4000 euros por agregar a un grupo de whatsapp

Un Club Deportivo agregó a un antiguo socio a un grupo de Whatsapp para informarle de los eventos y novedades del club.

Ese simple gesto que se hace en cuatro segundos, evidenció cuatro infracciones distintas al RGPD (Reglamento General de Protección de Datos), a mil euros, cada una, total 4000 euros.

Infracción 1: Agregar a un grupo de Whatsapp es un tratamiento de datos personales que requiere el consentimiento del interesado, que el club no tenía. (Artículo 6).

Infracción 2: La persona afectada se había dado de baja como socio, y el club no había cancelado sus datos. (Artículo 5.1.e)

Infracción 3: Agregar a un grupo de Whatsapp supone divulgar información personal (nombre y número de teléfono) a todos los terceros incluidos en ese grupo. Esta comunicación de datos requiere un consentimiento separado del tratamiento general que el club no tenía (Artículo 32.1.b , obligación de garantizar la confidencialidad)

Infracción 4: El club no tenía ningún procedimiento de revisión anual LOPD, lo que incumple el artículo 32.1.d (El responsable adoptara medidas técnicas y organizativas apropiadas… que incluya, entre otros: … d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.)

De ahí la importancia de ir incrementando la conciencia e implicación en materia de protección de datos tanto en empresas como en asociaciones y clubes.

Pueden revisar el procedimiento sancionador aqui.

 

Videovigilancia con audio

Una pregunta frecuente de muchos clientes es si el sistema de videovigilancia puede incorporar también la grabación de audio.

La captación y grabación de imágenes o voz hace que tropiecen dos derechos:
– El derecho a la seguridad y a perseguir el interés legítimo del que las quiere instalar.
– El derecho a la intimidad y a la protección de datos del que va a ser grabado.

Cuando tropiezan dos derechos hay que valorar si el tratamiento cumple el “Principio de proporcionalidad”

La instalación de cámaras de videovigilancia sería una medida proporcional y justificada si se cumplen los siguientes requisitos:

  1. Que se trate de una medida susceptible de conseguir el objetivo propuesto.
  2. Que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia.
  3. Que la misma sea ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto.

OJO: el hecho de que pueda resultar legítima la videovigilancia por razones de seguridad, no implica necesariamente que se legitime la grabación de la voz, tratamiento que tendría que tener su justificación propia.

El Tribunal Constitucional ha rechazado el uso de audio por parte de un casino porque la ventaja que consigue la empresa (plus de seguridad) la considera desproporcionada respecto al perjuicio que causa a las personas que son grabadas. (Clientes, y empleados, cuyas conversaciones van a ser grabadas).

Si consideras que tu empresa necesita la pista de audio además de las imágenes de videovigilancia, estamos a tu disposición para valorar los colectivos que van a ser grabados (empleados, clientes, usuarios, etc), y realizar el «Juicio de ponderación» para ver si el tratamiento cumple el «Principio de proporcionalidad» y es legítimo, o por contra, pondría en riesgo de sanción a tu empresa.

Sanción de 15.000 a comunidad de propietarios

Sanción de 15.000 a comunidad de propietarios

La AEPD ha sancionado con 15.000 euros a una Comunidad de Propietarios por publicar en el ascensor de la Comunidad el acta de una reunión. (Ver sanción AEPD)

Las actas se deben enviar individualmente a cada propietario, y la ley sólo contempla su exposición en el tablón de anuncios en caso de que la comunicación a un propietario haya sido imposible (siempre que esté acreditado de forma fehaciente).

Aún así, esa exposición pública está sometida a una serie de criterios, respetando unos plazos para hacer compatible la Ley de Propiedad Horizontal con la Legislación en materia de protección de datos.

Como además, la Comunidad no tiene entidad jurídica, ahora todos los propietarios son responsables solidariamente del pago de la sanción, por lo que deberán realizar una derrama extraordinaria para el pago de la misma.

Además, como menciona alguna fuente, si la finca tiene Administrador, que determina los objetivos y medios del tratamiento de los datos personales, es posible que sea corresponsable de la infracción según el artículo 26 del RGPD.

En Adelopd ayudamos a Administradores y a Comunidades de Propietarios a cumplir la legislación de protección de datos, previniendo este tipo de incumplimientos que pueden derivar en sanciones muy elevadas.

Para ampliar información de nuestro servicio: https://www.adelopd.com/proteccion-de-datos-administradores-de-fincas/

Imagen: Gabriel Ruiz Araoz, CC BY-SA 4.0 https://creativecommons.org/licenses/by-sa/4.0, via Wikimedia Commons

Filtrado DMARC en servidor de correo

Activando DMARC en tu dominio te aseguras que ningún hacker engañe a tus clientes y proveedores, enviando mensajes en tu nombre.

El filtrado DMARC de servidor es la otra cara de la moneda. Tu servidor de correo electrónico debe tener activado ese filtrado para que los hackers no te engañen a ti (y a los usuarios de tu dominio).

Esta medida la debe implementar el administrador del servidor con el que tengas contratado el servicio de hosting.

Si utilizas un servidor con panel Plesk, es bastante fácil y directo, basta con ir a «Herramientas y Opciones», «Configuración del Servidor de Correo» y activar la casilla «Activar DMARC para comprobar el correo entrante» que por defecto viene desactivada en algunos servidores.

Google Analytics sin Cookies

Google Analytics fue una bendición para los webmasters y para el personal de marketing porque nos ofrece una herramienta gratuita genial para medir el tráfico y la optimización de nuestra web. Es tan buena, que nos cuesta vivir sin ella

EL PROBLEMA: «SIn Cookies no hay medición»

El RGPD y su estricta regulación del uso de cookies ha supuesto un trilema a los administradores de sitios web que quieren seguir utilizando las herramientas analíticas de Google.

1) Fastidiar la usabilidad: Pongo un banner gigantesco, bloqueo el contenido de detrás hasta que el usuario acepte o configure las cookies. (Como hacen las webs de importantes periódicos nacionales). Cumplo la ley, me aseguro que las mediciones son correctas pero estropeo la usabilidad de la web.

2) Falsear las mediciones: Pongo un banner más discreto y permito navegar sin que el usuario acepte o configure las cookies. Pero como molesto poco a los usuarios, no hacen click en «aceptar las cookies» y  como las cookies de medición de tráfico no saltan hasta que el usuario acepta. Cumplo la ley, pero los informes de tráfico se falsean, porque sólo reflejan un pequeño % del tráfico real.

3) Incumplir el RGPD: Paso de todo y dejo que la web cargue las cookies analíticas antes de que el usuario acepte y dé su consentimiento. Mido perfectamente el tráfico y puedo optimizar la web como siempre, pero me arriesgo a una sanción.

 

LA SOLUCIÓN: «Utiliza la Analítica sin cookies»

Shhhh. Google no quiere que lo sepas, (porque buena parte de su negocio se basa en estudiar nuestro comportamiento para proponernos la publicidad que más nos puede tentar), pero sí que es posible utilizar Google Analytics sin cookies. El desarrollador Helge Klein nos lo explica en este post (en inglés)

Básicamente se trata de modificar el comportamiento «por defecto» de Google Analytics., En vez de utilizar cookies con identificadores proporcionados por Google, generamos un identificador a partir de la IP, el agente del navegador, idioma y un intervalo de tiempo y utilizaremos ese identificador (no vinculado a datos personales) para el registro analítico de las acciones del usuario en el sistema de Google Analytics.

Haciéndolo así dejamos de utilizar cookies, Google perderá la capacidad de rastreo entre sitios, y gracias a ello respetamos los principios de privacidad recogidos en el RGPD, sin perder nuestra querida analítica.

Te explico cómo hacerlo:

En la web que quieras controlar, has de seguir utilizando el antiguo identificador de Google Analytics ( el que empieza por UA-) El sistema de medición de la última versión de Analytics (el que empieza por G-). Si no sabes cómo hacerlo aquí tienes un tutorial (en inglés): How to install google analytics 2020.

Si estás utilizando wordpress como gestor de contenidos de tu web, lo tienes fácil, Instala el plugin de Google Analytics sin cookies. Le pegas el código de seguimiento UA-*** y a funcionar.

Si estás utilizando otro sistema de gestión de sitios web, le has de añadir un script a la sección de cabecera <head> de tu web. El script que te indico funciona si el servidor tiene instalado php, de no ser así, busca cómo insertar dentro del código la dirección IP (linea 15 del código)

Este es el fragmento que has de insertar (Sustituyendo UA-******* por el código de tu propiedad)