El pasado día 29 de abril, la empresa comercialmente conocida como Pepephone, Operador de Telefonía Móvil Virtual, publicaba en su propio perfil de Twitter este tuit “Algunos clientes habéis recibido por un error humano un correo con direcciones de email. Hemos metido la pata. Perdonad y borradlo por favor”.
Pedían disculpas por haber procedido al envío de un correo electrónico masivoa clientes cuyas direcciones electrónicas no habían sido ocultadas. Es decir, todos y cada uno de los destinatarios de dicha comunicación comercial visualizaban las direcciones de email del resto de clientes a los que Pepephone había remitido la comunicación.
Al mismo tiempo que reconocían su error, lo achacaban a un fallo humano, solicitaba a todos los clientes que hubieran recibido dicho correo electrónico que lo borraran de sus bandejas de entrada.
Poco tiempo después, ese mismo día, era la propia compañía la que anunciaba que se autodenunciarían ante la Agencia Española de Protección de Datos por el error cometido: “Mañana nos auto-denunciaremos a la APD por el error que hemos cometido al enviar un mail a 4.800 personas sin copia oculta. Lo lamentamos”.
Aparte de la honradez de reconocer y rectificar un error ¿puede existir alguna otra razón que justifique dicha actuación?.
La dirección de correo electrónico de una persona física es un dato de carácter personal amparado por la normativa de protección de datos y si una empresa envía un correo electrónico con las direcciones de todos sus clientes visibles para el resto (en vez de incluirlas como Copia Oculta-CCo), los destinatarios de dicha comunicación podrán visualizar las direcciones electrónicas personales del resto de clientes de dicha compañía lo que, claramente supone una vulneración del deber de secreto profesional (art. 10 LOPD) por parte de la empresa remitente del correo electrónico.Esta vulneración está tipificada como infracción grave y la sanción económica puede alcanzar los 300.000€. Es posible que Pepephone haya reconocido de manera inmediata y espontánea este error para evitar tal cuantía, ya que según el art. 45.4 LOPD, dicha sanción podría verse considerablemente disminuida atendidas una serie de circunstancias como pueden ser el beneficio obtenido o el grado de intencionalidad. En un post anterior comentábamos un caso similar en el que la sanción definitiva fue de 2.000€. Veremos qué decide la Agencia Española de Protección de Datos.
lunes, 10 de junio de 2013
lunes, 27 de mayo de 2013
Twitter y la protección de datos de los usuarios
La Agencia Española de Protección de Datos ha archivado una denuncia presentada por la Asociación de Consumidores y Usuarios en Acción-FACUA en la que se denunciaba a Twitter por una posible vulneración de la LOPD en relación al derecho de información a los usuarios.
Hace unos meses la Asociación de Consumidores y Usuarios en Acción-FACUA denunció a Twitter, Inc. por considerar que ésta podría vulnerar el derecho de información contemplado en el artículo 5 LOPD por una inadecuada implementación de la funcionalidad “Encontrar amigos” en la versión para terminales móviles, al entender que esta funcionalidad transmite la información de la agenda de contactos del teléfono del usuario a los servidores de la compañía, donde al parecer se almacena durante 18 meses.
Tras recibir la denuncia, la Agencia Española de Protección de Datos (AEPD) inició una investigación sobre el asunto, examinando en primer lugar la política de privacidad de Twitter, en concreto el apartado “información adicional”, donde ya se contemplaba que opcionalmente se podía aportar a Twitter determinada información.
Se requiere a la compañía estadounidense para que aclare los procedimientos relacionados con la manera de recabar el consentimiento de los usuarios de la red social Twitter para tratar los datos de carácter personal contenidos en las agendas de contactos de sus respectivos terminales móviles, el tratamiento de los datos recabados de las agendas de contactos de sus usuarios, el período de conservación de los datos en los servidores de Twitter, Inc. y, por último, por el procedimiento de revocación del consentimiento.
La red social manifestó que los usuarios siempre han tenido que aceptar expresamente el uso de su agenda para comunicarse con sus amigos y que “ningún contacto fue enviado a Twitter sin la acción afirmativa de un usuario, y el proceso de “encontrar amigos” implicaba varios pasos durante los cuales se daba al usuario notificación contextual de que la información de la agenda de direcciones estaba siendo importada, y los usuarios tenían la capacidad de [elegir] al respecto”. En ningún caso es obligatorio, sino opcional por parte del usuario.
Además, Twitter añadió que dada su política de privacidad, la única información de la agenda de contactos que Twitter utiliza o conserva para “encontrar amigos” es la dirección de correo electrónico y el número de teléfono porque a través de estos datos los usuarios de Twitter pueden elegir ser encontrados por otros. Como resultado, Twitter no utiliza ninguna otra información de la agenda de contactos, tal como el nombre real, la dirección física u otra información que pueda estar contenida en una agenda de contactos para ningún otro propósito al ya mencionado. Cuando Twitter considera que la información utilizada ha dejado de ser útil y si el usuario no la ha borrado, es la propia compañía quien lo hace cuando hayan transcurrido 18 meses. Además, las direcciones de correo electrónico no son asociadas con los números de teléfono para el mismo contacto. Cada uno es guardado en un registro separado.
A pesar de ello y gracias a las acciones de la AEPD, Twitter modificó en agosto de 2012 el apartado de “información adicional” de su política de privacidad aclarando estos puntos e indicando con más precisión cómo utiliza esta información.
Como consecuencia de todo lo anterior, la AEPD termina archivando la denuncia por determinar que el mecanismo utilizado por Twitter respeta lo establecido en el artículo 5.1 de la Ley Orgánica de Protección de Datos.
Hace unos meses la Asociación de Consumidores y Usuarios en Acción-FACUA denunció a Twitter, Inc. por considerar que ésta podría vulnerar el derecho de información contemplado en el artículo 5 LOPD por una inadecuada implementación de la funcionalidad “Encontrar amigos” en la versión para terminales móviles, al entender que esta funcionalidad transmite la información de la agenda de contactos del teléfono del usuario a los servidores de la compañía, donde al parecer se almacena durante 18 meses.
Tras recibir la denuncia, la Agencia Española de Protección de Datos (AEPD) inició una investigación sobre el asunto, examinando en primer lugar la política de privacidad de Twitter, en concreto el apartado “información adicional”, donde ya se contemplaba que opcionalmente se podía aportar a Twitter determinada información.
Se requiere a la compañía estadounidense para que aclare los procedimientos relacionados con la manera de recabar el consentimiento de los usuarios de la red social Twitter para tratar los datos de carácter personal contenidos en las agendas de contactos de sus respectivos terminales móviles, el tratamiento de los datos recabados de las agendas de contactos de sus usuarios, el período de conservación de los datos en los servidores de Twitter, Inc. y, por último, por el procedimiento de revocación del consentimiento.
La red social manifestó que los usuarios siempre han tenido que aceptar expresamente el uso de su agenda para comunicarse con sus amigos y que “ningún contacto fue enviado a Twitter sin la acción afirmativa de un usuario, y el proceso de “encontrar amigos” implicaba varios pasos durante los cuales se daba al usuario notificación contextual de que la información de la agenda de direcciones estaba siendo importada, y los usuarios tenían la capacidad de [elegir] al respecto”. En ningún caso es obligatorio, sino opcional por parte del usuario.
Además, Twitter añadió que dada su política de privacidad, la única información de la agenda de contactos que Twitter utiliza o conserva para “encontrar amigos” es la dirección de correo electrónico y el número de teléfono porque a través de estos datos los usuarios de Twitter pueden elegir ser encontrados por otros. Como resultado, Twitter no utiliza ninguna otra información de la agenda de contactos, tal como el nombre real, la dirección física u otra información que pueda estar contenida en una agenda de contactos para ningún otro propósito al ya mencionado. Cuando Twitter considera que la información utilizada ha dejado de ser útil y si el usuario no la ha borrado, es la propia compañía quien lo hace cuando hayan transcurrido 18 meses. Además, las direcciones de correo electrónico no son asociadas con los números de teléfono para el mismo contacto. Cada uno es guardado en un registro separado.
A pesar de ello y gracias a las acciones de la AEPD, Twitter modificó en agosto de 2012 el apartado de “información adicional” de su política de privacidad aclarando estos puntos e indicando con más precisión cómo utiliza esta información.
Como consecuencia de todo lo anterior, la AEPD termina archivando la denuncia por determinar que el mecanismo utilizado por Twitter respeta lo establecido en el artículo 5.1 de la Ley Orgánica de Protección de Datos.
jueves, 7 de marzo de 2013
Recogida de firmas para iniciativas populares
Es posible que nos haya llegado en los últimos tiempos correos en los que solicitaban nuestro apoyo para adherirse a diversas peticiones vía Internet Si queríamos mostrar nuestra solidaridad con la causa en cuestión debíamos completar en la web un formulario con nombre y apellidos, dirección, DNI... Casi siempre la web en cuestión pertenece a alguna organización sin ánimo de lucro, con loables finalidades pero ¿no os suena que el nombre, apellidos, dirección, correo electrónico, DNI son datos de carácter personal? ¡Qué manera más fácil de obtener nuestros datos! Ni nos planteamos algún tipo de duda al facilitar los datos ya que se tratan de iniciativas normalmente solidarias.
Recientemente el grupo de delitos tecnológicos de la Guardia Civil ha emitido un comunicado alertando del peligro de suministrar datos personales vía web. Y recalcan algo fundamental según nuestra legislación: para que nuestra firma tenga validez jurídica tiene que ser o bien manuscrita o bien firma electrónica mediante DNI electrónico o certificado digital en vigor.
Espero que a partir de ahora tengamos más cuidado, empezando por mí, a la hora de suministrar datos por Internet.
Recientemente el grupo de delitos tecnológicos de la Guardia Civil ha emitido un comunicado alertando del peligro de suministrar datos personales vía web. Y recalcan algo fundamental según nuestra legislación: para que nuestra firma tenga validez jurídica tiene que ser o bien manuscrita o bien firma electrónica mediante DNI electrónico o certificado digital en vigor.
Espero que a partir de ahora tengamos más cuidado, empezando por mí, a la hora de suministrar datos por Internet.
miércoles, 27 de febrero de 2013
Eliminación de la imagen de una matrícula en Google Street View
El pasado mes de enero la Agencia española de protección de datos (AEPD) emitió una resolución que afecta a una de las multinacionales más conocidas en el mundo. En el presente caso, el reclamante solicitó a GOOGLE SPAIN, S.L. el derecho de cancelación para la eliminación/difuminación de la matrícula de su motocicleta que aparece en la conocídisima aplicación “Google Street View”.
Al tratarse de una multinacional, debe delimitarse primero quien es el responsable del fichero a los efectos de la ley española. La propia Google Inc. reconoce expresamente que tiene designado a Google Spain como su representante ubicado en territorio español, conforme a lo exigido por el artículo 3.1.c), segundo párrafo del RLOPD. Luego ante Google Spain, S.L. hay que ejercitar los derechos de acceso, rectificación, cancelación y oposición en relación con el fichero “GOOGLE STREET VIEW”.
Durante la tramitación del procedimiento, Google difumina los números de la matrícula del vehículo del reclamante. No obstante, no queda acreditada la contestación expresa por parte de la entidad reclamada, informando al reclamante que se ha atendido el derecho solicitado, por lo que se le requiere para que expresamente informe al reclamante de tal hecho.
Al tratarse de una multinacional, debe delimitarse primero quien es el responsable del fichero a los efectos de la ley española. La propia Google Inc. reconoce expresamente que tiene designado a Google Spain como su representante ubicado en territorio español, conforme a lo exigido por el artículo 3.1.c), segundo párrafo del RLOPD. Luego ante Google Spain, S.L. hay que ejercitar los derechos de acceso, rectificación, cancelación y oposición en relación con el fichero “GOOGLE STREET VIEW”.
Durante la tramitación del procedimiento, Google difumina los números de la matrícula del vehículo del reclamante. No obstante, no queda acreditada la contestación expresa por parte de la entidad reclamada, informando al reclamante que se ha atendido el derecho solicitado, por lo que se le requiere para que expresamente informe al reclamante de tal hecho.
En este caso Google se libra de la sanción económica.
jueves, 21 de febrero de 2013
multa 2000€ por envío masivo sin copia oculta
El pasado mes de diciembre, la Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 2.000 euros a una Fundación cultural palentina, por enviar un correo electrónico a unos mil destinatarios sin generar una copia oculta de las direcciones, lo que según la AEPD constituye infracción del artículo 10 de la Ley Orgánica de Protección de Datos.
Los hechos se remontan al pasado mes de Mayo de 2012, cuando la Fundación envió un correo electrónico a sus clientes para informarles de que la entidad estaría presente en la Feria del Libro de Madrid. Según la propia Fundación el correo se remitió sin ocultar las direcciones de los destinatarios “por un error involuntario” de la persona que realizó el envío a través de Microsoft Outlook. Una de los destinatarias, cuya dirección había facilitado al adquirir una colección de DVD’s a la fundación, denunció a la entidad por este hecho.
Por su parte, el Director de la Agencia decidió iniciar, en noviembre de 2012, procedimiento sancionador contra la Fundación tipificando el error como infracción grave, lo que conllevaba una sanción económica entre 40.000 y 300.000€, a lo que la entidad alegó que era “absolutamente desproporcionado“.
Según expone la Agencia de Protección de Datos, la dirección de correo electrónico es considerada un dato de carácter personal y su tratamiento ha de estar sometido a la citada Ley Orgánica, por lo que, con carácter general “no será posible su utilización o cesión si el interesado no ha dado consentimiento para ello”.
Además, la AEPD asegura que en este caso ha quedado acreditado en el expediente que el denunciante recibió un corro electrónico que facilitaba datos personales de numerosísimas personas, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD.
En su resolución, la AEPD resuelve que teniendo en cuenta los criterios de graduación de las sanciones recogidos en el artículo 45 de la LOPD, y al haber reconocido el denunciado su culpabilidad y acreditado la ausencia de intencionalidad y de reincidencia, debe imponerse la sanción dentro del intervalo de las infracciones calificadas como leves y, concretamente, en 2.000 euros.
Los hechos se remontan al pasado mes de Mayo de 2012, cuando la Fundación envió un correo electrónico a sus clientes para informarles de que la entidad estaría presente en la Feria del Libro de Madrid. Según la propia Fundación el correo se remitió sin ocultar las direcciones de los destinatarios “por un error involuntario” de la persona que realizó el envío a través de Microsoft Outlook. Una de los destinatarias, cuya dirección había facilitado al adquirir una colección de DVD’s a la fundación, denunció a la entidad por este hecho.
Por su parte, el Director de la Agencia decidió iniciar, en noviembre de 2012, procedimiento sancionador contra la Fundación tipificando el error como infracción grave, lo que conllevaba una sanción económica entre 40.000 y 300.000€, a lo que la entidad alegó que era “absolutamente desproporcionado“.
Según expone la Agencia de Protección de Datos, la dirección de correo electrónico es considerada un dato de carácter personal y su tratamiento ha de estar sometido a la citada Ley Orgánica, por lo que, con carácter general “no será posible su utilización o cesión si el interesado no ha dado consentimiento para ello”.
Además, la AEPD asegura que en este caso ha quedado acreditado en el expediente que el denunciante recibió un corro electrónico que facilitaba datos personales de numerosísimas personas, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD.
En su resolución, la AEPD resuelve que teniendo en cuenta los criterios de graduación de las sanciones recogidos en el artículo 45 de la LOPD, y al haber reconocido el denunciado su culpabilidad y acreditado la ausencia de intencionalidad y de reincidencia, debe imponerse la sanción dentro del intervalo de las infracciones calificadas como leves y, concretamente, en 2.000 euros.
jueves, 14 de febrero de 2013
La Oficina de protección de datos CBP (Holanda) y el Comisariado para la protección de la vida privada (Canadá) han iniciado una investigación conjunta del popular sistema de mensajería instantánea para 'smartphones', WhatsApp.
La utilización del servicio de WhatsApp supone necesariamente que los usuarios deben permitir el acceso a su agenda de contactos. De esta forma, todos los números de teléfono incluidos en el móvil del cliente se transmiten a WhatsApp para facilitar la identificación de otros usuarios.
En lugar de borrar el número de teléfono de los no usuarios, WhatsApp los almacena. Sólo aquellas personas que dispongan del terminal IPhone de Apple, con el software IOS6, pueden evitar la inclusión automática de los datos de sus contactos, agregando manualmente los que se deseen, sin incluir los restantes.
“Esta falta de elección contraviene las leyes de privacidad. Tanto los usuarios como los no usuarios deben tener el control sobre sus datos personales y los usuarios deben ser capaces de decidir libremente qué datos de contacto desean compartir con WhatsApp” ha indicado Jacob Kohnstamm, máximo representante de la Autoridad de Protección de Datos holandesa.
Además, los dos organismos mencionados arriba también han detectado que los mensajes enviados a través de esta aplicación no son encriptados y, por tanto, pueden ser interceptados, especialmente cuando han sido enviados desde una conexión Wi-Fi no segura. WhatsApp no comenzó a cifrar estos mensajes hasta septiembre de 2012.
Se pone de manifiesto, como vemos, las deficiencias de seguridad en WhatsApp ya que se puede, entre otras cosas, robar conversaciones de historiales. Desde WhatsApp se ponen parches a los problemas pero no se acometen soluciones definitivas aunque bien es verdad que la compañía ha expresado en recientes declaraciones que efectuarán los cambios necesarios para proteger la privacidad dentro de los extremos objeto de análisis. En este sentido, se ha asegurado por parte de la misma que se incluirá la posibilidad de llevar a cabo la adición manual de los contactos de nuestra agenda.
La utilización del servicio de WhatsApp supone necesariamente que los usuarios deben permitir el acceso a su agenda de contactos. De esta forma, todos los números de teléfono incluidos en el móvil del cliente se transmiten a WhatsApp para facilitar la identificación de otros usuarios.
En lugar de borrar el número de teléfono de los no usuarios, WhatsApp los almacena. Sólo aquellas personas que dispongan del terminal IPhone de Apple, con el software IOS6, pueden evitar la inclusión automática de los datos de sus contactos, agregando manualmente los que se deseen, sin incluir los restantes.
“Esta falta de elección contraviene las leyes de privacidad. Tanto los usuarios como los no usuarios deben tener el control sobre sus datos personales y los usuarios deben ser capaces de decidir libremente qué datos de contacto desean compartir con WhatsApp” ha indicado Jacob Kohnstamm, máximo representante de la Autoridad de Protección de Datos holandesa.
Además, los dos organismos mencionados arriba también han detectado que los mensajes enviados a través de esta aplicación no son encriptados y, por tanto, pueden ser interceptados, especialmente cuando han sido enviados desde una conexión Wi-Fi no segura. WhatsApp no comenzó a cifrar estos mensajes hasta septiembre de 2012.
Se pone de manifiesto, como vemos, las deficiencias de seguridad en WhatsApp ya que se puede, entre otras cosas, robar conversaciones de historiales. Desde WhatsApp se ponen parches a los problemas pero no se acometen soluciones definitivas aunque bien es verdad que la compañía ha expresado en recientes declaraciones que efectuarán los cambios necesarios para proteger la privacidad dentro de los extremos objeto de análisis. En este sentido, se ha asegurado por parte de la misma que se incluirá la posibilidad de llevar a cabo la adición manual de los contactos de nuestra agenda.
viernes, 8 de febrero de 2013
multa a Telefónica
Recientemente la Agencia Española de Protección de Datos ha resuelto imponer una sanción a Telefónica España por contratar 4 líneas a un cliente al que le habían suplantado la identidad. El consumo de estas líneas genera unas facturas que el cliente no paga puesto que no las había contratado aunque los timadores sí habían facilitado su DNI. El resto de los datos no eran correctos. Las facturas no pagadas se convierten en deudas. Posteriormente, se incluyó al cliente en un fichero de insolvencia patrimonial. Se condena a Telefónica por no contar con el consentimiento inequívoco del titular y por la inexactitud de los datos del mismo. La sanción es de 100.000€ y eso que sólo se le sanciona por una de las cuatro líneas. Para ver la resolución pinchar aquí.
Suscribirse a:
Entradas (Atom)