LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS DIFUNDE UNA SERIE DE NORMATIVAS ENCAMINADAS A APLICACIONES MÓVILES EDUCATIVAS, DE ACTIVIDAD FÍSICA, SALUD Y BIENESTAR.

Madrid, 17 de septiembre de 2019

La AEPD ha publicado una nota técnica sobre unas normas acerca de la obligatoriedad de informar y otras medidas de responsabilidad proactiva en aplicaciones móviles educativas, así como de la actividad física, salud y bienestar.

El documento, dirigido tanto a organizaciones responsables del tratamiento de datos de aplicaciones de smartphones como a quienes fomentan las mismas y de librerías, cuya finalidad es detectar prácticas que puedan suponer un agravio para la privacidad de los usuarios/as, aportando facilidades/soluciones a los agentes implicados en vista de promover o impulsar el principio de responsabilidad proactiva.

La nota técnica ha sido expuesta dentro de una serie de trabajos efectuados conjuntamente, con la Universidad Politécnica de Madrid, bajo la dirección de la Agencia Estatal de Protección de Datos.

El primero de ellos abarca el tratamiento de los diversos datos que realizan las aplicaciones móviles que se utilizan en el entorno de la educación obligatoria; el segundo se sumerge en apps que monitorizan la actividad física, así como la salud y el bienestar.

En ellos han sido analizadas y comprobadas las diez aplicaciones más descargadas en el mercado de cada uno de los diversos ámbitos, incluyendo aplicaciones sin coste alguno y otras con un costo adicional (mensual, anual…)

Una parte de las normativas/directrices registradas en la nota técnica se enmarcan la obligatoriedad de proporcionar la información que recoge el Reglamento General de Protección de Datos. Dentro de este apartado se prevén aspectos o perspectivas de cumplimiento relevante; tales como: la necesidad de ofrecer garantías de fácil acceso a la política de privacidad de la aplicación, distinguir claramente el responsable, proporcionar información clara y concisa en la tienda de aplicaciones así como en la aplicación, brindar un lenguaje idóneo a la edad y conocimiento del usuario/a… Entre otras cosas.

El resto de indicaciones están encaminadas al supuesto en que los responsables encarguen el desarrollo, puesta en producción, y/o explotación de aplicaciones a terceras partes las cuales puedan acceder a datos de índole personal, recordando los requisitos que recoge la norma que han de cumplirse en cada caso, entre ellos se incluye la necesidad de regular el tratamiento de datos a través de un contrato o vínculo que cumpla los parámetros de la legalidad, así como la necesidad de adoptar óptimas prácticas y considerar la privacidad desde el diseño y el momento en que se pone en marcha la aplicación.

Entre las recapitulaciones de la nota técnica, la AEPD incide en que si una app permite al usuario la accesión a datos obtenidos mediante sensores y almacenes de datos del móvil, dicha información ha de quedar reflejada adecuadamente dentro de la política de privacidad, ilustrando cuál será la finalidad del tratamiento de esos datos para el usuario/a tenga la potestad de tomar una decisión en consecuencia.

En relación con los responsables que contraten terceras partes con el fin de aplicar un desarrollo, producir o explotar aplicaciones y puedan acceder a datos confidenciales, la Agencia hace hincapié que se han de asegurar de cumplir con los requisitos que se establecen en el Reglamento General de Protección de Datos.

Estas directrices avalan un recurso para responsables cuyo cometido verse en el tratamiento de datos que viene a complementar el catálogo de la AEPD para facilitar el cumplimiento de sus obligaciones en materia de protección de datos, entre los que se hallan:

• La Guía para el cumplimiento del deber a informar
• Decálogo para la adaptación al RGPD de las políticas de privacidad en internet
• La Guía del RGPD para responsables de tratamiento
• Directrices para elaborar contratos entre responsables y encargados de tratamiento.

REFERENCIA: PRENSA Y COMUNICACIÓN https://www.aepd.es/prensa/2019-09-17.html

Análisis del software preinstalado en dispositivos Android y riesgos para la privacidad de los usuarios

El Instituto IMDEA Networks y la Universidad Carlos III de Madrid han publicado el artículo que presentarán en el 41 th IEEE Symposium on Security and Privacy titulado An Analysis of Pre-installed Android Software, al que la Agencia Española de Protección de Datos contribuye compartiendo, a modo de difusión, vulnerando la privacidad así como la protección de datos personales de los ciudadanos, entre ellos usuarios y consumidores.

El estudio tiene como objeto identificar los agentes que se hayan preinstalados en el sofware en Android, sofware de dudosa reputación, y que utilizan el acceso privilegiado a recursos del sistema para la obtención de los datos de las personas; revelar los acuerdos comerciales entre vendedores de dispositivos digitales de soporte móvil, incluyendo organizaciones especializadas en la monitorización y rastreo de usuarios, así como proporcionar publicidad en la red informática; analizar y detectar vulnerabilidades y otras prácticas opacas e incluso analizar la transparencia en la información proporcionada al usuario.

De este estudio, por un lado, se desprende que el sistema operativo Android sus apps admite que un importante número de actores puedan monitorizar y obtener información personal de los usuarios a nivel del sistema operativo y, por otro, que el usuario no conoce la presencia de estos actores en sus dispositivos Android y las implicaciones que suponen sobre su privacidad.

La presencia de este software con privilegios de sistema dificulta su eliminación sin ser un usuario experto.

En cuanto a los resultados, se deducen los siguientes:

Además de los permisos estándar, definidos en Android, y bajo control del usuario, los investigadores han identificado más de 4.858 permisos propietarios o personalizados por los intervinientes en la fabricación de los dispositivos y/o terminales.

Este tipo de permisos permite que apps, publicadas en la aplicación – valga la redundancia – Google Play eludan el modelo de permisos de Android para Acceder a datos del usuario sin requerir su consentimiento al instalar una nueva app.

En cuanto a las apps preinstaladas

Dichas apps, instaladas en los terminales móviles, se han identificado más de 1.200 compañías, así como la presencia de más de 11.000 librerías de terceros y la presencia de más de 11.000 librerías de terceros. Gran parte de las librerías guardan relación con servicios de publicidad y monitorización on-line con la utilización de fines comerciales.

Estas apps se ejecutan con permisos privilegiados y sin posibilidad, al menos en un alto porcentaje de casos, de ser desinstaladas del sistema.

Un análisis exhaustivo del comportamiento del 50% de las apps identificadas, revela que una fracción importante de las mismas presenta softwares potencialmente maliciosos; tales como: malware, troyanos genéricos o software preinstalado que facilitaría un sinfín de prácticas fraudulentas:

De los delitos informáticos: Artículos 197 ter y ss del Código penal (En tal caso, sería del Capítulo I de dicho Código Penal “Del descubrimiento y revelación de secretos”)

Respecto a la información ofrecida al iniciar un nuevo terminal, se pone de relieve un déficit de transparencia de las apps y del propio sistema operativo Android al mostrar al usuario una relación de permisos distinta de la real, limitando su capacidad de decisión para gestionar su información personal.

REFERENCIAS: PRENSA Y COMUNICACIÓN    https://www.aepd.es/prensa/2019-03-18.html

LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS CENTRA SU 11ª SESIÓN ANUAL ABIERTA

Madrid, 25 de junio de 2019

La AEPD centra su 11ª Sesión anual abierta en hacer balance tras 200 días de aplicar la LOPD, cuya inauguración ha contado con la presencia de la Ministra de Justicia en funciones, Dolores Delgado.

Esta edición ha ampliado su formato tradicional, incorporando conferencias y mesas redondas en las que también intervinieron representantes de entidades de carácter público y privado.

La Ministra de Justicia en funciones ha señalado que Europa ha dado un paso vital con la aprobación del RGPD, no sólo por la ampliación de derechos e instrumentos de control frente al tratamiento de datos de índole personal, sino también porque “propone una nueva cultura orientada a la prevención” que supone maneras de actuar para las personas físicas y jurídicas, así como para las Administraciones.

Respecto a la LOPDGDD (Ley Orgánica de Protección de Datos y garantía de los Derechos Digitales) en los que a las tecnologías de la información y comunicación estriba, la titular de Justicia en funciones ha concretado que es primordial seguir consolidando el modelo que propone el Reglamento europeo.

Para Delgado; esto requiere ir más allá de la adopción orientada a no incurrir en incumplir las normas del Reglamento y fomentar un enfoque proactivo en la protección de datos personales.

No obstante; ha destacado que, a lo largo de sus 25 años de vigencia, la Agencia no sólo ha acompañado al ciudadano en su transformación digital, sino que contribuye a sentar las bases con el objeto de poder avanzar en el desarrollo de una cultura de protección de los datos personales en España: “Una tarea a la que sigue contribuyendo con nuevas herramientas y proyectos que buscan facilitar a los ciudadanos, empresas, profesionales y a la sociedad su adaptación a este nuevo escenario de derechos y deberes digitales” ha puesto de relieve.

Por otro lado, Mar España, directora de la AEPD, ha efectuado balance tras 200 días de aplicación de la LOPDGDD. España ha conmemorado el proceso de reorganización interna que ha acometido la Agencia para adaptarse al Reglamento y aplicación de la LO 3/2018 destacando la labor intensiva de sensibilización, dirigida a responsables y encargados de tratamiento sobre sus obligaciones.

En este sentido, ha comunicado que la Agencia continúa elaborando herramientas con el fin de facilitar el cumplimiento de la normativa, como la versión actualizada de FACILITA y ha anunciado la próxima publicación de la actuación de la Guía de Cookies, realizada en colaboración con el sector de la publicidad on-line.

Estas medidas se complementarán con otras iniciativas, como una herramienta de análisis de riesgos y evaluación de impacto; y Guías de protección de datos en el ámbito de las relaciones laborales, pacientes y usuarios de la sanidad así como para personal sanitario.

El Principio de responsabilidad activa y los mecanismos de supervisión de las autoridades de control para una actuación homogénea ante los desafíos de globalización; el papel del delegado de protección de datos; los criterios respecto de las figuras del responsable, encargado y corresponsable del tratamiento; la vinculación entre el derecho a la protección de datos personales así como otros derechos y libertades que comportan la sociedad dentro de un Estado social y democrático de Derecho, o la gestión del riesgo tecnológico en los tratamientos de datos han sido temas de especial relevancia.

REFERENCIAS: PRENSA Y COMUNICACIÓN https://www.aepd.es/prensa/2019-06-25.html

LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS ALERTA A PEQUEÑAS Y MEDIANAS EMPRESAS DE LOS RIESGOS DE CONTRATAR SERVICIOS DE ADECUACIÓN A LA NORMATIVA A “COSTE CERO”

La AEPD ha publicado un documento en el que informa a pequeñas y medianas empresas, así como a personas autónomas del riesgo que conlleva contratar servicios de adecuación a la nueva normativa de Protección de Datos a empresas que la ofrecen a coste “cero”.

Dicho documento recoge prácticas fraudulentas que están asociadas a este tipo de servicios.

La adecuación a la normativa de Protección de Datos, conocida como “Coste Cero”, oferta estos servicios a un precio muy bajo o incluso de forma gratuita, abonando el pago de éstos mediante los fondos de la empresa, los cuales están destinados a los programas de formación para trabajadores, que son objeto de bonificación de la Seguridad Social.

La AEPD advierte a pymes y autónomos, destinatarios de este tipo de prácticas, que los servicios de adecuación a la normativa requieren de la realización de un estudio individual pormenorizado de la entidad, los tipos de tratamientos que se realizan, los sistemas informáticos y sistemas de gestión documental, por ello se han de aplicar los principios de protección de datos en los procedimientos.

La contratación del servicio de adecuación a la normativa de protección de datos a coste cero – financiada con cargo a fondos públicos mediante bonificaciones en las cuotas a la Seguridad Social, para el empleo, puede derivar en infracciones que se sancionarán por la Inspección de Trabajo y Seguridad Social, con multas de 626 € a 187.515 €.

En relación al cumplimiento de obligaciones tributarias, por parte de las empresas – tanto de quien oferta el servicio como de quien lo contrata – las actividades formativas destinadas a los trabajadores están exentas de tributación por el IVA, mientras que el tipo que corresponde a un servicio de adecuación a una determinada legislación sería del 21%.

De enmascararse el servicio, realmente llevado a cabo, se podría estar cometiendo una infracción tributaria sancionable con multa pecuniaria proporcional, del 50% en adelante, sobre la cuantía no ingresada.

La Agencia recomienda la conveniencia que las tanto las pequeñas y medianas empresas, así como los autónomos que quieran o contraten servicios, adecuados a la normativa de protección de datos, se aseguren que los servicios que los ofrecen no incurran en prácticas aludidas anteriormente.

Respecto al ámbito de actuación de la AEPD, hay diversos canales de información a los responsables (CANAL INFORMA) y a los ciudadanos (Atención al Ciudadano) y una herramienta gratuita de ayuda (FACILITA _ RGPD) dirigida a empresas que realicen un tratamiento de datos personales de escaso riesgo.

REFERENCIAS: PRENSA Y COMUNICACIÓN  https://www.aepd.es/prensa/2019-07-04.html

LA AEPD PUBLICA EL LISTADO DE TRATAMIENTOS EN LOS QUE NO ES NECESARIO REALIZAR UNA EVALUACIÓN DE IMPACTO.

La Agencia Española de Protección de Datos ha publicado, recientemente, el listado de tratamiento de datos de carácter personal en los que no es vinculante la realización de una evaluación de impacto, con el fin de facilitar a los responsables la identificación de este tipo de tratamiento.

El RGPD (Reglamento General de Protección de Datos) recoge en su artículo 35, párrafo 1º concretamente, que las organizaciones que traten datos están obligadas a realizar una Evaluación de Impacto relativa a la Protección de Datos, antes de realizar dicho tratamiento/s cuando, en función de su naturaleza, alcance un riesgo para los Derechos y Libertades de las personas.

De los Derechos y Deberes fundamentales de la Constitución Española, pues guarda relación con el artículo 18 de la misma.

Por otro lado, el párrafo 5 del artículo 35 de dicho Reglamento establece que las autoridades de control podrán publicar la lista de los tipos de tratamiento que no requieren una evaluación de impacto.

Cuantos más criterios reúna el tratamiento en cuestión, mayor será el riesgo que entrañe dicho tratamiento y mayor será la certeza de la necesidad de realizar una EIPD.

La Agencia de Protección de Datos ha comunicado al Comité Europeo (CEPD) el listado, el cual está también disponible en la lengua anglosajona.

Dicho listado no exime de cumplir el resto de obligaciones establecidas en la normativa de protección de datos y, asimismo, complementa a la publicada con anterioridad por la Agencia donde figuran aquellos tratamientos en los que sí es vinculante – de obligatorio cumplimiento –  el resto de obligaciones establecidas en la normativa de protección de datos, complementa a la publicada con anterioridad por la Agencia donde figuran aquellos tratamientos en los que sí que se requiere la obligatoriedad de llevar a cabo una Evaluación de Impacto de Protección de Datos.

REFERENCIAS: PRENSA Y COMUNICACIÓN   https://www.aepd.es/prensa/2019-09-04.html#

LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS DIFUNDE UNAS PERSPECTIVAS PARA LA PROMULGACIÓN DE ACTOS ADMINISTRATIVOS POR PARTE DE LAS ADMINISTRACIONES PÚBLICAS

Madrid, 4 de marzo de 2019

La AEPD ha divulgado unas orientaciones con la finalidad de promover la protección de datos de carácter personal de los usuarios cuando las Administraciones Públicas efectúen difusiones de actos administrativos.

El documento es publicado en coordinación con la Autoritat Catalana de Protecció de dades,
Datuak babesteko euskal agentzia (Agencia vasca de protección de datos) y el Consejo de transparencia y protección de datos de Andalucía.

La LO 3/2018 de Protección de Datos de Carácter Personal y Garantía de los Derechos Digitales, incluye en su Disposición Adicional 7ª apartado 1º cómo ha de identificarse a los interesados e interesadas en las notificaciones mediante anuncios y publicaciones de actos administrativos.

Dicha identificación, con carácter previo, incluía: nombre, apellidos, nº DNI o documento análogo; no obstante, en vista de minimizar el impacto en la privacidad de los ciudadanos se han de publicar el nombre y apellidos, así como cuatro cifras en orden aleatorio del Documento de Identificación.

Las Autoridades de protección de datos han obtenido numerosas consultas en relación a la interpretación del párrafo 1º de la Disposición Adicional 7º, por lo que se difunden estas orientaciones para proporcionar un criterio práctico que haga posible el ajuste de la divulgación de actos administrativos con la protección de datos.

El criterio, provisional hasta que los órganos y Administraciones públicas aprueben disposiciones con el objeto de aplicar la Disposición, quiere evitar que la adopción de otras fórmulas facilite la publicación de cifras – con carácter numérico – de los documentos identificativos las personas físicas en diversas posiciones, dando lugar a la recomposición íntegra de dichos documentos.

Por ello se ha seleccionado, de manera aleatoria, un grupo de cuatro cifras numéricas que han de ser iguales en todas las publicaciones que se efectúen.

REFERENCIAS: PRENSA Y COMUNICACIÓN https://www.aepd.es/prensa/2019-03-04.html

LA AEPD PUBLICA UN ESTUDIO ACERCA DE LA HUELLA DIGITAL DE LOS DISPOSITIVOS, COMO AFECTA LA PRIVACIDAD DE LOS CIUDADANOS.

La AEPD (Agencia Española de Protección de Datos), en lo que a los Derechos Digitales de los usuarios y consumidores se refiere, ha publicado el estudio “Fingerprinting” (huella digital del dispositivo), que es un documento que analiza esta técnica de identificación y rastreo de los usuarios mediante sus dispositivos.

Para su realización, la Agencia ha analizado más de 14.000 páginas web describiendo las técnicas que se hacen servir con el fin de realizar ese perfilado.

El estudio incluye las medidas que pueden poner en marcha los usuarios, con el fin de poder evitar este seguimiento y una serie de recomendaciones a la industria; tanto a los fabricantes y desarrolladores como a las compañías que explotan datos que se obtienen a partir de la huella de los dispositivos de soporte digital.

El perfilado no se limita a recopilar y analizar los hábitos de navegación o las búsquedas realizadas, sino a extraer la geolocalización, ubicación, datos de configuración del sistema y aplicaciones; así como programas instalados, movimientos del ratón…

El estudio afirma, entre otras cosas, conclusiones y demás que a menudo se utilizan estas técnicas para recoger datos del equipo del usuario sin ofrecerle información y sin solicitarle su consentimiento, que el conjunto de datos recabados puede ser tan extenso o enriquecerse de manera que puede llegar a recoger categorías especiales de datos, e incluye un apartado completo con recomendaciones para el usuario, entre las que se halla la opción “Do not track” del navegador, permitiendo dejar constancia de querer evitar el seguimiento; instalar bloqueadores, que permiten eludir la publicidad y el rastreo; deshabilitar el uso de Javascript; alternar entre navegadores que se hallan o ejecutar el acceso a internet en máquinas virtuales.

El estudio de la Agencia Española de Protección de Datos alega que la navegación privada o de incógnito no es eficiente para prevenir el seguimiento, proyectando una falsa sensación de seguridad.

En el caso de fabricantes, el documento afirma que se han de incluir en sus productos las opciones necesarias para que el usuario disponga de capacidades para denegar o aceptar, de forma total o parcial, el uso de estas tecnologías.

Además, deberían proporcionar al consumidor los equipos con las máximas opciones de privacidad activadas de forma predeterminada, y que sea el propio usuario quien reduzca esas opciones. Como buena práctica, los navegadores podrían tener activada por defecto la opción “Do Not Track”

En líneas generales, el estudio recomienda a las entidades que utilizan el “fingerprinting” contar con los servicios de un Delegado de Protección de Datos, y deberán realizar un análisis de riesgos de protección de datos relativos a los derechos y libertades de los afectados.

Para ello; se ha de realizar una Evaluación de Impacto para la Protección de Datos, con el fin de establecer las medidas oportunas que garanticen la protección de los Derechos Digitales de los Usuarios y Consumidores.

REFERENCIAS: PRENSA Y COMUNICACIÓN. https://www.aepd.es/prensa/2019-02-07.html

LA AEPD PUBLICA UN ESTUDIO ACERCA DE LA HUELLA DIGITAL DE LOS DISPOSITIVOS, COMO AFECTA LA PRIVACIDAD DE LOS CIUDADANOS.

La AEPD (Agencia Española de Protección de Datos), en lo que a los Derechos Digitales de los usuarios y consumidores se refiere, ha publicado el estudio “Fingerprinting” (huella digital del dispositivo), que es un documento que analiza esta técnica de identificación y rastreo de los usuarios mediante sus dispositivos.

Para su realización, la Agencia ha analizado más de 14.000 páginas web describiendo las técnicas que se hacen servir con el fin de realizar ese perfilado.

El estudio incluye las medidas que pueden poner en marcha los usuarios, con el fin de poder evitar este seguimiento y una serie de recomendaciones a la industria; tanto a los fabricantes y desarrolladores como a las compañías que explotan datos que se obtienen a partir de la huella de los dispositivos de soporte digital.

El perfilado no se limita a recopilar y analizar los hábitos de navegación o las búsquedas realizadas, sino a extraer la geolocalización, ubicación, datos de configuración del sistema y aplicaciones; así como programas instalados, movimientos del ratón…

El estudio afirma, entre otras cosas, conclusiones y demás que a menudo se utilizan estas técnicas para recoger datos del equipo del usuario sin ofrecerle información y sin solicitarle su consentimiento, que el conjunto de datos recabados puede ser tan extenso o enriquecerse de manera que puede llegar a recoger categorías especiales de datos, e incluye un apartado completo con recomendaciones para el usuario, entre las que se halla la opción “Do not track” del navegador, permitiendo dejar constancia de querer evitar el seguimiento; instalar bloqueadores, que permiten eludir la publicidad y el rastreo; deshabilitar el uso de Javascript; alternar entre navegadores que se hallan o ejecutar el acceso a internet en máquinas virtuales.

El estudio de la Agencia Española de Protección de Datos alega que la navegación privada o de incógnito no es eficiente para prevenir el seguimiento, proyectando una falsa sensación de seguridad.

En el caso de fabricantes, el documento afirma que se han de incluir en sus productos las opciones necesarias para que el usuario disponga de capacidades para denegar o aceptar, de forma total o parcial, el uso de estas tecnologías.

Además, deberían proporcionar al consumidor los equipos con las máximas opciones de privacidad activadas de forma predeterminada, y que sea el propio usuario quien reduzca esas opciones. Como buena práctica, los navegadores podrían tener activada por defecto la opción “Do Not Track”

En líneas generales, el estudio recomienda a las entidades que utilizan el “fingerprinting” contar con los servicios de un Delegado de Protección de Datos, y deberán realizar un análisis de riesgos de protección de datos relativos a los derechos y libertades de los afectados.

Para ello; se ha de realizar una Evaluación de Impacto para la Protección de Datos, con el fin de establecer las medidas oportunas que garanticen la protección de los Derechos Digitales de los Usuarios y Consumidores.

REFERENCIAS: PRENSA Y COMUNICACIÓN. https://www.aepd.es/prensa/2019-02-07.html

LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, CONSUMO Y COMERCIO RECOMIENDAN UNAS PAUTAS CON EL FIN DE IMPULSAR LA COMPRA SEGURA ON-LINE DEL BLACK FRIDAY

Madrid, 19 de noviembre 2018

La AEPD, la Dirección General de Política Comercial y Competitividad, así como la Dirección General de Consumo, celebraron un evento en el que ofrecieron unas indicaciones/recomendaciones para fomentar la compra segura en internet.

Dicha presentación tuvo lugar pocos días antes del Black Friday y el Cyber Monday (23 y 26 de noviembre 2018)

Estas fechas fueron escogidas por miles de personas con el objeto de adquirir toda tipología de productos y, en otros casos, para anticipar sus compras en navidad.

Uno de cada cuatro hogares españoles, en el año 2017, realizó compras mediante internet, según datos del INE, pero según el barómetro del CIS, un 39% admitió un considerable desasosiego al facilitar el número de tarjeta con el fin de realizar dichas compras en internet.

Los materiales presentados forman parte de las actuaciones preventivas y de colaboración, iniciadas por la AEPD, con el fin de impulsar a los ciudadanos/as para que conozcan los derechos e intereses que les asisten, en un escenario comercial en el que descuentos y ofertas – que sean llamativas –  puedan ser utilizadas mediante webs o aplicaciones engañosas y/o de origen fraudulento.

Es por ello, que la AEPD, Comercio y Consumo se unificaron en vista a promover que las compras on-line se efectúen de manera segura.

Durante la presentación, la directora de la Agencia Española de Protección de Datos, Mar España, alegó lo siguiente:

“Desde la Agencia queremos promover acciones que favorezcan la confianza de los ciudadanos y que posibiliten, al mismo tiempo, el desarrollo de la economía digital, ya que un ciudadano bien informado es clave para el crecimiento de los negocios on-line, donde la confianza es base fundamental”

José Luís Kaiser, director general de Política Comercial y Competitividad, de la Secretaría de Estado de Comercio, dijo que “La Secretaría de Estado de Comercio acompaña, tanto a empresas digitales como retailers tradicionales, en la transición hacia un modelo de futuro que garantice la elección del consumidor en un marco de comercio seguro”.

Es más; puso de relieve que “en paralelo al perfeccionamiento de los mecanismos de pago on-line, el consumidor ha incrementado su confianza en la seguridad del sistema, precondición para el desarrollo saludable del comercio. Una mayor información sobre los elementos de riesgo en la red, unido a la adopción de sistemas de pago seguro y a la protección de datos que configuran la identidad del usuario, en sentido amplio, son elementos que determinan la consolidación y crecimiento ordenado del negocio on-line”

En su intervención, el director general de Consumo del Ministerio de Sanidad, Consumo y Bienestar Social, Nelson Castro, ha puesto en relieve la relevancia de efectuar una compra prudente, en páginas web seguras y que a los consumidores les asisten los mismos derechos que si realizaran una compra o contratación física.

Entre las indicaciones, con el objetivo de fomentar la compra segura en internet, están las páginas oficiales y/o seguras; utilizar fuertes contraseñas (largas, combinando cifras, letras y símbolos); no comprar usando redes WiFi de dominio público; cerrar la sesión al terminar la compra, usar una tarjeta – sólo y exclusivamente – para realizar pagos on-line; no enviar dinero en efectivo e ignorar/borrar los correos en los que piden datos bancarios.

Asimismo; se recomienda revisar la política de privacidad de web y aplicaciones y no facilitar más datos para finalizar la compra, se establece una política en relación a que las tiendas no pueden tratar datos de menores de 14 años de edad sin el consentimiento de sus padres/tutores.

En caso de los juguetes conectados, la protección de datos es sumamente relevante, puesto que los usuarios suelen ser menores. Así, se recomienda comprobar aspectos como qué datos recoge el juguete, quién y para qué los va a utilizar, qué opciones ofrece para configurar la privacidad o ante quién y de qué manera se puede interponer una reclamación o queja, con el fin de solicitar unas pretensiones o querer ejercer nuestros derechos.

También se aconseja optar por productos que ofrezcan una información completa e identifiquen de manera clara y precisa si, por ejemplo, están grabando la voz del infante.

Esta tipología de recomendaciones complementa, a la Guía de compra segura en internet, una iniciativa realizada por la Agencia INCIBE, Consumo y la Policía Nacional, con el objetivo de establecer confianza y contribuir al crecimiento del comercio on-line en nuestro país.

Se estima que el comercio electrónico facturó, en España, más de 30.000 millones de Euros en el año 2017 y que superó los 8.900 millones en el primer trimestre del año 2018, un 32,8% más que el anterior año, según los datos de la CNMC.

En relación a la división geográfica, las webs del comercio electrónico en nuestro país agrupan el 52, 7% de los ingresos.

El 93,1% de las comprar, desde España hacia el exterior, se dirigen a la Unión Europea, seguidas de América (2, 3%)

REFERENCIAS: PRENSA Y COMUNICACIÓN  https://www.aepd.es/prensa/2018-11-19.html

Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos publicado en el BOE de 30 de julio, tras haber sido aprobado el pasado viernes por el Consejo de Ministros para adaptar el Derecho español al Reglamento General de Protección de Datos, norma de la Unión Europea que es de aplicación desde el pasado 25 de mayo imponiendo importantes modificaciones en la legislación interna, cambios que fueron incorporados a un proyecto de ley orgánica que todavía no ha superado su tramitación parlamentaria.

Por lo tanto, tal como señala la reseña del Consejo de Ministros del pasado viernes:
El Real Decreto Ley tiene por objeto establecer la regulación de determinadas materias en materia protección de datos que no están reservadas a la ley orgánica. En concreto, regula la inspección y el régimen sancionador en materia de protección de datos y los procedimientos en caso de una posible vulneración del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.

Asimismo, el Real Decreto Ley deroga el artículo 40 y el Título VII (a excepción del artículo 46) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
La finalidad del Real Decreto Ley es adecuar nuestro ordenamiento al Reglamento General de Protección de Datos en aquellos aspectos concretos que, sin rango orgánico, no admiten demora; su aprobación, sin embargo, debe entenderse sin perjuicio de la necesidad de una legislación orgánica de protección de datos que procure la plena adaptación de la normativa interna a los estándares fijados en la materia por la Unión Europea a través de una disposición directamente aplicable como es el Reglamento General de Protección de Datos, de aplicación en España desde el pasado 25 de mayo.

Entre otras medidas contenidas en el Real Decreto Ley, destacan las siguientes:

• La delimitación de los sujetos responsables de los tratamientos a los que les es aplicable el régimen sancionador [los encargados de los tratamientos; los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea; las entidades de certificación; las entidades acreditadas de supervisión de los códigos de conducta (artículo 4 del Real Decreto Ley)].
• La determinación de los plazos de prescripción de las infracciones y sanciones previstas en la norma europea (artículos 6 y 7 del Real Decreto Ley).
• Peculiaridades de los procedimientos:
  a) En caso de posible vulneración de la normativa de protección de datos se distinguen: 1) Aquellos procedimientos tramitados por la Agencia Española de Protección de Datos en los supuestos en los que un afectado reclame que no ha sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 15 a 22 del Reglamento, así como 2) aquellos en los que aquélla investigue la existencia de una posible infracción de lo dispuesto en el mencionado reglamento y la normativa española de protección de datos.
  b) Suspensión automática de los plazos de tramitación cuando deba recabarse información, consulta, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la UE o de una o varias autoridades de control de los Estados miembros conforme con lo establecido en el Reglamento General de Protección de Datos, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la Agencia Española de Protección de Datos, con el fin de evitar la caducidad del mismo.
  c) Actuaciones previas de investigación: Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento.
  –        La representación española en el Comité Europeo de Protección de Datos a través de la Agencia Española de Protección de Datos (disposición adicional primera).
  –        La vigencia temporal del Real Decreto Ley: entrará en vigor el día siguiente de su publicación en el BOE y permanecerá vigente hasta la entrada en vigor de la nueva legislación orgánica de protección de datos, cuyo objeto será adaptar el ordenamiento jurídico español al Reglamento General de Protección de Datos (disposición final única). Actualmente, como se ha mencionado, se encuentra en tramitación parlamentaria un proyecto de ley orgánica en materia de protección de datos que fue objeto de aprobación por el Consejo de Ministros el 10/11/2017.

La Directiva 95/46/CE del Parlamento Europeo y del Consejo trató de armonizar la protección de los derechos y las libertades fundamentales de las personas físicas en relación con las actividades de tratamiento de datos de carácter personal y garantizar la libre circulación de estos datos entre los Estados miembros.
Actualmente, la regulación del derecho a la protección de datos es uniforme en la Unión Europea, toda vez que se encuentra regulado por un Reglamento, norma jurídica de derecho comunitario con alcance general y eficacia directa, aplicable en todos los Estados de la Unión por cualquier autoridad o particular, sin que sea precisa ninguna norma jurídica de origen interno o nacional que la incorpore para completar su eficacia plena.
Si bien, en los casos en que el Reglamento establezca que sus normas sean especificadas o restringidas por el Derecho de los Estados miembros, estos, en la medida en que sea necesario por razones de coherencia y para que las disposiciones nacionales sean comprensibles por sus destinatarios, pueden incorporar a su Derecho nacional elementos del reglamento. Asimismo, puede ser invocada la tutela jurisdiccional ante los tribunales nacionales o comunitarios por los particulares.
Se trata del Reglamento General de Protección de Datos UE/2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, que entró en vigor el 25 de mayo de 2016 y ha comenzado a aplicarse dos años después de su entrada en vigor, es decir el 25 de mayo de 2018.
Así pues, con el RGPD, la regulación del derecho a la protección de datos es uniforme en la Unión Europea, tiene eficacia directa en los Estados miembros. Pretende dar una respuesta a la rápida evolución tecnológica y la globalización que han planteado nuevos retos para la protección de los datos personales.
La tecnología ha transformado tanto la economía como la vida social, y ha de facilitar aún más la libre circulación de datos personales dentro de la UE y la transferencia a terceros países y organizaciones internacionales, garantizando al mismo tiempo un elevado nivel de protección de datos personales.