Un estudio de Finbold revela que España está a la cabeza en número de sanciones por incumplimiento del RGPD en 2020.

GDPR son las siglas del General Data Protection Regulation, o en español, el Reglamento General de Protección de Datos que también verás escrito como RGPD. Se trata de la nueva normativa de la Unión Europea que desde el 25 de mayo de 2018 es de obligada aplicación en todos los estados miembros.

La nueva normativa afecta a todas las empresas e instituciones que manejen y utilicen datos de cualquier persona física de la Unión Europea. El reglamento de protección de datos amplía el ámbito de su aplicación a empresas no europeas que tengan su residencia en cualquier parte del mundo, siempre que procesen datos de residentes de la UE. Es decir, la norma afecta por igual a una pequeña empresa española que a un gigante como Facebook o Google en cuanto al tratamiento de datos de personas físicas de la UE.

De forma muy resumida, podríamos indicar que el RGPD clasifica las infracciones en dos categorías (art. 83): las menos graves, que se sancionan con hasta 10 millones de euros o el 2% del volumen de facturación anual de la empresa (la más alta de las dos); y las más graves, que se sancionan con multas que pueden alcanzar hasta 20 millones de euros o el 4% del volumen de facturación anual de la empresa (la más alta de las dos).

Con 76 multas y un importe total de 1.952.810 €, no hay otro Estado miembro que supere a España en el parámetro referente al número total de multas. Eso sí, también es cierto que, si atendemos a otras medidas, como por ejemplo el importe o valor total abonado por la suma de todas las multas asumidas por las personas físicas o jurídicas en un mismo país, España ocuparía la cuarta plaza. Países Bajos con 2.080.000 €, Suecia con 7.031.800 € e Italia con la singular cifra de 45.609.000 € en lo que llevamos de año, superan a España en cantidad.

Número de multas e importe por incumplir el RGPD en la UE

La cantidad a pagar por multas desde el 1 de enero hasta el 17 de agosto de 2020 en los países de la UE superó los 60 millones de dólares. El incumplimiento del RGPD más repetido fue la insuficiente base legal para procesar datos.

Para muchas empresas, pequeñas y autónomos, no es sencillo de cumplir este reglamento de protección de datos, pero es una normativa obligada para devolver el control de los datos a los usuarios. Por esta dificultad, desde Data Protect Plus, estamos preparados para resolver todas tus dudas y te ayudamos a implementar la protección de datos en tu empresa.

www.dataprotectplus.com

Según el Ministerio de Asuntos Económicos y Transformación Digital, la app Radar COVID ya está activa en fase de pruebas en Andalucía, Cantabria, Aragón, Canarias, Extremadura y Castilla y León

En la actualidad, la aplicación cuenta con unos dos millones de descargas en sus versiones para los sistemas operativos Android e iOS pero no es posible conocer esas descargas por territorios porque «se ha querido preservar la identidad de los usuarios que se descargan la aplicación y que sus datos sean anónimos. Por ello no existe geolocalización y la aplicación funciona por bluetooth».

Desde Data Protect Plus tenemos algunas dudas respecto a la privacidad con esta aplicación porque aunque no existe una localización GPS explícita, al ser por bluetooth, podemos entender que sí existe una geolocalización implícita. Además, los protocolos de criptografía son bastantes frágiles y es más fácil el hackeo.

Nos genera intranquilidad que la Agencia Española de Protección de Datos pidiera información al Gobierno sobre la seguridad de esta app y aún no ha recibido respuesta al respecto. Es importante haber realizado un estudio sobre los problemas o dificultades que pudiera presentar la aplicación.

El Comité Europeo de Protección de Datos exige una evaluación de impacto a quien desarrolla la app, en este caso al Gobierno de España, para evaluar los riesgos que supone implementar este tratamiento de datos, implementar la aplicación en el uso por parte de los ciudadanos, que tampoco se ha realizado

Una app de rastreo de contactos como ésta debería permitir rastrear usuarios e identificar sus contactos de forma anónima y segura para evitar falsos positivos. Debe gestionarlo de forma descentralizada, siguiendo las recomendaciones europeas, para evitar crear una base de datos que quede bajo el control de gobiernos o empresas.

El verdadero riesgo es que Radar COVID obliga a tener el Bluetooth conectado todo el tiempo. ¿A qué nos exponemos exactamente? Encabezando la lista nos encontramos con el bluesnarfing, es decir, la capacidad del criminal de conectarse a nuestro dispositivo sin que lo sepamos, robando o comprometiendo la información que tenemos en nuestro teléfono móvil. No es solo un problema en sí de la propia aplicación.

¿Compensa el riesgo y, sobre todo, compensa considerando que las Administraciones no están haciendo el esfuerzo de disponer de suficientes rastreadores que son mucho más efectivos e importantes que estas apps?

Veremos cómo se presenta esta app cuando todas las Comunidades Autónomas estén utilizándola y esté a pleno rendimiento.

Desde Data Protect Plus, estamos observando la proliferación de “profesionales” en la protección de datos que están iniciando reclamaciones a empresas con la finalidad de llegar a acuerdos extrajudiciales, para obtener un beneficio económico,bajo el supuesto de que sus datos han sido utilizados indebidamente o que han solicitado la supresión de los mismos y no han obtenido respuesta.

Sabíamos que esto podía ocurrir, desde la implantación de la nueva normativa, ante los instrumentos de protección con los que cuentan las personas físicas ante los abusos en materia de protección de datos.

Uno de nuestros clientes, ha sido objeto de una reclamación de este tipo.

Un individuo, acude a la Oficina de información al consumidor y presenta un escrito con una reclamación solicitando la mediación civil del organismo dependiente de un Ayuntamiento. Este señor, que no ha tenido ninguna relación comercial, ni aparecen sus datos personales en los archivos de la empresa, solicita la supresión de estos mediante el supuesto envío de un email para comunicarlo.

Como no ha recibido respuesta alguna, utiliza el artículo 82.1 del Reglamento General de Protección de Datos (UE 2016/679), “1.Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos.”

Con este artículo y con el argumento del colapso de los juzgados, emplaza a la empresa a llegar a un acuerdo “amistoso” que ponga fin al litigio. Además, recuerda que si la empresa no tiene un delegado de protección de datos, se enfrenta a una sanción de 10 millones de euros.

La reacción de cualquier profesional que tiene una empresa y realiza correctamente el tratamiento de sus datos es la de un temor manifiesto, pese a todo.

En estas situaciones, la empresa o el autónomo, deben saber que para reclamarles una indemnización, según la Comisión Europea, el denunciante debe haber sufrido daños materiales (como pérdidas económicas) o daños inmateriales (como ansiedad o pérdida de reputación).

Por ejemplo, una persona hace un pedido en un sitio web. El sitio sufre un ciberataque, porque no cuenta con la seguridad adecuada. La información sobre su tarjeta de crédito se ha transmitido a otro sitio web y se ha utilizado para comprar artículos que no pidió. Puede reclamar una indemnización al sitio web por los daños económicos, puesto que han violado el Reglamento de protección de datos por no haber proporcionado la seguridad adecuada al tratar los datos.

Por tanto, esta reclamación recibida debe acreditar fehacientemente el daño sufrido por el reclamante, algo que parece muy poco probable que pueda acreditarlo.

Es muy importante tener los datos bien tratados en tu empresa o negocio, para evitar sorpresas de aquellos que juegan con sus conocimientos para buscar un beneficio económico.

Desde Data Protect Plus, realizamos el servicio continuo y proactivo que requiere la normativa para asegurar que nuestros clientes cumplan en todo momento y no tengan ninguna sorpresa.

¿Qué se puede denunciar ante la AEPD?

Solo cuestiones relacionadas con nuestros datos personales, no con nuestro derecho al honor o a la intimidad, por ejemplo, ya que esos casos se tramitan directamente ante la Justicia.

Un ejemplo sería interponer una denuncia porque alguien ha colgado tus datos, como tu dirección o tu DNI, sin tu consentimiento en Internet. Otro sería que una empresa usase tus datos para algo que no estaba contemplado cuando los diste: por ejemplo, que des tus datos a una discoteca por la COVID-19 y luego te contacten para un concurso, sin relación con el virus.

¿Cuál es el procedimiento?

Para hacerlo a través de Internet, debes acceder al menú “Trámites” y una vez ahí seleccionar la opción que se ajuste al motivo de tu reclamación:  denunciar que estás recibiendo información comercial de una empresa cuando has pedido que no usen tus datos para ello o que te hayan grabado con una cámara de videovigilancia sin tú saber para qué, por ejemplo.

Recuerda que para hacer trámites de este tipo online, necesitarás contar con alguna forma de autenticación, como la Cl@ve Pin. Si prefieres presentarlo de forma física (con soporte en papel) deberás hacerlo en una oficina autorizada y junto a una serie de datos que puedes encontrar en este enlace. A través del menú “Trámites” obtendrás el justificante de tu reclamación, que deberás presentar junto al resto de información.

A la hora de hacer una denuncia ante la AEPD hay que tener en cuenta que se deben presentar bastantes documentos relacionados con ella, sobre todo relativos a la información que hayamos podido recopilar sobre la situación que queramos denunciar.

A medida que avancemos en el formulario electrónico (al veremos que no nos piden solo nuestros datos, sino información en detalle de lo ocurrido. Todas las pruebas que tengas disponibles sobre el caso deberán ser presentadas (documentación, imágenes, mensajes, etc.), especialmente si hemos tenido comunicaciones con la empresa o entidad con la que hemos tenido problemas por un uso indebido de nuestros datos.

Por eso, si por ejemplo acudes a la AEPD porque una compañía telefónica no para de llamarte cuando ya has pedido que no lo hagan, te pedirán que antes trates de ejercer tus derechos relacionados con los datos personales: de acceso, rectificación, oposición o cancelación. En este caso, especialmente el último tiene que ver, ya que puedes pedir a las empresas que borren y dejen de utilizar tus datos. En este enlace, la Agencia da más información sobre ellos y cómo ejercitarlos.

Con qué no puede ayudarte la AEPD

Por último pero no menos importante, te dejamos este enlace en el que puedes ver todo aquello con lo que la AEPD no puede ayudarte (por ejemplo, a pelearte con tu operadora porque no ha respetado el contrato que firmasteis).

Fuente: Maldita.es

• La nueva versión de la Guía adapta el contenido a las Directrices sobre consentimiento revisadas por el Comité Europeo de Protección de Datos en mayo de este año
• Al igual que en versiones anteriores, la Agencia ha contado con la participación de los sectores afectados
• Los nuevos criterios deberán implementarse, a más tardar, el 31 de octubre de este año, estableciéndose así un periodo transitorio de tres meses para la adaptación
• Guía sobre el uso de las cookies

La Agencia Española de Protección de Datos (AEPD) ha actualizado la Guía sobre el uso de las cookies para adaptarla a las Directrices sobre consentimiento modificadas en mayo de 2020 por el Comité Europeo de Protección de Datos (CEPD). La nueva versión de la Guía realizada por la Agencia ha contado, tal y como ocurrió con versiones anteriores, con la participación de los sectores afectados (las asociaciones ADIGITAL, Asociación Española de Anunciantes, AUTOCONTROL e IAB Spain).

El Comité Europeo de Protección de Datos ha revisado en mayo de 2020 las Directrices 05/2020 sobre consentimiento con el fin de aclarar su posición en relación con dos cuestiones: la validez de la opción “seguir navegando” como forma de prestar el consentimiento por parte de los usuarios y la posibilidad de utilizar los conocidos como “muros de cookies”, es decir, de limitar el acceso a determinados servicios o contenidos sólo a los usuarios que acepten el uso de cookies.

En relación con el primero de estos puntos, el Comité considera que la opción de “seguir navegando” no constituye en ninguna circunstancia una forma válida de prestar el consentimiento, en la medida en que tales acciones pueden ser difíciles de distinguir de otras actividades o interacciones del usuario, por lo que no sería posible entender que el consentimiento es inequívoco.

Respecto a los “muros de cookies”, el Comité ha precisado que, para que el consentimiento pueda considerarse otorgado libremente, el acceso al servicio y a sus funcionalidades no debe estar condicionado a que el usuario consienta el uso de cookies.

Por ello, la Guía explicita que no podrán utilizarse los denominados “muros de cookies” que no ofrezcan una alternativa al consentimiento. Este criterio resulta especialmente importante en aquellos supuestos en los que la denegación de acceso impediría el ejercicio de un derecho legalmente reconocido al usuario, por ser, por ejemplo, el acceso a un sitio web el único medio facilitado al usuario para ejercitar tal derecho.

Podrán existir determinados supuestos en los que la no aceptación de la utilización de cookies impida el acceso al sitio web o la utilización total o parcial del servicio, siempre que se informe adecuadamente al respecto al usuario y se ofrezca una alternativa de acceso al servicio sin necesidad de aceptar el uso de cookies. Conforme establecen las Directrices 05/2020 sobre el consentimiento del CEPD, los servicios de ambas alternativas deberán ser genuinamente equivalentes, y además no será válido que el servicio equivalente lo ofrezca una entidad ajena al editor.

Estos nuevos criterios deberán implementarse, a más tardar, el 31 de octubre de este año, estableciéndose así un periodo transitorio de tres meses para introducir los cambios necesarios en los mecanismos de obtención del consentimiento para el uso de cookies que se estén utilizando.

Los ataques a las empresas se han incrementado desde el crecimiento del comercio “online” y el desarrollo de las nuevas tecnologías y, frente a la creencia de que los ataques cibernéticos solo se centran en grandes empresas con grandes bases de datos, la realidad lo desmiente ya que los ciberdelincuentes se aprovechan de la vulnerabilidad de las pequeñas y medianas empresas que no disponen de las medidas de protección adecuadas.

Esta realidad hace que las empresas deban adaptarse a las nuevas circunstancias y protegerse de tales riesgos mediante la contratación de una póliza de ciberseguridad que te ayudará a guardar tus espaldas ante un posible ataque de los piratas informáticos. Una solución que te ahorrará más de un disgusto. En 2019, el 67% de las empresas había sufrido ciberataques, un dato importante que nos indica la importancia de la contratación de estas pólizas.

En Data Protect Plus ofrecemos este tipo de servicio para que nuestros clientes estén tranquilos con esta amenaza y eviten disgustos contratando una póliza de seguro que haga frente a los problemas ocasionados por los ataques.

Con este seguro

• Se protege y asiste a tu empresa frente a:

– Daños o pérdida de datos en los sistemas informáticos

– Robo de datos

– Denegación del servicio

• Sea cual sea la vía de entrada del ciberataque, como por ejemplo:

– Malware
– Actos de terceros
– Error humano
– Infidelidad de empleados

• Y si el ciber ataque, ocasiona daños a un tercero, se cubren las reclamaciones y sanciones que puedas sufrir.

• Para paliar los daños sufridos se cuenta con los siguientes servicios atendidos por especialistas en ataques ciber:

– Se cubren los gastos de notificación a los afectados y de recuperación de imagen.
– Ayudan a paliar el daño reputacional en redes sociales
– Protección de identidad en internet

Además, en todo momento, contarás con el soporte técnico informático para:

• Borrado de huella digital

Borrado de la información pública en Internet que afecte reputacionalmente a la marca/empresa, tanto de los buscadores como de las redes sociales y prensa escrita.

• Restauración de sistemas de acceso

Restablecimiento de los accesos digitales en caso de que robo de password, bloqueo de aplicaciones de empresa, cuentas en redes sociales, blogs…

• Reparación de equipos dañados

Se intentará dejar el equipo dañado, en el estado previo a dicho ataque, siempre que disponga de copias de seguridad.

• Recuperación de datos borrados

En el caso de que no disponga de copias de seguridad previas al ataque.

• Descontaminación de virus

En caso de recibir un ciberataque relacionado con virus o malware, se eliminará el software ajeno a los sistemas.

• Gestión de Crisis e Interrupción de negocio

Además, si el ataque paraliza tu negocio te ayudamos a restaurar la actividad con la garantía de Gestión de Crisis e Interrupción de negocio.

Si estás interesado en esta póliza, que te recomendamos, te pondremos en contacto con un profesional para que te informes y puedas contratar las opciones que más se adapten a tu negocio.

Data Protect Plus

El 95% de las empresas sufren interrupciones del servicio no programadas. La protección de datos debe avanzar más allá de las soluciones tradicionales y anticuadas y pasar a un nivel superior de inteligencia para poder anticipar las necesidades y hacer frente a las demandas cambiantes del cliente.

La Agencia Española de Protección de Datos (AEPD) ha publicado el ‘Plan de Inspección de oficio de la atención sociosanitaria’, que analiza por primera vez los tratamientos que se llevan a cabo en este ámbito e investiga su adecuación a la normativa de protección de datos.

Las inspecciones de oficio que realiza la Agencia en distintos sectores o áreas específicas no tienen carácter sancionador sino preventivo y se llevan a cabo para obtener una visión integral que permita detectar deficiencias y realizar las oportunas recomendaciones. La finalidad de estas inspecciones es elevar el nivel de protección de los ciudadanos a través del análisis de los datos que manejan las organizaciones.

El plan contiene conclusiones respecto del cumplimiento del Reglamento General de Protección de Datos (RGPD) y de la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD), así como recomendaciones dirigidas a organismos públicos, empresas e instituciones titulares de centros sociosanitarios, que inciden en actuaciones necesarias para una correcta aplicación de la normativa. También incluye un decálogo que resume las principales conclusiones y un grupo de preguntas y respuestas frecuentes con las dudas recogidas durante su ejecución.

Entre las conclusiones más relevantes se encuentran las referidas a la información que se debe ofrecer al usuario de estos servicios, que preferiblemente será por capas, concisa y con un lenguaje claro, de acuerdo con la capacidad de comprensión del destinatario de la información. Por ejemplo, la primera capa deberían ser carteles informativos sencillos ubicados en zonas de acceso a los centros, en los que se podrían incluir referencias a otras capas de información más detallada.

Durante las auditorías se detectaron problemas relacionados con la identificación por parte de los responsables de las bases jurídicas que amparan los tratamientos, por lo que la Agencia recuerda que para cada actividad de tratamiento realizada hay que identificar su base jurídica.

El apartado de preguntas frecuentes da respuesta a otras dudas surgidas en el contexto de la actividad de la atención sociosanitaria, por ejemplo, si es posible cancelar determinados datos de un usuario a petición suya, llevar a cabo tratamientos con fines de investigación médica en un centro, o si es obligatorio facilitar datos personales de los usuarios del centro si lo solicitan las fuerzas de seguridad.

Por otra parte, se ofrecen recomendaciones relativas a la seguridad de los datos debido a que se trata de categorías especiales, como minimizar la compartición de datos personales entre profesionales a lo estrictamente necesario; elaborar perfiles de acceso que consideren las necesidades de información de cada profesional; realizar auditorías de los accesos; que los empleados que traten datos personales de los usuarios suscriban un compromiso de confidencialidad, o evitar la utilización de usuarios genéricos cuya utilización se comparte entre varios empleados, entre otras.

También se apreciaron dudas sobre si los centros podían facilitar información sobre la estancia, ubicación o estado de salud de un usuario a solicitud de los familiares. En este sentido, la AEPD observa que debe recabarse el consentimiento del usuario. No obstante, en casos de urgencia vital o si la presencia de personas vinculadas al usuario por razones familiares o de hecho pudiera ser esencial para la debida atención del usuario, siempre que el paciente no se haya opuesto a que dicha información sea facilitada, el centro puede informar si la persona se encuentra ingresada y su ubicación, sin indicar datos de categorías especiales o sobre la atención prestada.

Otras recomendaciones se refieren, por ejemplo, a que los contratos de encargado de tratamiento especifiquen todas las obligaciones estipuladas por el RGPD; que las políticas de seguridad se basen en el análisis de riesgos y que se realicen Evaluaciones de Impacto relativas a la Protección de los Datos para los nuevos tratamientos de los centros sociosanitarios.

El ‘Plan de Inspección de oficio de la atención sociosanitaria’ se enmarca dentro de las actuaciones previstas en el Plan Estratégico de la AEPD. En concreto tiene su origen en la actuación 1.3.2, cuyo objetivo es detectar los tratamientos y cesiones de datos que se llevan a cabo entre ambos sectores, social y sanitario, buscando su adecuación a la legislación de protección de datos.

El texto de la demanda dice que TikTok, propiedad de la compañía china ByteDance, facilita a los menores de 13 años eludir el consentimiento de un adulto para su utilización y tampoco envía notificaciones a los padres de esos usuarios

La famosa app, de la empresa china ByteDance, que revoluciona medio mundo, se ha encontrado con un problema en Estados Unidos y puede ser el inicio de muchos otros.

Según parece, en 2019, se estableció un acuerdo para limitar los datos que empresas tecnológicas obtienen de los niños menores de 13 años y la Agencia estadounidense de protección al consumidor ha comprobado que se siguen recopilando datos de estos menores sin el consentimiento de los padres. Se ha solicitado que se reabra el asunto con urgencia ante el aumento de descargas de la aplicación, durante el confinamiento.

TikTok presuntamente facilita a los menores de 13 años eludir el consentimiento de un adulto para su utilización y no envía notificaciones a los padres de esos usuarios. El objetivo de la app es obtener una información detallada del uso de los niños para determinar qué vídeo mostrar a continuación y así mantenerlos el mayor tiempo posible conectados.

El año pasado, TikTok pagó una multa de 5,7 millones de dólares tras llegar a un acuerdo en los tribunales y aceptó implementar cambios en sus prácticas de recopilación de datos, lo que implicaba borrar cualquier información obtenida de un usuario menor de 13 años.

Estas redes sociales que alimentan el uso de las imágenes y vídeos de quien aparece en ellas, con bailes, canciones, etc…es un peligroso escenario para menores sin ningún tipo de control.

En España, es una de las más famosas y os rogamos que si tenéis niños menores, controléis directamente el uso que realizan de esta app.

Resolvemos todas tus dudas sobre protección de datos y ayudamos a tu empresa o actividad a su adaptación en la nueva ley de protección de datos.

Confía en Data Protect Plus, solicita tu AUDITORIA GRATUITA

La Agencia Española de Protección de Datos (AEPD) ha publicado un decálogo de recomendaciones para prevenir posibles riesgos de privacidad derivados del uso de la tecnología 5G.

El documento está dirigido tanto al ciudadano general como a los sectores profesionales relacionados con el despliegue de la quinta generación de comunicaciones móviles, según informa la entidad en un comunicado.

La AEPD señala en la nota técnica que el 5G ofrece mejoras a los usuarios como alta velocidad de transferencia, mayor capacidad de conexión o baja latencia -el tiempo de respuesta que necesita un dispositivo para llevar a cabo la acción que le pedimos-, y ello permitirá la puesta en marcha de aplicaciones multimedia o de realidad aumentada, el despegue definitivo del internet de las cosas (IoT) o la cirugía remota asistida, entre otras.

No obstante, la implantación de esta tecnología podría incrementar los riesgos para la privacidad que ya se asociaban a las anteriores generaciones de telefonía móvil, como la geolocalización, el perfilado o la toma de decisiones automatizadas sobre las personas.

El documento expone las nuevas posibilidades de la tecnología 5G e identifica sus riesgos, proponiendo un decálogo de recomendaciones, entre ellas proporcionar información particularmente clara y comprensible a los usuarios de las nuevas aplicaciones y servicios basados en el 5G.

También aconseja definir cuidadosamente los roles y ámbitos de responsabilidad, delimitando de forma nítida las obligaciones de desarrolladores, fabricantes, operadores y agentes en materia de protección de datos y garantizar comunicaciones cifradas extremo a extremo.

La agencia de protección de datos también recomienda adecuar el uso de decisiones automatizadas a lo establecido en el Reglamento General de Protección de Datos, y establecer las necesarias garantías en el caso de transferencias internacionales de datos.

Finalmente, la AEPD insta a reflexionar acerca de las normativas y estándares relativos al tratamiento y conservación de datos de tráfico por los operadores de telecomunicaciones, en particular, con relación a la georreferenciación. Actualmente, las redes 4G proporcionan resoluciones con una media de 50 metros, pero con 5G se alcanzarán resoluciones inferiores a un metro en tres dimensiones.