La AEPD abre un procedimiento sancionador a Google por su política de privacidad

En octubre de 2012, la Agencia Española de Protección de Datos (AEPD) publicó, en nota de prensa, el documento "Política de Privacidad de Google.  Principales conclusiones y recomendaciones" que recogía las recomendaciones que el Grupo de Trabajo del Artículo 29 (GT29) transmitía a Google tras analizar la modificación de las políticas de privacidad de todos sus servicios en marzo de 2012.

Ante la nula respuesta de Google a estas recomendaciones (le otorgaron un plazo de 4 meses), las Autoridades Europeas de Protección de Datos, con el CNIL francés a la cabeza y el apoyo de Alemania, Italia, Holanda, Reino Unido y España han decidido actuar haciendo uso de sus competencias sancionadoras en sus respectivos países.

En España, la AEPD ayer (20/06/203) publicó una nota de prensa en la que informaba de la apertura de un expediente sancionador a Google por la presunta comisión de 5 infracciones graves y una leve, sancionables con multas de 40.001 a 300.000 euros cada una de las graves y de 900 a 40.001 la leve (sin duda "calderilla" para Google).

Las posibles infracciones serían por no informar claramente sobre el uso de los datos que recoge, por tratamiento de datos más allá de la finalidad para la que se recogieron, tratamiento desproporcionado o conservación de los mismos durante un periodo de tiempo indeterminado o injustificado.

A continuación transcribo el contenido de la nota de prensa de la AEPD. 

Documento original en el portal de la AEPD: http://www.agpd.es/portalwebAGPD/revista_prensa/revista_prensa/2013/notas_prensa/common/junio/130620_NP_PS_GOOGLE.pdf

Nota informativa de 20 de junio de 2013

La AEPD abre un procedimiento sancionador a Google por su política de privacidad

• El inicio de este procedimiento se produce tras finalizar las investigaciones previas realizadas por la AEPD, que han permitido constatar la existencia de varios indicios de infracción
• La falta de información clara, la ausencia de finalidades específicas para varios servicios, el tratamiento desproporcionado de los datos de los usuarios o la conservación de datos por tiempo indeterminado o injustificado son algunos de ellos
• Esta acción tiene lugar en el marco de una actuación coordinada con las Autoridades de Protección de Datos de Alemania, Francia, Holanda, Italia y Reino Unido

Nuevas guías de la Agencia Española de Protección de Datos

El pasado viernes, 26 de abril, se celebró en Madrid la "5ª Sesión Anual Abierta de la AEPD" en cuyo programa ya se anunciaba la presentación de la guía y directrices sobre cloud computing, y la inminente publicación de una nueva guía sobre la regulación de las cookies.

Así fue.  La guía sobre cloud computing se divide en dos documentos, el primero dirigido a los clientes que contraten servicios en la nube ("Guía para clientes que contraten servicios de cloud computing") y el segundo dirigido a los proveedores que prestan dichos servicios ("Orientaciones para prestadores de servicios de cloud computing").

Enlaces a las guías (PDF) desde la web de la AEPD:

• Guía para clientes que contraten servicios de cloud computing
• Orientaciones para prestadores de servicios de cloud computing

Sobre la guía para clientes, en palabras del Director de la Agencia, José Luis Rodríguez Álvarez, "hemos optado por una guía eminentemente práctica que, sin prescindir del rigor técnico, facilite incluso a los no iniciados el conocimiento sobre qué es el cloud computing, cuáles son los elementos de riesgo que se deben tener en cuenta y qué garantías se deben recabar y asegurar en el momento de la contratación".

En el mismo acto se anunció que el lunes 29 de abril se presentaría la "Guía sobre el uso de las cookies" que pretende "ofrecer orientaciones sobre cómo cumplir con las obligaciones previstas en el apartado segundo del artículo 22 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), tras su modificación por el Real Decreto-Ley 13/2012, de 30 de marzo".

Enlace a la guía (PDF) desde la web de la AEPD:

• Guía sobre el uso de las cookies

En la guía se hace referencia al dictámen 4/2012 del Grupo de Trabajo del Artículo 29, al que -en su momento- dedicamos un post en este blog.

Día Europeo de la Protección de Datos

Hoy, 28 de enero, se celebra el Día Europeo de la Protección de Datos.  47 países, así como diversas instituciones y organismos celebran este día organizando diversos actos para promover y concienciar sobre el derecho a la protección de datos.  La fecha conmemora la aprobación del Convenio (108) del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, de 28 de enero de 1981.

La Agencia Española de Protección de Datos (AEPD) ha organizado para hoy una jornada conmemorativa de los "20 Años de Protección de Datos en España", en la que participan diversas personalidades y expertos que representan a todos los agentes que han participado activamente en el desarrollo de este derecho fundamental en nuestra sociedad (ver programa).

APEP, la Asociación Profesional Española de Privacidad, que participa en la jornada de la AEPD, ha publicado en su web una serie de interesantes artículos sobre los retos y oportunidades de la protección de datos personales.  Los artículos, firmados por los miembros de su Junta Directiva, pueden consultarse aquí:

• Artículos APEP en el Día PD 2013: http://www.apep.es/category/dia-pd-2013/

Listado de artículos:

• Día de la Protección de Datos en Europa: retos para los profesionales de la privacidad (Ricard Martínez, Presidente APEP).
• Tratamientos de datos de menores.  Un reto presente y futuro para los profesionales de la privacidad (Miguel Geijo, Junta Directiva).
• La reciente jurisprudencia del tribunal constitucional sobre el derecho fundamental a la protección de datos (Cecilia Álvarez, Vicepresidenta APEP).
• La protección de datos personales en las administraciones públicas: retos (Carmen Sánchez, Tesorera Junta Directiva).
• Un año conociendo al Delegado de Protección de Datos (Marcos Mª Judel, Junta Directiva).
• Profesionales del Derecho de la Privacidad: futuro, retos y oportunidades (Jordi Saldaña, Junta Directiva).
• Las certificaciones en privacidad (Eduard Chaveli, Vicepresidente y Carmen Sánchez, Tesorera).
• …veinte años no es nada. Tango, arrebato y malevaje (Javier Peris, Consejero Delegado APEP).
• La protección de datos personales: un reto y una oportunidad (Cristina Atienza, Junta Directiva).
• Cookies y su nueva regulación (Santiago Bermell, Secretario APEP)

Consulta los artículos en la web de APEP:

http://www.apep.es/category/dia-pd-2013/

Utilización del Cloud Computing por los Despachos de Abogados

Mediante nota de prensa del 14/06/2012, la AEPD (Agencia Española de Protección de Datos) y el CGAE (Consejo General de la Abogacía Española) nos comunican la presentación del Informe "Utilización del cloud computing por los despachos de abogados y protección de datos de carácter personal", elaborado por ambas instituciones.

El informe establece orientaciones y aclara conceptos para que los despachos de abogados puedan elegir el servicio de Cloud Computing. También establece los requisitos que se deben observar a la hora de contratar un servicio de estas características en su gestión como profesionales.

El secreto profesional es uno de los principios esenciales de un despacho de abogados, y la protección y seguridad de los datos une exigencia legal que se debe cumplir y garantizar.  El informe desarrolla los tres aspectos claves en la contratación de servicios de Cloud:

• La responsabilidad del despacho sobre el tratamiento de los datos y la normativa y jurisdicción aplicable.
• La seguridad y confidencialidad de los datos.
• Aspectos esenciales del contrato de servicios que debe firmarse, tanto desde el punto de vista técnico como jurídico.

El Informe (de 19 páginas) está dividido en 5 capítulos:

1. Introducción. El concepto del Cloud Computing y los servicios para los despachos de Abogados
2. Aplicación de la normativa sobre protección de datos
3. Territorialidad y jurisdicción aplicable
4. La seguridad y confidencialidad de los datos: el secreto profesional
5. Aspectos esenciales del contrato de servicios que debe firmarse, tanto desde el punto de vista técnico como jurídico

DESCARGAR el informe:
Descarga del Informe "Utilización del Cloud Computing por los despachos de abogados"
Descarga del Díptico "Todo lo que siempre quiso saber sobre el Cloud Computing"

30 de noviembre: Día Internacional de la Seguridad de la Información (Nota de prensa AEPD)

Desde 1988, cada 30 de noviembre, se celebra el "Día Internacional de la Seguridad de la Información".  Instituciones y Organismos aprovechan esta fecha para concienciar sobre la importancia de la seguridad de los datos y los sistemas que los albergan.

A continuación transcribo la nota de prensa publicada hoy por la Agencia Española de Protección de Datos (AEPD) con motivo de esta jornada.

En el marco del Día Internacional de la Seguridad de la Información

La AEPD reclama que empresas, organizaciones y ciudadanos asuman la seguridad de la información en el uso de las Nuevas Tecnologías como una prioridad

(Madrid, 30 de noviembre de 2011). Hoy se celebra el Día Internacional de la Seguridad de la Información, un evento anual que se lleva a cabo el 30 de noviembre desde el año 1988 y tiene por objetivo concienciar acerca de la importancia de la seguridad de la información en el uso de las Nuevas Tecnologías.

Con motivo de esta celebración, la AEPD hace un llamamiento a empresas y organizaciones públicas para que afronten la seguridad de la información en Internet como algo prioritario en el desarrollo de su actividad. En este sentido se recuerda que -al igual que en el mundo off-line-, en el uso de las Nuevas Tecnologías, empresas y organizaciones deben respetar las obligaciones en materia de seguridad y confidencialidad de los datos personales establecidas en la legislación de protección de datos, teniendo un grado de diligencia específica para evitar vulnerabilidades o accesos no autorizados en los servicios prestados a través de Internet.

La AEPD junto con el resto de Autoridades de Protección de Datos de la UE han trabajado activamente para que el proceso de revisión de la Directiva de Protección de Datos del 95, actualmente en curso, que tiene como objetivo adaptar sus disposiciones al mundo de las nuevas tecnologías, introduzca nuevos principios, como la noción de privacidad desde el diseño o “privacy by design”. Este principio exige la realización de un análisis escrupuloso de las implicaciones que un servicio -antes de ofrecerlo a los usuarios- tiene para la privacidad y la adopción de las medidas necesarias para garantizar la seguridad de los datos personales.

Por otra parte, se recuerda que tanto la AEPD como otras Autoridades de Protección de Datos vienen reclamando y exigiendo a la industria y a las empresas que prestan sus servicios a través de Internet, y especialmente a los prestadores de servicios de redes sociales, que establezcan por defecto los parámetros de configuración más garantistas y respetuosos con la privacidad de sus usuarios.

Sanción de 60.000 Euros por grabar a personas en la calle

En Expansión publican la notícia "El Corte Inglés, sancionado por grabar a personas en la calle", que leo después en El País.

En fecha 10 de febrero de 2011, la Audiencia Nacional ha confirmado la multa de 60.101,21 Euros que la Agencia Española de Protección de Datos impuso a El Corte Inglés en octubre de 2009 por grabar con cámaras de videovigilancia imágenes de coches y personas que circulaban por las vías públicas colindantes a los accesos al edificio del centro comercial en la ciudad de Málaga.

Se trata de una infracción del artículo 6 de la LOPD (Consentimiento del afectado), tipificado como infracción grave según el artículo 44.3 de la misma Ley.  

El importe de la multa (60.101,21 Euros) corresponde a la cuantía mínima para las infracciones graves (de 60.101,25 a 300.506,25 Euros) según establecía el redactado original de la Ley , en pesetas en 1999: de 10.000.000 a 50.000.000 Ptas.  Recordemos que con la entrada en vigor de la Ley 2/2011, de 4 de marzo, de Economía Sostenible, en su disposición final quincuagésima sexta se modifican los importes de  las sanciones, siendo, en la actualidad, para las infracciones graves, de entre 40.001 y 300.000 Euros.

Si bien en cada uno de los accesos al edificio hay un cartel informativo de zona videovigilada, en el que se identifica al responsable del fichero ante quién pueden ejercitarse los derechos recogidos en el artículo 5 de la LOPD, los inspectores comprobaron que todas las cámaras tienen un ángulo de giro de 360º y disponen de función de "zoom" pudiendo captar imágenes de la vía pública, de las personas físicas que circulan por la acera, y de los vehículos estacionados. 

A tenor de lo dispuesto en la Ley Orgánica 4/1997, de 4 de agosto, la grabación en lugares públicos debe realizarse por las Fuerzas y Cuerpos de Seguridad del Estado, quedando limitados los usos de las cámaras de videovigilancia privada únicamente para grabar en los espacios privados objeto de la protección.  Por tanto, la captación de imágenes de la vía pública por parte del centro comercial, entraría en discrepancia con los principios de calidad y proporcionalidad establecidos en el artículo 4 de la Instrucción 1/2006 de la AEPD sobre videovigilancia. 

Finalizo con algunas afirmaciones concluyentes extraídas de los Fundamentos Jurídicos de la Sentencia (Audiencia Nacional, Sala de lo Contencioso-administrativo, Sección 1ª, Sentencia de 10 de febrero de 2011, Recurso 95/2010):

"En el caso analizado, ha quedado acreditado que el sistema de videovigilancia instalado en El Corte Inglés, permite seleccionar cualquiera de las cámaras y desplazar su enfoque 360º, alcanzando su ángulo de visión la vía pública y a las personas que circulan por la misma, realizando por tanto un tratamiento excesivo y no proporcional de las imágenes, en relación con el ámbito y las finalidades que podrían justificaban su recogida..."

 

"Por lo tanto aun cuando dicho sistema de videovigilancia haya sido instalado conforme a la normativa de seguridad, este hecho no le autoriza, a realizar grabaciones de imágenes en la vía pública, como es el caso que nos ocupa, mucho más allá de lo que resulta idóneo, adecuado y proporcional."