EVALGEST, una herramienta gratuita y on line que puede ahorrarle mucho dinero

El 82% de las empresas españolas no cumple con la Ley Orgánica de Protección de Datos.

Alcatraz Solutions.- Intentar evitar una multa que va de los 900 a los 600.000 euros (sin importar el tamaño de la empresa). Ésta es la función de EVALGEST, una aplicación on line creada por Alcatraz Solutions, empresa especializada en cumplimiento normativo. Una herramienta gratuita (accesible en el margen de este blog: Descubra aquí si su empresa esta incumpliendo con la LOPD ) que permite determinar -a cualquier empresa o profesional- si cumple con la Ley Orgánica de Protección de Datos (LOPD) y, en función de las respuestas, informarle del grado de cumplimiento y la cuantía real con la que sería sancionado. En estos momentos solo el 18% de las empresas españolas están adaptadas a la LOPD. Cualquier información que permita identificar a una persona (nombre y apellidos, DNI, teléfono, dirección física o electrónica, matrícula de coche, imagen, etc.) y que se recoja, por ejemplo, mediante un formulario de alta de usuario o cliente, se grabe en una aplicación informática, se conserve almacenada, se consulte, comunique o permita el acceso a terceras partes se considera tratamiento de datos personales y está sujeta al cumplimiento de la Ley Orgánica de Protección de Datos (LOPD). En función de si dispone, o no, de un sistema que garantice la protección de esa información la broma puede salir por una multa que va de los 900 a los 600.000 euros (la media está en 60.000 euros). A pesar de las cuantías de las sanciones, solo un 18% de las empresas españolas (591.727) está adaptado a la LOPD. Según el Directorio Central de Empresas, el número de empresas existente en España a 1 de enero de 2010 se elevaba a 3.287.374 (el 99,98% de ellas pequeñas y medianas, pymes), por lo que realmente no llegan a 600.000 las empresas que están adaptadas a la normativa y disponen de un sistema para proteger los datos personales de sus clientes, trabajadores, asociados, etc. EVALGEST es una herramienta, un test que permite descubrir si una empresa o profesional está cumpliendo con la LOPD. El test va haciendo una serie de preguntas (tamaño de la empresa; si está en poder currículos de demandantes de empleo, de datos de clientes particulares, usuarios, asociados o propietarios, si se tiene instalado un sistema de video vigilancia; si los tipos de datos que trata con identificativos, características personales o sociales, detalles de empleo o académicos y profesionales, económicos, financieros y de seguros, etc.; cuál es el origen de esos datos que trata, si los obtiene a través del propio titular, terceras entidades o personas distintas del interesado, ambas; si se informa a los titulares de los datos sobre el registro de los mismos; cómo y quiénes acceden a esos datos, etc. El resultado del test se obtiene inmediatamente. Aparece el porcentaje de incumplimiento y, muy importante, la sanción que habría que pagar en cada caso. Las denuncias particulares (un exempleado, un cliente molesto e, incluso, un competidor) pueden iniciar un procedimiento de inspección por parte de la Agencia de Protección de Datos que, además, puede actuar de oficio para inspeccionar aquellos sectores que internamente determine. Basta no tener un sistema que proteja los datos para ser multado (6.000 euros), aparte de la penalización que se añadirá una vez se analice el tipo de datos que obra en poder de la empresa y la utilización que se hace de los mismos. Es por esto que os invito a realizar el test y ver el % de incumplimiento de vuestra empresa, del mismo modo que os invito a que invitéis a amigos, proveedores o clientes, aunque la finalidad sea solo de información. Gracias y un saludo.

La AEPD multa con 200.000 euros a Club Zed por spam masivo

La anterior empresa Club Zed, ahora conocida como Ocio Factory Time, ha sido multada por la Agencia Española de Protección de Datos (AEPD) con 200.000 euros por el uso masivo de spam. Durante la campaña realizada en 2011 por Antena 3 para fomentar su programa “Rico al instante” se llegaron a enviar 35.976.137 sms a cientos de miles de usuarios que habían enviado un mensaje de texto para participar. Por su parte, la Comisión de Supervisión de los Servicios de Tarificación Adicional (CSSTA) recibió aproximadamente 400 denuncias al respecto. La organización de consumidores CEACCU optó también por denunciar a la compañía alegando que “el envío de comunicaciones publicitarias o promocionales no solicitadas o autorizadas expresamente por los destinatarios se halla vedado en virtud de lo dispuesto en el artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI)”. Durante los primeros meses del pasado año, la Agencia recibió además un conjunto de 333 denuncias de usuarios que denunciaban la recepción en sus teléfonos móviles de distintos mensajes no solicitados publicitando el citado concurso. Es por ello que la AEPD optó por abrir una investigación considerando finalmente que la compañía había utilizado los números de teléfono de forma ilegal para remitir comunicaciones comerciales sin consentimiento previo. Y más concretamente, dictaminó que había quedado acreditado el envío de 8170 comunicaciones comerciales por medios electrónicos incumpliendo lo previsto en el artículo 21.2 de la LSSI. Finalmente, y atendiendo a todos los hechos demostrados, la Agencia resolvió imponiendo a Ocio Factory Time dos multas por una infracción del artículo 21.1 de la LSSI con 50.000 euros y otra por la infracción del artículo 21.2 de la LSSI con 150.000 euros.

Un banco multado con 50.000 euros por incluir a un cliente en su lista de morosos

La Agencia Española de Protección de Datos ha multado con 50.000 euros a una entidad bancaria nacional por incluir en una lista de morosos a un cliente sin previa solicitud de la deuda pendiente que rondaba los 300 euros.

El cliente, natural de Gijón, notificó los hechos ante la Agencia de Protección de Datos alegando que el banco había “procedido a la inclusión de datos de carácter personal en un fichero de morosos sin requerirle el pago previo de la deuda que tenía contraída”. Durante la investigación realizada por la AEPD, la entidad no pudo demostrar lo contrario a lo que el demandante había presentado.

En este sentido, en la regulación que se encuentra vigente en España se recoge que “solo será posible la inclusión de ficheros de datos de carácter personal siempre que haya requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”.
Teniendo en cuenta los hechos, la Agencia Española de Protección de Datos dictaminó que el banco había sido responsable de una vulneración del principio de calidad de dato, por lo que le ha sido impuesta finalmente una sanción de 50.000 euros.

¿Quién puede ver tu correo, escribir twits por ti o acceder a tu Facebook?

El enfoque de numerosos servicios de plantearse como una plataforma sobre la que otros pueden desarrollar aplicaciones accediendo a los datos de los usuarios si estos le dan permiso puede desembocar en una situación curiosa cuando menos: nos escandalizamos por los problemas de privacidad y seguridad de cualquiera de esas plataformas (Google con el correo, Facebook, Twitter, Dropbox, Linkedin, etc..) pero a la vez le damos acceso a nuestros datos privados en ellas a terceros sólo por probar una funcionalidad nueva.

Y lo peor es que, muchas veces, mantenemos ese permiso de acceso (también de escritura en algunos casos, sobre todo Twitter) una vez que hemos dejado de utilizar la nueva aplicación. A la larga podemos tener un problema de seguridad con nuestro correo o red social (¿a cuánta gente una aplicación le ha mandado twits sin que el fuese consciente de que iban a hacerlo?) y no saber que aplicación instalada sobre ellos ha provocado el problema.

Por ello es recomendable darse una vuelta por http://mypermissions.org/que no es sino una página de enlaces a la configuración de varios servicios, en los que detectar y gestionar quién puede acceder a nuestros datos. Probablemente nos llevemos más de una sorpresa al encontrar que hace meses le dimos acceso completo a nuestro facebook a un juego que sólo probamos y que luego fue vendido a otra empresa no demasiado limpia, o que aquél gadget tan simpático para Gmail que nos borraba correos grandes para maximizar el espacio, todavía tiene acceso a todo.

Como explican en Wired, algo a controlar de vez en cuando (con ifttt se puede crear una recordatorio mensual fácilmente) y, de paso, que ayude a tomar conciencia que cuando aceptamos el acceso de un tercero a nuestras cuentas, le estamos abriendo la puerta a toda la información privada que hay detrás.

DSB PROTECCIONDDATOS INFORMA: Fallo del Tribunal Supremo

Desde dsb proteccionddatos os explicamos el fallo del Tribunal Supremo sobre el tratamiento de datos sin consentimiento


En la sentencia que se ha publicado el pasado 13 de febrero, se ha puesto de manifiesto que el Alto Tribunal adaptaba al ordenamiento español el fallo del Tribunal de Justicia de la Unión Europea (TUE) del pasado 24 de noviembre, al que había planteado cuestión prejudicial, anulando el artículo 10.2 del Reglamento de la Ley Orgánica de Protección de Datos, que traspone el artículo 7 de la Directiva de protección de datos, relativo a los criterios que legitiman los tratamientos de datos.

En esta sentencia, el Tribunal Supremo asume el fallo de Luxemburgo y dice que el tratamiento de datos sin consentimiento es lícito sin necesidad de obtener el consentimiento aunque no provengan de fuentes accesibles al público, siempre y cuando sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que comuniquen los datos y no se vulnere en ningún caso los derechos y libertades fundamentales de los interesados.

A través de este fallo del Tribunal Supremo no se da luz verde a que las empresas utilicen datos personales sin el consentimiento de los particulares bajo cualquier pretexto; en todo caso deberá ponderarse qué prevalece: el interés legítimo del responsable o los derechos de los particulares. En otras palabras, la mera alegación por parte del responsable o cesionario de un interés legítimo no significa que su tratamiento sea legítimo y, por tanto, no sancionable; la Autoridad de Control competente, o en su caso los tribunales, será quien deba realizar este juicio.

En este sentido, siguen plenamente vigentes cuestiones como la obligación de informar a los interesados sobre el registro de sus datos y el derecho de oposición al tratamiento de los mismos, o el consentimiento expreso para la remisión de comunicaciones comerciales por medios electrónicos y los ficheros de exclusión. Por tanto, tal como ha declarado la Agencia Española de Protección de Datos, este fallo no implica “una alteración sustancial del marco vigente de protección de los datos personales” ni “comporta una merma en el grado de protección de los derechos de los ciudadanos”.

270 personas detenidas en el último año por delitos a través de Internet

La Brigada de Investigación Tecnológica de la Policía ha detenido a 270 personas en 2010 por atentar contra otras personas amparadas en el supuesto anonimato e impunidad que ofrece la Red.


Con motivo del Día Europeo de la Protección de Datos celebrado este pasado sábado, la Policía ha querido alertar del aumento de los atentados contra la privacidad de las personas a través de Internet, que ha llegado a multiplicar las solicitudes de ayuda debido a intromisiones o incluso, suplantaciones de identidad a lo largo del 2011.

Atendiendo a esta situación, la Brigada de Investigación Tecnológica de la Policía Nacional (BIT) ha detenido en el último año a 270 personas, de las cuales 200 han sido arrestadas por brigadas provinciales y las 70 personas restantes, por la Central de la BIT, donde trabajan 14 agentes especializados en el Departamento de Fraude en las Telecomunicaciones.

Según la Policía, el uso masificado de los correos personales y los perfiles en redes sociales ha propiciado que las denuncias e investigaciones por parte de la BIT se hayan visto incrementadas en gran medida.

Así, el inspector jefe de la BIT advierte de casos en los que se utilizan datos ajenos para obtener lucro económico, como aquellos en los que se requieren transferencias o pagos, y otros cuyo objetivo es dañar a una persona o empresa o su imagen, a través de anuncios o afirmaciones en las que el autor se hace pasar por otro.

Por otra parte, cabe destacar también las detenciones de 18 personas en este último año debido a ataques a grandes empresas y robos de datos de los servidores de dichas organizaciones.

El problema al que se suele enfrentarse la Policía es que las empresas no acostumbran a denunciar esas intromisiones para no mostrarse vulnerables y propiciar nuevos ataques cibernéticos, lo que para la BIT es un error ya que de esa forma se produce un "efecto desvío", pues el atacante no logra lo que quería, pero al quedar impune, intenta atacar a otra gran corporación.

Fotografías de niños en colegios

¿Debe un colegio recoger el consentimiento de los padres para colgar fotos de actividades donde aparecen los niños, en su blog?


¿Las imágenes de un menor pueden ser consideradas como datos de carácter personal?

El artículo 5.1 del Reglamento de desarrollo de la LOPD precisa que constituyen un dato de carácter personal “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.”

En consecuencia, las imágenes a las que se refiere la consulta tendrán la consideración de datos de carácter personal en caso de que las mismas permitan la identificación de las personas que en ellas aparecen, no encontrándose amparadas por la LOPD en caso contrario.

Consentimiento y derechos de los afectados.

Siendo la imagen un dato personal, la toma de fotos de los alumnos efectuada por el colegio constituye un tratamiento de datos personales, y entre las obligaciones del responsable del fichero, en el presente caso el centro escolar, está la de obtener el consentimiento del interesado para el tratamiento o cesión de los datos y la de informar sobre los derechos que les asisten, así como sobre la identidad y dirección del responsable y sobre el uso que se va a dar a esos datos.

En el presente caso, las imágenes tratadas afectan a un menor de edad, por lo que, debe tenerse en cuenta lo previsto en número primero del artículo 13 del Reglamento de desarrollo de la LOPD, según el cual “Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores.”

Publicación en sitio web.

Asimismo, la publicación en la página web del colegio de las fotos de los alumnos constituye una cesión o comunicación de datos de carácter personal, definida por el artículo 3 j) de la LOPD como “Toda revelación de datos realizada a una persona distinta del interesado” y requiere el consentimiento, en los términos antes señalados, del afectado o de sus padres si se trata de un menor de 14 años.

Cancelación de los datos.

Si las fotografías ya han sido publicadas los padres del menor afectado podrán ejercitar su derecho de cancelación ante el centro escolar como responsable del fichero, a fin de que se retiren las imágenes del menor de la página web. Dicho derecho deberá ser atendido en el plazo de 10 días que señala el artículo 16 de la LOPD, en otro caso, los afectados podrán recabar la tutela de la AEPD en la forma prevista en el artículo 18 de la misma norma. Ello sin perjuicio de la posibilidad de instar de la AEPD el ejercicio de su potestad sancionadora.