Blog Derecho de las Nuevas Tecnologías - IECS: Protección de Datos

Mostrando entradas con la etiqueta Protección de Datos. Mostrar todas las entradas

Cinco claves para aplicar el nuevo reglamento de protección de datos

Instituto Europeo Campus Stellae
Formación en Derecho de las Nuevas Tecnologías
www.campus-stellae.com
info@campus-stellae.com
+0034 627 52 00 33

De izquierda a derecha Antonio Hurtado de Mendoza, Ignacio Pino Ledesma, Ruth Benito, José Antonio Sánchez García.

Expertos ofrecen las claves del nuevo Reglamento General de Protección de Datos (RGPD), una ley en vigor desde el 25 de mayo que afecta a todas aquellas empresas que traten datos de ciudadanos europeos.

Expertos aconsejan que, para el cumplimiento del Reglamento General de Protección de Datos que entró en vigor el 25 de mayo, las empresas deben respetar los derechos digitales de los ciudadanos, ser proactivas en las brechas de seguridad del sector legal, proteger la portabilidad de datos, cumplir el Registro de Actividades de Tratamiento (RAT) y nombrar a un delegado de protección de datos.

Durante una jornada práctica organizada por Formación Lefebvre – El Derecho y el Centro de Estudios Financieros, el catedrático y ex director de la Agencia Española de Protección de Datos, José Luis Piñar, ha subrayado que nunca antes una aplicación normativa había causado una expectación “tan destacable” y que el motivo es la afectación de la norma a todos los países y ciudadanos del mundo, lo que ha tildado de “novedad histórica“.

La presidenta de APEP, Cecilia Alvarez, ha destacado que la figura del delegado de protección de datos es clave tanto para autónomos como para despachos de abogados. “No hay entidades que se puedan permitir no tener un delegado de protección de datos”, ha asegurado.

La socia de Legistel y Vocal de la Junta directiva de ENATIC, Noemí Brito ha aconsejado a los profesionales de la protección de datos que “cuando se tenga que hacer una portabilidad se haga a su vez un documento al responsable receptor a modo de registrar su cumplimiento”.

Otra de los cambios analizados con el citado reglamento ha sido la obligatoriedad del Registro de Actividades del Tratamiento (RAT). A partir de la aplicación del RGPD, el RAT será obligatorio en empresas de más de 250 empleados y aquellas que realicen tratamiento de datos que puedan entrañar un riesgo para los derechos y libertades de los individuos.

La jornada formativa ha concluido con aspectos como la obligatoria demostración de los datos, del cumplimiento del tratamiento adecuado de datos ante la Agencia Española de Protección de Datos, la necesidad de bloquear las brechas de seguridad en el sector legal y la necesidad de notificación a los interesados y a los destinatarios cuyos datos hayan sido tratados.

La seguridad de los datos en la Administración española
Además de la importancia del reglamento en el ámbito privado, en la Jornada se ha hecho referencia al reglamento respecto a la Administración Pública. El director del CENDOJ y ex director de la Agencia Vasca de Protección de Datos. España, Iñaki Vicuña, “uno de los países con mayor sensibilidad en lo que respecta a la protección de datos gracias a las autoridades de control, y, por tanto, el nivel de seguridad de los datos en la Administración española es muy alto”.

Guía para implantar el Sistema de Protección de Datos

A este respecto hay que subrayar que la finalidad principal del RGPD es proteger el derecho fundamental a la protección de datos de carácter personal, así como el derecho de supresión, derecho a la limitación del tratamiento y derecho a la portabilidad de los datos.

Por esto, Lefebvre – El Derecho, ha elaborado Compliance Protección de Datos una guía para realizar la planificación, implantación y mantenimiento del Sistema de Protección de Datos.

FUENTE: Efemepresas

Primera multa por piratería de la Agencia de Protección de Datos

Instituto Europeo Campus Stellae
Formación en Derecho en Internet y Delitos Informáticos
www.campus-stellae.com
info@campus-stellae.com
+0034 981 522 788

La Agencia de Protección de Datos ha impuesto su primera multa por piratería a una página web, ya cerrada, por vulneración de la Ley de Protección de Datos y la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico.

Lolabits.es se publicitaba como una página de almacenamiento de archivos, al estilo de Dropbox, pero era "uno de los sitios más activos de piratería digital" y por eso la Agencia Española de Protección de Datos le ha impuesto una sanción de 5.000 euros, la primera multa que pone a una web de piratería.

La denuncia contra la web, ya cerrada, la interpusieron, en febrero de 2016, ante la Agencia (AEPD) las entidades Agedi, AIE, Cedro, Egeda, Fedicine y SGAE por vulneración de la ley de Protección de Datos (LOPD) y la ley de Servicios de la Sociedad de la Información y de comercio electrónico (LSSI), informa Efe.

Aunque Lolabits.es, según una nota de la AEPD, se publicitaba como un servicio gratuito de almacenamiento como Dropbox o Google Drive, y que incluso "abordó el segmento de los dispositivos móviles mediante una aplicación Android", la realidad es que los archivos eran públicos con carpetas "repletas de música, películas, libros y otros contenidos protegidos por derechos de propiedad intelectual".

"Se convirtió en uno de los sitios más populares para el acceso a contenidos pirateados con datos de tráfico de 2,9 millones de usuarios en el mes que se interpuso la denuncia", señala la AEPD.

Las denunciantes, según el comunicado de la AEPD, han recibido la resolución "de manera muy positiva" por "el mensaje rotundo" que implica sobre las consecuencias del incumplimiento de la normativa y porque "cerca a los portales piratas reduciendo su ámbito de impunidad".

La AEPD les multa en aplicación de la Ley de servicios de la sociedad de la información y de comercio electrónico (LSSI) y, en concreto de su artículo 22.2, relativo a los derechos de los usuarios.

Gestionada a través de una empresa radicada en Chipre, Lolabits.es utilizaba dispositivos de almacenamiento de recuperación de datos (DARD) con la finalidad declarada de ser "analítica web de tercera parte" y para la "gestión de redes sociales".

La AEPD considera que la página web no proporcionaba "información suficiente al usuario" para "otorgar su consentimiento informado" para permitir el uso de DARD, "lo que supone el incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22 de la LSSI".

"La recolección de datos personales es una de las vías habituales de financiación de los sitios piratas, tal como recoge el Observatorio de la Piratería, que detalla cómo un 36,4 % de los usuarios de esas web tiene que registrarse y ceder datos de carácter personal, facilitando la creación de bases de datos que alcanzan precios muy elevados en el mercado".

La AEPD estima como "acreditado" que Lolabits.com "no ofrecía información respecto de la instalación de dispositivos de almacenamiento y recuperación de datos" y que era "un gran repositorio de piratería".

FUENTE: Expansión.

PROTECCIÓN DE DATOS Por qué es tan importante el cifrado de WhatsApp

Instituto Europeo Campus Stellae
Formación en Derecho en Internet y Delitos Informáticos
www.campus-stellae.com
info@campus-stellae.com
+0034 981 522 788

Cuatro pasajeros del metro de Seúl, con sus 'smartphones'. AP / EL PAÍS VÍDEO

La aplicación blinda y hace inaccesibles sus mensajes

José Mendiola Zuriarrain 6 ABR 2016 - 18:18 CEST

Imposible mirar hacia otro lado. En pleno debate sobre la privacidad y la difícil línea que separa la información personal del bien común general, desde el punto de vista de las autoridades, WhatsApp, la célebre aplicación de mensajería, ha decidido cifrar sus mensajes y llamadas haciendo que éstos sean completamente inaccesibles a cualquier usuario que no sean los propios interlocutores. Estos días hemos vivido con intensidad el pulso que Apple ha mantenido con el FBI en torno a la privacidad de la información de los usuarios, y fue precisamente en una de las cartas públicas de los de Cupertino donde Tim Cook defendió la importancia del cifrado para salvaguardar la información de los ojos ajenos. Esto es justo lo que acaba de adoptar la conocida aplicación de mensajería.

¿En qué consiste exactamente el cifrado? Básicamente, en blindar cada mensaje que se escribe con una llave temporal y única que solo puede descifrar el receptor en su móvil. Es decir, al redactar un mensaje, éste sale del móvil ya cifrado y viaja hasta los servidores de WhatsApp en esta misma condición y de ahí al destinatario, que será el único que podrá acceder al mismo. “Nadie puede acceder al contenido de ese mensaje: ni los criminales, ni los hackers ni los regímenes opresivos. Ni siquiera nosotros mismos”, explica con contundencia Jan Koum, cofundador de WhatsApp, para explicar el calado de la medida.

“Para mí, se trata de una cuestión personal”, explica el emprendedor de origen ucraniano. “Nací en plena URSS, bajo gobiernos comunistas, y el hecho de no poder hablar con libertad fue uno de los motivos por los que mi familia emigró a los Estados Unidos”. Con esta declaración, los responsables de la firma adquirida por Facebook dejan claro que todo el contenido que circule por su aplicación de mensajería estará completamente blindado ante ojos ajenos, y, en realidad, se trataría de una situación similar en una conversación cara a cara: solo los interlocutores conocen su contenido.

Conviene recordar, además, que el cifrado no solo afecta a los mensajes, sino también a las llamadas telefónicas que se hagan desde la aplicación de mensajería, que siguen el mismo principio y que nadie, ni siquiera los servicios de inteligencia, podrán escuchar. Este cambio no requiere de ninguna asistencia por parte del usuario, ya que se realiza de forma automática desde los servidores de WhatsApp, aunque para poder disfrutar del mismo, los usuarios de la aplicación deberán tenerla actualizada a la última versión.

¿Hasta qué punto es importante el paso adoptado por WhatsApp? Raj Samani, directivo de Intel Security, explica que “esta decisión ofrece la garantía de que los mensajes no están siendo interceptados por terceras partes no autorizadas”. Y desde el punto de vista de los usuarios, “tienen la confianza de saber que únicamente los destinatarios están leyendo el mensaje”.

FUENTE: El País.

FORMACIÓN RELACIONADA:

Máster en Derecho de Internet y Nuevas Tecnologías de la Información y las Comunicaciones

APPLE CULPA DE LA FILTRACIÓN EN ICLOUD AL USO DE CONTRASEÑAS POCO SEGURAS

Instituto Europeo Campus Stellae
Formación en Derecho en Internet y Delitos Informáticos
www.campus-stellae.com
info@campus-stellae.com
+0034 981 522 788

La tecnológica rechaza fallos en los sistemas se seguridad de su servicio en la nube después de la aparición de fotos íntimas de un centenar de famosos

EUROPA PRESS Madrid 02/09/2014

Apple ha confirmado que ciertas cuentas de algunos famosos sufrieron recientemente un ataque pero ha negado que sus servicios en la nube como iCloud o Busca mi iPhone hayan sido vulnerados, permitiendo así el acceso sin permiso a fotos e información privada de sus usuarios.

La tecnológica ha informado del resultado de sus "más de 40 horas de investigación" después de que varios famosos constataran que información personal como fotografías habían sido 'hackeadas' y publicadas en Internet sin su consentimiento.

Apple ha explicado que las fotos fueron robadas siguiendo un protocolo que se ha vuelto "muy común en Internet" consistente en comprometer la seguridad de los servicios como iCloud a través de "ataques específicos sobre los nombres de usuarios, contraseñas y preguntas de seguridad".

No obstante, la empresa de Cupertino enfatiza que ninguno de los robos de fotografías se han producido por el "incumplimiento" de los sistemas de Apple. Es decir, debido a la vulnerabilidad interna a raíz de un fallo puntual de su sistema.

La empresa de la manzana mordida sugiere que el delito informático se aprovechó de que las contraseñas de las celebridades no eran suficientemente seguras. Por este motivo, recuerda que desde su página web se pueden "proteger contra este tipo de ataques" eligiendo una contraseña segura y activando lo que llaman la verificación de dos pasos.

Apple ha mostrado su "indignación" por lo que califican de actos delictivos, de ahí que subrayen que mantienen su colaboración con la policía para detener a los responsables de este ataque informático.

FUENTE: Público.

FORMACIÓN RELACIONADA:
-Máster en Derecho de Internet y Nuevas Tecnologías de la Información y las Comunicaciones.

DERECHO DE PROTECCIÓN DE DATOS

Instituto Europeo Campus Stellae
Área NTIC
Formación y Becas de estudio
Máster en Derecho de Internet y NTIC. Becas y prácticas en más de 70 países.
www.campus-stellae.com
info@campus-stellae.com
+0034 981522788

Fuente: gesprodat.com

El derecho fundamental a la protección de datos reconoce al ciudadano la facultad de controlar sus datos personales y la capacidad para disponer y decidir sobre los mismos.

La Constitución Española en su artículo 10 reconoce el derecho a la dignidad de la persona. Por su parte, el artículo 18.4 dispone que la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.

En desarrollo del citado artículo 18.4, fue aprobada la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD).

Tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.

La LOPD garantiza una serie de derechos a las personas físicas, titulares de los datos, tales como el derecho a ser informado de cuándo y porqué se tratan sus datos personales, el derecho a acceder a los datos y, en caso necesario, el derecho a la modificación o supresión de los datos o el derecho a la oposición al tratamiento de los mismos.

FUENTE: Agencia Española de Protección de Datos.

FORMACIÓN RELACIONADA

-Máster en Derecho de Internet y Nuevas Tecnologías de la Información y las Comunicaciones:
http://www.campus-stellae.com/web/index.php/formacion/derecho-Internet/masters/master-en-derecho-de-Internet-y-de-las-tic

Protección de Datos examinará la privacidad en las aplicaciones móviles

Instituto Europeo Campus Stellae
Área NTIC
Formación y Becas de estudio
Máster en Derecho de Internet y NTIC. Becas y prácticas en más de 70 países.
www.campus-stellae.com
info@campus-stellae.com
+0034 981522788

La AEPD participará en un trabajo coordinado con autoridades de otros países competentes en esa materia, para examinar conjuntamente las populares 'apps' de los dispositivos móviles

EFE MADRID 10/05/2014 14:12 Actualizado: 10/05/2014 14:43

La Agencia Española de Protección de Datos (AEPD) participará en un trabajo coordinado con autoridades de otros países competentes en esa materia, para examinar conjuntamente las condiciones de privacidad que existen en torno a las aplicaciones móviles más populares.

Se trata de una iniciativa organizada por la Red Global de Control de la Privacidad (GPEN), en la que además de la española participan las autoridades de protección de datos de países como Alemania, Canadá, Francia, Italia o Reino Unido, explica hoy la AEPD en una nota.

Pese a la creciente popularidad e indudables ventajas de las aplicaciones móviles, la recogida o uso inadecuado de datos personales de los usuarios puede acarrearles "importantes riesgos de privacidad".

Los trabajos de esta análisis coordinado se realizarán en los distintos países cuyas agencias de protección de datos están involucradas, durante la semana del 12 al 18 de mayo; los resultados globales serán publicados en otoño.

Se revisarán como parte de este ejercicio no sólo algunas de las aplicaciones más populares a nivel internacional, sino también otras de especial interés en los distintos países o regiones; por ejemplo, en el ámbito de la salud u otras desarrolladas por entidades públicas.

En concreto, se examinarán aspectos como el tipo de permisos que solicita la aplicación al usuario y si estos van más allá de lo que se podría esperar en función del servicio que se presta, o cómo se explica lo que se hará con la información recogida.

En el caso español, la iniciativa se articula como un plan de oficio para fomentar el cumplimiento de la legislación sobre protección de datos y privacidad, y aumentar la concienciación entre las organizaciones sobre sus responsabilidades y potenciar la cooperación entre las autoridades de control.

La Red Global de Control de la Privacidad busca fomentar la cooperación transfronteriza y forman parte de la misma las principales autoridades europeas de Protección de Datos, el Supervisor Europeo de Protección de Datos y la Comisión Federal de Comercio (FTC), entre otras entidades.

Fuente: Público.

La Justicia europea invalida la ley europea sobre retención de datos personales por ser muy intrusiva

El Tribunal de Justicia de la Unión Europea (TJUE) ha declarado ilegal (PDF) la Directiva sobre conservación de datos de 2006 porque "constituye una injerencia de gran magnitud y especial gravedad en los derechos fundamentales al respeto de la vida privada y a la protección de datos de carácter personal".

La sentencia recuerda que el objetivo de esta directiva es armonizar las disposiciones de los Estados miembros sobre la conservación de determinados datos generados o tratados por los proveedores de servicios de comunicaciones electrónicas y con ella se pretende "garantizar la disponibilidad de esos datos con fines de prevención, investigación, detención y enjuiciamiento de delitos graves, como la delincuencia organizada y el terrorismo".

Para ello, la Directiva contempla que los proveedores de dichos servicios deberán conservar los datos de tráfico y localización, así como todos los que sirvan para identificar al usuario, si bien no autoriza a conservar el contenido de las comunicaciones ni la información consultada.

Después de que el Tribunal de Justicia de Irlanda y el Tribunal Constitucional de Austria presentaran ante la Justicia europea sus dudas sobre la legalidad de esta norma, la Corte de Luxemburgo falla ahora que la directiva "se inmiscuye de manera especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de datos de carácter personal".

Su interpretación es que los datos que estos proveedores de servicios están autorizados a conservar pueden proporcionar indicaciones muy precisas sobre la vida privada de las personas, como los hábitos de vida cotidiana, los lugares de residencia permanentes o temporales y los medios sociales frecuentados.

Además, concede una especial gravedad al hecho de que la conservación y utilización posterior de estos datos se produzca sin que el abonado o el usuario sean informados de ello. Esto, dice el TJUE, "puede generar en las personas afectadas el sentimiento de que su vida privada es objeto de una vigilancia constante".

El caso responde a dos procedimientos prejudiciales planteados desde la High Court of Ireland (Irlanda) y el Verfassunsgerichtshof (Tribunal Constitucional) de Austria.

Injerencia no justificada

La Corte admite en su sentencia que la Directiva no permite conocer el contenido de las comunicaciones electrónicas y establece el respeto de determinados principios de protección y seguridad de datos. También concede que el objetivo de esta norma europea es de interés general, al tratarse de la lucha contra la delincuencia grave y, en definitiva, la seguridad pública.

Sin embargo, estima que el legislador de la UE "sobrepasó los límites que exige el respeto del principio de proporcionalidad". Porque, aunque la conservación de datos que establece la directiva puede considerarse adecuada para lograr la finalidad que persigue, "la injerencia amplia y especialmente grave de la Directiva en los derechos fundamentales de que se trata no está suficientemente regulada para garantizar que dicha injerencia se límite efectivamente a lo estrictamente necesario".

En primer lugar, argumenta que la norma abarca de manera generalizada a todas las personas, medios de comunicación electrónica y no establece por tanto ninguna limitación. En segundo lugar, no fija ningún criterio objetivo que permita garantizar que las autoridades nacionales competentes únicamente tendrán acceso a los datos y podrán utilizarlos para prevenir, detectar o reprimir penalmente delitos que puedan considerarse suficientemente graves para justificar tal injerencia.

Por otro lado, en lo que atañe al período de conservación de los datos, la Directiva prescribe un período mínimo de seis meses y un máximo de dos años sin establecer ninguna distinción entre las categorías de datos en función de las personas afectadas o de la posible utilidad de los datos con respecto al objetivo perseguido.

El Tribunal de Justicia considera asimismo que la Directiva no contiene garantías suficientes que permitan asegurar una protección eficaz de los datos contra los riesgos de abuso y contra cualquier acceso y utilización ilícitos de los datos. Asimismo censura que la norma no obliga a que los datos se conserven en el territorio de la Unión y, por lo tanto, no garantiza plenamente el control del cumplimiento de los requisitos de protección y de seguridad por una autoridad independiente.
Opinión del Abogado General de la UE

El pasado mes de diciembre, el Abogado General de la UE Pedro Cruz Villalón ya resaltó que la ausencia de garantías para los ciudadanos hace que la Directiva de conservación de datos pueda ser considerada contraria al Derecho Comunitario.

Sin embargo, en sus conclusiones el abogado proponía "suspender los efectos de la declaración de invalidez de la Directiva (si ésta se daba) hasta que el legislador de la Unión pueda adoptar las medidas necesarias para subsanar la invalidez declarada, medidas que deberán adoptarse en un plazo razonable".

La Directiva en cuestión, que obliga a guardar durante un máximo de dos años determinados datos telefónicos y de comunicaciones electrónicas de los ciudadanos, se aprobó en 2006 como respuesta a los atentados terroristas del 11-M en Madrid en 2004 y del 7-J en Londres en 2005.

Fuente: El Mundo.

Gmail recibirá mensajes de desconocidos

Instituto Europeo Campus Stellae
Área NTIC
Formación y Becas de estudio
Máster en Derecho de Internet y NTIC. Becas y prácticas en más de 70 países. Matricula 1200€
www.campus-stellae.com
info@campus-stellae.com
+0034 981522788

Sede de Google en Francia. / JOEL SAGET (AFP)

Google cambia nuevamente su política de privacidad para añadir a la lista de contactos los de personas de su red social

El País Madrid 10 ENE 2014 - 10:00 CET

Una nueva característica del correo Gmail, el más popular del mundo, dará lugar a que algunos usuarios reciban mensajes de personas con las que no han compartido sus direcciones de correo electrónico.

El cambio, que Google anunció el jueves, amplía la lista de contactos disponibles para los usuarios de Gmail añadiendo a las direcciones de correo de sus contactos existentes, los nombres de personas de su red social. Como resultado, una persona puede enviar un correo electrónico directamente a amigos y extraños que utilizan Google+.

Google trata de integrar en todos sus servicios a Google+, una red social con 540 millones de usuarios, aunque muy poco activos. Desde hace un año, cuando los consumidores se dan de alta en el correo Gmail, automáticamente se les abre cuenta de Google+, de ahí la cantidad de integrantes de esta red, pero su escaso tráfico posterior .

Google argumenta que con el cambio será más fácil comunicarse entre las personas que utilizan ambos servicios.

"¿Alguna vez ha comenzado a escribir un correo electrónico a alguien sólo para darse cuenta a la mitad que no ha intercambiado direcciones?", explica la compañía en su blog para anunciar la función. "Estás de suerte, porque ahora es más fácil para las personas que usan Gmail y Google+ para conectarse a través del correo electrónico".

Google advierte que los que no deseen recibir mensajes de correo electrónico de otras personas en Google+ podrían cambiar la configuración para que puedan recibir mensajes sólo de las personas que han añadido a sus redes de amigos, o de nadie.

Algunos defensores de la privacidad señalan que Google debería haber dado opción a la característica de "opt-in", que significa la aceptación de ambas partes para poner en marcha la función, en lugar de obligar a cambiar manualmente la configuración.

Marc Rotenberg, director ejecutivo de Electronic Privacy Information Center, calificó la nueva función de "preocupante". En declaraciones a Reuters, recuerda: "Se parece a la metedura de pata de Google Buzz" dijo, refiriéndose a su antigua, y fracasada, red social que Google puso en marcha en 2010 . Buzz utilizó inicialmente las listas de contactos de los usuarios de Gmail, lo que levantó un escándalo y finalmente se llegó a un acuerdo con la Comisión Federal de Comercio de EE.UU.

Google dijo que la nueva función no expondría las direcciones de correo de cualquier usuario de Google+ con extraños. Los correos electrónicos de extraños en Google+ serán enviados a una sección especial dentro del buzón de los destinatarios, separado de mensajes de amigos y otros contactos. Si el destinatario no responde al mensaje, Gmail bloqueará los mensajes futuros de esa persona.

Una portavoz de Google dijo que la compañía planeaba enviar un correo electrónico a todos los usuarios de Google + en los próximos dos días, alertando del cambio y explicando cómo cambiar su configuración.

Una excepción a la nueva característica es el caso de las celebridades en Google+ , que son seguidos por un gran número de fans. Según la portavoz, las cuentas de Gmail de esos personajes públicos no recibirán automáticamente mensajes de correo electrónico de otros usuarios de Google+.

Los cambios de política de privacidad están acarreando a Google constantes disgustos. Desde que hace un año decidió unificar los bancos de datos de todos sus servicios (YouTube, Gmail, Picasa, Drive...), las autoridades europeas investigan si han incumplido la legislación sobre la privacidad de las personas. Dos países, España y Francia, ya le han sancionado por realizar ese cambio sin permiso de sus clientes. La Agencia Española de Protección de Datos multó con 900.000 euros por una triple falta, y Francia, esta misma semana, con 150.000. Y no serán las últimas.

Fuente: El País.

Francia también multa a Google por incumplir la ley de protección de datos

La Comisión de Informática y Libertades (CNIL) le impone al buscador una multa de 150.000 euros por no ajustar sus sistemas de almacenamiento de información a las leyes locales, en una decisión que sigue a otras similares adoptadas en España, Reino Unido, Alemania, Países Bajos e Italia

EUROPA PRESS MADRID 08/01/2014 18:30 Actualizado: 09/01/2014 11:06

La Comisión Nacional de Informática y Libertades (CNIL) de Francia ha impuesto a Google una multa récord de 150.000 euros por no ajustar sus protocolos de seguimiento y almacenamiento de información a las leyes locales, en una decisión que sigue a otras similares adoptadas en España, Reino Unido, Alemania, Países Bajos e Italia.

La CNIL ha cuestionado la decisión del buscador de "fusionar en una sola política las diferentes reglas de confidencialidad aplicables a unos 60 de sus servicios", incluidos YouTube, Gmail o Google Maps.

En este sentido, aunque el organismo supervisor galo entiende esta "simplificación" de protocolos y no pone en duda su "legitimidad", sí considera que las condiciones de esta política "son contrarias a las exigencias de la ley", entre otras razones porque no informa "suficientemente" a los usuarios ni solicita su consentimiento para, por ejemplo, el uso de 'cookies'.

Por estos y otros motivos, la CNIL decidió el 3 de enero imponer la máxima multa posible --150.000 euros-- a Google, según ha informado este miércoles en un comunicado el organismo supervisor galo. El buscador deberá publicar en su portal de Francia un mensaje relativo a este castigo y mantenerlo durante un plazo mínimo de 48 horas.

Fuente: Público.

Protección de Datos sanciona a Google por "vulnerar gravemente" los derechos de los usuarios

Instituto Europeo Campus Stellae
Área NTIC
Formación y Becas de estudio
Máster en Derecho de Internet y NTIC. Becas y prácticas en más de 70 países. Matricula 1200€
www.campus-stellae.com
info@campus-stellae.com
+0034 981522788

EFE

Impone al buscador una multa de 900.000 euros en España por cometer tres infracciones y declara ilegales los tratamientos de datos personales de su nueva política de privacidad

PÚBLICO Madrid 19/12/2013 11:55 Actualizado: 19/12/2013 15:39

La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción a Google por "vulnerar gravemente" los derechos de los ciudadanos.

La resolución, remitida a los medios a través de una nota de prensa, declara la existencia de tres infracciones graves de la Ley Orgánica de Protección de Datos (LOPD) e impone a Google una sanción de 300.000 euros por cada una de ellas -900.000 euros en total-. También requiere a la compañía para que adopte sin dilación las medidas necesarias para cumplir con las exigencias legales.

Protección de datos ha constatado que Google no da a los usuarios información suficiente sobre qué datos recoge y para qué fines los utiliza, combina los obtenidos a través de distintos servicios, los conserva durante un tiempo indefinido y obstaculiza el ejercicio de los derechos ARCO.

Esta acción forma parte de la actuación coordinada iniciada junto a las Autoridades de Protección de Datos de Alemania, Francia, Holanda, Italia y Reino Unido tras la falta de reacción de Google a los requerimientos previos.

Desde el gigante de las búsquedas han respondido con una escueta nota: "Hemos estado totalmente involucrados con la Agencia Española de Protección de Datos a lo largo de este proceso para explicar nuestra política de privacidad y cómo esta nos permite crear servicios más sencillos y efectivos, algo que continuaremos haciendo. Leeremos con atención su informe y tomaremos una decisión en cuanto a los siguientes pasos a dar".

Trato "ilegítimo" de la información personal
En el marco de la investigación realizada, la Agencia Española de Protección de Datos (AEPD) ha constatado que Google recoge y trata ilegítimamente información personal, tanto de los usuarios autenticados (dados de alta en sus servicios) como de los no autenticados, e incluso de quienes son meros "usuarios pasivos" que no han solicitado sus servicios pero acceden a páginas que incluyen elementos gestionados por la compañía sin explicitarlo.

Como consecuencia de ello, la Agencia considera que Google vulnera gravemente el derecho a la protección de los datos personales reconocido a todos los ciudadanos por el artículo 18 de la Constitución Española y regulado en la LOPD.

Las actuaciones de inspección han permitido comprobar que Google recopila información personal a través de casi un centenar de servicios y productos que ofrece en España, sin proporcionar en muchos casos una información adecuada sobre qué datos se recogen, para qué fines se utilizan y sin obtener un consentimiento válido de sus titulares.

En su resolución explica que por ejemplo no se informa con claridad a los usuarios de Gmail de que se realiza un filtrado del contenido del correo y de los ficheros anexos para insertar publicidad. Cuando se informa, se utiliza una terminología imprecisa, con expresiones genéricas y poco claras que impiden a los usuarios conocer el significado real de lo que se plantea. Es demostrativo que en ocho páginas Google emplea hasta en 30 ocasiones términos como "podremos", "podrá", "podrán" o "es posible". Todo ello, sumado a otras expresiones sumamente ambiguas como "mejorar la experiencia del usuario", da lugar a una política de privacidad indeterminada y poco clara.

Por otra parte, Google combina la información personal obtenida a través de los diversos servicios o productos para utilizarla con múltiples finalidades que no se determinan con claridad, vulnerando con ello la prohibición de utilizar los datos para fines distintos de aquellos para los que han sido recabados.

Avisos previos

La AEPD explica que en marzo de 2012 Google modificó la política de privacidad y las condiciones de uso de la mayoría de sus servicios, creando un modelo de tratamiento de datos basado en la transversalidad, posibilitando que la información que una persona facilita para un servicio pueda combinarse con la de otros y utilizarse con cualquier finalidad "generando un uso de los datos personales que excede ampliamente las expectativas que un usuario podría esperar de la utilización de un servicio".

El Grupo de Autoridades Europeas de Protección de Datos (GT29) acordó entonces iniciar una investigación conjunta coordinada por la Autoridad Francesa, la CNIL, que concluyó constatando la incompatibilidad de la nueva política de privacidad con la legislación europea de protección de datos. En octubre de 2012, las Autoridades de todos los Estados de la Unión Europea enviaron una carta a Google en la que se relacionaban los principales problemas y se hacían recomendaciones para cumplir con el derecho europeo, requiriendo que se adoptaran medidas en un plazo razonable. Ante la falta de reacción de Google, el Grupo de Autoridades acordó que las autoridades de los Estados iniciarían acciones coercitivas para garantizar el respeto del derecho a la protección de datos.

Fuente: Público.

El abogado de la UE pide cambiar la directiva de conservación de datos

La norma que obliga a guardar información dos años es una “injerencia” en la vida privada
Cruz Villalón cree que entraña “riesgos”

Esperanza Escribano Claramunt Bruselas 12 DIC 2013 - 22:23 CET

La directiva europea sobre conservación de datos es “incompatible” con la Carta de Derechos Fundamentales, según el abogado general del Tribunal de Justicia de la Unión Europea, Pedro Cruz Villalón. Es decir, la ley marco que obliga a las compañías telefónicas a recabar y conservar datos sobre las llamadas de los ciudadanos y el uso de Internet durante dos años constituye “una injerencia” en el derecho de los ciudadanos a la vida privada, según Villalón.

El abogado general cree que si los datos de los que disponen estas empresas —a qué número se llama, cuándo, con cuánta frecuencia y duración— se explotaran se podría hacer un “retrato completo y preciso” de la vida privada del cliente. Aunque las empresas no pueden acceder al contenido de las llamadas ni de los mensajes, Villalón alerta sobre el “riesgo” de que los datos que se conservan se utilicen con fines ilícitos, porque no los guardan las autoridades, sino los proveedores. Además, ni siquiera tienen que archivarse obligatoriamente en cada Estado, sino que pueden acumularse “en lugares indeterminados del ciberespacio”, aumentando el peligro de que se filtren a terceros con objetivos “fraudulentos o malintencionados”.

La directiva para la retención de los datos fue aprobada en 2006 —cuando no existían los smartphones (teléfonos inteligentes)—, tras los atentados del 11 de marzo de 2004 en Madrid y de julio de 2005 en Londres. En ese momento Reino Unido presionó para que los operadores retuvieran durante dos años los datos de las comunicaciones, por cuestiones de seguridad. Los operadores se quejaron entonces de los costes que representaba para ellos guardar los metadatos —no el contenido— de todas las llamadas que realizan sus clientes. La revisión de la polémica directiva que la Comisión hizo en 2011 también apuntó que la norma tenía algunos fallos y, como ha admitido de nuevo el portavoz de Interior, que debía mejorarse.

Fuentes de la Agencia Protección de Datos de España aseguran que se trata de una directiva “controvertida desde el primer momento por su incidencia en la esfera de la vida privada sobre la que las autoridades de protección de datos han manifestado una opinión crítica en un dictamen del Grupo del Artículo 29”. Añaden sin embargo que “es necesario esperar al pronunciamiento del tribunal, para conocer cómo queda la situación normativa”.

El abogado de la UE se ha pronunciado tras las dudas planteadas por tribunales austriacos e irlandeses. Y es que la directiva de conservación ya había sido denunciada por una sociedad irlandesa de protección de los derechos humanos en el ámbito digital, y por más de 11.000 ciudadanos austríacos, por cómo se aplicaba en ambos países. Alegaron que los datos de sus comunicaciones se trataron y conservaron ilegalmente. La opinión del abogado general no es vinculante, pero los jueces del Tribunal la tendrán en cuenta cuando dicten su sentencia sobre el caso, algo que la Comisión espera que suceda el próximo año.

Villalón propone que Bruselas apruebe una nueva directiva “en un plazo razonable” y suspender mientras los efectos de la declaración de invalidez, para no crear un vacío legal. Aunque estima que bastaría con que los operadores conservaran los datos durante un año, valora que los países de la UE han ejercido sus competencias “con moderación” al establecer períodos de almacenamiento de dos años. Además, reconoce que el objetivo de la directiva es legítimo, porque los Estados deben garantizar que los datos electrónicos están disponibles en caso de que se necesite investigar delitos graves.

La conservación de los datos de las comunicaciones formaría parte de un marco mayor, el de la protección de datos. La presión del lobby estadounidense y los casos de espionaje desvelados por el exanalista de la NSA, Edward Snowden, han ido retrasando la aprobación de una directiva que la Comisión acordó en enero de 2012, y que todavía no tiene visos de ser ratificada definitivamente por la Eurocámara y el Consejo.

Esa ley marco habría tenido que definir, antes de ponerse en marcha, los principios fundamentales imprescindibles para garantizar la protección de la intimidad de los millones de ciudadanos que cada día utilizan un teléfono móvil. Sin embargo, la directiva de 2006 deja esta regulación en manos de los Estados miembros. Lo que el abogado general concluye es que la directiva no es proporcional porque exige a los Estados miembros que los datos se conserven durante dos años, en vez de durante uno.

La reacción de la Comisión sobre el texto del abogado de la UE ha sido prudente. El portavoz de Interior recordó que la evaluación de la directiva de 2011 ya detectó la necesidad de “regular mejor algunos aspectos”. Entre ellos, el propósito con el que se usan los datos, el acceso a ellos por parte de las autoridades y el tiempo que se guardan. El porqué no se han hecho modificaciones dos años después de detectar fallos es una cuestión técnica; según el portavoz, revisar la directiva de conservación de datos no tendría sentido si no se revisara también toda la ley marco de protección de datos.

Fuente: El País.

Google llegó a recoger contenidos de conversaciones con 'Street View'

Imagen de un coche de Google Street View en Madrid. David Castro

Una reciente resolución amplía la información proporcionada por Google a la AEPD.
Aparecen en la resolución fragmentos de una conversación de usuarios de Messenger.
También salen nombres de pila a partir de los nombres de SSID.

DAVID GONZÁLEZ CALLEJA (*) Valladolid PABLO ROMERO Madrid

Una resolución de la Agencia Española de Protección de Datos (AEPD) recoge más detalles acerca de las responsabilidades de Google respecto de la polémica recogida de datos con sus coches para el servicio 'Street View'. En el documento, al que tuvo acceso el Navegante, queda constancia que la compañía recogió ciertos datos sensibles, incluidos nombres de pila y hasta una brevísima conversación de un servicio de mensajería instantánea.

Google afirma que debido a un error humano, no le había hecho llegar a la Agencia varios discos con 277 MB de información captada por los coches de Google en el año 2009 y 2010, entre los que se encontraban 942 SSID, nombres de pila, nombres de empresas como el 'HotelPalace', correos electrónicos, valores de 'cookies' descargadas, dos conversaciones muy breves de Messenger, [sic] "2 años", "m levo de puta madre" y "vale avísame", una cookie de la red social Tuenti, y el nombre de un usuario y su ID de una red social de Eslovaquia.

La compañía, eso sí, se vuelve a disculpar -y así queda reflejado en la resolución- por no haber facilitado inicialmente a la Agencia toda la información que se le había requerido.

De hecho, desde Google han subrayado al Navegante que, en cualquier caso, son sólo tres fragmentos no identificables de conversaciones que se captaron por error. "Trabajamos duro para garantizar derecho a la privacidad en Google pero en este caso no lo hicimos, por lo que rápidamente ajustamos nuestros sistemas para tratar el tema", afirma la compañía en un comunicado. "Los responsables del proyecto no queríamos estos datos y no los hemos usado, ni siquiera los hemos mirado. Cooperamos plenamente con la AEPD en su investigación", asegura.

Desde la AEPD confirman que se trata de una resolución de septiembre que incorpora estos nuevos datos al procedimiento sancionador que se sigue contra la compañía, así como que ha trasladado dicha información al juzgado que sigue la causa contra Google por 'Street View'.

Parte de un largo proceso

A mediados de 2010, tanto Protección de Datos como el Juzgado de Instrucción 45 de Madrid abrieron distintos procedimientos dirigidos a determinar la posible existencia de infracciones de la normativa de protección de datos y delitos informáticos de descubrimiento y revelación de secretos, respectivamente.

En agosto de 2010, el juzgado citó como imputado al representante legal de Google en España para que aclarase qué información de usuarios de redes WiFi captó durante la toma de datos de Street View. Entonces, la AEPD suspendió la tramitación de su expediente sacionador hasta la resolución del procedimiento judicial.

Se acusaba a la compañía de utilizar sus coches en España para recopilar datos de localización de las redes WiFi, datos SSID -identificadores de redes inalámbricas-, direcciones MAC -los números que identifican la dirección física de los dispositivos de red, como las tarjetas de red- y datos de tráfico asociados a las redes WiFi (datos transferidos mediante redes abiertas).

Ya hace tres años, la propia agencia comunicaba que había "verificado la captación de datos de localización de redes WiFi con identificación de sus titulares, y de datos personales de diversa naturaleza del contenido de las comunicaciones como: direcciones de correo electrónico -con nombre y apellidos-, mensajes asociados a dichas cuentas y servicios de mensajería, o códigos de usuario y contraseñas, entre otros". Asimismo, también se verificó "la transferencia internacional" de dichos datos.

Para la AEPD, la captación de señales de redes inalámbricas podría suponer la infracción de los artículos 6, 7 y 33 de la Ley Orgánica 15/1999, 13 de diciembre, de Protección de Datos de Carácter Personal, que conllevaría la imposición de multas por valor de hasta 600.000 euros.

No es descabellado imaginarlo; en EEUU, el pasado mes de marzo, Google llegó a un acuerdo con 38 estados para pagar únicamente siete millones de dólares de multa por recopilar datos a través de redes inalámbricas durante el servicio de fotografiado de calles.

(*) David González Calleja es abogado especialista en Nuevas Tecnologías y Protección de Datos y responsable de Delere.es, despacho dedicado a la protección de la reputación en Internet.

Fuente: El Mundo.

La protección de datos, un negocio creciente

Página web de Tor, un servicio para esconder la IP de los dispositivos.

Carlos Bertiu | Boston

Este verano ha sorprendido ver cómo los usuarios de Tor Porject, un programa gratuito que asegura el anonimato en la red, habían crecido como la espuma. Y con ello, se han vertido todo tipo de especulaciones al respecto. Los datos eran clarividentes. Sin más, los usuarios pasaron de 50.000 diarios, a mediados de agosto, a más allá de 4.000.000 por estas fechas, según la misma organización .

Para los menos familiarizados, Tor Project es una iniciativa de los responsables de la web de torrents 'The Pirate Bay' que consiste en un programa gratuito, con versiones para Android e iOs, que permite camuflar nuestra dirección IP (la matrícula de nuestro dispositivo) mientras navegamos en la Red.

Esto es posible porque la navegación en la Red se realiza de manera encriptada. Además, el tráfico se hace mediante un tránsito aleatorio -y algo laberíntico- de nodos conectados a la red de Tor. Así, la web de destino es incapaz de reconocer de dónde proviene la consulta. Es decir, reconocer la matrícula de nuestro ordenador, móvil o tableta.

Su uso reúne perfiles de todo tipo: activistas, periodistas, hackers, usuarios que quieren burlar la censura de sus países o, sin más, gente que prefiere preservar su anonimato mientras navega en portales pensados para actividades poco 'honorables', como la pornografía o venta de drogas.

Así, un estudio de la universidad de Luxemburgo prueba que las principales visitas de los usuarios de Tor llevan a contenido para adultos o sobre compra de drogas, caso del polémico 'Silk Road'.

Posibles causas

¿Pero qué causas se han barajado para justificar el aumento de usuarios de Tor? Desde la protección personal tras la revelación del ciberespionaje de los EEUU hacia sus ciudadanos a raíz del caso Snowden, pasando por la entrada en vigor de una ley antipirata en Rusia o hasta la apertura de la appStore en Irán... especulaciones miles que abarcan a muchos países. Pero, al final, un caso de botnet –instalación de un software malicioso en un dispositivo y ordenar tareas automáticas sin que el usuario se percate- se ha llevado el gato al agua.

Según detalla el blog de Tor Project , la causa es que "alguien ahí fuera infectó millones de ordenadores y como parte del plan instalaron Tor en los dispositivos". Se añade que una vorágine tal de usuarios puede afectar al rendimiento del sistema, sin embargo, la organización ha tomado medidas para que las afectaciones sean mínimas. Es curioso que desde la misma compañía no se aporta dato alguno sobre la autoría de este ataque.

Se da el caso que, el pasado julio y un mes antes del auge de usuarios debido al botnet, el FBI accedió a los servidores de Tor para resolver un caso de pornografía infantil. Tras la operación, los federales detuvieron a Eric Oin Marques, arquitecto irlandés de 28 años, sobre el que pesa una pena de hasta 30 años de prisión y es considerado "el mayor difusor de pornografía infantil del planeta". Proceso al margen, no deja de ser chocante la facilidad con la que el FBI ha podido acceder a Tor, un lugar en el que se asegura el anonimato de sus usuarios, y da a entender que hackers y gobiernos van de la mano más de lo habitual .

Los usuarios se preocupan de su anonimato

A pesar del botnet, el hecho es que se observa una creciente preocupación de los usuarios para proteger su anonimato en la Red. Prueba de ellos es una reciente encuesta, publicada por Internet and American Life Project, en la que la mitad de los americanos manifiesta sentirse preocupado por la cantidad de información que se puede hallar sobre uno mismo en la Red. En 2009, este dato, era sólo del 33%.

Según la encuesta, el 55% de los usuarios reconoce haber tomado algún tipo de medida para ocultar información frente a otros usuarios, organizaciones o el Gobierno. La principal medida consiste en borrar 'cookies' del navegador, según afirman el 64% de los encuestados. Pese a estas medidas, el 59% de los usuarios cree que es imposible alcanzar el anonimato en la Red.

Y la preocupación por preservar los datos en la red no es sólo patrimonio de los usuarios. El caso es que las empresas también se encuentran en la misma tesitura. No tanto para evitar el rastreo de por dónde navegan. Más bien, para proteger los datos de sus clientes de posibles ciberataques.

Empresas de protección de datos

Para una muestra, la evolución de la compañía Splunk en Wall Street, que ha crecido un 90% en 2013 y compite en el sector con grandes multinacionales como Hewlett Packard e IBM. El núcleo duro de Splunk es proteger a otras compañías de brechas en su sistema de seguridad y analizar datos de usuarios para establecer pautas de consumo en portales de e-commerce.

Sean empresas o usuarios, el caso es que es que la protección de los datos en Internet se ha convertido en un nicho de mercado en el que han empezado a aparecer los primeros de la clase. No sólo empresas que llevan años bregando en ello. Hablamos de países, como por ejemplo: Suiza. El país paradigma de la neutralidad en lo político y paraíso de ventajas fiscales en lo económico, ha sido el primero en mover ficha para hacer algo de caja con el negocio del 'big data'.

El país helvético ha modificado su legislación para acomodar el asentamiento de empresas que gestionan datos privados en la red. "En Suiza no hay leyes de retención de datos tan estrictas como en los países de la UE o en los EEUU", declara Phil Zimmermann, el director de Silent Circle, una empresa de encriptación de mail especializada en smartphones. En una entrevista en Forbes, él mismo añade que su empresa está instalando servidores en el país helvético.

En este sentido, en la misma publicación, la compañía de servidores suiza Artmotion argumenta que sus ingresos han pasado del 45 al 50% a lo largo del último año, gracias a la contratación de clientes como compañías de gas y petróleo que se decidieron por la firma suiza tras sufrir robos de datos.

A su vez, Suiza ofrece un entorno ideal a nivel fiscal que ha favorecido la implantación de filiales de e-commerce. Esto prueba la captación de agencias online de reservas hoteleras, según declara Mateo Meier, director de Artmotion, para Forbes.

Fuente: El Mundo.

La UE rebaja el proyecto de protección de datos para no dañar a las empresas

Bruselas exigirá mañana a Washington explicaciones por su espionaje

Lucía Abellán Bruselas 22 JUL 2013 - 19:34 CET

La comisaria de Justicia, Viviane Reding, el pasado 17 de julio. / T. CHARLIER (AFP)

Europa quiere proteger los datos personales de sus ciudadanos, pero teme que la propuesta de Bruselas para salvaguardarlos dañe a las empresas. Los Estados miembros discuten cómo modificar la iniciativa de la vicepresidenta de la Comisión Europea y responsable de Justicia, Viviane Reding, con una intención clara de suavizar las exigencias para la industria. El movimiento de las capitales coincide en buena medida con las inquietudes estadounidenses expresadas respecto a esta norma. Tanto el Gobierno como los gigantes del sector llevan casi dos años ejerciendo enormes presiones sobre Bruselas para frenarla, según las informaciones publicadas ayer por este diario, con más de 20 fuentes consultadas.

Cada empresa, organismo público o entidad que maneje datos de usuarios deberá contar con un gestor que garantice el cumplimiento de las reglas comunitarias. Los países temen que, si ese aspecto del reglamento de Reding se aplica como está, los costes para las pequeñas empresas sean insoportables. Y abogan por ceñir esta obligación solo a los casos en los que la información manejada sea sensible, un concepto aún por definir.

No es la única inquietud respecto al impacto en las empresas de la norma de protección de datos, que Europa tramita desde hace año y medio. La industria se había alarmado por la propuesta de la Comisión de que el almacenamiento y la utilización de datos personales requiriesen un consentimiento explícito del usuario en la Red. Pretenden evitar que la navegación se vea interrumpida por preguntas constantes sobre si admite el tratamiento de sus datos. Esa inquietud figura también en las dos cartas reservadas que el Gobierno estadounidense hizo circular en la cúpula de la Comisión Europea para intentar influir en la regulación, según la documentación a la que ha tenido acceso este periódico. Y se reflejó en las respuestas internas que emitieron los diferentes departamentos comunitarios.

Las grandes firmas del sector (Amazon, Microsoft, Google, Apple…) han orquestado, de la mano de las autoridades estadounidenses, la mayor campaña de lobby que se recuerda en Bruselas. Fuentes europeas confirman que el mensaje ha llegado a todas las instituciones comunitarias, incluidas las embajadas de los Estados miembros, a las que la industria les ha comunicado sus cuitas. Más allá de la preocupación que la salud de las empresas suscita en una Europa sumida en la recesión, las discusiones que mantienen los expertos del Consejo Europeo para rebajar algunas obligaciones empresariales demuestra el éxito de las grandes firmas. “El lobby se está practicando al estilo estadounidense y Europa no sabe cómo reaccionar”, apunta Joe McNamee, director de European Digital Rights, una organización que defiende a los consumidores en la web.

Las empresas ya se atribuyeron algunos logros antes incluso de que la propuesta de la Comisión viera la luz. La Asociación de Marketing Directo consideró una victoria que el texto definitivo de Reding, presentado a finales de enero, no incluyera la intención inicial de que solo se mostrara publicidad directa a los usuarios que hubieran aceptado previamente recibirla. Las empresas del sector temían que ese marketing directo, el principal negocio de Internet, quedase reducido a la mínima expresión si solo se dirigía a voluntarios.

Más allá de las maniobras de los Estados para pactar un texto común, Bruselas acogió ayer la primera reunión de contenido entre la UE y EE UU para discutir sobre el espionaje estadounidense. Un grupo de expertos que representan a todas las instituciones europeas discute desde ayer, y hasta hoy por la mañana, cómo ha afectado esa vigilancia a los europeos. Los representantes de la UE esperan respuestas, aunque el encuentro tiene un perfil más técnico que político.

Fuente: El País.

El abogado general de la UE da la razón a Google, que no tiene que borrar contenidos de su índice

Instituto Europeo Campus Stellae
Área NTIC
Formación y Becas de estudio
Máster en Derecho de Internet. Becas de 4.200€
www.campus-stellae.com
info@campus-stellae.com
+0034 981522788

Dice que la actividad de Google implica 'tratar' datos personales.
No obstante, restringe de forma importante el llamado 'derecho al olvido'.
El dictamen no tiene carácter vinculante, aunque los jueces suelen seguirlo.

J. Gallego | P. Romero | Bruselas | Madrid

El Abogado general del Tribunal de Justicia de la UE cree que Google está sujeta a la legislación de la UE sobre privacidad pero no está obligado a borrar la información sensible de su índice de búsqueda. De esta forma, da la razón al buscador en un caso que enfrenta a España, y en concreto a la Agencia de Protección de Datos, con el gigante informático estadounidense sobre el 'derecho al olvido' en Internet.

El dictamen preliminar no tiene carácter vinculante, aunque los jueces suelen seguir estas recomendaciones en la mayoría de los casos. La sentencia final se publicará dentro de unos meses.

Niilo Jääskinen, Abogado general del Tribunal Europeo de Justicia, afirma que las empresas que operan en la UE deben cumplir con la legislación de protección de datos de cada país, pero que no se puede obligar a eliminar contenidos producidos por otros.

Jääskinen recuerda que Google, en su actividad de búsqueda de información y puesta a disposición de los internautas de la misma, "trata" datos personales, pero afirma que "no se puede considerar al proveedor de servicios 'responsable del tratamiento' de tales datos personales [...] siempre que el proveedor del servicio no indexe o archive datos personales en contra de las instrucciones o las peticiones del editor de la página web".

El abogado sugiere en sus conclusiones que "los derechos de cancelación y bloqueo de datos [recogidos en la directiva correspondiente, la 95/46/CE] no confieren al interesado el derecho a dirigirse a un proveedor de servicios de motor de búsqueda para impedir que se indexe información que le afecta personalmente, publicada legalmente en páginas web de terceros, invocando su deseo de que los usuarios de Internet no conozcan tal información si considera que le es perjudicial o desea que se condene al olvido".

Sin 'derecho al olvido' generalizado

Jääskinen considera que "una autoridad nacional de protección de datos no puede requerir a un proveedor de servicios de motor de búsqueda en Internet que retire información de su índice, salvo en los supuestos en que el proveedor de servicios no ha respetado los códigos de exclusión".

También sostiene que la actual Directiva no establece ningún 'derecho al olvido' generalizado. Por tanto, no puede invocarse tal derecho frente a proveedores de servicios de motor de búsqueda sobre la base de la Directiva, aun cuando ésta se interpreta con arreglo a la Carta de los Derechos Fundamentales de la Unión Europea, En particular, el derecho al respeto de la vida privada y familiar y el derecho a la protección de los datos personales , frente a la libertad de expresión e información y la libertad de empresa.

Precisamente la Unión Europea está negociando ahora una nueva directiva que sí incluirá el 'derecho al olvido' para las personas cuyos datos hayan sido tratados y registrados por empresas tecnológicas como Google o Facebook.

El Abogado general del TJUE sí da la razón a la Agencia Española de Protección de Datos cuando se trata de medir el ámbito de aplicación de las normas que recoge la regulación nacional y la directiva europea. Así, señala que "la normativa nacional de protección de datos es de aplicación cuando establecen en un Estado miembro, a fin de promover y vender espacios publicitarios en su motor de búsqueda, una oficina que orienta su actividad hacia los habitantes de dicho Estado, aunque el tratamiento técnico de los datos se realice en otro lugar".

Google celebra la opinión

Fuentes de Google España celebraron la publicación de la opinión del abogado y resaltaron que da la razón a la compañía en tanto que la actividad que realiza como buscador es de mera indexación, no de 'apropiación' de los datos.

Según la compañía, habrá que esperar a la resolución del TJUE, que se espera para después del verano o finales de este año. Asimismo, destaca que esta visión podría ser una buena fuente de inspiración para la futura directiva de protección de datos, sobre la que aún se discute.

En un breve comunicado, la compañía afirma que "es una buena opinión para la libre expresión". "Estamos contentos de ver que apoya nuestra visión de que la exigencia de los motores de búsqueda para suprimir 'información legítima y legal' equivaldría a censura", concluye.

Origen de las cuestiones

El caso se remonta a 1998, cuando un periódico español de gran tirada insertó dos anuncios de una subasta de inmuebles relacionada con un embargo derivado de deudas a la Seguridad Social. Dicho anuncio, que posteriormente fue colgado en la edición 'online' del periódico, se mencionaba un nombre como propietario de estos inmuebles.

En 2009 esta persona contactó con la editorial del periódico para quejarse porque, cuando introducía su nombre y apellidos en Google, aparecía la referencia a dichos anuncios, a pesar de que el embargo estaba solucionado y resuelto desde hacía años. La editorial alegó que no procedía la eliminación de esos datos puesto que el anuncio se había puesto por requerimiento del Ministerio de Trabajo e instó al usuario a contactar con Google para que eliminara esas referencias a su nombre.

Tras contactar con la empresa estadounidense, el usuario solicitó el amparo de la Agencia Española de Protección de Datos (AEPD), quien finalmente reclamó a Google que adoptara las medidas necesarias para retirar los datos de su índice e imposibilitar el acceso futuro a los mismos. Google interpuso posteriormente un recurso ante la Audiencia Nacional en los que solicitaban la nulidad de la resolución de la AEPD. El tribunal español, a su vez, remitió una serie de cuestiones jurídicas al Tribunal Europeo que ahora han sido resueltas con este dictamen.

Google ha recurrido la decisión, y otros casos similares (más de 180) alegando que corresponde a la fuente original de la información corregirla si es incorrecta y que obligarle a suprimirla del resultado de sus búsquedas constituye un atentando contra la libertad de expresión.

Las cuestiones de la Audiencia
La Audiencia Nacional planteó al Tribunal de Justicia una serie de preguntas para resolver el caso (PDF), cuyas primeras respuestas se conocerán este martes.

En particular, el tribunal español preguntaba si el afectado tiene 'derecho al olvido', es decir a dirigirse a buscadores para impedir la indexación de la información referida a su persona publicada en páginas web de terceros, amparándose en su voluntad de que no sea conocida por los internautas cuando considere que puede perjudicarle o desea que sea olvidada, aunque se trate de una información publicada lícitamente por terceros.

La Audiencia Nacional deseaba saber además si es posible aplicar la directiva de la UE sobre protección de datos para tutelar el derecho a la protección de los datos de un nacional español y que tiene su residencia en España, frente a la empresa Google, que tiene su domicilio fuera de la UE, en Estados Unidos.

Fuente: El Mundo.

Google pide a Washington poder hacer público cuántas veces ha entregado datos

El popular buscador afirma no tener "nada que ocultar" y niega el acceso "sin restricciones"

El País Madrid 11 JUN 2013 - 20:13 CET

Logotipo de la empresa Google. / MIKE BLAKE (REUTERS)

Ante el reconocimiento por parte del Gobierno estadounidense de que ha obtenido datos personales del operador de telefonía Verizon bajo la Ley de Vigilancia de la Inteligencia Extranjera (FISA, sus siglas en inglés), Google ha publicado en su blog una petición a Washington para que deje hacer públicas todas las veces que ha tenido que entregar información por órdenes de las agencias de inteligencia estadounidenses.

En una carta dirigida al fiscal general (ministro de Justicia) Eric Holder y al director del FBI, Robert S. Mueller, la empresa ha negado tajantemente que haya dado "un acceso sin restricciones" a los datos de sus usuarios. Y afirma que la prohibición por parte del Gobierno de informar de qué datos se entregan y cuándo "no hace sino alimentar" las especulaciones por parte de sus usuarios y la prensa. Según el director jurídico de Google, David Drummond, que firma la carta, "los números dejarán claro que el número de solicitudes está muy por debajo de las cifras barajadas" y ha afirmado que "Google no tiene nada que esconder".

Mientras, Mark Zuckerberg, el fundador y consejero delegado de Facebook, ha publicado una nota en su red social respondiendo a las "escandalosas acusaciones en la prensa", en la que afirma que su empresa "no forma ni ha formado nunca parte" de cualquier programa que de "acceso directo" a sus servidores. "Nunca hemos recibido una orden judicial para entregar datos o metadatos (información acerca de cuándo y donde se han hecho publicaciones en Facebook) en bruto", ha indicado, "y, si la hubiésemos recibido, nos hubiéramos opuesto con todas nuestras fuerzas". La primera junta general de accionistas de Facebook desde su salida a Bolsa se celebra el martes.

Según el diario francés Le Monde, otras empresas como AOL o Microsoft también han negado que hayan permitido el acceso "directo" de las agencias de inteligencia a sus servidores. Esto no solo no desmiente que el programa PRISM exista, sino que tampoco niega que hayan entregado información a petición de los tribunales estadounidenses, la CIA o la NSA.

Fuente: El País.

Protección de datos: cuatro desafíos en Internet

Amaya Quincoces Riesco (Efe) | Madrid

El fenómeno de compartir abiertamente todo con todos, como sucede en Internet, no se ha producido nunca en la vida real, o al menos con estas dimensiones, y eso genera grandes desafíos legales a nivel mundial para asegurar la protección de los datos personales.

El reto normativo pasa por definir en todo el mundo cómo adaptar el derecho a la protección de la información personal en este nuevo entorno que es Internet, y evitar que terceras partes se adueñen sin permiso y en beneficio propio de los datos de otros.

Así lo ha asegurado el ex decano del colegio Oficial de Ingenieros de Telecomunicación Jorge Pérez, coautor del libro 'El debate sobre la privacidad y seguridad en la Red: regulación y mercados', de la Fundación Telefónica y la editorial Ariel, recién publicado.

Sus declaraciones las ha hecho antes de las filtraciones a la prensa del programa PRISM, para recabar información privada en EEUU de los principales servidores de internet con fines de 'ciberespionaje', una noticia que ha causado gran revuelo.

Para Pérez, que ha ejercido cargos de responsabilidad en el Aula Fundesco y en la 'Cátedra Broadnet-Sociedad de la Información' de la UPM, entre otros, la 'nube' virtual, las redes sociales, las aplicaciones para dispositivos móviles y la publicidad digital entrañan grandes desafíos legales para la protección de los datos personales en los próximos años.

De acuerdo a los últimos datos del CIS, la protección de la información privada en Internet preocupa a los ciudadanos; de hecho, algo más de la mitad considera bastante probable que sus datos personales sean compartidos con terceras partes sin su consentimiento, y el 28 por ciento lo ve muy posible.

Las legislaciones para la protección de datos en Internet varían mucho de unos países a otros, incluso dentro de Europa, y entre este continente y Estados Unidos, ha explicado este ex decano del Colegio Oficial de Ingenieros de Telecomunicación.

Diferencias

En Europa la ley protege más la información personal que en Estados Unidos, en donde los entornos son más abiertos y se antepone la responsabilidad individual en el uso de datos personales; esta mayor relajación legal otorga sin embargo a EEUU ventajas competitivas a la hora de crear en Internet, que no pueden pasar desapercibidas.

Actualmente, son muchas las compañías volcadas en la recogida de los datos que esparcen voluntaria o involuntariamente los internautas en la Red; "es una información muy valiosa, y las compañías lo saben", ha dicho.

La 'nube' virtual, el sistema de almacenamiento de datos en Internet, está en pleno auge, en donde ciertas empresas custodian datos de internautas que no les pertenecen. Eso genera "serios problemas" legales a la hora de atribuir responsabilidades en caso de ataques.

También las redes sociales implican un gran desafío legal debido a que son espacios de intercambio abierto de información y falta por determinar legalmente qué datos son los que podrían ser almacenados y visibles por las empresas; además, tiene que garantizarse el llamado 'derecho al olvido' para que el internauta pueda borrar su historial en la Red.

Móviles y publicidad

Ha añadido que las aplicaciones móviles también suponen un gran desafío legal para la protección de datos por la elevada información personal que manejan sus sistemas, por ejemplo, los de geolocalización.

En su opinión, las empresas deberían ser transparentes en la utilización que hacen de los datos de sus usuarios y no almacenar más que los estrictamente necesarios.

También la publicidad digital implica grandes retos en materia de privacidad de la información personal y falta por definir cómo regular el consentimiento de los usuarios para que sus datos sean analizados por terceras partes.

Según el experto, antes de ceder los datos personales a compañías o terceras partes, los usuarios deberían conocer muy bien la política empresarial de uso de dicha información.

Fuente: El Mundo.

Los anunciantes se ponen límites en el uso de las 'cookies' para cumplir la ley

Instituto Europeo Campus Stellae
Área NTIC
Formación y Becas de estudio
Máster en Derecho de Internet. Becas de 4.200€
www.campus-stellae.com
info@campus-stellae.com
+0034 981522788

Editan una guía con ideas para conseguir el consentimiento de los usuarios

P. Romero | Madrid

¿Una ayuda indispensable para agilizar la navegación en Internet o una poderosa arma de espionaje para conocer valiosos datos de comportamiento los usuarios? Ahora que la normativa limita el uso de las famosas 'cookies' y requiere el consentimiento del usuario para su uso, los anunciantes españoles quieren aclarar el uso de estas herramientas y cuáles son los límites que marca la ley. Para ello han editado una guía de autorregulación.

Las 'cookies' son esos pequeños archivos de texto que quedan grabados en nuestros ordenadores, móviles y tabletas cuando navegamos por la Red, esos chivatos que pueden almacenar datos de todo tipo y 'recordar' información de la visita de internautas a un sitio web. Su uso se ha convertido en uno de los asuntos más controvertidos para los defensores a ultranza de la privacidad en la Red, dado que dependiendo de su uso y de la información que contengan, podrían usarse eventualmente para reconocer al usuario.

Las hay de muchos tipos, desde las que retienen la información de una 'lista de la compra' o la participación en un evento hasta las que registran las preferencias de navegación de un usuario, pasando por las que captan lo que hacemos en un sitio web concreto para elaborar perfiles de navegación y mejorar así la experiencia del usuario. Y también se pueden clasificar según su 'vida': hay 'cookies' de sesión que se eliminan cada vez que el internauta abandona un sitio web, y las hay "persistentes", que pueden durar desde minutos hasta años.

La normativa europea impone a las compañías dos obligaciones fundamentales, eso sí, sólo para las 'cookies' más agresivas con respecto a la privacidad de los usuarios: el deber de información y la obtención del consentimiento. Es decir, para el uso de ciertas 'cookies', las compañías están obligadas a informar sobre la naturaleza y la función de estos archivos, y además han de pedir permiso al usuario para su uso.

Desde el día 8 de abril, Google -que resulta ser la mayor compañía de publicidad 'online' que hay en España- ya informa al usuario sobre las 'cookies'. Al inicio de cada sesión destaca en un recuadro el siguiente texto: "Las cookies nos permiten ofrecer nuestros servicios. Al utilizar nuestros servicios, aceptas el uso que hacemos de las cookies". Y facilita un enlace en el que se puede consultar dicho uso, que va desde el guardado de preferencias de usuario hasta la personalización de la publicidad mostrada, e incluso datos de análisis ("anónimos", recuerda la compañía) útiles para sitios web. La compañía asegura que este aviso aparece en el buscador en los 27 países de la UE y también en YouTube, en este caso en los 19 países europeos en los que tiene dominio propio.

Ahora, el cumplimiento con las imposiciones de la UE ha llevado a los propios anunciantes a editar una guía, con el apoyo de la propia Agencia Española de Protección de Datos (AEPD), en la que analizan la legislación vigente al respecto (básicamente la LSSI y el Real Decreto ley 13/2012 [PDF], que traspone la directiva europea sobre 'cookies'). Se basan en la interpretación que hace de la directiva el llamado Grupo del artículo 29, el conjunto de las entidades nacionales de protección de datos de los países de la Unión Europea.

Información clara

En la guía, anunciantes y agencias se marcan como obligación proporcionar al usuario de una página web que use 'cookies' información "suficientemente completa para permitir a los usuarios entender la finalidad para las que se instalaron y conocer los usos que se les darán". Es decir, la información deberá ser clara pero alejada de los tecnicismos -se parte del supuesto de que el usuario tiene un nivel muy bajo de conocimiento de esta herramienta-, y destacada de manera que haya altas posibilidades de que el usuario acceda a esta información.

"En el caso de que un usuario preste su consentimiento para el uso de 'cookies", reza la guía, "la información sobre cómo revocar el consentimiento y eliminar las 'cookies' deberá de estar a su disposición de forma accesible y permanente".

La guía propone a las compañías y entidades que gestionen sitios web varios ejemplos para informar a los usuarios de qué son las 'cookies' y, en su caso, cómo bloquearlas o eliminarlas instaladas en su equipo mediante la configuración de las opciones del navegador.

Consentimiento

También propone fórmulas para constatar el consentimiento del usuario al uso de esas 'cookies', ya que, insiste la propia guía, "para que dicho consentimiento sea válido será necesario que haya sido otorgado de forma informada". Para cumplir con esta condición, se recomienda lograr "la obtención del consentimiento a través de un 'click' del usuario o de una conducta similar". La guía propone varios momentos para obtener ese consentimiento: cuando se solicite el alta en un servicio, durante la configuración del funcionamiento del sitio web o bien antes de descargarse un contenido o aplicación.

No obstante, la guía reconoce que puede ser válido que "el usuario haya realizado algún tipo de acción consciente y positiva de la cual pueda inferirse el consentimiento", o incluso a través de la mera configuración del navegador. "Tanto la Directiva sobre privacidad como la LSSI sugieren que la configuración del navegador podría ser una de las formas de obtener el consentimiento si se utiliza de forma que permita que los usuarios manifiesten su conformidad con la instalación de las 'cookies", afirma el folleto.

El contenido de este documento, presentado hoy, está consensuado por la Asociación Española de la Economía Digital (adigital), Autocontrol y el Interactive Advertising Bureau (IAE), con la colaboración de la Asociación Española de Anunciantes.

El director de la AEPD, José Luis Rodríguez Álvarez, ha destacado que, con esta Guía, se da un gran paso adelante para conciliar el uso de 'cookies' con la protección de la privacidad de los ciudadanos, y en ella "se establecen reglas claras para garantizar que los usuarios puedan decidir si consienten o no la instalación de 'cookies' en sus terminales".

Fuente: El Mundo.