Configuración de la BIOS
      • Políticas para establecimiento de contraseñas complejas; A.9.3.1, A.9.4.3
    1. Mínima exposición: componente que busca que los servicios o aplicaciones que se dan de alta en las organizaciones sean los mínimos requeridos para la operación, por ejemplo contemplamos:
      • Servicios
        • Definición de software baseA.12.5.1
        • Restricciones para instalación de software; A.12.6.2
        • Configuración de acceso remoto;
      • Protocolos
        • Definición de protocolos de Red y medios de comunicación con la red externa; A.13.1.2
    1. Registro de eventos: cuando aplicamos endurecimiento a nuestra infraestructura, las actividades que se realizan con cada elemento deben estar registradas, por ello algunas de los componentes a considerar serán:
      • Implementación de Protocolo de Tiempo de Red (NTP); A.12.4.4
      • Gestión de auditorías de sistema; A.12.4.1
    1. Actualizaciones: asegurar que los elementos de la infraestructura cuentan con los parches de seguridad provistos por el proveedor es el componente que considero final y de vital importancia, aspectos que se deben considerar son:
      • Implementación de servidor de actualizaciones
      • Gestión de vulnerabilidades; A.12.6.1

    Si lo analizamos adecuadamente el concepto de Hardening es aplicable tanto a sistemas operativos, servicios o aplicaciones y como lo hemos visto en este corto planteamiento, es una medida de control que requerirá un tiempo para que madure y, adicionalmente, necesitaremos la colaboración posiblemente constante de roles de auditoria o control (A.18.2.3) para que se este tipo de proyectos o iniciativas sean parte del día a día de la organización.

    Jorge Guerrón

    Equipo Govertis

    KEEP READING

    COVID-19 y Protección de Datos: Resumen del año y conclusiones

    13 enero, 2021 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    Mal que nos pese, este 2020 que ya ha tocado a su fin ha venido marcado por la grave crisis sanitaria derivada de la pandemia de la COVID-19. De entre los múltiples retos que la sociedad ha tenido que abordar como consecuencia de la situación acaecida, la protección de datos ha ocupado un lugar destacado, habiendo tenido que realizar los profesionales de la privacidad -y Delegados de protección de datos en particular- un auténtico “tour de force” para dar respuesta a las cuestiones que se han ido planteando con cada iniciativa surgida para combatir la propagación del virus, las cuales casi siempre tenían implicaciones relevantes en lo que al derecho fundamental a la protección de datos se refiere.

    Desde este Blog, y a través de una serie de artículos, hemos ido tratando de dar respuesta “en tiempo real” a los casos más destacados, así como en los distintos eventos del Club DPD, que ineludiblemente han versado sobre cuestiones relacionadas con la privacidad en la pandemia.

    Ahora que, por fin, llega el epílogo del 2020, mostramos a modo de resumen y de forma gráfica los principales hitos. Son todos los que están, pero no están todos los que son. Se destacan aquellas cuestiones que entendemos más relevantes en relación con la protección de datos.

     

    De este conjunto de iniciativas anti-COVID y la forma en la que se ha abordado su encaje en la normativa de privacidad, podemos extraer una serie de conclusiones principales:

    1. El falso debate PROTECCIÓN DE DATOS vs SALUD PÚBLICA: desde un primer momento se ha planteado esta disyuntiva, mediante la cual se dejaba entrever que para garantizar la salud de la población es necesario sacrificar el derecho fundamental a la protección de datos. En relación con esta cuestión, se evaluaba si el RGPD y LOPDGDD eran suficientes para combatir la pandemia (es decir, que no limitaran hasta su ineficacia las acciones para combatir la COVID) a la vez que ofrecían las suficientes garantías para la privacidad.

    El Reglamento General de protección de datos también lo es para permitir su libre circulación. El RGPD tienen un espíritu abierto y flexible, y en sus considerandos y artículos se contemplan expresamente situaciones como la actual. Por tanto, se puede cumplir con el RGPD y la LOPDGDD, y, por tanto, garantizar el derecho a la protección de datos personales, mientras se combate la pandemia. Existen unos límites, pero como ocurre con cualquier otro ámbito de actuación donde entren en conflicto derechos y libertades que hay que ponderar.

    Aún así, hay que advertir que la legislación actual se configura como una herramienta útil pero insuficiente. En muchos de los retos afrontados se ha echado en falta una regulación específica de los legisladores nacionales, que permitiera dotar de mayor seguridad a los responsables y encargados de tratamiento y ofrecer mayores garantías a los ciudadanos.

    En la mayoría de casos o retos afrontados, los tratamientos encontraban en las normas causas o bases de licitud y legitimación (intereses vitales, interés público esencial, cumplimiento obligaciones legales, …). La clave radicaba en la proporcionalidad de las medidas y las garantías necesarias, para lo cual es esencial que las determinen las leyes y las autoridades sanitarias. Por tanto, la proporcionalidad de las acciones llevadas a cabo por los distintos agentes en los tratamientos excepcionales llevados a cabo, así como el papel que han jugado las autoridades, en especial las sanitarias, o colectivos como los servicios de prevención de riegos de las empresas, han demandado una mayor concreción por parte del legislador, que bien podría haberse materializado en los distintos instrumentos normativos publicados durante la pandemia. En definitiva, una norma que proveyera de un mayor nivel de concreción sobre el alcance de los tratamientos de datos personales en circunstancias como las derivadas de la COVID-19.

    1. La desconfianza general (y justificada) en las instituciones y la clase política alcanzó también a la protección de datos, creando escepticismo ante cualquier medida de los gobiernos que tenga que ver con tratamiento de datos personales.
    2. La protección de datos ha alcanzando una dimensión desconocida en los medios de comunicación en esta pandemia, que la han llevado a la primera plana. Como otras materias que salen al debate público, ha sido objeto de mucha desinformación o bulos.
    3. La COVID ha servido de incuestionable acelerador de la transformación digital (desarrollo de la e-Administración, telemedicina, teletrabajo…)
    4. La otra cara de la moneda es que se ha puesto de manifiesto la falta de implantación de la administración electrónica, así como la alarmante ausencia de cumplimiento del Esquema Nacional de Seguridad (ENS).
    5. Refuerzo del principio protección de datos desde el diseño: valga como ejemplo, el desarrollo de la APP RADAR COVID. Sin embargo, la desconfianza en gobiernos e instituciones la ha llevado al fracaso.

    Privacidad como valor al alza: cada vez se ve más como una ventaja competitiva. En este sentido, también ha salido reforzada la figura del Delegado de protección de datos, como elemento esencial en el cumplimiento de los principios y obligaciones en las organizaciones, y en la necesaria atención especializada de los retos planteados.

    Javier Villegas

    Equipo Govertis

    KEEP READING

    Legitimidad en la grabación de entrenamientos y encuentros deportivos de equipos base

    16 diciembre, 2020 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    En la actualidad, entre las medidas adoptadas para combatir la propagación de la Covid-19, las federaciones, clubs u otros colectivos del deporte base o categorías inferiores han restringido el acceso a las instalaciones deportivas a padres, madres, familiares y aficionados, en general. De este modo, en función del tipo de instalación, no pueden ver nada de los entrenamientos o partidos o, en su caso, pueden ver una parte o la totalidad del espacio de juego, en ocasiones echando mano del ingenio.

    Ante esto, muchas entidades deportivas han decidido grabar los entrenamientos y encuentros, para ser retransmitidos en streaming o en diferido. Dado que la captación de imágenes por medio de las cámaras se efectúa, principalmente, sobre personas físicas, identificadas o identificables, obliga a considerar en qué términos está legitimada, para que no afecte a los derechos y libertades fundamentales.

    A estos efectos, atendemos al Dictamen CNS 3/2015 de la Agencia Catalana de Protección de Datos, en relación a las grabaciones en instalaciones deportivas municipales, en el que nos dice que, si la captación y la grabación de imágenes de personas realizando la práctica de un deporte tuviera lugar de manera meramente accesoria en un evento público, como puede ser un encuentro deportivo, el tratamiento de estos datos personales estaría habilitado conforme a las previsiones de la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.

    Ahora bien, si las imágenes de personas captadas en estos espacios no aparecieran de manera meramente accesoria, habría que contar con el consentimiento de los afectados. Así, añade el dictamen que, a diferencia de los encuentros, “en el caso de los entrenamientos no parece que puedan considerarse como un «evento público» y su grabación claramente conllevaría la captación continua y no accesoria de las imágenes de las personas que los efectúan y que pueden tener al respecto unas justificadas expectativas de privacidad. En este caso, no se podría considerar que las previsiones de la LO 1/1982 son una habilitación legal suficiente a los efectos de permitir el tratamiento sin consentimiento de los afectados”.

    Sentado esto, cabe decir que los entrenamientos y partidos de equipos de categorías inferiores, a priori, no tienen el interés público asociado a la práctica profesional. De modo que, no contando con habilitación legal suficiente, habría que solicitar el consentimiento previo de los afectados [artículo 6.1.a) RGPD] o, en su caso, tratándose de menores de 14 años, de los titulares de la patria potestad o tutela [artículo 7 LOPD-GDD].

    Patrick Monreal

    Equipo Govertis

    KEEP READING

    Valoración de las medidas de seguridad necesarias en el contexto RGPD en el ámbito privado

    12 noviembre, 2020 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD) fundamenta el cumplimiento de los principios de protección en dos pilares fundamentales:

    • Responsabilidad proactiva.
    • Gestión orientada al riesgo.

    Tal como establecen las propias guías de la AEPD, para poder dar cumplimiento al principio de responsabilidad proactiva, es necesario que el responsable del tratamiento “aplique medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento. En términos prácticos, este principio requiere que las organizaciones analicen qué datos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo. A partir de este conocimiento deben determinar de forma explícita la forma en que aplicarán las medidas que el RGPD prevé, asegurándose de que esas medidas son las adecuadas para cumplir con el mismo y de que pueden demostrarlo ante los interesados y ante las autoridades de supervisión. En síntesis, este principio exige una actitud consciente, diligente y proactiva por parte de las organizaciones frente a todos los tratamientos de datos personales que lleven a cabo».

    Para establecer la gestión orientada a riesgo, la AEPD también destaca lo siguiente: «El RGPD señala que las medidas dirigidas a garantizar su cumplimiento deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas. De acuerdo con este enfoque, algunas de las medidas que el RGPD establece se aplicarán sólo cuando exista un alto riesgo para los derechos y libertades, mientras que otras deberán modularse en función del nivel y tipo de riesgo que los tratamientos presenten. La aplicación de las medidas previstas por el RGPD debe adaptarse, por tanto, a las características de las organizaciones. Lo que puede ser adecuado para una organización que maneja datos de millones de interesados en tratamientos complejos que involucran información personal sensible o volúmenes importantes de datos sobre cada afectado no es necesario para una pequeña empresa que lleva a cabo un volumen limitado de tratamientos de datos no sensibles».

    En este nuevo contexto, la falta de una actitud proactiva y responsable en la adopción de medidas de seguridad, incluso aun no existiendo lesión de derechos y libertades del afectado o interesado, puede originar la imposición de una sanción al responsable o encargado de tratamiento por no justificar este enfoque preventivo de cumplimiento.

    De conformidad con el Artículo 32 Seguridad del tratamiento del RGPD el responsable y encargado del tratamiento asumen las siguientes obligaciones, en relación con la seguridad en el tratamiento de los datos personales:

    1.  Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
      • a) La seudonimización y el cifrado de datos personales;
      • b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
      • c) La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
      • d) Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
    2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
    3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
    4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.>>

    En este contexto muchas organizaciones nos preguntan continuamente cómo acreditar esa valoración y poder justificar que se han tomado las medidas adecuadas. De forma ideal, lo más garantista sería apostar por el cumplimiento de estándares en la materia como ISO 27001 de seguridad de la información o la extensión de esta norma específica a la privacidad, ISO 27701.

    ENISA, la Agencia Europea de Ciberseguridad según establece el REGLAMENTO (UE) 2019/881 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 17 de abril de 2019 relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n.o 526/2013 («Reglamento sobre la Ciberseguridad») ha tratado desde la publicación del RGPD de dar respuesta a esta pregunta.

    Publicó en primer lugar, en Enero de 2018 publicó su “Handbook on Security of Personal Data Processing” en donde establecía una metodología para poder valorar el nivel de riesgo (Desde la perspectiva de seguridad) al que está sometido un tratamiento y establecía medidas de seguridad proporcionales a esa valoración realizada.

    En Enero del año pasado, ENISA, para facilitar el uso de esta metodología, trasladó a un entorno online todo el proceso proporcionando una herramienta útil a los Delegados de Protección de Datos que quieran usar esta aproximación como base para la toma de decisiones. Este entorno está accesible en la URL https://www.enisa.europa.eu/risk-level-tool/

    Esta guía establece un criterio de valoración del riesgo del tratamiento y define un conjunto de medidas de seguridad que deberá ser aplicado de forma proporcional al nivel de riesgo obtenido. Para esta estimación del riesgo, ENISA propone considerar los siguientes factores:

    • Respecto a la valoración del impacto, esta propuesta se centra en valorar el tipo de tratamiento y las posibles consecuencias que podría sufrir el interesado en caso de incidente atendiendo a las consecuencias en confidencialidad, integridad o disponibilidad.
      • Confidencialidad: Impacto de una divulgación no autorizada (pérdida de confidencialidad) de datos personales.
      • Integridad: Impacto de una alteración no autorizada (pérdida de integridad) de los datos personales
      • Disponibilidad: Impacto de una destrucción o pérdida no autorizada (pérdida de disponibilidad) de datos personales.

    En relación a la escala de valoración de impactos, se ha considerado como criterio más relevante utilizar los criterios de severidad establecidos por la propia AEPD en su guía de  “Evaluación de Impacto en la Protección de los Datos Personales”. Esta escala también es empleada por la herramienta GESTIONA que la AEPD ha puesto a disposición de las organizaciones para realizar tanto evaluaciones de impacto, como análisis de riesgos. La escala de valoración emplea la siguiente graduación:

    • Respecto a la valoración de la probabilidad, se establecen la definición de posibles amenazas atendiendo al entorno y tecnología empleados (probabilidad de ocurrencia). Para ello, se valoran bajo cuatro áreas, la probabilidad de ocurrencia atendiendo a estimar qué posibles escenarios podrían producirse en relación a los siguientes criterios:
      • Recursos técnicos y de red (hardware y software) empleados en el tratamiento.
      • Procesos / procedimientos relacionados con el tratamiento de datos.
      • Diferentes partes interesadas y personas involucradas en las operaciones de tratamiento.
      • Sector empresarial y volumetría de datos tratados.

    Con esta información sobre un tratamiento analizado, se puede realizar una evaluación del riesgo del tratamiento atendiendo a la valoración de impacto y probabilidad establecidos y determinar a qué categoría de riesgo está sometido ese tratamiento, de forma que puedan seleccionarse el conjunto de medidas de seguridad mínimo que deberán aplicarse para acreditar un nivel de protección adecuado.

    Ilustración 2. Categorización del riesgo de un tratamiento según metodología ENISA

    Una vez conocida la escala de riesgo que corresponde al tratamiento se establece, en función de diferentes grupos de medidas, cuáles serán necesarias de forma proporcional al nivel de riesgo. De esta forma, se define un criterio que permite aplicar el “principio de proporcionalidad” y determina un conjunto mínimo de medidas que permita acreditar el cumplimiento de la responsabilidad proactiva por parte del responsable del tratamiento. Las medidas de seguridad planteadas por ENISA también pueden clasificarse atendiendo a si determinan requisitos organizativos, técnico-organizativos o técnicos. El siguiente gráfico muestra todas las áreas que determinan las medidas de seguridad a aplicar.

    Ilustración 1. Agrupación de las medidas de seguridad establecidas por «Handbook on Security of Personal Data Processing» de ENISA.

    Como valor añadido, además, cada medida propuesta por ENISA indica también cuál es el control o controles de la norma ISO 27001:2013 con el que se relaciona. De esta forma, ENISA establece un conjunto básico de medidas que referencian al estándar en materia de seguridad de la información y que no suponen una aplicación de la totalidad de éste, sino una aplicación parcial, dado que no supone la puesta en marcha de los 114 controles de seguridad que contempla el estándar y su aplicación es proporcional al nivel de riesgo asignado.

    Esta aproximación proporciona fundamentalmente dos ventajas:

    • Supone un soporte metodológico solvente, como así reconoce la propia AEPD que lo ha considerado en algún informe publicado con relación a brechas de seguridad en donde aparece referenciado el documento “Handbook on Security of Personal Data Processing”.
    • Es un primer paso hacia el cumplimiento de la norma ISO 27001/27002 dado que muchas de las medidas están relacionadas con el cumplimiento del estándar y suponen la implantación de estas medidas de seguridad. En una valoración rápida el documento de ENISA recoge aproximadamente un 60% de las medidas de seguridad de la ISO 27001, lo que supone unos primeros pasos hacia una hoja de ruta más solvente y que pueden en el futuro permitir la certificación tanto en ISO 27001 como en ISO 27701.

    Javier Cao Avellaneda

    Equipo Govertis

    KEEP READING

    Los metadatos en la privacidad

    4 noviembre, 2020 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal |

    El RGPD define Dato personal como toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona Por lo tanto, nos encontramos con una definición clara de lo que podemos entender como dato.

    En la práctica estamos constantemente intercambiando información personal. Este flujo de datos personales puede realizarse de forma analógica o digital.  Cuando ese intercambio lo hacemos en el mundo analógico, sabemos perfectamente que información estamos facilitando, Ej: dar una copia en papel de nuestra fotografía de carnet,pero la cosa se complica cuando entramos en el mundo digital, en el entorno 2.0.

    ¿Sabías que cuando enviamos un email, estamos enviando más datos que los que hayamos incorporado en el texto del correo o cómo anexo al mismo? Y cuándo compartes una foto por WhatsApp ¿Crees que solo envías esa imagen? Efectivamente cuando enviamos un email o compartimos una fotografía realizada digitalmente ignoramos los metadatos que enviamos junto a ellos. Pero ¿qué son los metadatos? ¿son o pueden llegar a ser datos personales?

    Los metadatos (del griego μετα, meta, ‘después de, más allá de’ y latín datum, ‘lo que se da’, «dato») son datos que describen otros datos, un ejemplo: en una biblioteca, los metadatos serían las fichas donde se almacena información sobre autores, títulos, editoriales para buscar libros. Los metadatos permiten identificar más datos.

    En el mundo digital podría ser información que aislada no aporte ninguna información sobre quién es el interesado o pudiera ser que sí. Ni el RGPD ni la LOPDyGDD hace referencia alguna a los metadatos, pero, en  la propuesta del Reglamento Europeo y del Consejo sobre el respeto de la vida privada y la protección de datos personales en el sector de las comunicaciones electrónicas y por el que se deroga la Directiva 2002/58/CE del Parlamento Europeo y del Consejo de 12 de julio de 2002 (Reglamento de E-Privacy), sí que se regulan subsumiéndolos en el concepto de “Datos de comunicación electrónica”.

    En el considerando 3 de  este  Reglamento de E-Privacy, que todavía no está vigente, dice que “ Entre esos metadatos figuran los números a los que se ha llamado, los sitios web visitados, la localización geográfica o la hora, la fecha y la duración de una llamada, información que permite extraer conclusiones precisas sobre la vida privada de las personas participantes en la comunicación electrónica tales como sus relaciones sociales, sus costumbres y actividades de la vida cotidiana, sus intereses, sus preferencias, etc.”  Es decir, que podrían ser considerados “datos” a los efectos del RGPD

    De hecho, el considerando 17 se establece la obligación de requerir el consentimiento para tratar estos metadatos por parte de los proveedores de servicios, aunque en el Artículo 6.2 establecen tres tipos de bases de legitimación diferentes para tratar metadatos por parte de los proveedores de servicios:

    • obligación derivada de calidad de servicio,
    • facturación o
    • impedir fraudes
    • y por supuesto, el siempre presente consentimiento.

    Además, este reglamento obliga a la supresión o anonimización de los mismos cuando ya no los use.

    Sin querer profundizar más en la propuesta  del Reglamento e-privacy,  hemos de plantearnos qué situación o qué lugar tienen los metadatos en tanto que con uno de ellos o varios puedan identificar a una persona.

    Como hemos referido arriba un metadato puede ser identificatorio o no en función de qué tipo sea o de si se junta con otro metadato que otorguen información suficiente como para identificar o hacer identificable a una persona. En esta hipótesis ¿podríamos estar hablando de un “dato” a los efectos del RGPD y por lo tanto ésta normativa desplegar todas sus obligaciones?

    Parece ser que es un planteamiento posible en tanto que cumple con los requisitos que ha de tener un dato para que sea amparado por la normativa de privacidad, pero no es un dato, es un “metadato” y como hemos dicho, ni el RGPD y la actual LOPD hace referencia alguna al “metadato” ¿podría aplicarse el RGPD a un elemento que no regula estricto sensu?

    Por otro lado, los metadatos circulan, en muchos casos, sin que Responsable de Tratamiento ni Interesado lo sepan, por ejemplo, datos de ubicación y fecha de una fotografía realizada por un teléfono móvil. Que estos datos sean “ocultos” dificulta enormemente que puedan desplegarse todas las obligaciones y derechos de uno y otro.

    ¿Qué pasará cuando, de forma expresa, se declare que se van a tratar metadatos por los operadores? ¿qué normativa se tendrá que aplicar?

    El Reglamento e-privacy nos lo contesta en su exposición de motivos dejando claro que, mientras el RGPD garantiza la protección de datos personales el Reglamento e-privacy  amparará como lex specialis al tratamiento de datos de comunicaciones electrónicas llevado a cabo en relación con la prestación y utilización de servicios de comunicaciones electrónica.

    El metadato, pues, es contemplado por la normativa como relevante jurídicamente en tanto que se encuentre en el ámbito normativo del futuro Reglamento, pero, per se, aunque pudiera identificar a una persona, como tal metadato, parece quedar fuera de la regulación. Pero, bajo mi punto de vista, lo realmente relevante es que seguimos aportando legislación de un ámbito territorial parcial cuando el tráfico de datos y sobre todo de metadatos, es global ya que se realiza a través de la red y esta es mundial.

    Hoy en día los negocios en internet son enteramente globales, y esta realidad no sólo afecta a grandes empresas sino también a pequeños empresarios e incluso, al profesional o emprendedor que, en solitario, se lanza al mundo digital disponiendo de los medios para desarrollar su trabajo en un país, la empresa de Hosting que le provee en otro, los servidores en un tercero y el cliente ser de un cuarto país. Exigir cumplimientos normativos tan estrictos como el europeo en un supuesto de hecho tan complejo como el que se describe, frena el crecimiento y el emprendimiento por ello, es necesario ya disponer de una visión política y legislativa más global.

    Francisco José Adán Castaño

    Equipo Govertis

    KEEP READING

    Influencers: ¿Les aplica el RGPD?

    28 octubre, 2020 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    Con la expansión de las redes sociales y la facilidad para compartir en diferentes redes sociales todo tipo de contenido, ha aparecido desde hace unos años el fenómeno de los “influencers” que son aquéllas persona que han conseguido un gran número de seguidores o personas que están pendientes de sus publicaciones en diferentes redes sociales como Instagram, YouTube, tiktok, etc.

    Se producen varias relaciones jurídicas a las que afectan tanto el RGPD, como la LOPDGDD y otras normas como la ley General de publicidad.

    Por un lado, existe la relación de las redes sociales con el influencer. El influencer no deja de ser un usuario de la red social que por su especial relevancia en la misma obtiene una serie de beneficios como verse remunerado por el contenido que sube a la red social. Contenido que utiliza la red social para incluir espacios publicitarios o anuncios y vender los mismos a los anunciantes.

    La relación surge bajo la premisa de que, si un influencer llega a un número muy elevado de personas, todas esas personas se convierten en potenciales compradores de los productos que se anuncien en el contenido del influencer, o por el mismo influencer.

    En este sentido, la red social será responsable del tratamiento de los datos de sus usuarios y deberá cumplir con las obligaciones del RGPD con relación a la información, consentimiento, medidas de seguridad, etc. con especial atención al tratamiento de los datos de menores de edad que son usuarios muy numerosos en estas redes.

    El influencer, será responsable del tratamiento de los datos de carácter personal que quedaron excluidos del ámbito doméstico, de acuerdo con el Dictamen 5/2019 sobre redes sociales en línea del Grupo de Trabajo el cual indicaba que en ocasiones puede no aplicar esta excepción doméstica debido al elevado número de contactos que tiene un usuario o que toda la información la publiquen en abierto por lo que puede ser indexada por motores de búsqueda y ser accesible para un indeterminado número de usuarios o se publican datos sensibles.

    Además, para el Grupo de Trabajo existen otros casos en los que el usuario asume el rol de responsable de tratamiento “Si un usuario de SRS actúa en nombre de una empresa o de una asociación o utiliza el SRS principalmente como una plataforma con fines comerciales, políticos o sociales, la exención no se aplica”.

    Esta doctrina también ha sido recogida en el Informe 0197/2013 de la AEPD que a mayor abundamiento cita los Fundamentos 46 y 47 de la Sentencia del Pleno del Tribunal de Justicia de las Comunidades Europeas de 6 noviembre 2003 (Sentencia Lindqvist) en la que se afirmaba:

    46 En cuanto a la excepción prevista en el segundo guion del artículo 3, apartado 2, de la Directiva 95/46, en el duodécimo considerando de esta última, relativo a dicha excepción, se citan como ejemplos de tratamiento de datos efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas la correspondencia y la llevanza de un repertorio de direcciones.

    47 En consecuencia, esta excepción debe interpretarse en el sentido de que contempla únicamente las actividades que se inscriben en el marco de la vida privada o familiar de los particulares; evidentemente, no es éste el caso de un tratamiento de datos personales consistente en la difusión de dichos datos por Internet de modo que resulten accesibles a un grupo indeterminado de personas”.

    Y Sentencia de la Audiencia Nacional de 15 de junio de 2006 que afirmaba: “Lo relevante para la sujeción al régimen de protección de datos no será por tanto que haya existido tratamiento, sino si dicho tratamiento se ha desarrollado en un ámbito o finalidad que no sea exclusivamente personal o doméstico. Qué ha de entenderse por «personal» o «doméstico» no resulta tarea fácil. En algunos casos porque lo personal y lo profesional aparece entremezclado. En este sentido el adverbio «exclusivamente» utilizado en el art. 2.2.a) apunta a que los ficheros mixtos, en los que se comparten datos personales y profesionales, quedarían incluidos en el ámbito de aplicación de la ley al no tener como finalidad exclusiva el uso personal. Tampoco hay que entender que el tratamiento se desarrolla en un ámbito exclusivamente personal cuando es realizado por un único individuo. Por ejercicio de una actividad personal no debe entenderse ejercicio de una actividad individual. No deja de ser personal aquella actividad de tratamiento de datos que aún siendo desarrollada por varias personas físicas su finalidad no trasciende de su esfera más íntima o familiar, como la elaboración de un fichero por varios miembros de una familia a los efectos de poder cursar invitaciones de boda. Y un tratamiento de datos personales realizado por un solo individuo con finalidad profesional, mercantil o industrial estará claramente incluido en el ámbito de aplicación de la ley 15/1999. Será personal cuando los datos tratados afecten a la esfera más íntima de la persona, a sus relaciones familiares y de amistad y que la finalidad del tratamiento no sea otra que surtir efectos en esos ámbitos”.

    Además, deberá tener en cuenta las obligaciones de la ley General de Publicidad, la Ley de Servicios de la Sociedad de la Información y el Código de Conducta sobre el Uso de Influencers en la Publicidad, desarrollado por Autocontrol que entrará en vigor el 1 de enero de 2021.

    Francisco Ramón González-Calero Manzanares

    Lead Advisor en Govertis

    KEEP READING

    El Esquema Nacional de Seguridad, la DA 1ª de la LOPD-GDD y su aplicabilidad a las empresas privadas.

    14 octubre, 2020 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    El Esquema Nacional de Seguridad (en adelante, también, ENS) está regulado en el Real Decreto 3/2010 de 8 de enero (link). Como se indica en su exposición de motivos, su objeto es “el establecimiento de los principios y requisitos de una política de seguridad en la utilización de medios electrónicos que permita la adecuada protección de la información” y persigue “fundamentar la confianza en que los sistemas de información prestarán sus servicios y custodiarán la información de acuerdo con sus especificaciones funcionales, sin interrupciones o modificaciones fuera de control, y sin que la información pueda llegar al conocimiento de personas no autorizadas”.

    Como es generalmente conocido, el ENS tiene que ser aplicado por las Administraciones públicas para “asegurar el acceso, integridad, disponibilidad, autenticidad, confidencialidad, trazabilidad y conservación de los datos, informaciones y servicios utilizados en medios electrónicos que gestionen en el ejercicio de sus competencias”.

    No obstante lo anterior, muchas personas desconocen que la Ley contempla que la aplicabilidad del ENS se extienda, en un supuesto determinado, a empresas puramente privadas y que nada tienen que ver con la Administración pública.

    El origen de este supuesto, como analizaremos más adelante, lo hemos de localizar en el último párrafo de la Disposición Adicional 1ª de la Ley Orgánica, 3/2018 de 5 de diciembre, de Protección de Datos y Garantía de los Derechos Digitales (en adelante, LOPD-GDD). Dicha Ley Orgánica establece en su artículo 1.a) que su objeto es “adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679”, es decir, al Reglamento General de Protección de Datos (en adelante, RGPD).

    Pues bien, el RGPD dispone en su art. 5.2 el “principio de la responsabilidad proactiva”, que, de una manera muy resumida, viene a establecer que el responsable del tratamiento debe cumplir y ser capaz de demostrar que los datos personales son tratados de acuerdo con los principios de “licitud, lealtad y transparencia”; “limitación de la finalidad”; “minimización de datos”; “exactitud”; “limitación del plazo de conservación” y de “integridad y confidencialidad”. Precisamente ese último principio de “integridad y confidencialidad” es el que establece que se ha de garantizar una seguridad adecuada de los datos personales, para protegerlos “contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental”.

    Por su parte, el artículo 32 del RGPD, dice que teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo […]”.

    Es decir, para la generalidad de los responsables del tratamiento las medidas de seguridad a implantar para proteger los datos personales no se recogen en una lista taxativa que es aplicable por igual a todo el mundo. Con este artículo 32, en mayo del año 2018, se introduce un concepto desconocido en campo de la protección de datos española: la autoevaluación por el responsable de las medidas de seguridad que son necesarias para proteger los datos personales que son objeto de tratamiento directamente por él o, en su caso, por encargados de tratamiento que tratan datos por cuenta suya.

    Sin embargo, unos meses más tarde de la entrada en vigor de la LOPD-GDD, en diciembre del 2018, el Legislador español decidió que esta obligación de auto-imposición de las medidas de seguridad no sería de aplicación a las categorías de responsables y/o encargados citados en el art. 77 de la LOPD-GDD[1], que, cómo se puede comprobar en el pie de página, integran la totalidad de la Administración Pública española. Y es aquí es donde entra en juego la mencionada Disposición Adicional Primera que dice así:

    “Medidas de seguridad en el ámbito del sector público:

    1. El Esquema Nacional de Seguridad incluirá las medidas que deban implantarse en caso de tratamiento de datos personales para evitar su pérdida, alteración o acceso no autorizado, adaptando los criterios de determinación del riesgo en el tratamiento de los datos a lo establecido en el artículo 32 del Reglamento (UE) 2016/679.
    2. Los responsables enumerados en el artículo 77.1 de esta ley orgánica deberán aplicar a los tratamientos de datos personales las medidas de seguridad que correspondan de las previstas en el Esquema Nacional de Seguridad, así como impulsar un grado de implementación de medidas equivalentes en las empresas o fundaciones vinculadas a los mismos sujetas al Derecho privado.

    En los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad.”

    Por tanto, la distintas entidades enumeradas en el art. 77, para proteger la integridad, confidencialidad y disponibilidad de los datos personales que traten, ya sea en calidad de responsable o encargado del tratamiento, han de (1) categorizar de acuerdo con el Anexo I del ENS (en categoría básica, media o alta) los sistemas de información utilizados para el tratamiento y (2), de acuerdo con el Anexo II, implementar aquellas medidas de seguridad (organizativas, operacionales y de protección) que sean acordes a la categoría otorgada al sistema.

    Es decir, la DA 1ª despoja a las distintas administraciones públicas de la capacidad de decisión sobre las medidas de seguridad a implementar para proteger la integridad y la confidencialidad de los datos personales y les obliga a cumplir[2] con el muy exigente marco del Esquema Nacional de Seguridad.

    APLICABILIDAD DEL ENS A LAS EMPRESAS PRIVADAS

    Por otro lado, es importante reseñar que el párrafo final de la DA 1ª contiene un matiz que hace que la aplicabilidad del ENS sea, al menos potencialmente, universal.

    “En los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad.”

    Este párrafo se traduce en que toda entidad que preste o quiera prestar servicios a una Administración Pública ha de cumplir también con las medidas de seguridad que, en virtud del ENS, sean de aplicación a dicha administración de referencia.

    Como consecuencia de dicho precepto, cada vez es más común, que las empresas privadas que se presentan a licitaciones del sector público encuentren reflejados en los pliegos la exigencia inexcusable de que cumplan con el Esquema Nacional de Seguridad y que hayan superado un proceso de certificación por una entidad debidamente acreditada.

    Enrique Molina Jordano

    Equipo Govertis

    Art. 77 LOPD-GDD: a) Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos. b) Los órganos jurisdiccionales. c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. d) Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas. e) Las autoridades administrativas independientes. f) El Banco de España. g) Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público. h) Las fundaciones del sector público. i) Las Universidades Públicas. j) Los consorcios. k) Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales.

    [2] Se ha de remarcar que esa obligación de cumplimiento del ENS ya estaba vigente desde el 2010. Sin embargo, en la fecha de publicación del presente artículo, sólo un porcentaje ínfimo de los sistemas de información de categoría media o alta dependientes de la Administración han sido debidamente certificados conforme al RD 3/2010.

    KEEP READING

    Competencia desleal y protección de datos

    23 septiembre, 2020 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    La Ley 3/1991, de 10 de enero, de Competencia Desleal tiene como objeto la protección de la competencia, persiguiendo el interés de todos los que participan en el mercado y prohíbe los actos de competencia desleal, incluida la publicidad ilícita en los términos de la Ley General de Publicidad. Algunas de estas conductas se relacionan con ilícitos penales recogidos en el Capítulo XI – De los delitos relativos a la propiedad intelectual e industrial, al mercado y a los consumidores de nuestro Código Penal y otras, como veremos, tienen conexión con la normativa en materia de protección de datos. 

    La norma, siguiendo un criterio restrictivo, considera que existe competencia desleal cuando se cumplan las dos condiciones siguientesque el acto se «realice en el mercado» (es decir, que se trate de un acto dotado de trascendencia externa) y que se lleve a cabo con «fines concurrenciales» (es decir, que el acto tenga por finalidad «promover o asegurar la difusión en el mercado de las prestaciones propias o de un tercero»). No se requiere ninguna condición ulterior; y, concretamente -según se encarga de precisar el artículo 3- no es necesario que los sujetos -agente y paciente- del acto sean empresarios (la Ley también resulta aplicable a otros sectores del mercado: artesanía, agricultura, profesiones liberales, etc.), ni se exige tampoco que entre ellos medie una relación de competencia.  

    Por su parte, el Capítulo II de la ley tipifica las conductas que se reputan desleales, comenzando con una cláusula general que considera desleal «todo comportamiento que resulte objetivamente contrario a las exigencias de la buena fe». Asíen las relaciones con consumidores y usuarios se entiende contrario a las exigencias de la buena fe el comportamiento de un empresario o profesional que no cumpla la diligencia profesional, entendida ésta como el nivel de competencia y cuidados especiales que cabe esperar de un empresario según las prácticas honestas del mercado, que distorsione o pueda distorsionar de manera significativa el comportamiento económico del consumidor medio o del miembro medio del grupo destinatario de la práctica, si se trata de una práctica comercial dirigida a un grupo concreto de consumidores.  

    Más allá de la cláusula general, la norma establece una generosa tipificación de los actos concretos de competencia desleal. En concreto, el artículo 8 regula las prácticas engañosas y considera las mismas aquellos comportamientos susceptibles de mermar de manera significativa, mediante acoso, coacción, incluido el uso de la fuerza, o influencia indebida (entendida como la utilización de una posición de poder en relación con el destinatario de la práctica para ejercer presión, incluso sin usar fuerza física ni amenazar con su uso), la libertad de elección o conducta del destinatario en relación al bien o servicio que afecte o pueda afectar a su comportamiento económico. 

    En lo que en materia de protección de datos interesa, debemos hacer referencia a la Disposición adicional decimosexta de la LOPDGDD, que regula lo que considera, a los efectos previstos en el mencionado artículo 8, las prácticas agresivas en materia de protección de datos y enumera las mismas.  

    Dos de las prácticas desleales están relacionadas directamente con las autoridades de control en materia de protección de datos en nuestro país, tanto de la autoridad nacional -la Agencia Española de Protección de Datos-, como de las autonómicas -el Consejo de Transparencia y Protección de Datos, la Autoridad Catalana de Protección de Datos y la Agencia Vasca de Protección de Datos-. Estas conductas son las siguientes: 

    • Actuar con intención de suplantar la identidad de la Agencia Española de Protección de Datos o de una autoridad autonómica de protección de datos en la realización de cualquier comunicación a los responsables y encargados de los tratamientos o a los interesados. 
    • Generar la apariencia de que se está actuando en nombre, por cuenta o en colaboración con la Agencia Española de Protección de Datos o una autoridad autonómica de protección de datos en la realización de cualquier comunicación a los responsables y encargados de los tratamientos en que la remitente ofrezca sus productos o servicios. 

    Respecto de estas prácticas, la AEPD en su campaña ‘LOPD a coste cero’1 aclaró que el empleo por los ofertantes de servicios relacionados con la protección de datos de signos institucionales (por ejemplo, el logotipo de la AEPD o de entidades de certificación acreditadas) para hacer creer que cuentan con el aval de organismos públicos supondría una práctica agresiva considerada como desleal. 

    Otras conductas estarían vinculadas más concretamente al tráfico mercantil, a saber: 

    • Realizar prácticas comerciales en las que se coarte el poder de decisión de los destinatarios mediante la referencia a la posible imposición de sanciones por incumplimiento de la normativa de protección de datos personales. 
    • Ofrecer cualquier tipo de documento por el que se pretenda crear una apariencia de cumplimiento de las disposiciones de protección de datos de forma complementaria a la realización de acciones formativas sin haber llevado a cabo las actuaciones necesarias para verificar que dicho cumplimiento se produce efectivamente. 
    • Asumir, sin designación expresa del responsable o el encargado del tratamiento, la función de delegado de protección de datos y comunicarse en tal condición con la Agencia Española de Protección de Datos o las autoridades autonómicas de protección de datos. 

    La AEPD en la arriba mencionada campaña ‘LOPD a coste cero’ indicó que en caso de que los ofertantes publiciten servicios a un coste notoriamente inferior a los precios de mercado, se podría estar cometiendo competencia desleal. 

    Por su parte, el artículo 12 de la Ley de Competencia Desleal define como conducta desleal la explotación de la reputación ajena, considerando como tal «el aprovechamiento indebido, en beneficio propio o ajeno, de las ventajas de la reputación industrial, comercial o profesional adquirida por otro en el mercado» 

    Vamos a encontrar conductas que pueden considerarse como explotación de la reputación ajena que también pueden infringir la normativa de protección de datos: este será el caso, por ejemplo, cuando nos encontremos ante la publicación de la imagen de una persona con fines publicitarios sin su consentimiento. Esta conducta podría encuadrarse en un acto desleal de explotación de la reputación ajena, pero también podría suponer una infracción de la normativa de protección de datos, al carecer este tratamiento de datos de una causa de licitud legítima; además en los tratamientos relativos a la imagen es de especial importancia tener en consideración lo que indica la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.  

    Estas situaciones podrán ser más relevantes cuando se trata de personajes públicos, pero podrán constituir una infracción en materia de protección de datos cuando se trate de una persona anónima. 

    Finalmente, el artículo 29.2 de la Ley 3/1991 regula una modalidad de prácticas agresivas por acoso, considerando desleal «realizar propuestas no deseadas y reiteradas por teléfono, fax, correo electrónico u otros medios de comunicación a distancia, salvo en las circunstancias y en la medida en que esté justificado legalmente para hacer cumplir una obligación contractual». 

    La propia norma indica que el empresario debe, en estas comunicaciones, permitir al consumidor dejar constancia de su oposición a seguir recibiendo propuestas comerciales de dicho empresario o profesional. Y añade que «Este supuesto se entenderá sin perjuicio de lo establecido en la normativa vigente sobre protección de datos personales, servicios de la sociedad de la información, telecomunicaciones y contratación a distancia con los consumidores o usuarios, incluida la contratación a distancia de servicios financieros». 

    Como sabemos, la normativa de protección de datos exige la existencia para este tratamiento de datos de los consumidores de una causa de licitud de las establecidas en el artículo 6 RGPD, debiendo tenerse en cuenta igualmente lo establecido en los artículos 21 y 22 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico. Un ejemplo típico que podemos encontrar al respecto es el de aquellas empresas que adquieren bases de datos de clientes, sin comprobar si los datos se recabaron de forma lícita y si existe una causa de licitud para la cesión de estos datos, además de la obligación que en este caso existiría de cumplir con el artículo 14 RGPD. 

    Verónica Gutiérrez  

    Equipo Govertis 

    KEEP READING

    Publicidad en el RGPD

    16 septiembre, 2020 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    COMUNICACIONES ELECTRÓNICAS 

    Nos referimos, fundamentalmente, a los correos electrónicos o emails, aunque también entran en esta categoría el fax, los whatsapp, los SMS y MMS y otros medios similares.

    Cuando las comunicaciones se llevan a cabo por medios electrónicos, hay que atenerse a lo establecido en el art. 21 de la Ley 34/2002, de 11 de julio, de Servicios de la sociedad de la información y de comercio electrónico  

    De dicho artículo se sacan dos conclusiones: 

    1. se prohíbe expresamente enviar correos electrónicos sin tener el consentimiento del destinatario (ya sea una persona física o una empresa).  
    2. Sólo existe una excepción al respecto, podremos enviar emails comerciales, aun no teniendo el consentimiento del destinatario, si ya hemos mantenido una relación contractual previa con el mismo y siempre que se trate de productos o servicios similares a los que inicialmente fueron objeto de contratación. No existen más excepciones. Podríamos considerar entonces, que la base legal en este supuesto sería la contenida en el art. 6.1.b del RGPD: el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales 


    En cualquier caso, tendremos que facilitar al destinatario la posibilidad de oponerse al envío de publicidad incluyendo una dirección de correo electrónico en cada una de las comunicaciones comerciales que realizamos. 

    COMUNICACIONES NO ELECTRÓNICAS 

    En otro caso, es decir, cuando las comunicaciones se realicen por medios no electrónicos será preciso que el tratamiento se ampare en las dos siguientes bases legales: 

    1. bien en la prestación de un consentimiento 
    2. bien que sea de aplicación el artículo 6.1 f) del Reglamento, según el cual podrá tener lugar el tratamiento, en el ámbito del sector privado, si el mismo “es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño  
    • Consentimiento
      • El consentimiento debe ser expreso. No puede ser tácito y debe ser diferenciado del resto de finalidades para las que el Responsable va a utilizar los datos de carácter personal
    • Intereses legítimos perseguidos por el responsable del tratamiento o por un tercero  

    Así, el considerando 47 recuerda que el interés legítimo de un responsable, de un cesionario o de un tercero, “puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable”, añadiendo posteriormente que “en cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior”.  

    Dicha ponderación debe tener en cuenta: 

    • que se trate de un producto o servicio similar al previamente contratado por el cliente, no extendiéndose a otros.  

    Habrá que determinar exhaustivamente el concepto de “similitud entre servicios o productos”, ya que hay situaciones en las que no queda claro y tendremos que esperar más aclaraciones de la AEPD. 

    • que debe realizarse siempre que el interesado mantuviera una relación con la entidad, sin afectar a aquéllos en que el cliente hubiese cesado en esa relación.  

    Cuando se trata de una prestación de servicios de tracto sucesivo, con plazo de tiempo determinado, está claro que existe un plazo determinado en el cual podemos considerar cuando una persona es cliente o no de la entidad 

    En los casos donde no es un servicio lo que se presta, sino que se trata de la compra de un producto; podríamos considerar que sigue existiendo relación comercial mientras dure la garantía del producto. 

    Sin embargo, existen otros casos, como la prestación de servicios instantáneos o la compra de un producto perecedero, que no disponga de garantías legales suficientemente amplias, donde determinar si se trata de un cliente activo o de un excliente no es tan sencillo. En estos supuestos, recomendamos obtener el consentimiento del interesado para poder utilizar sus datos con fines publicitarios 

    • que la mercadotecnia o el envío de comunicaciones no puede partir de la elaboración de perfiles exhaustivos del interesado mediante la combinación de diferentes fuentes de información para las que no ha dado su consentimiento.  

    En estos casos, al combinar la finalidad publicitaria con la del perfilado del interesado, requiere del estudio de varias connotaciones y posibilidades que se verán más adelante en este informe. 

    Por otro lado, se deduce que la elaboración de perfiles exhaustivos sólo es posible mediante tratamientos tecnológicos avanzados, por lo que no debería ser posible, en tratamientos manuales 

    Además, el Reglamento General De Protección de Datos enumera algunos supuestos que pueden ser tomados en consideración para determinar la aplicabilidad de dicha regla.  

    Así, se señala que “El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo”. 

    Por otro lado, si las normas reguladoras de la privacidad en las comunicaciones electrónicas, que establecen un régimen especialmente estricto a la hora de obtener el consentimiento del interesado exceptúan de dicho consentimiento el supuesto referido a comunicaciones relativas a “productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”, cabe deducir que esta regla sería aplicable por analogía a los supuestos en que dichos requisitos son menos exigibles; es decir, a las acciones realizadas a través de otros canales de comunicación. 

    Para la licitud del tratamiento basado en el interés legítimo, también es necesario que se cumpla con el resto de los requisitos establecidos en la normativa de protección de datos, entre los que interesa destacar los siguientes:  

    1. Cumplimiento del deber de información previsto en los artículos 13 y 14 del RGPD. En cada comunicación comercial se informará de dichos extremos.
    2. Asimismo, deberá tenerse en cuenta la regulación de los sistemas de exclusión publicitaria contenida en el artículo 23 de la citada Ley Orgánica 3/2018; es decir, deben consultarse los sistemas de exclusión publicitaria a menos que el afectado hubiera prestado, conforme a lo dispuesto en esta ley orgánica, su consentimiento para recibir la comunicación a quien pretenda realizarla.  
    3. Debe garantizarse el ejercicio del derecho de oposición conforme a lo previsto en los apartados 2 y 3 del artículo 21 del RGPD; es decir, el interesado puede oponerse al tratamiento de sus datos personales que tenga por objeto la mercadotecnia directa (incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia). Se debe facilitar un medio sencillo y gratuito para el ejercicio del derecho de oposición al tratamiento de datos con fines de mercadotecnia sin que afecte a otros tratamientos. En estos casos, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa. 

    Elías Vallejo

    Equipo Govertis

    KEEP READING