por Vicente | May 11, 2020 | AGPD, Coronavirus
¿Tienes previsto implantar una medida preventiva frente al COVID-19 que consiste en la toma de temperatura antes de acceder a tu establecimiento?
¡MUCHO CUIDADO!
La Agencia Española de Protección de Datos ha publicado una nota de prensa en la que advierte que esta actuación puede ser constitutiva de infracción de la Ley de Protección de Datos.
Distingue entre dos tratamientos distintos:
– Control de Temperatura de empleados: Nuestras empresas ya tienen una habilitación legal para cumplir la Ley de Prevención de Riesgos Laborales. Para aplicarlo recomendamos que solicitéis a vuestro Servicio de Prevención un protocolo que os marque cual es la temperatura límite, por debajo de la cual pueden acceder los trabajadores, y por encima de la cual, no debéis permitir el acceso del trabajador para prevenir la salud de sus compañeros.
– Control de Temperatura de Clientes: Este caso es aún más difícil. La AEPD recomienda no aplicar ningún tipo de control hasta que haya una indicación expresa de las autoridades sanitarias autonómicas o estatales, en la que marquen un protocolo de actuación.
Tienes más información en la Nota de Prensa de la AEPD.
Mayor riesgo de intrusión de seguridad presentan aún los sistemas de videovigilancia dotados de sensor térmico, especialmente si graban la imagen térmica y la imagen normal, porque permite asociar un dato personal (imagen) y un dato de salud (la temperatura corporal).
Consulta con nosotros antes de contratar y utilizar un sistema de este tipo.
por Vicente Ribes | May 2, 2017 | AGPD, Reglamento Protección de Datos
El 25 DE MAYO 2018 entrará en vigor el Reglamento Europeo de Protección de Datos, que armoniza la legislación en todos los estados de la Unión Europea bajo un mismo marco común.
Este nuevo reglamento que afecta a todas las empresas, empresarios individuales y organizaciones, y conlleva una serie de cambios respecto de la actual legislación:
OBLIGACIÓN DE REALIZAR UN ANÁLISIS DE RIESGOS. Identificando los tratamientos que realiza una empresa, los riesgos que pueden presentarse, y adoptando unas medidas.
CONSENTIMIENTO EXPRESO Y CLÁUSULAS INFORMATIVAS. Deja de permitirse el consentimiento tácito obligando a las empresas a revisar el conjunto de cláusulas informativas y rehacerlas.
NUEVOS DERECHOS DE LOS CIUDADANOS: Derecho a la portabilidad, derecho de supresión, derecho al olvido…
NOTIFICACIÓN DE BRECHAS DE SEGURIDAD. El responsable tendrá que notificar los fallos de seguridad a la Agencia Española y a los afectados en un plazo de 72 horas. Cada empresa tendrá que «auto-acusarse» así como informar a sus clientes de si sus datos han sido pirateados.
FORMACIÓN. Educación y sensibilización de los empleados que tratan datos en la aplicación de las nuevas obligaciones del RGPD.
CONTRATOS CON TERCEROS: Nuevas cláusulas que concretan el alcance de la relación entre el Responsable del Fichero y el Encargado del Tratamiento.
CREACIÓN DE LA FIGURA DEL DELEGADO DE PROTECCIÓN DE DATOS. El DPO (Data Protection Officer) tiene responsabilidad compartida y va a tener que identificar los riesgos y buscar las soluciones para solventarlos. Será obligatorio si están manejando grandes cantidades de datos sensibles o monitorizan el comportamiento de muchos consumidores.
En Adelopd estamos pendientes de todas las guías, orientaciones y directrices que va publicando la Agencia de Protección de Datos, modificando y adaptando nuestro sistema informatizado, para que el 25 de mayo de 2018, todos nuestros clientes, sigan cumpliendo la legislación de protección de datos.
por Vicente | Nov 10, 2013 | AGPD, cookies
Las cookies son pequeños ficheros de texto que crea un sitio web en el terminal (PC, tablet, Smartphone…) y que sirven para distintas finalidades. Su uso está legislado y regulado dentro del artículo 22.2 de la LSSI (Ley de Servicios de la Sociedad de la Información) que establece claramente que
Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
Es decir, que la norma general es que el sitio web sólo puede grabar cookies en la terminal del usuario tras haber obtenido su consentimiento después de haberles facilitado información.
La Agencia Española de Protección de Datos ha elaborado una detallada guía de uso de cookies accesible desde este enlace: Guía Cookies AGPD
En dicha guía, recoge, además del contenido de la ley, el dictamen 4/2012 del Grupo de Trabajo del Artículo 29 de la Dirección General de Justicia de la Comisión Europea.
La conclusión es que es admisible que el sitio web cree ciertas cookies sin solicitar permiso del usuario. Pero sólo las denominadas cookies exentas, que son las siguientes:
– Cookies de entrada del usuario (por ejemplo las que conservan el carrito de la compra en una tienda online)
– Cookies de sesión de autenticación o identificación de usuario (Las que permiten identificar que el usuario está registrado y ha introducido correctamente la contraseña, para poder mostrarle los contenidos de su zona privada)
– Cookies de seguridad (por ejemplo las utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web).
– Cookies de personalización de la interfaz de usuario (Ej: las que permiten recordar la elección de idioma del usuario)
– Cookies de sesión de reproductor multimedia o para equilibrar la carga.
– Cookies de complemento (plug-in) para intercambiar contenidos sociales.
Para cualquier otra cookies, con cualquier otra finalidad ES NECESARIO QUE EL SITIO WEB SOLICITE PREVIAMENTE EL PERMISO DEL USUARIO.
Unas de las cookies más utilizadas en España (y en muchos otros países) son las cookies analíticas de Google. Pero estas cookies analíticas NO están dentro del grupo de cookies exentas y por tanto, es necesario obtener el permiso del usuario ANTES de grabarlas en su terminal.
Estas cookies analíticas de Google cubren una doble función:
– A través de la zona privada del propietario de la web, permiten obtener información del número de visitantes, del origen de los mismos, del navegador que utilizan, del tiempo que permanecen en cada página, ect. Por lo que resultan muy útiles para los propietarios de los sitios web.
– Para Google le dan información del comportamiento de los usuarios, lo que les permite afinar sus algoritmos publicitarios y obtener un mayor rendimiento económico de los anuncios que gestionan.
Pero el hecho de que Google, que controla información personal de muchísimos usuarios, tenga además información de sus hábitos de navegación, preferencias, etc , ha hecho saltar las alertas en materia de protección de datos.
De hecho, en la configuración por defecto del panel de Google Analytics, el propietario del sitio web comparte toda la información con Google, y salvo que se moleste en desactivar esta característica, puede estar incurriendo en una cesión ilegal de datos (Ver artículo previo en este blog: http://www.adelopd.com/cookies-y-proteccion-de-datos/ )
Tanto es así que el gobierno alemán decidió en su día prohibir Google Analytics en las empresas alemanas, so pena de fuertes sanciones. http://www.adelopd.com/nuevo-tropiezo-de-google-en-alemania-por-la-privacidad/
¿Cómo saber si un sitio web está utilizando correctamente las cookies analíticas?
Veamos un ejemplo: Visitando el presente blog http://www.adelopd.com
Utilizando el navegador Mozilla Firefox, entramos en Opciones-> Opciones
1) Pinchamos en la opción “Privacidad”
2) Pinchamos en el enlace “eliminar cookies de forma individual”
3) Escribimos en el buscador la url del sitio. En este caso blog.adelopd.com y comprobamos que no encuentra ninguna cookie en el equipo porque no le hemos dado permiso -> CORRECTO
4) Le damos permiso (Aceptamos el uso de cookies)
5) Accedemos de nuevo a Opciones -> Opciones -> Privacidad y comprobamos que ahora sí nos ha grabado varias cookies
En concreto las analíticas de google que son _utma, _utmb, _utmc y _utmz, (Además de otra cookie de personalización, denominada cookie_compliance, que permite recordar que el usuario ya ha dado su consentimiento para no volver a pedírselo la próxima vez que navegue por el sitio.
¿Si quiero utilizar estas cookies analíticas, basta con utilizar un pop-up o un div flotante que informe del uso de cookies?
La respuesta es sencilla: Rotundamente NO.
No basta con “informar” de que le has grabado al usuario las cookies analíticas. La ley es muy clara y obliga a obtener el consentimiento ANTES de hacerlo.
El pop-up o div flotante no puede utilizarse para INFORMAR, sino para PEDIR PERMISO. El matiz es importante, y las sanciones por incumplimiento leve de la LSSI pueden llegar a 30.000 euros. (Art. 39.1.c de la LSSI)
por Vicente Ribes | Abr 28, 2013 | AGPD, cookies
El pasado viernes 26 de abril se celebró en el Teatro Real de Madrid la quinta jornada de puertas abiertas de la Agencia Española de Protección de Datos. El Director de la AGPD expuso que sin una adecuada protección de los datos personales, no hay confianza en las nuevas tecnologías, y sin confianza, no puede haber progreso.
El cuerpo central de la sesión versó sobre dos temas novedosos: El Cloud Computing, al que dedicaremos la próxima publicación y las Cookies, en la que nos vamos a centrar.
Las cookies son pequeños ficheros creados por un servidor web, y que se almacenan en el ordenador del usuario que accede al sitio. Algunas de estas cookies pueden representar un cierto riesgo para la privacidad de los usuarios, por lo que el propietario del sitio web está obligado a solicitar el consentimiento expreso del usuario antes de utilizarlas. El Grupo europeo de trabajo del artículo 29 elaboró un documento sobre los tipos de cookies y en cuáles de ellas se podía obviar el consentimiento. (Enlace al documento original)
Vamos a explicar varios casos:
COOKIES que no requieren solicitar previamente el consentimiento.
– Algunas cookies son necesarias para la navegación. Por ejemplo, cuando conectamos a la zona privada de un banco, para revisar nuestras cuentas, es necesaria una cookie de sesión, porque de no utilizarla, el sistema nos pediría nuestro usuario y contraseña cada vez que cambiásemos de página. Otro ejemplo de este tipo serían las que permiten que el sistema recuerde los artículos que hemos añadido al «carrito de la compra» en una tienda virtual.
– Otras que nos hacen la vida más cómoda, son las cookies de preferencias de interfaz, que recuerdan nuestro idioma al visitar un sitio web multilingue.
COOKIES que sí requieren el consentimiento informado del usuario
– Las cookies analíticas (propias o de tercero), que se utilizan para que el propietario de la web pueda realizar una serie de mediciones sobre la navegación en su sitio (tiempo de permanencia en cada página, tiempo de permanencia en el sitio, páginas más vistas, etc.)
– Las cookies de terceros utilizadas para la publicidad. Este tipo de cookies permite que las empresas de publicidad puedan elaborar un perfil sobre las preferencias, búsquedas y webs en las que navega un usuario, con la finalidad de ofrecerle la publicidad que mejor se adapte a sus gustos.
Esta nueva regulación de las cookies supone un problema para los portales web que obtienen ingresos publicitarios, pero también para las empresas que utilizan el servicio de analíticas de Google (Google Analytics) para estudiar el tráfico de su web. Si tu empresa utiliza este servicio es imprescindible que lo adviertas a los usuarios y además, QUE TE ASEGURES DE NO CEDER LOS DATOS A GOOGLE.
PRECAUCIONES CONVENIENTES SI UTILIZÁIS EL SERVICIO GOOGLE ANALYTICS.
La configuración por defecto de analytics hace que «compartas» con Google los datos de navegación. Sin ánimo de asustar, ten en cuenta que si no configuramos correctamente nuestra cuenta de analytics estaremos realizando una cesión de datos a un tercero (Google) sin el consentimiento del usuario, lo que puede suponer una infracción grave del reglamento, con sanciones de 40.001 a 300.000 €.
Para evitarlo debemos acceder al servicio de Google Analytics y seguir los siguientes pasos:
1) Pinchar en el botón «Administrador»
2) Pinchar en la cuenta que queremos cambiar o comprobar
3) Pinchar en la pestaña «Configuración de la cuenta»
4) DESMARCAR TODAS LAS OPCIONES DE COMPARTIR DATOS.
5) Pinchar en el botón azul «Aplicar»
por Vicente Ribes | Jul 25, 2012 | AGPD, PROTECCION DATOS
Analizamos una resolución de la AGPD relativa a una denuncia realizada por Presidente del Consejo General de Colegios Oficiales de Médicos y otros 33 médicos más, que denunciaron a un portal web (masquemedicos.com) por haber tratado datos de médicos sin su consentimiento.
Los denunciantes argumentan que, pese a ser profesionales, el nombre, apellidos, dirección y teléfono de los médicos, en ocasiones coincidían con sus datos particulares y por tanto el portal los había tratado sin su permiso y debía ser sancionado por ello.
El portal argumenta que se trata de datos profesionales obtenidos de fuentes de acceso público, y que dado que se trata de datos profesionales, no están dentro del alcance de la LOPD.
La AGPD adopta una resolución «salomónica», y les da la razón en parte a cada uno. Dice que efectivamente se trata de datos que pueden estar dentro del alcance de la LOPD, pero no sanciona al portal por haberlos tratado. No obstante, deja la puerta abierta para que los médicos interesados ejerzan sus derechos de cancelación / oposición para solicitar el borrado de sus datos dentro del portal.
Enlace a Resolución original.
por Vicente Ribes | May 16, 2011 | AGPD
La Agencia Española de Protección de Datos (AEPD) ha comunicado al sindicato que ha iniciado un procedimiento por infracción contra el Ayuntamiento de Inca y el hospital comarcal por la supuesta filtración de datos personales de pacientes, que fueron usados para visitas de cortesía de corte electoral.
Según un comunicado de la Federació de Serveis Públics (FSP) del sindicato, la AEPD ha iniciado un «procedimiento de declaración de infracción de Administraciones Públicas», por la supuesta filtración de los nombres y localidades de residencia de varios pacientes del Hospital Comarcal de Inca que luego recibieron visitas de cortesía de concejales del PP.
Ver información completa www.abc.es
