El próximo miércoles, 21 de septiembre, tendrá lugar el desayuno de trabajo organizado por Thomson Reuters Aranzadi en la Real Academia de Jurisprudencia y Legislación, en el que haré un resumen de las novedades del nuevo Reglamento UE de Protección de Datos y explicaré cómo afecta a las empresas.
Puedes acceder a la invitación haciendo clic en este enlace:
Jesús Martinell
Abogado Ribas y Asociados.
El pasado 4 de mayo se publicó en el Diario Oficial Unión Europea, el esperado Reglamento 2016/679 relativo a la protección de las personas físicas en lo que se refiere al tratamiento de datos personales y a la libre circulación de esos datos. Este nuevo Reglamento deroga la Directiva 95/46/CE aplicable en todos los Estados Miembros a partir del 25 de mayo de 2018.
A pesar de que el Reglamento será aplicable a partir de mayo de 2018, las empresas deben, de manera progresiva, empezar a implementar determinadas medidas. En este sentido la Agencia Española de Protección de Datos (AEPD) ya se ha pronunciado. Una de ellas es la obligatoriedad (si interpretamos el sentido literal del texto al decir “deberán”) de que el responsable y encargado del tratamiento en la empresa designe al DPO siempre que: (i) el tratamiento lo lleve a cabo una autoridad u organismo público, (ii) que la empresa haga tratamientos que por su naturaleza, alcance y/o fines requieran de una observación habitual y sistemática de interesados a gran escala o (iii) que se lleve a cabo tratamientos a gran escala de categorías especiales de datos y de datos relativos a condenas e infracciones penales.
El nuevo Reglamento afecta, principalmente, a los responsables y encargados del tratamiento ya que deberán adaptar la nueva normativa al tratamiento de datos que lleven a cabo en la empresa. De algún modo, los responsables y encargados deberán hacer un esfuerzo considerable para, paulatinamente, ir adaptando todos los tratamientos de datos existentes en la empresa, así como los futuros, a las exigencias de la nueva normativa.
Asimismo, los interesados o titulares de derechos, con el nuevo Reglamento, disponen de un abanico más amplio de Derechos (p.e. derecho a la portabilidad, derecho al olvido o supresión, derecho a la limitación de los datos, derecho a presentar una denuncia ante la Autoridad de Control etc.).
En el caso de los abogados, es una oportunidad para especializarse en una nueva figura que nos introduce el Reglamento: el Data Protection Officer (DPO). Todas las novedades, que iremos tratando a lo largo de estos meses a través de diferentes artículos, ofrecen la oportunidad perfecta para el abogado que tenga interés en la empresa, y más concretamente, en la implantación de modelos dónde, el cumplimiento normativo, el principio de responsabilidad y la prevención tengan un papel predominante en detenimiento de un modelo estrictamente sancionador y más reactivo que proactivo.
La nueva figura del DPO comparte sinergias con el Compliance Officer. Ya que, a ambos, se les exige la necesidad de acreditar el cumplimiento a través de las políticas y medidas que se adopten. El legislador europeo sigue apostando por modelos en los que la empresa lleve la iniciativa. Modelos de “Privacy by design” y “by default” en el que será fundamental que cualquier decisión que se lleve a cabo por el DPO y/o cualquier otra figura con responsabilidad en la empresa, estén razonadas o argumentadas y debidamente acreditadas.
Asimismo, debemos tener en cuenta que el perfil de DPO debe tener un talante proactivo en sus funciones. El legislador, huye, cada vez más, de posturas o criterios más pasivos en cuanto que debíamos esperar a que nos vinieran a mirar cómo teníamos la casa. Con el cambio de criterio, debe ser la empresa misma quién tome la iniciativa y, en consecuencia, será crucial el perfil de DPO que escoja.
El DPO deberá tener unas skills comunicativas sólidas ya que, dentro de sus funciones, tendrá que mantener una comunicación fluida y constante con los múltiples interlocutores que aparecen en el nuevo Reglamento. En primer lugar, los responsables y encargados del tratamiento de la empresa, las Autoridades de Control (ante p.e. una consulta previa, violación de seguridad de los datos o una evaluación de impacto.
Por otro lado, si en la empresa en la que estamos es internacional y dispone de filiales por Europa, será importante que la figura que escojamos tenga habilidades para comunicarse en inglés u otros idiomas así como también, una visión amplia y clara sobre los diferentes tratamientos que contengan datos personales que puedan tratarse en tales países y que, en España, quizás no abunden tanto.
Por otro lado, en un contexto global, el DPO deberá ser consciente de que los datos van circulando de un país a otro constantemente. Ello le exige un conocimiento exhaustivo de la normativa europea y local para así poder interaccionar con las múltiples normativas. Así pues deberá ser capaz de saber compaginar nuevos acuerdos, como p.e., el Privacy Shield (que sustituye al antiguo Safe Harbor entre USA y Europa) con el Reglamento Europeo de Protección de Datos y la propia normativa local.
En el seno de un grupo de empresas podrá designarse un único DPO siempre que sea fácilmente accesible desde cada filial y, en el caso de las autoridades u organismos públicos, también podrán designarse un DPO para más de una teniendo en cuenta la estructura y tamaño de la misma.
El nuevo DPO tiene un protagonismo destacable en el futuro de la Protección de Datos siendo una oportunidad para aquellos que les interesa ésta área del Derecho. La empresa, para la designación del mismo, podrá optar por alguien de la cantera o buscar un perfil externo. De todos modos, ambos perfiles, deberán ser designados atendiendo a sus cualidades profesionales, concretamente, sus conocimientos en Derecho y en la práctica de la materia de protección de datos. Asimismo, el perfil escogido, también deberá tener capacidad para desarrollar las funciones y habilidades comentadas anteriormente. Cabe recordar que la empresa deberá respetar al DPO para que desarrolle su cargo con absoluta independencia y con obligación de secreto y confidencialidad.
No siempre, como abogados, se nos presenta una oportunidad como esta para reenfocar o potenciar nuestra carrera profesional. Para el que quiera empezar en este campo, o para el que quiera seguir formándose en el mismo, puede especializarse en la materia a través de un curso de DPO y con ello optar al puesto de DPO en cualquier empresa que solicite el cargo.
En el nuevo curso de DPO de Aranzadi hemos hecho un gran esfuerzo para describir la metodología y las acciones que un DPO debe realizar en el seno de una empresa o como DPO externo. Puedes ver el programa en este enlace:
http://www.tienda.aranzadi.es/productos/formaciones/curso-data-protection-officer/8748/4294967105
Ante el acuerdo al que llegaron los representantes de EE.UU. y la UE para la rápida aprobación de un marco legal que permita sustituir al anterior Safe-Harbor garantizando el respeto de las normas Europeas acerca de privacidad y protección de datos (US-EU Privacy Shield, en adelante, el Acuerdo), el Supervisor Europeo de Protección de Datos (SEPD) a emitido un Dictamen preliminar en el que analiza el Acuerdo, y emite su opinión acerca de medidas adicionales a tener en cuenta antes de la presentación de dicho Acuerdo al Parlamento y Consejo Europeos.
En este sentido, se han identificado tres puntos clave, o mejoras esenciales, que se recomiendan para dar correcto cumplimiento de la Carta de Derechos Fundamentales de la Unión Europea (la Carta) y el artículo 16 del Tratado de Funcionamiento de la Unión Europea (TFEU):
A continuación hacemos un breve extracto de las conclusiones de dicho dictamen, cuyo texto íntegro (en inglés) puede consultarse aquí:
1) Se espera que las disposiciones sustantivas del Acuerdo se correspondan total o parcialmente con las garantías esenciales del derecho a la protección de datos de la UE, como por ejemplo los derechos de los interesados, la supervisión independiente o el derecho a la tutela judicial efectiva. (Recordemos que estos puntos son precisamente de los mas criticados del anterior Safe Harbor, y que por tanto entendemos que si el nuevo marco no los cumple, no prosperará).
2) El Acuerdo de momento no constituye, técnicamente, una decisión de adecuación per se, aunque crea una presunción de cumplimiento acerca de las transferencias soportado por una base jurídica concreta, por lo que es crucial que se refuercen todas las garantías necesarias para evitar nuevas vulneraciones de la Carta.
3) Con el propósito de garantizar la seguridad jurídica, el SEPD recomienda las siguientes mejoras o aclaraciones, que deberán incluirse en el Acuerdo en sí o durante la ejecución del mismo:
Por último, el SEPD recuerda que cualquier interpretación, aplicación y medida de aplicación del Acuerdo se debe hacer de forma compatible con los principios constitucionales de la UE, independientemente de las mejoras que se puedan incorporar siguiendo las recomendaciones del Dictamen.
Las anteriores recomendaciones y comentarios se han realizado de acuerdo al texto preliminar del Acuerdo US-EU Privacy Shield, disponible aquí.
Marc Rius
Textos referidos:
Artículo de Marc Rius
En reunión de esta mañana del Consejo de Justicia y Asuntos de Interior de la Unión Europea, se ha decidido por pleno consenso aceptar el enfoque general del Reglamento Europeo de Protección de datos, que ha sido elaborado durante los últimos 3 años y medio.
Aunque la mayoría de países han mostrado sus preocupaciones acerca de algunos puntos, todos han coincidido en la necesidad de avanzar en el proyecto y presentarlo lo antes posible ante el Parlamento de la Unión Europea y discutir el texto definitivo. Como todos los países han ido repitiendo a los largo de la sesión, este texto es un texto de compromiso con un amplio margen de mejora, pero sirve de base para empezar los trílogos frente al Parlamento Europeo.
La mayoría de los comentarios críticos con el texto, siendo por tanto el punto más controvertido del texto propuesto actual, propuesto han sido realizados acerca del artículo 6.4, sobre licitud del tratamiento y, en especial, sobre la última frase del mismo. Dicho artículo establece que “Cuando la finalidad del tratamiento posterior sea incompatible con aquella para la que se recogieron los datos personales por el mismo responsable, el tratamiento posterior deberá tener base jurídica al menos en uno de los fundamentos mencionados en el apartado 1, letras a) a e). El tratamiento posterior por el mismo responsable para fines incompatibles por motivos de legítimo interés del responsable o de un tercero será lícito cuando estos intereses superen a los del interesado”.
Las principales críticas al referido artículo ponen en duda la posibilidad de ejercer una protección efectiva de la privacidad de los datos de los usuarios, creando un desequilibrio entre la privacidad y el tratamiento de datos, pudiendo ir incluso contra los propósitos generales de la regulación de protección de datos en Europa.
Otras dudas, o puntos en los que sigue existiendo preocupación y sobre los que se espera poder ahondar durante los trílogos, son:
– El tratamiento de datos con finalidades de investigación científica.
– El tratamiento de datos de menores.
– La transferencia internacional de datos.
– El sistema de ventanilla única.
– El derecho a indemnización y responsabilidad
En especial, el Ministro de Justicia, Rafael Catalá, en representación de España, ha hecho especial hincapié en considerar el texto como un buen compromiso entre los países miembros y la comisión, con aspectos mejorables. En este sentido, ha indicado es especialmente necesario obtener cuanto antes un texto definitivo en pro de los derechos de los ciudadanos y las empresas. El texto va a permitir la tutela de los derechos en toda Europa, dotando a las empresas de normas armonizadas en todo el territorio, lo que repercutirá en la competitividad de éstas.
Este enfoque general crea, según la gran mayoría de representantes del Consejo de Justicia y Asuntos de Interior, un marco de regulación que permite, a grandes rasgos, permitir un alto nivel en la protección de datos de los individuales, así como mejorar la competitividad de las empresas.
El primero de los trílogos está previsto para el 24 de junio, cumpliendo así las expectativas de comprimir el calendario de trabajo lo máximo posible para evitar a toda costa tener un texto definitivo y aprobado a finales de año. Parece por tanto que realmente se ha conseguido el impulso necesario, en parte por el compromiso de crear y desarrollar el Mercado Único Digital como objetivo de la Comisión Europea.
Falta esperar pues si el esfuerzo realizado por el Consejo de Justicia y Asuntos de Interior de la Unión Europea para superar la gran cantidad de notas a pie de página que conformaban la anterior propuesta de Reglamento es suficiente para convencer al Parlamento y si el equipo encargado del proyecto es capaz de conseguir un texto definitivo para finales de año, pero parece ser que esta vez existen posibilidades reales de cumplir los objetivos.
El Consejo de Justicia de la UE, formado por los ministros de Justicia e Interior de la Unión Europea, llegó ayer en Luxemburgo a un acuerdo en ciertas materias que acercan las posiciones y permiten mantener la planificación inicial de aprobar el Reglamento a finales de año.
Las materias en las que hubo acuerdo son las siguientes:
1. Régimen de la transferencia de datos a terceros países o en el seno de organizaciones internacionales.
2. Aspectos relativos al ámbito territorial, que incluyen la aplicación de las obligaciones del Reglamento a todas las empresas que operen en el Mercado Único Europeo, aunque no sean europeas.
3. Definición del concepto Binding Corporate Rules.
4. Definición del concepto organizaciones internacionales.
Se debatieron también aspectos relativos al principio one-stop-shop, que incluye la posibilidad de que una empresa se dirija a una única autoridad nacional de protección de datos para negociar cuestiones relativas a su actuación en todo el Mercado Único Europeo. Este punto no está exento de polémica, ya que las empresas podrían dirigirse sistemáticamente a las autoridades nacionales menos exigentes en detrimento de las “Rottweiler authorities”. Este debate ha quedado aplazado para próximas reuniones.
En la actualidad hay tres puntos que actúan como aceleradores del proceso y que permiten pronosticar nuevos avances en la reunión del Consejo de la UE prevista para los días 26 y 27 de este mes.
Estos tres puntos son:
1. El caso Snowden y los escándalos de espionaje de EEUU
2. La sentencia del TJUE relativa al derecho al olvido
3. El mercado único digital
La comisaria europea de Justicia, Viviane Reding, principal impulsora de esta iniciativa legislativa, hizo ayer especial énfasis en la necesidad de que la UE apruebe el Reglamento lo antes posible y afirmó que, con los acuerdos alcanzados, esta aprobación estaba más próxima.
La reunión del Consejo de la UE de finales de este mes también permitirá ver la posición de Inglaterra y la influencia en ella de EEUU. Está previsto que la normativa norteamericana vaya alineándose progresivamente a la europea en materia de protección de datos y alejándose de la amenaza de suspensión de los acuerdos Safe Harbor originada tras los escándalos de espionaje.
Facebook ha lanzado “públicos personalizados“, una nueva herramienta de segmentación que permite a los anunciantes dirigir su publicidad a los usuarios de Facebook que tienen un perfil parecido al de los consumidores habituales de sus productos.
Hasta ahora, los anunciantes podían facilitar a Facebook datos identificativos de sus clientes, por ejemplo la dirección de correo electrónico, el teléfono o el identificador de usuario (UID), y Facebook mostraba los anuncios a los usuarios de Facebook que eran clientes del anunciante.
Esta función se extiende ahora a atributos demográficos y a intereses manifestados a través del botón “me gusta”, por ejemplo, de manera que los destinatarios de la publicidad serán también los usuarios de Facebook que tengan atributos iguales o similares a las personas que actualmente están comprando los productos del anunciante o que han manifestado su interés en hacerlo.
El funcionamiento de este sistema es el siguiente:
Riesgos jurídicos de este sistema
El potencial de esta herramienta es innegable y por ello, el análisis jurídico de su funcionamiento se ha hecho desde una óptica posibilista. Nos obstante, se han detectado una serie de riesgos que merecen una especial atención.
Con el fin de evitar estos riesgos, Facebook exige al anunciante que, al realizar la introducción de los datos, acepte unas condiciones especiales para la creación y administración de “públicos personalizados”, entre las que destacan las siguientes:
Más allá de la interpretación estricta de la figura de la depuración de datos contenida en el artículo 47 del Reglamento de la LOPD, pueden identificarse en este proceso elementos característicos de un encargo de tratamiento. Si analizado el caso ello fuese así, y Facebook pudiese ser considerado como un encargado del tratamiento del anunciante, cuya función consiste en mostrar anuncios a los usuarios que cumplan determinados criterios de segmentación establecidos por el anunciante, este proceso no exigiría consentimiento del usuario. La cesión inicial podría quedar amparada con el contrato de encargado de tratamiento, salvo en el caso de que efectivamente se apreciase la existencia de un proceso de depuración de datos. La exhibición del anuncio estaría cubierta por el consentimiento dado por el usuario en el momento de aceptar los términos y condiciones de uso de Facebook, en la que se advierte que la publicidad es la contrapartida a la gratuidad del servicio.
Recomendaciones
Dada la acumulación de leyes estatales, normas generales de la red social y normas específicas de cada modalidad de campaña, la principal recomendación es contar con asesoramiento jurídico especializado en marketing en redes sociales. Este asesoramiento deberá dirigirse a comprobar, en cada caso específico:
El 24 de febrero de 2010, con motivo de mi participación como ponente en el I Congreso Internacional IAB Spain de regulación publicitaria en medios digitales, pude asistir a la ponencia de IAB UK en la que se presentaba una guía sobre Behavioral Advertising.
El ponente comentó que, en un estudio que habían realizado sobre la disposición de los usuarios a recibir publicidad online personalizada, se había confirmado que, a la hora de consumir contenidos en Internet, los usuarios preferían un modelo basado en la publicidad frente a un modelo basado en el pago por contenidos. Y puestos a aceptar la publicidad como contrapartida a la gratuidad del servicio, los usuarios preferían que esa publicidad se adaptase a sus gustos y preferencias.
Esta posición del consumidor queda patente en las revistas especializadas. Nunca veremos un anuncio de zapatos o de coches en una revista de informática, debido al rechazo que una publicidad descontextualizada tendría entre los lectores.
Esta adaptación de la publicidad a los gustos y preferencias del usuario puede hacerse de forma objetiva o subjetiva:
Mientras la publicidad basada en el contexto puede prescindir de datos acumulativos, la publicidad basada en el comportamiento del usuario convierte la ruta seguida por el usuario en la clave de su efectividad. (NOTA: En este post utilizo el término “contextual” porque me gusta y no utilizo el término “comportamental” porque no me gusta, independientemente de que el primero esté en el diccionario de la RAE y el segundo no.)
El problema aparece cuando, aceptada la adecuación de la publicidad a mis gustos y preferencias, los anunciantes (o sus agentes o encargados del tratamiento) tienen que recogerlos y tratar estos datos para poder ofrecerme los anuncios más adecuados a ellos. No estamos hablando ya de segmentación o inclusión de mi perfil en una categoría donde puedo convivir con otros usuarios parecidos a mi. Estamos hablando de un segmento en el que sólo voy a estar yo y por lo tanto, de una publicidad basada en lo que he hecho en Internet durante los últimos meses.
Es en ese momento cuando, salvo que sea un nativo digital que publica en las redes sociales hasta la última radiografía de sus cervicales, me debería empezar a preocupar quién recaba esos datos, con qué finalidad y para quién.
Dado que estos datos se recogen a través de las cookies y de otros mecanismos análogos, es lógica la preocupación del legislador para regular su uso, y prueba de ello es la reciente modificación de la LSSI en este sentido.
Pero lo que no podemos hacer es tratar todos los tipos de cookies por igual. Analizando la normativa y las finalidades posibles, se me ocurren varias categorías:
1. Cookies orientadas a cuestiones técnicas de las comunicaciones: no necesitan consentimiento.
2. Cookies necesarias para la prestación de un servicio online: aceptación a través de las CGC que regulan el servicio.
3. Cookies orientadas a personalizar el diseño gráfico, mejorar la experiencia de usuario, realizar estadísticas y perfiles disociados de la actividad de los usuarios en ese sitio web únicamente y cualquier otra finalidad que pueda ser considerada no intrusiva: aceptación a través del aviso legal (consentimiento tácito)
4. Cookies obtenidas en las páginas web visitadas y orientadas a almacenar datos de navegación y datos del comportamiento del usuario a lo largo de las páginas que visita con fines de publicidad: necesitan consentimiento previo e informado. La cuestión es cómo se materializan tanto la información como el consentimiento, y cómo se obtienen y conservan las evidencias electrónicas de ambos actos. Si el navegador bloquea este tipo de cookies por defecto, la acción expresa de modificar esta configuración equivaldría a consentimiento, pero entonces el log del servidor debería conservar el tipo y versión del navegador como evidencia. Una combinación de aviso legal, configuración del navegador y log podría ser suficiente, pero las empresas más prudentes podrían recabar el consentimiento a través de un popup, un interstitial o un banner en la página web visitada.
5. Cookies de terceros, es decir, de páginas web no visitadas: implican un acuerdo de cesión de datos o de encargado del tratamiento entre los responsables de las páginas web visitadas y las no visitadas, y exigen un consentimiento previo e informado. Al no existir relación con el tercero, debería analizarse en profundidad el protocolo de aceptación de este tipo de cookies. Lo ideal sería que la configuración del navegador diferenciase entre cookies de páginas web visitadas y cookies de terceros para poder discriminar estas últimas. El navegador debería bloquear este tipo de cookies por defecto, requiriéndose una acción expresa del usuario para aceptarlas.
6. Cookies del proveedor de hosting: analizando el almacén de cookies de mi navegador he comprobado que todos los blogs que he visitado, incluido el mío propio, han instalado cookies en mi ordenador. En realidad no han sido los blogs, sino los proveedores del servicio de albergue del blog. Dado que las cookies de publicidad y de terceros están bloqueadas por defecto, entiendo que las cookies instaladas son meramente técnicas. En cualquier caso, sería recomendable confirmar este extremo con el proveedor, y modificar el aviso legal advirtiendo sobre sobre el origen y la finalidad de las cookies instaladas por el proveedor. En mi blog en WordPress y en Typepad no inserto publicidad, pero en el de Expansión, sí hay un banner que no gestiono ni exploto. Si los responsables del servicio instalan cookies y obtienen datos que van más allá de los meramente técnicos, entiendo que deben advertirlo a los usuarios en su aviso legal y comunicarlo a los bloggers que utilizan el servicio. Aunque estos proveedores pudiesen llegar a ser considerados encargados de tratamiento, es evidente que generan un nuevo vínculo con los usuarios y son responsables de los datos que recaben de ellos. Lo mismo sucede con los datos suministrados por los lectores del blog al publicar un comentario.
Las opciones de configuración de los navegadores en materia de cookies han tenido una gran evolución en los últimos años. De una lista original de dos opciones: bloquear o no bloquear, se ha pasado a la posibilidad de discriminar distintos tipos de cookies.
Mi navegador, por ejemplo, conserva la configuración de origen, de manera que por defecto bloquea las cookies de publicidad y de terceros. Prueba de ello es que, al visitar la sección de preferencias de la guía antes comentada, un popup me confirma que la configuración del navegador bloquea la instalación de cookies destinadas a realizar publicidad basada en el comportamiento. Esta página actúa como una especie de lista Robinson, en la que el usuario puede seleccionar los proveedores (encargados del tratamiento en su mayor parte) que pueden instalar cookies en su equipo por cuenta de sus cliente, y los que no.
Finalmente, cabe añadir que el GT29 se ha pronunciado recientemente en relación al protocolo DO NOT TRACK (DNT), recomendando un consentimiento basado en una opción informada y activa en el momento de configurar la función DNT en el navegador y estableciendo un sistema OPT-OUT que permita el borrado de toda la información almacenada en el caso de que el usuario decida aplicar la opción DNT para evitar el seguimiento o rastreo de su actividad en Internet.
Como todo lo relacionado con la red, la evolución es imparable y vamos a asistir a cambios ante los que, como usuarios, anunciantes, encargados del tratamiento y profesionales tendremos que tomar decisiones, aprendiendo a convivir con las nuevas formas de personalización de la publicidad. Y el legislador tendrá que hacer un esfuerzo para no convertirse en el amigo gordete y entrañable que nos acompañaba a todas partes cuando éramos niños y nos pedía que lo esperásemos cuando nos poníamos a correr.
1. CAMBIO LEGISLATIVO
Tal como avanzamos en el post de 18 de noviembre de 2009, mañana entrará en vigor una modificación del artículo 22.2 de la Ley de servicios de la sociedad de la información y del comercio electrónico (LSSI) con el fin de adecuarlo a la nueva redacción dada por la Directiva 2009/136/CE a la Directiva 2002/58/CE.
La nueva redacción del artículo 22.2 exige el consentimiento del usuario sobre los archivos o programas informáticos que, como en el caso de las cookies, almacenan información en el equipo del usuario y permiten posteriormente acceder a ellas con distintas finalidades.
Como decíamos en el post de 12 de noviembre de 1997, estos dispositivos pueden facilitar la navegación por la red, pero también pueden desvelar aspectos de la esfera privada del usuario. Esta visión de las cookies, que entonces considerábamos exagerada, ha adquirido una nueva dimensión con el llamado behavioral marketing, o marketing del comportamiento y de las cookies flash o LSO.
2. NUEVO RÉGIMEN DE LAS COOKIES
1. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos (entre ellos las cookies) en los equipos de los destinatarios del servicio.
2. Previamente, los prestadores de servicios tendrán que haber facilitado información clara y completa sobre el uso de estos dispositivos.
3. Dicha información deberá incluir las finalidades del tratamiento de los datos obtenidos.
4. Una vez facilitada esta información, el usuario deberá dar su consentimiento.
5. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones.
6. Para que este procedimiento sea válido, el usuario deberá proceder a la configuración de estos parámetros, permitiendo la entrada de cookies, en el momento de la instalación o actualización del navegador mediante una acción expresa a tal efecto.
7. Este nuevo régimen no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas.
8. Tampoco impedirá, en la medida que resulte estrictamente necesario, el posible almacenamiento o acceso para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.
3. VÍAS PARA INFORMAR Y OBTENER EL CONSENTIMIENTO
1. Aviso legal
En mi opinión, sería desproporcionado exigir a los prestadores de servicios el cumplimiento de la obligación de información y la recogida del consentimiento mediante una ventana emergente o pop-up que con un texto informativo y un botón que el usuario debería aceptar. Ello sería alertar excesivamente al usuario, y podría tener un efecto disuasorio injustificado. Entiendo que resultará suficiente con incluir de forma destacada en el aviso legal del sitio web o en una sección específica para ello, la advertencia del uso de cookies, informando sobre las finalidades del tratamiento de los datos obtenidos.
El uso de un sitio web debe ser interpretado como un consentimiento para el tratamiento de los datos de los visitantes, dada la imposibilidad de obtener de forma individualmente el consentimiento de cada uno de ellos. Hasta ahora se ha considerado suficiente para el tratamiento de direcciones IP la información suministrada en el aviso legal o en la política de privacidad. Lo mismo debería suceder en el caso de las cookies, dado que el legislador habla de “facilitar” la información y no de entregarla con acuse de recibo, y no exige que el consentimiento sea expreso.
2. Configuración del navegador
En este caso el legislador sí exige una acción expresa, permitiendo la entrada de cookies en el equipo en el momento de la instalación o actualización del navegador. Ello significa que la configuración por defecto del navegador a partir de ahora debería impedir la entrada de cookies, y el usuario debería modificar dicha configuración de manera expresa para admitir cookies en el equipo.
3. Aceptación de CGC
El usuario también puede ser informado de las finalidades del uso de las cookies en las Condiciones Generales de Contratación del servicio solicitado, dando su consentimiento para su uso al hacer clic en el botón de aceptación.
En cualquier caso, recomendamos una revisión, caso por caso, del alcance y las finalidades en el uso de cookies y del protocolo de información y aceptación de las mismas, por parte de un experto en la materia.
Presentación divulgativa para no expertos en la que se analizan los efectos de la sentencia del Tribunal Supremo que anula el artículo 10.2.b del Reglamento de la LOPD y se dan algunas pistas para descifrar el concepto de interés legítimo exigido en la LOPD y en la Directiva.
El análisis se refiere a una fase anterior al tratamiento, por lo que no se hace referencia a la obligación de informar al interesado, entre otros extremos, sobre la incorporación de sus datos a un fichero con el fin de que pueda ejercitar los derecho de acceso, rectificación, cancelación y oposición.
Para mejorar la visualización se puede seleccionar la resolución 720 (HD) haciendo clic en el engranaje del vídeo.
El Tribunal Supremo ha dictado sentencia anulando el artículo 10.2.b del Real Decreto 1720/2007 de desarrollo de la LOPD, por ser contrario al derecho comunitario.
Dicho artículo exigía que, para tratar o ceder datos personales sin el consentimiento del interesado, se cumpliese el requisito adicional de que dichos datos figurasen en fuentes accesibles al público.
Entrada anterior en la que explicaba la trascendencia de la anulación de este artículo.