derecho al olvido

Recientemente el Tribunal de Justicia de la Unión Europea se ha pronunciado respecto del derecho al olvido. Intentaré explicar brevemente en qué consiste y las previsibles consecuencias de dicha sentencia que tanta repercusión está teniendo en los medios de comunicación.

El derecho al olvido es realmente el ejercicio de los derechos de oposición y cancelación con la consecuencia fundamental de eliminar un dato personal que no cumple los requisitos de calidad según la normativa de protección de datos, es decir, no es exacto, ni actual ni pertinente. El caso en cuestión tiene su origen en 1998 cuando La Vanguardia publica una información con enlaces a una subasta de inmuebles embargados por deudas a la Seguridad Social que con el tiempo fue levantado por el afectado. Cuando éste teclea su nombre en Google sale esa noticia que él entiende que le perjudica. En España se resuelve dando la razón a La Vanguardia al tener una justificación legal pero se ordena a Google que haga desaparecer en su buscador dicho enlace, por lo que la multinacional recurre a la Audiencia Nacional. En 2012, la Audiencia plantea una cuestión prejudicial al TJUE.

Esta sentencia supone dos cambios fundamentales en la materia:

- El tribunal establece que los buscadores realizan un tratamiento de datos de carácter personal. Esta actividad está sometida a las normas de protección de datos de la UE, dado que Google vende espacios publicitarios en un Estado miembro a través de su filial Google Spain. El tribunal comunitario considera al buscador “responsable” de la información que figura en la lista de resultados de una búsqueda.

- Existe el derecho al olvido. Cuando hay un conflicto entre la libertad de información y un derecho fundamental de una persona, el buscador ya no es neutral. Si un ciudadano quiere que le borren un dato lesivo e irrelevante tiene dos opciones: puede ir al medio que publica la información y, además, ir directamente al buscador para que elimine el contenido.

Esto no quiere decir que los buscadores tienen que eliminar aquellos datos que no nos interesen sino que los Tribunales tendrán que ponderar, caso a caso, si prevalece el interés general de que todos conozcamos algo o el interés particular del sujeto. Por tanto, buscadores de Internet como Google deben retirar los enlaces a informaciones publicadas en el pasado si se comprueba que son lesivas para alguna persona y carecen de relevancia. Solo se elimina de los resultados de los buscadores para que los datos lesivos no permanezcan eternamente en Internet, no de la publicación original.

Es previsible que el fallo tenga influencia en la tramitación del nuevo reglamento europeo sobre protección de datos personales y sobre las estructuras de las multinacionales propietarias de los buscadores en Internet. Además de los más de 200 casos pendientes en la Audiencia Nacional sólo con Google.

Hoy empieza el plazo para presentar declaración de la Renta 2013

Hoy, 23 de abril, comienza el plazo para presentar la declaración de la Renta de 2013 por Internet y con tal motivo nos planteamos una serie de preguntas. Hoy empezaremos por una que nos encantaría a todos.

Me sale negativa, ¿cuándo me devuelve Hacienda? Pues depende de varios factores:

Primero, la cuantía. Tradicionalmente existe una frontera que está en los 3.000 euros, la cantidad maldita que si se alcanza determina una ralentización de la devolución, pero esto es siempre relativo. Posiblemente ahora se haya rebajado hasta unos 2.500 euros.

Segundo, la naturaleza de las rentas. Las procedentes del trabajo suelen ser garantía de una devolución rápida, porque los gastos están tasados y apenas requieren comprobación; igualmente, las que proceden del Capital (por ejemplo un depósito a plazo fijo) no preocupan a Hacienda, ya que la mayoría han tributado mediante una retención. En cambio, las procedentes de actividades económicas (los autónomos) poseen un amplísimo abanico de posibles gastos deducibles que Hacienda no controla y que el contribuyente declara sin justificar, a menos que la administración lo solicite. Aquí hay opiniones para todos los gustos, pero en general, dependiendo del nivel de ingresos para actividades que no están obligadas a una contabilidad oficial no suele haber problemas con un porcentaje de gastos que oscila entre el 15% y el 30%. Obviamente las actividades puramente empresariales tendrán niveles muy superiores de gastos.

Tercero, lo que Hacienda llama “incidencias”, en román paladino, las meteduras de pata a la hora de hacer la declaración, consignando datos informativos que contradicen los que posee Hacienda. Hay dos clases de errores: leves y graves, según su trascendencia económica. Antes, una metedura leve se pasaba por alto (por ejemplo, los apellidos de un hijo), y normalmente se paralizaba la devolución con dos incidencias de este tipo. Ahora, cualquier dato equivocado nos aboca a la más costosa espera, por eso es importantísimo aportar al asesor correctamente todos los datos con trascendencia tributaria y corregir si los que tiene Hacienda están equivocados.

Cuarto, los antecedentes. Aunque no se reconozca, si a un contribuyente le han devuelto con celeridad en años anteriores, no hay razón para temer que, a igualdad de datos, no vaya a suceder lo mismo en este ejercicio.

Mención aparte para la deducción por vivienda habitual, la figura estrella durante años de la declaración y ahora –por desgracia- de las terribles comprobaciones del impuesto. Pero de eso –y de los procedimientos que utiliza Hacienda para comprobar los datos, cercanos a la, dicho sea a los estrictos efectos de defensa,  extorsión, así como de los medios con que cuenta, y de la forma de cálculo de las plusvalías- hablaremos otro día.

Para cualquier duda o asesoramiento para realizar la declaración de la Renta de esta año, siempre podéis contar con nosotros.

El IVA de caja

Fracaso absoluto del IVA de caja. Una buena idea se la cargan los gobernantes cuando ponen requisitos, límites y no paran hasta que no sirve para nada. De 2 millones de posibles beneficiarios según el Gobierno, se calcula que ni 200.000 se han acogido al final a esta medida. A ninguno de mis clientes se lo he aconsejado. No me gustan los corsés jurídicos. Ya lo advertíamos en un post anterior. Y todo por falta de voluntad política y la tradicional desconfianza que tiene el funcionario español hacia el ciudadano y no digamos nada si hablamos de empresarios. Otra oportunidad perdida de hacer las cosas bien.

Primera sanción a web en España por mal “uso” de cookies; 3.500€

Tras un procedimiento de 5 meses, la AEPD ha sancionado a dos empresas por el uso indebido de cookies. De tal resolución (R/02990/2013), extraemos las siguientes ideas:

La Agencia recomienda ofrecer la información en dos capas, que deben cumplir una serie de requisitos. La información que se considera necesaria debe ser “completa y clara, en especial en cuanto a la tipología de cookies realmente utilizadas, finalidad de las mismas, e identidad de quienes instalan y utilizan las cookies”. El incumplimiento de estos requisitos “Invalidaría el consentimiento que pueda ser prestado por los usuarios al Aceptar la Política de Cookies o seguir navegando por los sitios web”. 

Para que el consentimiento teóricamente prestado para la instalación sea válido, la información debe ser correcta. La aceptación de esta información puede realizarse bien mediante la aceptación expresa, al pinchar sobre un enlace; o presunta, si se continúa navegando por la Web. Este consentimiento ha de ser previo a la instalación pero su incumplimiento no es sancionable (no recogido en la redacción del artículo 38.4.g).

Se debe ofrecer la posibilidad de desinstalar las Cookies, así como el borrado de la información almacenada por éstas. 

Finalmente las sanciones han sido de 3.000€ para una empresa, y 500€ a otra por una infracción del artículo 22.2 de la LSSI por la falta de las obligaciones de información., tipificada como leve en el artículo 38.4.g) de dicha norma. 

La resolución también sanciona a una de ellas, por no informar a los Usuarios sobre el tratamiento de sus datos en su formulario de contacto, como obliga el artículo 5 en sus apartados 1 y 2, con 1.500€, aplicándole una rebaja en la cuantía.

Cuidadín con la banca online y el teléfono móvil

Una entidad bancaria ha sido (PS-00344-2013) por la Agencia Española de Protección de Datos (AEPD) tras la denuncia presentada por dos particulares en la que reflejaban que utilizando sus propias claves de acceso a sus cuentas de banca on-line mediante teléfonos móviles, han podido acceder a los datos de otros clientes, aportando impresiones de pantalla como prueba.

Tras recibir la denuncia, la AEPD inició las actuaciones previas de investigación para esclarecer los hechos y en la inspección la entidad manifestó que tuvo conocimiento de dichas incidencias por una llamada recibida en su Call Center, siendo bloqueado dicho sistema de acceso a los 12 minutos de dicha llamada. No sólo reconoce la entidad los hechos denunciados sino que inmediatamente emprende acciones para resolver el problema e introduce mejoras de seguridad. El problema afectó a 27 clientes, con los que el Departamento de Atención al Cliente, contactó.

La AEPD imputó a la entidad bancaria la vulneración del principio de seguridad de los datos personales, establecido en el artículo 9.1 de la LOPD, que establece el “principio de seguridad de los datos” que impone la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros.

Asumidos los hechos por la entidad bancaria, la AEPD refleja que ha quedado acreditado que la citada entidad incumplió ésta obligación, como lo recoge el informe descriptivo de la incidencia habida y se refleja en el acta de inspección llevado a cabo en la sede de la compañía, puesto que la aplicación para el acceso mediante móviles y utilizando el código de usuario y clave, no impidió que los denunciantes pudieran acceder a datos personales de otros clientes usuarios de la entidad denunciada.

La AEPD imputó a la citada entidad bancaria la vulneración del principio de seguridad de datos personales que lleva aparejada una multa que oscila entre los 40.000€ y los 300.000€.

La Agencia valoró los criterios, tanto favorables como adversos, de graduación de las sanciones e impuso una sanción de sólo 6.000€, ya que consideró que la entidad no sólo reconoció espontáneamente su culpabilidad sino que además actuó de manera diligente al regularizar la situación creada de manera inmediata, poniendo remedio a fallo cometido tan pronto tuvo conocimiento de los hechos ocurridos, estableciendo contacto con los afectados y adoptando nuevas medidas de seguridad para evitar que el fallo pudiera repetirse.

La conclusión a la que llegamos es que ante fallos de seguridad, no vale con lamentarse y esperar acontecimientos sino que hay que adelantarse a los mismos y corregir inmediatamente los errores cometidos. Lo agradecerán los clientes y tu cartera.

cuidado con las campañas virales en Facebook

Recientemente la AEPD ha resuelto un procedimiento que afecta a las redes sociales que tanto usamos. En este caso, en el muro de diversos perfiles de usuarios de la red social Facebook aparecían mensajes provenientes de otros usuarios de la red social con el texto “sabes que sales en un video” y un enlace web denominado www........................1 acompañado de una imagen en formato video que, a su vez, dirigía al destinatario a un conjunto de sitios web alojados en el dominio blogspot.com. que simulaban mediante su aspecto ser parte de la red social Facebook, informando que se requería la instalación de un complemento para el navegador que permitiese visualizar dicho video, se solicitaba permiso del usuario para instalar un software desde el sitio web www........................2.

Resulta acreditado que cuando el usuario decidía instalar el complemento se mostraba un mensaje indicando que, para comprobar la mayoría de edad era necesario proporcionar un número de móvil al que se remitiría un código de activación redirigiendo la navegación a un sitio web de suscripción de servicios de tarificación adicional y ejecutando un software que contenía un virus, que utilizaba el identificador de la red social Facebook del usuario y otras funcionalidades replicaba de manera automática y si que el usuario fuese consciente, el mensaje recibido en los muros de 30 de sus amigos.

En el sitio web donde se debía introducir el número de teléfono móvil es propiedad de FROGGIE, avirtiéndose que los datos del usuario serían tratados por medios automatizados con el objetivo de obtener perfiles de usuario y que se podrían ejercitar los derechos de acceso, rectificación, cancelación y oposición.

FROGGIE encomendó una campaña de publicidad a PI2006 quien, en nombre de aquella encargó a USERS2CASH la ejecución de la campaña. Resulta acreditado que FROGGIE, a través de PI2006 decidió el segmento de destinatarios de su campaña, utilizó Publisher independientes sin poder determinar la identidad de éstos, para conseguir la máxima expansión de la campaña en Internet.

Para la AEPD hay tratamiento de datos en dos momentos o estadios de los hechos analizados y sobre los que recae la imputación a FROGGIE y a USER2CASH. Por un lado, en la captación de los números de teléfono de los potenciales clientes ya que tanto las cuentas de correo como los perfiles de usuario de una red social pueden ser considerados dato personal; y por otro lado en difusión de la publicidad de FROGGIE, es decir, a través de perfiles de usuarios de la red social.

En el presente caso ha existido un tratamiento de datos personales sin consentimiento por cuenta de FROGGIE a la vista de que en ejecución de su campaña publicitaria encargada a PI2006, y subcontratada a USER2CASH que mediante virus de tipo troyano se suplantaron identidades de usuarios de la red social Facebook para mediante engaño ser redirigidos a sitio web de FROGGIE donde insertaban el número de teléfono móvil y se incorporaba a una base de datos de ésta, suscribiéndose a un servicio de tarificación adicional (SMS PREMIUM).

En consecuencia, la Agencia Española de Protección de Datos resuelve:

Imponer a la entidad USERS2CASH NETWORK IBERICA, S.L., por una infracción del artículo 6 de la LOPD, una multa de 40.001 € y a la entidad FROGGIE S.L., por una infracción del artículo 6 de la LOPD en relación con el artículo 46 del RDLOPD, una multa de 6.000 €.

Sanción por Spam

Alguna vez nos ha pasado que hemos comprado algo por Internet y, consciente o inconscientemente, nos hemos suscrito a la newsletter de la web en cuestión. Tiempo después, cansados de recibir información comercial de dicha página, nos damos de baja en el boletín y nos llega el acuse de recibo confirmando la baja de nuestros datos de contacto de la base de datos de la empresa.

Al cabo de unos meses nos llega un nuevo correo con información comercial de dicha empresa. ¿Qué hacemos? Denunciarlo a la AEPD por SPAM, por ser un correo con publicidad comercial no solicitado. Hay que perder el miedo. La AEPD sanciona este incumplimiento de la normativa de protección de datos. A vuestra disposición un caso reciente.