La Agencia Española de Protección de Datos ha archivado una denuncia presentada por la Asociación de Consumidores y Usuarios en Acción-FACUA en la que se denunciaba a Twitter por una posible vulneración de la LOPD en relación al derecho de información a los usuarios.
Hace unos meses la Asociación de Consumidores y Usuarios en Acción-FACUA denunció a Twitter, Inc. por considerar que ésta podría vulnerar el derecho de información contemplado en el artículo 5 LOPD por una inadecuada implementación de la funcionalidad “Encontrar amigos” en la versión para terminales móviles, al entender que esta funcionalidad transmite la información de la agenda de contactos del teléfono del usuario a los servidores de la compañía, donde al parecer se almacena durante 18 meses.
Tras recibir la denuncia, la Agencia Española de Protección de Datos (AEPD) inició una investigación sobre el asunto, examinando en primer lugar la política de privacidad de Twitter, en concreto el apartado “información adicional”, donde ya se contemplaba que opcionalmente se podía aportar a Twitter determinada información.
Se requiere a la compañía estadounidense para que aclare los procedimientos relacionados con la manera de recabar el consentimiento de los usuarios de la red social Twitter para tratar los datos de carácter personal contenidos en las agendas de contactos de sus respectivos terminales móviles, el tratamiento de los datos recabados de las agendas de contactos de sus usuarios, el período de conservación de los datos en los servidores de Twitter, Inc. y, por último, por el procedimiento de revocación del consentimiento.
La red social manifestó que los usuarios siempre han tenido que aceptar expresamente el uso de su agenda para comunicarse con sus amigos y que “ningún contacto fue enviado a Twitter sin la acción afirmativa de un usuario, y el proceso de “encontrar amigos” implicaba varios pasos durante los cuales se daba al usuario notificación contextual de que la información de la agenda de direcciones estaba siendo importada, y los usuarios tenían la capacidad de [elegir] al respecto”. En ningún caso es obligatorio, sino opcional por parte del usuario.
Además, Twitter añadió que dada su política de privacidad, la única información de la agenda de contactos que Twitter utiliza o conserva para “encontrar amigos” es la dirección de correo electrónico y el número de teléfono porque a través de estos datos los usuarios de Twitter pueden elegir ser encontrados por otros. Como resultado, Twitter no utiliza ninguna otra información de la agenda de contactos, tal como el nombre real, la dirección física u otra información que pueda estar contenida en una agenda de contactos para ningún otro propósito al ya mencionado. Cuando Twitter considera que la información utilizada ha dejado de ser útil y si el usuario no la ha borrado, es la propia compañía quien lo hace cuando hayan transcurrido 18 meses. Además, las direcciones de correo electrónico no son asociadas con los números de teléfono para el mismo contacto. Cada uno es guardado en un registro separado.
A pesar de ello y gracias a las acciones de la AEPD, Twitter modificó en agosto de 2012 el apartado de “información adicional” de su política de privacidad aclarando estos puntos e indicando con más precisión cómo utiliza esta información.
Como consecuencia de todo lo anterior, la AEPD termina archivando la denuncia por determinar que el mecanismo utilizado por Twitter respeta lo establecido en el artículo 5.1 de la Ley Orgánica de Protección de Datos.
lunes, 27 de mayo de 2013
jueves, 7 de marzo de 2013
Recogida de firmas para iniciativas populares
Es posible que nos haya llegado en los últimos tiempos correos en los que solicitaban nuestro apoyo para adherirse a diversas peticiones vía Internet Si queríamos mostrar nuestra solidaridad con la causa en cuestión debíamos completar en la web un formulario con nombre y apellidos, dirección, DNI... Casi siempre la web en cuestión pertenece a alguna organización sin ánimo de lucro, con loables finalidades pero ¿no os suena que el nombre, apellidos, dirección, correo electrónico, DNI son datos de carácter personal? ¡Qué manera más fácil de obtener nuestros datos! Ni nos planteamos algún tipo de duda al facilitar los datos ya que se tratan de iniciativas normalmente solidarias.
Recientemente el grupo de delitos tecnológicos de la Guardia Civil ha emitido un comunicado alertando del peligro de suministrar datos personales vía web. Y recalcan algo fundamental según nuestra legislación: para que nuestra firma tenga validez jurídica tiene que ser o bien manuscrita o bien firma electrónica mediante DNI electrónico o certificado digital en vigor.
Espero que a partir de ahora tengamos más cuidado, empezando por mí, a la hora de suministrar datos por Internet.
Recientemente el grupo de delitos tecnológicos de la Guardia Civil ha emitido un comunicado alertando del peligro de suministrar datos personales vía web. Y recalcan algo fundamental según nuestra legislación: para que nuestra firma tenga validez jurídica tiene que ser o bien manuscrita o bien firma electrónica mediante DNI electrónico o certificado digital en vigor.
Espero que a partir de ahora tengamos más cuidado, empezando por mí, a la hora de suministrar datos por Internet.
miércoles, 27 de febrero de 2013
Eliminación de la imagen de una matrícula en Google Street View
El pasado mes de enero la Agencia española de protección de datos (AEPD) emitió una resolución que afecta a una de las multinacionales más conocidas en el mundo. En el presente caso, el reclamante solicitó a GOOGLE SPAIN, S.L. el derecho de cancelación para la eliminación/difuminación de la matrícula de su motocicleta que aparece en la conocídisima aplicación “Google Street View”.
Al tratarse de una multinacional, debe delimitarse primero quien es el responsable del fichero a los efectos de la ley española. La propia Google Inc. reconoce expresamente que tiene designado a Google Spain como su representante ubicado en territorio español, conforme a lo exigido por el artículo 3.1.c), segundo párrafo del RLOPD. Luego ante Google Spain, S.L. hay que ejercitar los derechos de acceso, rectificación, cancelación y oposición en relación con el fichero “GOOGLE STREET VIEW”.
Durante la tramitación del procedimiento, Google difumina los números de la matrícula del vehículo del reclamante. No obstante, no queda acreditada la contestación expresa por parte de la entidad reclamada, informando al reclamante que se ha atendido el derecho solicitado, por lo que se le requiere para que expresamente informe al reclamante de tal hecho.
Al tratarse de una multinacional, debe delimitarse primero quien es el responsable del fichero a los efectos de la ley española. La propia Google Inc. reconoce expresamente que tiene designado a Google Spain como su representante ubicado en territorio español, conforme a lo exigido por el artículo 3.1.c), segundo párrafo del RLOPD. Luego ante Google Spain, S.L. hay que ejercitar los derechos de acceso, rectificación, cancelación y oposición en relación con el fichero “GOOGLE STREET VIEW”.
Durante la tramitación del procedimiento, Google difumina los números de la matrícula del vehículo del reclamante. No obstante, no queda acreditada la contestación expresa por parte de la entidad reclamada, informando al reclamante que se ha atendido el derecho solicitado, por lo que se le requiere para que expresamente informe al reclamante de tal hecho.
En este caso Google se libra de la sanción económica.
jueves, 21 de febrero de 2013
multa 2000€ por envío masivo sin copia oculta
El pasado mes de diciembre, la Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 2.000 euros a una Fundación cultural palentina, por enviar un correo electrónico a unos mil destinatarios sin generar una copia oculta de las direcciones, lo que según la AEPD constituye infracción del artículo 10 de la Ley Orgánica de Protección de Datos.
Los hechos se remontan al pasado mes de Mayo de 2012, cuando la Fundación envió un correo electrónico a sus clientes para informarles de que la entidad estaría presente en la Feria del Libro de Madrid. Según la propia Fundación el correo se remitió sin ocultar las direcciones de los destinatarios “por un error involuntario” de la persona que realizó el envío a través de Microsoft Outlook. Una de los destinatarias, cuya dirección había facilitado al adquirir una colección de DVD’s a la fundación, denunció a la entidad por este hecho.
Por su parte, el Director de la Agencia decidió iniciar, en noviembre de 2012, procedimiento sancionador contra la Fundación tipificando el error como infracción grave, lo que conllevaba una sanción económica entre 40.000 y 300.000€, a lo que la entidad alegó que era “absolutamente desproporcionado“.
Según expone la Agencia de Protección de Datos, la dirección de correo electrónico es considerada un dato de carácter personal y su tratamiento ha de estar sometido a la citada Ley Orgánica, por lo que, con carácter general “no será posible su utilización o cesión si el interesado no ha dado consentimiento para ello”.
Además, la AEPD asegura que en este caso ha quedado acreditado en el expediente que el denunciante recibió un corro electrónico que facilitaba datos personales de numerosísimas personas, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD.
En su resolución, la AEPD resuelve que teniendo en cuenta los criterios de graduación de las sanciones recogidos en el artículo 45 de la LOPD, y al haber reconocido el denunciado su culpabilidad y acreditado la ausencia de intencionalidad y de reincidencia, debe imponerse la sanción dentro del intervalo de las infracciones calificadas como leves y, concretamente, en 2.000 euros.
Los hechos se remontan al pasado mes de Mayo de 2012, cuando la Fundación envió un correo electrónico a sus clientes para informarles de que la entidad estaría presente en la Feria del Libro de Madrid. Según la propia Fundación el correo se remitió sin ocultar las direcciones de los destinatarios “por un error involuntario” de la persona que realizó el envío a través de Microsoft Outlook. Una de los destinatarias, cuya dirección había facilitado al adquirir una colección de DVD’s a la fundación, denunció a la entidad por este hecho.
Por su parte, el Director de la Agencia decidió iniciar, en noviembre de 2012, procedimiento sancionador contra la Fundación tipificando el error como infracción grave, lo que conllevaba una sanción económica entre 40.000 y 300.000€, a lo que la entidad alegó que era “absolutamente desproporcionado“.
Según expone la Agencia de Protección de Datos, la dirección de correo electrónico es considerada un dato de carácter personal y su tratamiento ha de estar sometido a la citada Ley Orgánica, por lo que, con carácter general “no será posible su utilización o cesión si el interesado no ha dado consentimiento para ello”.
Además, la AEPD asegura que en este caso ha quedado acreditado en el expediente que el denunciante recibió un corro electrónico que facilitaba datos personales de numerosísimas personas, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD.
En su resolución, la AEPD resuelve que teniendo en cuenta los criterios de graduación de las sanciones recogidos en el artículo 45 de la LOPD, y al haber reconocido el denunciado su culpabilidad y acreditado la ausencia de intencionalidad y de reincidencia, debe imponerse la sanción dentro del intervalo de las infracciones calificadas como leves y, concretamente, en 2.000 euros.
jueves, 14 de febrero de 2013
La Oficina de protección de datos CBP (Holanda) y el Comisariado para la protección de la vida privada (Canadá) han iniciado una investigación conjunta del popular sistema de mensajería instantánea para 'smartphones', WhatsApp.
La utilización del servicio de WhatsApp supone necesariamente que los usuarios deben permitir el acceso a su agenda de contactos. De esta forma, todos los números de teléfono incluidos en el móvil del cliente se transmiten a WhatsApp para facilitar la identificación de otros usuarios.
En lugar de borrar el número de teléfono de los no usuarios, WhatsApp los almacena. Sólo aquellas personas que dispongan del terminal IPhone de Apple, con el software IOS6, pueden evitar la inclusión automática de los datos de sus contactos, agregando manualmente los que se deseen, sin incluir los restantes.
“Esta falta de elección contraviene las leyes de privacidad. Tanto los usuarios como los no usuarios deben tener el control sobre sus datos personales y los usuarios deben ser capaces de decidir libremente qué datos de contacto desean compartir con WhatsApp” ha indicado Jacob Kohnstamm, máximo representante de la Autoridad de Protección de Datos holandesa.
Además, los dos organismos mencionados arriba también han detectado que los mensajes enviados a través de esta aplicación no son encriptados y, por tanto, pueden ser interceptados, especialmente cuando han sido enviados desde una conexión Wi-Fi no segura. WhatsApp no comenzó a cifrar estos mensajes hasta septiembre de 2012.
Se pone de manifiesto, como vemos, las deficiencias de seguridad en WhatsApp ya que se puede, entre otras cosas, robar conversaciones de historiales. Desde WhatsApp se ponen parches a los problemas pero no se acometen soluciones definitivas aunque bien es verdad que la compañía ha expresado en recientes declaraciones que efectuarán los cambios necesarios para proteger la privacidad dentro de los extremos objeto de análisis. En este sentido, se ha asegurado por parte de la misma que se incluirá la posibilidad de llevar a cabo la adición manual de los contactos de nuestra agenda.
La utilización del servicio de WhatsApp supone necesariamente que los usuarios deben permitir el acceso a su agenda de contactos. De esta forma, todos los números de teléfono incluidos en el móvil del cliente se transmiten a WhatsApp para facilitar la identificación de otros usuarios.
En lugar de borrar el número de teléfono de los no usuarios, WhatsApp los almacena. Sólo aquellas personas que dispongan del terminal IPhone de Apple, con el software IOS6, pueden evitar la inclusión automática de los datos de sus contactos, agregando manualmente los que se deseen, sin incluir los restantes.
“Esta falta de elección contraviene las leyes de privacidad. Tanto los usuarios como los no usuarios deben tener el control sobre sus datos personales y los usuarios deben ser capaces de decidir libremente qué datos de contacto desean compartir con WhatsApp” ha indicado Jacob Kohnstamm, máximo representante de la Autoridad de Protección de Datos holandesa.
Además, los dos organismos mencionados arriba también han detectado que los mensajes enviados a través de esta aplicación no son encriptados y, por tanto, pueden ser interceptados, especialmente cuando han sido enviados desde una conexión Wi-Fi no segura. WhatsApp no comenzó a cifrar estos mensajes hasta septiembre de 2012.
Se pone de manifiesto, como vemos, las deficiencias de seguridad en WhatsApp ya que se puede, entre otras cosas, robar conversaciones de historiales. Desde WhatsApp se ponen parches a los problemas pero no se acometen soluciones definitivas aunque bien es verdad que la compañía ha expresado en recientes declaraciones que efectuarán los cambios necesarios para proteger la privacidad dentro de los extremos objeto de análisis. En este sentido, se ha asegurado por parte de la misma que se incluirá la posibilidad de llevar a cabo la adición manual de los contactos de nuestra agenda.
viernes, 8 de febrero de 2013
multa a Telefónica
Recientemente la Agencia Española de Protección de Datos ha resuelto imponer una sanción a Telefónica España por contratar 4 líneas a un cliente al que le habían suplantado la identidad. El consumo de estas líneas genera unas facturas que el cliente no paga puesto que no las había contratado aunque los timadores sí habían facilitado su DNI. El resto de los datos no eran correctos. Las facturas no pagadas se convierten en deudas. Posteriormente, se incluyó al cliente en un fichero de insolvencia patrimonial. Se condena a Telefónica por no contar con el consentimiento inequívoco del titular y por la inexactitud de los datos del mismo. La sanción es de 100.000€ y eso que sólo se le sanciona por una de las cuatro líneas. Para ver la resolución pinchar aquí.
jueves, 31 de enero de 2013
Con motivo del XXI aniversario de la primera ley sobre protección de datos aprobada en España, la LORTAD, os recomiendo que entréis en este enlace. Es una entrevista al director de la Agencia vasca de protección de datos (sí, hay una agencia vasca, una catalana, una madrileña...).
Trata sobre los riesgos que corremos al utilizar redes sociales. No somos conscientes de la facilidad con que empresas, casi todas de carácter multinacional, obtienen datos personales de cada uno de nosotros sin que nos demos cuenta, a través de unas aplicaciones que se instalan en nuestro pc o tablet cada vez que entramos en una web, las conocidas cookies.
No olvidemos que el derecho a la protección de datos es un derecho fundamental a controlar mis datos personales, a quien se los doy, qué uso hacen de ellos tanto empresas privadas como la Administración, yo decido para qué y a quien los doy (le suelta un palito a Hacienda). Cuidadín con facilitar datos en Internet.
Trata sobre los riesgos que corremos al utilizar redes sociales. No somos conscientes de la facilidad con que empresas, casi todas de carácter multinacional, obtienen datos personales de cada uno de nosotros sin que nos demos cuenta, a través de unas aplicaciones que se instalan en nuestro pc o tablet cada vez que entramos en una web, las conocidas cookies.
No olvidemos que el derecho a la protección de datos es un derecho fundamental a controlar mis datos personales, a quien se los doy, qué uso hacen de ellos tanto empresas privadas como la Administración, yo decido para qué y a quien los doy (le suelta un palito a Hacienda). Cuidadín con facilitar datos en Internet.
Suscribirse a:
Entradas (Atom)