La AEPD impuso una multa de 10.000 euros a los Hipermercados E. Leclerc por instalar cámaras de videovigilancia en una zona “reservada” en la que se cambiaban de ropa algunos trabajadores y donde almorzaban, sin haber sido consultados sobre el motivo de la presencia de las mismas.

La reclamada niega los hechos objeto de imputación, pero reconoce la presencia de cámaras con una doble finalidad: seguridad y control laboral, asumiendo ésta las funciones de responsable del tratamiento según pretende acreditar mediante contrato con el reclamante (sin aportar firmar por parte de este último).

Qué dice la ley sobre instalar cámaras de seguridad

La instalación de tales medios de videovigilancia en áreas de mayor expectativa de privacidad, como lugares de descanso o esparcimiento, vestuarios, aseos, comedores y análogos resulta lesiva en todo caso del derecho a la intimidad de los trabajadores (art. 89.2 LOPDGDD – LO 3/2018, 5 diciembre). “Artículo 89. Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo” , el cuál transcribirmos aquí:

1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida.

En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica.

2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos.

3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley.

Puedes ver aquí la resolución sobre la instalación de las cámaras de video vigilancia

La AEPD resuelve que concurre una vulneración del art. 5.1 c) del RGPD, que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (minimización de datos)”, no siendo proporcionada, por tanto, la instalación de cámaras en los indicados espacios.

Puedes encontrar la sanción y descargarla en el siguiente enlace:

https://www.aepd.es/es/documento/ps-00337-2021.pdf

Puedes asesorarte con nosotros sobre la correcta instalación de cámaras de seguridad

Contacta con Data Protect Plus, para toda información sobre protección de datos, en el teléfono 965 038 463 o en nuestra web 

La AEPD ha multado con 30.000 euros a un hotel por utilizar la foto del pasaporte de un cliente para elaborar una ficha digital con sus datos personales sin su permiso. Según la resolución, el objetivo de este documento era verificar la identidad del huésped si perdía la tarjeta de acceso a la habitación o si quería utilizar algún servicio del hotel.

La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de más de 2 millones de euros a CaixaBank, como sucesora de Bankia, por una actuación llevada a cabo por la entidad ahora absorbida que vinculó la exención del cobro de comisiones de determinados productos a que los clientes diesen su consentimiento para recibir publicidad por cualquier canal habilitado y que sus datos personales pudiesen ser cedidos a otras empresas del grupo.

Según recoge la AEPD en su resolución de expediente sancionador esto supone una vulneración de la normativa de protección de datos respecto de la recopilación del consentimiento de los clientes de Bankia. La investigación se inició a raíz de una primera reclamación que tuvo entrada en la Agencia en febrero de 2019. Un cliente de la cuenta ‘ON’ de Bankia comunicó a la AEPD que la entidad le exigía que aceptase todos los consentimientos de tratamientos de datos personales que aparecían ya premarcados o aceptados y que, si elegía que no se cediesen sus datos a terceras empresas, el banco le cobraba una tasa de 5 euros al mes para mantener su cuenta.

La Subdirección General de Inspección de Datos reclamó información a Bankia sobre la política de privacidad y publicidad de las cuentas y tarjetas ‘ON’, ‘ON Nómina’ y ‘Un & Dos’, de la que se desprendía que Bankia eximía del pago de comisiones de administración y mantenimiento de la cuenta y tarjetas asociadas si los clientes mantenían un “perfil digital”.

Para ostentar este “perfil digital”, los clientes debían, entre otras condiciones, haber facilitado a Bankia su número de teléfono móvil y correo electrónico y haber autorizado al banco al tratamiento de sus datos personales para el envío de comunicaciones comerciales por cualquier canal habilitado y a la cesión de sus datos personales a empresas de su grupo para el análisis de su perfil a efectos comerciales.

Esto motivó que los clientes de Bankia que no habían aceptado el envío de comunicaciones comerciales por cualquier canal o hubiesen rechazado ceder sus datos personales a empresas del grupo tuviesen que pagar comisiones por ello, al considerar la entidad que no cumplían con el “perfil digital” precisamente por esta negativa. Además del primer reclamante, hasta seis usuarios más se dirigieron a la Agencia Española de Protección de Datos para denunciar este cobro de comisiones.

Bankia argumentó ante la AEPD que los clientes no estaban obligados a aceptar ningún consentimiento sobre el tratamiento de datos personales en el proceso de contratación de la cuenta ‘ON’, pero en el caso de que lo hicieran y cumpliesen con el resto de condiciones del “perfil digital” se les podía eximir del pago de comisiones de ciertos productos. “El proceso de gestión de consentimientos por parte de los clientes, que permite no solo prestarlos libremente y a través de cualquiera de los canales de la entidad, sino también modificarlos en cualquier momento y tantas veces como el cliente quiera de manera ágil y sencilla, garantiza que dicho consentimiento se preste libremente”, defendió Bankia.

El banco eliminó las condiciones de aceptar la recepción de publicidad y la cesión de sus datos a terceros el 15 de diciembre de 2019 y añadió una relativa a tener aceptado y activado el servicio de mensajería ‘push’ a través de la app Bankia. Las nuevas condiciones se empezaron a aplicar a los clientes preexistentes dos meses después.

No puede considerarse que el consentimiento se otorga libremente

La Agencia de Protección de datos recuerda que el artículo 4.11 del Reglamento General de Protección de Datos (RGPD) define el consentimiento del interesado para el tratamiento de sus datos personales como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen“.

A su juicio, al vincular la exención de comisiones bancarias a la prestación del consentimiento para el envío de comunicaciones comerciales y la cesión de datos personales a las entidades del grupo Bankia, “no puede considerarse que el consentimiento se otorga libremente, en tanto que, si no se aceptan tales tratamientos o se revoca posteriormente el consentimiento así obtenido, se producen consecuencias negativas para el interesado que está sujeto, en tal caso, al abono de las comisiones fijadas por la entidad bancaria“.

CaixaBank, sucesora de Bankia, alegó que las comisiones no constituyen un gravamen, sino la contraprestación de los servicios prestados por el banco, configurándose como un elemento que debe incorporarse al contrato de cuenta corriente cuya finalidad es la remuneración de los servicios prestados, un razonamiento que la AEPD no comparte.

“Esta Agencia considera que, efectivamente, las comisiones pueden formar parte del contrato de cuenta corriente remunerando los servicios que se presten por la entidad bancaria, pero entiende que la vinculación de la exención de su cobro a la prestación del consentimiento para otros tratamientos de datos personales diferentes a los propios del contrato determina que el consentimiento no se preste en condiciones de libertad“, ha dictaminado.

Por todo ello, la directora de la Agencia Española de Protección de Datos, Mar España Martí, ha resuelto imponer a CaixaBank una multa de 2 millones de euros por una infracción del RGPD, en relación con la obtención del consentimiento para fines distintos a los propios del contrato condicionando su obtención a la exención de comisiones bancarias y una sanción de 100.000 euros en relación con la obtención del consentimiento a través de casillas premarcadas.

Contra la resolución, CaixaBank puede interponer recurso de reposición ante la directora de la Agencia Española de Protección de Datos en el plazo de un mes o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional.

Fuente: ElDiario.es

La Agencia Española de Protección de Datos (AEPD) ha advertido a las Comunidades Autónomas de que exigir el certificado COVID para entrar en establecimientos puede vulnerar derechos. El organismo ha enviado un requerimiento de información a Galicia y Canarias -las dos comunidades que por ahora han implantado la medida- para estudiar si se ajusta al ordenamiento jurídico nacional.

Según ha comunicado la Agencia, tras tener conocimiento de varias iniciativas públicas que generalizan “la utilización del certificado de vacunación“, ha decidido analizar si esta medida respeta el derecho fundamental de la ciudadanía a la protección de sus datos personales. La normativa europea recoge que la información relativa a la salud de los ciudadanos son datos especialmente sensibles, por lo que su tratamiento requiere mayores exigencias.

“Las autoridades europeas de protección de datos hemos expresado nuestra preocupación por la utilización de certificados dentro de los Estados para finalidades tales como el acceso a tiendas, restaurantes o gimnasios, así como su uso en otros contextos como el laboral”, ha indicado la AEPD en la nota de prensa.

También ha afirmado que se debe contar con una base legal apropiada y ajustada a los principios de “eficacia, necesidad y proporcionalidad” y teniendo en cuenta la existencia de otras medidas de protección menos invasivas.

Protección de Datos, además, ha incidido en que exigir este documento puede resultar “discriminatorio“, ya que la vacunación no es obligatoria en España y existen colectivos que, debido a razones médicas, no pueden recibir la vacuna. Además, el hecho de que el proceso de vacunación se rija por criterio es de priorización implica que parte de la población aún no haya podido recibir alguna o todas las dosis necesarias.

Ante la “indefinición y dudas legales” sobre el sistema de detección anticipada que la firma implantó a modo de prueba piloto en 48 tiendas

Mercadona ha decidido dar por finalizado el procedimiento abierto por la Agencia Española de Protección de Datos (AEPD) procediendo al pago de los 2,5 millones de euros de sanción propuesta por este organismo en relación con el proyecto piloto que fue testado durante varios meses en 48 de las 1.640 tiendas de las que dispone la compañía, según han informado fuentes de la firma de supermercados.

El sistema, con la correspondiente autorización judicial y tras contrastar científicamente, aplicaba un primer filtro tecnológico y una segunda verificación visual y establecía que la persona identificada tenía una orden de alejamiento vigente del establecimiento. Después procedía a notificarlo a las Fuerzas y Cuerpos de Seguridad, responsables de hacer cumplir la medida en vigor.

Según explican desde la compañía, no se guardaba ningún tipo de información del resto de personas, pues se eliminaba en su totalidad en 0,3 segundos, que es la duración de todo ese proceso (tiempo similar a un parpadeo), lo que imposibilitaba totalmente la posibilidad de identificar a las personas sobre las que no existía una prohibición judicial de acceso al establecimiento.

Para la implantación y puesta en marcha de esta medida, que perseguía reforzar la seguridad tanto del personal de la tienda como de los clientes, la compañía, desde el primer momento, mantuvo un contacto estrecho con las autoridades correspondientes. Asimismo, compartió con la AEPD todos los procedimientos de su Sistema de Detección Anticipada antes de iniciar la prueba.

Paralelamente, la compañía afirma que se aplicaron “los más estrictos estándares de transparencia”, con campañas de información tanto a través de los medios de comunicación como por medio de cartelería en estos 48 supermercados.

Además de ello, en todos y cada uno de los casos dispuso siempre de autorización judicial previa, sustentadas en más de treinta y siete sentencias firmes con orden de alejamiento del establecimiento en vigor que autorizaban el uso de dicha tecnología.

Mercadona, a pesar de todo ello y ante la indefinición y dudas legales puestas de manifiesto en lo actuado hasta el momento en el procedimiento sobre esta tecnología, considera que “ahora lo más responsable y riguroso es dar por finalizada esta prueba piloto”.

Analistas de malware descubrieron nueve apps maliciosas en Google Play que roban los datos de inicio de sesión y las contraseñas de los usuarios de Facebook.

Expertos de Doctor Web, una suite de antivirus ruso, encontraron 10 aplicaciones troyanas, de las cuales nueve estaban disponibles en Google Play y se han difundido como software inofensivo.

Las aplicaciones maliciosas son:

1. Processing Photo
2. App Lock Keep
3. Rubbish Cleaner
4. Horoscope Daily
5. Horoscope Pi
6. App Lock Manager
7. Lockit Master
8. Inwell Fitness
9. PIP Photo

Según el informe de los especialistas, estas aplicaciones maliciosas ya habían sido eliminadas de Google Play, pero fueron instaladas en 5 millones 856 mil 10 ocasiones.

¿Cómo funcionan?

De acuerdo con los expertos, las apps engañan a sus víctimas con la promesa de deshabilitar los anuncios en la aplicación, para lo cual, piden a los usuarios que inicien sesión en sus cuentas de Facebook.

“Los anuncios dentro de algunas de las aplicaciones estaban presentes, y esta maniobra tenía la intención de alentar aún más a los propietarios de dispositivos Android a realizar las acciones requeridas”.

Cuando los usuarios acceden, la app pide dar clic para iniciar sesión de Facebook e introducir sus credenciales, las cuales serán robadas por los troyanos.

Además, una vez que la víctima inició sesión en su cuenta, los troyanos también robaron las cookies de la sesión de autorización actual. 

Una de las trampas usadas por las aplicaciones maliciosas es que éstas eran completamente funcionales, por lo que se disminuía la posibilidad de vigilancia de las víctimas potenciales, y se permitía al malware acceder a todas las funciones de las app.

Según los expertos, el análisis de los programas maliciosos mostró que todos recibieron configuraciones para robar inicios de sesión y contraseñas de cuentas de Facebook. Sin embargo, los atacantes podrían haber cambiado fácilmente la configuración de los troyanos y ordenarles que cargaran la página web de otro servicio legítimo.

Incluso podrían haber utilizado un formulario de inicio de sesión completamente falso ubicado en un sitio de phishing. Por lo tanto, los troyanos podrían haberse utilizado para robar inicios de sesión y contraseñas de cualquier servicio.

¿Cómo evitar ser víctima de apps maliciosas?

Los expertos recomiendan a los propietarios de dispositivos Android instalar aplicaciones sólo de desarrolladores conocidos y de confianza, así como prestar atención a las opiniones de otros usuarios.

Aunque las revisiones no pueden proporcionar una garantía absoluta de que las aplicaciones sean inofensivas, sí pueden indicar sobre posibles amenazas.

Por ello, se debe estar atento cuando las aplicaciones piden que inicies sesión en su cuenta.

“Si no está seguro de que lo que está haciendo sea seguro, será mejor que no continúe y desinstale el programa sospechoso”.

Fuente: www.unotv.com

El “perfil de cliente” de la víctima fue seleccionado “sin su consentimiento” para “realizar pruebas en los call centers y tiendas”. Protección de Datos reprocha que ha habido otros casos y desconfía de las medidas tomadas por el operador.

El sonido del teléfono nos pone siempre alerta; todos hemos crecido en una época en el que el cacharro —fijo o móvil— demanda nuestra atención cuando suena. Pero ¿se imaginan recibir 247 llamadas de su operador en apenas 48 horas? Esa pesadilla ha terminado con una sanción de 45.000 euros a Telefónica por parte de la Agencia Española de Protección de Datos (AEPD).

En una reciente resolución de la AEPD, se describe el calvario que ha pasado este reclamante: su “perfil de cliente” (su numero de teléfono con él) fue seleccionado “sin su consentimiento” para “realizar pruebas en los Call Centers y tiendas” del operador.

A partir de ese momento, se desató la locura: la víctima recibió hasta 247 llamadas del teléfono de atención al cliente de Telefónica 1004, “a pesar de que en las reclamaciones anteriores la compañía alegaba haber implantado nuevas medidas de seguridad para que no volviese a ocurrir”, algo que fue comunicado a la agencia en marzo, según consta en la resolución.

El pasado 10 de abril, la persona afectada amplió su reclamación porque, alegaba, seguía recibiendo llamadas, aunque éstas provenían del servicio de Movistar (Telefónica) correspondiente al número 1002.

Telefónica se defendió diciendo que seleccionaron el perfil y el número del reclamante “por error” dentro de una “campaña organizada por nuestra compañía al objeto de comprobar la existencia de averías técnicas que pudieran sufrir los clientes”.

Así, la compañía afirma ahora que ha tomado medidas técnicas para eso no vuelva a suceder, de forma que se inhiba su número en próximas campañas, así como otras medidas como el incremento de la revisión del trabajo de sus agentes del call center. No obstante, niega que el número del afectado apareciese en la lista negra ante spam telefónico, a pesar de que la víctima asegura que sí lo había solicitado en su momento.

La AEPD recuerda que Telefónica ya ha comunicado a la Agencia en reclamaciones anteriores que había implantado medidas de seguridad técnicas para que esto no volviese a ocurrir, pero “está claro que las llamadas del 1002 y del 1004 siguen produciéndose”. En este caso, concluye, “se está produciendo el tratamiento de los datos personales del reclamante sin base legitimadora”.

La multa total fue de 75.000 euros, pero como la compañía pagó voluntariamente (un ahorro del 20%) y reconoció su responsabilidad, la sanción quedó liquidada con el pago de 45.000 euros por parte de Telefónica. Y un claro aviso para el operador: ya ha pasado anteriormente, que no se vuelva a repetir.

Fuente: Diario Público

• El documento incorpora criterios e interpretaciones de la AEPD, el Comité Europeo de Protección de Datos y el Supervisor Europeo
• La Guía está dirigida a responsables, encargados de tratamientos y delegados de protección de datos, ayudando al cumplimiento de la normativa
• Es aplicable a cualquier tratamiento de datos personales y para los tratamientos de alto riesgo ofrece orientaciones para realizar una evaluación de impacto y, en su caso, la consulta previa a la autoridad de control
• La Agencia también ha presentado EVALÚA_RIESGO RGPD, un prototipo de herramienta que facilita la evaluación del nivel de riesgo de los tratamientos
• Guía de Gestión de riesgo y evaluación de impacto en tratamientos de datos personales

La Agencia Española de Protección de Datos (AEPD) ha presentado hoy la guía ‘Gestión del riesgo y evaluación de impacto en tratamientos de datos personales’, un documento que incorpora la experiencia acumulada en la aplicación de la gestión del riesgo en el ámbito de la protección de datos desde la aplicación del Reglamento General de Protección de Datos (RGPD) y añade las interpretaciones de la AEPD, el Comité Europeo de Protección de Datos y el Supervisor Europeo de Protección de Datos.

El documento, dirigido a responsables, encargados de tratamientos y delegados de protección de datos (DPD), ofrece una visión unificada de la gestión de riesgos y de las evaluaciones de impacto en protección de datos, y facilita la integración de la gestión de riesgos en los procesos de gestión y gobernanza de las entidades.

El RGPD establece que las organizaciones que tratan datos personales deben realizar una gestión del riesgo con el fin de establecer las medidas que sean necesarias para garantizar los derechos y libertades de las personas. Además, en aquellos casos en los que los tratamientos impliquen un riesgo alto para la protección de datos, el Reglamento dispone que esas organizaciones están obligadas a realizar una Evaluación de Impacto en Protección de Datos (EIPD) para mitigar esos riesgos.

La guía presentada hoy es aplicable a cualquier tratamiento, con independencia de su nivel de riesgo. Además, y para los casos de tratamientos de alto riesgo, incorpora las orientaciones necesarias para realizar la EIPD y, en su caso, la consulta previa a la que se refiere el artículo 36 del RGPD, que establece que el responsable debe consultar a la autoridad de control antes de proceder al tratamiento cuando una evaluación de impacto sigue ofreciendo un riesgo residual alto o muy alto tras haber tomado medidas.

La Guía consta de tres apartados: el primero contiene una descripción de los fundamentos de la gestión de riesgos para los derechos y libertades; el segundo incluye un desarrollo metodológico básico para la aplicación de la gestión del riesgo, y el último está enfocado en los casos en los sea preciso realizar una EIPD, con las orientaciones necesarias para llevarla a cabo.

EVALÚA_RIESGO RGPD

Además, la Agencia ha presentado EVALÚA_RIESGO RGPD, el prototipo de una nueva herramienta que ayuda a responsables y encargados a identificar los factores de riesgo para los derechos y libertades de los interesados presentes en el tratamiento; hacer una primera evaluación del riesgo intrínseco, incluyendo necesidad de realizar una EIPD, y estimar el riesgo residual si se utilizan medidas y garantías para mitigar los riesgos.

Los factores de riesgo desplegados en esta herramienta no tienen carácter exhaustivo, por lo que el responsable deberá identificar aquellos que sean específicos para el tratamiento e incluirlo en su evaluación. La valoración del nivel de riesgo para cada factor que efectúa la herramienta, así como el cálculo final de nivel de riesgo, tiene carácter general y supone una evaluación mínima que, en su caso, tendrá que ser ajustada por dicho responsable para determinar con precisión el nivel de riesgo del tratamiento.

Análisis, gestión de riesgos y EIPD

El análisis y la gestión de riesgos son procedimientos que permiten a las organizaciones identificar y poder anticiparse a los posibles efectos adversos o no previstos que el tratamiento pueda tener para los derechos y libertades de los interesados. Esta gestión debe permitir que el responsable tome las decisiones y acciones necesarias para conseguir que el tratamiento cumpla los requisitos del RGPD y la LOPDGDD, garantizando y pudiendo demostrar la protección de los derechos de los interesados.

Por su parte, el RGPD establece que cuando sea probable que un tipo de tratamiento entrañe un alto riesgo, el responsable debe realizar una evaluación del impacto, proceso que permite a las organizaciones identificar los riesgos que un sistema, producto o servicio puede implicar para los derechos y libertades de las personas y, tras haber realizado ese análisis, afrontar y gestionar esos peligros antes de que se materialicen.

La gestión del riesgo y la EIPD son procesos que se encuentran estrechamente vinculados, ya que la segunda es una especificidad dentro de la primera. Así, la EIPD no puede existir sin formar parte de la gestión de riesgos, por lo que mientras que la gestión del riesgo es obligatoria para todo tratamiento, las obligaciones concretas que se establecen para la EIPD lo son exclusivamente para tratamientos de alto riesgo.

Los ciberdelicuentes están haciendo llamadas o enviando mensajes o correos suplantando la identidad del banco

CaixaBank ha alertado a sus clientes de que desde el anuncio de la fusión con Bankia “los criminales han empezado a utilizar este argumento para tratar de engañar a sus clientes” y ha recomendado “actuar con la máxima cautela”.

En una comunicación remitida a sus clientes, la entidad también ha señalado que desde el inicio de la pandemia de la Covid-19 “se han intensificado los ataques con temáticas relacionadas con el coronavirus”, mientras que los periodos anuales de declaración de la renta suelen suponer otra “excusa perfecta” para el engaño.

CaixaBank ha alertado de algunos de los métodos utilizados por estos ciberdelincuentes, como son los correos de phising, los mensajes de smishing y las llamadas de vishing.

Sobre el primero de estos métodos, los correos de phising, el banco explica que se trata de una forma en la que los ciberdelicuentes suelen suplantar la identidad de su entidad financiera con el objetivo de que los clientes confíen en los correos electrónicos fraudulentos.

“Pueden persuadir a la víctima para que clique en un enlace malicioso que infecte su equipo, generalmente abriendo una página falsa que imita a la de su banco, interceptando posteriormente su usuario y contraseña de acceso a la banca digital”, señala CaixaBank.

Con respecto a los mensajes de smishing se trata de un tipo de estafa que utiliza los mensajes de SMS o de mensajería instantánea tipo WhatsApp para engañar a los clientes y conseguir sus claves de acceso a la banca digital, la infección de sus dispositivos, o para animarlos a que llamen a algún número de teléfono de tarificación adicional, entre otros.

Para conseguirlo, al igual que con los ataques de phishing, los estafadores pueden suplantar la identidad del banco para hacer creer a los clientes que, por ejemplo, han recibido una reclamación urgente de pago, alerta CaixaBank.

Por último, en las llamadas de vishing, los ciberdelicuentes pueden llamar por teléfono a los clientes haciéndose pasar por gestores de la entidad para hablar, entre otros temas, de un producto o de un problema con su cuenta.

“Siempre tratando de generar un clima de confianza, urgen a la víctima para que les facilite información confidencial para poder realizar operaciones fraudulentas en su nombre”, alerta el banco.

¿Qué hacer para protegerse?

Para protegerse contra estos ataques, la entidad da varios consejos, como buscar la coherencia en el mensaje, preguntándose si tiene sentido que el banco, una persona o una empresa mande ese mensaje. También señala que se desconfíe de regalos inesperados o peticiones urgentes,  “especialmente cuando el argumento es de rigurosa actualidad”.

Otras recomendaciones son analizar la dirección del remitente en el caso de un correo electrónico, no fiarse del nombre que aparece en el mensaje y evitar clicar en enlaces siempre que sea posible. Para comprobar de qué se tratan estos links, el banco recomienda previsualizar la dirección web pasando el cursor por encima o tecleando la dirección web en el navegador.

Recuerda, asimismo, que ni Caixabank ni ninguna otra empresa o institución legítima va a pedir a sus clientes que revelen las claves de acceso a su banca digital o servicio online. “Nunca se deben compartir las contraseñas con nadie”, señala.

Por último, si se tienen sospechas, aconseja contactar con el remitente por otro canal, por ejemplo por teléfono, para confirmarla.

La Agencia Española de Protección de Datos continúa investigando la aplicación lanzada por Sanidad para combatir el coronavirus

La Agencia Española de Protección de Datos (AEPD) ha abierto un procedimiento sancionador contra la Dirección General de Salud Pública, dependiente del Ministerio de Sanidad, y otro al Ministerio de Asuntos Económicos y Transformación Digital, dependiente del Ministerio de Economía, por presunta vulneración del Reglamento General de Protección de Datos (RGPD) en la aplicación Radar COVID, lanzada en septiembre del año pasado para combatir el coronavirus. Lo hace tras analizar dos reclamaciones interpuestas por Reclamadatos y Rights International.

Estas reclamaciones denunciaban que Radar Covid no cumplía con las directrices marcadas por el RGPD. La primera de ellas fue presentada en septiembre de 2020 por Pau Enseñat, CEO y fundador de la plataforma Reclamadatos, organización dedicada a descubrir y reclamar los datos de personas.

Enseñat pedía en su escrito que la AEPD analizase si Radar Covid “cumple con los principios de licitud, lealtad, transparencia y responsabilidad proactiva (Art.5 RGPD), ya que la SGAD (Secretaría General De Administración Digital) no ha publicado la Evaluación de Impacto sobre la Protección de Datos (EIPD), en contra de lo indicado expresamente por el Comité Europeo de Protección de Datos”.

La respuesta de la AEPD a las reclamaciones señala que “a tenor de la información preliminar de la que se dispone, se aprecian indicios racionales de una posible vulneración de la normativa en materia de protección de datos, sin perjuicio de lo que se determine en el curso de la tramitación. Por ello, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales”,

Protección de Datos y la reclamación de Rights International

La otra reclamación hecha pública, por la cual se ha iniciado el procedimiento sancionador contra Radar COVID, corrió a cargo de la asociación Rights International Spain, que estuvo meses solicitando la Evaluación de Impacto de la Protección de Datos de la aplicación al Gobierno. Se trata de un informe estándar que se hace antes del lanzamiento de una aplicación o servicio. En este análisis deben constar los riesgos en el ámbito de la seguridad y la privacidad que existen para los usuarios, poniendo el foco en la forma que se ha construido y desarrollado el servicio o aplicación.

La reclamación de Rights International Spain pedía, teniendo en cuenta que se había abierto una investigación a petición de Reclamadatos, que se incluyera en la misma “el uso de datos de localización y herramientas de rastreo de contactos en el contexto de la pandemia de covid-19 adoptadas el 21 de abril de 2020 y, en particular, los aspectos referentes a transparencia tanto del código como de las diferentes Evaluaciones de Impacto”.

El Ministerio de Economía acabó publicando finalmente en enero un documento con la información solicitada, pero desde Rights International alertaron de que la fecha del archivo no se correspondía con la prueba previa que, como decimos, ha de realizarse.

Por este motivo la asociación acudió al Consejo de Transparencia, donde puso una reclamación. Transparencia se pronunció poco después instando al Ministerio de Economía a que facilitase la primera prueba de impacto que debería haberse realizado y publicado antes del lanzamiento de Radar COVID, cosa que la cartera dirigida por Nadia Calviño finalmente realizó hace unos días.

Fuente: VOZPOPULI