Qualgest

Empresa Especializada en Protección de Datos

rgpd

¿Qué datos comparte Whatsapp con Facebook?

· · Dejar un comentario

Hace escasos días algunos usuarios de Whatsapp empezaron a recibir un aviso a través de la plataforma en el que se advertía sobre los cambios en el servicio en lo referente a la recopilación y tratamiento de datos personales de los usuarios. Algunos de estos cambios afectan a la forma en la que Whatsapp y Facebook comparten tus datos personales. En ese mismo aviso se especificaba que para poder seguir usando el servicio de mensajería, los usuarios debían aceptar los cambios antes del 8 de febrero.

Este hecho generó cierto revuelo en las redes, bastante desinformación sobre el alcance de los cambios en la política de privacidad de Whatsapp y que muchos se preguntasen que datos comparte o compartirá Whatsapp con Facebook. Todo ello causó que un elevado número de usuarios decidiese abandonar la aplicación y empezar a utilizar alguna aplicación alternativa (a destacar, Telegram, Signal y Line).

En consecuencia, el pasado 15 de enero Whatsapp anunció a través de Twitter que habían decidido aplazar la entrada en vigor de su nueva política de privacidad hasta el 15 de mayo de 2021 y que iban a esforzarse para que sus usuarios conozcan y comprendan los cambios que conlleva la nueva política de privacidad. En el mismo comunicado Whatsapp aclaró que a partir del 8 de febrero no se borraría ni suspendería ninguna cuenta de Whatsapp.

¿Qué datos personales o información proporcionamos a Whatsapp?

Whatsapp Ireland Limited, recopila una serie de información de sus usuarios (Región Europea) con el fin de poder operar, proporcionar, mejorar, personalizar y promocionar sus servicios. El tipo de información que recopila Whatsapp depende de la forma en que sus usuarios usan el servicio.

Según la actual política de privacidad de Whatsapp, sus usuarios proporcionan la siguiente información:

  • Información sobre su cuenta: número de teléfono móvil, nombre, correo electrónico, foto de perfil y demás información que hayas incluido en tu perfil.

  • Sus mensajes: Whastapp asegura que los mensajes que envían y reciben sus usuarios se eliminan de sus servidores, junto con toda la información relacionada (fotos, videos, ubicación…), una vez han sido entregados. No obstante, si el mensaje no se puede entregar de inmediato, Whastapp lo almacena por un plazo máximo de 30 días para intentar entregarlo, si no se entrega dentro de dicho plazo se elimina automáticamente. Si se trata de un mensaje, foto, video o audio que se está compartiendo de forma multitudinaria o viralizando Whatsapp se reserva el derecho de conservar ese contenido en sus servidores durante más de 30 días, sin especificar durante cuanto tiempo como máximo. Whatsapp también asegura que los mensajes que envían sus usuarios están protegidos, de forma predeterminada, con un cifrado de extremo a extremo que impide que sean leídos por Whatsapp o por terceros. Hecho que parece contradecir lo expresado en el punto anterior sobre mensajes que se viralizan.

  • Sus conexiones: las listas de difusión o grupos que crean sus usuarios y en las que son añadidos, el nombre de dichos grupos o listas y las fotos o descripción que tengan asociadas y los contactos de la agenda del teléfono del usuario que tengan Whatsapp.

  • El uso dado a los servicios de pago: información sobre compras y transacciones de aquellos usuarios que utilicen sus servicios de pago.
  • Soporte técnico: la información relacionada con incidencias técnicas o mejoras que los usuarios facilitan a Whatsapp para su resolución o implementación.

Además de la información anteriormente detallada, Whastapp recopila automáticamente la siguiente información de sus usuarios:

  • Información sobre uso y registros.
  • Información sobre el dispositivo y la conexión.
  • Información de ubicación.
  • Cookies

¿Qué información comparte Whastapp con Facebook?

Recordemos que el pasado 2014 Facebook adquirió la compañía de mensajería instantánea Whatsapp por una multimillonaria cifra. Actualmente, y desde el 2016, Whatsapp comparte los siguientes datos con las empresas de Facebook:

  • Información de registro de cuenta (incluyendo el número de teléfono).
  • Datos de operaciones.
  • Información relacionada con el servicio.
  • Información sobre como interactúas con los demás.
  • Información sobre tu dispositivo móvil y dirección IP.
  • Algún otro dato de los detallados en su política de privacidad, concretamente en el apartado “información que recopilamos”.

¿Qué hace Facebook y sus empresas con esta información que le proporciona Whatsapp?

WhatsApp trabaja y comparte información con las demás empresas de Facebook a cambio de servicios, como infraestructura, tecnología y sistemas.

Facebook y sus empresas utilizan esta información sobre todo para optimizar sus servicios y funciones publicitarias y de marketing, y para asegurarse de que Whatsapp funciona sin incidencias técnicas o de seguridad.

Entonces, si Whatsapp ya comparte datos con Facebook ¿cuáles son los cambios que han generado tanto revuelo?

Los cambios en la política de privacidad de Whatsapp pretenden dar una base legal a las nuevas funcionalidades que Whatsapp quiere implementar para mejorar y fortalecer la versión de Whatsapp para empresas. Concretamente:

  • Habilitación del servicio de atención al cliente: Este servicio permite a las empresas que tienen una línea de Whatsapp para comunicarse con sus clientes simplificar este proceso mediante determinados productos de Facebook para empresas.

  • Descubrimiento de empresas: Esta función permite analizar el porcentaje de contactos vía Whatsapp que recibe un anuncio publicado en Facebook o Instagram que tenga dicha función activada. Si clickas en uno de estos anuncios para contactar vía Whatsapp con la empresa o negocio que se publicita, la información que generas podría utilizarse para personalizar los anuncios que ves en tu cuente de Facebook o de Instagram.

  • Experiencias de compra: Algunas empresas o negocios tienen tienda en Facebook, Instagram o Whatsapp. Esta función permite integrar las tiendas que estas empresas tienen en las plataformas de Facebook para que los clientes puedan ver los productos de una empresa en Facebook o Instagram y hacer la compra directamente en Whatsapp.

Por último, recuerda que, si tu empresa o negocio utiliza Whatsapp o alguno de los servicios de las empresas de Facebook debes informar claramente a tus usuarios en tu política de privacidad y de cookies sobre el alcance y la finalidad del tratamiento de datos personales que realizas.

Si te ha gustado este artículo no olvides seguirnos en LinkedIn para estar siempre al día con nuestras publicaciones. También puedes consultar publicaciones anteriores en nuestro blog.

Si necesitas asesoramiento en materia de protección de datos, desde Qualgest podemos ayudarte. Contacta con nosotros y te ofreceremos una solución a medida para que cumplas con todas las obligaciones exigidas en la normativa de protección de datos.

Sanción de 5 millones de euros a la entidad BBVA por infringir el RGPD

· · Dejar un comentario

La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de 5 millones de euros a la entidad BBVA por infringir el RGPD. Se trata pues, de la sanción mas alta que hasta el momento ha impuesto la AEPD. No obstante, conviene remarcar que el RGPD permite la imposición de multas administrativas de hasta 20 millones de euros o, en caso de empresas, de cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, lo que resulte mayor en cuantía.

Esta sanción de 5 millones de euros evidencia aún más la importancia de que las empresas adopten las medidas técnicas y organizativas necesarias para dar cumplimiento a las obligaciones y responsabilidades establecidas en la normativa de protección de datos.

Origen de la sanción

La astronómica sanción impuesta a la entidad BBVA tiene su origen en cinco reclamaciones que fueron presentadas ante la AEPD, por diferentes personas, durante los años 2018 y 2019.

A continuación, resumiremos brevemente las mencionadas reclamaciones que fueron presentadas ante la AEPD:

Primera reclamación: Presentada en octubre de 2018. El reclamante manifiesta haber recibido SMS promocionales en su línea de teléfono móvil, sin haber autorizado previamente el envío de tales mensajes y remarcando que figura inscrito en la Lista Robinson desde hace tiempo.

Segunda reclamación: Presentada en diciembre de 2018. El reclamante manifiesta que la App BBVA para sistemas Android no cumple los requisitos legales relativos al consentimiento libre e informado, al requerir mediante una pantalla emergente la prestación de consentimiento cuyo alcance debe conocerse mediante un enlace a otra página, en la que aparece activada por defecto la opción de cesión de datos a terceros. Además, el reclamante advierte que antes de presentar la reclamación ante la AEPD se dirigió a la entidad BBVA exponiendo las mismas circunstancias y que dicha reclamación fue desestimada.

Tercera reclamación: Presentada en febrero de 2019. El reclamante manifiesta que para el desbloqueo de su cuenta fue necesario suscribir el documento de protección de datos personales, que le fue remitido telemáticamente, y que no tuvo posibilidad de marcar las opciones sobre el tratamiento de la información

Cuarta reclamación: Presentada en mayo de 2019. El reclamante manifiesta que con el pretexto de haber sido informado mediante un documento que no ha firmado, dicha entidad le remite comunicaciones comerciales que no ha solicitado ni autorizado. Añade que le informó sobre la adopción de medidas para impedir que continuara recibiendo comunicaciones comerciales, que cesaron los envíos de correos electrónicos, pero continuó recibiendo SMS, en los que no se facilitan mecanismos de baja.

Quinta reclamación: Presentada en agosto de 2019. El reclamante manifiesta que ha recibido llamadas telefónicas y SMS publicitarios, por parte de la entidad BBVA para ofrecerle seguros, tarjetas de crédito y financiación de recibos, a pesar de que ejerció el derecho de oposición a la cesión de sus datos con fines promocionales y que el mismo fue atendido por dicha entidad. En su reclamación detalla las líneas de telefonía emisoras de las llamadas y mensajes, la línea receptora y la fecha y hora de la última llamada.

Durante el año 2019, las reclamaciones anteriormente detalladas fueron admitidas a trámite por la AEPD. En consecuencia, la Subdirección General de Inspección de Datos inició las actuaciones previas de investigación.

Una vez concluidas las actuaciones previas de investigación, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad BBVA:

– por la presunta infracción del artículo 13 del RGPD y;

– por la presunta infracción del artículo 6 del RGPD,

Determinando que la sanción que pudiera corresponder ascendería a un total de 6.000.000,00 euros (3.000.000,00 euros por cada una de las infracciones imputadas), sin perjuicio de lo que resulte de la instrucción.

Motivo de la sanción

La AEPD justifica la necesidad de iniciar el procedimiento sancionador en base al análisis del formulario de recogida de datos personales utilizado por la entidad BBVA, con posterioridad a 25/05/2018, denominado “Declaración de actividad económica y política de protección de datos personales”.

Mediante dicho documento, la entidad BBVA informaba a los interesados (siendo estos como mínimo los 5 reclamantes y el resto de clientes de la entidad), sobre los términos aplicables a la protección de datos personales, entre otros: el alcance y finalidad del tratamiento y la forma mediante la cual los interesados prestan su consentimiento.

Por lo tanto, la AEPD no desarrolla una a una las supuestas infracciones que ha cometido la entidad respecto a cada reclamante, sino que hace un análisis con carácter general en base a la mencionada política de privacidad.

Infracciones cometidas por la entidad BBVA según la AEPD:

Primera:  Infracción de los artículos 13 y 14 del RGPD, calificada como leve.

El artículo 13 del RGPD detalla la “información que deberá facilitarse cuando los datos personales se obtengan del interesado”

El artículo 14 del RGPD se refiere a la “información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado”.

La resolución sancionadora de la AEPD destaca que la información contenida en la mencionada política de privacidad de la entidad BBVA es incompleta o inadecuada, al no cumplir lo dispuesto en los artículos del RGPD anteriormente citados,  y remarca:

– Empleo de una terminología imprecisa para definir la política de privacidad.

– Insuficiente información sobre la categoría de datos personales que se someterán a tratamiento, especialmente, en relación con:

> Los datos que BBVA dice obtener del uso por el cliente de productos, servicios y canales; los datos económicos y de solvencia obtenidos de productos contratados con BBVA o de los que BBVA es comercializador y;

> Los datos personales que se cederán a empresas del Grupo BBVA.

– Incumplimiento de la obligación de informar sobre la finalidad del tratamiento y base jurídica que lo legitima, especialmente en relación con los tratamientos de datos personales que BBVA basa en el interés legítimo.

– Insuficiente información sobre sobre el tipo de perfiles que se van a realizar, los usos específicos a que se van a destinar.

Por esta infracción la AEPD ha impuesto a la entidad BBVA una multa por importe de 2 millones de euros.

Segunda: Infracción del artículo 6 del RGPD, calificada como muy grave.

El artículo 6 del RGPD hace referencia a la “licitud del tratamiento”, su apartado primero detalla las diferentes condiciones que deben cumplirse para que el tratamiento de datos personales sea lícito (basta con que se cumpla al menos una condición), entre las que destacamos:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Según la AEPD, y a modo de resumen, la entidad BBVA no utiliza un mecanismo adecuado para recabar el libre consentimiento de los interesados y realiza tratamientos de dato personales amparados en un interés legítimo que según la AEPD no concurre. Al respecto la resolución sancionadora destaca:

– Inexistencia de un mecanismo específico para la recogida de los consentimientos de los clientes para el tratamiento de los datos personales.

– Las opciones del interesado se limitan a la marcación de una casilla mediante la cual deja constancia de su oposición a los tratamientos de datos.

– Incumplimiento de los requisitos establecidos para la prestación de un consentimiento específico, inequívoco e informado.

– Insuficiente justificación de los tratamientos de datos personales basados en el interés legítimo del responsable.

Por esta infracción la AEPD ha impuesto a la entidad BBVA una multa por importe de 3 millones de euros.

Además de las dos infracciones que acabamos de detallar la resolución sancionadora también requiere a la entidad BBVA para que en 6 meses adecúe el tratamiento de datos que realiza a la normativa de protección de datos.

Conclusiones

Una vez más mediante la imposición de una sanción la AEPD demuestra lo importante que es que las empresas o negocios cumplan con la normativa de protección de datos.

Esta sanción demuestra que el simple hecho de tener una política de privacidad o de solicitar el consentimiento a los interesados no significa que automáticamente se esté ante un tratamiento de datos lícito y que por tanto no puedas ser sancionado. Ya que el RGPD, la LOPDGDD y la LSSICE establecen una serie de límites así como los requisitos de información y los requisitos para recabar el libre consentimiento de los interesados.

Consulta el texto íntegro de la resolución: PS-0070/2019

Si quieres saber como debes solicitar el consentimiento de tus usuarios para el tratamiento de sus datos personales, te recomendamos que leas nuestra entrada sobre ¿Cómo debo configurar las cookies de mi web para no ser sancionado? en la que explicamos como debe solicitarse el consentimiento para que el interesado pueda prestarlo de forma libre e informada y como exponer la información por capas.

Si te ha quedado alguna duda o necesitas asesoramiento sobre cómo cumplir la normativa de protección de datos vigente  contacta con nosotros.

También puedes encontrarnos en: LinkedIn, Facebook y Twitter.

Entradas relacionadas: 

¿Pueden sancionarte por tener una web no segura?

El Tribunal Supremo confirma la sanción de 40.000 euros impuesta por la AEPD a Mutua Madrileña

¿Pueden sancionarte por tener una web no segura?

· · Dejar un comentario

Antes de analizar si pueden sancionarte por tener una web no segura, vamos a explicarte como identificar una web segura y que son los protocolos http y https.

¿Cómo saber si una web es segura?

Como usuario de internet, cuando entres a una página web es importante que te fijes si la URL empieza por https:// o si al lado aparece el símbolo de un candado, sobretodo si a través de dicha página web vas a proporcionar datos personales (tu nombre, apellidos, DNI, nº de tarjeta, domicilio, etc.).

La dirección o URL de todas las páginas web disponibles en internet siempre empieza con las siglas http:// o https://. Estas siglas hacen referencia al protocolo HTTP, en español, Protocolo de Transferencia de Hipertexto, que utiliza el servidor donde se encuentra alojada la web para comunicarse con el navegador de tu dispositivo. 

Nosegura             Segura     

¿Cuál es la diferencia entre http y https?

Las páginas web que utilizan tecnología http no cifran las transferencias de datos entre tu navegador y el servidor donde se encuentra alojada dicha página web. Por lo tanto, dichos datos podrían ser interceptados por terceros.

Por el contrario, las páginas web que utilizan el protocolo htttps cifran o encriptan las transferencias de datos entre tu navegador y el servidor donde se encuentra alojada dicha página web, de modo que resulta prácticamente imposible que estos datos puedan ser interceptados por terceros.

En consecuencia, si utilizas una página web con protocolo http y no https debes tener en cuenta que todos los datos que introduzcas en la misma (tu nombre, apellidos, DNI, nº de tarjeta, domicilio, etc.) se enviarán al servidor donde dicha web se encuentra alojada sin cifrarse, hecho que facilita la interceptación de dichos datos por parte de terceros.

Consecuencias de utilizar protocolos http en tu página web

La primera consecuencia es, tal y como se comentaba en el punto anterior, el riesgo de que los datos de tus usuarios web sean interceptados por terceros, con las implicaciones y perjuicios que este riesgo puede conllevar tanto a los titulares de los datos como al responsable de la página web, al tratarse, según lo establecido en el RGPD, de un brecha de seguridad .

Phishing

 

Sobre lo anterior, no resultaría extraño que más de un usuario web decida no poner en riesgo sus datos y opte por no comprar un determinado servicio o producto si la página web que lo oferta no utiliza una tecnología o protocolo de cifrado de datos https. Sobretodo, si tenemos en cuenta que la mayoría de los navegadores web advierten a sus usuarios si las páginas web a las que están accediendo son seguras o no. Es decir, si utilizan un certificado o protocolo no seguro (http) o bien, si utilizan un certificado o protocolo seguro (https).

La segunda consecuencia, podría llegar en forma de requerimiento o sanción de la Agencia Española de Protección de Datos (AEPD), por infracción de lo establecido en el artículo 32, sobre seguridad del tratamiento de datos personales, del Reglamento General de Protección de Datos – EU 675/2016- (RGPD).

Money

Y es que, el artículo 32 del RGPD, dedicado a la seguridad del tratamiento de datos personales, establece que los encargados o responsables del tratamiento de datos personales deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo para los derechos y libertades de los titulares de los datos, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y fines del tratamiento.

Según dicho artículo, algunas de las medidas técnicas y organizativas consideradas como apropiadas para garantizar un nivel de seguridad adecuado al riesgo (cuya implementación corresponde a los responsables del tratamiento) son:

a) la seudonimización y el cifrado de datos personales;

b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanente de los sistemas y servicios de tratamiento;

c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;

d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

Como vemos el legislador no establece un listado de medidas a implementar en cada caso, limitándose a recomendar algunas consideradas como apropiadas. Y es que, el RGPD se basa en el principio de responsabilidad activa , es decir, el deber de los responsables de cumplir con la normativa sobre protección de datos y ser capaces de demostrarlo.

Por lo tanto, el responsable del tratamiento, en este caso el responsable de una página web, debe analizar el riesgo que implica, para el interesado, el tratamiento de datos que realiza a través de su web y, en consecuencia, adoptar las medidas técnicas y organizativas que garanticen un nivel de seguridad adecuado, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y fines del tratamiento.

¿Pueden sancionarte por tener una web no segura (que use http y no https)?

Antes de preguntarte si pueden sancionarte por no usar un protocolo o certificado https en tu web, es decir, que encripte o cifre la información que se transmite entre los dispositivos de tus usuarios web y el servidor donde se encuentra alojada tu web. Debes preguntarte qué datos de tus usuarios web tratas, recoges o almacenas a través de tu página web y en que país está ubicado el servidor en el que se encuentra alojada tu web, pues podría estarse produciendo una transferencia internacional de datos, hecho que según el RGPD implica mayores obligaciones para el responsable. 

No es lo mismo tener una página web meramente informativa donde no se permita a los usuarios introducir datos personales, que tener una tienda online, donde los usuarios que quieran comprar productos o servicios deban facilitar sus datos de contacto y/o datos bancarios (nº de cuenta o de tarjeta).

Por lo tanto, si tu página web no permite la recogida de ningún dato personal de los usuarios que accedan a esta, en principio no estarías expuesto a una posible sanción al no transmitirse datos personales o confidenciales entre el navegador de tus usuarios y el servidor donde se almacena tu web.

Si por el contrario, tu página web permite el tratamiento de datos personales de tus usuarios web, ya sea por que contiene un formulario de contacto, permite el registro de usuarios o por tratarse de una tienda online, por poner algunos de los ejemplos más frecuentes, sí que deberías utilizar certificados o protocolos de seguridad que encripten la transferencia de datos entre los dispositivos de tus usuarios web y el servidor donde se encuentra alojada tu web (https). Si no lo haces, debes tener en cuenta que tu conducta puede considerarse como una infracción del artículo 32 del RGPD, tal y como veremos a continuación.

La AEPD sanciona a una empresa por no utilizar el protocolo https en su página web

En fecha reciente la AEPD ha impuesto una sanción de 1.000€ a una sociedad mercantil que no utilizaba un protocolo de seguridad https en su página web, por considerar que su conducta infringe el artículo 32 del RGPD.

A continuación detallamos los aspectos más relevantes de dicho procedimiento sancionador:

– Procedimiento Sancionador nº: 00185/2020

– Antecedentes:

PRIMERO: Con fecha 01/05/19, tuvo entrada en esta Agencia, denuncia presentada por la reclamante en la que indicaba, entre otras, lo siguiente:

“El pasado 20 de abril detecte que la web carecía de medidas de seguridad para proteger los datos personales como (HTTPS). Además, la web carece de información respecto al procesado de los datos personales y su finalidad, así como, el periodo en el cual se almacenan. He contactado con el vendedor instando a que mejore y adapte la seguridad de su web a la legislación vigente y no ha respondido a ningún email”.

TERCERO: Con fecha 15/06/20, consultada la página web ***URL.1, se pudo constatar las siguientes características respecto a sus protocolos de seguridad, su “política de privacidad” y su “política de cookies”:

“La web denunciada comercializa placas de matrícula de vehículos, para su venta online. Para adquirir un juego de placas de matrícula, los usuarios deben introducir sus datos personales en la hoja de pedido: nombre y apellidos; DNI; matrícula del vehículo e incluso número de bastidor. Además, deben escanear y enviar en ficheros adjuntos tos, el permiso de circulación del vehículo; el DNI por ambas caras y el justificante de pago”.

Respecto de los protocolos de seguridad utilizados:

Al acceder a la página web denunciada, se comprueba que se accede a la dirección: ***DIRECCIÓN.1, con protocolo de seguridad “http”, posibilitando así, que otros usuarios puedan interceptar la información que se transfiere desde el terminal del cliente al servidor web, ya que la información que proporcionan los usuarios no se trasfiere de forma segura (encriptada).

– Hechos probados:

1º.- La página web denunciada comercializa placas de matrícula de vehículos, para su venta on-line. Para adquirir un juego de placas, los usuarios deben introducir sus datos personales en la hoja de pedido: nombre y apellidos; DNI; matrícula del vehículo e incluso número de bastidor. Además, deben escanear y enviar en ficheros adjuntos, el permiso de circulación del vehículo; el DNI por ambas caras y el justificante de pago.

2º.- Respecto de los protocolos de seguridad utilizados:

Al acceder a la página web denunciada, se comprueba que se accede a la dirección: ***DIRECCIÓN.1, con protocolo de seguridad “http”, posibilitando así, que otros usuarios puedan interceptar la información que se transfiere desde el terminal del cliente al servidor web, ya que la información que proporcionan los usuarios no se trasfiere de forma segura (encriptada).

– Fallo:

PRIMERO: IMPONER a la entidad MIGUEL IBÁÑEZ BEZANILLA S.L., con CIF.: B39730973 titular de la página web ***URL.1 por Infracción de los artículos 32 y 13 del RGPD respecto de la política de seguridad y respecto de la política de privacidad respectivamente y por la infracción del artículo 22.2) de la LSSI, respecto de su Política de Cookies, una sanción de 3.000 euros (tres mil euros= 1.000 euros (art. 32 RGPD) + 1.000 euros (art. 13 RGPD) + 1.000 euros (art. 22.2 LSSI).

Esperamos que este artículo te haya sido de utilidad. Si deseas leer la sanción completa puedes hacerlo siguiendo este enlace, y si prefieres consultar más artículos como este, puedes hacerlo a través de nuestra web o a través de nuestras redes sociales:  LinkedIn, Facebook y Twitter.

Si te ha quedado alguna duda o necesitas asesoramiento sobre cómo cumplir la normativa de protección de datos vigente  contacta con nosotros.

El Tribunal Supremo confirma la sanción de 40.000 euros impuesta por la AEPD a Mutua Madrileña

· · Dejar un comentario

Según la reciente sentencia de la Sala 3ª del Tribunal Supremo, aunque una empresa decida externalizar sus campañas publicitarias sigue siendo responsable de garantizar que dicha publicidad no sea enviada a aquellos clientes que han ejercido su derecho de oposición al tratamiento de sus datos personales para fines publicitarios.

Mutua Madrileña ha sido sancionada por obstaculizar o impedir que uno de sus clientes ejerciese de forma efectiva su derecho de oposición al tratamiento de datos personales.

El cliente, titular de varias pólizas de seguro, figuraba inscrito en la Lista Robinson y, además, había ejercido el derecho de oposición al tratamiento de sus datos personales ante Mutua Madrileña mediante varias comunicaciones en las que remarcó que únicamente autorizaba el tratamiento de sus datos personales para aquellos fines imprescindibles para el desarrollo de la relación contractual y que, en ningún caso autorizaba el tratamiento de sus datos personales para fines fraudulentos, para fines publicitarios o de prospección comercial, para estudios de marketing o para campañas publicitarias.

Pese a lo anterior, el cliente siguió recibiendo correos publicitarios de Mutua Madrileña, ya que Mutua Madrileña no avisó a la empresa que había contratado para las campañas publicitarias que uno de sus clientes había ejercido su derecho de oposición al tratamiento de datos personales y que por tanto, no se le debía seguir enviando publicidad.

El responsable del tratamiento está obligado a adoptar medidas o cautelas que aseguren la efectividad del derecho de oposición al tratamiento de datos personales.

Según la AEPD y el Supremo, el hecho de que Mutua Madrileña hubiese contratado los servicios de publicidad de una tercera empresa no la exime de la obligación, como responsable del fichero, de aplicar las medidas y cautelas que garanticen la efectividad del derecho de oposición. Es más, dicha obligación subsistiría, aunque la empresa de publicad no utilizase la base de datos de Mutua Madrileña para realizarle las campañas publicitarias.

Las empresas deben respetar y garantizar el derecho de oposición al tratamiento de datos personales de sus clientes

Por lo tanto, en cualquier caso, el responsable del tratamiento queda obligado a adoptar medidas o cautelas que aseguren la efectividad del derecho de oposición al tratamiento de datos personales.

A modo de ejemplo, una de las medidas que debió adoptar Mutua Madrileña sería la de comunicar a la empresa con la que tenía contratada las campañas de publicidad que un determinado cliente había ejercido su derecho de oposición a no recibir publicidad y que por tanto se le debía excluir de las campañas publicitarias y para dejar de enviarle publicidad.

¡Si necesitas asesoramiento con este tema o con otros relacionados con la aplicación de la protección de datos en tu empresa o establecimiento comercial, contacta con Qualgest y te ayudamos!

 

Protección de Datos y Ciberseguridad

· · Dejar un comentario

En los últimos años se han duplicado los ciberataques por medio de la ingeniería social. Es decir, para un ciberdelincuente es, literalmente, el doble de fácil engañar a una persona con falsos emails, SMS y mensajes de WhatsApp que encontrar una vulnerabilidad de software para robarle directamente.

Se trata de un verdadero problema porque la ambición de los hackers no tiene límite. En muchas ocasiones se ‘conforman’ con hacerse con los datos bancarios o cuentas de email de una persona. Pero otras muchas veces aprovechan la información que recaban sobre uno o varios individuos para ciberatacar la empresa u organización en la que trabajan.

En este sentido, cada día es más habitual leer noticias en las que ‘todo el sistema informático de una compañía ha sido tumbado por unos hackers que consiguieron introducir un virus por medio del email en un trabajador’.

Es importante tener en cuenta que todas las personas cometemos errores. Todas. Desde el empleado que se acaba de incorporar hasta el máximo directivo de la organización. A veces, los fallos se producen por falta de atención, es decir por un despiste; por errores de percepción, cuando por ejemplo, pensamos que un correo es legítimo cuando en realidad no lo es; o por errores en la decisión tomada, es decir, cuando sospechamos que algo puede ser peligroso pero asumimos el riesgo y finalmente vemos que hemos tomado una decisión incorrecta.

“La formación es necesaria, pero no es suficiente para evitar riesgos por ataques que explotan el factor humano, por muy formados que estén los empleados de una compañía, si hay alguna vulnerabilidad en los servidores corporativos, tarde o temprano, los hackers conseguirán engañar a alguien para tener barra libre en el sistema”.

Hoy en día la mayor parte de las empresas, sobre todo las pymes, siguen teniendo un nivel bajo de seguridad.

No existe la seguridad perfecta, y los ataques pueden venir desde fuera o desde dentro. Es imposible estar protegido siempre al 100%, aunque se puede estar mejor preparado para evitar los incidentes.

¿Cuáles son los errores en las empresas en seguridad informática?

  • No se dispone de antivirus actualizado. Y en muchos casos se dispone de antivirus gratuitos que no están actualizados y que por tanto no nos protegen bien.
  • No se instalan los parches de seguridad. En los parches se corrigen vulneraciones de seguridad, es importante actualizarlos siempre
  • Se confía en la suerte. Hay malware en muchísimos emails, muchísimo spam.
  • Las contraseñas son débiles.La contraseña más utilizada es 123456 ¡por favor, no la utilices!, crea contraseñas seguras de más de 8 dígitos, que combinen mayúsculas, minúsculas y algún símbolo, que sean fácil de recordar para ti pero que no tengan relación con tu vida (nombre de la mascota, hijo, marido, fechas especiales, etc.)
  • No se dispone de protectores de pantalla y no se configura la contraseña para entrar en PC, portátiles, móviles, Tablet, o no se cambia la contraseña de módems, electrodomésticos, cámaras de videovigilancia, etc.
  • Se navega en redes wifi-gratuitas..
  • Se entra en webs que no tienen un certificado de seguridad instalado esto lo identificaras fácilmente si ves un candado cerrado junto a la dirección de la web.
  • Se descargan apps de fuentes desconocidas. Hay aplicaciones maliciosas en las tiendas oficiales, imagínate en las no oficiales. Revisa siempre las condiciones del servicio, y a qué datos del móvil va a tener acceso la aplicación, la política de privacidad. Si te descargas una APP que tiene acceso a todo, le estás dejando la puerta abierta a todos tus datos (tarjetas, claves, contactos, redes sociales, correo electrónico, etc.)

Dejemos de pensar que eso no me va a pasar a mí o que yo (a nivel particular) o mi empresa (a nivel profesional) no es interesante.

¿Sabes cuánto se estima que se paga por los datos en el mercado negro?

  • nº de tarjeta de crédito 30€
  • Dirección y teléfono 60€
  • Si además disponen de la banda magnética y el PIN 100€

En la siguiente web https://threatmap.checkpoint.com/ podrás ver a tiempo real el número de ataques producidos en el mundo hoy mientras escribo este articulo se han producido ya 5.610.390 ataques.

Todos cometemos errores. Generalmente es por falta de atención, por falta de percepción (parecía que el email realmente era de la agencia tributaria); errores de decisión (sabía que no tenía que hacer clic en el archivo, pero le di sin querer. Hay mucha ingeniería social por detrás que hace pruebas y pruebas.

Cuando es un ataque dirigido a una empresa es todavía más difícil de adivinar. Llegando incluso a suplantar la identidad de una persona de la empresa o de un colaborador.

Contacta con nosotros o bien llámanos al 93 465 25 47 y realizaremos un análisis de riesgos y te asesoraremos sobre las soluciones de seguridad que te ayudaran a proteger los datos.

Adapta tu empresa a la Protección de Datos Cumple la normativa