En el post anterior, nos referíamos a los trámites que tenía que seguir el empresario individual para iniciar una actividad empresarial. Si éste va a contratar trabajadores debería realizar, además de los ya indicados, los siguientes:
a) Inscripción de la empresa en el régimen general de la Seguridad Social (modelo TA6). La Tesorería General de la Seguridad Social (TGSS) asigna al empresario un número, el Código de Cuenta de Cotización Principal (CCC). Esta inscripción se efectuará en nombre de la persona natural titular de la empresa, adjuntando su D.N.I., haciendo constar asimismo la Mutualidad que corresponda para cubrir las contingencias de accidentes de trabajo y enfermedades profesionales del personal a su servicio. Se acompañará del modelo 037.
b) Alta en la Mutualidad.
c) Afiliación, si no está afiliado previamente, y alta de los trabajadores al régimen general de la Seguridad Social, en las administraciones de la Seguridad Social (TA1 y TA2)
d) Y la obtención del calendario laboral (por cada centro de trabajo).
e) Comunicación de apertura del centro de trabajo a la Consejería correspondiente de la Comunidad Autónoma (Consejería de Empleo de la Junta de Andalucía) en el plazo de los 30 días siguientes a la apertura del mismo.
Mostrando entradas con la etiqueta jurídico. Mostrar todas las entradas
Mostrando entradas con la etiqueta jurídico. Mostrar todas las entradas
jueves, 29 de septiembre de 2016
martes, 6 de septiembre de 2016
trámites del empresario individual
El empresario individual es la persona física que
teniendo capacidad legal ejercita, de forma habitual, en nombre propio, por sí
o por medio de representante, una actividad constitutiva de empresa. Se puede ser titular de una actividad empresarial sin alcanzar la mayoría de edad pero no se podrá ejercer plenamente esta actividad hasta los 18 años, siempre y cuando goce de la plena disposición de sus bienes.
La persona física que quiera desarrollar una empresa no necesita aportar capital (va a responder con todo su patrimonio, gran inconveniente de esta forma jurídica) y los trámites son muy sencillos.
No necesita acudir a un notario ni al Registro Mercantil, ya que su inscripción es potestativa, es decir, voluntaria y desde el momento en que presente ante la Agencia Tributaria el modelo 037 (en determinados casos será el modelo 036) podrá iniciar su actividad. Con este impreso se dará de alta en el censo de empresarios y reflejará la fecha de inicio de actividades indicando el epígrafe del Impuesto sobre Actividades Económicas (IAE) correspondiente a dicha actividad. Este impreso también sirve para darse de alta en el IVA (es histórico que se puedan hacer varios trámites en un mismo impreso oficial, jeje).
Una vez que hemos sido "fichados" por Hacienda, la que es de todos según dicen, debemos darnos de alta en el Régimen Especial de Trabajadores Autónomos, el famoso RETA. De aquí viene la general confusión de llamar a los empresarios individuales como autónomos pero aclaremos que es cierto que todos los empresarios individuales son autónomos pero no todos los autónomos son empresarios individuales (por ejemplo, los administradores societarios). En caso de contratar trabajadores, se realizarán algunos trámites más.
Quedarían pendientes algunos trámites a realizar en función de la actividad, básicamente solicitar en el Ayuntamiento de la localidad la correspondiente licencia de apertura (en Sevilla).
Por consiguiente, es una manera sencilla y barata de realizar la actividad empresarial, máxime si sigue en vigor la denominada tarifa plana en el RETA. Aunque lo inicialmente barato puede salir en el futuro muy caro (me refiero a la responsabilidad ilimitada del empresario, que lo dejaré para otro día).
martes, 29 de septiembre de 2015
cámaras que no graban
Según la propia Agencia de Protección de Datos (AEPD) la mayoría de las denuncias que recibe están relacionadas con la videovigilancia, es decir, con las cámaras de grabación.
Conocemos a personas y empresas que tienen puestas cámaras en la fachada, en el garaje, dentro del bar y otros sitios y cuando les preguntas si son legales te suelen responder, si hay una cierta relación, que tranquilo, no graban.
Pues antes del verano la AEPD ha archivado una serie de denuncias relacionadas con las cámaras de entre las cuales hemos querido destacar una de ellas, que fue motivada por la instalación de cámaras de videovigilancia en un edificio enfocadas hacia la calle, sin carteles de advertencia, colocadas por el administrador del edificio.
Ante el requerimiento de la AEPD solicitando información, el titular respondió que las videocámaras no graban por estar desconectadas, alegación ante la cual la AEPD le requirió pruebas:
Pero, cuidado porque la AEPD se ha manifestado negativamente sobre las cámaras en varias resoluciones, llegando a sancionar con 1.500€ (PS/00139/2012) una situación en la que la cámara no existía, desestimando las alegaciones presentadas y el posterior recurso de reposición.
En definitiva, si repasamos estas resoluciones de la AEPD y las motivaciones esgrimidas, aun siendo evidente que si existe una cámara falsa o real (que esté apagada y por tanto sin funcionar) no existirá tratamiento de datos, la AEPD ha considerado que genera una “falsa apariencia”, argumento con el que no estamos de acuerdo.
Es muy importante ante estas situaciones, sobre todo, si llega un apercibimiento de sanción, responder en tiempo y modo a las notificaciones de la AEPD, sin olvidarnos de cuidar mucho nuestras alegaciones, ya que de todo ello puede depender que seamos sancionados o que la Agencia considere que por esta vez seamos apercibidos o en el mejor de los casos archiven la denuncia.
Conocemos a personas y empresas que tienen puestas cámaras en la fachada, en el garaje, dentro del bar y otros sitios y cuando les preguntas si son legales te suelen responder, si hay una cierta relación, que tranquilo, no graban.
Pues antes del verano la AEPD ha archivado una serie de denuncias relacionadas con las cámaras de entre las cuales hemos querido destacar una de ellas, que fue motivada por la instalación de cámaras de videovigilancia en un edificio enfocadas hacia la calle, sin carteles de advertencia, colocadas por el administrador del edificio.
Ante el requerimiento de la AEPD solicitando información, el titular respondió que las videocámaras no graban por estar desconectadas, alegación ante la cual la AEPD le requirió pruebas:
- “Justificación documental (factura, envoltorio, ticket de compra o documento similar) a través de los cuales se acredite fehacientemente que las cámaras instaladas son CÁMARAS FICTICIAS.
- Documentación gráfica (fotografías) en las que se aprecie que se trata de cámaras simuladas, que NO FUNCIONAN y/o que se encuentran DESCONECTADAS.
- Se le requiere formalmente para que retire o redirija las cámaras, de modo que no enfoque la vía pública ni áreas o espacios pertenecientes a terceras personas.”
Pero, cuidado porque la AEPD se ha manifestado negativamente sobre las cámaras en varias resoluciones, llegando a sancionar con 1.500€ (PS/00139/2012) una situación en la que la cámara no existía, desestimando las alegaciones presentadas y el posterior recurso de reposición.
En definitiva, si repasamos estas resoluciones de la AEPD y las motivaciones esgrimidas, aun siendo evidente que si existe una cámara falsa o real (que esté apagada y por tanto sin funcionar) no existirá tratamiento de datos, la AEPD ha considerado que genera una “falsa apariencia”, argumento con el que no estamos de acuerdo.
Es muy importante ante estas situaciones, sobre todo, si llega un apercibimiento de sanción, responder en tiempo y modo a las notificaciones de la AEPD, sin olvidarnos de cuidar mucho nuestras alegaciones, ya que de todo ello puede depender que seamos sancionados o que la Agencia considere que por esta vez seamos apercibidos o en el mejor de los casos archiven la denuncia.
martes, 15 de septiembre de 2015
Ejemplos de multas por infracción LOPD
Algunos ejemplos de típicas (y no deliberadas) infracciones de la normativa de protección de datos y su correspondiente multa (gracias a Datadesk)
INFRACCIONES LEVES (de 900 a 40.000 euros)
1. Si envías comunicaciones comerciales por email o a través de otra vía de comunicación electrónica sin que los destinatarios hayan autorizado expresamente que están de acuerdo con dicho envío.
2. Debes saber que has de comunicar al registro público el nombre del dominio de tu página web.
3. No darle a la Agencia Española de Protección de Datos la información que te solicite, de acuerdo a las competencias que la Ley otorga a la agencia.
INFRACCIONES GRAVES (de 40.001 a 300.000 euros) éstas ya son palabras mayores
4. El destinatario del servicio ha de conocer las condiciones generales a que se sujete el contrato.
5. No modificar o rectificar datos de carácter personal cuando estos errores afecten a los derechos de las personas nombradas.
6. No facilitar y obstruir la función inspectora.
7. Envío masivo de comunicaciones comerciales vía email u otra vía de comunicación electrónica cuando los destinatarios no hayan autorizado que se les mandase dicha comunicación.
INFRACCIONES MUY GRAVES (de 300.001 a 600.000 euros) Si incurres en una de estas infracciones, tienes el infarto asegurado
8. Si tu empresa no cumple con la obligación de suspender el alojamiento de datos, el acceso a la web u otro servicio equivalente relacionado con la intermediación, cuando un órgano administrativo le obligue a ello.
9. Cuando se recaben o recojan datos e información de manera engañosa o fraudulenta.
10. Si se transfieren datos de carácter personal a otros países que no proporcionen el mismo nivel de protección del país de origen sin la pertinente autorización del director de la Agencia Española de Protección de Datos.
INFRACCIONES LEVES (de 900 a 40.000 euros)
1. Si envías comunicaciones comerciales por email o a través de otra vía de comunicación electrónica sin que los destinatarios hayan autorizado expresamente que están de acuerdo con dicho envío.
2. Debes saber que has de comunicar al registro público el nombre del dominio de tu página web.
3. No darle a la Agencia Española de Protección de Datos la información que te solicite, de acuerdo a las competencias que la Ley otorga a la agencia.
INFRACCIONES GRAVES (de 40.001 a 300.000 euros) éstas ya son palabras mayores
4. El destinatario del servicio ha de conocer las condiciones generales a que se sujete el contrato.
5. No modificar o rectificar datos de carácter personal cuando estos errores afecten a los derechos de las personas nombradas.
6. No facilitar y obstruir la función inspectora.
7. Envío masivo de comunicaciones comerciales vía email u otra vía de comunicación electrónica cuando los destinatarios no hayan autorizado que se les mandase dicha comunicación.
INFRACCIONES MUY GRAVES (de 300.001 a 600.000 euros) Si incurres en una de estas infracciones, tienes el infarto asegurado
8. Si tu empresa no cumple con la obligación de suspender el alojamiento de datos, el acceso a la web u otro servicio equivalente relacionado con la intermediación, cuando un órgano administrativo le obligue a ello.
9. Cuando se recaben o recojan datos e información de manera engañosa o fraudulenta.
10. Si se transfieren datos de carácter personal a otros países que no proporcionen el mismo nivel de protección del país de origen sin la pertinente autorización del director de la Agencia Española de Protección de Datos.
Recomendación final: algunas de estas infracciones son fáciles de evitar, otras necesitas la colaboración de profesionales. Cuenta con nosotros para adaptarte a la normativa de protección de datos lo antes posible.
martes, 8 de septiembre de 2015
Consejos sobre protección de datos
Consejos para que tu empresa se adapte fácilmente a la normativa de protección de datos:
1. Inscribe tus ficheros en la Agencia Española de Protección de Datos (AEPD). Cada uno de los ficheros de recolección de datos con los que trabaje la empresa debe estar inscrito en el Registro General de Protección de Datos para que éstos sean públicos y accesibles para todos los interesados. Es una de las sanciones más fácilmente evitable.
2. Sé claro en el tratamiento de los datos. Es preciso diseñar un proceso de recogida, tratamiento y almacenamiento de los datos que cumplan con una serie de reglas como la toma de datos pertinentes sin emplear métodos de recolección fraudulentos o su cancelación cuando dejan de ser necesarios, entre otras.
3. Cumple con el deber de información. El titular de los datos debe estar informado en todo momento de los términos exactos en los que se recopila y tratará la información en el futuro.
4. Cuenta con el consentimiento del afectado. Es cierto que en algunas ocasiones basta con el consentimiento tácito pero tiene un grave problema que recae en el responsable del fichero: acreditar dicho consentimiento. Por consiguiente, lo recomendable es contar con el consentimiento expreso del titular de los datos personales.
5. Pon mucho cuidado a los datos especialmente protegidos. Los datos que hagan referencia a la ideología, afiliación sindical, religión y creencias, origen racial, salud y vida sexual deben ser tratados con mayor precaución debido a que son especialmente sensibles.
6. Garantiza la seguridad de los datos. La empresa debe tomar las medidas, técnicas, humanas y operativas que sean necesarias para evitar que los datos se alteren, pierdan o sean accesibles sin autorización.
7. Respeta el deber de secreto. Es obligatorio que las personas que hayan tenido acceso a los datos personales guarden el secreto profesional y salvaguarden su confidencialidad.
8. Informa de la comunicación de datos. Si los datos se van a entregar a otra persona, empresa o entidad, es preciso que sea por un fin relacionado y legítimo, que se informe al titular y que se cuente con su consentimiento.
9. Cuida el acceso a los datos por cuenta de terceros. Si la empresa decide externalizar un servicio (contabilidad, nóminas, publicidad…) el proveedor de éste pasa a ser el encargado del tratamiento de los datos. Para cumplir con la Ley de Protección de Datos deberá tratarlos siguiendo las instrucciones del responsable del fichero y devolverlos o destruirlos una vez finalice el servicio.
10. Facilita el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. La empresa debe encargarse de implementar los formularios y procesos necesarios para que los titulares ejerzan estos derechos.
Para tener todo esto en orden y cumplir con la Ley de Protección de Datos, es muy recomendable que un experto realice una auditoría de protección de datos y ofrezca un informe de calidad sobre la situación en la que se encuentra la empresa en relación a este asunto y proceda a la adaptación de la empresa a dicha normativa.
1. Inscribe tus ficheros en la Agencia Española de Protección de Datos (AEPD). Cada uno de los ficheros de recolección de datos con los que trabaje la empresa debe estar inscrito en el Registro General de Protección de Datos para que éstos sean públicos y accesibles para todos los interesados. Es una de las sanciones más fácilmente evitable.
2. Sé claro en el tratamiento de los datos. Es preciso diseñar un proceso de recogida, tratamiento y almacenamiento de los datos que cumplan con una serie de reglas como la toma de datos pertinentes sin emplear métodos de recolección fraudulentos o su cancelación cuando dejan de ser necesarios, entre otras.
3. Cumple con el deber de información. El titular de los datos debe estar informado en todo momento de los términos exactos en los que se recopila y tratará la información en el futuro.
4. Cuenta con el consentimiento del afectado. Es cierto que en algunas ocasiones basta con el consentimiento tácito pero tiene un grave problema que recae en el responsable del fichero: acreditar dicho consentimiento. Por consiguiente, lo recomendable es contar con el consentimiento expreso del titular de los datos personales.
5. Pon mucho cuidado a los datos especialmente protegidos. Los datos que hagan referencia a la ideología, afiliación sindical, religión y creencias, origen racial, salud y vida sexual deben ser tratados con mayor precaución debido a que son especialmente sensibles.
6. Garantiza la seguridad de los datos. La empresa debe tomar las medidas, técnicas, humanas y operativas que sean necesarias para evitar que los datos se alteren, pierdan o sean accesibles sin autorización.
7. Respeta el deber de secreto. Es obligatorio que las personas que hayan tenido acceso a los datos personales guarden el secreto profesional y salvaguarden su confidencialidad.
8. Informa de la comunicación de datos. Si los datos se van a entregar a otra persona, empresa o entidad, es preciso que sea por un fin relacionado y legítimo, que se informe al titular y que se cuente con su consentimiento.
9. Cuida el acceso a los datos por cuenta de terceros. Si la empresa decide externalizar un servicio (contabilidad, nóminas, publicidad…) el proveedor de éste pasa a ser el encargado del tratamiento de los datos. Para cumplir con la Ley de Protección de Datos deberá tratarlos siguiendo las instrucciones del responsable del fichero y devolverlos o destruirlos una vez finalice el servicio.
10. Facilita el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. La empresa debe encargarse de implementar los formularios y procesos necesarios para que los titulares ejerzan estos derechos.
Para tener todo esto en orden y cumplir con la Ley de Protección de Datos, es muy recomendable que un experto realice una auditoría de protección de datos y ofrezca un informe de calidad sobre la situación en la que se encuentra la empresa en relación a este asunto y proceda a la adaptación de la empresa a dicha normativa.
miércoles, 14 de mayo de 2014
derecho al olvido
Recientemente el Tribunal de Justicia de la Unión Europea se ha pronunciado respecto del derecho al olvido. Intentaré explicar brevemente en qué consiste y las previsibles consecuencias de dicha sentencia que tanta repercusión está teniendo en los medios de comunicación.
El derecho al olvido es realmente el ejercicio de los derechos de oposición y cancelación con la consecuencia fundamental de eliminar un dato personal que no cumple los requisitos de calidad según la normativa de protección de datos, es decir, no es exacto, ni actual ni pertinente. El caso en cuestión tiene su origen en 1998 cuando La Vanguardia publica una información con enlaces a una subasta de inmuebles embargados por deudas a la Seguridad Social que con el tiempo fue levantado por el afectado. Cuando éste teclea su nombre en Google sale esa noticia que él entiende que le perjudica. En España se resuelve dando la razón a La Vanguardia al tener una justificación legal pero se ordena a Google que haga desaparecer en su buscador dicho enlace, por lo que la multinacional recurre a la Audiencia Nacional. En 2012, la Audiencia plantea una cuestión prejudicial al TJUE.
Esta sentencia supone dos cambios fundamentales en la materia:
- El tribunal establece que los buscadores realizan un tratamiento de datos de carácter personal. Esta actividad está sometida a las normas de protección de datos de la UE, dado que Google vende espacios publicitarios en un Estado miembro a través de su filial Google Spain. El tribunal comunitario considera al buscador “responsable” de la información que figura en la lista de resultados de una búsqueda.
- Existe el derecho al olvido. Cuando hay un conflicto entre la libertad de información y un derecho fundamental de una persona, el buscador ya no es neutral. Si un ciudadano quiere que le borren un dato lesivo e irrelevante tiene dos opciones: puede ir al medio que publica la información y, además, ir directamente al buscador para que elimine el contenido.
Esto no quiere decir que los buscadores tienen que eliminar aquellos datos que no nos interesen sino que los Tribunales tendrán que ponderar, caso a caso, si prevalece el interés general de que todos conozcamos algo o el interés particular del sujeto. Por tanto, buscadores de Internet como Google deben retirar los enlaces a informaciones publicadas en el pasado si se comprueba que son lesivas para alguna persona y carecen de relevancia. Solo se elimina de los resultados de los buscadores para que los datos lesivos no permanezcan eternamente en Internet, no de la publicación original.
Es previsible que el fallo tenga influencia en la tramitación del nuevo reglamento europeo sobre protección de datos personales y sobre las estructuras de las multinacionales propietarias de los buscadores en Internet. Además de los más de 200 casos pendientes en la Audiencia Nacional sólo con Google.
El derecho al olvido es realmente el ejercicio de los derechos de oposición y cancelación con la consecuencia fundamental de eliminar un dato personal que no cumple los requisitos de calidad según la normativa de protección de datos, es decir, no es exacto, ni actual ni pertinente. El caso en cuestión tiene su origen en 1998 cuando La Vanguardia publica una información con enlaces a una subasta de inmuebles embargados por deudas a la Seguridad Social que con el tiempo fue levantado por el afectado. Cuando éste teclea su nombre en Google sale esa noticia que él entiende que le perjudica. En España se resuelve dando la razón a La Vanguardia al tener una justificación legal pero se ordena a Google que haga desaparecer en su buscador dicho enlace, por lo que la multinacional recurre a la Audiencia Nacional. En 2012, la Audiencia plantea una cuestión prejudicial al TJUE.
Esta sentencia supone dos cambios fundamentales en la materia:
- El tribunal establece que los buscadores realizan un tratamiento de datos de carácter personal. Esta actividad está sometida a las normas de protección de datos de la UE, dado que Google vende espacios publicitarios en un Estado miembro a través de su filial Google Spain. El tribunal comunitario considera al buscador “responsable” de la información que figura en la lista de resultados de una búsqueda.
- Existe el derecho al olvido. Cuando hay un conflicto entre la libertad de información y un derecho fundamental de una persona, el buscador ya no es neutral. Si un ciudadano quiere que le borren un dato lesivo e irrelevante tiene dos opciones: puede ir al medio que publica la información y, además, ir directamente al buscador para que elimine el contenido.
Esto no quiere decir que los buscadores tienen que eliminar aquellos datos que no nos interesen sino que los Tribunales tendrán que ponderar, caso a caso, si prevalece el interés general de que todos conozcamos algo o el interés particular del sujeto. Por tanto, buscadores de Internet como Google deben retirar los enlaces a informaciones publicadas en el pasado si se comprueba que son lesivas para alguna persona y carecen de relevancia. Solo se elimina de los resultados de los buscadores para que los datos lesivos no permanezcan eternamente en Internet, no de la publicación original.
Es previsible que el fallo tenga influencia en la tramitación del nuevo reglamento europeo sobre protección de datos personales y sobre las estructuras de las multinacionales propietarias de los buscadores en Internet. Además de los más de 200 casos pendientes en la Audiencia Nacional sólo con Google.
martes, 18 de marzo de 2014
Primera sanción a web en España por mal “uso” de cookies; 3.500€
Tras un procedimiento de 5 meses, la AEPD ha sancionado a dos empresas por el uso indebido de cookies. De tal resolución (R/02990/2013), extraemos las siguientes ideas:
Para que el consentimiento teóricamente prestado para la instalación sea válido, la información debe ser correcta. La aceptación de esta información puede realizarse bien mediante la aceptación expresa, al pinchar sobre un enlace; o presunta, si se continúa navegando por la Web. Este consentimiento ha de ser previo a la instalación pero su incumplimiento no es sancionable (no recogido en la redacción del artículo 38.4.g).
Se debe ofrecer la posibilidad de desinstalar las Cookies, así como el borrado de la información almacenada por éstas.
La resolución también sanciona a una de ellas, por no informar a los Usuarios sobre el tratamiento de sus datos en su formulario de contacto, como obliga el artículo 5 en sus apartados 1 y 2, con 1.500€, aplicándole una rebaja en la cuantía.
La Agencia recomienda ofrecer la información en dos capas, que deben cumplir una serie de requisitos. La información que se considera necesaria debe ser “completa y clara, en especial en cuanto a la tipología de cookies realmente utilizadas, finalidad de las mismas, e identidad de quienes instalan y utilizan las cookies”. El incumplimiento de estos requisitos “Invalidaría el consentimiento que pueda ser prestado por los usuarios al Aceptar la Política de Cookies o seguir navegando por los sitios web”.
Para que el consentimiento teóricamente prestado para la instalación sea válido, la información debe ser correcta. La aceptación de esta información puede realizarse bien mediante la aceptación expresa, al pinchar sobre un enlace; o presunta, si se continúa navegando por la Web. Este consentimiento ha de ser previo a la instalación pero su incumplimiento no es sancionable (no recogido en la redacción del artículo 38.4.g).
Se debe ofrecer la posibilidad de desinstalar las Cookies, así como el borrado de la información almacenada por éstas.
Finalmente las sanciones han sido de 3.000€ para una empresa, y 500€ a otra por una infracción del artículo 22.2 de la LSSI por la falta de las obligaciones de información., tipificada como leve en el artículo 38.4.g) de dicha norma.
La resolución también sanciona a una de ellas, por no informar a los Usuarios sobre el tratamiento de sus datos en su formulario de contacto, como obliga el artículo 5 en sus apartados 1 y 2, con 1.500€, aplicándole una rebaja en la cuantía.
lunes, 10 de marzo de 2014
Cuidadín con la banca online y el teléfono móvil
Una entidad bancaria ha sido (PS-00344-2013) por la Agencia Española de Protección de Datos (AEPD) tras la denuncia presentada por dos particulares en la que reflejaban que utilizando sus propias claves de acceso a sus cuentas de banca on-line mediante teléfonos móviles, han podido acceder a los datos de otros clientes, aportando impresiones de pantalla como prueba.
Tras recibir la denuncia, la AEPD inició las actuaciones previas de investigación para esclarecer los hechos y en la inspección la entidad manifestó que tuvo conocimiento de dichas incidencias por una llamada recibida en su Call Center, siendo bloqueado dicho sistema de acceso a los 12 minutos de dicha llamada. No sólo reconoce la entidad los hechos denunciados sino que inmediatamente emprende acciones para resolver el problema e introduce mejoras de seguridad. El problema afectó a 27 clientes, con los que el Departamento de Atención al Cliente, contactó.
La AEPD imputó a la entidad bancaria la vulneración del principio de seguridad de los datos personales, establecido en el artículo 9.1 de la LOPD, que establece el “principio de seguridad de los datos” que impone la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros.
Asumidos los hechos por la entidad bancaria, la AEPD refleja que ha quedado acreditado que la citada entidad incumplió ésta obligación, como lo recoge el informe descriptivo de la incidencia habida y se refleja en el acta de inspección llevado a cabo en la sede de la compañía, puesto que la aplicación para el acceso mediante móviles y utilizando el código de usuario y clave, no impidió que los denunciantes pudieran acceder a datos personales de otros clientes usuarios de la entidad denunciada.
Tras recibir la denuncia, la AEPD inició las actuaciones previas de investigación para esclarecer los hechos y en la inspección la entidad manifestó que tuvo conocimiento de dichas incidencias por una llamada recibida en su Call Center, siendo bloqueado dicho sistema de acceso a los 12 minutos de dicha llamada. No sólo reconoce la entidad los hechos denunciados sino que inmediatamente emprende acciones para resolver el problema e introduce mejoras de seguridad. El problema afectó a 27 clientes, con los que el Departamento de Atención al Cliente, contactó.
La AEPD imputó a la entidad bancaria la vulneración del principio de seguridad de los datos personales, establecido en el artículo 9.1 de la LOPD, que establece el “principio de seguridad de los datos” que impone la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros.
Asumidos los hechos por la entidad bancaria, la AEPD refleja que ha quedado acreditado que la citada entidad incumplió ésta obligación, como lo recoge el informe descriptivo de la incidencia habida y se refleja en el acta de inspección llevado a cabo en la sede de la compañía, puesto que la aplicación para el acceso mediante móviles y utilizando el código de usuario y clave, no impidió que los denunciantes pudieran acceder a datos personales de otros clientes usuarios de la entidad denunciada.
La AEPD imputó a la citada entidad bancaria la vulneración del principio de seguridad de datos personales que lleva aparejada una multa que oscila entre los 40.000€ y los 300.000€.
La Agencia valoró los criterios, tanto favorables como adversos, de graduación de las sanciones e impuso una sanción de sólo 6.000€, ya que consideró que la entidad no sólo reconoció espontáneamente su culpabilidad sino que además actuó de manera diligente al regularizar la situación creada de manera inmediata, poniendo remedio a fallo cometido tan pronto tuvo conocimiento de los hechos ocurridos, estableciendo contacto con los afectados y adoptando nuevas medidas de seguridad para evitar que el fallo pudiera repetirse.
La conclusión a la que llegamos es que ante fallos de seguridad, no vale con lamentarse y esperar acontecimientos sino que hay que adelantarse a los mismos y corregir inmediatamente los errores cometidos. Lo agradecerán los clientes y tu cartera.
La Agencia valoró los criterios, tanto favorables como adversos, de graduación de las sanciones e impuso una sanción de sólo 6.000€, ya que consideró que la entidad no sólo reconoció espontáneamente su culpabilidad sino que además actuó de manera diligente al regularizar la situación creada de manera inmediata, poniendo remedio a fallo cometido tan pronto tuvo conocimiento de los hechos ocurridos, estableciendo contacto con los afectados y adoptando nuevas medidas de seguridad para evitar que el fallo pudiera repetirse.
La conclusión a la que llegamos es que ante fallos de seguridad, no vale con lamentarse y esperar acontecimientos sino que hay que adelantarse a los mismos y corregir inmediatamente los errores cometidos. Lo agradecerán los clientes y tu cartera.
miércoles, 15 de enero de 2014
cuidado con las campañas virales en Facebook
Recientemente la AEPD ha resuelto un procedimiento que afecta a las redes sociales que tanto usamos. En este caso, en el muro de diversos perfiles de usuarios de la red social Facebook aparecían mensajes provenientes de otros usuarios de la red social con el texto “sabes que sales en un video” y un enlace web denominado www........................1 acompañado de una imagen en formato video que, a su vez, dirigía al destinatario a un conjunto de sitios web alojados en el dominio blogspot.com. que simulaban mediante su aspecto ser parte de la red social Facebook, informando que se requería la instalación de un complemento para el navegador que permitiese visualizar dicho video, se solicitaba permiso del usuario para instalar un software desde el sitio web www........................2.
Resulta acreditado que cuando el usuario decidía instalar el complemento se mostraba un mensaje indicando que, para comprobar la mayoría de edad era necesario proporcionar un número de móvil al que se remitiría un código de activación redirigiendo la navegación a un sitio web de suscripción de servicios de tarificación adicional y ejecutando un software que contenía un virus, que utilizaba el identificador de la red social Facebook del usuario y otras funcionalidades replicaba de manera automática y si que el usuario fuese consciente, el mensaje recibido en los muros de 30 de sus amigos.
En el sitio web donde se debía introducir el número de teléfono móvil es propiedad de FROGGIE, avirtiéndose que los datos del usuario serían tratados por medios automatizados con el objetivo de obtener perfiles de usuario y que se podrían ejercitar los derechos de acceso, rectificación, cancelación y oposición.
FROGGIE encomendó una campaña de publicidad a PI2006 quien, en nombre de aquella encargó a USERS2CASH la ejecución de la campaña. Resulta acreditado que FROGGIE, a través de PI2006 decidió el segmento de destinatarios de su campaña, utilizó Publisher independientes sin poder determinar la identidad de éstos, para conseguir la máxima expansión de la campaña en Internet.
Para la AEPD hay tratamiento de datos en dos momentos o estadios de los hechos analizados y sobre los que recae la imputación a FROGGIE y a USER2CASH. Por un lado, en la captación de los números de teléfono de los potenciales clientes ya que tanto las cuentas de correo como los perfiles de usuario de una red social pueden ser considerados dato personal; y por otro lado en difusión de la publicidad de FROGGIE, es decir, a través de perfiles de usuarios de la red social.
En el presente caso ha existido un tratamiento de datos personales sin consentimiento por cuenta de FROGGIE a la vista de que en ejecución de su campaña publicitaria encargada a PI2006, y subcontratada a USER2CASH que mediante virus de tipo troyano se suplantaron identidades de usuarios de la red social Facebook para mediante engaño ser redirigidos a sitio web de FROGGIE donde insertaban el número de teléfono móvil y se incorporaba a una base de datos de ésta, suscribiéndose a un servicio de tarificación adicional (SMS PREMIUM).
En consecuencia, la Agencia Española de Protección de Datos resuelve:
Imponer a la entidad USERS2CASH NETWORK IBERICA, S.L., por una infracción del artículo 6 de la LOPD, una multa de 40.001 € y a la entidad FROGGIE S.L., por una infracción del artículo 6 de la LOPD en relación con el artículo 46 del RDLOPD, una multa de 6.000 €.
Resulta acreditado que cuando el usuario decidía instalar el complemento se mostraba un mensaje indicando que, para comprobar la mayoría de edad era necesario proporcionar un número de móvil al que se remitiría un código de activación redirigiendo la navegación a un sitio web de suscripción de servicios de tarificación adicional y ejecutando un software que contenía un virus, que utilizaba el identificador de la red social Facebook del usuario y otras funcionalidades replicaba de manera automática y si que el usuario fuese consciente, el mensaje recibido en los muros de 30 de sus amigos.
En el sitio web donde se debía introducir el número de teléfono móvil es propiedad de FROGGIE, avirtiéndose que los datos del usuario serían tratados por medios automatizados con el objetivo de obtener perfiles de usuario y que se podrían ejercitar los derechos de acceso, rectificación, cancelación y oposición.
FROGGIE encomendó una campaña de publicidad a PI2006 quien, en nombre de aquella encargó a USERS2CASH la ejecución de la campaña. Resulta acreditado que FROGGIE, a través de PI2006 decidió el segmento de destinatarios de su campaña, utilizó Publisher independientes sin poder determinar la identidad de éstos, para conseguir la máxima expansión de la campaña en Internet.
Para la AEPD hay tratamiento de datos en dos momentos o estadios de los hechos analizados y sobre los que recae la imputación a FROGGIE y a USER2CASH. Por un lado, en la captación de los números de teléfono de los potenciales clientes ya que tanto las cuentas de correo como los perfiles de usuario de una red social pueden ser considerados dato personal; y por otro lado en difusión de la publicidad de FROGGIE, es decir, a través de perfiles de usuarios de la red social.
En el presente caso ha existido un tratamiento de datos personales sin consentimiento por cuenta de FROGGIE a la vista de que en ejecución de su campaña publicitaria encargada a PI2006, y subcontratada a USER2CASH que mediante virus de tipo troyano se suplantaron identidades de usuarios de la red social Facebook para mediante engaño ser redirigidos a sitio web de FROGGIE donde insertaban el número de teléfono móvil y se incorporaba a una base de datos de ésta, suscribiéndose a un servicio de tarificación adicional (SMS PREMIUM).
En consecuencia, la Agencia Española de Protección de Datos resuelve:
Imponer a la entidad USERS2CASH NETWORK IBERICA, S.L., por una infracción del artículo 6 de la LOPD, una multa de 40.001 € y a la entidad FROGGIE S.L., por una infracción del artículo 6 de la LOPD en relación con el artículo 46 del RDLOPD, una multa de 6.000 €.
jueves, 2 de enero de 2014
Sanción por Spam
Alguna vez nos ha pasado que hemos comprado algo por Internet y, consciente o inconscientemente, nos hemos suscrito a la newsletter de la web en cuestión. Tiempo después, cansados de recibir información comercial de dicha página, nos damos de baja en el boletín y nos llega el acuse de recibo confirmando la baja de nuestros datos de contacto de la base de datos de la empresa.
Al cabo de unos meses nos llega un nuevo correo con información comercial de dicha empresa. ¿Qué hacemos? Denunciarlo a la AEPD por SPAM, por ser un correo con publicidad comercial no solicitado. Hay que perder el miedo. La AEPD sanciona este incumplimiento de la normativa de protección de datos. A vuestra disposición un caso reciente.
Al cabo de unos meses nos llega un nuevo correo con información comercial de dicha empresa. ¿Qué hacemos? Denunciarlo a la AEPD por SPAM, por ser un correo con publicidad comercial no solicitado. Hay que perder el miedo. La AEPD sanciona este incumplimiento de la normativa de protección de datos. A vuestra disposición un caso reciente.
jueves, 26 de diciembre de 2013
Sanción a Google
Muy recientemente, tras un largo proceso coordinado con las Autoridades de Protección de Datos de Alemania, Francia, Holanda, Italia y Reino Unido, la Agencia Española de Protección de Datos declara ilegales los tratamientos de datos personales realizados por Google con su nueva política de privacidad. (Ver nota de prensa). Los medios se han hecho eco de tal condena Elmundo, ElPais, ABC, Elconfidencial.
La AEPD ha constatado que:
- Google no da a los usuarios información suficiente sobre qué datos recoge y para qué fines los utiliza, ya que se considera que Google utiliza una terminología imprecisa, con expresiones genéricas y poco claras. "Google emplea términos como podremos, podrá, podrán o es posible. Todo ello, sumado a otras expresiones sumamente ambiguas como mejorar la experiencia del usuario, da lugar a una política de privacidad indeterminada y poco clara", asegura la AEPD.
La combinación de los datos que recoge por medio de diferentes servicios excede ampliamente de las expectativas razonables de la mayoría de los usuarios, que no son conscientes de ello y pierden el control de su propia información personal.
La Agencia declara la existencia de tres infracciones de la LOPD e impone a Google una sanción de 300.000 euros por cada una, requiriéndole para que cumpla con la ley sin dilación.
La AEPD ha constatado que:
- Google no da a los usuarios información suficiente sobre qué datos recoge y para qué fines los utiliza, ya que se considera que Google utiliza una terminología imprecisa, con expresiones genéricas y poco claras. "Google emplea términos como podremos, podrá, podrán o es posible. Todo ello, sumado a otras expresiones sumamente ambiguas como mejorar la experiencia del usuario, da lugar a una política de privacidad indeterminada y poco clara", asegura la AEPD.
- combina la información personal recopilada a través de casi un centenar de servicios y productos que conserva durante un tiempo indefinido "sin proporcionar en muchos casos una información adecuada sobre qué datos se recogen, para qué fines se utilizan y sin obtener un consentimiento válido de sus titulares".
- y obstaculiza el ejercicio de los derechos de acceso, rectificación, cancelación y oposición.
La combinación de los datos que recoge por medio de diferentes servicios excede ampliamente de las expectativas razonables de la mayoría de los usuarios, que no son conscientes de ello y pierden el control de su propia información personal.
La Agencia declara la existencia de tres infracciones de la LOPD e impone a Google una sanción de 300.000 euros por cada una, requiriéndole para que cumpla con la ley sin dilación.
jueves, 19 de diciembre de 2013
Sanción por inclusión indebida de un presunto moroso en ASNEF
Seguro que conocemos a personas de nuestro entorno que se las han tenido tiesas con el famoso ASNEF. Aunque realmente no es un problema de este registro de morosos sino de la entidad que comunica tal deuda. Pues bien hace poco la AEPD ha sancionado a una entidad por no aplicar el rigor debido.
Un particular denunció la inclusión de sus datos de carácter personal en el fichero de solvencia patrimonial y crédito ASNEF sin requerimiento previo de pago por parte de una entidad financiera, que la vamos a denominar CREDIFIMO.
CREDIFIMO reconoce en su escrito que los datos del denunciante fueron incluidos en ASNEF sin que se hubiera practicado previo requerimiento de pago y, por tanto, sin advertencia de la posibilidad de inclusión en caso de impago en tal fichero. En este sentido, manifiesta que una vez detectó la incidencia, CREDIFIMO se dirigió a ASNEF para solicitar la cancelación de los datos del denunciante en dicho fichero, lo que se produjo de manera efectiva al día siguiente. Por consiguiente, CREDIFIMO se reconoce responsable de la comisión del hecho descrito, y, consecuentemente, culpable de la infracción.
Al reconocerse culpable de la infracción, junto con la rapidez para enmendar el error, solicitaba dicha entidad a la AEPD la aplicación de lo establecido en el artículo 45 de la LOPD, sobre graduación de sanciones, y, pretendía que se dejara sin efecto la incoación del procedimiento sancionador.
La Resolución sancionadora afirma que de lo expuesto en el procedimiento se deduce que CREDIFIMO no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). Todo ello, sin que los datos mantenidos en el fichero de CREDIFIMO respondiera a la situación actual del denunciante.
Para la AEPD las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y la inclusión como moroso del denunciante en ASNEF, en consecuencia, debería de haberse realizado con todo rigor por la entidad imputada para salvaguardar la veracidad de la información a transmitir a los ficheros de solvencia económica que la Ley Orgánica y su Reglamento exigen.
Por lo tanto, la AEPD resuelve que CREDIFIMO incurre en una infracción del principio de la calidad de dato, básico del derecho fundamental a la protección de datos, y tras apreciar la existencia de motivos para reducir la posible sanción económica, se le IMPONE a la entidad CREDIFIMO una multa de 20.000 € (veinte mil euros).
Un particular denunció la inclusión de sus datos de carácter personal en el fichero de solvencia patrimonial y crédito ASNEF sin requerimiento previo de pago por parte de una entidad financiera, que la vamos a denominar CREDIFIMO.
CREDIFIMO reconoce en su escrito que los datos del denunciante fueron incluidos en ASNEF sin que se hubiera practicado previo requerimiento de pago y, por tanto, sin advertencia de la posibilidad de inclusión en caso de impago en tal fichero. En este sentido, manifiesta que una vez detectó la incidencia, CREDIFIMO se dirigió a ASNEF para solicitar la cancelación de los datos del denunciante en dicho fichero, lo que se produjo de manera efectiva al día siguiente. Por consiguiente, CREDIFIMO se reconoce responsable de la comisión del hecho descrito, y, consecuentemente, culpable de la infracción.
Al reconocerse culpable de la infracción, junto con la rapidez para enmendar el error, solicitaba dicha entidad a la AEPD la aplicación de lo establecido en el artículo 45 de la LOPD, sobre graduación de sanciones, y, pretendía que se dejara sin efecto la incoación del procedimiento sancionador.
La Resolución sancionadora afirma que de lo expuesto en el procedimiento se deduce que CREDIFIMO no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). Todo ello, sin que los datos mantenidos en el fichero de CREDIFIMO respondiera a la situación actual del denunciante.
Para la AEPD las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y la inclusión como moroso del denunciante en ASNEF, en consecuencia, debería de haberse realizado con todo rigor por la entidad imputada para salvaguardar la veracidad de la información a transmitir a los ficheros de solvencia económica que la Ley Orgánica y su Reglamento exigen.
Por lo tanto, la AEPD resuelve que CREDIFIMO incurre en una infracción del principio de la calidad de dato, básico del derecho fundamental a la protección de datos, y tras apreciar la existencia de motivos para reducir la posible sanción económica, se le IMPONE a la entidad CREDIFIMO una multa de 20.000 € (veinte mil euros).
jueves, 28 de noviembre de 2013
Cuidadito con lo que se sube a Youtube
Otro caso, llamativo y más frecuente de lo que se piensa, es el de la grabación de imágenes con cámara oculta y su posterior subida a youtube.
La AEPD actuó tras la publicación en youtube de dos grabaciones de video con imágenes y voz de la denunciante y de sus hijos menores de edad, captadas sin su conocimiento por una Asociación, que la denominaremos PROJUSTICIA, en la que constan datos personales de la denunciante, con información pormenorizada sobre la separación matrimonial de la denunciante, identificada con su nombre y apellidos, y el régimen de visitas de los hijos.
Del visionado de los videos y de la orientación de la cámara se desprende que las imágenes y el sonido podrían haber sido captados mediante una cámara oculta. Se ha verificado que ambos videos son accesibles.
En el presente caso, se ha acreditado por un lado, el tratamiento de los datos personales por parte de PROJUSTICIA, consistentes en la imagen, nombre y apellidos de la denunciante, y por otro, el tratamiento de los datos personales de los menores por parte de PROJUSTICIA, consistentes en la imagen y, además, captadas directamente sin conocimiento, ni consentimiento, grabadas en un lugar próximo al colegio y referidas a la entrega de los mismos entre los progenitores, sin que ningún interés informativo se aprecie en la difusión de las imágenes de dichos niños que son accesibles a un gran número de personas, como lo son los usuarios de la red internet, a los que es accesible en abierto, por mucho que pretenda justificar PROJUSTICIA el carácter de periodístico por la razón de que en la web conste un apartado denominado “noticias”, tal afirmación resulta inaceptable por simplista.
En consecuencia la AEPD impone a PROJUSTICIA dos multas (pichar aquí):
1. Por el tratamiento de datos personales de la denunciante, consistente en una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3 b) de dicha norma, una multa de 1.000 € (mil euros) de conformidad con lo establecido en el artículo 45 de la LOPD.
2. Por el tratamiento de los datos personales de los menores de edad, consistente en una infracción del artículo 6 de la LOPD, en relación con el artículo 13 del RDLOPD, tipificada como grave en el artículo 44.3 b) de dicha norma, una multa de 2.000 € (dos mil euros) de conformidad con lo establecido en el artículo 45 de la LOPD.
La AEPD actuó tras la publicación en youtube de dos grabaciones de video con imágenes y voz de la denunciante y de sus hijos menores de edad, captadas sin su conocimiento por una Asociación, que la denominaremos PROJUSTICIA, en la que constan datos personales de la denunciante, con información pormenorizada sobre la separación matrimonial de la denunciante, identificada con su nombre y apellidos, y el régimen de visitas de los hijos.
Del visionado de los videos y de la orientación de la cámara se desprende que las imágenes y el sonido podrían haber sido captados mediante una cámara oculta. Se ha verificado que ambos videos son accesibles.
En el presente caso, se ha acreditado por un lado, el tratamiento de los datos personales por parte de PROJUSTICIA, consistentes en la imagen, nombre y apellidos de la denunciante, y por otro, el tratamiento de los datos personales de los menores por parte de PROJUSTICIA, consistentes en la imagen y, además, captadas directamente sin conocimiento, ni consentimiento, grabadas en un lugar próximo al colegio y referidas a la entrega de los mismos entre los progenitores, sin que ningún interés informativo se aprecie en la difusión de las imágenes de dichos niños que son accesibles a un gran número de personas, como lo son los usuarios de la red internet, a los que es accesible en abierto, por mucho que pretenda justificar PROJUSTICIA el carácter de periodístico por la razón de que en la web conste un apartado denominado “noticias”, tal afirmación resulta inaceptable por simplista.
En consecuencia la AEPD impone a PROJUSTICIA dos multas (pichar aquí):
1. Por el tratamiento de datos personales de la denunciante, consistente en una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3 b) de dicha norma, una multa de 1.000 € (mil euros) de conformidad con lo establecido en el artículo 45 de la LOPD.
2. Por el tratamiento de los datos personales de los menores de edad, consistente en una infracción del artículo 6 de la LOPD, en relación con el artículo 13 del RDLOPD, tipificada como grave en el artículo 44.3 b) de dicha norma, una multa de 2.000 € (dos mil euros) de conformidad con lo establecido en el artículo 45 de la LOPD.
jueves, 21 de noviembre de 2013
Multa a Vodafone
Una particular denuncia a VODAFONE ESPAÑA, S.A. para anular una deuda de 51,52 € que dicha entidad le venía reclamando y para su exclusión de ficheros de morosidad en los que había sido incluida por esta entidad por ser deuda incierta.
En primer lugar acudió a la Junta Arbitral de Consumo de Canarias que media entre ambas partes. VODAFONE alega por escrito que había procedido al abono de la susodicha cantidad lo que suponía la eliminación del saldo reclamado.
Con posterioridad VODAFONE reclamó a la denunciante el pago de 72,03 € por el impago de las facturas de agosto y septiembre de 2011 sin advertencia de la posibilidad de inclusión caso de impago. La denunciante rechaza la posibilidad del acuerdo propuesto y manifiesta su intención de seguir con la mediación y VODAFONE la incluye en ficheros de morosidad, aunque solicita, en el plazo de una semana, la baja de la correspondiente inclusión por existir la reclamación en consumo.
Poco tiempo después, VODAFONE emitió a nombre de la denunciante la factura rectificativa por importe de -72,03 €, antes de impuestos, por la que se rectificaban las facturas de agosto y septiembre de 2011.
La AEPD acude para fundamentar su decisión a una sentencia del Tribunal Supremo de 15 de julio de 2010 en la que se afirma de manera contundente que se entenderá como deuda cierta a los efectos de la calidad de los datos que ésta ha de ser irrefutable, indiscutible como consecuencia del principio de veracidad y exactitud que consagra el artículo 4.3 de la LOPD y anula por inconcreción del texto el último inciso del artículo 38.1.a) del RLOPD. En definitiva, una deuda en litigio a través de reclamación judicial, arbitral o administrativa impedirá que pueda hablarse de una deuda cierta hasta que recaiga resolución firme y, por tanto, la inclusión de la misma en los ficheros de solvencia patrimonial y crédito.
La AEPD (para leer el procedimiento sancionador, pinchar aquí) impone a la entidad VODAFONE ESPAÑA, S.A. multa de 50.000 € por la infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y en relación también con los artículos 38 y 39 del RLOPD; tipificada como grave en el artículo 44.3.c) de dicha norma y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica.
En primer lugar acudió a la Junta Arbitral de Consumo de Canarias que media entre ambas partes. VODAFONE alega por escrito que había procedido al abono de la susodicha cantidad lo que suponía la eliminación del saldo reclamado.
Con posterioridad VODAFONE reclamó a la denunciante el pago de 72,03 € por el impago de las facturas de agosto y septiembre de 2011 sin advertencia de la posibilidad de inclusión caso de impago. La denunciante rechaza la posibilidad del acuerdo propuesto y manifiesta su intención de seguir con la mediación y VODAFONE la incluye en ficheros de morosidad, aunque solicita, en el plazo de una semana, la baja de la correspondiente inclusión por existir la reclamación en consumo.
Poco tiempo después, VODAFONE emitió a nombre de la denunciante la factura rectificativa por importe de -72,03 €, antes de impuestos, por la que se rectificaban las facturas de agosto y septiembre de 2011.
La AEPD acude para fundamentar su decisión a una sentencia del Tribunal Supremo de 15 de julio de 2010 en la que se afirma de manera contundente que se entenderá como deuda cierta a los efectos de la calidad de los datos que ésta ha de ser irrefutable, indiscutible como consecuencia del principio de veracidad y exactitud que consagra el artículo 4.3 de la LOPD y anula por inconcreción del texto el último inciso del artículo 38.1.a) del RLOPD. En definitiva, una deuda en litigio a través de reclamación judicial, arbitral o administrativa impedirá que pueda hablarse de una deuda cierta hasta que recaiga resolución firme y, por tanto, la inclusión de la misma en los ficheros de solvencia patrimonial y crédito.
La AEPD (para leer el procedimiento sancionador, pinchar aquí) impone a la entidad VODAFONE ESPAÑA, S.A. multa de 50.000 € por la infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y en relación también con los artículos 38 y 39 del RLOPD; tipificada como grave en el artículo 44.3.c) de dicha norma y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica.
jueves, 7 de noviembre de 2013
multa de 100.000 euros a Canal Plus por vulneración LOPD
En agosto de 2011 Canal Plus, que entonces utilizaba el nombre comercial de Digital Plus, advirtió a un cliente de Sevilla, que tenía una deuda de 175 euros por un segundo contrato dado de alta en el mes de marzo en la localidad gaditana de Jerez de la Frontera y que, posteriormente, se trasladó a un domicilio sevillano que no coincidía con el suyo. El usuario advirtió que no había solicitado ese alta y exigió que le enviara por correo toda la documentación del contrato. Sin embargo, la compañía se limitó a remitirle facturas para exigirle su pago.
Ante la sospecha de que alguien había suplantado su identidad y que Digital Plus había admitido un alta de forma irregular, el usuario denunció el caso ante la Policía y acudió a FACUA para que pusiese en marcha acciones en defensa de sus derechos. Digital Plus también se negó a enviar la copia del contrato a FACUA, que interpuso una denuncia ante la Agencia Española de Protección de Datos.
Ante la sospecha de que alguien había suplantado su identidad y que Digital Plus había admitido un alta de forma irregular, el usuario denunció el caso ante la Policía y acudió a FACUA para que pusiese en marcha acciones en defensa de sus derechos. Digital Plus también se negó a enviar la copia del contrato a FACUA, que interpuso una denuncia ante la Agencia Española de Protección de Datos.
Pero la compañía no se quedó ahí sino que además, en agosto de 2012, incluyó al afectado en el fichero de morosos Asnef, de la empresa Equifax, por no pagar las facturas fruto del fraude, que elevó a 668 euros.
Tras una denuncia de FACUA-Consumidores en Acción, la Agencia Española de Protección de Datos (AEPD) ha resuelto que Digital Plus ha vulnerado el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal “ante la falta de acreditación por parte de la entidad imputada del consentimiento inequívoco del denunciante para el tratamiento de sus datos personales”. En su resolución, la Agencia recuerda que cuando una empresa trata datos personales, debe “asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea“.
Añade que Digital Plus ha incurrido en una infracción grave al “tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario”. Asimismo, al haber hecho caso omiso a la reclamación del afectado e incluirlo en un registro de morosos sin serlo, la empresa ha cometido otra infracción grave. Así, el artículo 4.3 de la Ley dispone que “los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”.
En consecuencia, la AEPD ha impuesto a Canal Plus (DTS Distribuidora de Televisión Digital) dos sanciones de 50.000 euros cada una.
jueves, 3 de octubre de 2013
Sanciones por 21 millones de euros por incumplimiento LOPD
La Agencia Española de Protección de Datos aplicó sanciones por 21 millones de euros en 2012 a entidades que incumplieron con la protección de datos de los usuarios, como informó su director, José Luis Rodríguez, durante el I Congreso Internacional de Protección de Datos Personales celebrado en Lima durante este mes de septiembre.
Las sanciones de la agencia española se aplicaron el año pasado a entidades de telecomunicaciones (73 %), financieras (13 %) y de suministro de energía y agua (6 %), y emitió 10.995 resoluciones sobre diversos aspectos del cumplimiento y protección de este derecho fundamental.
Las sanciones de la agencia española se aplicaron el año pasado a entidades de telecomunicaciones (73 %), financieras (13 %) y de suministro de energía y agua (6 %), y emitió 10.995 resoluciones sobre diversos aspectos del cumplimiento y protección de este derecho fundamental.
El Gran Hermano no existe jeje.
lunes, 10 de junio de 2013
Pepephone se autodenuncia ante la Agencia de Protección de Datos
El pasado día 29 de abril, la empresa comercialmente conocida como Pepephone, Operador de Telefonía Móvil Virtual, publicaba en su propio perfil de Twitter este tuit “Algunos clientes habéis recibido por un error humano un correo con direcciones de email. Hemos metido la pata. Perdonad y borradlo por favor”.
Pedían disculpas por haber procedido al envío de un correo electrónico masivoa clientes cuyas direcciones electrónicas no habían sido ocultadas. Es decir, todos y cada uno de los destinatarios de dicha comunicación comercial visualizaban las direcciones de email del resto de clientes a los que Pepephone había remitido la comunicación.
Al mismo tiempo que reconocían su error, lo achacaban a un fallo humano, solicitaba a todos los clientes que hubieran recibido dicho correo electrónico que lo borraran de sus bandejas de entrada.
Poco tiempo después, ese mismo día, era la propia compañía la que anunciaba que se autodenunciarían ante la Agencia Española de Protección de Datos por el error cometido: “Mañana nos auto-denunciaremos a la APD por el error que hemos cometido al enviar un mail a 4.800 personas sin copia oculta. Lo lamentamos”.
Aparte de la honradez de reconocer y rectificar un error ¿puede existir alguna otra razón que justifique dicha actuación?.
La dirección de correo electrónico de una persona física es un dato de carácter personal amparado por la normativa de protección de datos y si una empresa envía un correo electrónico con las direcciones de todos sus clientes visibles para el resto (en vez de incluirlas como Copia Oculta-CCo), los destinatarios de dicha comunicación podrán visualizar las direcciones electrónicas personales del resto de clientes de dicha compañía lo que, claramente supone una vulneración del deber de secreto profesional (art. 10 LOPD) por parte de la empresa remitente del correo electrónico.Esta vulneración está tipificada como infracción grave y la sanción económica puede alcanzar los 300.000€. Es posible que Pepephone haya reconocido de manera inmediata y espontánea este error para evitar tal cuantía, ya que según el art. 45.4 LOPD, dicha sanción podría verse considerablemente disminuida atendidas una serie de circunstancias como pueden ser el beneficio obtenido o el grado de intencionalidad. En un post anterior comentábamos un caso similar en el que la sanción definitiva fue de 2.000€. Veremos qué decide la Agencia Española de Protección de Datos.
Pedían disculpas por haber procedido al envío de un correo electrónico masivoa clientes cuyas direcciones electrónicas no habían sido ocultadas. Es decir, todos y cada uno de los destinatarios de dicha comunicación comercial visualizaban las direcciones de email del resto de clientes a los que Pepephone había remitido la comunicación.
Al mismo tiempo que reconocían su error, lo achacaban a un fallo humano, solicitaba a todos los clientes que hubieran recibido dicho correo electrónico que lo borraran de sus bandejas de entrada.
Poco tiempo después, ese mismo día, era la propia compañía la que anunciaba que se autodenunciarían ante la Agencia Española de Protección de Datos por el error cometido: “Mañana nos auto-denunciaremos a la APD por el error que hemos cometido al enviar un mail a 4.800 personas sin copia oculta. Lo lamentamos”.
Aparte de la honradez de reconocer y rectificar un error ¿puede existir alguna otra razón que justifique dicha actuación?.
La dirección de correo electrónico de una persona física es un dato de carácter personal amparado por la normativa de protección de datos y si una empresa envía un correo electrónico con las direcciones de todos sus clientes visibles para el resto (en vez de incluirlas como Copia Oculta-CCo), los destinatarios de dicha comunicación podrán visualizar las direcciones electrónicas personales del resto de clientes de dicha compañía lo que, claramente supone una vulneración del deber de secreto profesional (art. 10 LOPD) por parte de la empresa remitente del correo electrónico.Esta vulneración está tipificada como infracción grave y la sanción económica puede alcanzar los 300.000€. Es posible que Pepephone haya reconocido de manera inmediata y espontánea este error para evitar tal cuantía, ya que según el art. 45.4 LOPD, dicha sanción podría verse considerablemente disminuida atendidas una serie de circunstancias como pueden ser el beneficio obtenido o el grado de intencionalidad. En un post anterior comentábamos un caso similar en el que la sanción definitiva fue de 2.000€. Veremos qué decide la Agencia Española de Protección de Datos.
lunes, 27 de mayo de 2013
Twitter y la protección de datos de los usuarios
La Agencia Española de Protección de Datos ha archivado una denuncia presentada por la Asociación de Consumidores y Usuarios en Acción-FACUA en la que se denunciaba a Twitter por una posible vulneración de la LOPD en relación al derecho de información a los usuarios.
Hace unos meses la Asociación de Consumidores y Usuarios en Acción-FACUA denunció a Twitter, Inc. por considerar que ésta podría vulnerar el derecho de información contemplado en el artículo 5 LOPD por una inadecuada implementación de la funcionalidad “Encontrar amigos” en la versión para terminales móviles, al entender que esta funcionalidad transmite la información de la agenda de contactos del teléfono del usuario a los servidores de la compañía, donde al parecer se almacena durante 18 meses.
Tras recibir la denuncia, la Agencia Española de Protección de Datos (AEPD) inició una investigación sobre el asunto, examinando en primer lugar la política de privacidad de Twitter, en concreto el apartado “información adicional”, donde ya se contemplaba que opcionalmente se podía aportar a Twitter determinada información.
Se requiere a la compañía estadounidense para que aclare los procedimientos relacionados con la manera de recabar el consentimiento de los usuarios de la red social Twitter para tratar los datos de carácter personal contenidos en las agendas de contactos de sus respectivos terminales móviles, el tratamiento de los datos recabados de las agendas de contactos de sus usuarios, el período de conservación de los datos en los servidores de Twitter, Inc. y, por último, por el procedimiento de revocación del consentimiento.
La red social manifestó que los usuarios siempre han tenido que aceptar expresamente el uso de su agenda para comunicarse con sus amigos y que “ningún contacto fue enviado a Twitter sin la acción afirmativa de un usuario, y el proceso de “encontrar amigos” implicaba varios pasos durante los cuales se daba al usuario notificación contextual de que la información de la agenda de direcciones estaba siendo importada, y los usuarios tenían la capacidad de [elegir] al respecto”. En ningún caso es obligatorio, sino opcional por parte del usuario.
Además, Twitter añadió que dada su política de privacidad, la única información de la agenda de contactos que Twitter utiliza o conserva para “encontrar amigos” es la dirección de correo electrónico y el número de teléfono porque a través de estos datos los usuarios de Twitter pueden elegir ser encontrados por otros. Como resultado, Twitter no utiliza ninguna otra información de la agenda de contactos, tal como el nombre real, la dirección física u otra información que pueda estar contenida en una agenda de contactos para ningún otro propósito al ya mencionado. Cuando Twitter considera que la información utilizada ha dejado de ser útil y si el usuario no la ha borrado, es la propia compañía quien lo hace cuando hayan transcurrido 18 meses. Además, las direcciones de correo electrónico no son asociadas con los números de teléfono para el mismo contacto. Cada uno es guardado en un registro separado.
A pesar de ello y gracias a las acciones de la AEPD, Twitter modificó en agosto de 2012 el apartado de “información adicional” de su política de privacidad aclarando estos puntos e indicando con más precisión cómo utiliza esta información.
Como consecuencia de todo lo anterior, la AEPD termina archivando la denuncia por determinar que el mecanismo utilizado por Twitter respeta lo establecido en el artículo 5.1 de la Ley Orgánica de Protección de Datos.
Hace unos meses la Asociación de Consumidores y Usuarios en Acción-FACUA denunció a Twitter, Inc. por considerar que ésta podría vulnerar el derecho de información contemplado en el artículo 5 LOPD por una inadecuada implementación de la funcionalidad “Encontrar amigos” en la versión para terminales móviles, al entender que esta funcionalidad transmite la información de la agenda de contactos del teléfono del usuario a los servidores de la compañía, donde al parecer se almacena durante 18 meses.
Tras recibir la denuncia, la Agencia Española de Protección de Datos (AEPD) inició una investigación sobre el asunto, examinando en primer lugar la política de privacidad de Twitter, en concreto el apartado “información adicional”, donde ya se contemplaba que opcionalmente se podía aportar a Twitter determinada información.
Se requiere a la compañía estadounidense para que aclare los procedimientos relacionados con la manera de recabar el consentimiento de los usuarios de la red social Twitter para tratar los datos de carácter personal contenidos en las agendas de contactos de sus respectivos terminales móviles, el tratamiento de los datos recabados de las agendas de contactos de sus usuarios, el período de conservación de los datos en los servidores de Twitter, Inc. y, por último, por el procedimiento de revocación del consentimiento.
La red social manifestó que los usuarios siempre han tenido que aceptar expresamente el uso de su agenda para comunicarse con sus amigos y que “ningún contacto fue enviado a Twitter sin la acción afirmativa de un usuario, y el proceso de “encontrar amigos” implicaba varios pasos durante los cuales se daba al usuario notificación contextual de que la información de la agenda de direcciones estaba siendo importada, y los usuarios tenían la capacidad de [elegir] al respecto”. En ningún caso es obligatorio, sino opcional por parte del usuario.
Además, Twitter añadió que dada su política de privacidad, la única información de la agenda de contactos que Twitter utiliza o conserva para “encontrar amigos” es la dirección de correo electrónico y el número de teléfono porque a través de estos datos los usuarios de Twitter pueden elegir ser encontrados por otros. Como resultado, Twitter no utiliza ninguna otra información de la agenda de contactos, tal como el nombre real, la dirección física u otra información que pueda estar contenida en una agenda de contactos para ningún otro propósito al ya mencionado. Cuando Twitter considera que la información utilizada ha dejado de ser útil y si el usuario no la ha borrado, es la propia compañía quien lo hace cuando hayan transcurrido 18 meses. Además, las direcciones de correo electrónico no son asociadas con los números de teléfono para el mismo contacto. Cada uno es guardado en un registro separado.
A pesar de ello y gracias a las acciones de la AEPD, Twitter modificó en agosto de 2012 el apartado de “información adicional” de su política de privacidad aclarando estos puntos e indicando con más precisión cómo utiliza esta información.
Como consecuencia de todo lo anterior, la AEPD termina archivando la denuncia por determinar que el mecanismo utilizado por Twitter respeta lo establecido en el artículo 5.1 de la Ley Orgánica de Protección de Datos.
jueves, 7 de marzo de 2013
Recogida de firmas para iniciativas populares
Es posible que nos haya llegado en los últimos tiempos correos en los que solicitaban nuestro apoyo para adherirse a diversas peticiones vía Internet Si queríamos mostrar nuestra solidaridad con la causa en cuestión debíamos completar en la web un formulario con nombre y apellidos, dirección, DNI... Casi siempre la web en cuestión pertenece a alguna organización sin ánimo de lucro, con loables finalidades pero ¿no os suena que el nombre, apellidos, dirección, correo electrónico, DNI son datos de carácter personal? ¡Qué manera más fácil de obtener nuestros datos! Ni nos planteamos algún tipo de duda al facilitar los datos ya que se tratan de iniciativas normalmente solidarias.
Recientemente el grupo de delitos tecnológicos de la Guardia Civil ha emitido un comunicado alertando del peligro de suministrar datos personales vía web. Y recalcan algo fundamental según nuestra legislación: para que nuestra firma tenga validez jurídica tiene que ser o bien manuscrita o bien firma electrónica mediante DNI electrónico o certificado digital en vigor.
Espero que a partir de ahora tengamos más cuidado, empezando por mí, a la hora de suministrar datos por Internet.
Recientemente el grupo de delitos tecnológicos de la Guardia Civil ha emitido un comunicado alertando del peligro de suministrar datos personales vía web. Y recalcan algo fundamental según nuestra legislación: para que nuestra firma tenga validez jurídica tiene que ser o bien manuscrita o bien firma electrónica mediante DNI electrónico o certificado digital en vigor.
Espero que a partir de ahora tengamos más cuidado, empezando por mí, a la hora de suministrar datos por Internet.
miércoles, 27 de febrero de 2013
Eliminación de la imagen de una matrícula en Google Street View
El pasado mes de enero la Agencia española de protección de datos (AEPD) emitió una resolución que afecta a una de las multinacionales más conocidas en el mundo. En el presente caso, el reclamante solicitó a GOOGLE SPAIN, S.L. el derecho de cancelación para la eliminación/difuminación de la matrícula de su motocicleta que aparece en la conocídisima aplicación “Google Street View”.
Al tratarse de una multinacional, debe delimitarse primero quien es el responsable del fichero a los efectos de la ley española. La propia Google Inc. reconoce expresamente que tiene designado a Google Spain como su representante ubicado en territorio español, conforme a lo exigido por el artículo 3.1.c), segundo párrafo del RLOPD. Luego ante Google Spain, S.L. hay que ejercitar los derechos de acceso, rectificación, cancelación y oposición en relación con el fichero “GOOGLE STREET VIEW”.
Durante la tramitación del procedimiento, Google difumina los números de la matrícula del vehículo del reclamante. No obstante, no queda acreditada la contestación expresa por parte de la entidad reclamada, informando al reclamante que se ha atendido el derecho solicitado, por lo que se le requiere para que expresamente informe al reclamante de tal hecho.
Al tratarse de una multinacional, debe delimitarse primero quien es el responsable del fichero a los efectos de la ley española. La propia Google Inc. reconoce expresamente que tiene designado a Google Spain como su representante ubicado en territorio español, conforme a lo exigido por el artículo 3.1.c), segundo párrafo del RLOPD. Luego ante Google Spain, S.L. hay que ejercitar los derechos de acceso, rectificación, cancelación y oposición en relación con el fichero “GOOGLE STREET VIEW”.
Durante la tramitación del procedimiento, Google difumina los números de la matrícula del vehículo del reclamante. No obstante, no queda acreditada la contestación expresa por parte de la entidad reclamada, informando al reclamante que se ha atendido el derecho solicitado, por lo que se le requiere para que expresamente informe al reclamante de tal hecho.
En este caso Google se libra de la sanción económica.
Suscribirse a:
Entradas (Atom)