La AEPD multa con 200.000 euros a Club Zed por spam masivo

La anterior empresa Club Zed, ahora conocida como Ocio Factory Time, ha sido multada por la Agencia Española de Protección de Datos (AEPD) con 200.000 euros por el uso masivo de spam. Durante la campaña realizada en 2011 por Antena 3 para fomentar su programa “Rico al instante” se llegaron a enviar 35.976.137 sms a cientos de miles de usuarios que habían enviado un mensaje de texto para participar. Por su parte, la Comisión de Supervisión de los Servicios de Tarificación Adicional (CSSTA) recibió aproximadamente 400 denuncias al respecto. La organización de consumidores CEACCU optó también por denunciar a la compañía alegando que “el envío de comunicaciones publicitarias o promocionales no solicitadas o autorizadas expresamente por los destinatarios se halla vedado en virtud de lo dispuesto en el artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI)”. Durante los primeros meses del pasado año, la Agencia recibió además un conjunto de 333 denuncias de usuarios que denunciaban la recepción en sus teléfonos móviles de distintos mensajes no solicitados publicitando el citado concurso. Es por ello que la AEPD optó por abrir una investigación considerando finalmente que la compañía había utilizado los números de teléfono de forma ilegal para remitir comunicaciones comerciales sin consentimiento previo. Y más concretamente, dictaminó que había quedado acreditado el envío de 8170 comunicaciones comerciales por medios electrónicos incumpliendo lo previsto en el artículo 21.2 de la LSSI. Finalmente, y atendiendo a todos los hechos demostrados, la Agencia resolvió imponiendo a Ocio Factory Time dos multas por una infracción del artículo 21.1 de la LSSI con 50.000 euros y otra por la infracción del artículo 21.2 de la LSSI con 150.000 euros.

Un banco multado con 50.000 euros por incluir a un cliente en su lista de morosos

La Agencia Española de Protección de Datos ha multado con 50.000 euros a una entidad bancaria nacional por incluir en una lista de morosos a un cliente sin previa solicitud de la deuda pendiente que rondaba los 300 euros.

El cliente, natural de Gijón, notificó los hechos ante la Agencia de Protección de Datos alegando que el banco había “procedido a la inclusión de datos de carácter personal en un fichero de morosos sin requerirle el pago previo de la deuda que tenía contraída”. Durante la investigación realizada por la AEPD, la entidad no pudo demostrar lo contrario a lo que el demandante había presentado.

En este sentido, en la regulación que se encuentra vigente en España se recoge que “solo será posible la inclusión de ficheros de datos de carácter personal siempre que haya requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”.
Teniendo en cuenta los hechos, la Agencia Española de Protección de Datos dictaminó que el banco había sido responsable de una vulneración del principio de calidad de dato, por lo que le ha sido impuesta finalmente una sanción de 50.000 euros.

¿Quién puede ver tu correo, escribir twits por ti o acceder a tu Facebook?

El enfoque de numerosos servicios de plantearse como una plataforma sobre la que otros pueden desarrollar aplicaciones accediendo a los datos de los usuarios si estos le dan permiso puede desembocar en una situación curiosa cuando menos: nos escandalizamos por los problemas de privacidad y seguridad de cualquiera de esas plataformas (Google con el correo, Facebook, Twitter, Dropbox, Linkedin, etc..) pero a la vez le damos acceso a nuestros datos privados en ellas a terceros sólo por probar una funcionalidad nueva.

Y lo peor es que, muchas veces, mantenemos ese permiso de acceso (también de escritura en algunos casos, sobre todo Twitter) una vez que hemos dejado de utilizar la nueva aplicación. A la larga podemos tener un problema de seguridad con nuestro correo o red social (¿a cuánta gente una aplicación le ha mandado twits sin que el fuese consciente de que iban a hacerlo?) y no saber que aplicación instalada sobre ellos ha provocado el problema.

Por ello es recomendable darse una vuelta por http://mypermissions.org/que no es sino una página de enlaces a la configuración de varios servicios, en los que detectar y gestionar quién puede acceder a nuestros datos. Probablemente nos llevemos más de una sorpresa al encontrar que hace meses le dimos acceso completo a nuestro facebook a un juego que sólo probamos y que luego fue vendido a otra empresa no demasiado limpia, o que aquél gadget tan simpático para Gmail que nos borraba correos grandes para maximizar el espacio, todavía tiene acceso a todo.

Como explican en Wired, algo a controlar de vez en cuando (con ifttt se puede crear una recordatorio mensual fácilmente) y, de paso, que ayude a tomar conciencia que cuando aceptamos el acceso de un tercero a nuestras cuentas, le estamos abriendo la puerta a toda la información privada que hay detrás.

DSB PROTECCIONDDATOS INFORMA: Fallo del Tribunal Supremo

Desde dsb proteccionddatos os explicamos el fallo del Tribunal Supremo sobre el tratamiento de datos sin consentimiento


En la sentencia que se ha publicado el pasado 13 de febrero, se ha puesto de manifiesto que el Alto Tribunal adaptaba al ordenamiento español el fallo del Tribunal de Justicia de la Unión Europea (TUE) del pasado 24 de noviembre, al que había planteado cuestión prejudicial, anulando el artículo 10.2 del Reglamento de la Ley Orgánica de Protección de Datos, que traspone el artículo 7 de la Directiva de protección de datos, relativo a los criterios que legitiman los tratamientos de datos.

En esta sentencia, el Tribunal Supremo asume el fallo de Luxemburgo y dice que el tratamiento de datos sin consentimiento es lícito sin necesidad de obtener el consentimiento aunque no provengan de fuentes accesibles al público, siempre y cuando sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que comuniquen los datos y no se vulnere en ningún caso los derechos y libertades fundamentales de los interesados.

A través de este fallo del Tribunal Supremo no se da luz verde a que las empresas utilicen datos personales sin el consentimiento de los particulares bajo cualquier pretexto; en todo caso deberá ponderarse qué prevalece: el interés legítimo del responsable o los derechos de los particulares. En otras palabras, la mera alegación por parte del responsable o cesionario de un interés legítimo no significa que su tratamiento sea legítimo y, por tanto, no sancionable; la Autoridad de Control competente, o en su caso los tribunales, será quien deba realizar este juicio.

En este sentido, siguen plenamente vigentes cuestiones como la obligación de informar a los interesados sobre el registro de sus datos y el derecho de oposición al tratamiento de los mismos, o el consentimiento expreso para la remisión de comunicaciones comerciales por medios electrónicos y los ficheros de exclusión. Por tanto, tal como ha declarado la Agencia Española de Protección de Datos, este fallo no implica “una alteración sustancial del marco vigente de protección de los datos personales” ni “comporta una merma en el grado de protección de los derechos de los ciudadanos”.

270 personas detenidas en el último año por delitos a través de Internet

La Brigada de Investigación Tecnológica de la Policía ha detenido a 270 personas en 2010 por atentar contra otras personas amparadas en el supuesto anonimato e impunidad que ofrece la Red.


Con motivo del Día Europeo de la Protección de Datos celebrado este pasado sábado, la Policía ha querido alertar del aumento de los atentados contra la privacidad de las personas a través de Internet, que ha llegado a multiplicar las solicitudes de ayuda debido a intromisiones o incluso, suplantaciones de identidad a lo largo del 2011.

Atendiendo a esta situación, la Brigada de Investigación Tecnológica de la Policía Nacional (BIT) ha detenido en el último año a 270 personas, de las cuales 200 han sido arrestadas por brigadas provinciales y las 70 personas restantes, por la Central de la BIT, donde trabajan 14 agentes especializados en el Departamento de Fraude en las Telecomunicaciones.

Según la Policía, el uso masificado de los correos personales y los perfiles en redes sociales ha propiciado que las denuncias e investigaciones por parte de la BIT se hayan visto incrementadas en gran medida.

Así, el inspector jefe de la BIT advierte de casos en los que se utilizan datos ajenos para obtener lucro económico, como aquellos en los que se requieren transferencias o pagos, y otros cuyo objetivo es dañar a una persona o empresa o su imagen, a través de anuncios o afirmaciones en las que el autor se hace pasar por otro.

Por otra parte, cabe destacar también las detenciones de 18 personas en este último año debido a ataques a grandes empresas y robos de datos de los servidores de dichas organizaciones.

El problema al que se suele enfrentarse la Policía es que las empresas no acostumbran a denunciar esas intromisiones para no mostrarse vulnerables y propiciar nuevos ataques cibernéticos, lo que para la BIT es un error ya que de esa forma se produce un "efecto desvío", pues el atacante no logra lo que quería, pero al quedar impune, intenta atacar a otra gran corporación.

Fotografías de niños en colegios

¿Debe un colegio recoger el consentimiento de los padres para colgar fotos de actividades donde aparecen los niños, en su blog?


¿Las imágenes de un menor pueden ser consideradas como datos de carácter personal?

El artículo 5.1 del Reglamento de desarrollo de la LOPD precisa que constituyen un dato de carácter personal “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.”

En consecuencia, las imágenes a las que se refiere la consulta tendrán la consideración de datos de carácter personal en caso de que las mismas permitan la identificación de las personas que en ellas aparecen, no encontrándose amparadas por la LOPD en caso contrario.

Consentimiento y derechos de los afectados.

Siendo la imagen un dato personal, la toma de fotos de los alumnos efectuada por el colegio constituye un tratamiento de datos personales, y entre las obligaciones del responsable del fichero, en el presente caso el centro escolar, está la de obtener el consentimiento del interesado para el tratamiento o cesión de los datos y la de informar sobre los derechos que les asisten, así como sobre la identidad y dirección del responsable y sobre el uso que se va a dar a esos datos.

En el presente caso, las imágenes tratadas afectan a un menor de edad, por lo que, debe tenerse en cuenta lo previsto en número primero del artículo 13 del Reglamento de desarrollo de la LOPD, según el cual “Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores.”

Publicación en sitio web.

Asimismo, la publicación en la página web del colegio de las fotos de los alumnos constituye una cesión o comunicación de datos de carácter personal, definida por el artículo 3 j) de la LOPD como “Toda revelación de datos realizada a una persona distinta del interesado” y requiere el consentimiento, en los términos antes señalados, del afectado o de sus padres si se trata de un menor de 14 años.

Cancelación de los datos.

Si las fotografías ya han sido publicadas los padres del menor afectado podrán ejercitar su derecho de cancelación ante el centro escolar como responsable del fichero, a fin de que se retiren las imágenes del menor de la página web. Dicho derecho deberá ser atendido en el plazo de 10 días que señala el artículo 16 de la LOPD, en otro caso, los afectados podrán recabar la tutela de la AEPD en la forma prevista en el artículo 18 de la misma norma. Ello sin perjuicio de la posibilidad de instar de la AEPD el ejercicio de su potestad sancionadora.

Piden que se investigue el virus de Facebook que cobra mensajes a móviles

La organización Facua-Consumidores en Acción ha pedido que se investigue el virus de Facebook que se ha expandido por esta red social y con el que se pretendía cobrar a los usuarios por cada mensaje que recibieran en sus teléfonos móviles.


EFE.- Según un comunicado, la Facua ha reclamado que se investigue este "fraude masivo y que se depuren responsabilidades" y ha emprendido actuaciones en defensa de los afectados que ha recibido en su muro de Facebook, como si de un mensaje de un amigo se tratara y bajo reclamos como "Sales en un vídeo", el alta en este servicio. La organización de consumidores ha contactado con la empresa responsable de los SMS, Froggie Mobile Marketing, del grupo Crazy4Media, y se ha comprometido a poner en marcha un protocolo para canalizar las quejas de los afectados que reclamen la devolución de su dinero. La Facua ha recomendado a las víctimas que reclamen a su compañía de telecomunicaciones y a Froggie, quien ha asegurado, según la nota, que una de las empresas con las que contrata la difusión de publicidad puso en marcha la campaña "sin su consentimiento y que la misma fue paralizada este martes". Las denuncias han sido remitidas al Instituto Nacional del Consumo (INC), a la Secretaría de Estado de Telecomunicaciones (Setsi), a la Agencia Española de Protección de Datos (AEPD) y a la Dirección General de Consumo de la Junta de Andalucía, ya que Froggie tiene su sede en Sevilla. En los últimos días, multitud de usuarios han encontrado en sus muros de esta red social un mensaje acompañado de un vídeo, que al pulsar entra en una página que solicita instalar un supuesto "plugin" para ver el vídeo, aunque lo que se instala es un programa para expandir el mensaje a los muros de sus amigos en Facebook. Tras instalar el programa, se solicita el número de teléfono móvil del usuario y, al aceptar, recibe un código que al ser introducido provoca que el usuario sea dado de alta en un servicio de suscripción de mensajes por el que se le cobra.