Barrido de cookies de las agencias europeas de protección de datos

Hoy empieza el barrido coordinado de cookies de las agencias europeas de protección de datos, de acuerdo con el comunicado de adigital de la semana pasada.

Este barrido, denominado “European cookie sweep”, finalizará el 19 de septiembre y tiene la finalidad de monitorizar y evaluar el cumplimiento de la normativa europea que regula el uso de cookies en materia de consentimiento e información al usuario.

Los datos obtenidos podrían servir de base a las agencias nacionales para posteriores revisiones individualizadas de los sitios web evaluados en este barrido.

Comunicado de adigital:

http://www.adigital.org/noticias/european-cookie-sweep-las-agencias-de-la-ue-accederan-los-sites-para-comprobar-el

Mi primera colección de software

De la época en que el software se vendía principalmente en cajas, con discos de 5 pulgadas y cuarto, después de 3 y medio y después en CDrom.

Entre los veteranos destacan la primera versión de Windows, el popular dBase III de Ashton Tate y el software de autoedición Ventura Publisher de Xerox, entre otros.

ColeccionSW

Riesgo residual y riesgo aparente

En la navegación a vela se llama viento aparente al resultado que se produce cuando al viento real se suma el generado por la propia velocidad de la embarcación. Se produce una discrepancia entre la realidad ambiental y la que el tripulante percibe, que en este caso es positiva, ya que el viento aparente hace que la embarcación alcance una velocidad muy superior a la del viento real. Gracias a ello, los superveleros de la Copa América pueden alcanzar velocidades superiores a los 20 nudos con vientos de 12 nudos.

En el mundo de la empresa se llama riesgo residual al resultado de restar al riesgo real el efecto de las medidas preventivas y los controles. En el plano teórico, el objetivo es que el riesgo residual tienda a ser cero, ya que el valor asignado al control debe ser cercano o igual al valor asignado al riesgo.

Digo en el plano teórico, porque en la práctica el riesgo real es difícil de medir, el control es relativo y su eficacia es meramente especulativa. Todo ello hace que no podamos hablar de riesgo residual, sino de riesgo aparente, ya que, al igual que en la navegación a vela, se produce una discrepancia entre la realidad ambiental y la que la empresa percibe. Pero en este caso el efecto es negativo, ya que trabajar con riesgos residuales cercanos a cero puede dar una sensación falsa de seguridad y tranquilidad que puede llegar a ser muy peligrosa.

En la prevención de la responsabilidad penal de las empresas y los directivos, ¿las empresas están trabajando con riesgos residuales o con riesgos aparentes?

La respuesta es muy fácil. Si en el análisis de riesgos se ha asignado un valor 5 al riesgo de corrupción, y un valor 4,5 a la existencia de un código ético que prohíbe la corrupción en la empresa, decir que el valor residual es 0,5 es una aberración.

Desgraciadamente, el riesgo es siempre aparente y la seguridad es pura percepción, por lo que una actividad preventiva eficaz no puede estar basada exclusivamente en un modelo teórico que arroje un riesgo residual bajo. Sería lo mismo que confiar en los buenos resultados de una startup fijándonos sólo en su plan de negocio.

Por otro lado, el valor residual de un mes no tiene nada que ver con el del mes siguiente, por lo que de nada sirve basar la actividad preventiva en un análisis hecho hace dos años.

El control debe ser por lo tanto continuado, adaptado, cercano a la fuente del riesgo, actualizado, desconfiado, experto, comprobado, auditado, acreditado y basado en evidencias.

El riesgo nunca es residual, ya que el control nunca es constante, y su eficacia tampoco.

Novedades de la propuesta de Reglamento UE de Protección de Datos

Durante este mes de junio nuestro despacho ha organizado un ciclo de desayunos de trabajo en los que RAMÓN MIRALLES, Coordinador de Auditoría y Seguridad de la Información en la Autoridad Catalana de Protección de Datos, ha expuesto las principales novedades de la propuesta de Reglamento UE de Protección de Datos tras las últimas enmiendas aprobadas y ha anticipado los puntos que probablemente formarán parte de la nueva norma.

Agradecemos a Ramón Miralles su participación como ponente en este ciclo de reuniones de trabajo y sus aportaciones en el posterior debate, que ha sido muy enriquecedor para los asistentes.

En este documento se resumen los principales puntos de su ponencia:

Novedades del Reglamento UE sobre Protección de Datos

 

Debate sobre Uber en un taxi

PASAJERO 1: Ayer no había ni un taxi en toda la ciudad. ¿Cuál era exactamente el motivo de la protesta?

TAXISTA: Nos manifestamos en contra de estas aplicaciones que permiten a los particulares ponerse de acuerdo a través de Internet para realizar desplazamientos en las ciudades. El resultado final es que cualquier coche particular puede convertirse en taxi y nosotros nos quedaremos sin trabajo.

PASAJERO 1: Lo comprendo. En nuestra empresa desarrollamos un programa de ordenador muy popular que fue de los más compartidos en Internet. Primero con el P2P y ahora con las descargas directas. Ello nos obligó a transformarnos y ahora lo hemos convertido en un servicio.

TAXISTA: Pero en nuestro caso el particular necesita una licencia.

PASAJERO 1: En nuestro caso también. Aunque es el usuario final el que la necesita.

TAXISTA: Pero yo no puedo saber si un conductor particular lleva pasajeros en el coche o es su familia, porque no los conozco.

PASAJERO 1: Yo tampoco conozco a los que comparten mis programas gratuitamente por Internet, ni sé siquiera cuántos son.

TAXISTA: Pero no compare. Nosotros vivimos de esto. Bueno ustedes también. Pero hay muchos otros componentes, como la seguridad. Y nuestra actividad ya es un servicio actualmente. Podemos mejorarlo, pero no podemos servir cafés a los pasajeros al mismo tiempo que conducimos.

PASAJERO 1: Un programa bajado de Internet de una fuente desconocida también puede generar problemas de seguridad, pero tiene usted razón en que en el caso de un taxi la seguridad afecta mucho más al pasajero. En un taxi puedes tener una mayor certeza de que ha pasado inspecciones técnicas más exigentes que las de un coche particular, pero ello no impide que el taxista cometa imprudencias de vez en cuando. Y en cuanto al servicio he visto casos que son un modelo a seguir, en cuando a limpieza, temperatura, volumen de la música, elección de la ruta y muchos otros factores que influyen en la comodidad del pasajero. Lo que nosotros llamamos la experiencia de usuario.

PASAJERO 2: Yo trabajo en un hotel y estamos muy preocupados con las aplicaciones que permiten encontrar a particulares que alquilan pisos por días a través de Internet. Nuestro servicio está valorado con una media de 7,5 puntos por nuestros clientes, pero el que sólo se fija en el precio preferirá un piso particular.

PASAJERO 3: Yo trabajo en una empresa de transportes y mensajería y ya están empezando a salir aplicaciones como las que afectan a los taxis, que permiten localizar a particulares dispuestos a hacer de transportista o de mensajero.

TAXISTA: Pues si todos estos particulares no declaran estos ingresos la economía del país se va a resentir.

PASAJERO 1: Y si contamos el IVA que deja de recaudarse con las descargas de Internet también. Pero hay que tener en cuenta que no todas las descargas sustituyen a una compra. Muchos usuarios descargan porque es gratis. Si tuviesen que pagar no lo comprarían. Es posible que el usuario de un taxi particular sea distinto del usuario de un taxi profesional.

PASAJERO 2: Es cierto que el precio influye. En los comparadores online puedes escoger el hotel más barato.

PASAJERO 3: Y el viaje más económico.

PASAJERO 2: Y nada impide que, gracias a Internet, cientos de usuarios se pongan de acuerdo para comprar cualquier producto a precio de mayorista. Si el precio es lo que al final importa seguro que encuentran masa crítica para conseguir grandes descuentos.

PASAJERO 1: Es la llamada economía colaborativa y va a obligar a muchos negocios a adaptarse o desaparecer, como ha pasado con múltiples intermediarios: videoclubs, tiendas de discos, agencias de viajes. También hay aplicaciones que facilitan los préstamos entre particulares y sitios donde puedes obtener aportaciones voluntarias para financiar tu proyecto a cambio de ciertos privilegios en el producto final.

TAXISTA: Por suerte, en muchos sitios se han prohibido las aplicaciones que amenazan a nuestro sector.

PASAJERO 1: Es cierto, la cuestión es plantearse si el Estado tiene que intervenir para proteger a un sector o si, al contrario, tiene que dejar que los cambios se produzcan, aunque los efectos sean negativos. Al final, el dinero no se crea ni se destruye, sólo cambia de manos y, en este caso, de sector. Internet ha influido decisivamente en este cambio.

TAXISTA: Espero que no dejen morir este sector, del que viven muchas familias. Igual que no dejaron que el sector financiero se hundiese. Ya hemos llegado. Son 17,20.

PASAJERO 2: Tenga. Cobre 18.

TAXISTA: No tengo cambio de 50. No estamos obligados. Por cuestiones de seguridad.

PASAJERO 2: ¿Acepta tarjetas?

TAXISTA: No. Pero ahí tiene usted un bar. Y al lado un cajero.

PASAJERO 1: ¿Ahí no había un videoclub?

TAXISTA: No abra la puerta todavía que viene una moto.

PASAJERO 1: Esto también entra en el concepto seguridad.

TAXISTA: Ríase usted si quiere, pero es un reflejo que todavía no han adquirido los taxistas particulares.

Un nuevo paso para la aprobación del Reglamento UE de Protección de Datos a final de año

El Consejo de Justicia de la UE, formado por los ministros de Justicia e Interior de la Unión Europea, llegó ayer en Luxemburgo a un acuerdo en ciertas materias que acercan las posiciones y permiten mantener la planificación inicial de aprobar el Reglamento a finales de año.

Las materias en las que hubo acuerdo son las siguientes:

1. Régimen de la transferencia de datos a terceros países o en el seno de organizaciones internacionales.

2. Aspectos relativos al ámbito territorial, que incluyen la aplicación de las obligaciones del Reglamento a todas las empresas que operen en el Mercado Único Europeo, aunque no sean europeas.

3. Definición del concepto Binding Corporate Rules.

4. Definición del concepto organizaciones internacionales.

Se debatieron también aspectos relativos al principio one-stop-shop, que incluye la posibilidad de que una empresa se dirija a una única autoridad nacional de protección de datos para negociar cuestiones relativas a su actuación en todo el Mercado Único Europeo. Este punto no está exento de polémica, ya que las empresas podrían dirigirse sistemáticamente a las autoridades nacionales menos exigentes en detrimento de las “Rottweiler authorities”. Este debate ha quedado aplazado para próximas reuniones.

En la actualidad hay tres puntos que actúan como aceleradores del proceso y que permiten pronosticar nuevos avances en la reunión del Consejo de la UE prevista para los días 26 y 27 de este mes.

Estos tres puntos son:

1. El caso Snowden y los escándalos de espionaje de EEUU
2. La sentencia del TJUE relativa al derecho al olvido
3. El mercado único digital

La comisaria europea de Justicia, Viviane Reding, principal impulsora de esta iniciativa legislativa, hizo ayer especial énfasis en la necesidad de que la UE apruebe el Reglamento lo antes posible y afirmó que, con los acuerdos alcanzados, esta aprobación estaba más próxima.

La reunión del Consejo de la UE de finales de este mes también permitirá ver la posición de Inglaterra y la influencia en ella de EEUU. Está previsto que la normativa norteamericana vaya alineándose progresivamente a la europea en materia de protección de datos y alejándose de la amenaza de suspensión de los acuerdos Safe Harbor originada tras los escándalos de espionaje.

10 errores habituales en el análisis de riesgos

El proyecto de reforma del Código Penal y la certificación Iuriscert de AENOR en relación a los sistemas de prevención de delitos en las empresas dan mucha importancia al proceso de análisis de riesgos. Desde la reforma de 2010 muchas empresas han basado el diseño de su modelo de prevención y control de delitos en un mapa de riesgos elaborado internamente o a través de un consultor externo. En este artículo resumo mi opinión personal sobre los informes que he revisado y en especial, sobre los errores que, a mi modo de ver, se repetían en ellos, y que podían distorsionar los resultados.

1. Basar el análisis exclusivamente en fórmulas matemáticas

Los cálculos relativos a la probabilidad y al impacto de los riesgos analizados pueden realizarse manualmente o con el apoyo de aplicaciones y hojas de cálculo. Estas herramientas son de gran ayuda, pero no pueden ser el único soporte del análisis de los riesgos. Las fórmulas deben contener factores de ponderación que permitan ajustar los cálculos a la realidad, a través de multiplicadores y divisores que tengan en cuenta el contexto. Pero lo más importante es que el análisis lo realice un profesional especializado, que tenga conocimientos de las dinámicas comisivas, del sector al que pertenece la empresa y del factor humano, que hace que cada empresa sea distinta. Una vez obtenidos los resultados, debe aplicarse el filtro del sentido común, basado en este caso en la experiencia del profesional que firma el informe y en una visión en conjunto del análisis, que compare la valoración de cada riesgo con todos los demás, asegurando que se cumple el principio de proporcionalidad.

2. Aplicar un factor multiplicador excesivo a la existencia de un precedente

En uno de los informes revisados, que correspondía a una empresa industrial, el delito de pornografía infantil apareció en el grupo de los delitos con mayor probabilidad de comisión. Ello se debía a que el consultor había utilizado un algoritmo que aplicaba un factor multiplicador a la existencia de un precedente relativo a ese delito en la empresa. Incluso en el caso de no utilizar herramientas informáticas, la existencia de un precedente se valora excesivamente en los informes analizados. El profesional que realiza el análisis debería tener en cuenta todos los factores, y realizar un juicio de proporcionalidad, teniendo en cuenta el contexto, los restantes riesgos y la probabilidad de que el delito vuelva a cometerse. También debe tenerse en cuenta la antigüedad y las circunstancias del precedente, ya que pueden haberse producido cambios en la empresa y en las personas que participaron en él. En el caso concreto analizado, la persona que cometió el delito ya no estaba en la empresa.

3. Basar el análisis de la probabilidad exclusivamente en la opinión del cliente

Sería pecar de frivolidad aplicar a este caso la frase “los pacientes siempre mienten”del Dr. House, porque no es cierto que los clientes siempre mientan. El problema es que no son objetivos. No pueden serlo. Podríamos decir que el cliente está contaminado por las prácticas de la empresa y del sector al que pertenece y le cuesta tener una visión que se sitúe por encima de lo que está acostumbrado a ver. Tampoco conoce las dinámicas comisivas ni los factores de riesgo. Además, puede estar afectado por la “niebla de la batalla”, es decir, la dificultad para sacar conclusiones a largo plazo o de tener una visión completa de todo el escenario a causa de la constante atención que requieren los asuntos a resolver diariamente y las urgencias del negocio. En este caso incluyo en el concepto cliente al conjunto de personas entrevistadas durante el proceso de análisis de riesgos. El cliente es un gran experto en su empresa y nos va ayudar mucho a conocer sus puntos débiles, pero no puede convertirse en absoluto en la única fuente de información. El profesional debe documentarse y tener en cuenta el conocimiento que él mismo puede aportar al análisis a través de otras fuentes de información y de su propia experiencia.

4. Basar el análisis del impacto exclusivamente en la opinión del cliente

En mi opinión es un error partir exclusivamente de las respuestas del cliente para calcular el impacto económico y reputacional de la comisión de un delito en el seno de la empresa. Un área en la que los profesionales podemos aportar conocimiento es justamente en la valoración económica de las consecuencias de un delito. Los abogados, por ejemplo, podemos analizar la jurisprudencia y conocer el rango en el que se mueven las indemnizaciones por responsabilidad civil derivada de un delito. Podemos también cuantificar las multas aplicables a cada tipo penal y los distintos supuestos agravados. Asimismo, podemos apoyarnos en expertos para cuantificar el impacto de cada delito en la marcha del negocio y para analizar los posibles daños en la reputación de la empresa en el mercado, la presumible reacción de los clientes y su comportamiento en materia de pedidos. A pesar de la importancia de este trabajo casi todos los informes que he revisado basan el análisis del impacto exclusivamente en la opinión del cliente. Y después incluyen un disclaimer exonerándose de cualquier tipo de responsabilidad por los errores de valoración, ya que el análisis lo ha hecho el cliente y no ellos. Supongo que por eso se dice que se paga a los consultores para que te digan lo que ya sabes, pero lo que encuentro excesivo es que encima te lo pregunten a ti y no lo averigüen por otros canales para confirmar que las conclusiones son acertadas.

5. Utilizar al cliente como única fuente de información sin aportar valor al análisis

Este punto es una conclusión de los dos anteriores. Considero que el profesional al que se le encomienda la valoración del riesgo penal debe tener experiencia en el sector, conocimiento de las dinámicas comisivas y de los riesgos, así como fuentes de información suficientes para que su intervención en el proyecto sea valiosa y no se limite a transcribir lo que opinan los interlocutores entrevistados.

6. No tener en cuenta el factor humano y el instinto defensivo del interlocutor

Los interlocutores entrevistados tienen habitualmente escasa práctica en materia de autodianóstico y autocrítica. Además de los factores culturales, es inevitable que el entrevistado se sienta de alguna manera investigado y adopte una posición defensiva, como si de un interrogatorio se tratara. Esta reacción es muy humana y obliga a un trabajo previo de distensión y de información sobre el objetivo final del proyecto. A pesar de esta preparación previa, las repuestas del entrevistado pueden estar contaminadas por el miedo y ocultar situaciones de riesgo. También pueden centrase excesivamente en la labor preventiva realizada para justificar su trabajo. Este esfuerzo de justificación dilata mucho las entrevistas, ya que cada pregunta tiene como respuesta un arsenal de argumentos defensivos que además distorsionan los resultados. Esta es una razón más que obliga a ponderar los resultados con otras fuentes de información y con la habilidad de identificar los riesgos que han quedado ocultos a causa de las estrategias de autodefensa.

7. No apreciar el traspaso de responsabilidades entre departamentos

El efecto inmediato de la estrategia de autodefensa del entrevistado es un truco de prestidigitación que consiste en que, al acabar la entrevista, el consultor está convencido de que el riesgo se concentra en otro departamento. Esta habilidad, innata o adquirida, consciente o inconsciente, se potencia en las empresas en las que se producen duplicidades organizativas, se asignan competencias similares a distintos departamentos o bien las funciones de control no están correctamente establecidas. Un error habitual es dejarse llevar por acusaciones interdepartamentales, aunque éstas no sean evidentes. Esta maniobra de distracción hace que no se profundice en el análisis de riesgos del departamento entrevistado y que se sobrevaloren los riesgos de otros departamentos.

8. No comparar los resultados del análisis con el mapa de riesgos sectorial

Para evitar que la subjetividad en las respuestas del entrevistado nos contamine, tenemos que haber hecho antes los deberes. Lo ideal es haber elaborado un mapa de riesgos sectorial que nos sirva de referencia para comprobar si la empresa se ajusta o no al patrón y, en caso negativo, conocer las causas. Es posible que el interlocutor esté hablando constantemente en términos de riesgo residual, es decir el que permanece tras la aplicación de los controles. Valorar el riesgo en estas condiciones sería como medir el viento desde un coche en marcha. En los informes revisados no he encontrado referencia alguna a la situación de la empresa en relación al mapa de riesgos del sector.

9. Presentar los resultados sin haber aplicado el filtro del sentido común

El informe en que se consideraba altamente probable el delito de pornografía infantil en una empresa industrial no se habría llegado a presentar si se hubiese realizado un juicio previo de proporcionalidad. No es lógico que en el sector industrial la probabilidad de que este riesgo se materialice esté por encima del relativo al delito medioambiental, por ejemplo. Antes de presentar el informe a un Consejo de Administración hay que realizar una comprobación tan simple como la de someter las conclusiones finales a los principios básicos del sentido común.

10. Atribuir al cliente los errores que se produzcan en la valoración del riesgo

Y lo que considero fuera de lugar, aunque el socio que firma el informe esté atormentado por su departamento de Risk Management, es incluir un disclaimer que reconozca literalmente que no se ha hecho un análisis de riesgos sino que la labor del consultor se ha limitado a solicitar la opinión del cliente y a transcribirla en el informe, por lo que si el cliente está equivocado, la firma consultora no tiene la culpa. Considero que el cliente espera algo más de la firma a la que ha solicitado que valore sus riesgos. Cuando vamos a un centro médico de reconocido prestigio para realizar un chequeo lo último que esperamos es que el médico se limite a preguntarnos cómo nos encontramos. Nuestro cuerpo, los instrumentos de medición y los análisis clínicos son fuentes de información mucho más fiables que nuestra simple opinión no experta. Aunque nos conozcamos muy bien. El cliente confía en nuestro criterio y en un cierto nivel de implicación en la valoración de sus riesgos. Implicación que debería extenderse a la propuesta de soluciones. Pero es de suponer que el propio disclaimer habrá dejado bien claro que eso no forma parte del alcance del trabajo contratado y que hay que pedir otro informe en el que habrá otro disclaimer que exonerará de responsabilidad a la firma consultora, porque las soluciones propuestas también se basan en la información suministrada por el cliente, y no en la creatividad y el talento que cabría esperar a la vista de las facturas suministradas por la consultora.

Nuevo Máster IT+IP de ESADE

El próximo mes de octubre se iniciará el nuevo Máster en Derecho de las TIC, Redes Sociales y Propiedad Intelectual de ESADE (IT+IP) en cuya dirección tengo el honor de participar.

Esta nueva responsabilidad es doblemente satisfactoria. En primer lugar porque supone una gran oportunidad para transmitir el conocimiento adquirido en los 27 años de especialización en esta materia, actualizado con el apasionante estudio de las redes sociales.

En segundo lugar porque dirigí la primera edición de este máster en 1998 y poder impartirlo de nuevo con el nivel actual de interés, experiencia, herramientas tecnológicas y salidas profesionales supone un gran reto.

Mi principal compromiso va a ser transmitir la experiencia práctica adquirida por dos despachos como el de Mario Sol Muntañola y el mío al plan de estudios, con una metodología basada en el estudio del caso, sin olvidar el rigor académico que sirva de fundamento teórico a los escenarios reales que los alumnos del máster van a estudiar.

Invito a conocer el contenido del máster en la página web de ESADE.

La seguridad informática en la nueva Ley de Seguridad Privada

La nueva Ley de seguridad privada, publicada hoy en el BOE, y que entrará en vigor dentro de dos meses, contiene dos definiciones de seguridad informática.

En el artículo 6.6 se define la seguridad informática como el conjunto de medidas encaminadas a proteger los sistemas de información a fin de garantizar la confidencialidad, disponibilidad e integridad de la misma o del servicio que aquéllos prestan.

En dicho artículo se establece que, a las empresas que se dediquen a las actividades de seguridad informática se les podrán imponer reglamentariamente requisitos específicos para garantizar la calidad de los servicios que presten. El legislador justifica esta regulación por la incidencia directa de estos servicios en la seguridad de las entidades públicas y privadas.

Las empresas que realicen actividades de seguridad informática deberán anotar sus datos en el Registro Nacional de Seguridad Privada y en los registros autonómicos, de acuerdo con lo que reglamentariamente se determine.

Por otro lado, el artículo 52.c establece que las medidas de seguridad informática tienen por objeto la protección y salvaguarda de la integridad, confidencialidad y disponibilidad de los sistemas de información y comunicación, y de la información en ellos contenida.

Dado que entre las dos definiciones se aprecian ciertas discrepancias, ya que la primera extiende la protección a los servicios, y la segunda no, mientras la segunda extiende la protección a los sistemas de comunicación y la primera no, entendemos que la definición legal de la seguridad informática debe ser la suma de las dos, y que, por lo tanto, quedará configurada de la siguiente manera:

  1. Conjunto de medidas
  2. Encaminadas a proteger y salvaguardar los sistemas de información y comunicación
  3. A fin de garantizar la confidencialidad, integridad y disponibilidad
  4. De la información en ellos contenida
  5. O del servicio que dichos sistemas prestan

Es importante reseñar que el artículo 57 establece como infracción muy grave, con sanciones de hasta 600.000 euros, la falta de comunicación por parte de las empresas de seguridad informática de las incidencias relativas al sistema de cuya protección sean responsables cuando sea preceptivo.

Los sistemas de seguridad y los elementos de seguridad física, electrónica e informática que se instalen a partir del 5 de junio de 2014 deberán cumplir todas las exigencias y requisitos establecidos en la Ley de seguridad privada y en su normativa de desarrollo.

Queda por lo tanto pendiente el desarrollo reglamentario, que deberá tener lugar antes de la fecha de entrada en vigor de la ley, para posibilitar el cumplimiento de los requisitos que serán obligatorios a partir de dicha fecha.

 

Modificación de la Ley General para la Defensa de los Consumidores y Usuarios

El BOE de hoy publica la modificación del texto refundido de la LGDCU, que incluye las siguientes cambios más relevantes:

SERVICIOS DE ATENCIÓN AL CLIENTE

  • Los servicios de atención al cliente deberán entregar una clave identificativa y un justificante por escrito, en papel o en cualquier otro soporte duradero, para que el usuario tenga constancia de sus quejas y reclamaciones.
  • El uso de una línea telefónica de atención al consumidor no podrá suponer para éste un coste superior a la tarifa básica.
  • El plazo máximo de resolución de las reclamaciones recibidas será de un mes.

INFORMACIÓN PRECONTRACTUAL Y CONTRATOS

  • Se detalla y amplía la información que el consumidor o usuario deberá recibir con carácter previo a la formalización del contrato.
  • La información deberá extenderse por ejemplo, a la garantía legal y a las garantías comerciales, los compromisos de permanencia, las penalizaciones, la funcionalidad e interoperabilidad de los contenidos digitales y el procedimiento para atender las reclamaciones.
  • El botón o la función similar de enviar un pedido con obligación de pago deberá etiquetarse de manera que sea fácilmente legible, con la expresión «pedido con obligación de pago» o una formulación análoga. En caso contrario, el consumidor y usuario no quedará obligado por el contrato o pedido.
  • La letra de los contratos deberá tener un tamaño mínimo de un milímetro y medio y el contraste con el fondo no debe dificultar la lectura.
  • La empresa deberá adoptar las medidas adecuadas y eficaces que le permitan identificar inequívocamente al consumidor y usuario con el que celebra el contrato.

PAGOS ADICIONALES

  • Antes de que el consumidor y usuario quede vinculado por cualquier contrato u oferta, el empresario deberá obtener su consentimiento expreso para todo pago adicional a la remuneración acordada para la obligación contractual principal del empresario.

CARGOS POR LA UTILIZACIÓN DE MEDIOS DE PAGO

  • Los empresarios no podrán facturar a los consumidores y usuarios, por el uso de determinados medios de pago, cargos que superen el coste soportado por el empresario por el uso de tales medios.
  • Corresponde al empresario probar el cumplimiento de esta obligación.

FACTURACIÓN ELECTRÓNICA

  • Los consumidores y usuarios tendrán derecho a recibir la factura en papel.
  • La expedición de la factura electrónica estará condicionada a que el empresario haya obtenido previamente el consentimiento expreso del consumidor.

ENTREGA DE LOS BIENES

  • El plazo máximo de entrega será de 30 días naturales, salvo que las partes acuerden otra cosa.

DERECHO DE DESISTIMIENTO

  • El plazo de desistimiento pasa a ser de 14 días naturales, salvo que concurran excepciones.
  • Se detalla el régimen aplicable al desistimiento.
  • Si la empresa no hubiera cumplido con el deber de información y documentación sobre el derecho de desistimiento, el plazo para su ejercicio finalizará doce meses después de la fecha de expiración del periodo de desistimiento inicial 

  • Extensión a los contratos celebrados a través de Internet de la resolución automática de los créditos asociados al contrato tras ejercitar el desistimiento.

COMUNICACIONES COMERCIALES

  • Se detallan los requisitos que deberán cumplir las comunicaciones comerciales a distancia.

EJECUCIÓN DEL CONTRATO A DISTANCIA

  • Se regulan los supuestos de falta de ejecución del contrato, la sustitución de un bien o servicio y el pago mediante tarjeta.

CONSECUENCIAS DEL INCUMPLIMIENTO

  • El contrato celebrado sin que se haya facilitado al consumidor y usuario la copia del contrato celebrado o la confirmación del mismo podrá ser anulado a instancia del consumidor y usuario por vía de acción o excepción.
  • El empresario asumirá la carga de la prueba del cumplimiento de sus obligaciones de entrega de una copia del contrato celebrado o de la confirmación del mismo.
  • El incumplimiento de las normas que regulan el comercio electrónico y los servicios financieros a distancia, entre otros, será considerado práctica desleal por engañosa.

El plazo de adaptación de los contratos, las condiciones generales de contratación y los sitios web a este nuevo mapa de obligaciones finaliza el 13 de junio de 2014.