Transparencia

Sanción de 310 millones de euros a LikedIn Irlanda por vulnerar el RGPD; ranking de sanciones actualizado

Miguel Urrea · 12/12/2024 · Dejar un comentario

La DPC ha sancionado a LikedIn Irlanda por vulnerar el RGPD ranking de sanciones actualizado

Recientemente la DPC ha anunciado su decisión final sobre una investigación contra LinkedIn Ireland Unlimited Company. El resultado, la DPC ha sancionado a LinkedIn Irlanda con 310 millones de euros por vulnerar el RGPD.

La Comisión de Protección de Datos de Irlanda (DPC, por sus siglas en inglés) es la autoridad independiente responsable de supervisar y garantizar la protección de los datos personales y el cumplimiento del Reglamento Europeo de Protección de Datos (RGPD) en Irlanda. En España, la autoridad equivalente a la DPC es la Agencia Española de Protección de Datos (AEPD).

Esta investigación comenzó en el 2018, tras una denuncia presentada ante la Autoridad de Protección de Datos de Francia por parte de la organización francesa La Quadrature Du Net. Este caso fue transferido a la DPC debido a su papel como autoridad principal supervisora de LinkedIn en Europa, ya que la red social tiene su sede en Irlanda.

El foco de la investigación se centró en cómo LinkedIn procesaba datos personales de los usuarios para fines de análisis de comportamiento y publicidad dirigida. Esto incluía tanto los datos proporcionados directamente por los usuarios como los obtenidos a través de socios externos.

La DPC determinó que LinkedIn había vulnerado el RGPD al procesar dichos datos de manera ilícita, ya que no podía justificar estas prácticas en ninguna de las bases legales exigidas:

Consentimiento del usuario: El consentimiento obtenido por LinkedIn no fue otorgado de forma libre, suficientemente informada, específica ni inequívoca.
Interés legítimo: Los derechos y libertades fundamentales de los usuarios prevalecen sobre el interés legítimo alegado por LinkedIn.
Necesidad contractual: LinkedIn no logró justificar que el tratamiento de estos datos personales fuera necesario para cumplir un contrato, especialmente en lo relacionado con fines de análisis y publicidad.

Además, LinkedIn incumplió las obligaciones de transparencia del RGPD al no informar claramente a los usuarios sobre las bases legales que respaldaban su uso de datos. Según la DPC, estas prácticas eran potencialmente engañosas, inesperadas e incluso perjudiciales para los usuarios, infringiendo el principio de equidad del RGPD.Y, por ello le impuso:

Una amonestación oficial por sus prácticas de tratamiento de datos.
Una orden para ajustar su procesamiento de datos y alinearlo con el RGPD.
Una multa de 310 millones de euros, una de las más altas impuestas por el incumplimiento del RGPD hasta la fecha.

Con esta decisión, la DPC refuerza la necesidad de que las empresas actúen con transparencia y respeten los derechos fundamentales de los usuarios al manejar sus datos personales.

Ranking de sanciones actualizado

Han transcurrido algo más de dos años desde que publicamos nuestro primer ranking sobre sanciones por incumplir el RGPD, y desde entonces, los importes de las sanciones impuestas han seguido alcanzado cifras récord.

Si repasamos ese ranking de finales de 2020, veremos que la sanción más alta era la de 50 millones de euros impuesta por Comisión Nacional de Informática y Libertades de Francia (CNIL) a Google.

En la versión actualizada de nuestro ranking, esa sanción ha desaparece del top 5. Este aumento en los importes de las multas se debe a que el RGPD permite calcular las sanciones en función del volumen de negocio total anual global del último ejercicio financiero de la empresa infractora. En concreto, el RGPD establece lo siguiente:

Infracciones graves: se sancionan con una multa de hasta 10 millones de euros o con el 2% del volumen de facturación anual global de la empresa, dependiendo de cuál de los dos importes sea mayor.
Infracciones muy graves: se sancionan con una multa de hasta 20 millones de euros o con el 4% del volumen de facturación anual global de la empresa, dependiendo de cuál de los dos importes sea mayor.

De esta manera, las empresas con mayores ingresos están sujetas a sanciones proporcionalmente más altas, lo que incrementa considerablemente el impacto de las multas.

Ahora sí os dejamos el ránking de sanciones actualizado…

1. Meta (Facebook) – 1.2 mil millones de euros

Autoridad de control: Comisión de Protección de Datos de Irlanda (DPC).
Motivos: Meta fue multada en mayo de 2023 por transferir datos personales de usuarios de la UE a EE. UU. sin las garantías adecuadas.
Nota informativa: https://www.edpb.europa.eu/news/news/2023/12-billion-euro-fine-facebook-result-edpb-binding-decision_en

2. Amazon – 746 millones de euros

Autoridad de control: Comisión Nacional de Protección de Datos de Luxemburgo (CNPD).
Motivos: En julio de 2021, Amazon fue multada por no obtener un consentimiento adecuado de los usuarios para el tratamiento de datos en la publicidad personalizada.
Nota informativa: https://cnpd.public.lu/en/actualites/international/2021/08/decision-amazon-2.html

3. LinkedIn – 310 millones de euros

Autoridad de control: Comisión de Protección de Datos de Irlanda (DPC).
Motivos: En octubre de 2024, LinkedIn fue multada por no obtener el consentimiento adecuado de los usuarios para el tratamiento de sus datos personales relacionados con la publicidad personalizada, por haber realizado un tratamiento de datos personales in una base de legitimación y por haber incumplido el principio de transparencia.
Nota informativa: https://www.dataprotection.ie/en/news-media/press-releases/irish-data-protection-commission-fines-linkedin-ireland-eu310-million

4. WhatsApp – 225 millones de euros

Autoridad de control: Comisión de Protección de Datos de Irlanda (DPC).
Motivos: En septiembre de 2021, WhatsApp fue multada por no informar adecuadamente a los usuarios sobre el uso de sus datos, especialmente en relación con el intercambio de datos con otras empresas del grupo Meta.
Nota informativa: https://www.dataprotection.ie/en/dpc-guidance/law/decisions/whatsapp-ireland-ltd-august-2021-0#WhatsApp

5. Google – 150 millones de euros

Autoridad de control: Comisión Nacional de Informática y Libertades de Francia (CNIL).
Motivos: En diciembre de 2021, Google fue por dificultar a los usuarios el proceso de rechazo de cookies en sus sitios web, violando la ley de protección de datos.
Nota informativa: https://www.cnil.fr/en/closure-injunction-issued-against-google

Si necesitas asesoramiento en materia de protección de datos, desde Qualgest podemos ayudarte. Contacta con nosotros y te ofreceremos una solución a medida para que cumplas con todas las obligaciones exigidas en la normativa de protección de datos.

La DPC ha iniciado investigaciones contra Google por su modelo de IA

Miguel Urrea · 10/12/2024 · Dejar un comentario

La DPC ha iniciado investigaciones contra Google por incumplir el RGPD su modelo de IA

La DPC ha iniciado investigaciones contra Google Ireland Limited por su modelo IA.

La DPC pretende averiguar si Google cumplió con la normativa europea sobre protección de datos personales (el RGPD) durante el desarrollo de su modelo de inteligencia artificial Pathways Language Model 2 (PaLM 2).

La investigación busca responder una cuestión clave: ¿realizó Google una evaluación adecuada de los riesgos antes de procesar datos personales de ciudadanos de la Unión Europea (UE) y del Espacio Económico Europeo (EEE) en el entrenamiento de PaLM 2?

El articulo 35 del RGPD exige la realización de una Evaluación de Impacto en la Protección de Datos (EIPD) antes de llevar a cabo tratamientos de datos personales considerados de alto riesgo, como ocurre al desarrollar tecnologías avanzadas como modelos de IA. Esta evaluación tiene como objetivo identificar los posibles riesgos para los derechos y libertades de las personas, garantizar que los tratamientos sean necesarios y proporcionales, y establecer medidas de protección que reduzcan dichos riesgos.

La DPC cuestiona si Google realizó esta evaluación de manera adecuada antes de embarcarse en un proyecto tan ambicioso como el desarrollo de PaLM 2. Lo significativo de esta investigación no solo radica en poner bajo escrutinio a Google, sino también en subrayar un esfuerzo conjunto de la DPC y otros reguladores europeos para vigilar cómo las grandes empresas tecnológicas gestionan los datos personales en el ámbito de la inteligencia artificial.

En un mundo donde la innovación tecnológica parece avanzar más rápido que las leyes, iniciativas como esta reflejan el compromiso de las autoridades por equilibrar el desarrollo tecnológico con la protección de los derechos fundamentales.

Estas acciones buscan garantizar que los gigantes tecnológicos no solo impulsen la innovación, sino que también lo hagan respetando la privacidad y los derechos de las personas.

Últimas novedades sobre la inteligencia artificial en el mundo

Antes de despedirnos, queremos compartir contigo algunos de los acontecimientos más relevantes sobre IA ocurridos en los últimos meses.

Europa marca un hito con la firma del primer acuerdo global sobre inteligencia artificial

La Unión Europea ha dado un paso histórico al firmar el Convenio Marco del Consejo de Europa sobre Inteligencia Artificial, el primer acuerdo internacional jurídicamente vinculante en esta materia. Este convenio, firmado en Vilna (Lituania), establece un enfoque común para garantizar que los sistemas de IA respeten los derechos humanos, la democracia y el Estado de Derecho, permitiendo al mismo tiempo la innovación y la confianza.

El convenio recoge principios clave de la Ley de IA de la UE, como el enfoque basado en el riesgo, la transparencia, la gestión de riesgos y estrictas obligaciones para los sistemas de IA de alto riesgo. Además, permite incluso la prohibición de tecnologías que amenacen gravemente los derechos fundamentales.

A la firma asistieron representantes de la UE, Estados miembros del Consejo de Europa y países como Estados Unidos, Japón, Canadá, México y Argentina, así como organizaciones de la sociedad civil, la academia y la industria, garantizando una perspectiva global. Este logro consolida el liderazgo europeo en el debate internacional sobre IA, con esfuerzos paralelos en foros como el G-7, la OCDE y las Naciones Unidas.

Ahora, el Convenio será integrado en la normativa europea a través de la Ley de IA, pendiente de aprobación por el Consejo y el Parlamento Europeo. Con este avance, Europa reafirma su compromiso con una inteligencia artificial segura, ética y al servicio de las personas.

La OCDE publica un documento de políticas sobre IA en finanzas

El 5 de septiembre de 2024, la Organización para la Cooperación y el Desarrollo Económicos (OCDE) anunció la publicación de un documento de políticas sobre los enfoques regulatorios hacia la inteligencia artificial en el ámbito financiero.

Este documento, entre otras cosas, examina diversos enfoques regulatorios relacionados con el uso de la IA en finanzas en 49 jurisdicciones, abarcando tanto países miembros como no miembros de la OCDE. Aunque la mayoría de estas jurisdicciones cuentan con regulaciones generales aplicables a actividades financieras, independientemente de la tecnología utilizada, muchas carecen de normativas específicas para la IA. Solo una minoría de reguladores ha desarrollado directrices específicas sobre IA, y la mayoría no tiene previsto implementar nuevas regulaciones a corto plazo.

El documento también identifica áreas clave de riesgo, como la ciberseguridad, la manipulación del mercado y los sesgos, destacando las preocupaciones sobre la vulnerabilidad de la IA a ciberataques, incluyendo ataques adversariales y la creación de deepfakes, que podrían facilitar el robo de identidad o el fraude.

China lanza un marco de gobernanza de seguridad para la IA

El Comité Técnico Nacional de Normalización de Seguridad de la Información de China (TC260) presentó, el 9 de septiembre de 2024, el Marco de Gobernanza de Seguridad de la Inteligencia Artificial, diseñado para guiar el desarrollo y la implementación segura de la IA en el país.

Este marco promueve un enfoque centrado en las personas, la innovación y la inclusividad, al tiempo que aborda la identificación y mitigación de riesgos asociados con la IA. Entre sus propuestas destacan:

Actualizaciones constantes de las medidas de control.
Clasificación de los riesgos de seguridad de la IA.
Sugerencias de medidas tecnológicas y de gobernanza para garantizar la seguridad de los datos.
Estrategias para mitigar riesgos y garantizar el cumplimiento normativo en flujos transfronterizos de datos.

Además, el documento establece directrices de seguridad para todos los actores involucrados en la IA y detalla un sistema para su desarrollo y aplicación responsable, asegurando que el uso de la IA sea seguro, ético y beneficioso para todos.

La inteligencia artificial sigue evolucionando a pasos agigantados, y estos avances regulatorios reflejan el compromiso global por aprovechar su potencial mientras se mitigan sus riesgos.

Guía de Cookies 2023: Cómo configurar las cookies de tu sitio web para cumplir con la normativa en España

Miguel Urrea · 29/11/2023 · Dejar un comentario

El pasado mes de julio de 2023, la Agencia Española de Protección de Datos (AEPD) publicó una nueva versión de su Guía sobre el uso de las cookies (en adelante, la Guía de Cookies 2023) en la que se incluyen nuevos criterios sobre el uso de cookies que deberán implementarse, como tarde, el 11 de enero de 2024 para evitar posibles sanciones.

En esta entrada vamos a repasar lo más importante de la Guía de Cookies 2023. Pero antes ten en cuenta que, debido a la complejidad del tema, es aconsejable que contactes con un experto, ¡como nosotros!, para que puedas recibir ayuda personalizada, aplicar medidas que se adapten a las necesidades de tu negocio y te permitan cumplir con todas las obligaciones legales sobre el uso de cookies.

¿Qué son las cookies?

Las cookies son dispositivos de almacenamiento y recuperación de datos que se instalan en tu terminal cuando navegas. Sus funciones pueden ser muy diversas, por ejemplo, reconocerte como usuario, guardar tus preferencias de navegación (idioma, moneda, etc.), personalizar la forma en la que ves el contenido y guardar tus hábitos de navegación, entre otras. Existen otras tecnologías similares a las cookies, como los web beacons, los bugs y los píxels, por mencionar algunas, que también permiten almacenar y recuperar determinada información. A partir de ahora, cuando os hablemos de cookies nos estaremos refiriendo a las cookies en sí y a estas otras tecnologías similares.

Tipos de cookies

Las cookies pueden clasificarse de muchas formas, no existe una lista cerrada como tal. A continuación, te detallamos las categorías de cookies más habituales.

Según la entidad que las gestione:

Cookies propias
Cookies de terceros

Según su finalidad:

Cookies técnicas
Cookies de preferencias o personalización
Cookies de análisis o medición
Cookies de publicidad comportamental

Según el plazo de tiempo que permanecen activadas:

Cookies de sesión
Cookies persistentes

Obligaciones sobre el uso de cookies

La Guía de Cookies 2023 nos recuerda que para el uso de cookies la ley establece dos obligaciones principales, por un lado, la obligación de transparencia y, por otro lado, la obligación de obtener el consentimiento del usuario antes de utilizarlas. Esto quiere decir que a la hora de solicitar el consentimiento de los usuarios para el tratamiento de sus datos mediante cookies se les debe ofrecer información clara y lo suficientemente completa como para permitir que éstos entiendan las finalidades y el uso que se le dará a las cookies y a la información que éstas recopilan.

Pese a lo anterior, tal y como se menciona en la Guía de Cookies 2023, quedan exceptuadas de estas obligaciones aquellas cookies que se utilicen para alguna de las siguientes finalidades:

Permitir únicamente la comunicación entre el equipo del usuario y la red.
Permitir prestar un servicio que haya sido solicitado expresamente por el usuario, siempre y cuando sean estrictamente necesarias para ello.

Aquí os dejamos varios ejemplos de tipos de cookies que por su finalidad podrían considerarse como cookies exceptuadas:

Cookies de entrada del usuario.
Cookies de autenticación o identificación de usuario (únicamente las de sesión).
Cookies de seguridad del usuario.
Cookies de sesión de reproductor multimedia.
Cookies de sesión para equilibrar la carga.
Cookies de personalización de la interfaz de usuario.
Determinadas cookies de complemento (plug-in) para intercambiar contenidos sociales (solo si el usuario ha decidido mantener la sesión abierta).

Aunque solo utilices cookies exceptuadas, lo más recomendable, por razones de transparencia, es que aun así en el banner de cookies y en la política de cookies informes a los usuarios sobre el uso de cookies exceptuadas. Echa un vistazo al siguiente ejemplo para entenderlo mejor:

Aspectos clave para cumplir con la obligación de transparencia

Tal y como mencionábamos anteriormente, debes informar a los usuarios sobre el uso de cookies no exceptuadas de una forma clara, transparente, inteligible y completa. Además, debes asegurarte de que la información sea de fácil acceso, esto quiere decir que el usuario no debe buscar la información, sino que debe ser evidente para él dónde y cómo acceder a ella (que no se encuentre a más de dos clics, como recomienda el GT29 en sus directrices sobre la transparencia).

Para cumplir con la obligación anterior se recomienda presentar la información por capas, ya que de esta forma se evita la fatiga informativa del usuario, permitiéndole consultar directamente aquellos aspectos que le sean de mayor interés. A continuación, te detallamos cómo podrías repartir la información en dos capas.

En la primera capa (por ejemplo, en el banner de cookies):

El nombre de tu empresa o marca (cuando sea evidente no será necesario incluirlo);
Las finalidades de las cookies que se utilizan, indicando qué cookies son propias y cuales son de terceros;
Si van a elaborarse perfiles de los usuarios, el tipo de datos que se van a recopilar y utilizar;
La forma en la que el usuario puede aceptar, configurar y rechazar la utilización de cookies;
Un enlace claramente visible que dirija a una segunda capa informativa donde se incluya información mucho más detallada.

En la segunda capa (por ejemplo, en la política de cookies) deberías incluir toda la información sobre uso de cookies, ya que en este caso sería la última capa.

Definición y función genérica de las cookies.
Información sobre el tipo de cookies que se utilizan y su finalidad.
Identificación de quién utiliza las cookies.
Información sobre la forma de aceptar, denegar o revocar el consentimiento para el uso de cookies.
Información sobre las transferencias de datos a terceros países, en caso de que se realicen.
Información sobre elaboración de perfiles y decisiones automatizadas
Periodo de conservación de los datos para los diferentes fines.

Aspectos clave para cumplir con la obligación de obtención del consentimiento

Los usuarios deben consentir el uso de cookies de forma libre e informada para que su consentimiento se considere válido. Por ello es importante asegurarse, entre otras cosas, que el usuario sea consciente de que está otorgando su consentimiento y de qué está consintiendo.

La Guía de Cookies 2023, insiste en que cuando el usuario decida seguir navegando en el sitio web, app o plataforma sin aceptar, configurar o rechazar las cookies no podrá darse por hecho que el usuario ha aceptado el uso de cookies.

También es importante que la información que otorgues al usuario para que pueda consentir el uso de cookies no se mezcle con información sobre otros asuntos, debe ir por separado. La aceptación de las cookies también debe ir por separado, no es válido que en una misma acción el usuario acepte el uso de cookies y los términos y condiciones de uso, por poner un ejemplo.

Importante:

No se puede dar la impresión al usuario de que tiene que aceptar obligatoriamente las cookies para navegar por el sitio web.
No se puede empujar claramente al usuario a aceptar las cookies.
El color o contraste del texto de los botones no podrá llevar a un consentimiento involuntario.

La opción para rechazar las cookies debe aparecer en la misma capa y al mismo nivel que la opción para aceptarlas. El mecanismo empleado para rechazar las cookies (botón u otro) debe ser similar al que se utilice para aceptarlas.

Actualización y retirada del consentimiento

Puedes guardar las preferencias de consentimiento de un usuario para evitar que cada vez que vuelva a visitar tu sitio web, app o plataforma tenga que configurar las cookies de nuevo. Sin embargo, la AEPD recomienda en su Guía de Cookies 2023 que el consentimiento prestado por un usuario para una determinada cookie se actualice como máximo cada 24 meses.

Por otro lado, has de tener en cuenta que los usuarios deben poder retirar el consentimiento en cualquier momento con la misma facilidad con la que aceptaron el uso de cookies. Es importante que en la política de cookies informes a los usuarios sobre cómo pueden retirar su consentimiento y eliminar las cookies.

Una solución sencilla para cumplir con la obligación anterior sería permitir a los usuarios que puedan acceder en cualquier momento al banner de cookies para poder aceptar más cookies o retirar su consentimiento sobre aquellas aceptadas previamente.

**Principales errores a la hora de configurar un banner de cookies**

A continuación, podrás ver un ejemplo de un banner de cookies que incumple con las obligaciones y recomendaciones recogidas en la Guía de Cookies 2023.

Primera capa

Errores:

La información no se está presentando de forma clara y, además, se da la impresión de que obligatoriamente se tienen que aceptar las cookies.
El color del texto de los botones puede inducir a un consentimiento involuntario. Además, el texto del botón “configurar” debería estar en un color que resalte más y facilite su lectura.
No hay un botón que permita rechazar las cookies. Este botón tiene que estar al mismo nivel que el botón de aceptar.

Segunda capa

Errores:

Falta añadir información sobre las cookies que se utilizan. También falta un enlace que dirija a algún apartado con más información sobre el uso de cookies o directamente a la Política de Cookies.
El color del texto de los botones puede inducir a un consentimiento involuntario. Además, el texto del botón “guardar preferencias” debería estar en un color que resalte más y facilite su lectura.
Las cookies no exceptuadas (las de análisis o medición y las de publicidad comportamental) aparecen pre aceptadas.
No hay un botón que permita rechazar todas las cookies a la vez. Este botón tiene que estar al mismo nivel que el botón de aceptar.

**Cómo configurar un banner de cookies**

A continuación, podrás ver un ejemplo de un banner de cookies con dos capas informativas que ha sido configurado siguiendo las directrices establecidas en la Guía de Cookies 2023.

Primera capa

Segunda capa

Y hasta aquí llega nuestra entrada de hoy, esperamos que te haya resultado útil y recuerda que lo más aconsejable es buscar la asesoría de un experto en este tema si quieres evitar posibles sanciones. Nosotros (Qualgest) podemos ser el experto que te ayude a detectar y clasificar las cookies que utilizas, a configurar correctamente un banner de cookies y a redactar una política de cookies, entre otras cosas.

ENTRADAS RELACIONADAS:

Guía de cookies 2020: ¿Cómo debo configurar las cookies de mi web para no ser sancionado?

KEYWORDS: Guía de Cookies 2023, Protección de Datos, Uso de cookies, Configuración de cookies, Obligaciones sobre cookies, Transparencia, Consentimiento, RGPD, LOPDGDD, LSSI.