Qualgest

Empresa Especializada en Protección de Datos

Transparència

Sanció de 310 milions d’euros a LinkedIn Irlanda amb per vulnerar el RGPD; rànquing de sancions actualitzat

· · Deixa un comentari

La DPC ha sancionado a LikedIn Irlanda por vulnerar el RGPD ranking de sanciones actualizado 1

Recentment, la DPC ha anunciat la seva decisió final sobre una investigació contra LinkedIn Ireland Unlimited Company. El resultat és que la DPC ha sancionat LinkedIn Irlanda amb 310 milions d’euros per vulnerar el RGPD.

La Comissió de Protecció de Dades d’Irlanda (DPC, per les seves sigles en anglès) és l’autoritat independent responsable de supervisar i garantir la protecció de les dades personals i el compliment del Reglament Europeu de Protecció de Dades (RGPD) a Irlanda. A Espanya, l’autoritat equivalent a la DPC és l’Agència Espanyola de Protecció de Dades (AEPD).

Aquesta investigació va començar el 2018, després d’una denúncia presentada davant l’Autoritat de Protecció de Dades de França per part de l’organització francesa La Quadrature Du Net. Aquest cas va ser traspassat a la DPC a causa del seu paper com a autoritat principal supervisora de LinkedIn a Europa, ja que la xarxa social té la seva seu a Irlanda.

El focus de la investigació es va centrar en com LinkedIn processava les dades personals dels usuaris per a fins d’anàlisi de comportament i publicitat dirigida. Això incloïa tant les dades proporcionades directament pels usuaris com les obtingudes a través de socis externs.

La DPC va determinar que LinkedIn havia vulnerat el RGPD en processar aquestes dades de manera il·legal, ja que no podia justificar aquestes pràctiques en cap de les bases legals exigides:

  • Consentiment de l’usuari: El consentiment obtingut per LinkedIn no va ser atorgat de manera lliure, prou informada, específica ni inequívoca
  • Interès legítim: Els drets i llibertats fonamentals dels usuaris prevalen sobre l’interès legítim al·legat per LinkedIn
  • Necessitat contractual: LinkedIn no va aconseguir justificar que el tractament d’aquestes dades personals fos necessari per complir un contracte, especialment pel que fa als fins d’anàlisi i publicitat

A més, LinkedIn va incomplir les obligacions de transparència del RGPD perquè no va informar clarament els usuaris sobre les bases legals que recolzaven el seu ús de dades. Segons la DPC, aquestes pràctiques eren potencialment enganyoses, inesperades i fins i tot perjudicials per als usuaris, infringint el principi d’equitat del RGPD. I, per això, li va imposar:

  • Una amonestació oficial per les seves pràctiques de tractament de dades
  • Una ordre per ajustar el seu processament de dades i alinear-lo amb el RGPD
  • Una multa de 310 milions d’euros, una de les més altes imposades per incompliment del RGPD fins a la data

Amb aquesta decisió, la DPC reforça la necessitat que les empreses actuïn amb transparència i respectin els drets fonamentals dels usuaris en manejar les seves dades personals.

Rànquing de sancions actualitzat

Han transcorregut una mica més de dos anys des que vam publicar el nostre primer rànquing sobre sancions per incomplir el RGPD, i des d’aleshores, els imports de les sancions imposades han continuat assolint xifres rècord.  Si repassem aquest rànquing de finals de 2020, veurem que la sanció més alta era la de 50 milions d’euros imposada per la Comissió Nacional d’Informàtica i Llibertats de França (CNIL) a Google. 

En la versió actualitzada del nostre rànquing, aquesta sanció ha desaparegut del top 5. Aquest augment en els imports de les multes es deu al fet que el RGPD permet calcular les sancions en funció del volum de negoci total anual global de l’últim exercici financer de l’empresa infractora. 

En concret, el RGPD estableix el següent: 

  • Infraccions greus: se sancionen amb una multa de fins a 10 milions d’euros o amb el 2% del volum de facturació anual global de l’empresa, depenent de quin dels dos imports sigui més alt.
  • Infraccions molt greus: se sancionen amb una multa de fins a 20 milions d’euros o amb el 4% del volum de facturació anual global de l’empresa, depenent de quin dels dos imports sigui més alt.

D’aquesta manera, les empreses amb més ingressos estan subjectes a sancions proporcionalment més altes, cosa que incrementa considerablement l’impacte de les multes.  

Ara sí, us deixem el rànquing de sancions actualitzat…

1. Meta (Facebook) – 1.2 mil milions d’euros

2. Amazon – 746 milions d’euros

3. LinkedIn – 310 milions d’euros

4. WhatsApp – 225 milions d’euros

5. Google – 150 milions d’euros

  • Autoritat de control: Comissió Nacional d’Informàtica i Llibertats de França (CNIL).
  • Motius: Al desembre de 2021, Google va ser multada per dificultar als usuaris el procés de rebuig de cookies als seus llocs web, violant la llei de protecció de dades
  • Nota informativa: https://www.cnil.fr/en/closure-injunction-issued-against-google

Si necessites assessorament en matèria de protecció de dades, des de Qualgest podem ajudar-te. Contacta amb nosaltres i t’oferirem una solució a mida perquè compleixis amb totes les obligacions exigides en la normativa de protecció de dades.

La DPC ha iniciat investigacions contra Google pel seu model d’IA

· · Deixa un comentari

La DPC ha iniciado investigaciones contra Google por incumplir el RGPD su modelo de IA 1 3

La Comissió de Protecció de Dades d’Irlanda (DPC, per les seves sigles en anglès) és l’autoritat independent responsable de supervisar i garantir la protecció de les dades personals i el compliment del Reglament Europeu de Protecció de Dades (RGPD) a Irlanda. A Espanya, l’autoritat equivalent a la DPC és l’Agència Espanyola de Protecció de Dades (AEPD).  

La DPC ha iniciat investigacions contra Google Ireland Limited pel seu model d’IA.

La DPC pretén esbrinar si Google va complir amb la normativa europea sobre protecció de dades personals (el RGPD) durant el desenvolupament del seu model d’intel·ligència artificial Pathways Language Model 2(PaLM 2)

La investigació pretén respondre una qüestió clau: ¿va dur a terme Google una avaluació adequada dels riscos abans de processar dades personals de ciutadans de la Unió Europea (UE) i de l’Espai Econòmic Europeu (EEE) en l’entrenament de PaLM 2?

L’article 35 del RGPD exigeix la realització d’una Avaluació d’Impacte en la Protecció de Dades (AIPD) abans de dur a terme tractaments de dades personals considerats d’alt risc, com succeeix en desenvolupar tecnologies avançades com a models d’IA. Aquesta avaluació té com a objectiu identificar els possibles riscos per als drets i llibertats de les persones, garantir que els tractaments siguin necessaris i proporcionats, i establir mesures de protecció que redueixin aquests riscos. 

La DPC qüestiona si Google va realitzar aquesta avaluació de manera adequada abans d’embarcar-se en un projecte tan ambiciós com el desenvolupament de PaLM 2. L’aspecte significatiu d’aquesta investigació no només radica en posar sota escrutini Google, sinó també en subratllar un esforç conjunt de la DPC i altres reguladors europeus per vigilar com les grans empreses tecnològiques gestionen les dades personals en l’àmbit de la intel·ligència artificial. 

En un món on la innovació tecnològica sembla avançar més ràpidament que les lleis, iniciatives com aquesta reflecteixen el compromís de les autoritats per equilibrar el desenvolupament tecnològic amb la protecció dels drets fonamentals.

Aquestes accions pretenen garantir que els gegants tecnològics no només impulsin la innovació, sinó que també ho facin respectant la privacitat i els drets de les persones.

Últimes novetats sobre la intel·ligència artificial al món

Abans d’acomiadar-nos, volem compartir amb tu alguns dels esdeveniments més rellevants sobre IA que han tingut lloc els últims mesos.

Europa marca un punt d’inflexió amb la signatura del primer acord global sobre intel·ligència artificial

La Unió Europea ha fet un pas històric en signar el Conveni Marc del Consell d’Europa sobre Intel·ligència Artificial, el primer acord internacional jurídicament vinculant en aquesta matèria. Aquest conveni, signat a Vilnius (Lituània), estableix un enfocament comú per garantir que els sistemes d’IA respectin els drets humans, la democràcia i l’estat de dret, alhora que permet la innovació i la confiança. 

El conveni recull principis clau de la Llei d’IA de la UE, com l’enfocament basat en el risc, la transparència, la gestió de riscos i estrictes obligacions per als sistemes d’IA d’alt risc. A més, permet fins i tot la prohibició de tecnologies que amenacin greument els drets fonamentals. 

A la signatura hi van assistir representants de la UE, estats membres del Consell d’Europa i països com els Estats Units, el Japó, el Canadà, Mèxic i l’Argentina, així com organitzacions de la societat civil, l’acadèmia i la indústria, garantint una perspectiva global. Aquest assoliment consolida el lideratge europeu en el debat internacional sobre IA, amb esforços paral·lels en fòrums com el G-7, l’OCDE i les Nacions Unides. 

Ara, el Conveni serà integrat a la normativa europea a través de la Llei d’IA, pendent d’aprovació pel Consell i el Parlament Europeu. Amb aquest avenç, Europa reafirma el seu compromís amb una intel·ligència artificial segura, ètica i al servei de les persones.

L’OCDE publica un document de polítiques sobre IA en finances

El 5 de setembre de 2024, l’Organització per a la Cooperació i el Desenvolupament Econòmics (OCDE) va anunciar la publicació d’un document de polítiques sobre els enfocaments reguladors envers la intel·ligència artificial en l’àmbit financer. 

Aquest document, entre altres coses, examina diversos enfocaments reguladors relacionats amb l’ús de la IA en finances a 49 jurisdiccions, abastant tant països membres com no membres de l’OCDE. Tot i que la majoria d’aquestes jurisdiccions compten amb regulacions generals aplicables a activitats financeres, independentment de la tecnologia utilitzada, moltes no disposen de normatives específiques per a la IA. Només una minoria de reguladors ha desenvolupat directrius específiques sobre IA, i la majoria no té previst implementar noves regulacions a curt termini. 

El document també identifica àrees clau de risc, com la ciberseguretat, la manipulació del mercat i els biaixos, destacant les preocupacions sobre la vulnerabilitat de la IA a ciberatacs, incloent-hi atacs contra adversaris i la creació de deep fakes, que podrien facilitar el robatori d’identitat o el frau.

La Xina llança un marc de governança de seguretat per a la IA

El Comitè Tècnic Nacional de Normalització de Seguretat de la Informació de la Xina (TC260) va presentar, el 9 de setembre de 2024, el Marc de Governança de Seguretat de la intel·ligència artificial, dissenyat per guiar el desenvolupament i la implementació segura de la IA al país. 

Aquest marc promou un enfocament centrat en les persones, la innovació i la inclusivitat, alhora que aborda la identificació i mitigació de riscos associats amb la IA. Entre les seves propostes destaquen: 

  • Actualitzacions constants de les mesures de control
  • Classificació dels riscos de seguretat de la IA
  • Suggeriments de mesures tecnològiques i de governança per garantir la seguretat de les dades
  • Estratègies per mitigar riscos i garantir el compliment normatiu en fluxos transfronterers de dades

A més, el document estableix directrius de seguretat per a tots els actors involucrats en la IA i detalla un sistema per al seu desenvolupament i aplicació responsable, assegurant que l’ús de la IA sigui segur, ètic i beneficiós per a tothom.

La intel·ligència artificial continua evolucionant a passos de gegant, i aquests avenços reguladors reflecteixen el compromís global per aprofitar-ne el potencial mentre se’n mitiguen els riscos.

Si necessites assessorament en matèria de protecció de dades, des de Qualgest podem ajudar-te. Contacta amb nosaltres i t’oferirem una solució a mida perquè compleixis amb totes les obligacions exigides en la normativa de protecció de dades.

Guia de Cookies 2023: Com configurar les cookies del teu lloc web per complir amb la normativa a Espanya

· · Deixa un comentari

Guia de Cookies 2023

El passat mes de juliol de 2023, l’Agència Espanyola de Protecció de Dades (AEPD) va publicar una nova versió de la seva Guia sobre l’ús de cookies (d’ara endavant, la Guia de Cookies 2023) en la qual s’inclouen nous criteris sobre l’ús de cookies que hauran de ser implementats, com a molt tard, el 11 de gener de 2024 per evitar possibles sancions.

En aquesta entrada repassarem el més important de la Guia de Cookies 2023. Però abans tingues en compte que, a causa de la complexitat del tema, és aconsellable que contactis amb un expert, com nosaltres, perquè puguis rebre ajuda personalitzada, aplicar mesures que s’ajustin a les necessitats del teu negoci i et permetin complir amb totes les obligacions legals sobre l’ús de cookies. 

¿Què són les cookies?

Les cookies són dispositius d’emmagatzematge i recuperació de dades que s’instal·len al teu terminal quan navegues. Les seves funcions poden ser molt diverses, per exemple, reconèixer-te com a usuari, desar les teves preferències de navegació (idioma, moneda, etc.), personalitzar la manera com veus el contingut i emmagatzemar els teus hàbits de navegació, entre altres. Hi ha tecnologies similars a les cookies, com els web beacons, els bugs i els píxels, entre d’altres, que també permeten emmagatzemar i recuperar determinada informació. A partir d’ara, quan parlem de cookies, ens estarem referint tant a les cookies en sí com a aquestes altres tecnologies similars.

Tipus de cookies

Les cookies es poden classificar de moltes formes; no existeix una llista tancada com a tal. A continuació, et detallem les categories de cookies més habituals.

Segons l’entitat que les gestioni:

  • Cookies pròpies
  • Cookies de tercers 

Segons la seva finalitat:

  • Cookies tècniques
  • Cookies de preferències o personalització
  • Cookies d’anàlisis
  • Cookies de publicitat comportamental

Segons el termini de temps que romanen activades

  • Cookies de sessió
  • Cookies persistents

Obligacions sobre l’ús de cookies

La Guia de Cookies 2023 ens recorda que, pel que fa a l’ús de cookies, la llei estableix dues obligacions principals: d’una banda, l’obligació de transparència i, de l’altra, l’obligació d’obtenir el consentiment de l’usuari abans d’utilitzar-les. Això significa que, en sol·licitar el consentiment dels usuaris pel tractament de les seves dades mitjançant cookies, s’ha de proporcionar informació clara i prou completa per permetre que els usuaris entenguin les finalitats i l’ús que se li donarà a les cookies i a la informació que aquestes recopilen.

Tot i així, segons es menciona a la Guia de Cookies 2023, estan exemptes d’aquestes obligacions aquelles cookies que es facin servir per a alguna de les següents finalitats:

  • Permetre únicament la comunicació entre l’equip de l’usuari i la xarxa.
  • Permetre prestar un servei que hagi estat sol·licitat expressament per l’usuari, sempre que siguin estrictament necessàries per a això.

Aquí us deixem diversos exemples de tipus de cookies que, per la seva finalitat, podrien considerar-se com a cookies exemptes:

  • Cookies d’entrada de l’usuari.
  • Cookies d’autenticació o identificació d’usuari (només les de sessió).
  • Cookies de seguretat de l’usuari.
  • Cookies de sessió de reproductor multimèdia.
  • Cookies de sessió per equilibrar la càrrega.
  • Cookies de personalització de la interfície d’usuari.

Algunes cookies de connector (plug-in) per intercanviar continguts socials (només si l’usuari ha decidit mantenir la sessió oberta).

Encara que només utilitzis cookies exemptes, el més recomanable, per raons de transparència, és informar als usuaris sobre l’ús de cookies exemptes, tant al bàner de cookies com a la política de cookies. Doneu una ullada a l’exemple següent per entendre-ho millor:

Capa 1 banner tecniques

Aspectes clau per complir amb l’obligació de transparència

Com ja hem mencionat anteriorment, has d’informar els usuaris sobre l’ús de cookies no exemptes d’una manera clara, transparent, intel·ligible i completa. A més, has de vetllar perquè la informació sigui d’accés fàcil, això significa que l’usuari no ha de buscar la informació, sinó que ha de ser evident per a ell on i com accedir-hi (que no es trobi a més de dos clics, com recomana el GT29 en les seves directrius sobre la transparència).

Per complir amb l’obligació anterior, es recomana presentar la informació per capes, ja que d’aquesta manera s’evita la fatiga informativa de l’usuari, permetent-li consultar directament aquells aspectes que li siguin de major interès. A continuació, et detallem com podries repartir la informació en dues capes.

En la primera capa (per exemple, al bàner de cookies):

  • El nom de la teva empresa o marca (quan sigui evident no serà necessari incloure’l);
  • Les finalitats de les cookies que s’utilitzen, indicant quines cookies són pròpies i quines són de tercers;
  • Si s’elaboraran perfils dels usuaris, el tipus de dades que es recopilaran i utilitzaran;
  • La manera en què l’usuari pot acceptar, configurar i rebutjar la utilització de cookies;
  • Un enllaç clarament visible que dirigeixi a una segona capa informativa on s’inclourà informació més detallada.

En la segona capa (per exemple, en la política de cookies) hauries d’incloure tota la informació sobre l’ús de cookies, ja que en aquest cas seria l’última capa.

  • Definició i funció genèrica de les cookies.
  • Informació sobre el tipus de cookies que s’utilitzen i la seva finalitat.
  • Identificació de qui fa servir les cookies.
  • Informació sobre la manera d’acceptar, denegar o revocar el consentiment per a l’ús de cookies.
  • Informació sobre les transferències de dades a països tercers, en cas que es realitzin.
  • Informació sobre l’elaboració de perfils i decisions automatitzades.
  • Període de conservació de les dades per als diferents fins.

Aspectes clau per complir amb l’obligació d’obtenció del consentiment

Els usuaris han de donar el seu consentiment per a l’ús de cookies de manera lliure i informada perquè el seu consentiment sigui considerat vàlid. Per això és important assegurar-se, entre altres coses, que l’usuari sigui conscient que està atorgant el seu consentiment i de què està consentint.

La Guia de Cookies 2023 insisteix que quan l’usuari decideix continuar navegant al lloc web, aplicació o plataforma sense acceptar, configurar o rebutjar les cookies, no es pot donar per fet que l’usuari ha acceptat l’ús de cookies.

També és important que la informació que proporcionis a l’usuari perquè pugui consentir l’ús de cookies no es barregi amb informació sobre altres assumptes, ha d’anar per separat. L’acceptació de les cookies també ha d’anar per separat, no és vàlid que en una mateixa acció l’usuari accepti l’ús de cookies i els termes i condicions d’ús, per posar un exemple.

Important:

  • No es pot donar la impressió a l’usuari que ha d’acceptar obligatòriament les cookies per navegar pel lloc web.
  • No es pot pressionar clarament l’usuari perquè accepti les cookies.
  • El color o contrast del text dels botons no pot conduir a un consentiment involuntari.
  • L’opció per rebutjar les cookies ha d’aparèixer a la mateixa capa i al mateix nivell que l’opció per acceptar-les. El mecanisme utilitzat per rebutjar les cookies (botó o altre) ha de ser similar al que es faci servir per acceptar-les.

Actualització i retirada del consentiment

Pots desar les preferències de consentiment d’un usuari per evitar que cada vegada que torni a visitar el teu lloc web, aplicació o plataforma hagi de configurar les cookies de nou. No obstant això, l’AEPD recomana a la seva Guia de Cookies 2023 que el consentiment atorgat per un usuari per a una determinada cookies s’actualitzi com a màxim cada 24 mesos.

D’altra banda, has de tenir en compte que els usuaris han de poder retirar el consentiment en qualsevol moment amb la mateixa facilitat amb la qual van acceptar l’ús de cookies. És important que a la política de cookies informis els usuaris sobre com poden retirar el seu consentiment i eliminar les cookies.Una solució senzilla per complir amb l’obligació anterior seria permetre als usuaris que puguin accedir en qualsevol moment al bàner de cookies per poder acceptar més cookies o retirar el seu consentiment sobre aquelles acceptades prèviament

Principals errors en configurar un bàner de cookies

A continuació, podràs veure un exemple d’un bàner de cookies que incompleix les obligacions i recomanacions recollides a la Guia de Cookies 2023.

Primera capa

Capa 1 banner incorrecte

Errors:

  • La informació no s’està presentant de manera clara i, a més a més, fa l’efecte que obligatòriament s’han d’acceptar les cookies.
  • El color del text dels botons pot induir a un consentiment involuntari. Addicionalment, el text del botó «configurar» hauria d’estar en un color que ressalti més i faciliti la seva lectura.
  • No hi ha un botó que permeti rebutjar les cookies. Aquest botó ha d’estar al mateix nivell que el botó d’acceptar.

Segona capa

Capa 2 banner incorrecte

Errors:

  • Manca afegir informació sobre les cookies que s’utilitzen. També falta un enllaç que dirigeixi a algun apartat amb més informació sobre l’ús de cookies o directament a la Política de Cookies.
  • El color del text dels botons pot induir a un consentiment involuntari. A més, el text del botó «desar preferències» hauria d’estar en un color que ressalti més i faciliti la seva lectura.
  • Les cookies no exceptuades (les d’anàlisi o mesura i les de publicitat comportamental) apareixen preacceptades.
  • No hi ha un botó que permeti rebutjar totes les cookies de cop. Aquest botó ha d’estar al mateix nivell que el botó d’acceptar.

Com configurar un bàner de cookies

A continuació, podràs veure un exemple d’una notificació de cookies amb dues capes informatives que ha estat configurada seguint les directrius establertes a la Guia de Cookies 2023.

Primera capa

Capa 1 banner tercers

Segona capa

Capa 2 banner tercers

I fins aquí arriba la nostra entrada d’avui. Esperem que t’hagi resultat útil i recorda que el més aconsellable és buscar l’assessorament d’un expert en aquest tema si vols evitar possibles sancions. Nosaltres (Qualgest) podem ser l’expert que t’ajudi a detectar i classificar les cookies que utilitzes, a configurar correctament un bàner de cookies i a redactar una política de cookies, entre altres coses.

ENTRADES RELACIONADES:

Guia de cookies 2020: Com haig de configurar les cookies del meu web per evitar ser sancionat?

PARAULES CLAU: Guia de Cookies 2023, Protecció de Dades, Ús de cookies, Configuració de cookies, Obligacions sobre cookies, Transparència, Consentiment, RGPD, LOPDGDD, LSSI.

Adapta la teva empresa a la Protecció de Dades Compleix amb la normativa