Blog Protección de Datos

Worldcoin, Criptomonedas, Escaneo de Iris y Protección de Datos Personales

Miguel Urrea · 20/03/2024 · Dejar un comentario

El 6 de marzo de 2024, la Agencia Española de Protección de Datos (AEPD) ordenó una medida cautelar contra Tools for Humanity Corporation (TFHC), la empresa detrás del proyecto de escaneo de iris Worldcoin. Esta medida obliga a detener la recopilación y tratamiento de datos personales en España relacionados con Worldcoin, así como a bloquear los datos ya recopilados.

Worldcoin es una nueva criptomoneda que ofrece una identidad única y la oportunidad de formar parte de la economía global. ¿Cómo funciona? Con un dispositivo llamado «orb» que escanea tus ojos y crea un código único que solo tú tienes. ¿Para qué? Para que nadie más pueda hacerse pasar por ti o acceder a tu dinero. Los que se inscriben en el servicio y activan sus cuentas en la aplicación World App reciben pagos utilizando el token WLD de Worldcoin.

El cerebro detrás de Worldcoin es Sam Altman, el jefe de OpenAI, una organización que se dedica a investigar la inteligencia artificial. ¿Te suena ChatGPT? Sí, Altman también es responsable de ese sistema de conversación basado en IA. Ahora, Altman junto con Alex Blania han creado Worldcoin con la idea de establecer una red que combine identidad y servicios financieros, asegurando que solo humanos genuinos tengan acceso.

La medida cautelar aplicada contra Worldcoin se basa en varias reclamaciones que ha recibido la AEPD. En estas reclamaciones se denuncia, entre otras cosas, la falta de información adecuada, la recopilación de datos de menores y la dificultad para retirar el consentimiento.

Worldcoin, que desde el principio ha sostenido que cumple todos los requisitos legales para tratar datos personales respondió a la AEPD negando las acusaciones. Además, TFHC se apuró en intentar suspender la medida de la AEPD por la vía judicial.

Sin embargo, la semana pasada la Sala de lo Cotencioso-Administriativo de la Audiencia Nacional rechazó la solicitud de TFHC y avaló la medida aplicada por la AEPD. La Audiencia Nacional ha justificado que debe prevalecer «la salvaguarda del interés general que consiste en la protección del derecho a la protección de datos personales de los interesados frente al interés particular de la empresa recurrente de contenido fundamentalmente económico».

Así que, por ahora, Worldcoin deberá acatar la orden de la AEPD que le obliga a interrumpir el tratamiento de datos personales. Sin embargo, probablemente esto no acabe aquí, ya que Worldcoin considera que el actuar de la AEPD no ha sido correcto. Concretamente, argumentan: que no se ha tenido en cuenta el trabajo que han estado realizando desde hace varios meses con la autoridad de protección de datos alemana; que la AEPD no ha respondido a las comunicaciones que desde hace varios meses vienen le han estado enviado para explicar su proyecto; y que la medida cautelar no respeta los procesos establecidos en el RGPD.

¡Antes de despedirnos, queremos recordarte algo importante! Tu iris al igual que tus huellas dactilares son como tu identidad personal única. Según las reglas de protección de datos (RGPD y LOPDGDD), se consideran datos sensibles. ¡Nuestros datos tienen un valor económico importantísimo para las empresas que los tratan, y si nos pagan por tenerlos, el valor todavía es más alto!

Por eso, debes ser muy cauteloso a la hora de compartir este tipo de datos biométricos, y saber muy bien:

¿Quién va a tratar esos datos, y en qué país? (para asegurarte que el país de destino cumpla con políticas de seguridad y tratamiento adecuado de los datos);
¿Con que finalidades se van a tratar esos datos? (para verificar que solo se van a utilizar con la finalidad de la recogida;
¿Si se van a compartir con terceros? (para saber quienes son y decidir si quieres que se compartan; y
¿Cómo puedes ejercer los derechos de información, acceso, limitación, oposición, supresión (derecho al olvido)?

A diferencia de una contraseña que puedes cambiar si es necesario, tu iris y tus huellas dactilares son siempre los mismos, ¡mantenlos seguros!.

Si necesitas asesoramiento en materia de protección de datos, desde Qualgest podemos ayudarte. Contacta con nosotros y te ofreceremos una solución a medida para que cumplas con todas las obligaciones exigidas en la normativa de protección de datos.

KEYWORDS: Escaneo de iris, Worldcoin, datos biométricos, datos sensibles, AEPD, RGPD, LOPDGDD, protección de datos, medida cautelar.

Sistemas biométricos para fines de control de acceso o de registro de jornada laboral

Miguel Urrea · 05/03/2024 · Dejar un comentario

Hoy nos centraremos en los sistemas biométricos para fines de control de acceso o de registro de jornada laboral. Hablamos, básicamente, de lectores de huella o sistemas de reconocimiento facial o de iris, que varias empresas utilizan para controlar el acceso al centro de trabajo y/o para registrar la jornada laboral de sus empleados.

El pasado mes de noviembre de 2023 la Agencia Española de Protección de Datos (AEPD) publicó la “Guía sobre tratamientos de control de presencia mediante sistemas biométricos”. En esta guía la AEPD cambia de criterio y aclara que, como norma general, no se pueden tratar datos biométricos para fines de control de acceso o de registro de jornada laboral, aunque se utilicen sistemas de biometría débil.

Entonces, ¿ya no se pueden utilizar sistemas biométricos para fines de control de acceso o de registro de jornada laboral? Para poder responder a esta pregunta, primero conviene repasar algunos conceptos importantes:

¿Qué es un dato biométrico?

Son datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos (art. 4.14 del Reglamento General de Protección de Datos Personales, el RGPD).

Los datos biométricos son datos sensibles (también llamados categorías especiales de datos). Como regla general, el tratamiento de datos sensibles está prohibido (art. 9 del RGPD).

¿Qué son las plantillas biométricas?

Las plantillas biométricas, también denominadas firmas o patrones, son una forma de escritura de una característica biométrica humana, por ejemplo, de una huella o de un rostro, entre otros. Las plantillas biométricas están orientadas a ser tratadas en un proceso automatizado que permita su interpretación eficiente y eficaz por una máquina. No están orientadas a ser interpretadas por una persona, como una fotografía.

Cambio de criterio de la AEPD

En mayo 2021, la Agencia Española de Protección de Datos (AEPD) publicó la guía “La Protección de Datos en las Relaciones Laborales”, según esta guía la autenticación biométrica no debía considerase como un tratamiento de datos sensibles.

Sin embargo, en 2022 el Comité Europeo de Protección de Datos (CEPD) aclaró que tanto la autenticación como la identificación biométrica deben considerarse tratamientos de datos sensibles, hecho que obligó a la AEPD a cambiar de criterio y a publicar en noviembre de 2023 la nueva guía sobre tratamientos de control de presencia mediante sistemas biométricos.

La Identificación biométrica es el proceso que permite reconocer a una persona en particular dentro de un grupo de personas. Para ello, se comparan los datos de la persona que se quiere identificar con los datos del resto de personas del grupo.

Por otro lado, la verificación o autenticación se refiere al proceso que permite confirmar que una determinada persona es quien dice ser. Para ello, se comparan los datos de esa persona con los datos asociados a la identidad reclamada

Tratamiento de datos personales para fines de control de acceso o de registro de jornada laboral

El Estatuto de los Trabajadores (art. 20.3 y 34.9), la Ley Orgánica de Protección de Datos (LOPDGDD) y el RGPD, en su conjunto, permiten que los empleadores traten datos personales de sus empleados para fines de control de control de acceso o para fines de registro de jornada laboral, siempre y cuando se cumplan los principios para el tratamiento de datos definidos en estas normas.

Tratamiento de datos biométricos para fines de control de acceso o de registro de jornada laboral

Para poder tratar datos biométricos se deben respetar los principios y requisitos para el tratamiento de datos definidos en el RGPD y, además, se debe cumplir alguna de las circunstancias definidas en el artículo 9.2 del mismo Reglamento que levantan la prohibición de tratar datos sensibles.

Una de esas circunstancias, la del artículo 9.2.b, permite que se traten datos sensibles si existe una ley de Derecho laboral y de la seguridad y de protección social que así lo autorice. Sobre esta circunstancia, la AEPD ha aclarado que, actualmente, en España no aplica para el tratamiento de datos biométricos para fines de control de acceso o de registro de jornada en el ámbito laboral, ya que el Estatuto de los Trabajadores no autoriza expresamente el tratamiento de datos biométricos para esos fines.

El consentimiento del interesado es otra de las circunstancias (art. 9.2.a del RGPD) que autoriza el tratamiento de datos sensibles. Sin embargo, la AEPD remarca en su nueva Guía que el consentimiento tiene que ser libre y que, como regla general, el consentimiento de un empleado para que se traten sus datos biométricos para fines de control de acceso o de registro de jornada laboral no se considera como consentimiento libre. La AEPD no lo considera como un consentimiento libre por la posición de desequilibro que existe entre el empleado y el empleador, a no ser que se justifique que se ha ofrecido al empleado una alternativa real cuya elección no le causaría ninguna represalia o efecto adverso.

Por lo tanto, supongamos que el consentimiento ha sido libre, todavía se debe justificar la necesidad y proporcionalidad del tratamiento de datos biométricos para fines de control de acceso o registro de jornada laboral. Sobre este último punto, la AEPD en su nueva Guía ha dejado claro que por lo general el tratamiento de datos biométricos para fines de control de acceso o de registro de jornada laboral no es necesario, ya que existen otros mecanismos menos intrusivos que permiten alcanzar las mismas finalidades. Y que, por lo tanto, se trata de un tratamiento adicional de datos que debe justificarse con finalidades del tratamiento adicionales (seguridad física, evolución del rendimiento, acceso a determinados espacios o recursos del empleador).

Teniendo en cuenta lo anterior, para poder utilizar sistemas biométricos para fines de control de acceso o de registro de jornada laboral, con en el consentimiento del interesado, se deben dar las siguientes circunstancias:

El sistema biométrico debe respetar los principios para el tratamiento de datos personales (art. 5 del RGPD):
- Principio de licitud, lealtad y transparencia;
- Principio de minimización de datos;
- Principio de exactitud;
- Principio de limitación del plazo de conservación; y
- Principio de integridad y confidencialidad.

Se debe superar favorablemente una Evaluación de Impacto para la Protección de Datos (EIPD) que incluya y también supere el triple juicio de idoneidad, necesidad y proporcionalidad estricta establecido en el art. 35.7.b del RGPD.

El consentimiento debe ser libre, y para ello se debe ofrecer al interesado (en este caso, al empleado) una alternativa real que le permita cumplir con la misma finalidad. Si la alternativa real es menos intrusiva y permite alcanzar las mismas finalidades, el uso de datos biométricos no se considerará necesario ni proporcional.

Se deben aplicar medidas técnicas, jurídicas y organizativas que mitiguen el riesgo que implica el tratamiento de datos sensibles.

Para implementar un sistema biométrico para fines de control de acceso fuera del ámbito laboral, por ejemplo, en un gimnasio, también se deben cumplir los requisitos anteriores. En ambos casos, uno de los grandes retos es poder justificar en la Evaluación del Impacto que los beneficios buscados por el empleado, o por el interesado, se integran en las finalidades del tratamiento y lo hacen necesario.

¿Se pueden utilizar sistemas biométricos para fines de control de acceso o de registro de jornada laboral?

Depende. Cada caso requiere de un análisis individual que determine si se cumplen o no los requisitos detallados en el apartado anterior de esta entrada. Este análisis debe ser exhaustivo y debe realizarlo un experto en protección de datos, de esa forma se minimizará el riesgo de sanción por parte de la AEPD.

Si ya has implementado o te estás planteando implementar un sistema biométrico para fines de control de acceso o de registro de jornada laboral debes tener claro si cumples o vas a cumplir con los requisitos y las limitaciones definidas en el RGPD y en la LOPDGDD. De lo contrario, existirá el riesgo de sanción por incumplimiento, el cual se castiga con importantes multas. En Qualgest podemos ayudarte, nuestros más de 15 años de años de experiencia asesorando a empresas a cumplir con la normativa sobre protección de datos personales nos avalan. Contacta con nosotros si quieres que analicemos tu caso y te asesoremos.

KEYWORDS: Sistemas biométricos para fines de control de acceso o de registro de jornada laboral, lectores, huella dactilar, voz, iris, reconocimiento facial, sistema, derechos interesados, Estatuto de los Trabajadores, AEPD, RGPD, LOPDGDD, cumplimiento, sanción, principios tratamiento de datos personales.

La comisión europea evalúa a tiktok sobre el cumplimiento de la ley de servicios digitales (DSA)

ama · 22/02/2024 · Dejar un comentario

La Unión Europea sancionó a TikTok en 2023 con una multa de 345 millones de euros debido a su incumplimiento de las normas de protección de datos en relación con la privacidad de los menores. La Comisión de Protección de Datos irlandesa (CPD), que actúa en nombre de la UE, llevó a cabo una investigación de dos años y concluyó que TikTok no protegió adecuadamente la intimidad de los menores según las estrictas normas de protección de datos del bloque. Algunos de los problemas identificados incluyen:

Registro de menores como cuentas públicas por defecto: Los menores se registraron de tal manera que sus cuentas se definieron como públicas automáticamente.
Modo “conexión familiar”: Este modo permite vincular la cuenta de TikTok de un padre con la de su hijo adolescente. Sin embargo, la empresa no verificó si el usuario asociado era realmente el progenitor o tutor.
Riesgos para los más jóvenes: Aunque la plataforma está teóricamente reservada para usuarios mayores de 13 años, la CPD considera que TikTok no tuvo debidamente en cuenta los riesgos que entrañaba para los menores, quienes aun así lograron crear cuentas .

TikTok discrepa con la decisión, argumentando que las críticas se centran en características y ajustes que estaban en vigor hace tres años y que han cambiado desde entonces. Por ejemplo, todas las cuentas de menores de 16 años ahora son privadas por defecto. La empresa también afirma haber eliminado casi 17 millones de cuentas en todo el mundo en los primeros tres meses de 2023 debido a sospechas de que pertenecían a menores de 13 años. La autoridad irlandesa de protección de datos tiene jurisdicción para actuar en nombre de la UE porque la sede principal de TikTok en Europa se encuentra en Irlanda.

Además, la Comisión Europea ha abierto un expediente sancionador a TikTok para investigar si ha incumplido la Ley de Servicios Digitales (DSA) en áreas como la protección de menores, transparencia en la publicidad y gestión de riesgos en el diseño. Las posibles sanciones podrían alcanzar hasta el 6% del valor anual global de TikTok.

LA UE EVALÚA A TIKTOK SOBRE EL CUMPLIMIENTO DE LA LEY DE SERVICIOS DIGITALES (DSA)

TikTok fue designada como Plataforma en línea muy grande el 25 de abril de 2023, tras declarar que tiene 135,9 millones de usuarios activos mensuales en la UE. La DSA se aplica a todas las plataformas en línea de la UE a partir del 17 de febrero de 2024.

La Comisión Europea indicó que el procedimiento sigue a una investigación preliminar sobre un informe de evaluación de riesgos y respuestas a las preguntas formuladas por la comisión y elaborado por TikTok en septiembre de 2023.

La investigación se centrará en lo siguiente:

las obligaciones en virtud de la Ley de Servicios Digitales relacionadas con la evaluación y mitigación del riesgo sistémico, en términos de efectos negativos reales o previsibles, incluidos los sistemas algorítmicos que estimulan los «efectos de madriguera de conejo». La evaluación debe contrarrestar los riesgos para el ejercicio de derechos fundamentales como la salud mental y el bienestar, y la protección de los menores (artículo 34, apartados 1 y 2, y 35, apartado 1, de la Ley de Servicios Digitales);
la obligación de adoptar medidas adecuadas y proporcionadas para garantizar un alto nivel de privacidad, seguridad y protección de los menores, teniendo en cuenta la configuración de privacidad por defecto de los menores (artículo 28, apartado 1, de la Ley de Servicios Digitales);
la obligación de proporcionar un repositorio fiable y con capacidad de búsqueda para los anuncios en TikTok (artículo 39, apartado 1, de la Ley de Servicios Digitales); y
las medidas adoptadas para aumentar la transparencia de TikTok, debido a supuestas deficiencias relacionadas con el acceso del investigador a los datos de acceso público de TikTok (artículo 40, apartado 12, de la Ley de Servicios Digitales).

La Comisión señaló que el procedimiento faculta a la Comisión para adoptar medidas provisionales y decisiones de incumplimiento y que la Ley de Servicios Digitales no establece un plazo para poner fin al procedimiento. De conformidad con el artículo 28, apartado 1, de la Ley de Servicios Digitales, la incoación del procedimiento también exime a los coordinadores de servicios digitales y a cualquier otra autoridad competente de los Estados miembros de la UE de sus competencias para supervisar y hacer cumplir la Ley de Servicios Digitales.

Sistemas de verificación de edad, protección del menor y principio de privacidad desde el diseño

Miguel Urrea · 09/01/2024 · Dejar un comentario

Empezamos el 2024 con importantes novedades sobre los sistemas de verificación de edad para el acceso online a contenidos para adultos.

Hace pocos días la Agencia Española de Protección de Datos (AEPD) advertía que, en promedio, los menores de edad acceden por primera vez a contenido online pornográfico a la edad de 8 años. En la misma publicación, la AEPD:

Anunciaba que ha puesto en marcha iniciativas para concienciar a las familias; y
Remarcaba la importancia de la implementación de sistemas de verificación de edad adecuados, citando dos procedimientos sancionadores seguidos contra empresas titulares de páginas web de pornografía por utilizar sistemas de verificación de edad inexactos y por no haber cumplido con el principio de privacidad desde el diseño.

Que los menores de edad accedan a este tipo de contenido para adultos, donde es frecuente encontrar prácticas sexuales violentas marcadas por la desigualdad y jerarquía de poder, y por la falta total de afectividad y consentimiento, puede generarles importantes desordenes en la concepción de las relaciones sexuales y del rol de la mujer y provocar situaciones de acoso escolar, sexting o depresión^[1].

Pero la pornografía no es el único tipo de contenido para adultos al que acceden los menores, también acceden a otros contenidos que pueden ser perjudiciales para su desarrollo físico, mental o moral. Estos contenidos inadecuados incluyen: imágenes o videos perturbadores; modas, tendencias, pruebas o desafíos que promueven valores negativos, riesgos para la salud o malos hábitos; y aquellos considerados como adictivos o publicitarios prohibidos a personas menores de edad.

Por otro lado, no podemos pasar por alto que los sitios web, por lo general, tratan datos personales de sus visitantes a través de cookies y tecnologías similares. Y que, por lo tanto, si un menor accede a un sitio web de contenido para adultos, el titular de ese sitio web podría llegar a tratar datos personales del menor, incluso datos especialmente sensibles, como, por ejemplo: sus gustos, hábitos o preferencias sexuales. Algo que seguro ocurrirá si el menor crea una cuenta de usuario registrado en el sitio web en cuestión.

En España la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) establece una serie de requisitos, obligaciones y limitaciones para el tratamiento de datos personales de menores de edad y, por otro lado, la Ley 13/2022, de 7 de julio, General de Comunicación Audiovisual (LGCA) obliga a los prestadores de servicios de intercambio de vídeos a través de plataforma a establecer y operar sistemas de verificación de edad para el acceso a contenidos que puedan perjudicar el desarrollo físico, mental o moral de los menores de edad. Estos sistemas también deben impedir que los menores accedan a contenidos audiovisuales más nocivos, como la violencia gratuita o la pornografía.

Al principio de esta entrada ya anunciábamos que la AEPD había sancionado a dos empresas por, entre otras cosas, no contar con sistemas de verificación de edad adecuados para el acceso a sus sitios web de contenido pornográfico. En uno de estos procedimientos sancionadores (PS/00554/2021) la sanción impuesta fue de 75.000 euros, en el otro (PS/00555/2021) ascendió hasta los 525.000 euros. Y es que, según la AEPD:

“Las limitaciones o cautelas previstas para evitar el acceso de menores de edad a las páginas web de estas empresas resultaban claramente insuficientes, tanto para usuarios registrados como para los no registrados”.
“Si bien había presentes mecanismos para declarar la edad, no existía ninguno para comprobarla después, ni ninguno para verificarla”.

Estos procedimientos sancionadores son un ejemplo más de que los sistemas de verificación de edad que se utilizan actualmente en internet suelen ser inadecuados. Nos referimos al típico aviso informativo acompañado de una autodeclaración por parte del usuario y a otros mecanismos como: compartir credenciales con el proveedor de contenido; que este último estime la edad del usuario; o que otra entidad tercera intermedie entre el proveedor y el usuario. Todos ellos entrañan algún riesgo claro, entre otros:

La posibilidad de ubicar a menores en línea;
La incertidumbre acerca de la veracidad de la edad declarada;
La exposición de la identidad de menores a diversos actores en la red;
La realización de perfiles a gran escala; y
La recopilación y tratamiento de datos innecesarios.

Enlazamos lo anterior con la siguiente novedad que os traemos hoy. El pasado 14 de diciembre de 2023 la AEPD dejó claro que es técnicamente posible proteger a los menores del acceso a contenidos inadecuados a la vez que se garantiza el anonimato de los adultos en su navegación por internet. Y para demostrarlo ha publicado:

Una Infografía donde se detallan los sistemas de verificación de edad más utilizados en la actualidad i sus riesgos
Un Decálogo que recoge los principios que deben cumplir los sistemas de verificación de edad;
Una Nota Técnica que describe las tres pruebas de concepto que implementan un sistema de verificación de edad que se deriva de dicho Decálogo. Estas pruebas han sido realizadas por la AEPD en colaboración con el Consejo General de Colegios Profesionales de Ingeniería Informática.
Tres vídeos prácticos que demuestran cómo funcionan el sistema de verificación de edad en diferentes dispositivos, con sistemas operativos distintos y empleando varios proveedores de identidad.

Los repasamos brevemente:

Según el mencionado Decálogo de la AEPD los sistemas de verificación de edad deben cumplir los siguientes principios:

PRINCIPIO 1: El sistema de protección de personas menores de edad ante contenidos inadecuados debe garantizar que no es posible la identificación, el seguimiento o la localización de menores a través de Internet.
PRINCIPIO 2: La verificación de edad debe estar orientada a que las personas con la edad adecuada acrediten su condición de “persona autorizada a acceder”, y no permitir la acreditación de la condición de “menor de edad”.
PRINCIPIO 3: La acreditación para el acceso a contenidos inadecuados debe ser anónima para los proveedores de servicios de Internet y terceras entidades.
PRINCIPIO 4: La obligación de acreditar la condición de “persona autorizada a acceder” estará limitada únicamente al contenido inadecuado.
PRINCIPIO 5: La verificación de edad se debe realizar de forma cierta y la edad categorizada a “persona autorizada a acceder”.
PRINCIPIO 6: El sistema debe garantizar que las personas no pueden ser perfiladas en función de su navegación.
PRINCIPIO 7: El sistema debe garantizar la no vinculación de la actividad de una persona entre distintos servicios.
PRINCIPIO 8: El sistema debe garantizar el ejercicio de la patria potestad por los progenitores.
PRINCIPIO 9: Todo sistema de protección de personas menores de edad ante contenidos inadecuados debe garantizar los derechos fundamentales de todas las personas en su acceso a Internet.
PRINCIPIO 10: Todo sistema de protección de personas menores de edad ante contenidos inadecuados debe tener definido un marco de gobernanza.

Las pruebas de concepto realizadas por la AEPD:

1ª Prueba de Concepto (acceso desde ordenador o consola de videojuegos):
- El usuario instala en su dispositivo una aplicación que bloquea o filtra contenidos en función de la edad del usuario.
- Cuando el usuario reciba o quiera acceder a contenido para adultos la aplicación filtrará el contenido o le requerirá que demuestre que tiene edad suficiente para acceder.
- En este caso el usuario puede utilizar el código QR proporcionado por la FNMT para demostrar que cumple el requisito de edad y así desbloquear el filtro o bloqueo de la aplicación de acceso a contenidos.
2ª Prueba de Concepto (acceso desde un móvil con sistema operativo Android):
- El usuario instala en su dispositivo dos aplicaciones una aplicación que bloquea o filtra contenidos en función de la edad del usuario y otra de tipo cartera digital, por ejemplo: la cartera que próximamente proporcionará la Secretaría General de Administración Digital (SGAD), compatible con la regulación europea eIDAS2. En la aplicación de cartera digital el usuario debe cargar algún documento o certificado en el que conste su edad o fecha de nacimiento.
- Cuando el usuario reciba o quiera acceder a contenido para adultos la aplicación de acceso a contenidos comprobará, a través de los datos de identidad del usuario almacenados en la cartera digital, si el usuario tiene la edad necesaria para acceder a los contenidos. Si el usuario tiene la edad necesaria se desbloqueará el filtro o bloqueo de la aplicación de acceso a contenidos.
3ª Prueba de Concepto (acceso desde un móvil con sistema operativo IOS):
- El usuario instala en su dispositivo dos aplicaciones una aplicación que bloquea o filtra contenidos en función de la edad del usuario y otra que verifica la edad del usuario mediante la información obtenida del documento físico (DNI o Pasaporte) del usuario. Para ello el usuario previamente debe registrar su documento físico en la app de verificación de edad, demostrando que es el suyo mediante firma o biometría.
- Cuando el usuario reciba o quiera acceder a contenido para adultos la aplicación de acceso a contenidos comprobará, a través de los datos de identidad del usuario almacenados en la app de verificación de edad, si el usuario tiene la edad necesaria para acceder a los contenidos. Si el usuario tiene la edad necesaria se desbloqueará el filtro o bloqueo de la aplicación de acceso a contenidos.

Con estas pruebas de concepto la AEPD demuestra, sin ofrecer una solución final única, que es posible implementar sistemas de verificación de edad efectivos que cumplan con los principios detallados en su Decálogo. Ya sea para verificar que el usuario tiene más de 18 años o para verificar que tiene más de 14 años, edad mínima en España para poder registrarse en una red social.

Por lo tanto, los prestadores de servicios que incumplan los principios definidos en el Decálogo quedarán expuestos a importantes sanciones, de hasta el 3% de su facturación anual.

Y, para terminar, la última novedad. El pasado 14 de diciembre de 2023 la Comisión Nacional de los Mercados y la Competencia (CNMC) lanzó una consulta pública sobre los criterios para garantizar la idoneidad de los sistemas de verificación de edad en los servicios de intercambio de video a través de plataformas sobre contenidos perjudiciales para el menor. Las respuestas a las preguntas planteadas y comentarios deben enviarse por medios telemáticos, a través de la sede electrónica de la CNMC antes del 31 de enero de 2024.

Esperamos que esta entrada te haya servido para entender cuáles son las principales características que deben tener los sistemas de verificación de edad en internet. Si necesitas implementar un sistema de verificación de edad te aconsejamos que contactes con nosotros o que busques la asesoría de un experto en este tema para evitar posibles errores que pueden terminar en sanciones.

KEYWORDS: Sistemas de verificación de edad, contenidos inadecuados, Protección de Datos Personales, Protección del menor, Menores de edad, Principio de privacidad desde el diseño, Decálogo, AEPD, LOPDGDD, LGCA, CNMC, FNMT.

Guía de Cookies 2023: Cómo configurar las cookies de tu sitio web para cumplir con la normativa en España

Miguel Urrea · 29/11/2023 · Dejar un comentario

El pasado mes de julio de 2023, la Agencia Española de Protección de Datos (AEPD) publicó una nueva versión de su Guía sobre el uso de las cookies (en adelante, la Guía de Cookies 2023) en la que se incluyen nuevos criterios sobre el uso de cookies que deberán implementarse, como tarde, el 11 de enero de 2024 para evitar posibles sanciones.

En esta entrada vamos a repasar lo más importante de la Guía de Cookies 2023. Pero antes ten en cuenta que, debido a la complejidad del tema, es aconsejable que contactes con un experto, ¡como nosotros!, para que puedas recibir ayuda personalizada, aplicar medidas que se adapten a las necesidades de tu negocio y te permitan cumplir con todas las obligaciones legales sobre el uso de cookies.

¿Qué son las cookies?

Las cookies son dispositivos de almacenamiento y recuperación de datos que se instalan en tu terminal cuando navegas. Sus funciones pueden ser muy diversas, por ejemplo, reconocerte como usuario, guardar tus preferencias de navegación (idioma, moneda, etc.), personalizar la forma en la que ves el contenido y guardar tus hábitos de navegación, entre otras. Existen otras tecnologías similares a las cookies, como los web beacons, los bugs y los píxels, por mencionar algunas, que también permiten almacenar y recuperar determinada información. A partir de ahora, cuando os hablemos de cookies nos estaremos refiriendo a las cookies en sí y a estas otras tecnologías similares.

Tipos de cookies

Las cookies pueden clasificarse de muchas formas, no existe una lista cerrada como tal. A continuación, te detallamos las categorías de cookies más habituales.

Según la entidad que las gestione:

Cookies propias
Cookies de terceros

Según su finalidad:

Cookies técnicas
Cookies de preferencias o personalización
Cookies de análisis o medición
Cookies de publicidad comportamental

Según el plazo de tiempo que permanecen activadas:

Cookies de sesión
Cookies persistentes

Obligaciones sobre el uso de cookies

La Guía de Cookies 2023 nos recuerda que para el uso de cookies la ley establece dos obligaciones principales, por un lado, la obligación de transparencia y, por otro lado, la obligación de obtener el consentimiento del usuario antes de utilizarlas. Esto quiere decir que a la hora de solicitar el consentimiento de los usuarios para el tratamiento de sus datos mediante cookies se les debe ofrecer información clara y lo suficientemente completa como para permitir que éstos entiendan las finalidades y el uso que se le dará a las cookies y a la información que éstas recopilan.

Pese a lo anterior, tal y como se menciona en la Guía de Cookies 2023, quedan exceptuadas de estas obligaciones aquellas cookies que se utilicen para alguna de las siguientes finalidades:

Permitir únicamente la comunicación entre el equipo del usuario y la red.
Permitir prestar un servicio que haya sido solicitado expresamente por el usuario, siempre y cuando sean estrictamente necesarias para ello.

Aquí os dejamos varios ejemplos de tipos de cookies que por su finalidad podrían considerarse como cookies exceptuadas:

Cookies de entrada del usuario.
Cookies de autenticación o identificación de usuario (únicamente las de sesión).
Cookies de seguridad del usuario.
Cookies de sesión de reproductor multimedia.
Cookies de sesión para equilibrar la carga.
Cookies de personalización de la interfaz de usuario.
Determinadas cookies de complemento (plug-in) para intercambiar contenidos sociales (solo si el usuario ha decidido mantener la sesión abierta).

Aunque solo utilices cookies exceptuadas, lo más recomendable, por razones de transparencia, es que aun así en el banner de cookies y en la política de cookies informes a los usuarios sobre el uso de cookies exceptuadas. Echa un vistazo al siguiente ejemplo para entenderlo mejor:

Aspectos clave para cumplir con la obligación de transparencia

Tal y como mencionábamos anteriormente, debes informar a los usuarios sobre el uso de cookies no exceptuadas de una forma clara, transparente, inteligible y completa. Además, debes asegurarte de que la información sea de fácil acceso, esto quiere decir que el usuario no debe buscar la información, sino que debe ser evidente para él dónde y cómo acceder a ella (que no se encuentre a más de dos clics, como recomienda el GT29 en sus directrices sobre la transparencia).

Para cumplir con la obligación anterior se recomienda presentar la información por capas, ya que de esta forma se evita la fatiga informativa del usuario, permitiéndole consultar directamente aquellos aspectos que le sean de mayor interés. A continuación, te detallamos cómo podrías repartir la información en dos capas.

En la primera capa (por ejemplo, en el banner de cookies):

El nombre de tu empresa o marca (cuando sea evidente no será necesario incluirlo);
Las finalidades de las cookies que se utilizan, indicando qué cookies son propias y cuales son de terceros;
Si van a elaborarse perfiles de los usuarios, el tipo de datos que se van a recopilar y utilizar;
La forma en la que el usuario puede aceptar, configurar y rechazar la utilización de cookies;
Un enlace claramente visible que dirija a una segunda capa informativa donde se incluya información mucho más detallada.

En la segunda capa (por ejemplo, en la política de cookies) deberías incluir toda la información sobre uso de cookies, ya que en este caso sería la última capa.

Definición y función genérica de las cookies.
Información sobre el tipo de cookies que se utilizan y su finalidad.
Identificación de quién utiliza las cookies.
Información sobre la forma de aceptar, denegar o revocar el consentimiento para el uso de cookies.
Información sobre las transferencias de datos a terceros países, en caso de que se realicen.
Información sobre elaboración de perfiles y decisiones automatizadas
Periodo de conservación de los datos para los diferentes fines.

Aspectos clave para cumplir con la obligación de obtención del consentimiento

Los usuarios deben consentir el uso de cookies de forma libre e informada para que su consentimiento se considere válido. Por ello es importante asegurarse, entre otras cosas, que el usuario sea consciente de que está otorgando su consentimiento y de qué está consintiendo.

La Guía de Cookies 2023, insiste en que cuando el usuario decida seguir navegando en el sitio web, app o plataforma sin aceptar, configurar o rechazar las cookies no podrá darse por hecho que el usuario ha aceptado el uso de cookies.

También es importante que la información que otorgues al usuario para que pueda consentir el uso de cookies no se mezcle con información sobre otros asuntos, debe ir por separado. La aceptación de las cookies también debe ir por separado, no es válido que en una misma acción el usuario acepte el uso de cookies y los términos y condiciones de uso, por poner un ejemplo.

Importante:

No se puede dar la impresión al usuario de que tiene que aceptar obligatoriamente las cookies para navegar por el sitio web.
No se puede empujar claramente al usuario a aceptar las cookies.
El color o contraste del texto de los botones no podrá llevar a un consentimiento involuntario.

La opción para rechazar las cookies debe aparecer en la misma capa y al mismo nivel que la opción para aceptarlas. El mecanismo empleado para rechazar las cookies (botón u otro) debe ser similar al que se utilice para aceptarlas.

Actualización y retirada del consentimiento

Puedes guardar las preferencias de consentimiento de un usuario para evitar que cada vez que vuelva a visitar tu sitio web, app o plataforma tenga que configurar las cookies de nuevo. Sin embargo, la AEPD recomienda en su Guía de Cookies 2023 que el consentimiento prestado por un usuario para una determinada cookie se actualice como máximo cada 24 meses.

Por otro lado, has de tener en cuenta que los usuarios deben poder retirar el consentimiento en cualquier momento con la misma facilidad con la que aceptaron el uso de cookies. Es importante que en la política de cookies informes a los usuarios sobre cómo pueden retirar su consentimiento y eliminar las cookies.

Una solución sencilla para cumplir con la obligación anterior sería permitir a los usuarios que puedan acceder en cualquier momento al banner de cookies para poder aceptar más cookies o retirar su consentimiento sobre aquellas aceptadas previamente.

**Principales errores a la hora de configurar un banner de cookies**

A continuación, podrás ver un ejemplo de un banner de cookies que incumple con las obligaciones y recomendaciones recogidas en la Guía de Cookies 2023.

Primera capa

Errores:

La información no se está presentando de forma clara y, además, se da la impresión de que obligatoriamente se tienen que aceptar las cookies.
El color del texto de los botones puede inducir a un consentimiento involuntario. Además, el texto del botón “configurar” debería estar en un color que resalte más y facilite su lectura.
No hay un botón que permita rechazar las cookies. Este botón tiene que estar al mismo nivel que el botón de aceptar.

Segunda capa

Errores:

Falta añadir información sobre las cookies que se utilizan. También falta un enlace que dirija a algún apartado con más información sobre el uso de cookies o directamente a la Política de Cookies.
El color del texto de los botones puede inducir a un consentimiento involuntario. Además, el texto del botón “guardar preferencias” debería estar en un color que resalte más y facilite su lectura.
Las cookies no exceptuadas (las de análisis o medición y las de publicidad comportamental) aparecen pre aceptadas.
No hay un botón que permita rechazar todas las cookies a la vez. Este botón tiene que estar al mismo nivel que el botón de aceptar.

**Cómo configurar un banner de cookies**

A continuación, podrás ver un ejemplo de un banner de cookies con dos capas informativas que ha sido configurado siguiendo las directrices establecidas en la Guía de Cookies 2023.

Primera capa

Segunda capa

Y hasta aquí llega nuestra entrada de hoy, esperamos que te haya resultado útil y recuerda que lo más aconsejable es buscar la asesoría de un experto en este tema si quieres evitar posibles sanciones. Nosotros (Qualgest) podemos ser el experto que te ayude a detectar y clasificar las cookies que utilizas, a configurar correctamente un banner de cookies y a redactar una política de cookies, entre otras cosas.

ENTRADAS RELACIONADAS:

Guía de cookies 2020: ¿Cómo debo configurar las cookies de mi web para no ser sancionado?

KEYWORDS: Guía de Cookies 2023, Protección de Datos, Uso de cookies, Configuración de cookies, Obligaciones sobre cookies, Transparencia, Consentimiento, RGPD, LOPDGDD, LSSI.