Privacidad y protección de datos en época de comuniones

/en /por

Privacidad y protección de datos en época de comuniones
dortega
Mar, 05/28/2019

Las celebraciones de comunión traen consigo algunas situaciones que debemos abordar para que no se vea afectada la privacidad de los menores

comuniones

Mayo y junio son los meses en los que tradicionalmente se celebran las comuniones. Estas celebraciones suelen consistir en la tradicional ceremonia con otros niños y niñas, y una posterior fiesta con familiares y amigos. Este tipo de eventos dan pie a ciertas situaciones que pueden afectar a la privacidad y la protección de datos de los menores si no las gestionamos de manera adecuada.

En este post abordamos algunas de estas situaciones y damos algunas claves sobre cómo actuar para proteger la privacidad de los pequeños.

En la celebración

Un ejército de padres y familiares suele acudir teléfono en mano a la ceremonia dispuestos a sacar una imagen de los pequeños. No existe ningún problema en tomar estas fotos y vídeos si las usamos exclusivamente en el ámbito personal. Es habitual que estas imágenes se compartan a través de las redes sociales dentro de ese ámbito personal (Twitter, Facebook, Instagram), pero en ocasiones se publican de manera indiscriminada y son accesibles por terceras personas que no guardan ninguna relación familiar ni de amistad.

Esto puede acarrear problemas ya que en estos vídeos y fotografías suelen aparecer además niños y niñas que no son nuestros hijos. Para poder publicar una imagen en Internet necesitaríamos un permiso o consentimiento previo de la persona que aparece y, como se trata de menores, de sus padres o tutores.

Consentimiento que también sería necesario si el niño es un familiar nuestro, y deberemos consultar a sus padres o tutores si podemos publicar imágenes en las que aparezca.

En cualquier caso, aunque solo compartamos imágenes de nuestros hijos y no necesitemos consentimiento alguno, debemos ser cuidadosos para no caer en el llamado ‘sharenting’. Este término anglosajón da nombre a la práctica de padres que comparten en Internet y redes sociales de manera indiscriminada fotos, vídeos, actividades y anécdotas de la vida de sus hijos menores. Debemos ser conscientes de que lo compartido deja una huella digital en el menor que puede seguirle y afectarle de manera negativa en el futuro.

Si encuentras una foto o vídeo de tus hijos en Internet publicada sin permiso tienes información en este enlace sobre cómo solicitar su eliminación.

Regalos de última generación

Los niños y niñas, tras la ceremonia y la fiesta, suelen recibir presentes de los invitados. En las comuniones, además de regalos más tradicionales, también suelen regalarse dispositivos con conexión a Internet. Un ejemplo de ellos son los juguetes conectados.

Los llamados juguetes conectados son aquellos que se conectan a Internet e intercambian información con fuentes externas. Desde la Agencia recomendamos informarse sobre los datos que recoge y transmite el juguete, así como quién es el responsable del tratamiento y cómo podremos ejercer nuestros derechos.

Tienes más información sobre juguetes conectados en esta infografía:

juguetes conectados

Regalando el primer móvil

Es muy importante educar y fomentar entre los menores el uso responsable de Internet y prevenirles acerca de los riesgos que un uso inadecuado puede implicar. Los expertos recomiendan establecer normas sobre el espacio, tiempo y usos de los smartphones por parte de los menores. Si conseguimos crear rutinas de uso coherentes desde un inicio, será más sencillo controlar que los pequeños hacen un uso seguro del mismo.

 Desde la Agencia os recomendamos dedicar tiempo a enseñar a los menores a utilizar estos dispositivos y para ello ponemos a disposición de padres, familiares y profesores, diferentes materiales como guías y videos para concienciar a los menores en la web http://www.tudecideseninternet.es

 Siempre debemos ser precavidos cuando compartimos fotos o vídeos por Internet y ser vigilantes con los permisos y datos que utilizan las apps que instalamos. Pero estas precauciones deben ser mucho mayores cuando los implicados son menores, como es el caso de estas situaciones relacionadas con la celebración de las comuniones.

El pleno del TC por unanimidad declara inconstitucional el art. 58 bis. 1 de la Ley Electoral General que permite a los partidos políticos recopilar datos personales relativos a las opiniones políticas de los ciudadanos

/en /por

El Pleno del Tribunal Constitucional por unanimidad ha declarado contrario a la Constitución y nulo el apartado 1 del art. 58 bis de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General, que permite a los partidos políticos recoger datos personales relativos a las opiniones políticas de los ciudadanos.

La sentencia, cuyo ponente ha sido el Magistrado Cándido Conde-Pumpido, ha estimado el recurso de inconstitucionalidad presentado por el Defensor del Pueblo el pasado 5 de marzo de 2019.

La parte dispositiva de la sentencia tiene el siguiente contenido:

“En atención a todo lo expuesto, el Tribunal Constitucional, por la autoridad que le confiere la constitución de la nación española, ha decidido. Estimar el presente recurso de inconstitucionalidad y, en consecuencia, declarar contrario a la Constitución y nulo el apartado 1 del art. 58 bis de la Ley Orgánica 5/1985, de 19 de junio, del régimen electoral general, incorporado a esta por la disposición final tercera, apartado dos, de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales”.

La sentencia se notificará en los próximos días con una nota de prensa más amplia.

LEER NOTICIA COMPLETA EN SU FUENTE ORIGINAL

FUENTE ORIGINAL: TRIBUNAL CONSTITUCIONAL

Publicada la Memoria de la AEPD 2018

/en /por

La Agencia Española de Protección de Datos (AEPD) ha publicado su Memoria 2018, que recoge de forma exhaustiva las actividades realizadas por esta institución, las cifras de gestión, las tendencias destacadas, las decisiones y procedimientos más relevantes del año, y un análisis de los retos presentes y futuros. La publicación de esta Memoria coincide con el primer año de aplicación del Reglamento General de Protección de Datos (RGPD), que ha supuesto un cambio sustancial para la protección de datos en varios niveles, introduciendo novedades tanto en los derechos de los ciudadanos como en la forma de tratar los datos personales por parte de las organizaciones.

ACCEDER A LA MEMORIA DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS

FUENTE: AEPD

Dos de cada tres reclamaciones que se envían al DPD se resuelven de forma satisfactoria para el ciudadano

/en , /por

Dos de cada tres reclamaciones que se envían al DPD se resuelven de forma satisfactoria para el ciudadano
dortega
Mar, 05/21/2019

21 de Mayo de 2019
La Agencia Española de Protección de Datos publica su Memoria 2018, que corresponde al primer año de aplicación del Reglamento General de Protección de Datos, y en la que se recogen tanto las cifras de gestión como las actividades realizadas y las tendencias más relevantes

Gráfico ‘La Agencia Española de Protección de Datos en cifras’ (2018)

 

 

 

 

 

 

Gráfico ‘RGPD: un año de aplicación’

 

 

 

 

 

 

 

 

 

 

 

(Madrid, 21 de mayo de 2019). La Agencia Española de Protección de Datos (AEPD) ha publicado hoy su Memoria 2018, que recoge de forma exhaustiva las actividades realizadas por esta institución, las cifras de gestión, las tendencias destacadas, las decisiones y procedimientos más relevantes del año, y un análisis de los retos presentes y futuros. La publicación de esta Memoria coincide con el primer año de aplicación del Reglamento General de Protección de Datos (RGPD), que ha supuesto un cambio sustancial para la protección de datos en varios niveles, introduciendo novedades tanto en los derechos de los ciudadanos como en la forma de tratar los datos personales por parte de las organizaciones.

En cuanto a las reclamaciones recibidas a la Agencia durante 2018, se incrementaron casi un 33% (32.8%), pasando de 10.651 a 14.146. Actualizando estas cifras al primer año de aplicación del RGPD, (desde el 25 de mayo de 2018 al 15 de mayo de 2019) se han presentado ante la AEPD 14.397 reclamaciones. En cuanto a la temática recogida en la Memoria 2018, las reclamaciones corresponden a las siguientes materias: inserción indebida en ficheros de morosidad (16%), videovigilancia (11%), servicios de Internet (10%), reclamación de deudas (10%), Administración pública (7%), sanidad (7%), publicidad -excepto spam- (5%), comercios, transporte y hostelería (5%), entidades financieras/acreedoras (4%) y publicidad a través de e-mail o teléfono móvil (4%).

En lo referente a las reclamaciones resueltas con respuesta satisfactoria tras haberlas remitido al responsable o al delegado de protección de datos (DPD), se han producido 863 durante 2018 y 2.079 hasta el 15 de mayo de 2019. Este mecanismo, contemplado en el Reglamento para promover la resolución amistosa de las reclamaciones y que no existía con anterioridad, ha generado que dos de cada tres reclamaciones que se envían al responsable o al DPD se resuelvan de forma satisfactoria para el particular. Además, la mitad de las reclamaciones admitidas en la Agencia se resuelven en una media de 100 días, sin tener que esperar los más de 200 días de media del modelo anterior. Por otro lado, el traslado de la reclamación al responsable/DPD no implica necesariamente que no se vayan a realizar actuaciones inspectoras a posteriori, ya que la Agencia tiene potestad para investigar los mecanismos establecidos por la empresa. De hecho, un 13% de esas 863 reclamaciones (110) están en proceso de investigación.

En cuanto a los casos con otras autoridades europeas (sistema coordinado), de los casi 400 casos analizados, en 2018 la Agencia se ha personado como interesada en 237 de ellos, siendo autoridad líder en 11. Desde el 25 de mayo de 2018 al 15 de mayo de 2019 la Agencia ha analizado 1.026 casos procedentes de otras autoridades europeas, actuando como interesada en 539 de ellos y siendo autoridad líder en 18.

En lo relativo a las reclamaciones sobre ejercicio de derechos, durante 2018 se han resuelto 1.784 peticiones en la Agencia. De ellas, casi 200 (191) corresponden a reclamaciones por derecho al olvido. La proporción estimadas/desestimadas de estas 191 tutelas/reclamaciones es prácticamente de un 50%. En cuanto a las entidades reclamadas, Google y sus servicios aglutinan 125 de las 191 (65%), 18 a medios de comunicación (9%), 14 a otros buscadores de Internet (7%), 13 corresponden a Administraciones Públicas y boletines (6%), cifras que se completan con un apartado de peticiones a Otras entidades.

Durante 2018 se han elaborado y puesto en marcha procedimientos para la gestión de las notificaciones de brechas de seguridad y evaluaciones de impacto. Desde el 25 mayo de 2018 hasta el 31 de diciembre, se atendieron 44 consultas previas sobre evaluaciones de impacto y se recibió un total de 547 notificaciones de quiebras de seguridad. Tras el análisis y la clasificación de estas últimas, sólo 16 se han remitido a la Subdirección General de Inspección de Datos, que afectaban a datos de salud, menores, ideología política, y tratamientos masivos de datos.

En el primer año de aplicación del Reglamento (del 25 de mayo de 2018 al 15 de mayo de este año) se han recibido en la Agencia 966 notificaciones de brecha de seguridad. Un 72% de ellas indican que se ha comprometido la confidencialidad de los datos personales y un 36% indican compromiso de la disponibilidad. Más del 53% de las notificaciones de brechas de seguridad tienen como origen un contexto externo e intencionado y, de ellas, el 44% fueron a consecuencia de ciberincidentes mediante algún tipo de técnicas de hacking, malware o mediante phishing. Con respecto a los aspectos procedimentales, el análisis de los incidentes de seguridad notificados apunta a que el 31% de éstos se deben a la pérdida o robo de dispositivos o documentación.

En 2018 se han dictado 907 resoluciones sancionadoras (434 con sanción económica, 96 con resolución de infracción a Administraciones Públicas y 377 apercibimientos). En lo referente a la temática de los procedimientos sancionadores, destacan, por este orden: Contratación fraudulenta, inserción indebida en ficheros de Morosidad, Videovigilancia, Spam (LSSI), Publicidad (excepto spam), Servicios de Internet, Reclamación de Deudas, Telecomunicaciones, Administración pública y Sanidad. En el caso de las dos principales (morosidad y contratación fraudulenta), representan, respectivamente, 3.770.803 euros (29%) y 4.979.200 euros (38%) sobre el total del volumen de sanciones (12.824.454 euros). Con respecto al año anterior, crecen las reclamaciones por contratación fraudulenta y descienden levemente las de morosidad. Estas dos áreas acumulan un 67% del volumen total de sanciones impuestas en 2018. En cuanto a la temática de las infracciones por parte de las AAPP, estas declaraciones de infracción están motivadas, entre otros casos, por publicación de datos desproporcionados en páginas web de Administraciones locales, accesos indebidos a datos de terceros por parte de trabajadores públicos o incumplimiento de medidas de seguridad.

En cuanto a las cifras de Delegados de protección de datos notificados ante la Agencia, en 2018 se tramitó la inscripción de 20.043 Delegados de Protección de Datos (17.296 del sector privado y 2.747 del sector público). Cuando ha transcurrido casi un año completo desde la aplicación del RGPD, se han comunicado 34.193 Delegados de Protección de Datos (29.908 del sector privado y 4.285 del sector público).

En lo relativo a los servicios de ayuda que presta la Agencia para la adaptación al Reglamento, la Herramienta FACILITA_RGPD, orientada a pymes que realizan tratamientos de bajo riesgo, ha sido utilizada en 2018 en más de 150.000 ocasiones, una cifra que se amplía a 170.000 a fecha 15 de mayo de 2019. Por otro lado, el canal INFORMA_RGPD, que presta soporte en aquellas dudas y cuestiones que puedan derivarse de la aplicación del RGPD, ha atendido en 2018 un total de 4.116 consultas. Hasta el 15 de mayo de 2019, esa cifra se ha ampliado a las 4.607. Las consultas más frecuentes de este servicio son las relativas a la obligatoriedad de nombrar un DPD, cuestiones sobre videovigilancia o la utilización de la huella y datos biométricos como medidas de control de acceso y horario del trabajo.

Por último, se han planteado 1.564 cuestiones ante el área de menores de la Agencia, lo que supone un incremento de casi el 74,75% con respecto a 2017 (895). En cuanto a la temática de las consultas que se suelen recibir con mayor frecuencia destacan las siguientes: la toma de imágenes y si es necesario el consentimiento para ello, tanto en las aulas, como en eventos escolares y extraescolares (campamentos, excursiones, funciones teatrales, etc.), así como quién debe otorgar el consentimiento para tratar datos personales de menores cuando los padres están separados. Además, desde la entrada en vigor del RGPD y la Ley Orgánica 3/2018, se plantea la necesidad de designar un DPD por distintos actores en este ámbito y sus funciones.

La AEPD publica dos análisis para fomentar la privacidad en dispositivos Android

/en , /por

La AEPD publica dos análisis para fomentar la privacidad en dispositivos Android
dortega
Lun, 05/20/2019

20 de Mayo de 2019
El primero de ellos analiza qué son los identificadores de publicidad, para qué se utilizan y qué opciones tienen los usuarios para controlarlos, y el segundo cómo acceden algunas apps a la pantalla de los terminales
Los documentos están dirigidos tanto a los usuarios como a los desarrolladores de aplicaciones, ofreciendo consejos y recomendaciones
La AEPD presentará estos estudios y sus conclusiones en los subgrupos de trabajo del Comité Europeo de Protección de Datos

 

(Madrid, 8 de mayo de 2019). La Agencia Española de Protección de Datos (AEPD), ha publicado dos estudios técnicos centrados en el sistema operativo Android: Control del usuario en la personalización de anuncios y Acceso de las aplicaciones a la pantalla. Los análisis, dirigidos a usuarios y desarrolladores de apps, ofrecen consejos para evitar algunas de las prácticas detalladas en los documentos a la vez que detallan los mecanismos que deben implementar los desarrolladores para cumplir con la normativa de protección de datos.

La nota técnica Control del usuario en la personalización de anuncios analiza qué son los identificadores de publicidad presentes en los dispositivos Android, para qué se utilizan y qué opciones tiene el usuario para controlarlos. Cada terminal cuenta con un AAID, un identificador único para el envío de anuncios personalizados que puede ser cambiado o inhabilitado. Si el usuario lo inhabilita, esta configuración se transmitirá a las entidades que generan la publicidad, pero depende de estas respetar o no esta preferencia. Además, deshabilitarlo no impide que el AAID sea enviado por algunas aplicaciones y, por tanto, no evita que se pueda seguir construyendo un perfil basado en los intereses o gustos del usuario para, por ejemplo, utilizarlo en un futuro cuando la personalización de anuncios vuelva a estar activa. El informe destaca que, por ejemplo, tras reiniciar un dispositivo a los valores de fábrica, la personalización de anuncios vuelve a estar habilitada por defecto y que el usuario tiene que deshabilitarla de nuevo y no al revés, como debería suceder de acuerdo al principio de privacidad por defecto establecido en el Reglamento General de Protección de Datos (RGPD).

La nota ejemplifica estos hechos con Facebook, concluyendo que cuando un usuario deshabilita la publicidad basada en sus gustos e intereses sólo está indicando que la red social no devuelva un anuncio personalizado, pero sin poder evitar que ésta siga recopilando datos del usuario, asociándolos a un identificador de publicidad y elaborando un perfil basado en las aplicaciones que se ejecutan. Esta recopilación de datos se produce independientemente de que el usuario del dispositivo esté registrado en Facebook. De hecho, el análisis muestra cómo se envía el AAID durante la ejecución de una aplicación de temática sexual. El simple hecho de abrir esta aplicación produce la comunicación del AAID a Facebook, indicando no solo el nombre de la aplicación sino otra información como la localización del dispositivo, el modelo del terminal y el idioma. Este envío se produce aunque el usuario tenga deshabilitada la personalización de anuncios.

Aquellos usuarios que deseen evitar el perfilado tienen que deshabilitar la personalización de anuncios (Ajustes/Google/Anuncios), siendo consciente de la limitación de su eficacia, así como reiniciar el AAID frecuentemente y mantener instaladas en el dispositivo únicamente las apps que proporcionen un nivel de confianza adecuado. En cuanto a los consejos para desarrolladores, deben tener en cuenta que el envío de datos personales a terceros se considera un tratamiento para el que es necesaria una base legal, y que deben cumplir con todos los principios del RGPD, como el de minimización de datos, además de la privacidad por defecto y desde el diseño. En definitiva, se trata de proporcionar al usuario una configuración por defecto que proteja su privacidad y opciones reales que le permitan no ser objeto de seguimiento.

El segundo de los estudios publicados por la AEPD, Acceso de las aplicaciones a la pantalla en dispositivos Android, muestra con ejemplos cómo algunas apps solicitan permiso al usuario cuando se produce el acceso a su pantalla sin informarle correctamente, y que éste no puede comprobar si éste está activado ni puede revocar el permiso. De este modo, cualquier aplicación en la que el usuario acepte su cuadro de diálogo podrá grabar aquello que se muestre en la pantalla del dispositivo.

La aceptación por el usuario de la grabación de la pantalla no cumple con las condiciones del consentimiento si previamente no se le ha informado claramente de los propósitos de dicho tratamiento de acuerdo con el artículo 13 del RGPD. De igual forma, no cumplirá con los principios de trasparencia que la grabación de la pantalla se produzca sin que el usuario sea consciente de en qué momentos se está ejecutando la misma, independientemente de que se haya concedido el permiso en un momento dado. La Agencia recomienda no permitir el acceso al contenido de su pantalla si no se le ha ofrecido información suficiente y no activar nunca la opción “No volver a mostrar” cuando se muestra el aviso.

Por su parte, los desarrolladores de aplicaciones que utilizan la grabación de la pantalla, han de asegurarse de que se recoge de forma apropiada el consentimiento de los usuarios con posterioridad a cumplir los requisitos de información que señala la normativa y que se ofrece una forma fácil de retirar dicho consentimiento. Además, han de proporcionar mecanismos para que el usuario sea plenamente consciente de cuándo se están realizando dichas grabaciones.

Actuaciones de la AEPD

La AEPD va a presentar estas notas y sus conclusiones en los subgrupos de trabajo del Comité Europeo de Protección de Datos (CEPD), organismo de la Unión Europea del que forma parte la Agencia junto a otras autoridades europeas de protección de datos y el Supervisor Europeo. El CEPD tiene entre sus funciones promover la cooperación entre las autoridades de protección de datos.

La solicitud de copia de la inscripción de ficheros dejará de estar disponible en la Sede Electrónica

/en , /por

La solicitud de copia de la inscripción de ficheros dejará de estar disponible en la Sede Electrónica
dortega
Lun, 05/20/2019

20 de Mayo de 2019
La solicitud de copia de inscripción de ficheros dejará de estar disponible el próximo 15 de junio de 2019.

(Madrid, 21 de mayo de 2019). La solicitud de copia del contenido de la inscripción de ficheros dejará de estar disponible en la Sede Electrónica de la Agencia el próximo día 15 de junio de 2019.

El Reglamento General de Protección de Datos, en vigor desde el 25 de mayo de 2016 y de aplicación efectiva desde el 25 de mayo de 2018, suprimió la obligación de notificar los ficheros de datos de carácter personal a la autoridad de control para su publicación en el Registro General de Protección de Datos estableciendo, en su lugar, como alternativa a dicha obligación la de que cada responsable y, en su caso el encargado, mantenga su propio registro de actividades de tratamiento.

Transcurrido más de un año desde la aplicación efectiva del Reglamento europeo, período en el que los responsables del tratamiento han tenido disponible el citado trámite de solicitud de copia de inscripción como fuente de información para elaborar el registro de actividades de tratamiento de sus organizaciones, la Agencia Española procederá a deshabilitar el formulario disponible hasta ahora en su Sede Electrónica.

La AEPD publica el listado de tratamientos en los que es obligatorio realizar una evaluación de impacto

/en , /por

La AEPD publica el listado de tratamientos en los que es obligatorio realizar una evaluación de impacto
dortega
Sáb, 05/18/2019

18 de Mayo de 2019
Las organizaciones que tratan datos están obligadas a realizar una evaluación de impacto cuando sea probable que ese tratamiento entrañe un alto riesgo para los derechos y libertades de las personas
El listado completo de estos tratamientos puede consultarse aquí

(Madrid, 6 de mayo de 2019). La Agencia Española de Protección de Datos (AEPD) ha publicado el listado de tratamientos de datos personales en los que es obligatoria la realización de una evaluación de impacto. El Reglamento General de Protección de Datos (RGPD) establece en su artículo 35.1 que las organizaciones que tratan datos tienen obligación de realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD) con anterioridad a la puesta en funcionamiento de dichos tratamientos cuando sea probable que, en función de su naturaleza, alcance, contexto o fines, entrañen un alto riesgo para los derechos y libertades de las personas.

Por otro lado, el apartado 4 de ese mismo artículo prevé que cada autoridad de control establezca y publique una lista de los tipos de operaciones de tratamiento que requieran de una evaluación de impacto. Esta lista tiene, por tanto, la finalidad de ofrecer seguridad a los responsables respecto a cuáles son los tratamientos en que siempre se considerará que es probable que exista un alto riesgo. También de acuerdo con lo previsto por el RGPD, la lista ha sido comunicada al Comité Europeo de Protección de Datos, que ha emitido un dictamen favorable sobre ella, siguiendo los criterios establecidos en la valoración de todas las listas remitidas por las autoridades nacionales.

La Agencia ha definido que será necesario realizar una EIPD en la mayoría de los casos en los que en los que el tratamiento cumpla con dos o más criterios de la lista, entre los que se encuentran la realización de perfilado; observación, geolocalización o control de forma sistemática y exhaustiva; el uso de datos biométricos para identificar de forma unívoca a una persona; datos que permitan determinar la solvencia patrimonial o procesamiento de identificadores únicos que permitan identificar usuarios de servicios de la sociedad de la información como pueden ser los servicios web, televisión interactiva o aplicaciones móviles, entre otros tratamientos. Cuantos más criterios reúna el tratamiento en cuestión, mayor será el riesgo que entrañe y mayor la certeza de la necesidad de realizar una Evaluación de impacto.

Las Evaluaciones de impacto

El Reglamento establece que en aquellos casos en los que sea probable que los tratamientos entrañen un alto riesgo para los derechos y libertades de las personas físicas incumbe al responsable del tratamiento realizar una evaluación de impacto relativa a la protección de datos, que evalúe, en particular, el origen, la naturaleza, la particularidad y la gravedad del riesgo.

Como herramienta de ayuda al cumplimiento, la Agencia presentó con anterioridad a la aplicación del RGPD las guías de Análisis de Riesgo y Evaluación de Impacto en la Protección de Datos. La Guía de Evaluación de Impacto en la Protección de Datos ayuda a las organizaciones a identificar las actividades que conllevan un alto riesgo, afrontar y gestionar los posibles peligros antes de que produzcan y establecer las medidas de control más adecuadas para minimizar el mismo antes de iniciar el tratamiento. En el proceso de la evaluación, la organización debe conocer para qué y cómo se van a utilizar los datos, identificar, evaluar y tratar los riesgos potenciales y elaborar un plan de acción donde se incluyan las medidas de control para garantizar los derechos y libertades de las personas.

La AEPD actualiza ‘Facilita RGPD’, la herramienta para ayudar a las empresas a cumplir con la protección de datos

/en , /por

La AEPD actualiza ‘Facilita RGPD’, la herramienta para ayudar a las empresas a cumplir con la protección de datos
dortega
Vie, 05/17/2019

17 de Mayo de 2019

La AEPD actualiza su herramienta gratuita, que permite obtener los documentos mínimos indispensables si se realizan tratamientos de escaso riesgo, y le añade nuevas funciones

(9 de abril de 2019). La Agencia Española de Protección de Datos (AEPD) ha lanzado una nueva versión de Facilita RGPD, una herramienta gratuita para ayudar a las empresas y profesionales que traten datos personales de escaso riesgo a cumplir con el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018.

Está planteada como un cuestionario online con una duración máxima de 20 minutos con el que las empresas y profesionales pueden, en primer lugar, constatar a través de una serie de preguntas que los datos que tratan pueden considerarse de bajo riesgo y, en segundo lugar, obtener los documentos mínimos indispensables para facilitar el cumplimiento de la normativa.

A continuación se detallan algunas de las mejoras implementadas en Facilita_RGPD:

Se han desarrollado con mayor detalle las cláusulas de información que se generan para cada uno de los tratamientos realizados por la persona responsable, incluyendo la referencia al derecho a presentar una reclamación ante la Agencia si la persona interesada no ha quedado satisfecha en el ejercicio de sus derechos ante la entidad.
Se facilita el ejercicio de derechos por medios electrónicos al añadir un nuevo campo en el cuestionario de la herramienta que ofrece la posibilidad de incluir un correo electrónico habilitado al efecto para atender las solicitudes de ejercicio de derechos, quedando reflejado este nuevo canal de atención en las cláusulas informativas.
En el caso de tratamiento de datos de la potencial clientela con fines publicitarios, se ha incluido una cláusula en el contrato suscrito con las agencias de marketing -como encargadas- que les obliga a consultar los sistemas de exclusión publicitaria (Lista Robinson) de forma previa a la realización de comunicaciones comerciales.
En el caso de que existan contratos suscritos con empresas de servicios, se ha incorporado una nueva cláusula de confidencialidad para aquellos casos en los que el servicio prestado suponga únicamente un acceso accidental y accesorio a los datos personales, pero sin llegar a tener acceso a los sistemas de información.
Se ha reestructurado el anexo final, separando claramente la información relativa a la atención de las solicitudes de ejercicio de derechos, las medidas de seguridad y el protocolo a seguir en caso de captación de imágenes mediante cámaras de videovigilancia.
Se ha ampliado la información en el apartado de atención de solicitudes de ejercicio de derechos en materia de protección de datos, desarrollando más extensamente la información de cada uno de los derechos e incluyendo un enlace a los formularios publicados en la web de la Agencia.
En cumplimiento del deber de información establecido en el Reglamento General de Protección de Datos y en el artículo 22.4 de la Ley Orgánica 3/2018, se facilita el distintivo informativo de señalización de zona videovigilada ya cumplimentado con los datos de la persona responsable del tratamiento.

La herramienta Facilita_RGPD se lanzó en septiembre de 2017 con la colaboración de CEOE y CEPYME, y durante 2018 más de 150.000 profesionales y empresas obtuvieron sus documentos de apoyo al cumplimiento a través de ella.

La información que las empresas aportan –y que la AEPD no conserva ni monitoriza de forma alguna– les permite obtener esos documentos casi completados. Esas plantillas incluyen los requerimientos básicos marcados por el RGPD, como el registro de actividades de tratamiento; las cláusulas informativas; las cláusulas que deberían incluirse si la empresa contrata con la persona encargada del tratamiento y un nuevo anexo reestructurado que incluye las directrices para atender las solicitudes de ejercicio de derechos en materia de protección de datos que se reciban de las personas interesadas, las recomendaciones sobre las medidas de seguridad mínimas a implantar en la organización por parte de la persona responsable del tratamiento y los requisitos a seguir para un correcto tratamiento de las imágenes captadas mediante cámaras de videovigilancia.

El cuestionario está dividido en cuatro bloques. En el primero, la organización debe seleccionar cuál es su sector de actividad y el tipo de datos que trata. A continuación, una vez que se constata que los tratamientos que realiza entrañan, a priori, un escaso nivel de riesgo para los derechos y libertades de las personas, Facilita_RGPD pedirá a la persona responsable que aporte cierta información sobre su empresa (nombre, dirección, CIF o teléfono, entre otros). En el tercer bloque, la aplicación solicitará información sobre los tratamientos que realiza (clientela, personal empleado, currículums de personas candidatas, etc.) Con la información aportada, en la última fase se generarán los documentos mínimos indispensables para facilitar el cumplimiento de la normativa.

No obstante, la persona responsable del tratamiento, en cumplimiento de la responsabilidad proactiva que establece el RGPD, debe revisar la documentación generada y verificar que refleja las circunstancias exactas de los datos recogidos, las comunicaciones realizadas y demás condiciones de cada uno de los tratamientos que realiza, así como las medidas de seguridad, técnicas y organizativas que haya implantado.

La AEPD y Adigital presentan las novedades de la Lista Robinson para promover la protección de los datos de los ciudadanos

/en , /por

La AEPD y Adigital presentan las novedades de la Lista Robinson para promover la protección de los datos de los ciudadanos
dortega
Jue, 05/16/2019

16 de Mayo de 2019
A partir de ahora, el servicio de exclusión publicitaria permitirá a los ciudadanos limitar la recepción de publicidad por sectores
Para las empresas, ofrece un nuevo sistema de consulta más fácil de utilizar y más seguro, sin coste para pymes y autónomos hasta los 30.000 registros al año

 

Madrid, 8 de abril de 2019​.- La Agencia Española de Protección de Datos (AEPD) y la Asociación Española de la Economía Digital (Adigital) han presentado hoy las novedades de la Lista Robinson, el servicio de exclusión publicitaria creado por Adigital para proteger los datos personales de los ciudadanos y facilitar a las empresas el cumplimiento del Reglamento General de Protección de Datos (RGPD) y la nueva Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).

Durante la presentación, se han abordado los supuestos y condiciones en los que la normativa establece como obligatoria y necesaria la consulta de los sistemas de exclusión publicitaria para las empresas. Así lo establece la nueva LOPDGDD en su artículo 23: las empresas que pretenden realizar comunicaciones de mercadotecnia directa deben consultar los sistemas de exclusión publicitaria previamente, excluyendo así de sus comunicaciones los datos de los afectados que hubieran manifestado su oposición o negativa a las mismas. No será necesario realizar la consulta cuando el afectado haya prestado su consentimiento expreso a la empresa en cuestión para recibir la comunicación.

Evitar la recepción de publicidad no deseada es uno de los temas que se plantean con mayor frecuencia ante la Agencia, y uno de los derechos más relevantes para ello es el ejercicio del derecho de oposición. Por ello, la página web de la AEPD dispone de un espacio específico en el que se ofrecen recomendaciones sobre los pasos que se pueden dar para dejar de recibirla. “La AEPD promueve que los ciudadanos se inscriban en la Lista Robinson ya que permite no tener que oponerse a la recepción de publicidad no deseada caso por caso sino inscribirse en un sistema y seleccionar, con un solo acto, todos los canales por los que no desea recibir publicidad, además de las novedades específicas que se presentan hoy”, ha afirmado durante la presentación la directora de la AEPD, Mar España.

Novedades para empresas y ciudadanía

Durante la presentación Adigital ha hecho un repaso de las principales novedades técnicas y de funcionamiento del Servicio de Lista Robinson.

Si bien Adigital ya introdujo el año pasado su nueva plataforma web -con una interfaz más moderna, sencilla y accesible para los usuarios-, la organización introduce ahora una nueva funcionalidad: la posibilidad de que los ciudadanos limiten la recepción de publicidad de forma gratuita no solo por canales (teléfono, SMS, email o postal), como ya ocurría, sino también por sectores publicitarios. A esto se une un nuevo servicio de gestión de reclamaciones de los usuarios.

En lo que se refiere a las empresas, los cambios tienen que ver con el sistema de consulta de la Lista Robinson. A través de una nueva API, esta se vuelve más sencilla y eficaz, algo que beneficia sobre todo a las pymes y micropymes. Además, el proceso de cifrado y pseudonimización de datos mejorado la hace más segura.  

“Hemos introducido estas nuevas soluciones pensando en todas las empresas, especialmente en las pymes, que son las que suelen tener menos recursos y encontrar más dificultades para ajustarse a la normativa”, ha explicado José Luis Zimmermann, director general de Adigital durante la presentación. “En este caso, hemos desarrollado una herramienta que les permite tratar y normalizar los datos de los clientes a los que quieren dirigir sus comunicaciones publicitarias para agilizar la consulta de la Lista Robinson”. De este modo, el Servicio de Lista Robinson indica fácil y rápidamente a quién puede y no puede enviar su publicidad sin tener que realizar costosos desarrollos externos o inversiones económicas. De hecho, el servicio no tiene coste para pymes y autónomos hasta 30.000 registros consultados al año.

25 años al servicio de la protección de datos

La Lista Robinson, que nació en 1993 como una herramienta de autorregulación que permitía a los usuarios oponerse al envío de publicidad, ya cuenta con más de 850.000 registrados. Las últimas cifras de Adigital, determinan que en 2017 se dieron de alta casi 60.000 usuarios, mientras que en 2018 se superaron los 250.000, un 400% más que en el año anterior.

“Adigital tiene la vocación de impulsar y facilitar el desarrollo de la economía digital en nuestro país para lo que existe un pilar fundamental: la confianza, en las empresas y en la tecnología, por parte de la ciudadanía”, ha asegurado Zimmermann. “En sus más de 25 años de historia, la Lista Robinson ha probado su eficacia, con cada vez más personas y organizaciones que recurren a ella. De ahí su necesidad de actualización constante y adaptación a las nuevas realidades en las que se integra”.

No hay más que recordar que empezó como una iniciativa de autorregulación que permitía a los usuarios oponerse al envío de publicidad por correo postal. En 2009, evolucionó para incluir nuevas opciones de oposición a recibir publicidad por teléfono (llamadas, SMS e email). La actualización que comenzó en 2018 para adaptarla a la nueva normativa de protección de datos ha resultado en una nueva plataforma online multidispositivo que garantiza la confidencialidad, integridad, disponibilidad y resiliencia permanente del Servicio.

La AEPD publica su Plan de Responsabilidad Social, alineado con la Agenda 2030 y los Objetivos de Desarrollo Sostenible

/en , /por

La AEPD publica su Plan de Responsabilidad Social, alineado con la Agenda 2030 y los Objetivos de Desarrollo Sostenible
dortega
Mié, 05/15/2019

15 de Mayo de 2019
El acto de presentación ha contado con la participación de la Alta Comisionada para la Agenda 2030, Cristina Gallach; la directora general del Trabajo Autónomo, de la Economía Social y de la RS de las Empresas, Mª Antonia Pérez León, y la directora de la AEPD, Mar España
Junto al Marco de Actuación de Responsabilidad Social 2019-2024, la Agencia ha difundido las 100 acciones que pretende poner en marcha, que se estructuran en cuatro grandes ejes
Se ha habilitado un buzón para que tanto ciudadanos como organizaciones puedan remitir, durante los próximos 15 días, opiniones, sugerencias y nuevas propuestas de actuación

(Madrid, 27 de marzo de 2019). La Agencia Española de Protección de Datos (AEPD) ha presentado su Marco de Actuación de Responsabilidad Social 2019-2024 en un acto en el que han participado la Alta Comisionada para la Agenda 2030, Cristina Gallach; la directora general del Trabajo Autónomo, de la Economía Social y de la Responsabilidad Social de las Empresas, Mª Antonia Pérez León, y la directora de la AEPD, Mar España.

El Marco de Actuación de Responsabilidad Social de la AEPD, elaborado con la colaboración de Pacto Mundial de Naciones Unidas, está alineado con la Agenda 2030 y los Objetivos de Desarrollo Sostenible, y estructura el compromiso de este organismo en cuatro grandes ejes, tanto internos como externos: Sociedad; Buen Gobierno, Transparencia y rendición de cuentas; Medioambiente y Empleados. Para llevar a cabo las responsabilidades asumidas, se han identificado 100 acciones: un 70% responde a compromisos con la sociedad, especialmente en temas de prevención para una protección más eficaz de las personas, de igualdad de género y de innovación y emprendimiento; un 13% son compromisos internos con los empleados, un 10% con el respeto al medioambiente y un 7% están relacionadas con el buen gobierno, la transparencia y la rendición de cuentas.

Dentro del apartado de Compromiso con la Sociedad, la Agencia ha establecido a su vez tres grandes áreas de trabajo: el fomento de la prevención; la igualdad de género y la innovación y el emprendimiento.

Algunas de las medidas más significativas en el área de prevención son las siguientes:

Colaboración con Ministerio de Educación para elaborar materiales curriculares sobre educación digital y uso responsable de internet, con especial atención a las situaciones de violencia en la Red. En aplicación de la nueva Ley de Protección de Datos, las CCAA tienen de plazo hasta finales de año para incluir formación específica en el uso seguro de los medios digitales en los currículums académicos.
Colaboración con Fiscalía para actuar frente a la difusión de imágenes o información personal de menores en internet
Impulsar protocolos contra el ciberacoso, en colaboración con el Ministerio de Educación
Colaborar con Policía Nacional en cursos sobre privacidad y seguridad

En cuanto a la igualdad de género, dentro de las acciones para combatir la violencia de género en internet, destacan las siguientes:

Impulso de protocolos con el Ministerio del Interior, la Fiscalía y la Delegación de Gobierno para la Violencia de Género, en el marco del Grupo de Trabajo sobre la privacidad de las víctimas de violencia en internet, para que cuando acudan a una comisaría sean informadas de la posibilidad de dirigirse gratuitamente a la Agencia en caso de utilización o difusión de imágenes personales sin consentimiento
La AEPD dará prioridad a este tipo de reclamaciones, además de instar a las grandes empresas proveedoras de servicios de internet a la aprobación de protocolos específicos de actuación. La Agencia pone así a disposición de las mujeres supervivientes a la violencia de género aquellos recursos que, como autoridad pública, tiene legalmente atribuidos y que, movilizados de forma urgente, pueden resultar sumamente eficaces, dado que en determinadas situaciones -como el acceso y la divulgación sin consentimiento de información sensible, fotografías o vídeos de carácter íntimo; la vigilancia y monitorización online, o las conductas de sextorsión o el acoso sexual en línea-, los daños infligidos a la persona son mucho mayores cuando se difunden por internet
Colaboración con el Ministerio de Educación y la Delegación de Gobierno para la Violencia de Género en la elaboración de materiales curriculares que ayuden a la prevención, detección y erradicación de este tipo de violencia en el entorno escolar

Para potenciar la innovación y el emprendimiento a la hora de crear productos y servicios compatibles con los derechos de las personas y, en consecuencia, sostenibles, la Agencia va a contribuir a la realización de encuentros y seminarios donde se reúnan emprendedores. Por otro lado, además de alinear con la Agenda 2030 los premios que anualmente concede la Agencia, la AEPD va lanzar una nueva categoría en la que se van a reconocer proyectos y actuaciones innovadoras y respetuosas con la privacidad en el marco de las iniciativas empresariales noveles y las startups. El premio tendrá la denominación “Ángela Ruiz Robles”, precursora española del libro electrónico.

De otra parte, el Marco de Actuación recoge una apuesta firme por una política de cumplimiento ( compliance)basada en los valores de la transparencia, el buen gobierno, la integridad, la rendición de cuentas, la participación, la profesionalidad y el servicio público. Ello se va a traducir en la aprobación de un Código Ético y de Conducta para los empleados y directivos de la Agencia, y la implantación de un canal de denuncias anónimo, siempre con las debidas garantías en su aplicación.

En cuanto al compromiso con los empleados, cabe mencionar:

La aprobación del plan de igualdad de la Agencia, que incluye un protocolo para la prevención del acoso laboral y sexual y ayudas a empleadas supervivientes a la violencia de género
En temas de conciliación, se contempla seguir promoviendo el teletrabajo (actualmente se ha superado el 50%) y diversas iniciativas para ampliar las opciones de conciliación con la vida familiar y personal

Por último, en el apartado de medioambiente, la Agencia se compromete a seguir profundizando en las medidas internas orientadas a la promoción de políticas de reciclado, el impulso de acciones de movilidad sostenible para empleados, el uso responsable del papel y una evaluación sobre el uso eficiente de los recursos energéticos de la Agencia.

La AEPD ha habilitado en su página web un espacio con toda la información relativa al Plan de Responsabilidad Social, incorporando un buzón para poder remitir opiniones, sugerencias y nuevas propuestas de actuación durante los próximos 15 días para su eventual incorporación al mismo. En esa sección, además del Marco global de actuación, es posible consultar de forma sistematizada las 100 actuaciones que la Agencia se compromete a impulsar en los próximos cinco años para cumplir con la Agenda 2030 y los Objetivos de Desarrollo Sostenible. El documento ha sido configurado de forma que puedan incorporarse nuevas actuaciones o adaptar las previstas en función del diagnóstico realizado.