Qualgest

Empresa Especializada en Protección de Datos

protección de datos empresas

Multa récord a Vodafone por infringir el RGPD

· · Dejar un comentario

Esta semana os traemos una nueva multa récord por infringir el RGPD. La Agencia Española de Protección de Datos (AEPD) ha sancionado a la entidad Vodafone España SAU con 8,1 millones de euros por infringir con sus acciones de mercadotecnia lo establecido en el Reglamento General de Protección de Datos (RGPD), la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSICE) y la Ley General de Telecomunicaciones (LGT).

Recordemos que, hasta el momento, la multa más elevada impuesta en España por infringir el RGPD era la multa de 6M de euros impuesta a Caixabank, sobre la que hablábamos el pasado mes de enero en otra de nuestras entradas.

Origen de la sanción y actuaciones de investigación

Entre el segundo trimestre del 2018 y el mes de febrero de 2020 la AEPD recibió hasta 191 reclamaciones contra la entidad Vodafone España SAU (en adelante, Vodafone).  En estas reclamaciones se denunciaba que las acciones de mercadotecnia y prospección comercial llevadas a cabo por Vodafone se estaban realizando:

– Sin haber sido solicitadas o expresamente autorizadas por el interesado.

– Sin facilitar la posibilidad de ejercer el derecho de oposición.

– Sin respetar el derecho de oposición ejercido por los interesados incluidos en el listado Robinson.

– En algunos casos, mediante terceros y sin ofrecer a los interesados los medios necesarios, suficientes y apropiados que le garanticen la protección de sus derechos y libertades.

El 26 de febrero de 2019 la AEPD inició las actuaciones de investigación con el objetivo de determinar si las acciones de mercadotecnia que estaba llevando a cabo Vodafone podían ser contrarias a lo establecido en la normativa de protección de datos (RGPD, LOPDGGD), la LGT y la LSSICE. Para ello, se centraron en dar respuesta a las siguientes cuestiones:

– ¿Cuál es el origen de los datos tratados?

– ¿Cuál es el tratamiento posterior de estos datos y cuál es la relación con los encargados del tratamiento?

– ¿Se realiza una comprobación previa de las listas de exclusión publicitarias internas o generales (listado Robinson interno y Genera de Adigital)?

– ¿Cómo se gestionan los derechos de oposición y supresión de los interesados?

– ¿Cuáles son las medidas técnicas y organizativas implementadas? ¿Cuál es su grado de cumplimiento?

Inicio del procedimiento sancionador

Una vez finalizadas las actuaciones de investigación, en fecha 26 de febrero de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra Vodafone por la presunta infracción del artículo 28 del RGPD en relación con el artículo 24 del mismo texto legal, por la presunta infracción del artículo 21 de la LSSSICE y por la presunta infracción del artículo 48.1.b) de la LGT. Esto es:

  • Por no cumplir con las obligaciones que le son exigibles por su condición de responsable de los tratamientos llevados a cabo en su nombre (Art. 24 y 28 del RGPD).
  • Por enviar comunicaciones publicitarias o promocionales por correo electrónico, SMS u otros medios electrónicos equivalentes, sin haber sido solicitadas o expresamente autorizadas por los destinatarios (Art. 21 de la LSSICE).
  • Por no respetar el derecho de oposición, de las personas con las que contacta mediante llama telefónica, a recibir llamadas no deseadas con fines comerciales (Art 48.1.b. de la LGT).

Tras haber dado cauce a todos los trámites oportunos, en fecha 22 de diciembre de 2020, la Directora de la Agencia Española de Protección de Datos formuló propuesta de resolución sancionadora contra Vodafone por:

  • Infracción del artículo 28 del RGPD en relación con el artículo 24 del RGPD tipificada conforme el artículo 83.4 del RGPD con sanción administrativa de cuantía cuatro millones de euros (4.000.000 €).
  • Infracción del artículo 44 del RGPD tipificada conforme el artículo 83.5.c) del RGPD, con sanción administrativa de cuantía dos millones de euros (2.000.000 €).
  • Infracción del artículo 21 de la LSSICE, tipificada como grave en el artículo 38.3.d) y c) de dicha norma con sanción de cuantía ciento cincuenta mil euros (150.000 €)
  • Infracción del artículo 48.1.b) de la LGT, en relación con el artículo 21 del RGPD, tipificada como grave en el artículo 77.37 de la LGT y por infracción del artículo 48.1.b) de la LGT, en relación con el artículo 23 de la LOPDGDD, tipificada como grave en el artículo 77.37 de la LGT, con sanción de dos millones de euros (2.000.000€).

Podemos ver que la propuesta de resolución añade una infracción más a las previstas inicialmente en el acuerdo de inicio del procedimiento sancionador. Concretamente, la infracción del artículo 44 del RGPD por haber realizado transferencias internacionales de datos personales sin las garantías exigidas en el RGPD.

Resolución del procedimiento sancionador y motivo de la sanción

Finalmente, la resolución del procedimiento sancionador (PS-00059/2020) impone a la entidad Vodafone las siguientes sanciones administrativas:

1. IMPONER a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del Artículo 28 del RGPD en relación con el artículo 24 del RGPD, tipificada conforme el artículo 83.4.a) del RGPD con sanción administrativa de cuantía cuatro millones de euros (4.000.000 €).

Motivo de la sanción: No cumplir con las obligaciones que le son exigibles por su condición de responsable de los tratamientos llevados a cabo en su nombre (Art. 24 y 28 del RGPD). Al no haber actuado de forma clara, activa y eficaz en estipular y hacer efectivas las especificaciones oportunas para llevar a cabo adecuadamente en el tiempo el tratamiento encomendado en su nombre y al no haber realizado un seguimiento continuo de los tratamientos encargados y subencargados por otras entidades en su nombre. Todo ello, pese a las numerosas reclamaciones e investigaciones llevadas a cabo por la AEPD de las que Vodafone tenía conocimiento y pese a tratarse de una conducta sancionada previamente en el PS/00290/2018.

2. IMPONER a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por infracción del artículo 44 del RGPD tipificada conforme el artículo 83.5.c) del RGPD, con sanción administrativa de cuantía dos millones de euros (2.000.000 €).

Motivo de la sanción: Realizar una transferencia internacional de datos a un tercer país (Perú) sin aplicar las medidas o garantías adecuadas que exige el RGPD.

3. IMPONER a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por infracción del artículo 21 de la LSSICE, tipificada como grave en el artículo 38.3.d) y c) de dicha norma con sanción de cuantía ciento cincuenta mil euros (150.000 €).

Motivo de la sanción: Realizar comunicaciones comerciales a través de SMS o email sin la autorización expresa de los destinatarios o sin que estos las hayan solicitado, y sin ofrecer a los destinatarios la posibilidad eficaz y comprobada de oponerse al tratamiento. Asismismo, la AEPD remarca que el envío de acciones comerciales a numeraciones y direcciones generadas aleatoriamente impide verificar la existencia de autorización previa y expresa o, en su defecto, la existencia de una relación comercial previa de servicios similares.

4. IMPONER a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por infracción del artículo 48.1.b) de la LGT, en relación con el artículo 21 del RGPD y artículo 23 de la LOPDGDD, tipificada como grave en el artículo 77.37 de la LGT con sanción de cuantía dos millones de euros (2.000.000 €).

Motivo de la sanción: No garantizar el cumplimiento del derecho de oposición a no recibir llamadas comerciales de los usuarios finales con los que contacta. Hecho que constituye una vulneración grave de los derechos de los consumidores y usuarios finales.

5. ORDENAR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, para que, en el plazo de seis meses a contar desde la notificación de la presente Resolución, acredite ante esta AEPD que ha ajustado a lo dispuesto en el RGPD y LOPDGDD todas las operaciones de tratamiento analizados en el presente procedimiento referidos los artículos 17, 21, 24, 28 y 44 a 49 del RGPD y 12, 15, 18, 23, 40 a 43 de la LOPDGDD.

La suma de las anteriores sanciones administrativas asciende hasta los 8,1 millones de euros batiendo así el récord de multa más elevada impuesta en España por infringir el RGPD. No obstante, a nivel europeo, esta multa pierde la condición de récord y se sitúa en la duodécima posición del ranking de multas mas elevadas impuestas por infringir el RGPD.

Si te ha gustado esta entrada, puedes consultar entradas anteriores en nuestro nuestro Blog o seguirnos en LinkedIn, Facebook o Twitter para estar siempre enterado de las novedades en materia de protección de datos personales.

Para saber mas sobre cómo debes solicitar el consentimiento de tus usuarios para el tratamiento de sus datos personales, te recomendamos que leas nuestra entrada sobre ¿Cómo debo configurar las cookies de mi web para no ser sancionado? en la que explicamos como debe solicitarse el consentimiento para que el interesado pueda prestarlo de forma libre e informada y como exponer la información por capas.

Si necesitas asesoramiento en materia de protección de datos, desde Qualgest podemos ayudarte. Contacta con nosotros y te ofreceremos una solución a medida para que cumplas con todas las obligaciones exigidas en la normativa de protección de datos.

    Nuevo decálogo de protección de datos de la APDCAT

    · · Dejar un comentario

    El pasado 28 de enero de 2021, día europeo de la protección de datos, la Autoridad Catalana de Protección de Datos (APDCat) presentó el Decálogo de Protección de Datos.

    El Decálogo de Protección de Datos elaborado por la APDCAT, en conformidad con el Reglamento Europeo de Protección de Datos (RGPD), aborda diferentes temas (derechos del menores de edad, redes sociales, video vigilancia, etc.) desde la perspectiva de la protección de datos, remarcando los riesgos y amenazas asociados y planteando recomendaciones al respecto.

    Contenido del Decálogo de Protección de Datos de la APDCAT:

    1. Menores y protección de datos

    • Derechos de los menores en el RGPD
    • Educación y control parental

    – Acoso a través de internet

    – Aplicaciones de control parental

    • Amenazas a las que se enfrentan los menores

    – Ciberacoso

    – Ciberseducción de menores

    • Documentos de interés

    2. Datos médicos y datos especialmente sensibles

    • ¿Qué son las categorías especiales de datos? ¿Cuándo se pueden tratar?
    • ¿Que son los datos de salud? ¿Hace falta el consentimiento del paciente?
    • Que son las aplicaciones Wellness
    • Documentos de interés

    3. Redes sociales

    • ¿Cuáles son los riesgos de las Redes Sociales?
    • Recomendaciones de privacidad en las Redes sociales
    • Documentos de interés

    4. Inteligencia artificial 

    • ¿Cuáles son los riesgos de la inteligencia artificial?
    • Recomendaciones de privacidad en ver de inteligencia artificial
    • Documentos de interés

    5. Teletrabajo

    • ¿Qué amenazas comporta el teletrabajo?
    • Recomendaciones de privacidad en el teletrabajo
    • Documentos de interés

     6. Internet de las cosas

    • Limitaciones y riesgos del internet de las cosas
    • Caso: Mirai Botner
    • Recomendaciones de privacidad en el internet de las cosas
    • Documentos de interés

    7. Dispositivos móviles

    • Recomendaciones sobre dispositivos móviles
    • Documentos de interés

    8. Consentimientos y derechos de protección de datos

    • Condiciones del consentimiento válido
    • Derechos de los interesados
    • Documentos de interés

    9. Videovigilancia

    • Regulación
    • ¿Qué se puede grabar?
    • Plazo de conservación de las imágenes
    • ¿Quienes pueden acceder a las imágenes?
    • Derecho de información
    • Videoporteros y normativa de protección de datos
    • Videovigilancia al entorno laboral
    • Documentos de interés

    10. Funciones del Delegado/da de Protección de Datos (DPO)

    • ¿Cuándo hay que designar un DPO?
    • Posición del DPO
    • ¿Cuáles son las funciones del DPO?
    • DPO como punto de contacto
    • Consulta DPO

     

    En este enlace puedes consultar el texto íntegro: Decálogo de Protección de Datos

    Para ampliar información te recomendamos que: 

    Consultes los siguientes artículos de nuestro  blog

    Consultes los siguientes artículos y videos elaborados por el Instituto Nacional de Ciberseguridad (INCIBE) :

    Por último, no olvides seguirnos en LinkedIn, Facebook o Twitter. para estar siempre al día sobre las últimas noticias relacionadas con la protección de datos personales.

    Y, si lo que necesitas es asesoramiento en materia de protección de datos contacta con nosotros y te ofreceremos una solución a medida para que cumplas con todas las obligaciones exigidas en la normativa de protección de datos.

    La AEPD impone una multa de 6M de euros a CaixaBank por infringir el RGPD

    · · Dejar un comentario

    Hace unas semanas dedicamos una entrada en nuestro blog a la sanción de 5 millones de euros impuesta por la Agencia Española de Protección de Datos (AEPD) a la entidad BBVA por infringir el RGPD. En dicha entrada destacábamos que se trataba de la sanción de mayor cuantía que hasta el momento había impuesto la AEPD. Esta semana os traemos una nueva sanción que supera dicho récord de 5M de euros, y es que la reciente resolución sancionadora de la AEPD multa con 6M de Euros a la entidad CaixaBank SA por infringir el RGPD. 

    Origen de la sanción

    1ª reclamación

    Durante el mes de enero de 2018 tuvo entrada en la AEPD una reclamación contra la entidad CaixbBank SA formulada por uno de los clientes de la entidad. El reclamante denunciaba que las nuevas condiciones en materia de protección de datos de la citada entidad obligaban a autorizar en bloque la cesión de sus datos personales a la totalidad de empresas del grupo CaixaBank. Y que el mecanismo establecido por la entidad para cancelar dicha cesión requería enviar un escrito a cada una de las empresas del grupo.

    Tras recibir esta reclamación la AEPD inició las denominadas actuaciones previas de investigación con la finalidad de esclarecer los hechos denunciados y determinar si concurrían circunstancias que justificasen la iniciación de un procedimiento sancionador. Durante estas actuaciones previas los servicios de inspección de la AEPD efectuaron hasta dos requerimientos a la entidad CaixaBank SA. No obstante, en el mes de febrero de 2019 se declaró la caducidad de estas actuaciones previas por haberse transcurrido el plazo máximo de 12 meses desde la fecha de recepción de la reclamación, sin que se hubiera dictado y notificado el acuerdo de inicio de procedimiento sancionador.

    Al respecto, debemos destacar que la caducidad no produce por si sola la prescripción de la acción, de modo que nada impide a la administración (AEPD) iniciar un nuevo procedimiento de investigación tras la caducidad del anterior siempre y cuando no haya prescrito la acción.

    2ª reclamación

    En marzo de 2019, la entidad FACUA presentó una reclamación ante la AEPD contra la entidad CaixaBank SA denunciando que el “Contrato Marco” que suscriben los clientes de esta entidad -mediante el que se recogen sus datos personales, se les ofrece información en materia de protección de datos personales y se recaban consentimientos para los tratamientos de datos que se especifican-, no puede negociarse por el interesado, de modo que su condición de contrato de adhesión impone al interesado la autorización del tratamiento y cesión de sus datos personales, incluso por parte de terceros.

    A finales de mayo de 2019, la AEPD admitió a tramite la reclamación de FACUA y acordó iniciar actuaciones previas de investigación y la incorporación a estas de toda la documentación correspondiente a las anteriores actuaciones previas (derivadas de la reclamación de 2018 y afectadas por caducidad).

    El objeto de estas nuevas actuaciones previas de investigación se determinó en el análisis de:

    • La información ofrecida con carácter general por CaixaBank SA en materia de protección de datos personales, a través de todos los canales empleados por la entidad.
    • Los distintos tratamientos de datos personales que lleva a cabo la entidad conforme a la información ofrecida, en relación con clientes o persona que mantengan cualquier otra relación con la misma, y en el marco de la nueva normativa aplicable desde el 25/05/2018, incluido el análisis de los mecanismos empleados para recabar la prestación del consentimiento de los interesados;
    • El cumplimiento por parte de la citada entidad del resto de principios relativos al tratamiento establecidos en el artículo 5 del RGPD.

    Durante el desarrollo de estas actuaciones previas de investigación se cursó un requerimiento de información a CaixaBank SA y se realizó visita de inspección tanto presencial, en las instalaciones de la entidad, como telemática, mediante acceso a la web de la entidad.

    Inicio del procedimiento sancionador

    Finalizadas las actuaciones previas, en enero del 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad CaixaBank SA por:

    • La presunta infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5.b) del citado Reglamento, determinando que la sanción que pudiera corresponder por esta infracción ascendería a 2M de euros, son perjuicio de lo que resulte de la instrucción.
    • La presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) del citado Reglamento, determinando que la sanción que pudiera corresponder por esta infracción ascendería a 4M de euros, son perjuicio de lo que resulte de la instrucción.
    • La presunta infracción del artículo 22 del RGPD, tipificada en el artículo 83.5.b) del RGPD, determinando que la sanción que pudiera corresponder por esta infracción ascendería a 500.000 euros, son perjuicio de lo que resulte de la instrucción.

     

    Resolución del procedimiento sancionador

    La resolución sancionadora de la AEPD multa con 6M de euros a CaixaBank SA por infringir el RGPD.

    Para mayor concreción, la resolución sancionadora impone a la entidad una primera multa de 4M de euros por infringir los artículos 13 y 14 del RGPD y una segunda multa de 2M de euros por infringir el artículo 6 del RGPD.

    Además de imponer estas dos multas por importe total de 6M de euros,  la AEPD también requiere a la entidad para que en el plazo de 6 meses adecúe su política de privacidad a la normativa de protección de datos vigente.

    Por último, conviene remarcar que la resolución sancionadora también declara la inexistencia de una infracción de lo establecido en el artículo 22 del RGPD (artículo dedicado a las decisiones individuales automatizadas, incluida la elaboración de perfiles). Y, es que según la AEPD:

    «la instrucción del procedimiento no ha permitido constatar que CAIXABANK lleve a cabo tratamientos de datos como los regulados en este artículo 22 del RGPD, es decir, que adopte decisiones basada únicamente en el tratamiento automatizado y que produzcan efectos jurídicos en el interesado o le afecten significativamente de modo similar».

    Fallo de la resolución:

    “PRIMERO: IMPONER a la entidad CAIXABANK, S.A., con NIF A08663619, por una infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5.b) y calificada como leve a efectos de prescripción en el artículo 74.a) de la LOPDGDD, una multa por importe de 2.000.000 euros (dos millones de euros).

    SEGUNDO: IMPONER a la entidad CAIXABANK, S.A., por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como muy grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, una multa por importe de 4.000.000 euros (cuatro millones de euros).

    TERCERO: DECLARAR la inexistencia de infracción en relación con la imputación a la entidad CAIXABANK, S.A. de una posible vulneración de lo establecido en el artículo 22 del RGPD.

    CUARTO: REQUERIR a la entidad CAIXABANK, S.A., para que, en el plazo de seis meses, adecúe a la normativa de protección de datos personales las operaciones de tratamiento de datos personales que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos deben prestar su consentimiento para la recogida y tratamiento de sus datos personales, con el alcance expresado en el Fundamento de Derecho XI. En el plazo indicado, CAIXABANK, S.A. deberá justificar ante esta Agencia Española de Protección de Datos la atención del presente requerimiento.”

    Consulta el texto íntegro de la resolución: PS-00477-2019

    Motivo de la sanción

    Como resultado del procedimiento sancionador la AEPD ha impuesto dos multas, cuya suma asciende a 6M de euros, a la entidad CaixaBank SA por infringir el RGPD.

    1a multa – Infracción de los artículos 13 y 14 del RGPD (2M de euros de multa):

    • La información ofrecida en los distintos documentos y canales no es uniforme.
    • Empleo de una terminología imprecisa para definir la política de privacidad.
    • Insuficiente información sobre la categoría de datos personales que se someterán a tratamiento.
    • Incumplimiento de la obligación de informar sobre la finalidad del tratamiento y base jurídica que lo legitima, especialmente en relación con los tratamientos de datos personales basados en el interés legítimo.
    • Insuficiente información sobre sobre el tipo de perfiles que se van a realizar, los usos específicos a que se van a destinar.
    • La información facilitada sobre el ejercicio de derechos, posibilidad de reclamar ante la Agencia Española de Protección de Datos, existencia de un Delegado de Protección de Datos y sus datos de contacto, así como la relativa a los plazos de conservación de datos no es uniforme.

     

    2a multa –  Infracción del artículo 6 del RGPD (4M de euros de multa):

    • Insuficiente justificación de la base jurídica del tratamiento de datos personales, especialmente en relación con los basados en el interés legítimo.
    • Incumplimiento de los requisitos establecidos para la prestación de un consentimiento válido, en tanto que manifestación de voluntad específica, inequívoca e informada.
    • Deficiencias en los procesos habilitados para recabar el consentimiento de los clientes para el tratamiento de sus datos personales.
    • Cesión ilícita de datos personales a empresas del Grupo CaixaBank.

     

    ¿Cómo se pueden evitar este tipo de multas?

    Para evitar este tipo de sanciones resulta imprescindible que:

    • Se informe a los usuarios/clientes de forma clara y comprensible sobre el alcance, la finalidad, la base de legitimación para el tratamiento de sus datos personales y sus derechos como persona interesada. A modo de resumen, es imprescindible informar al usuario/cliente sobre: qué datos se van a recopilar, para qué finalidades, durante cuanto tiempo, si se van a ceder a terceros, si se producen transferencias internacionales, cuales son sus derechos como interesado y los mecanismos o forma para ejercerlos
    • Permitir que los usuarios/clientes acepten o denieguen libremente y de forma sencilla el tratamiento de sus datos personales para la totalidad o parte de las finalidades perseguidas por la empresa. Por ejemplo, se debe permitir que el usuario acepte fácilmente el tratamiento de sus datos personales pero que a la vez deniegue o no autorice que dichos datos se utilicen para fines comerciales.
    • Tener claras cuales son las condiciones y requisitos establecidos en el artículo 6 del RGPD para que el tratamiento de datos personales se considere lícito. Es decir, si el tratamiento de datos se basa en el consentimiento del interesado, si es necesario para la ejecución de un contrato en el que el interesado es parte o si es necesario para el cumplimiento de una obligación legal, entre otros.

    Para saber mas sobre cómo debes solicitar el consentimiento de tus usuarios para el tratamiento de sus datos personales, te recomendamos que leas nuestra entrada sobre ¿Cómo debo configurar las cookies de mi web para no ser sancionado? en la que explicamos como debe solicitarse el consentimiento para que el interesado pueda prestarlo de forma libre e informada y como exponer la información por capas.

    No olvides seguirnos en LinkedIn, Facebook o Twitter. para estar siempre al día sobre las últimas noticias relacionadas con la protección de datos personales.

    Si necesitas asesoramiento en materia de protección de datos, desde Qualgest podemos ayudarte. Contacta con nosotros y te ofreceremos una solución a medida para que cumplas con todas las obligaciones exigidas en la normativa de protección de datos.

    Entradas relacionadas: 

    ¿Qué datos comparte Whatsapp con Facebook?

    · · Dejar un comentario

    Hace escasos días algunos usuarios de Whatsapp empezaron a recibir un aviso a través de la plataforma en el que se advertía sobre los cambios en el servicio en lo referente a la recopilación y tratamiento de datos personales de los usuarios. Algunos de estos cambios afectan a la forma en la que Whatsapp y Facebook comparten tus datos personales. En ese mismo aviso se especificaba que para poder seguir usando el servicio de mensajería, los usuarios debían aceptar los cambios antes del 8 de febrero.

    Este hecho generó cierto revuelo en las redes, bastante desinformación sobre el alcance de los cambios en la política de privacidad de Whatsapp y que muchos se preguntasen que datos comparte o compartirá Whatsapp con Facebook. Todo ello causó que un elevado número de usuarios decidiese abandonar la aplicación y empezar a utilizar alguna aplicación alternativa (a destacar, Telegram, Signal y Line).

    En consecuencia, el pasado 15 de enero Whatsapp anunció a través de Twitter que habían decidido aplazar la entrada en vigor de su nueva política de privacidad hasta el 15 de mayo de 2021 y que iban a esforzarse para que sus usuarios conozcan y comprendan los cambios que conlleva la nueva política de privacidad. En el mismo comunicado Whatsapp aclaró que a partir del 8 de febrero no se borraría ni suspendería ninguna cuenta de Whatsapp.

    ¿Qué datos personales o información proporcionamos a Whatsapp?

    Whatsapp Ireland Limited, recopila una serie de información de sus usuarios (Región Europea) con el fin de poder operar, proporcionar, mejorar, personalizar y promocionar sus servicios. El tipo de información que recopila Whatsapp depende de la forma en que sus usuarios usan el servicio.

    Según la actual política de privacidad de Whatsapp, sus usuarios proporcionan la siguiente información:

    • Información sobre su cuenta: número de teléfono móvil, nombre, correo electrónico, foto de perfil y demás información que hayas incluido en tu perfil.

    • Sus mensajes: Whastapp asegura que los mensajes que envían y reciben sus usuarios se eliminan de sus servidores, junto con toda la información relacionada (fotos, videos, ubicación…), una vez han sido entregados. No obstante, si el mensaje no se puede entregar de inmediato, Whastapp lo almacena por un plazo máximo de 30 días para intentar entregarlo, si no se entrega dentro de dicho plazo se elimina automáticamente. Si se trata de un mensaje, foto, video o audio que se está compartiendo de forma multitudinaria o viralizando Whatsapp se reserva el derecho de conservar ese contenido en sus servidores durante más de 30 días, sin especificar durante cuanto tiempo como máximo. Whatsapp también asegura que los mensajes que envían sus usuarios están protegidos, de forma predeterminada, con un cifrado de extremo a extremo que impide que sean leídos por Whatsapp o por terceros. Hecho que parece contradecir lo expresado en el punto anterior sobre mensajes que se viralizan.

    • Sus conexiones: las listas de difusión o grupos que crean sus usuarios y en las que son añadidos, el nombre de dichos grupos o listas y las fotos o descripción que tengan asociadas y los contactos de la agenda del teléfono del usuario que tengan Whatsapp.

    • El uso dado a los servicios de pago: información sobre compras y transacciones de aquellos usuarios que utilicen sus servicios de pago.
    • Soporte técnico: la información relacionada con incidencias técnicas o mejoras que los usuarios facilitan a Whatsapp para su resolución o implementación.

    Además de la información anteriormente detallada, Whastapp recopila automáticamente la siguiente información de sus usuarios:

    • Información sobre uso y registros.
    • Información sobre el dispositivo y la conexión.
    • Información de ubicación.
    • Cookies

    ¿Qué información comparte Whastapp con Facebook?

    Recordemos que el pasado 2014 Facebook adquirió la compañía de mensajería instantánea Whatsapp por una multimillonaria cifra. Actualmente, y desde el 2016, Whatsapp comparte los siguientes datos con las empresas de Facebook:

    • Información de registro de cuenta (incluyendo el número de teléfono).
    • Datos de operaciones.
    • Información relacionada con el servicio.
    • Información sobre como interactúas con los demás.
    • Información sobre tu dispositivo móvil y dirección IP.
    • Algún otro dato de los detallados en su política de privacidad, concretamente en el apartado “información que recopilamos”.

    ¿Qué hace Facebook y sus empresas con esta información que le proporciona Whatsapp?

    WhatsApp trabaja y comparte información con las demás empresas de Facebook a cambio de servicios, como infraestructura, tecnología y sistemas.

    Facebook y sus empresas utilizan esta información sobre todo para optimizar sus servicios y funciones publicitarias y de marketing, y para asegurarse de que Whatsapp funciona sin incidencias técnicas o de seguridad.

    Entonces, si Whatsapp ya comparte datos con Facebook ¿cuáles son los cambios que han generado tanto revuelo?

    Los cambios en la política de privacidad de Whatsapp pretenden dar una base legal a las nuevas funcionalidades que Whatsapp quiere implementar para mejorar y fortalecer la versión de Whatsapp para empresas. Concretamente:

    • Habilitación del servicio de atención al cliente: Este servicio permite a las empresas que tienen una línea de Whatsapp para comunicarse con sus clientes simplificar este proceso mediante determinados productos de Facebook para empresas.

    • Descubrimiento de empresas: Esta función permite analizar el porcentaje de contactos vía Whatsapp que recibe un anuncio publicado en Facebook o Instagram que tenga dicha función activada. Si clickas en uno de estos anuncios para contactar vía Whatsapp con la empresa o negocio que se publicita, la información que generas podría utilizarse para personalizar los anuncios que ves en tu cuente de Facebook o de Instagram.

    • Experiencias de compra: Algunas empresas o negocios tienen tienda en Facebook, Instagram o Whatsapp. Esta función permite integrar las tiendas que estas empresas tienen en las plataformas de Facebook para que los clientes puedan ver los productos de una empresa en Facebook o Instagram y hacer la compra directamente en Whatsapp.

    Por último, recuerda que, si tu empresa o negocio utiliza Whatsapp o alguno de los servicios de las empresas de Facebook debes informar claramente a tus usuarios en tu política de privacidad y de cookies sobre el alcance y la finalidad del tratamiento de datos personales que realizas.

    Si te ha gustado este artículo no olvides seguirnos en LinkedIn para estar siempre al día con nuestras publicaciones. También puedes consultar publicaciones anteriores en nuestro blog.

    Si necesitas asesoramiento en materia de protección de datos, desde Qualgest podemos ayudarte. Contacta con nosotros y te ofreceremos una solución a medida para que cumplas con todas las obligaciones exigidas en la normativa de protección de datos.

    Sanción de 5 millones de euros a la entidad BBVA por infringir el RGPD

    · · Dejar un comentario

    La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de 5 millones de euros a la entidad BBVA por infringir el RGPD. Se trata pues, de la sanción mas alta que hasta el momento ha impuesto la AEPD. No obstante, conviene remarcar que el RGPD permite la imposición de multas administrativas de hasta 20 millones de euros o, en caso de empresas, de cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, lo que resulte mayor en cuantía.

    Esta sanción de 5 millones de euros evidencia aún más la importancia de que las empresas adopten las medidas técnicas y organizativas necesarias para dar cumplimiento a las obligaciones y responsabilidades establecidas en la normativa de protección de datos.

    Origen de la sanción

    La astronómica sanción impuesta a la entidad BBVA tiene su origen en cinco reclamaciones que fueron presentadas ante la AEPD, por diferentes personas, durante los años 2018 y 2019.

    A continuación, resumiremos brevemente las mencionadas reclamaciones que fueron presentadas ante la AEPD:

    Primera reclamación: Presentada en octubre de 2018. El reclamante manifiesta haber recibido SMS promocionales en su línea de teléfono móvil, sin haber autorizado previamente el envío de tales mensajes y remarcando que figura inscrito en la Lista Robinson desde hace tiempo.

    Segunda reclamación: Presentada en diciembre de 2018. El reclamante manifiesta que la App BBVA para sistemas Android no cumple los requisitos legales relativos al consentimiento libre e informado, al requerir mediante una pantalla emergente la prestación de consentimiento cuyo alcance debe conocerse mediante un enlace a otra página, en la que aparece activada por defecto la opción de cesión de datos a terceros. Además, el reclamante advierte que antes de presentar la reclamación ante la AEPD se dirigió a la entidad BBVA exponiendo las mismas circunstancias y que dicha reclamación fue desestimada.

    Tercera reclamación: Presentada en febrero de 2019. El reclamante manifiesta que para el desbloqueo de su cuenta fue necesario suscribir el documento de protección de datos personales, que le fue remitido telemáticamente, y que no tuvo posibilidad de marcar las opciones sobre el tratamiento de la información

    Cuarta reclamación: Presentada en mayo de 2019. El reclamante manifiesta que con el pretexto de haber sido informado mediante un documento que no ha firmado, dicha entidad le remite comunicaciones comerciales que no ha solicitado ni autorizado. Añade que le informó sobre la adopción de medidas para impedir que continuara recibiendo comunicaciones comerciales, que cesaron los envíos de correos electrónicos, pero continuó recibiendo SMS, en los que no se facilitan mecanismos de baja.

    Quinta reclamación: Presentada en agosto de 2019. El reclamante manifiesta que ha recibido llamadas telefónicas y SMS publicitarios, por parte de la entidad BBVA para ofrecerle seguros, tarjetas de crédito y financiación de recibos, a pesar de que ejerció el derecho de oposición a la cesión de sus datos con fines promocionales y que el mismo fue atendido por dicha entidad. En su reclamación detalla las líneas de telefonía emisoras de las llamadas y mensajes, la línea receptora y la fecha y hora de la última llamada.

    Durante el año 2019, las reclamaciones anteriormente detalladas fueron admitidas a trámite por la AEPD. En consecuencia, la Subdirección General de Inspección de Datos inició las actuaciones previas de investigación.

    Una vez concluidas las actuaciones previas de investigación, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad BBVA:

    – por la presunta infracción del artículo 13 del RGPD y;

    – por la presunta infracción del artículo 6 del RGPD,

    Determinando que la sanción que pudiera corresponder ascendería a un total de 6.000.000,00 euros (3.000.000,00 euros por cada una de las infracciones imputadas), sin perjuicio de lo que resulte de la instrucción.

    Motivo de la sanción

    La AEPD justifica la necesidad de iniciar el procedimiento sancionador en base al análisis del formulario de recogida de datos personales utilizado por la entidad BBVA, con posterioridad a 25/05/2018, denominado “Declaración de actividad económica y política de protección de datos personales”.

    Mediante dicho documento, la entidad BBVA informaba a los interesados (siendo estos como mínimo los 5 reclamantes y el resto de clientes de la entidad), sobre los términos aplicables a la protección de datos personales, entre otros: el alcance y finalidad del tratamiento y la forma mediante la cual los interesados prestan su consentimiento.

    Por lo tanto, la AEPD no desarrolla una a una las supuestas infracciones que ha cometido la entidad respecto a cada reclamante, sino que hace un análisis con carácter general en base a la mencionada política de privacidad.

    Infracciones cometidas por la entidad BBVA según la AEPD:

    Primera:  Infracción de los artículos 13 y 14 del RGPD, calificada como leve.

    El artículo 13 del RGPD detalla la “información que deberá facilitarse cuando los datos personales se obtengan del interesado”

    El artículo 14 del RGPD se refiere a la “información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado”.

    La resolución sancionadora de la AEPD destaca que la información contenida en la mencionada política de privacidad de la entidad BBVA es incompleta o inadecuada, al no cumplir lo dispuesto en los artículos del RGPD anteriormente citados,  y remarca:

    – Empleo de una terminología imprecisa para definir la política de privacidad.

    – Insuficiente información sobre la categoría de datos personales que se someterán a tratamiento, especialmente, en relación con:

    > Los datos que BBVA dice obtener del uso por el cliente de productos, servicios y canales; los datos económicos y de solvencia obtenidos de productos contratados con BBVA o de los que BBVA es comercializador y;

    > Los datos personales que se cederán a empresas del Grupo BBVA.

    – Incumplimiento de la obligación de informar sobre la finalidad del tratamiento y base jurídica que lo legitima, especialmente en relación con los tratamientos de datos personales que BBVA basa en el interés legítimo.

    – Insuficiente información sobre sobre el tipo de perfiles que se van a realizar, los usos específicos a que se van a destinar.

    Por esta infracción la AEPD ha impuesto a la entidad BBVA una multa por importe de 2 millones de euros.

    Segunda: Infracción del artículo 6 del RGPD, calificada como muy grave.

    El artículo 6 del RGPD hace referencia a la “licitud del tratamiento”, su apartado primero detalla las diferentes condiciones que deben cumplirse para que el tratamiento de datos personales sea lícito (basta con que se cumpla al menos una condición), entre las que destacamos:

    a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

    b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;

    f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

    Según la AEPD, y a modo de resumen, la entidad BBVA no utiliza un mecanismo adecuado para recabar el libre consentimiento de los interesados y realiza tratamientos de dato personales amparados en un interés legítimo que según la AEPD no concurre. Al respecto la resolución sancionadora destaca:

    – Inexistencia de un mecanismo específico para la recogida de los consentimientos de los clientes para el tratamiento de los datos personales.

    – Las opciones del interesado se limitan a la marcación de una casilla mediante la cual deja constancia de su oposición a los tratamientos de datos.

    – Incumplimiento de los requisitos establecidos para la prestación de un consentimiento específico, inequívoco e informado.

    – Insuficiente justificación de los tratamientos de datos personales basados en el interés legítimo del responsable.

    Por esta infracción la AEPD ha impuesto a la entidad BBVA una multa por importe de 3 millones de euros.

    Además de las dos infracciones que acabamos de detallar la resolución sancionadora también requiere a la entidad BBVA para que en 6 meses adecúe el tratamiento de datos que realiza a la normativa de protección de datos.

    Conclusiones

    Una vez más mediante la imposición de una sanción la AEPD demuestra lo importante que es que las empresas o negocios cumplan con la normativa de protección de datos.

    Esta sanción demuestra que el simple hecho de tener una política de privacidad o de solicitar el consentimiento a los interesados no significa que automáticamente se esté ante un tratamiento de datos lícito y que por tanto no puedas ser sancionado. Ya que el RGPD, la LOPDGDD y la LSSICE establecen una serie de límites así como los requisitos de información y los requisitos para recabar el libre consentimiento de los interesados.

    Consulta el texto íntegro de la resolución: PS-0070/2019

    Si quieres saber como debes solicitar el consentimiento de tus usuarios para el tratamiento de sus datos personales, te recomendamos que leas nuestra entrada sobre ¿Cómo debo configurar las cookies de mi web para no ser sancionado? en la que explicamos como debe solicitarse el consentimiento para que el interesado pueda prestarlo de forma libre e informada y como exponer la información por capas.

    Si te ha quedado alguna duda o necesitas asesoramiento sobre cómo cumplir la normativa de protección de datos vigente  contacta con nosotros.

    También puedes encontrarnos en: LinkedIn, Facebook y Twitter.

    Entradas relacionadas: 

    ¿Pueden sancionarte por tener una web no segura?

    El Tribunal Supremo confirma la sanción de 40.000 euros impuesta por la AEPD a Mutua Madrileña

    Adapta tu empresa a la Protección de Datos Cumple la normativa