Como consecuencia del nuevo paradigma normativo, la Agencia Española de Protección de Datos (en adelante, AEPD), ha publicado este pasado 8 de noviembre una nueva Guía sobre el uso de las cookies, con el fin de ofrecer las orientaciones oportunas para poder cumplir correctamente con la legislación en materia de protección de datos, a raíz de la plena aplicación del Reglamento General de Protección de Datos (en adelante, RGPD), y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales, así como con el artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI).

El apartado segundo del artículo 22 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos.

La información sobre las cookies facilitada en el momento de solicitar el consentimiento debe ser suficientemente completa para permitir a los usuarios entender sus finalidades y el uso que se les dará.

Esta primera información se facilitará antes del uso de las cookies, incluida, en su caso, su instalación, a través de un formato que sea visible para el usuario y que deberá mantenerse hasta que el usuario realice la acción requerida para la obtención del consentimiento o su rechazo.

Uno de los mecanismos de información es acudir a la información por niveles o capas de forma que se muestre la información esencial en una primera capa, cuando se accede a la página o aplicación, y completarla en una segunda capa mediante una página en la que se ofrezca información más detallada y específica sobre las cookies.

Es importante señalar las MODALIDADES PARA LA OBTENCIÓN DEL CONSENTIMIENTO PARA EL USO DE LAS COOKIES que recoge la Guía, a fin de determinar aquellos métodos más apropiados para cumplir con la normativa, y que serían los siguientes:

  • Cuando se solicite el alta en un servicio, siempre y cuando el consentimiento se encuentre de manera separada y no se encuentre junto con el resto de las cláusulas legales de la web.
  • Durante el proceso de configuración del funcionamiento de la web o aplicación.
  • A través de plataformas de gestión del consentimiento, siempre y cuando éstas cumplan los requisitos y garantías necesarias, tales como:
    1. Informar previamente al usuario de una manera clara, cumpliendo así con los requisitos de transparencia.
    2. Obtener el consentimiento válido de los usuarios, mediante una clara acción afirmativa por parte de éstos.
    3. Respetar la solicitud del usuario en cuanto al consentimiento, así como proporcionarles los mecanismos necesarios y atender a su derecho de revocación del consentimiento.
  • Antes de proceder a la descarga de un servicio o aplicación en la web, salvo en el supuesto de que una web ofrezca contenidos audiovisuales, al entenderse que, en tal supuesto, el propio usuario ha sido quien ha solicitado expresamente el servicio, supuesto en el cual no sería necesario requerirle su consentimiento.
  • A través de la información en dos capas, debiendo incluirse en la primera capa la petición del consentimiento para el uso de las cookies.

Este mecanismo de información por capas es uno de los métodos más habituales empleados parte de los prestadores de servicios de la sociedad de la información a la hora de solicitar el consentimiento a los usuarios para la aceptación de las cookies, así como para informar acerca de la información básica (recogida en la primera capa) y la información adicional requerida (recogida en la segunda capa).

¿Qué deberá contener la primera capa?

Publicado en Blog

En las últimas semanas, las Cookies han sido un tema de tendencia a raíz de la sentencia del Tribunal de Justicia de la Unión Europea (TJUE) en el Asunto C-673/17 Bundesverband der Verbraucherzentralen und Verbraucherverbände — Verbraucherzentrale Bundesverband Ev Y Planet49 GmbH. En este asunto, la sociedad alemana Planet 49, en el marco de juegos con fines promocionales organizados en línea, procedió a la configuración de una casilla marcada por defecto con la que los internautas que deseaban participar en dicho juego expresaban su consentimiento para la colocación de cookies, con el fin de recabar información con fines publicitarios para los productos de las empresas colaboradoras de Planet49.

En esta resolución, el TJUE declara que el consentimiento que el usuario de un sitio de Internet debe dar para la instalación de cookies en su equipo y la consulta de éstas no se presta de manera válida mediante una casilla marcada por defecto, requiriendo la intervención del interesado para evitar esta aceptación.

También subraya que el consentimiento debe ser específico, de modo que el hecho de que un usuario active el botón de participación en el juego organizado por Planet49 con fines promocionales, no basta para considerar que este ha dado de manera válida su consentimiento para la instalación de cookies.

Es cierto que esta sentencia ha gozado de mucha difusión y se ha presentado como una resolución muy novedosa, tal vez porque el TJUE ha entrado de lleno en uno de los aspectos más polémicos que afecta de manera directa a los usuarios cuando hacen uso de la navegación online. Sin embargo, al fin y al cabo el Tribunal ha aplicado el Reglamento Europeo de Protección de Datos (RGPD), y en concreto ha tenido en cuenta los requisitos que la norma europea establece para recabar de forma válida el consentimiento de los interesados (art. 8 y Considerando 32).

Asimismo, el Grupo de Trabajo del artículo 29 (GT29), configurado actualmente como Comité Europeo de Protección de Datos, en sus Directrices sobre el consentimiento conforme a RGPD (puedes ver un artículo sobre su análisis aquí), ya dejaba claro que no son válidas las construcciones de exclusión voluntaria (opt-out boxes). Es decir, que requieren una intervención del interesado para evitar el tratamiento.

De igual modo, manifestaba que deben evitarse prácticas tales como incorporar casillas pre-marcadas en los procedimientos de gestión del consentimiento, pues el RGPD exige que el consentimiento debe otorgarse mediante una clara acción afirmativa que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado.

Y si esta Sentencia del TJUE se convertía en noticia en los medios de comunicación hace unas semanas, estos días hemos podido ver las redes sociales inundadas con publicaciones acerca de la resolución de la AEPD en el Procedimiento Nº: PS/00300/2019 sancionando a la conocida aerolínea Vueling, por no recabar el consentimiento de los usuarios de manera correcta para la instalación de cookies en su página web.  

¿En qué fundamenta la AEPD su decisión?

Publicado en Blog

Actualmente, detrás de la mayoría de los servicios web en los cuales se nos presta un servicio totalmente gratuito, nos encontramos con que, a cambio de esto, en la mayoría de los casos se rentabiliza la información de los usuarios, recogida a través de servicios de marketing, los cuales dirigen campañas de publicidad personalizadas por quien desea publicitar un producto o servicio.

Por lo tanto, además de identificar al usuario y realizar un seguimiento y recopilación de sus datos, se le perfila con la finalidad de poder maximizar la eficacia de la publicidad que se nos ofrece.

Una de las técnicas de seguimiento, ya conocida por todos, son las cookies, las cuales como ya sabemos, se trata de archivos creados por un sitio web, que contienen pequeñas cantidades de datos y que se envían entre un emisor y un receptor. A este respecto referenciamos una serie de artículos de nuestro blog que pudieran ser de interés, para conocer más sobre el tema pincha en los siguientes aquí y aquí. Sin embargo, nos encontramos ante un mercado muy dinámico, por lo que los diversos agentes implicados en el mercado de internet no cesan en la investigación de nuevas formas de recopilación y explotación de datos de los usuarios.

¿Cuáles son estas nuevas técnicas de seguimiento? En concreto en este artículo nos centraremos en el análisis de la técnica del fingerprinting.

El fingerprinting o la huella digital del dispositivo es una recopilación sistemática de información sobre un determinado dispositivo remoto con el objetivo de identificarlo, singularizarlo y, de esa forma, poder hacer un seguimiento de la actividad del usuario con el propósito de perfilarlo.

Es decir, la huella digital del dispositivo es un conjunto de datos extraídos del terminal del usuario que permiten individualizar de forma unívoca dicho terminal.

Cabe añadir, que las técnicas de identificación mediante huella digital del dispositivo se llegan a describir como “cookieless monster”. Esto es así, dado que no es necesario instalar ningún tipo de cookie en el dispositivo para recoger toda la información del usuario, y si esto sucede de forma totalmente transparente al usuario, éste no puede tomar medidas para evitarlo.

En relación con la obligación de información, que encontramos regulada en el art.22 de la Ley de Servicios de la Sociedad de la Información (en adelante, LSSI), es habitual encontrar en los sitios web y aplicaciones cláusulas de privacidad específicas, que permiten al usuario dar su consentimiento para el uso de cookies. Sin embargo, no es tan común en la actualidad encontrar información para el usuario sobre el uso de técnicas basadas en la huella digital para el perfilado del usuario.

Atendiendo a esta información, existen numerosas propiedades que se pueden recopilar de un dispositivo a través del navegador web y que permiten recoger información suficiente para que, en determinadas situaciones, se pueda identificar unívocamente al terminal, como hemos mencionado antes.

Algunas de las características del terminal que se pueden recoger mediante el navegador web y que pueden contribuir a la obtención de una huella digital de un dispositivo como son, por ejemplo:

 -El tipo, versión y configuración personal del navegador.
 - Información sobre las aplicaciones instaladas.
 -Idioma.
 -Zona horaria.
 -Dirección IP.

En base a esto, la Agencia Española de Protección de Datos (en adelante, AEPD) ha redactado un estudio sobre este tema, si quieres visualizarlo integro pincha aquí , en el cual nos habla en uno de sus puntos del nivel de identificación que puede alcanzar esta técnica, en el cual hace referencia a lo siguiente:

Publicado en Blog

Todo parecía indicar, y hasta la propia propuesta de Reglamento sobre la privacidad y las comunicaciones electrónicas (en adelante, Reglamento e-Privacy) lo recogía, que, a partir del archiconocido 25 de mayo de 2018, dicho Reglamento, que derogaba la directiva 2002/58/CE, pasaría a ser de plena aplicación, como así lo hizo el Reglamento Europeo de Protección de Datos (en adelante, RGPD).

En efecto, ambos Reglamentos tenían pensado entrar dados de la mano en nuestro ámbito jurídico europeo, pero como todos bien sabemos, ello aún no se ha producido.

El RGPD desplegó sus plenos efectos a partir del pasado 25 de mayo, sin embargo, la propuesta de Reglamento e-Privacy no fue aprobada, por lo que la Directiva 2002/58/CE sobre la privacidad y las comunicaciones electrónicas continúa estando en vigor.

Como ya comentamos en anteriores publicaciones, el nuevo Reglamento e-Privacy incorpora numerosas novedades respecto de la Directiva 2002/58/CE, adaptando y actualizando la legislación en materia de privacidad a la nueva realidad digital en la que ya estamos completamente inmersos.

El objeto del Reglamento e-Privacy es la regulación de las cuestiones que afectan a las comunicaciones transmitidas a través de estos nuevos servicios basados en internet, a diferencia de la Directiva, que regula los servicios de comunicación tradicionales, con conceptos muy ambiguos que dificultan una correcta armonización.

La tecnología avanza con pasos de gigante, y nuevas técnicas como el rastreo de los comportamientos en línea de los usuarios finales, la interacciones y comunicaciones de máquina a máquina (el llamado” Internet de las cosas” o ”IOT” [Internet Of Things] en su traducción al inglés), la localización geográfica de los usuarios, de su fecha, hora y tipo de comunicación que están realizando mediante los dispositivos electrónicos, son una más que conocida realidad que se encuentra a la espera de una regulación adaptada a los tiempos que corren.  

Debemos hacer hincapié en uno de los pilares fundamentales del reglamento e-Privacy, que se centra en el consentimiento de los usuarios a la hora de elegir la configuración de la privacidad en sus dispositivos electrónicos.

En una de las encuestas realizadas por la Comisión Europea, se deduce claramente que este es un punto que preocupaba especialmente a los ciudadanos, siendo cerca de un 90% los encuestados que se encuentran a favor de que la configuración predeterminada de su navegador no siga compartiendo su información personal.

Publicado en Blog

En las últimas fechas los escándalos de Facebook sobre la protección de datos se han convertido en un tema recurrente, más aún con la reciente plena aplicación del Reglamento Europeo de Protección de Datos. Al margen de la repercusión social, las prácticas de la popular red social no son una novedad para los tribunales europeos, en concreto el Tribunal de Justicia de la Unión Europea (TJUE) ya ha tenido la oportunidad de pronunciarse en varias ocasiones acerca de la legitimidad de los tratamientos de datos que realiza Facebook.

La última cuestión en la que la compañía estaba implicada ha sido resuelta el pasado 5 de Junio. La novedad de esta sentencia radica en que se considera al administrador de una web corresponsable junto con Facebook del tratamiento de datos que a través de la página se llevan a cabo.

Los hechos que fundan la decisión del TJUE parten de la gestión de una página de fans por la sociedad privada alemanda Wirtschaftsakademie. La página alojada en Facebook recopilaba estadísticas anónimas sobre los visitantes mediante una herramienta gratuita que Facebook facilitaba, Facebook Insight. El problema llegó porque no se informaba del uso de cookies ni del posterior tratamiento de los datos, por ello la autoridad de control de protección de datos alemana (Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein), en adelante UDL, al conocer la situación ordenó a Wirtschaftsakademie que desactivara la página. La resolución del ULD fue recurrida por la empresa sin éxito.

Wirtschaftsakademie acudió a los tribunales contencioso-administrativos alegando que no le era imputable el tratamiento de datos personales realizado por Facebook y que no había encargado a Facebook ningún tratamiento de datos, por lo que el ULD debió dirigirse directamente contra Facebook y no contra ella. El órgano jurisdiccional dio la razón a la sociedad alemana. El asunto fue pasando a estancias superiores a medida que el ULD recurría las decisiones desfavorables, hasta llegar al Tribunal Supremo Contencioso-Administrativo de Alemania. El ULD exponía que se había vulnerado el apartado quinto del artículo 38 de la BDSG al no dar curso a la orden que esta misma autoridad había emitido. Dicha orden se fundaba en subsanar una infracción cometida por la sociedad: “había encargado la realización, el alojamiento y el mantenimiento de un sitio de Internet a un proveedor (concretamente, Facebook Ireland) que resultaba inadecuado por no haber respetado el Derecho aplicable a la protección de datos.”

El Tribunal Supremo alemán no consideraba a la sociedad Wirtschaftsakademie responsable del tratamiento en el sentido del artículo 2, letra d), de la Directiva 95/46. No obstante entiende que debe interpretarse en sentido amplio el derecho a la intimidad. A ello se suman las dudas del tribunal acerca de la incidencia, a efectos del ejercicio de los poderes de intervención del ULD, de las apreciaciones realizadas por la autoridad de control a la que está sujeta Facebook Ireland en cuanto a la legalidad del tratamiento de los datos personales en cuestión.

El órgano jurisdiccional decidió plantear al TJUE varias cuestiones prejudiciales solicitando que interpretara la Directiva 95/46 sobre la protección de datos:

- ¿Se puede considerar responsable de tratamiento al administrador de una página de fans alojada en una red social?
- ¿Es competente la autoridad de control de protección de datos para intervenir ante infracciones en esta materia cometidas por un tercero responsable del tratamiento que tiene su domicilio en un Estado miembro distinto del de la autoridad de control?

    ¿Qué ha dicho el TJUE?

Publicado en Blog

En enero 2017 la Comisión Europea publicaba su Propuesta de Reglamento sobre la privacidad y las comunicaciones electrónicas, que será de directa aplicación en todos los estados miembros de la UE a partir del 25 de mayo de 2018, al unísono del RGPD, pretendiéndose así que no queden lagunas respecto a la protección de los datos, precisándolo y completándolo.
Además, aquellas cuestiones relacionadas con el tratamiento de datos personales que no se contemplan específicamente en esta propuesta, quedan amparadas por el RGPD.

Este Reglamento va a sustituir a la actual Directiva 2002/58/CE y por tanto derogarla. En este artículo del blog vamos a analizar qué principales novedades trae consigo la Propuesta en comparación con lo que se recoge en la Directiva mencionada, cuyo cumplimiento es obligatorio dentro del sector publicitario.             

Publicado en Blog

Hace unos días, algunos medios de comunicación publicaban una noticia sobre una resolución sancionadora de la Agencia Española de Protección de Datos (en adelante la AEPD) impuesta a una entidad propietaria, según los titulares de la prensa, de una de las webs más activas de piratería digital (R/00267/2017).

A pesar de que titulares así, pueden hacer que parezca que la AEPD ha sancionado por piratería, en realidad lo ha hecho por infracción del artículo 22.2, relativo a los derechos de los usuarios, de la Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico (LSSI), como así aclaran, por otro lado, los diferentes medios de prensa en el cuerpo de sus artículos.

Este tipo de resoluciones sancionadoras hacen que no nos olvidemos de lo importante que es la obligación,de informar para obtener el consentimiento inequívoco de los interesados para el almacenamiento de sus datos de carácter personal a través, en este caso, de las famosas cookies.

Recordemos que las cookies son pequeños ficheros que se descargan en el equipo terminal de un usuario con la finalidad de almacenar, recuperar y/o actualizar datos.

Publicado en Blog
Jueves, 19 Febrero 2015 17:25

El uso de cookies en Europa

Cookie: pequeña información enviada por un sitio web y almacenada en el navegador del usuario, de manera que el sitio web puede consultar la actividad previa del usuario. Dentro de sus funciones las principales son: llevar el control de usuarios del sitio web, así como conseguir información sobre los hábitos de navegación del usuario.

Esta misma semana, la Agencia Española de Protección de Datos (en adelante AEPD) hacía públicos los resultados del primer análisis coordinado, con otras Autoridades europeas, sobre el uso de cookies en Europa.

El objetivo del estudio era analizar las páginas webs más visitadas por los ciudadanos europeos, con el fin de obtener una visión internacional y global sobre las condiciones en las que se instalan las cookies en los ordenadores de los usuarios. Siempre fomentando el cumplimiento de la protección de datos, así como el máximo respeto a la privacidad de los datos de carácter personal por parte de los responsables, todo ello con una clara orientación hacia la concienciación por parte de los usuarios. 

Siete Autoridades competentes en privacidad y telecomunicaciones: Dinamarca, Eslovenia, Francia, Grecia, Países Bajos, Reino Unido y República Checa, junto con la AEPD han examinado un total de 478 sitios webs, seleccionados de entre las 250 páginas webs más visitadas en cada uno de los países. Todas ellas pertenecían  básicamente a tres sectores, en concreto: comercio electrónico, medios de comunicación y servicios públicos. 

Publicado en Blog

En el Informe jurídico 0196/2014, la Agencia Española de Proteccion de Datos responde a la cuestión sobre si en el caso de utilizar un sistema de información por capas a la hora de obtener el consentimiento de los usuarios en materia de cookies, la segunda capa debe citar obligatoriamente los nombres concretos de las cookies, su cometido y funciones, o si bastará hacer una referencia genérica a estas cuestiones, indicando la existencia de cookies, identificación del tercero (en su caso), incluyendo un enlace que amplíe esta información.

En primer lugar, aclarar, tal y como lo hace el propio informe, que el término “cookies” ha de entenderse como comprensivo de cualquier dispositivo de almacenamiento y recuperación de datos, no sólo de las cookies propiamente dichas.

Publicado en Blog

Nuestros Servicios

lopd

Protección de Datos

ver más +
Adec. web

Web, Apps, e-commerce

ver más +
compliance

Compliance

ver más +
mantenimiento

Seguridad de la información

ver más +
formacion

Formación

ver más +
play

prodat securityperson

DPD/DPO EXTERNALIZADO PRODAT EXTERNALIZACION DE LA FIGURA DEL DELEGADO DE PROTECIÓN DE DATOS

Prodat pone a su disposición el servicio de “DPO externalizado”. Prodat DPO realiza todas las funciones de obligado cumplimiento en algunas organizaciones públicas y privadas para que puedan concentrase en su negocio , con la tranquilidad de un servicio especializado...

prodatnou

NUEVA PLATAFORMA DE GESTION DE LA PRIVACIDAD PRODAT PRIVACY COREBOS

Como evolución natural de su anterior plataforma software de privacidad , surge para cumplir con las nuevas exigencias del RGPD Europeo
Con tecnología CoreBos y adaptada a las ventajas de los servicios en la nube. Esta herramienta constituye desde hace más de una década el corazón tecnológico de Prodat...

prodat securityformation

FORMACIÓN LA MEJOR HERRAMIENTA DE CUMPLIMIENTO RGPD

La finalidad esencial de la FORMACIÓN RGPD-PRODAT es difundir entre el personal de su organización la puesta en práctica de las reglas y procedimientos necesarios para el cumplimiento de lo establecido por la legislación vigente en materia de protección de datos principalmente adaptado a su sector de actividad...

Delegación  Galicia Delegación  Asturias Delegación Cantabria Delegación Euskadi Delegación Navarra Delegación  La Rioja Delegación Aragon Delegación Cataluña Delegación  Valencia Delegación Alicante Delegación Baleares Delegación Murcia Delegación  Castilla y León Delegación  Madrid Delegación  Castilla la Mancha Delegación  Extremadura Delegación Huelva Delegación  Cádiz Delegación Sevilla Delegación Málaga Delegación de Tenerife Delegación Las Palmas Delegación Portugal