Qualgest

Empresa Especializada en Protección de Datos

rgpd

Llei Whistleblowing: Canal de Denúncies i Protecció de l’Informant, el que has de saber

· · Deixa un comentari

Ley whistleblowing

El 13 de març de 2023 va entrar en vigor la Llei 2/2023, del 20 de febrer, reguladora de la protecció de les persones que informen sobre infraccions normatives i de lluita contra la corrupció (d’ara endavant la «Llei Whistleblowing»). Aquesta Llei sol sovint identificar-se utilitzant els termes anglosaxons whistleblowing -acte d’usar el xiulet per donar alerta- o whistleblower -persona que utilitza el xiulet per donar alerta-, tal com fem nosaltres en el títol d’aquesta entrada.

Tenint en compte que el próxim 1 de desembre de 2023 vencerà el termini perquè determinades entitats implantin un Sistema Intern d’Informació, en aquesta nova entrada donarem resposta a les següents preguntes:

Quina és la finalitat principal de la Llei Whistleblowing?

Aquesta llei té com a finalitat principal fomentar la transparència, ètica i responsabilitat a les empreses i organismes públics, promoure una cultura d’integritat i prevenció de la corrupció. 

Per aconseguir aquest objectiu, aquesta llei estableix un marc que, d’una banda, obliga a determinades entitats a implementar un Sistema Intern d’Informació que permeti denunciar infraccions penals o administratives i, d’altra banda, protegeix aquelles persones que es decideixin a denunciar aquestes infraccions en un context laboral o professional.

Què és un Sistema Intern d’Informació?

El terme «Sistema Intern d’Informació» es refereix a un conjunt d’elements que permeten rebre comunicacions o denúncies sobre possibles delictes o irregularitats administratives. 

Tot Sistema Intern d’Informació consta de tres components essencials:

  • Canal Intern d’Informació: la bústia o via que permet la recepció de la informació, comunicacions o denúncies. També conegut com a Canal de Denúncies;
  • Responsable del Sistema: la persona física encarregada de gestionar el Sistema Intern d’Informació de manera independent i autònoma respecte de la resta dels òrgans de l’entitat o organisme.
  • Procediment de gestió de informacions: el document on s’estableixen les regles que regeixen el funcionament del Sistema Intern d’Informació, respectant el contingut mínim i principis que marca la Llei Whistleblowing.

El Sistema Intern d’Informació ha de complir uns requisits mínims, entre d’altres, el seu ús ha de ser assequible, ha de garantir la confidencialitat de les comunicacions o denúncies i preservar la identitat de l’informant o denunciant i de qualsevol tercer esmentat en la comunicació o denúncia, ha de recollir les pràctiques correctes de seguiment, investigació i protecció de l’informant i ha de comptar amb un Responsable del Sistema.

Addicionalment, el Sistema Intern d’Informació ha de disposar d’un Canal de Denúncies o Canal Intern que permeti que es facin comunicacions o denúncies per escrit, verbalment o de totes dues formes.

  • Per escrit: correu electrònic, correu postal, formulari web o qualsevol altre mitjà electrònic habilitat per a aquest efecte;
  • Verbalment: mitjançant trucada, sistema de missatgeria de veu o directament davant del responsable del canal.

Qui han d’implementar un Sistema Intern d’Informació?

En el sector privat:

  • Totes aquelles empreses que tinguin més de 50 empleats.
  • Els partits polítics, els sindicats, les organitzacions empresarials i les fundacions creades per uns i altres, sempre que rebin o gestioni fons públics.

En el sector públic:

  • Totes les administracions públiques (siguin territorials o institucionals);
  • Tots els òrgans constitucionals i de rellevància constitucional, així com aquells esmentats als Estatuts d’Autonomia;
  • Les autoritats independents o altres organismes que gestionin els serveis de la Seguretat Social;
  • Les universitats, les societats i fundacions pertanyents al sector públic; i
  • Les corporacions de Dret Públic.

Què es pot informar, comunicar o denunciar a través d’un Sistema Intern d’Informació?

  • Accions o omissions que puguin constituir infraccions del Dret de la Unió Europea sempre que es compleixin els requisits definits a l’article 2.1.a) de la Llei 2/2023; i
  • Accions o omissions que puguin ser constitutives d’infracció penal o administrativa greu o molt greu. Per exemple: l’incompliment de les normatives laborals i de seguretat social, la comissió de delictes fiscals o contra la Hisenda Pública, la comissió de delictes de corrupció, com la malversació de fons públics o els suborns, i la vulneració dels drets humans i llibertats fonamentals en l’àmbit laboral.

Qui pot presentar informacions, comunicacions o denúncies?

  • Les persones que treballin en el sector privat o públic i que hagin obtingut informació sobre infraccions en un context laboral o professional. Per exemple: funcionaris; treballadors per compte d’altri; voluntaris; practicants; becaris; autònoms; accionistes; partícips; els membres de l’òrgan d’administració, direcció o supervisió d’una empresa i qualsevol persona que treballi per a o sota la supervisió i direcció de contractistes, subcontractistes o proveïdors.
  • Les persones que hagin obtingut informació sobre infraccions en el marc d’una relació laboral o estatutària ja finalitzada o que encara no hagi començat, sempre que la informació hagi estat obtinguda durant el procés de selecció o de negociació precontractual.

Quin és el termini màxim per implantar un Sistema Intern d’Informació?

Abans del 13 de juny de 2023:

  • Les Administracions, organismes, empreses i altres entitats obligades a comptar amb un Sistema Intern d’Informació tenien un termini de 3 mesos a comptar des de l’entrada en vigor de la Llei Whistleblowing.

Abans  del 1 de desembre de 2023:

  • Aquelles entitats del sector privat amb 249 treballadors o menys i els municipis de menys de 10.000 habitants gaudeixen d’un termini màxim estès que finalitzarà el pròxim 1 de desembre de 2023.

Quina relació té aquesta llei amb la normativa de protecció de dades personals?

La Llei Whistleblowing i la normativa de protecció de dades, com el RGPD (Reglament General de Protecció de Dades) o la LOPDGDD (Llei Orgànica de Protecció de Dades Personals i Garantia dels Drets Digitals), es complementen de la següent manera:

  • Confidencialitat i Protecció de la Identitat: la  Llei Whistleblowing estableix que la recepció i gestió de denúncies han de mantenir la confidencialitat en tot moment, tant abans com després de la seva recepció. A més, se centra a protegir la identitat dels informants o denunciants i d’aquells tercers que apareguin en la comunicació o denúncia.
  • Consentiment exprés: la recopilació i el tractament de dades personals dels informants o denunciants només es poden dur a terme amb el seu consentiment explícit. És a dir, abans de recopilar qualsevol dada personal, s’ha d’obtenir el permís de la persona que fa la denúncia. A més, aquestes dades només es poden utilitzar amb finalitats específiques relacionades amb la investigació i seguiment de la denúncia.
  • Informació sobre drets:  la normativa exigeix que s’informi els denunciants sobre els seus drets en relació amb el tractament de les seves dades personals i sobre com poden exercir aquests drets.

És obligatori comptar amb un Delegat de Protecció de Dades?

Si ens fixem en el preàmbul de la Llei Whistleblowing, veurem que es menciona que aquelles entitats obligades a implantar un Sistema Intern d’Informació també queden obligades a comptar amb un DPD. No obstant això, si consultem l’article 34 de la mateixa llei veurem que l’obligació de tenir un DPD no afecta totes les entitats que estan obligades a implantar un Sistema Intern d’Informació. En conseqüència, sembla que es tracta d’un error i que el més adequat hauria estat suprimir l’obligació general de nomenar un DPD continguda en el preàmbul d’aquesta llei.

En qualsevol cas, la designació d’un DPD en empreses del sector privat continua sent obligatòria quan aquestes empreses es trobin en algun dels supòsits definits a l’article 34 de la LOPDGG o a l’article 37.1 del RGPD.

Quines són les sancions per no comptar amb un Sistema Intern d’Informació?

L’incompliment de l’obligació d’implantar un Sistema Intern d’Informació es considera una conducta molt greu que podrà ser sancionada amb multes que van des dels 600.001 € fins a l’1.000.000 €.

Si després d’haver llegit aquesta entrada encara tens dubtes, visita el nostre web  o contacta amb nosaltres, podem ajudar-te a: 

  • Habilitar un Sistema Intern d’Informació i els canals que el componen.
  • Elaborar el Procediment de Gestió d’Informacions.
  • Comunicar a l’Autoritat competent el nomenament, cessament o destitució del Responsable del Sistema Intern d’informació.
  • Gestionar el teu Sistema Intern d’Informació.

Si aquesta entrada t’ha resultat útil, no deixis de seguir el nostre blog, en els pròxims dies publicarem una nova entrada en què explicarem:

  • La diferència entre un Canal de Denúncies intern i extern.
  • Com implementar i gestionar un Canal de Denúncies internes.
  • Com nomenar un Responsable del Sistema Intern d’Informació.
  • Com, quan i a qui s’ha de comunicar el nomenament o cessament del Responsable del Sistema.
  • Com elaborar un procediment de gestió d’informacions.

Keywords: Whistleblowing, Whistleblower, Sistema Intern d’Informació, Llei 2/2023, Canal de Denúncies, DPD, Protecció de Dades Personals, RGPD, LOPDGDD.

Publicada la Memòria 2020 de l’AEPD

· · Deixa un comentari

Fa escassos dies es va publicar la Memòria 2020 de l’Agència Espanyola de Protecció de Dades (AEPD). Aquesta Memòria explica de manera detallada quines han estat les activitats més rellevants que ha realitzat l’AEPD durant l’any 2020 i quins han estat els principals reptes que ha hagut d’afrontar, destacant aquells que han estat conseqüència de la pandèmia ocasionada pel COVID-19. Tal i com exposa la Directora de l’AEPD, Mar España Martí, en el pròleg de la Memòria 2020.

“Uno de los retos principales de 2020 ha sido establecer criterios y conciliar la garantía de la asistencia sanitaria y el control de la pandemia con el derecho fundamental a la protección de datos personales. Y ha sido uno de los retos porque, en paralelo, la Agencia ha tenido que seguir trabajando en la resolución de las reclamaciones planteadas por los ciudadanos, participando en las decisiones de carácter internacional, atendiendo las dudas y consultas tanto de los ciudadanos como de los sujetos obligados, publicando materiales o lanzando iniciativas de diversa índole para fomentar la privacidad. Todo ello sin descuidar la necesaria pedagogía de entender la protección de datos como un elemento de competitividad que redunda en beneficio tanto de las propias organizaciones como de las personas cuyos datos se tratan. “

A continuació, repassem algunes de les xifres destacades que conté l’Annex de la Memòria 2020 de l’AEPD: 

Reclamacions i procediments sancionadors  2019  2020 

Variació 
Reclamacions presentades davant  l’AEPD  11.590  10.324  -11% 
Reclamacions resoltes durant l’any  11.182  10.443  -7%  
Notificacions de  bretxes de seguretat traslladades a la Subdirecció General d’Inspecció de Dades  79  81  +3% 
Procediments sancionadors finalitzats amb Multa  112  172  +54% 
Procediments sancionadors finalitzats amb advertència 139  163  +17% 
Procediments sancionadors finalitzats amb arxiu  87  58  -33% 

 

Àrees d’activitat amb major nombre de reclamacions rebudes  2019  2020  Variació 
Serveis d’Internet  1.529  1.602  +5% 
Fitxers de morositat  1.407  1.510  +7% 
Videovigilància  1.415  1.189  -16% 
Publicitat (excepte spam)  784  681  -13% 
Reclamació de deutes  1.059  656  -38% 
Administració pública  776  503  -35% 
Entitats financeres/creditores  464  473  -6% 
Comerços, transport i hostalería  508  405  -20% 
Sanitat  460  388  -16% 
Telecomunicacions  424  380  -10% 
Altres 2.764  2.573  -7% 

 

Àrees d’activitat amb major nombre de procediments sancionadors finalitzats  2019  2020  Variació  
Videovigilància  106  94  -11% 
Serveis d’Internet   58  73  +26% 
Administració pública  15  39  +160% 
Telecomunicacions  21  27  +29% 
Comerços, transport i hostalaría  10  23  +130% 
Publicitat a través d’e-mail o telèfon mòbil  32  17  -47% 
Comunitats de propietaris  4  14  +250% 
Contractació fraudulenta  13  14  +8% 
Altres 63  69  -16% 

 

Evolució de les multes imposades  2019  2020  Variació 
Nombre de multes  112  167  +49% 
Import total  6.295.923  8.018.800* +27% 

*La multa de 8,1 M d’Euros imposada a Vodafone a principis del 2021 supera l’import total de multes imposades en el 2020.

Àrees d’activitat amb  major import en sancions  2019  2020  Variació 
Entitats financeres/creditores  45.600  5.045.000  +10.964% 
Telecomunicacions  641.000  1.009.000  +57% 
Contractació fraudulenta  620.620  559.000  -10% 
Reclamació de deutes 156.000  242.000  +55% 
Serveis d’Internet  144.300  218.900  +52% 

  

Guies generals  Núm. de descàrregues 
Guia sobre l’ús de càmeres de vídeo per a seguretat i altres finalitats  83.126 
Guia sobre l’ús de les cookies  77.804 
Guia per al responsable de tractament de dades personals  56.919 
Protecció de dades: guia per al ciutadà  49.233 
Guia pràctica d’anàlisi de riscos en els tractaments de dades personals subjetes al RGPD 42.225  

 

Si t’ha agradat aquesta entrada, pots consultar entrades anteriors en nostre el nostre Blog o seguir-nos  LinkedIn, Facebook o Twitter.per estar sempre assabentat de les novetats en matèria de protecció de dades personals.

Si necessites assessorament en matèria de protecció de dades, des de Qualgest podem ajudar-te. Contacta amb nosaltres i t’oferirem una solució a mesura perquè compleixis amb totes les obligacions exigides en la normativa de protecció de dades.

Multa rècord a Vodafone per infringir el RGPD

· · Deixa un comentari

Aquesta setmana us portem una nova multa rècord per infringir el RGPD. L’Agència Espanyola de Protecció de Dades (AEPD) ha sancionat a l’entitat Vodafone Espanya SAU amb 8,1 milions d’euros per infringir, amb les seves accions de màrqueting, el que s’estableix en el Reglament General de Protecció de Dades (RGPD), la Llei orgànica de Protecció de Dades i Garantia dels Drets Digitals (LOPDGDD), la Llei de Serveis de la Societat de la Informació i de Comerç Electrònic (LSSICE) i la Llei General de Telecomunicacions (LGT).

Recordem que, fins al moment, la multa més elevada imposada a Espanya per infringir el RGPD era la multa de 6M d’euros imposada a CaixaBank, sobre la que parlàvem en una de les nostres entrades del passat mes de gener.

Origen de la sanció i actuacions de recerca

Entre el segon trimestre del 2018 i el mes de febrer de 2020 l’AEPD va rebre fins a 191 reclamacions contra l’entitat Vodafone Espanya SAU (d’ara endavant, Vodafone).  En aquestes reclamacions es denunciava que les accions de màrqueting i prospecció comercial dutes a terme per Vodafone s’estaven realitzant:

– Sense haver estat sol·licitades o expressament autoritzades per l’interessat.

– Sense facilitar la possibilitat d’exercir el dret d’oposició.

– Sense respectar el dret d’oposició exercit pels interessats inclosos en el llistat Robinson.

– En alguns casos, mitjançant tercers i sense oferir als interessats els mitjans necessaris, suficients i apropiats que li garanteixin la protecció dels seus drets i llibertats.

El 26 de febrer de 2019 l’AEPD va iniciar les actuacions de recerca amb l’objectiu de determinar si les accions de màrqueting que estava duent a terme Vodafone podien ser contràries al que s’estableix en la normativa de protecció de dades (RGPD, LOPDGGD), la LGT i la LSSICE. Per a això, es van centrar en donar resposta a les següents qüestions:

– Quin és l’origen de les dades tractades?

– Quin és el tractament posterior d’aquestes dades i quina és la relació amb els encarregats del tractament?

– Es realitza una comprovació prèvia de les llistes d’exclusió publicitàries internes o generals (llistat Robinson intern i Genera de Adigital)?

– Com es gestionen els drets d’oposició i supressió dels interessats?

– Quines són les mesures tècniques i organitzatives implementades? Quin és el seu grau de compliment?

Inici del procediment sancionador

Una vegada finalitzades les actuacions de recerca, en data 26 de febrer de 2020, la Directora de l’Agència Espanyola de Protecció de Dades va acordar iniciar procediment sancionador contra Vodafone per la presumpta infracció de l’article 28 del RGPD en relació amb l’article 24 del mateix text legal, per la presumpta infracció de l’article 21 de la LSSSICE i per la presumpta infracció de l’article 48.1.b) de la LGT. Això és:

  • Per no complir amb les obligacions que li són exigibles per la seva condició de responsable dels tractaments duts a terme en el seu nom (Art. 24 i 28 del RGPD).
  • Per enviar comunicacions publicitàries o promocionals per correu electrònic, SMS o altres mitjans electrònics equivalents, sense haver estat sol·licitades o expressament autoritzades pels destinataris (Art. 21 de la LSSICE).
  • Per no respectar el dret d’oposició, de les persones amb les quals contacta mitjançant flama telefònica, a rebre anomenades no desitjades amb finalitats comercials (Art 48.1.b. de la LGT).

Després d’haver donat cabuda a tots els tràmits oportuns, en data 22 de desembre de 2020, la Directora de l’Agència Espanyola de Protecció de Dades va formular proposta de resolució sancionadora contra Vodafone per:

  • Infracció de l’article 28 del RGPD en relació amb l’article 24 del RGPD tipificada conforme l’article 83.4 del RGPD amb sanció administrativa de quantia quatre milions d’euros (4.000.000 €).
  • Infracció de l’article 44 del RGPD tipificada conforme l’article 83.5.c) del RGPD, amb sanció administrativa de quantia dos milions d’euros (2.000.000 €).
  • Infracció de l’article 21 de la LSSICE, tipificada com a greu en l’article 38.3.d) i c) d’aquesta norma amb sanció de quantia cent cinquanta mil euros (150.000 €).
  • Infracció de l’article 48.1.b) de la LGT, en relació amb l’article 21 del RGPD, tipificada com a greu en l’article 77.37 de la LGT i per infracció de l’article 48.1.b) de la LGT, en relació amb l’article 23 de la LOPDGDD, tipificada com a greu en l’article 77.37 de la LGT, amb sanció de dos milions d’euros (2.000.000€).

Podem veure que la proposta de resolució afegeix una infracció més a les previstes inicialment en l’acord d’inici del procediment sancionador. Concretament, la infracció de l’article 44 del RGPD per haver realitzat transferències internacionals de dades personals sense les garanties exigides en el RGPD.

Resolució del procediment sancionador i motiu de la sanció

Finalment, la resolució del procediment sancionador (PS-00059/2020) imposa a l’entitat Vodafone les següents sancions administratives;

1. IMPOSAR a VODAFONE ESPAÑA, S.A.O., amb NIF A80907397, per una infracció de l’Article 28 del RGPDen relació amb l’article 24 del RGPD, tipificada conforme l’article 83.4.a) del RGPDamb sanció administrativa de quantia quatre milions d’euros (4.000.000 €).

Motiu de la sanció: No complir amb les obligacions que li són exigibles per la seva condició de responsable dels tractaments duts a terme en el seu nom (Art. 24 i 28 del RGPD). Al no haver actuat de manera clara, activa i eficaç a estipular i fer efectives les especificacions oportunes per a dur a terme adequadament en el temps el tractament encomanat en el seu nom i al no haver realitzat un seguiment continu dels tractaments encarregats i subencargados per altres entitats en el seu nom. Tot això, malgrat les nombroses reclamacions i recerques dutes a terme per l’AEPD de les quals Vodafone tenia coneixement i malgrat tractar-se d’una conducta sancionada prèviament en el PS/00290/2018.

2. IMPOSAR a VODAFONE ESPAÑA, S.A.O., amb NIF A80907397, per infracció de l’article 44 del RGPD tipificada conforme l’article 83.5.c) del RGPD, amb sanció administrativa de quantia dos milions d’euros (2.000.000 €).

Motiu de la sanció: Realitzar una transferència internacional de dades a un tercer país (el Perú) sense aplicar les mesures o garanties adequades que exigeix el RGPD.

3. IMPOSAR a VODAFONE ESPAÑA, S.A.O., amb NIF A80907397, per infracció de l’article 21 de la LSSICE, tipificada com a greu en l’article 38.3.d) i c) d’aquesta norma amb sanció de quantia cent cinquanta mil euros (150.000 €).

Motiu de la sanció: Realitzar comunicacions comercials a través de SMS o email sense l’autorització expressa dels destinataris o sense que aquests les hagin sol·licitat, i sense oferir als destinataris la possibilitat eficaç i comprovada d’oposar-se al tractament. Asismismo, l’AEPD remarca que l’enviament d’accions comercials a numeracions i adreces generades aleatòriament impedeix verificar l’existència d’autorització prèvia i expressa o, en defecte d’això, l’existència d’una relació comercial prèvia de serveis similars.

4. IMPOSAR a VODAFONE ESPAÑA, S.A.O., amb NIF A80907397, per infracció de l’article 48.1.b) de la LGT, en relació amb l’article 21 del RGPDi article 23 de la LOPDGDD, tipificada com a greu en l’article 77.37 de la LGTamb sanció de quantia dos milions d’euros (2.000.000 €).

Motiu de la sanció: No garantir el compliment del dret d’oposició a no rebre anomenades comercials dels usuaris finals amb els quals contacta. Fet que constitueix una vulneració greu dels drets dels consumidors i usuaris finals.

5. ORDENAR a VODAFONE ESPAÑA, S.A.O., amb NIF A80907397, perquè, en el termini de sis mesos a comptar des de la notificació de la present Resolució, acrediti davant aquesta AEPD que ha ajustat al que es disposa en el RGPDi LOPDGDDtotes les operacions de tractament analitzats en el present procediment referits els articles 17, 21, 24, 28 i 44 a 49 del RGPD i 12, 15, 18, 23, 40 a 43 de la LOPDGDD.

La suma de les anteriors sancions administratives ascendeix fins als 8,1 milions d’euros batent així el rècord de multa més elevada imposada a Espanya per infringir el RGPD. No obstant això, a nivell europeu, aquesta multa perd la condició de rècord i se situa en la dotzena posició del rànquing de multes mes elevades per infringir el RGPD.

Per  saber més sobre com has de sol·licitar el consentiment dels teus usuaris per al tractament de les seves dades personals, et recomanem que llegeixis la nostra entrada sobre Com haig de configurar les cookies del meu web per evitar ser sancionat? en la qual expliquem com ha de sol·licitar-se el consentiment perquè l’interessat pugui prestar-lo de manera lliure i informada i com exposar la informació per capes.

Si t’ha agradat aquesta entrada, pots consultar entrades anteriors en nostre el nostre Blog o seguir-nos  LinkedIn, Facebook o Twitter per estar sempre assabentat de les novetats en matèria de protecció de dades personals.

Si necessites assessorament en matèria de protecció de dades, des de Qualgest podem ajudar-te. Contacta amb nosaltres i t’oferirem una solució a mesura perquè compleixis amb totes les obligacions exigides en la normativa de protecció de dades.

Rànquing de multes per infringir el RGPD

· · Deixa un comentari

En aquesta entrada podràs consultar quines són les 13 multes més elevades imposades a Europa per infringir el RGPD. En el nostre rànquing de multes per infringir el RGPD (disponible més a baix) podràs veure quals han estat les empreses sancionades, els imports de les sancions, els òrgans sancionadors, els motius de les sancions i els enllaços a les resolucions o notes de premsa oficials.

Just abans de finalitzar el 2020 vàrem dedicar una entrada en el nostre blog a la sanció de 5 milions d’euros que l’AEPD va imposar a l’entitat BBVA per infringir el RGPD. Aquesta sanció va ser, durant un breu període de temps, la sanció més elevada imposada a Espanya per infringir el RGPD. I és que, l’arribada del nou any va portar amb si una nova sanció rècord per infracció del RGPD, la multa de 6 milions d’euros imposada per l’AEPD a l’entitat CaixaBank.

Encara que aquestes dues sancions hagin estat sancions rècord a Espanya, volem remarcar que a escala europea no ho són, perquè com podreu observar ostenten la dotzena i tretzena posició en el rànquing europeu de sancions per infringir el RGPD que avui us portem.

 

Recordem que el RGPD estableix que l’import màxim de les sancions serà:

Per a les infraccions relacionades amb l’incompliment dels actors implicats (responsable i encarregat del tractament, organismes de certificació o autoritat de control), la major de les següents quantitats:

– 10 milions d’euros; o
– 2% del volum de negoci total anual global de l’exercici financer anterior.

Per a les infraccions relacionades amb la vulneració de principis bàsics del tractament, dels drets dels interessats, transferències transfrontereres il·legals o incompliment de limitacions al tractament, la major de les següents quantitats:

– 20 milions d’euros; o
– 4% del volum de negoci total anual global de l’exercici financer anterior.

A continuació, el rànquing de multes per infringir el RGPD:

EMPRESA SANCIÓ ÒRGAN SANCIONADOR MOTIU DE LA SANCIÓ MÉS INFO
1º Google LLC 50 milions d’euros

FRANÇA,

Comissió Nacional d’Informàtica i Llibertats (CNIL)

Ø  Infracció de les obligacions de transparència i informació (Informació inadequada).

Ø  Falta de consentiment vàlid quant a la personalització d’anuncis.

Ø  Falta de legitimació per al tractament de dades amb finalitats de personalització d’anuncis

https://n9.cl/xb82m

 
2º  H&M –  Hennes & Mauritz Online Shop A.B. & Co KG. 35,2 milions d’euros

ALEMANYA,

Comissionat d’Hamburg per a la Protecció de Dades i Llibertat d’Informació (HmbBfDI)

 Ø  Gravar i recopilar excessiva informació personal dels seus empleats per a generar perfils sobre aquests que facilitessin la presa de decisions dels supervisors.

Ø  Un error de configuració va provocar que aquesta informació fos accessible per a tota l’empresa.

https://n9.cl/qualgest

 
3º TIM SpA

27,8 milions d’euros

 

ITALIA,

Garant per la Protecció de Dades Personals (GPDP)

Ø  Realitzar crides promocionals sense el consentiment dels destinataris.

Ø  Dolenta gestió de les llistes d’exclusió.

Ø  Tractament il·lícit de dades personals per a fins comercials.

Ø  Gestió inadequada de les bretxes de seguretat

https://n9.cl/51j1m

 
4º British Airways 22 milions d’euros

REINO UNIDO,

Oficina del Comissionat d’Informació (ICO)

Ø  Una brecha de seguridad expuso los datos personales de más de 400 mil clientes

Ø  Mesures de seguretat inadequades.

Ø  Gestió inadequada de les bretxes de seguretat.

Ø  Una bretxa de seguretat va exposar les dades personals de més de 400 mil clients.

 https://n9.cl/own7e
5º Marriot International 20,4 milions d’euros

REINO UNIDO,

Oficina del Comissionat d’Informació (ICO)

Ø  Incompliment del principi de protecció de dades des del disseny i per defecte.

Ø  Mesures de seguretat inadequades.

Ø  Gestió inadequada de les bretxes de seguretat.

Ø  Marriot no va detectar una bretxa de seguretat que feia temps afectava els registres d’hostes de tot el món.

 https://n9.cl/6rquv
6º Wind Tre SpA 16,7 milions d’euros

ITALIA,

Garant per la Protecció de Dades Personals (GPDP)

Ø  Realitzar activitats promocionals sense el consentiment dels destinataris.

Ø  Procés inadequat per a l’exercici de drets per part dels interessats.

Ø  Infracció de les obligacions d’informació.

Ø  Realitzar cessions il·legals de dades personals

 https://n9.cl/78dg
7º Deutsche Wohnen SE 14,5 milions d’euros

ALEMANYA,

Comissionat de Berlín per  la Protecció de Dades i Llibertat d’Informació (Berliner-BfDI)

Ø  Inexistència d’una política de terminis de conservació.

Ø  Base de dades que no que no permet eliminar dades que ja no siguin necessaris.

Ø  Incompliment del principi de protecció de dades des del disseny i per defecte

https://n9.cl/nhcgn

 
8º Vodafone Italia SpA 12,2 milions d’euros

ITALIA,

Garant per la Protecció de Dades Personals (GPDP)

Ø  Realitzar activitats promocionals sense el consentiment dels destinataris.

Ø  Adquisició de bases de dades sense el consentiment dels interessats.

Ø  Tractament il·lícit de dades personals per a fins comercials.

Ø  Incompliment del principi de protecció de dades des del disseny i per defecte.

Ø  Gestió inadequada de les bretxes de seguretat.

Ø  No atendre les sol·licituds d’exercici de drets dels interessats

 https://n9.cl/254fb
9º notebooks-billinger.de 10,4 milions d’euros

ALEMANYA,

Comissionat de Baixa Saxònia per  la Protecció de Dades i Llibertat d’Informació (Niedersachsen -BfDI)

Ø  Tractament de dades il·lícit.

Ø  Utilitzar sistemes de vídeo vigilància per a monitorar als empleats sense justificació legal i de manera desproporcionada

 https://n9.cl/23x0m
10º Grindr 9,6 milions d’euros

NORUEGA,

Autoritat Noruega de Protecció de Dades (Datatilsynet o NDPA)

Ø  Infracció de les obligacions de transparència i informació.

Ø  Tractament de dades il·lícit per falta de consentiment vàlid dels interessats.

Ø  Realitzar cessions il·legals de dades personals a tercer

 https://n9.cl/1jud2
11º Eni Gas e Luce SpA 8,5 milions d’euros

ITALIA,

Garant per la Protecció de Dades Personals (GPDP)

Ø  Realitzar activitats promocionals sense el consentiment dels destinataris.

Ø  Incompliment del principi de protecció de dades des del disseny i per defecte.

Ø  Política de terminis de conservació inadequada

 https://n9.cl/aq75l
12º CaixaBank 6 milions d’euros

ESPANYA

Agencia Española de Protecció de Dades (AEPD)

Ø  Infracció de les obligacions de transparència i informació.

Ø  Tractament de dades il·lícit per falta de consentiment vàlid dels interessats.

Ø  Procés inadequat per a l’exercici de drets per part dels interessats.

Ø  Realitzar cessions il·legals de dades personals a tercer

PS: 00477-2019

 
13º BBVA 5 milions d’euros

ESPANYA

Agencia Española de Protecció de Dades (AEPD)

Ø  Infracció de les obligacions de transparència i informació.

Ø  Tractament de dades il·lícit per falta de consentiment vàlid dels interessats. 

 PS: 0070-2019

 

Si t’ha agradat aquesta entrada, pots consultar entrades anteriors en el nostre Blog o seguir-nos a LinkedIn,  Facebook oTwitter per estar sempre assabentat de les últimes novetats en matèria de protecció de dades personals.

Si necessites assessorament en matèria de protecció de dades contacta amb nosaltres i t’oferirem una solució a mesura perquè compleixis amb totes les obligacions exigides en la normativa de protecció de dades.

Entradas relacionades: 

Riscos i avantatges de registrar-se amb un compte de Facebook, Google o Twitter

· · Deixa un comentari

Avui dia existeixen pàgines web, aplicacions, fòrums i altres plataformes que permeten als usuaris registrar-se utilitzant el seu compte de Google, Facebook o Twitter, entre altres. Els usuaris que opten per aquesta via de registre s’estalvien haver de recordar un nou nom d’usuari i contrasenya. Però, com funciona aquest procés d’autenticació?, és segur?, existeix algun risc per al teu compte de Google, Facebook o Twitter?.

OAuth (Open standard for authorization – Estàndard obert d’autorització)

L’opció de registre mitjançant el procés OAuth és aquella en la qual no has de crear un nou usuari i contrasenya, sinó que utilitzes el teu nom d’usuari de Facebook, Google o una altra plataforma per a registrar-te en una pàgina web, aplicació o servei.  Aquest procés funciona de la següent forma:

Quan ens registrem en una plataforma a través d’un compte de Google, Facebook, Twitter o Apple, el que estem fent és demanar a una d’aquestes plataformes que avali la nostra identitat davant el prestador del servei al qual volem accedir (la pàgina web o aplicació en qüestió). A més de validar la nostra identitat, aquestes plataformes també comparteixen una certa informació de l’usuari amb el prestador del servei. 

És segur registrar-se en una pàgina web o app mitjançant el procés OAuth?, existeix algun risc per al teu compte de Facebook, Google o Twitter?

Si utilitzes l’opció de registre a través d’un compte de Facebook, Google o Twitter, el procés d’autenticació OAuth garanteix que determinada informació del teu perfil no es comparteixi amb la web o aplicació en la qual t’estàs registrant.

No obstant això, convé tenir present que la pàgina web o aplicació en qüestió podrà accedir a una certa informació pública del teu perfil de la xarxa social o plataforma que utilitzis per a realitzar el registre (Google, Facebook, Twitter…), però en cap cas tindrà accés a la totalitat de la teva informació ni a la teva contrasenya. Aquestes dades que Facebook, Google, Twitter i etc. poden arribar a compartir amb la pàgina web o aplicació serien:

  • Perfil públic de l’usuari
  • Correu electrònic de l’usuari
  • Telèfon de l’usuari
  • Contactes de l’usuari
  • Visites i activitat de l’usuari
  • Capacitat de l’usuari per a realitzar publicacions en el seu mur o perfil.

Com veiem, utilitzar el procés d’autenticació OAuth implica que algunes de les teves dades personals es comparteixin entre la plataforma que utilitzes per a registrar-te i la pàgina web o aplicació en la qual t’estàs registrant. Per a evitar que es comparteixi part d’aquesta informació has de configurar les opcions de seguretat i privacitat de la plataforma que utilitzes per a autenticar la teva identitat (Facebook, Google, Twitter…).

Deixant d’un costat les dades personals que poden compartir-se per defecte quan utilitzes el procés d’autenticació OAuth, hem de destacar que les plataformes com Facebook, Google i Twitter disposen de majors mesures de seguretat i privacitat que una pàgina web o aplicació mitjana. I és que aquestes grans empreses tecnològiques dediquen una gran quantitat de recursos per a protegir les seves dades i, per tant, els dels seus usuaris, de possibles ciberatacs o bretxes de seguretat.

Per tant, si configures correctament les opcions de seguretat i privacitat de la plataforma principal (Google, Facebook, Twitter…) són més els avantatges que els inconvenients d’utilitzar el procés d’autenticació OAuth.

Avantatges:

Major seguretat del teu compte: Ja que aquestes plataformes permeten utilitzar el sistema de verificació en dos passos i, com s’ha comentat, inverteixen una gran quantitat de recursos a desenvolupar i aplicar mesures de seguretat cada vegada majors.

Major  control del teu compte: Podràs revocar l’autenticació amb Google, Facebook o Twitter en qualsevol moment, des del seu panell de configuració, per a tancar definitivament el compte en la pàgina web o app.

Major privacitat: La plataforma principal (Facebook, Google, Twitter i etc.) compartirà una certa informació pública del teu perfil amb la pàgina web o aplicació. Però, no compartirà determinada informació o dades personals com per exemple la teva informació bancària o contrasenya. Per tant, si «hackegen» la pàgina web o aplicació no aconseguirien les teves dades bancàries ni la teva contrasenya de la plataforma principal ja que aquesta informació s’emmagatzema en el servidor de la plataforma principal i no en el de la pàgina web o aplicació en qüestió. 

Desavantatges:

Depens d’un sol compte: Si et “hackegen” el compte de la plataforma principal podran accedir a tots els comptes en les quals t’hagis registrat amb aquesta plataforma. Per això, és molt recomanable que el compte de la plataforma principal tingui una contrasenya robusta i activat el sistema de verificació en dos passos.

Comparteixes certa informació personal: La pàgina web o app en la qual t’hagis registrat podrà accedir a determinades dades públiques del teu perfil de la plataforma principal. Encara que, tal com dèiem unes línies més a dalt, pots configurar les opcions de seguretat i privacitat de la plataforma principal per a limitar la informació que es comparteix amb les pàgines web o apps en les quals et registris.

 

Si t’ha agradat aquest article, no oblidis seguir-nos a LinkedIn, Facebook o Twitter per a estar sempre al dia amb les nostres publicacions. 

Si necessites assessorament en matèria de protecció de dades, des de Qualgest podem ajudar-te. Contacta amb nosaltres i t’oferirem una solució a mesura perquè compleixis amb totes les obligacions exigides en la normativa de protecció de dades.

 

Entrades relacionades:

Adapta la teva empresa a la Protecció de Dades Compleix amb la normativa