Acerca de xribas

– Socio fundador de Ribas y Asociados. – Abogado dedicado al Derecho de las Tecnologías de la Información desde 1987 – Experto en Compliance. – Director del Curso de Compliance Officer de Thomson Reuters Aranzadi. – Director del Curso de DPO – RGPD de Thomson Reuters Aranzadi. – Director del Practicum de Compliance de Thomson Reuters Aranzadi. – Profesor de Compliance Tecnológico de ESADE. – Designado por Expansión como uno de los 25 abogados referentes de España (2013) – Designado por Best Lawyers como el mejor abogado de los años 2013 y 2015 en materia de protección de datos – Designado por Best Lawyers como el mejor abogado del año 2014 en materia de IT Law – Premio 2012 al mejor abogado en Derecho Digital (ICAB – Digital Law World Congress) – Seleccionado por Chambers y Best Lawyers como uno de los mejores abogados en: – Privacy & Data Protection – Information Technology – Intellectual Property – Media – Communications – Director del Máster en Derecho de las TIC, Redes Sociales y Propiedad Intelectual (IT+IP) de ESADE – Socio de PwC (1998-2012) – Responsable de la red internacional de Derecho de las TIC de PwC (2000 – 2004) – Auditor informático CISA (ISACA) – Certified in Risk and Information Systems Control CRISC (ISACA) – Vicepresidente 1º de ENATIC (2012 – 2015) – Autor del libro Aspectos juridicos del comercio electronico en internet – (Editorial Aranzadi 1999). – Asesor Jurídico de BSA (Business Software Alliance) (1988 – 2011) – Miembro de la Comisión de Regulación de la AECE (Asociación Española de Comercio Electrónico) – Miembro de la Junta Directiva de la AUI (1996 – 2003) – Presidente de ARBITEC Asociación Española de Arbitraje Tecnológico (1989 – 2015) – Miembro del Legal Working Group de UNECE – CEFACT en materia de comercio electrónico (ONU) – Autor del Manual Práctico de Contratación Informática CONTRACT-SOFT (1987-2003) 11ª Edición. – Participante en el proyecto LATHE GAMBIT del Mando Aliado de la OTAN, relativo al análisis del entorno legal y la seguridad de Internet en materia de ciberdelitos. – Autor de los paneles de control LOPD – RMS – LSSI – Contratos tecnológicos y Activos inmateriales – Miembro de ISACA – Information Services Audit and Control Association – Colegiado 12.968 del Colegio de Abogados de Barcelona

eDNI para Facebook: solución desproporcionada

He estado analizando la noticia de ayer sobre la propuesta de exigir el DNI electrónico como prueba de la edad de los usuarios y me ha parecido realmente desproporcionada. Mis reflexiones son las siguientes:

Como padre

– Mis tres hijos tienen una gran actividad en Facebook desde los 16, 13 y 10 años respectivamente.

– Para darse de alta contaron con mi consentimiento expreso.

– Los tres utilizan la red social para comunicarse con sus amigos de clase, compartir contenidos, organizar deberes y preparar exámenes.

– El menor de ellos entró a los 10 años porque era el único de la clase que no tenía cuenta en Facebook y se sentía excluido.

– Me pidió que lo ayudase a darse de alta y fue muy gratificante para ambos configurar juntos la privacidad y los demás parámetros importantes de la cuenta: visualización de fotos, alta de amigos, etc.

– Ello me permitió sensibilizarle sobre los riesgos y hacerle comprender la necesidad de que tutelase su actividad hasta que tuviese 14 años, para lo cual acordamos que no cambiaría las claves de acceso, y así lo ha hecho hasta ahora.

– El sabe que tengo acceso a su cuenta y nos hemos reído juntos con los vídeos y chistes que han pasado por ella.

– Como padre he preferido siempre que mis hijos asuman responsabilidades desde pequeños y que conozcan los riesgos de lo que hacen, en vez de mantenerlos alejados de una realidad a la que podrían acceder igualmente, sin mi conocimiento y sin mis recomendaciones.

– Creo que la confianza genera responsabilidad y prefiero compartir y tutelar estas experiencias que reprimirlas y convertirlas en clandestinas, porque si sus amigos están ahí, ellos acabarán estando, por un medio o por otro.

– Si hubiese tenido que utilizar el DNI electrónico para cursar el alta, probablemente lo habría dejado para otro día.

– Entiendo como padre que la tutela no es algo ocasional, sino continuado. Pedir la intervención de los padres sólo en el momento del alta es como pensar que escogiendo un buen colegio para tus hijos ya es suficiente. Se entiende que la supervisión y el acompañamiento de la actividad de tu hijo es algo mucho más exigente y duradero.

Como observador

– La medida puede dar impulso al DNI electrónico, ya que los niños tendrán una motivación para que ellos y sus padres lo utilicen. Ya sabemos lo que pueden llegar a insistir hasta que consiguen lo que quieren.

– Lamentablemente, la experiencia es que la exigencia del DNI electrónico puede ser un obstáculo para el crecimiento de las actividades relacionadas con las redes sociales.

– En el comercio electrónico el eDNI ha sido rechazado sistemánticamente por las empresas y los usuarios. Cualquier paso o trámite adicional que se introduce en el proceso de compra es disuasorio e incrementa el número de transacciones frustradas.

– A todo ello se une el escaso uso de los lectores de eDNI, la caducidad de dos años del certificado electrónico y la habitual no renovación del mismo.

– Las redes sociales se han convertido en un nuevo motor para la economía y muchas empresas has diseñado una estrategia de marketing y publicidad adaptada a sus actuales presupuestos exiguos. Los menores de 14 años y sus padres son un público muy importante al que no tenemos que poner obstáculos para utilizar las redes sociales si los padres dan su consentimiento.

– Entiendo que exigir el DNI electrónico puede ser altamente disuasorio y es una medida desproporcionada que va a entorpecer y dificultar la entrada en una plataforma de comunicaciones que está aportanto muchos más beneficios que riesgos a nuestros hijos. No existe alarma social ni estadísticas negativas que aconsejen tal medida.

Mi propuesta es que estudiemos soluciones más imaginativas, que eduquemos a nuestros hijos ayudándolos a asumir responsabilidades, que definamos modelos de tutela colaborativa, que estemos más con ellos, que aprendamos juntos. Por muchos cerrojos que pongamos no conseguiremos que dejen de comunicarse. Sólo haremos que la brecha sea mayor.

En vez de contenerla, canalicemos esa ilusión.

Solidaridad con el spam en época de crisis

En épocas mejores, cuando un mensaje con publicidad no solicitada conseguía superar el filtro anti spam de mi plataforma de correo electrónico, no me molestaba en leerlo y lo borraba. Ahora, le doy una oportunidad.

Hace unos años, un cliente al que estábamos explicando por primera vez las obligaciones que tenía en materia de la LOPD y la LSSI  exclamó: «Cómo se nota que estamos en el primer mundo». Y tenía razón, porque para reclamar el derecho a no ser molestado con publicidad no consentida, previamente hay que tener resueltas muchas otras necesidades.

Si en la actualidad nos preguntamos si esas necesidades más importantes están resueltas, la respuesta a nivel individual puede ser satisfactoria, pero la respuesta como país, no lo es. La pregunta que tenemos que hacernos es si todavía estamos en el primer mundo y podemos permitirnos el lujo de prescindir de la actividad comercial. No me refiero a abrir las puertas a todo el spam internacional, sino a ver con otros ojos la actividad comercial que proviene de empresas de nuestro propio país por múltiples canales, entre los que puede estar el correo electrónico.

Por desagradable e intrusivo que pueda llegar a ser, es posible que el mensaje que recibimos en nuestro buzón, que no se diferencia de los anuncios que impiden ver una película entera en televisión, provenga de una empresa que persigue el interés legítimo de sobrevivir. En cualquier caso, es evidente que si queremos apostar por el crecimiento y generar puestos de trabajo tenemos que vender más, y mi reflexión se centra simplemente en plantear si vale la pena establecer una tregua temporal y aceptar la publicidad no consentida hasta que la situación económica mejore.

OPINIÓN DE LA AEPD

En un post anterior me preguntaba si la Agencia de Protección de Datos iba a aplicar la normativa de manera estricta o si iba a tener en cuenta las dificultades económicas de las empresas. Aunque los criterios expresados en las resoluciones de archivo de los últimos meses no son en absoluto representativos, sería una buena noticia para las empresas identificar ciertos síntomas de cambio en la posición de la Agencia. Especialmente en la valoración de la culpabilidad en el Derecho administrativo sancionador.

En la resolución correspondiente al Expediente E/04491/2012 se acuerda el archivo de las actuaciones iniciadas a partir de una denuncia por publicidad no consentida y se basa la decisión, entre otros, en los siguientes fundamentos de derecho:

1. Las direcciones de correo electrónico utilizadas para los envíos proceden de una base de datos adquirida a través de Internet de la que se desconoce el origen, es decir, se desconoce si los titulares de aquellas prestaron su consentimiento para el envío de comunicaciones comerciales.

2. En el supuesto de que el vendedor de la base de datos no hubiera recabado el consentimiento de los destinatarios, la empresa denunciada ha manifestado que comprobó la existencia de consentimiento.

3. Esta comprobación convertiría a la empresa, en cuanto a la utilización de la base de datos, en un tercero de buena fe, carente de culpa, al haber desplegado la diligencia que le era exigible.

4. La culpabilidad constituye una nota esencial en materia sancionadora (artículo 130 LPJPAC) y la llamada responsabilidad objetiva no tiene cabida en el Derecho administrativo sancionador.

5. La simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia exige que el principio de culpabilidad requiera la existencia de dolo o culpa, lo que no ocurre en este supuesto.

6. La actividad de la empresa denunciada no se encuentra vinculada al sector de servicios de la sociedad de la información y de comercio electrónico regulado por la LSSI, por lo que su diligencia y deber de cuidado fueron los exigibles a los efectos de actuar con pleno respeto de las exigencias derivadas de la LSSI.

La resolución concluye que, al no ser exigible a la empresa denunciada otra conducta diferente de la que observó, no se aprecia la existencia de culpabilidad en la realización de los hechos denunciados.

 

Responsabilidad de directivos: la tormenta perfecta

El Diccionario Mapfre de Seguros define «autoseguro» como la situación en la que una persona, física o jurídica, soporta con su patrimonio las consecuencias económicas derivadas de sus propios riesgos, sin intervención de ninguna entidad aseguradora.

Según las estadísticas del sector, las primas de los seguros de responsabilidad civil de directivos (D&O) han bajado casi un 43%, mientras que las reclamaciones contra estos cargos se han incrementado más de un 24%, lo cual genera un importante  aumento del riesgo que los directivos asumen fuera del seguro. El llamado autoseguro.

Paralelamente, los recortes presupuestarios han provocado una reducción de la inversión en control y prevención mientras que  la incertidumbre económica, unida a las tensiones internas de las empresas, ha incrementado el riesgo de manipulación contable, apropiación indebida de activos, corrupción, fraude fiscal y uso de información privilegiada, según un estudio de PwC, que atribuye a la alta dirección la autoría del 61% de estos delitos.

Este escenario debe motivar a los directivos a crear pruebas de su diligencia en la gestión de sus departamentos y de los riesgos jurídicos asociados a la misma.

Las nuevas tecnologías ofrecen la posibilidad de crear evidencias electrónicas de su esfuerzo por prevenir infracciones y, llegado el caso, de demostrar su oposición a decisiones de riesgo de sus superiores o a recortes que pongan en peligro los niveles exigibles de cumplimiento normativo.

Asumida la situación de autoseguro, el objetivo del directivo debe ser reducir el riesgo de que cualquier contingencia que sufra la empresa o el departamento que dirige, sea atribuible a su gestión. Para ello, el directivo debe adoptar, entre otras las siguientes medidas:

– Identificación de los riesgos más graves y probables que afectan a su departamento o área de competencias.

– Selección de los controles adecuados para prevenir y detectar dichos riesgos.

– Captura de las evidencias electrónicas que demuestren la existencia de los controles en una fecha determinada, su eficacia y el esfuerzo realizado por el directivo en su aplicación y en el mantenimiento de los niveles exigidos de cumplimiento normativo.

– Conservación de las evidencias en un repositorio externo orientado a aportar pruebas de la diligencia del directivo en caso de reclamación. Las evidencias deberán conservarse durante los plazos de prescripción de las correspondientes acciones.

Esta actividad de preconsitución de la prueba es decisiva en un país donde acostumbramos a organizar nuestra defensa y las evidencias asociadas a la misma inmediatamente después de conocer la existencia de la reclamación, con el consiguiente riesgo de que la prueba parezca creada ad hoc y convenientemente predatada.

Está claro que el directivo tiene otras opciones, como dormir tranquilo junto a su póliza de seguros, especialmente teniendo en cuenta que la seguridad, como dicen, es un estado de la mente.

La calidad de los proveedores como obstáculo para los emprendedores

Habría podido dedicar un blog exclusivo a los obstáculos que he encontrado desde que decidí tener de nuevo mi propio despacho. Los obstáculos burocráticos los conocía y resultaron fáciles de controlar. La selección y contratación de proveedores relacionados directamente con el negocio tampoco entrañó ninguna dificultad. El problema surgió, como siempre, con la ejecución de las obras de reforma de la oficina.

Estar en uno de los edificios más inteligentes de la ciudad, que también estaba siendo reformado, ha exigido una dosis terrible de paciencia, que tendrá que durar hasta marzo, cuando se espera que alcance el nivel de inteligencia y autonomía que se espera de él. Mientras, las obras han sido un magnífico escenario para comprobar los niveles de calidad y servicio de cada proveedor. Y los resultados han permitido confirmar algo que ya sabía, pero que pensaba poder evitar seleccionando a los mejores proveedores: lo mejor para un nuevo negocio es ocupar unas instalaciones que permitan centrarte desde el principio en tus objetivos y planes, sin distracciones inoportunas.

Las obras de reforma se iniciaron el 2 de julio y finalizaron el 15 de septiembre. Pero lo que más tiempo y atención ha exigido ha sido la subsanación posterior de los errores cometidos durante la obra. Defectos de instalación o ejecución que han afectado al aire acondicionado, la instalación eléctrica, la pintura, la telefonía IP, el acceso a Internet…

La gran paradoja es que cuanto más inteligente es una instalación, más errores da o más difícil es configurarla. Un ejemplo ha sido el aire acondicionado, que ha exigido la actualización del firmware de los equipos varias veces, hasta que ha aprendido lo que queríamos decir al ajustar el termostato. Tras cientos de horas dedicadas por el proveedor a enseñarle a combatir el calor, ahora llega el frío. Justo cuando había aprendido a decir pinícula, van y le llaman flin.

Pasos para vender en Facebook

Muchas veces hemos comentado que Facebook es una gran herramienta para posicionar la marca con un pésimo ratio de conversión en ventas. Facebook es consciente de esta carencia y está realizando pruebas con el botón «lo quiero».

El funcionamiento de este nuevo botón, que ya están utilizando empresas como Victoria’s Secret o Wayfair, será el siguiente:

1. Las empresas podrán incluir nuevos botones en sus páginas que irán orientados a convertir el interés del usuario en una acción de compra.

2. El inicio del proceso de compra partirá de un clic en el botón «lo quiero».

3. A través de este botón se podrá acceder a la nueva función «colecciones».

4. Una vez en ella, se accederá a un catálogo de productos muy parecido al álbum de fotos de Facebook actual.

5. En cada producto el usuario encontrará varios botones, entre los que destacarán el botón «comprar» y el botón «coleccionar».

6. El botón «comprar» remitirá al usuario a la tienda online de la empresa anunciante.

7. En la actualidad el reenvío del usuario a la tienda online o al sitio web del anunciante se efectúa con aplicaciones como nShup o Social-buy, y también con enlaces en las imágenes del álbum de fotos.

8. Facebook no ha manifestado su intención de participar en el proceso de compra ni de cobrar un porcentaje de las ventas que se produzcan, por lo que se entiende que los ingresos que obtenga serán en concepto de publicidad.

9. Facebook tampoco se hará responsable de las transacciones ni de los productos, ya que la relación jurídica se establecerá directamente entre el anunciante y el usuario, por lo que se descarta la aplicación de un modelo de negocio como el de Amazon.

10. Las colecciones aparecerán en el feed de noticias y el usuario podrá recomendarlas a sus amigos.

En conclusión, parece que Facebook está decidida a convertir su plataforma en un canal que promueva la venta de forma activa y social, potenciando el retorno de la inversión a los anunciantes y ofreciendo nuevas oportunidades a las empresas que carecen de presencia internacional o de una gran red de distribución.

En cualquier caso, será importante revisar los términos y condiciones que regularán el llamado fCommerce y las contrapartidas directas o indirectas que Facebook exigirá a los anunciantes.

Estudio sobre estrategias de control de los recursos TIC en la empresa

Según el Estudio sobre estrategias de control de los recursos TIC en la empresa, que nuestro despacho publicó ayer, el 86,5% de las empresas dispone de unas normas de uso de los recursos TIC corporativos pero sólo el 15,6% realiza un control continuado de su cumplimiento. Ello puede ser interpretado como una situación de tolerancia, equivalente en la práctica a una derogación de la norma, que puede restar eficacia al poder exculpatorio de los controles establecidos en la empresa para prevenir delitos y otras infracciones.

El estudio ha sido realizado por José R. Agustina, Profesor de Derecho Penal y Criminología UIC, Ana Alós Ramos, Abogada laboralista de Uría Menéndez y Javier Sánchez Marquiegui, Asesor Jurídico de Colt Technology Services, con la colaboración de IESE y del despacho Ribas y Asociados.

DESCARGAS:

Estudio sobre las estrategias de control de los recursos TIC en la empresa

Presentación del estudio

Nota de prensa

De la segmentación clandestina a la autosegmentación

1960

Javier acaba de llegar a casa tras un parto complicado y cuatro días de hospital junto a su madre, que ahora está cambiándole las gasas de algodón por primera vez. Los pañales todavía no se comercializan en España. Al menos en su barrio. Los pocos distribuidores que existen de este nuevo producto no saben que ha nacido, ni que es un niño, ni que pertenece a una familia de clase media baja, ni que vive en un barrio de clase media baja de una gran ciudad. No conocen la profesión de sus padres ni su poder adquisitivo. Javier no será objeto de segmentación por parte de un anunciante hasta dentro de unos años y gracias a Pepe, un funcionario del Instituto Nacional de Estadística que se saca un sobresueldo vendiendo listas. Las teclea con su Olivetti y sus dedos fuertes, que consiguen marcar hasta cuatro hojas de papel carbón.

1992

Paula llega a casa tras un parto sin complicaciones y tres días de hospital. Su madre está cambiándole los pañales por primera vez. Su padre (el mismo Javier de 1960 que ahora ya es un profesional liberal segmentado por los cuatro costados) acaba de abrir el buzón y ha encontrado una carta dirigida a Paula. Javier sonríe y le comenta a su mujer: «Mira, Paula acaba de nacer y ya recibe publicidad de pañales. Bueno, en realidad a Paula le dan la bienvenida, los destinatarios de la publicidad somos nosotros. Qué simpáticos. Por cierto, ¿estás contenta con estos pañales? Los de la foto parecen más cómodos». Paula había recibido la carta gracias a Lola, una empleada del hospital que se sacaba un sobresueldo vendiendo los datos de los recién nacidos en papel pijama. Gracias a estos datos, el remitente de la carta tenía información suficiente del perfil de los padres de Paula para saber que valía la pena asumir los costes del envío.

2012

Ignacio llega a casa tras un parto con cesárea y cinco días de hospital. Su madre está cambiándole los pañales superabsorbentes, autoadaptables e hipersuaves por primera vez. Su padre ha publicado 32 fotos y cuatro vídeos de Ignacio a través de Facebook, Tuenti, Twitter, y Whatsapp con un total de 1.526 destinatarios. Además, los padres son seguidores de su fabricante de pañales favorito en Facebook y en Twitter, gracias a lo cual tienen acceso a información muy útil para el cuidado de su hijo y comparten experiencias con otros padres de perfil muy parecido. Gracias a sus preguntas y comentarios y a los datos facilitados al autorizar el acceso a su perfil de Facebook, a su muro, a sus fotos y a sus amigos, el fabricante de pañales puede efectuar una segmentación muy ajustada de los padres de Ignacio e indirectamente, del propio Ignacio. Mientras, a dos manzanas de la casa de Ignacio, Paula, que ya tiene 20 años, está comentando las vacaciones y el inicio del nuevo curso con sus amigas. Paula ha llegado a mencionar más de 14 productos diferentes en sus conversaciones online y ha visitado más de 30 páginas web relacionadas con sus aficiones. Todo ello bajo la atenta mirada de los sistemas de publicidad basada en el comportamiento.

Ni los anunciantes de 1960 ni los de 1992, en sus mejores sueños, habrían podido imaginar este paraíso.

Inicio del proceso de selección de abogados para mi nuevo despacho

El proceso de selección va orientado inicialmente a la contratación de cuatro abogados (dos asociados senior y dos asociados) con una experiencia mínima de tres años en protección de datos, contratos tecnológicos, propiedad intelectual, comercio electrónico y marketing online.

Es muy importante que los candidatos hayan:

  1. Consolidado su vocación profesional
  2. Decidido especializarse en Derecho de las Tecnologías de la Información
  3. Apostado por esta rama del derecho a largo plazo

El lugar de trabajo será en la sede de Ribas y Asociados, en Diagonal 640 1C de Barcelona.

Agradeceré a los interesados que envíen su CV a xavier@ribasyasociados.com.

Muchas gracias.

Homenaje a Muntañola

Aprovecho estos días de tranquilidad para evocar la figura de Muntañola, célebre dibujante de La Vanguardia, que en los años 70 trataba temas que no han perdido actualidad.

 

      

 

 

Muchas gracias

En los últimos días he intentado responder todos los mensajes de felicitación que he recibido por la concurrencia de varias circunstancias: el premio al mejor abogado en Derecho Digital, otorgado por el Colegio de Abogados de Barcelona en el seno del Digital Law World Congress, los 25 años de dedicación a esta especialidad y la apertura de mi nuevo despacho.

Hace 25 años estas felicitaciones habrían llegado por carta, teléfono, télex, fax o telegrama. Hoy es una locura, ya que pueden llegar, además, por llamada al móvil, SMS, correo electrónico, Whatsapp, Twitter, Facebook, Linkedin, blog y otros medios, lo cual dificulta dar respuesta a todos los mensajes.

Quiero reiterar ahora mi agradecimiento a todas las personas que me han ayudado durante estos años, empezando por mi padre, que me regaló el ZX81 con el que aprendí Basic y que ahora me regala cada día su compañía, aunque ya no esté.

A todos los que son, o alguna vez han sido, clientes de mi despacho.

Hace 25 años muchos de ellos iban con bata blanca y hablaban un lenguaje que sólo comprendía un 1% de la población. Durante la burbuja tecnológica llevaban tejanos y hablaban de capital semilla y rondas de financiación. Ahora no paramos de hablar de redes sociales y de la oportunidad que nos han dado para aprender de nuestros hijos.

A todos los que son, o alguna vez han sido, miembros de mi equipo.

Con una mención especial a Assumpta Zorraquino, que se integró en el despacho en 1990 y Carlos Pérez Sanz, que se integró en 1991.

Gracias a todos ellos por aguantar mi presencia y a mi familia por aguantar mis ausencias.

A modo de tributo a Blade Runner podría decir que en estos 25 años he visto cosas que no creeríais: ataques de ciberpunks a servidores BBS más allá de los 1200 baudios, correo sin spam, cerca del puerto 25, secuencias de varias teclas para crear un acento, discos floppy de 5 pulgadas y cuarto grapados a los autos, jueces que pensaban que el plagio se comprobaba comparando los discos y no su contenido, alarmas de fin del mundo por el efecto 2000, mientras veíamos a los programadores de Cobol renacer tras su jubilación, accesos al BOE con un Minitel, negociar un contrato frente a una pantalla de fósforo verde, billetes de avión  para asistir a un congreso virtual…

Todos esos momentos se perderán, como lágrimas en la lluvia. Es hora de bajar de las nubes. O de guardar mis recuerdos en ellas.

Gracias a todos.