Source: https://www.cristinanebot.es/?page_id=43
Timestamp: 2020-08-07 21:54:51+00:00

Document:
Blog | Cristina Nebot
Escrito por admin Guardado en DELITOS, EMPRESA 23 de octubre, 2017 | Sin comentarios
En los últimos tiempos, el Compliance Penal es el tema de moda en el sector legal, con permiso siempre del nuevo Reglamento Europeo de Protección de Datos, pero qué es y, sobre todo, cómo saber si lo necesito.
la Ley Orgánica 5/2010, de 22 de junio modificó el Código Penal 10/95, de 23 de noviembre, entrando en vigor el pasado 23 de diciembre de 2010 y una de las principales novedades de la reforma es la implantación en nuestro Derecho de la responsabilidad penal de las personas jurídicas o sociedades, ya que hasta entonces sólo las personas físicas podían delinquir. En julio de 2015 entró en vigor la reforma del Código Penal que introduce en España la responsabilidad penal de las personas jurídicas que hasta entonces sólo tenían responsabilidad civil derivada de los delitos cometidos por su personal.
De este modo, la empresa o sociedad responderá penalmente por los hechos delictivos cometidos por sus socios, administradores, apoderados, empleados, gerentes, directores o colaboradores sin que se haya cumplido por la empresa su deber de supervisión, vigilancia y control para prevenir estas conductas. La forma de probar que se han ejercido estos deberes es disponer de un programa de cumplimiento normativo implantado. Entonces la empresa quedará exonerada de responsabilidad penal.
¿QUÉ SIGNIFICA COMPLIANCE PENAL O PLAN DE PREVENCIÓN DE DELITOS?
El cumplimiento normativo consiste en establecer las políticas y procedimientos adecuados para garantizar que una empresa cumple con el marco normativo aplicable a sus áreas de trabajo.
Así el “compliance penal” se define como conjunto de normas internas establecidas por el órgano de administración de la empresa con la finalidad de implantar un modelo eficaz de organización y gestión que incluye medidas de vigilancia y control idóneas para la prevención de delitos en la empresa.
Los modelos de organización y gestión, de conformidad con lo que establece el artículo 31 bis.5 deberán cumplir los siguientes requisitos:
“1.º Identificarán las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos.
4.º Impondrán la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención (canal interno de denuncias)
6.º Realizarán una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios”.
¿NECESITA MI NEGOCIO UN PROGRAMA DE CUMPLIMIENTO PENAL?
Todas las personas jurídicas pueden beneficiarse de la eximente o de la atenuante penal si disponen de un programa o plan de cumplimiento normativo, por lo que con independencia de su tamaño y sector de actividad el compliance penal es su única forma de eludir responsabilidades penales por delitos cometidos por sus empleados, socios, administradores, apoderados, directores o gerentes.
Las personas jurídi¬cas que se han dotado de planes idóneos de com¬pliance con anterioridad a la comisión de un delito no responderán de los delitos de sus directivos, es decir, se eximiría de responsabilidad penal a la entidad. Si lo hacen con posterioridad el Código Penal vigente atenúa la responsabilidad penal.
Resulta especialmente aconsejable siempre que haya varios socios, varios administradores o que la empresa tenga empleados o colaboradores en diversos departamentos o áreas de trabajo.
¿EXISTE REALMENTE EN MI EMPRESA UN RIESGO REAL DE COMISIÓN DE DELITOS?
Es frecuente pensar que una PYME no precisa la implantación de un programa de cumplimiento normativo. Sin embargo, son varias las circunstancias en las que es aconsejable que una PYME proceda a la adaptación.
Así ocurrirá cuando hay varios socios, varios administradores de hecho o de derecho o tenga apoderados. En definitiva, cuando haya una pluralidad de personas con capacidad para obligar a la PYME frente a terceros.
También se recomienda cuando la PYME tenga varios departamentos o varios empleados, de modo que la PYME no siempre tenga un control 100% sobre su quehacer diario.
Por último, la actividad de la PYME también incide en el riesgo de comisión de delitos que pueden terminar con la condena de la empresa. Por ejemplo, en el sector sanitario, como clínicas de salud y dentales, es alta la incidencia de delitos de descubrimiento y revelación de secretos (art. 197 CP), de estafa (arts. 248 a 251 CP) o delitos relativos a radiaciones ionizantes (art. 343 CP).
En los sectores relacionados con la informática, inciden los delitos de descubrimiento y revelación de secretos (art. 197 CP), de estafa (arts. 248 a 251 CP), de daños informáticos (art. 264 CP) y los relativos a la propiedad intelectual e industrial, al mercado y a los consumidores (arts. 270 a 288 CP).
¿ES OBLIGATORIO EN TODAS LAS EMPRESAS TENER UN COMPLIANCE OFFICER O CONTROLLER JURÍDICO?
Las empresas de reducida dimensión (siempre que el importe neto de la cifra de negocios habida en el período impositivo inmediato anterior sea inferior a 10 millones de euros) no tendrán que implantar la figura del “Compliance Officer”, sino que sus funciones las puede asumir el propio administrador.
Escrito por Cristina Guardado en BLOG, detención, SEGURIDAD PRIVADA 26 de marzo, 2014 | Sin comentarios
No es la primera vez que la verborrea tertuliana y los titulares con ansias de impactar acaban elevando por repetición a la categoría de noticia lo que con suerte es una media verdad. En tales ocasiones me viene a la cabeza aquella frase atribuida a Manuel Azaña; si la gente hablase sólo de lo que sabe se haría un precioso silencio que podríamos aprovechar para estudiar. Me pregunto cuántos titulares de materias que desconozco se han instalado en mi cerebro en el apartado de certezas…
Pero a veces ocurre que ese tema, justo ese tema, lo conozco y tal es el caso de las noticias sobre la nueva Ley de Protección de la Seguridad Ciudadana. Vaya por delante que son muchos los puntos que no comparto o me parecen directamente cuestionables jurídicamente, pero esa es sólo mi opinión. Lo que ahora comparto son hechos. Bueno, en realidad es Derecho.
No cabe duda de que se trata de una materia de espinosa regulación. Baste recordar que la actual ley – Ley Orgánica 1/1992, de 21 de febrero, sobre Protección de la Seguridad Ciudadana – fue conocida en su día como la ley de la patada en la puerta, alias ley Corcuera, entonces Ministro del Interior y que fue también objeto de recurso y derogación parcial por el Tribunal Constitucional. Si en aquel momento el caballo de batalla era la posibilidad de acceder a inmuebles sin orden judicial por parte de las Fuerzas y Cuerpos de Seguridad – patada en la puerta -, ahora se trata de la posibilidad de que el personal de Seguridad Privada pueda detener y en dónde.
Sin embargo, se trata de una falsa polémica. Los Vigilantes de Seguridad pueden detener y usted también y así es desde 1882 por obra de nuestra Ley de Enjuiciamiento Criminal;
“Cualquier persona puede detener:
1.º Al que intentare cometer un delito, en el momento de ir a cometerlo.
2.º Al delincuente, «in fraganti».
7.º Al procesado o condenado que estuviere en rebeldía.”
La diferencia entre un particular y un Vigilante de Seguridad radica en que mientras para el particular la posibilidad legal de detener se configura como un derecho (“puede detener”), para el personal de Seguridad Privada en su jornada laboral y en su lugar de trabajo es una obligación por disposición de la Ley 23/1992, de 30 de julio, de Seguridad Privada y su reglamento: “Poner inmediatamente a disposición de los miembros de las Fuerzas y Cuerpos de Seguridad a los delincuentes en relación con el objeto de su protección, así como los instrumentos, efectos y pruebas de los delitos”.
Así pues, los Vigilantes de Seguridad no sólo pueden detener, sino que deben hacerlo en su trabajo, sin que quepa hablar de retención como estado intermedio entre la detención y la libertad, si bien se trata de una detención que se ha dado en llamar funcional en tanto su finalidad es la entrega del detenido a las Fuerzas y Cuerpos de Seguridad. Como ya estableción el Tribunal Constitucional en su sentencia de 10 de julio de 1986 «La detención no es una decisión que se adopte en el curso de un procedimiento, sino una pura situación fáctica, sin que puedan encontrarse zonas intermedias entre detención y libertad» y la figura de la retención no se encuentra «contemplada en la ley de Enjuiciamiento Criminal».
Una última observación: desconfíen de aquellas informaciones que hablen de Vigilantes Jurados o Guardias Jurados. Dónde va…
Escrito por Cristina Guardado en BLOG, EMPRESA, PRIVACIDAD, PROTECCION DATOS, seguridad información 14 de octubre, 2013 | Sin comentarios
Despido por uso indebido de correo electrónico corporativo
Esta semana los titulares de los diversos medios anunciaban que el Tribunal Constitucional más que dictar sentencia, había sentenciado el derecho a la intimidad de los trabajadores. Pero ¿qué dice realmente la Sentencia del Tribunal Constitucional de fecha 7 de octubre y dónde radica su novedad?
El supuesto de hecho es bien conocido; un trabajador es despedido de una empresa por enviar información sensible y confidencial a la competencia, utilizando para ello el teléfono móvil y el correo electrónico corporativo.
Ante la sospecha de que así era, a requerimiento de la empresa, se había personado en su sede un notario, al que, por un lado, se pone a su disposición un teléfono móvil propiedad de la empresa, comprobándose el contenido de los mensajes SMS, y por otro, se le entrega en depósito un ordenador portátil, también propiedad de la empresa. Se procede después en la notaría y por parte de un técnico, a identificar el disco duro y a efectuar una copia del mismo, sin posibilidad de modificación de datos.
Sobre la base de tal prueba, la empresa despide al trabajador, pero para éste la información extraída del ordenador se obtuvo por la empresa contraviniendo la doctrina contenida en la Sentencia del Tribunal Supremo de 26 de septiembre de 2007, que establece determinados límites para el registro del ordenador asignado empresarialmente a un trabajador, a fin de que no se afecte una expectativa razonable de intimidad, razón por la que considera que los correos electrónicos constituyen una prueba ilegítimamente obtenida que debe declararse nula.
El Juzgado de lo Social núm. 16 de Madrid desestimó la petición de nulidad de la prueba pericial aportada por la empresa en relación con los correos electrónicos, dado que su práctica, fundada en las sospechas de un comportamiento irregular del trabajador, quedaba amparada por el art. 20.3 de la Ley del Estatuto de los Trabajadores (LET), aduciendo además – y esto es importante – que el Convenio colectivo aplicable sancionaba como falta leve la utilización de los medios informáticos propiedad de la empresa para usos distintos de los relacionados con la prestación laboral.
No obstante lo anterior, la Sentencia estimó la demanda y declaró el despido improcedente, por considerar desproporcionada la sanción impuesta frente a la gravedad de los hechos acreditados en el juicio recurso de suplicación por la empresa.
El trabajador denunció que la interceptación de mensajes SMS obtenidos del teléfono móvil constituye una vulneración del derecho constitucional al secreto de las comunicaciones reconocido en el art. 18.3 CE, y asimismo, en relación con los correos electrónicos extraídos del ordenador, indicó que en la empresa no existía protocolo ni instrucciones sobre los límites y condiciones de utilización de los ordenadores ni tampoco sobre los procedimientos de control de su contenido, exigencias que derivan de la doctrina contenida en la Sentencia del Tribunal Supremo de 26 de septiembre de 2007. La Sala de lo Social del Tribunal Superior de Justicia de Madrid estimó el recurso de suplicación de la empresa, declarando procedente el despido.
A partir de la doctrina sentada por la Sentencia del Tribunal Supremo de 26 de septiembre de 2007 sobre control empresarial del uso de los ordenadores por los trabajadores, el Tribunal Superior de Justicia toma en consideración que el art. 59.11 del Convenio colectivo de la Industria Química aplicable a las partes tipificaba como falta leve sancionable la utilización de los medios informáticos propiedad de la empresa para fines distintos de los relacionados con la prestación laboral. Dado que esta prohibición del Convenio no hacía referencia a los teléfonos móviles, la Sentencia entendió que, al no haber establecido previamente la empresa las reglas sobre su uso y control, las pruebas obtenidas de los mensajes de texto del teléfono móvil proporcionado al trabajador debían ser rechazadas por resultar contrarias a su derecho a la intimidad. Por el contrario, la citada prohibición convencional sí alcanzaba al uso del correo electrónico.
“La controversia a resolver versa, por tanto, sobre la necesaria delimitación de bienes e intereses de relevancia constitucional en el marco de las relaciones laborales: los derechos del trabajador a la intimidad y al secreto de las comunicaciones (arts. 18.1 y 18.3 CE), y el poder de dirección del empresario. “
Por lo que se refiere, en primer lugar, al derecho al secreto de las comunicaciones, objeto directo de protección del art. 18.3 CE es el proceso de comunicación en libertad y no por sí solo el mensaje transmitido, cuyo contenido puede ser banal o de notorio interés público.
Establece la STC que en su labor de delimitación del ámbito de cobertura del derecho, se ha precisado que “el art. 18.3 CE protege únicamente ciertas comunicaciones: las que se realizan a través de determinados medios o canales cerrados―quedan fuera de la protección constitucional aquellas formas de envío de la correspondencia que se configuran legalmente como comunicación abierta, esto es, no secreta. Así ocurre―cuando es legalmente obligatoria una declaración externa de contenido, o cuando bien su franqueo o cualquier otro signo o de igual forma, en la STC 241/2012, de 17 de diciembre (FJ 7), también hemos excluido la protección constitucional de comunicaciones abiertas, que se realizan en un canal del que no puede predicarse su confidencialidad.”
En la misma Sentencia seprecisa que, aun cuando la atribución de espacios individualizados o exclusivos -como la asignación de cuentas personales de correo electrónico a los trabajadores –puede tener relevancia sobre la actuación fiscalizadora de la empresa, ha de tenerse en cuenta que los grados de intensidad o rigidez con que deben ser valoradas las medidas empresariales de vigilancia y control son variables en función de la propia configuración de las condiciones de disposición y uso de las herramientas informáticas y de las instrucciones que hayan podido ser impartidas por el empresario a tal fin.
En el supuesto enjuiciado, las partes del proceso quedaban dentro del ámbito de aplicación del XV Convenio colectivo de la industria química, acordado por la Federación Empresarial de la Industria Química Española. En su art. 59.11 se tipificaba como falta leve la utilización de los medios informáticos propiedad de la empresa (correo electrónico, Intranet, Internet, etc.) para fines distintos de los relacionados con el contenido de la prestación laboral.
En atención al carácter vinculante de esta regulación colectivamente pactada, cabe concluir que, en su relación laboral, sólo estaba permitido al trabajador el uso profesional del correo electrónico de titularidad empresarial; en tanto su utilización para fines ajenos al contenido de la prestación laboral se encontraba tipificada como infracción sancionable por el empresario, regía pues en la empresa una prohibición expresa de uso extralaboral, no constando que dicha prohibición hubiera sido atenuada por la entidad.
Siendo este el régimen aplicable, el poder de control de la empresa sobre las herramientas informáticas de titularidad empresarial puestas a disposición de los trabajadores podía legítimamente ejercerse, ex art. 20.3 ET. De acuerdo con la doctrina constitucional expuesta, cabe entender también que no podía existir una expectativa fundada y razonable de confidencialidad respecto al conocimiento de las comunicaciones mantenidas por el trabajador a través de la cuenta de correo proporcionada por la empresa y que habían quedado registradas en el ordenador de propiedad empresarial.
En el supuesto analizado la remisión de mensajes enjuiciada se llevó pues a cabo a través de un canal de comunicación que, conforme a las previsiones legales y convencionales indicadas, se hallaba abierto al ejercicio del poder de inspección reconocido al empresario; sometido en consecuencia a su posible fiscalización, con lo que, de acuerdo con nuestra doctrina, quedaba fuera de la protección constitucional del art. 18.3 CE.
“Rechazada la conculcación de este derecho fundamental ex art. 18.3 CE, expresamente hemos afirmado que el derecho a la intimidad es aplicable al ámbito de las relaciones laborales (SSTC 98/2000, de 10 de abril, FFJJ 6 a 9; 186/2000, de 10 de julio, FJ 5). Respecto a si la cobertura de este derecho fundamental se extiende al contenido de los mensajes electrónicos, en nuestra STC 173/2011, de 7 de noviembre, hemos puesto de manifiesto que el cúmulo de información que se almacena por su titular en un ordenador personal–entre otros datos sobre su vida privada y profesional–forma parte del ámbito de la intimidad constitucionalmente protegido. Nuestra doctrina ha establecido también ciertas matizaciones en cuanto al alcance de la protección del derecho a la intimidad reconocido en el art. 18.1 CE; el ámbito de cobertura de este derecho fundamental viene determinado por la existencia en el caso de una expectativa razonable de privacidad o confidencialidad. “
Resumiendo, aun en defecto de política empresarial sobre el uso de medios tecnológicos en la empresa, como establecía hasta ahora la doctrina de la STS de 26 de septiembre de 2007, el Convenio Colectivo que tipifica como falta leve su utilización para fines distintos de los laborales viene a suplirla en tanto es conocido y vinculante para el trabajador.
No existe vulneración del art. 18.3 CE, porque la comunicación se realiza en lo que se considera el correo corporativo un canal abierto o no secreto, ni tampoco del art. 18.1 CE porque el trabajador no podía tener una expectativa razonable de confidencialidad al usar este medio.
«Image courtesy of Stuart Miles/ FreeDigitalPhotos.net».
Escrito por Cristina Guardado en BLOG, PRIVACIDAD, PROTECCION DATOS, SEGURIDAD PRIVADA, VIDEOVIGILANCIA 5 de septiembre, 2013 | Sin comentarios
Si la rápida evolución de la tecnología ha puesto en evidencia la necesidad de modificar y actualizar la regulación en materia de protección de datos y privacidad, no puede decirse menos del sector de la Seguridad Privada, cuya incidencia en el ámbito de tales derechos fundamentales es manifiesta. Por eso, resulta de interés el proyecto de Ley de Seguridad Privada y la idea principal de su texto; estrechar la colaboración y coordinación de los sectores público y privado encargados de mantener y garantizar nuestra seguridad.
Uno de los campos en los que el uso de tecnologías enfocadas a la seguridad viene planteando más incidencias y preocupación por parte de los defensores de la privacidad es, sin duda, el de la videovigilancia. Por este motivo, a la hora de considerar la regulación de su utilización y salvaguardar el necesario respeto a los derechos fundamentales es necesario acudir tanto a la propia Ley de Seguridad Privada 23/1992, de 30 de julio, como a la normativa de protección de datos personales, en concreto, a la Instrucción 1/2006, de 8 de noviembre de la Agencia de Protección de Datos.
Este documento, pese a su brevedad, ha sido la guía para la correcta utilización de las videocámaras por el sector privado, en particular, por parte de las empresas de seguridad privada hasta que la Ley 25/2009, de 22 de diciembre, de modificación de diversas leyes para su adaptación a la Ley sobre el libre acceso a las actividades de servicios y su ejercicio y su Disposición Adicional Sexta ampliaron la legitimación para la instalación de sistemas de videovigilancia a personas o entidades distintas de los profesionales de la seguridad.
“Artículo 14.2. Disposición adicional sexta: Exclusión de las empresas relacionadas con equipos técnicos de seguridad
En todo caso, fuesen empresas de seguridad u otras entidades o particulares los que procediesen a la instalación de sistemas de videovigilancia la legitimación para el uso de instalaciones de videovigilancia se ceñía a la protección de entornos privados, encomendando la prevención del delito y la garantía de la seguridad en las vías públicas en exclusiva a las Fuerzas y Cuerpos de Seguridad del Estado en los términos de la Ley Orgánica 4/1997, de 4 de agosto por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado en lugares públicos. Por tanto, la regla general es la prohibición de captar imágenes de la calle desde instalaciones privadas. Así el artículo 4.3 de la Instrucción 1/2006 establece que:
“3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida.”
El proyecto de Ley de Seguridad Privada aprobado el pasado 14 de junio dedica su artículo 42 a los servicios de videovigilancia y son numerosas las referencias que podemos encontrar a los aspectos de protección de datos. Sin embargo, resulta llamativo su párrafo segundo:
“No se podrán utilizar cámaras o videocámaras con fines de seguridad privada para tomar imágenes y sonidos de vías y espacios públicos o de acceso público salvo en los supuestos y en los términos y condiciones previstos en su normativa específica, previa autorización administrativa por el órgano competente en cada caso. Su utilización en el interior de los domicilios requerirá el consentimiento del titular.”
Parece querer flexibilizarse la tajante prohibición de cámaras privadas en espacios públicos y decimos “parece querer” porque la redacción adolece de una imprecisión que permite tantas interpretaciones como lecturas: “en los supuestos y en los términos y condiciones previstos en su normativa específica, previa autorización administrativa por el órgano competente en cada caso.”
¿Cuál es esa normativa específica, la Ley de Seguridad Privada o la normativa sobre Protección de Datos? ¿Cuáles son tales supuestos, términos y condiciones? ¿Cuál es el órgano competente en cada caso? ¿Corresponderá tal autorización a la Comisión de Garantías de Videovigilancia de manera análoga a los sistemas de videograbación de lugares públicos por las Fuerzas y Cuerpos de Seguridad?
Security Camera In Public Space Indoor» by Sira Anamwong
Escrito por Cristina Guardado en BLOG, CLOUD COMPUTING, INTERNET, PRIVACIDAD, PROTECCION DATOS, seguridad información 3 de junio, 2013 | Sin comentarios
El Consejo General de la Abogacía en colaboración con la Agencia Española de Protección de Datos ha elaborado un informe que pretende constituir una guía para los despachos de abogados a la hora de utilizar el cloud computing. Y es que las ventajas de la gestión del despacho y sus expedientes en la nube son innegables, pero ello no debe hacernos olvidar la obligación no sólo de cumplir con la normativa de protección de datos, sino también de preservar el secreto profesional.
A lo largo de cinco puntos, este informe aborda cuestiones tan trascendentes como cuál sería la jurisdicción competente en caso de conflicto cuando los servidores en los que se alojan nuestros expedientes se ubican en países diferentes al nuestro. ¿Es competente el estado en el que físicamente se encuentran los servidores o aquel en el que radica nuestro despacho?
En este punto la respuesta es clara: la normativa aplicable es la ley del Estado donde está ubicado el responsable del tratamiento del fichero, en este caso el despacho de abogados. Por ello, los abogados deberán cerciorarse de que los proveedores de ‘cloud computing’ cumplen la normativa española de protección de datos personales (art. 20.2 del RLOPD). Las garantías exigibles son las establecidas en la LOPD y su reglamento de desarrollo y en ningún caso se podrá pactar la aplicación de una normativa distinta ni excluir la competencia de la AEPD.
Además debemos tener en cuenta que la normativa europea considera transferencia de datos personales la comunicación a países terceros – excepto en el territorio del Espacio Económico Europeo – y señala que la transferencia ha de limitarse a naciones en las que los datos cuenten con lo que se define como “un nivel de protección adecuado”, salvo que se obtenga, previa la aportación de garantías adecuadas, la autorización del Director de la AEPD.
En el frecuente caso de que ese tercer país no comunitario sea Estados Unidos, si el proveedor se ha adherido voluntariamente al acuerdo de “puerto seguro”(safeharbor) en virtud del cual se obligan a cumplir requisitos equivalentes a los europeos en materia de protección de datos, no será necesaria la citada autorización, si bien siempre será necesario suscribir un contrato de prestación de servicios conforme a la LOPD (FAQ nº 10 de la Decisión 2000/520/CE).
¿Cómo conciliar las utilidades del cloud computing con el cumplimiento del deber de secreto profesional? El artículo 9.1de la LOPD dispone que “El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado (…)” y a ese deber genérico de conservación se une el deber específico de secreto profesional por parte de los abogados.
Además es frecuente que por el tipo de asuntos profesionales gestionados en nuestros expedientes se encuentren datos especialmente protegidos, entre los que se encuentran los relativos a salud, orientación sexual, ideología o religión, para los cuales las medidas de protección que debe adoptar el encargado del tratamiento del fichero son especialmente rigurosas. Por eso, los despachos de abogados deberán exigir a su proveedor el cumplimiento de las medidas de seguridad previstas en los art. 89 y siguientes del RD 1720/2007.
Por tanto, no sólo se debe cumplir con la normativa de protección de datos y suscribir el correspondiente contrato de encargado de tratamiento con el proveedor de servicios cloud (art. 12 LOPD), sino que además debemos incluir ciertas cláusulas relativas a aspectos esenciales para garantizar que el servicio se recibe con todas las garantías técnicas y legales y con pleno respeto al derecho a la protección de datos de carácter personal:
– Régimen de datos
– Cumplimiento de la normativa de protección de datos de carácter personal
– Seguridad en el acceso exclusivamente por los miembros del despacho
– Conservación e integridad de la información
– Disponibilidad del servicio
– Portabilidad de la totalidad de la información almacenada al término del servicio
– Consecuencias en caso de incumplimiento
Escrito por Cristina Guardado en BLOG, INTERNET, MARKETING ONLINE, PRIVACIDAD, PROTECCION DATOS, seguridad información 29 de abril, 2013 | Sin comentarios
Cupcakes vs Cookies
A estas alturas todo el mundo sabe que las cookies han sido destronadas en el mundo de la repostería por los cupcakes. Tanto es así que su acepción más común se ha trasladado al universo de Internet, donde reinan sin competencia y se conocen como los archivos que se descargan desde el servidor en el terminal del usuario con la finalidad de recolectar información sobre la navegación del mismo, ya sea su usuario y contraseña, ya sean sus hábitos de navegación. Pero, ¿saben los prestadores de servicios cuáles son los límites para utilizarlas en sus webs? ¿Conocen los internautas cómo controlar la descarga de cookies?
La aprobación del Real Decreto-ley 13/2012, por el cual se modifica el artículo 22 de la Ley de Servicios de la Sociedad de la Información y del Comercio Electrónico, supuso la obligación de exigir el consentimiento del usuario al instalar cookies.
Así pues, la primera conclusión es que no podremos utilizar cookies si no hemos obtenido el consentimiento, previa información adecuada, del destinatario. En concreto, debemos facilitar de forma clara y completa información sobre los siguientes extremos:
-Existencia de cookies y fines de su utilización y tratamiento
– Procedimiento para revocar el consentimiento y, en su caso, eliminar las cookies.
Por tanto, debemos incorporar estos extremos a los clausulados informativos o avisos legales de las páginas web y debemos hacerlo de forma “clara”, es decir, visible, fácil de encontrar y de entender. Sin conocimiento no hay consentimiento válido. Necesitamos un consentimiento informado.
Ahora bien, existen cookies exentas de la obligación de información y consentimiento en determinadas circunstancias y siempre que no se utilicen para fines adicionales. Así lo determinó el Grupo de Trabajo del artículo 29 en un dictamen sobre la exención a la obtención del consentimiento para el uso de cookies el pasado mes de junio de 2012 en Bruselas;
1- Cuando se utilice «al solo fin de efectuar la transmisión de una comunicación a través de una red de comunicaciones electrónicas«;
2- «en la medida de lo estrictamente necesario a fin de que el proveedor de un servicio de la sociedad de la información preste un servicio expresamente solicitado por el abonado o el usuario”.
Por ejemplo, las cookies de identificación de sesión, las cookies de las sesiones de los reproductores multimedia y las cookies de personalización de la interfaz del usuario.
Dada la necesidad de conciliar el respeto al derecho a la privacidad con los legítimos intereses de la industria digital y la publicidad online, la Agencia de Protección de Datos en colaboración con Adigital, IAB Interactive Advertising Bureau, Autocontrol y la Asociación Española de Anunciantes ha elaborado la “Guía sobre el uso de las Cookies”, que hoy mismo ve la luz. En esta se abordan de manera sencilla desde cuestiones terminológicas hasta la explicitación de qué información y cómo debe ofrecerse al usuario, así como las modalidades de obtención de su consentimiento para el uso de las cookies. Constituye, por tanto, una lectura obligada tanto para los internautas como, muy especialmente, para los editores, anunciantes y agencias de medios, de análisis y de medición.
Para todos ellos:
Escrito por Cristina Guardado en BLOG, EMPRESA, INTERNET 9 de abril, 2013 | 2 Comentarios
En estos tiempos de crisis financiera la tentación de “salir” del sistema, de dejar de lado a los bancos que tantos quebraderos de cabeza nos dan, ha dado protagonismo a lo que algunos ya consideran la nueva burbuja: BitCoin, la moneda virtual. Incluso hay quien la considera la competidora de valores hasta ahora considerados seguros como el oro.
En un gesto claramente oportunista, se anunció la apertura del primer cajero de BitCoins en Chipre, coincidiendo con su rescate y dando lugar a los consiguientes chascarrillos en un país cuyos ciudadanos vieron limitado el acceso a su dinero real en lo que conocemos como corralito. Así que el tirón de la noticia estaba asegurado. Los chipriotas no podían sacar sus euros de los bancos, pero sí podrían obtener monedas virtuales o BitCoins.
Además de los chipriotas, el resto del mundo también curioseaba por BitCoin gracias a este titular: “La cantidad total de BitCoins sobrepasó los mil millones de dólares”. Así que uno se pregunta, ¿me estoy perdiendo algo?
Y es que este medio de pago se presenta como la divisa al margen de estados, bancos y autoridades monetarias, lo que de por sí solo la convierte ahora mismo en deseable. Eso por no mencionar el anonimato en las transacciones. Nacida en el año 2009, se fundamenta en una base de datos distribuida – sobre diferentes ordenadores interconectados – y se gestiona mediante una red P2P. Pero no todo es descontrol, ya que el número máximo de BitCoins que se generarán es de 21 millones. Ya, pero ¿21 millones de qué? ¿Cuánto vale un BitCoin?
Desde que empecé a escribir esto – y no llevo más de 15 minutos – esta ha sido la variación de su valor en relación al dólar:
PRECIO DEL BITCOIN (USD)
ÚLTIMO: 137.99983 ÚLTIMO: 139.25
MÁS ALTO: 139.89998
MÁS BAJO: 128.001
Sin embargo, la pasada semana su estabilidad se vio en entredicho al caer un 20% su valor porque Mt.Gox (https://www.mtgox.com ), el más antiguo de los sitios de compra-venta de BitCoin, sufrió un DDoS y ha obligado al cese de operaciones de Instawallet, un monedero de BitCoin al ver comprometidos sus sistemas.
(…ahora la cotización es 139.27 USD…)
Podemos encontrar incluso web que nos regalan – sí, regalan – BitCoins, eso sí, en proporciones infinitesimales, como www.BitCoinfaucet.at, mientras aumentan las webs – sobre todo de servicios online – que los admiten como medio de pago, temerosas de quedarse fuera del que parece ser un mercado en expansión.
No es el objeto de este post profundizar en definiciones que más acertadamente se desarrollan por otros (p.ej. , podemos encontrar toda la información sobre BitCoin en español en http://www.elBitCoin.org ), sino pararnos a reflexionar sobre si nos encontramos ante un medio de pago revolucionario o ante la enésima burbuja de los últimos tiempos.
Nota: Dos días después de comenzar a redactar este post, el valor de BitCoin alcanzó los 194.1 USD…
Nulidad de prueba: videovigilancia que no cumple la LOPD
Escrito por Cristina Guardado en BLOG, PROTECCION DATOS, SEGURIDAD PRIVADA, VIDEOVIGILANCIA 23 de enero, 2013 | Sin comentarios
Videovigilancia como prueba de delitos graves
Han sido muchas las veces en las que por parte de un cliente durante una adaptación o por parte de un alumno durante un curso de Seguridad Privada y una vez expuestas las exigencias legales para la instalación y uso de cámaras de videovigilancia, se me pregunta con cierto escepticismo “¿pero entonces no valdrían como prueba? Pero si pasa algo gordo, un juez lo admitiría igual, ¿no?”. Y debo admitir que, pese a mi insistencia en la respuesta, su escepticismo no desaparece.
Por eso, ante la penúltima ocasión – porque sé que no será la última – en que me han hecho esta pregunta, me he decidido a comentar el ejemplo más contundente que conozco al respecto. Se trata de la Sentencia del Tribunal Supremo 417/2012, de 3 de Febrero de 2012 que confirma la anulación realizada por el Tribunal Superior de Justicia de Cataluña en su sentencia 5794/2011 de las imágenes captadas por una cámara de videovigilancia de una empresa privada, imágenes que constituían la principal prueba de un delito grave, de un asesinato, al grabar cómo una persona es apuñalada por la espalda hasta la muerte.
¿Cuál fue la razón que llevó al Tribunal Superior de Justicia de Cataluña y al Alto Tribunal a anular una prueba de semejante importancia? La defensa del acusado recurrió la sentencia condenatoria de la Audiencia Provincial de Barcelona alegando la ilicitud de uno de los medios de prueba, las imágenes que grabaron el asesinato, ya que la cámara de seguridad captaba un ángulo más amplio del permitido en un espacio público a una cámara privada. Dicho de otra forma, la instalación de videovigilancia no respetaba la LOPD ni, en concreto, la Instrucción 1/2006 de la Agencia Española de Protección de Datos;
“la grabación videográfica de los hechos enjuiciados por una cámara de videovigilancia instalada en la fachada de un edificio de propiedad privada, que, en lugar de limitarse a captar imágenes de su propia entrada, lo hizo de toda la vía pública (la calle Balmes de Barcelona) a la que enfocaba abiertamente, hasta el punto de apuntar a los edificios de la acera de enfrente, sin contar para ello con el consentimiento de cuantos fueron filmados y, más en concreto, con el del acusado, cuya imagen grabada llegó a ser reconocida por varios testigos;”
En este sentido, el TSJC afirma que “La jurisprudencia de nuestro TS (2ª) viene entendiendo, con carácter general, que las grabaciones videográficas de imágenes captadas en espacios públicos, a condición de que sean auténticas y de que no estén manipuladas, constituyen un medio de prueba legítimo y válido en el proceso penal -previsto ahora expresamente en el art. 382 LEC 2000 y aplicable de forma supletoria por mor de los dispuesto en el art. 4 LEC 2000 -, sin que se requiera para su captación la previa autorización judicial.”
(…) De todas formas, en todos los casos el TS requiere que las condiciones de captación de las imágenes sean respetuosas con los derechos fundamentales de los afectados, en especial con el de la intimidad, de manera que no afecten a entornos o a espacios de privacidad ( SSTS 2ª 157/1999 de 30 ene., 968/1998 de 17 jul., 223/1998 de 3 sep., 1733/2002 de 14 de oct., 299/2006 de 17 mar., 597/2010 de 2 de jun. y 1140/2010 de 29 de dic.).
Ahora bien, por lo que se refiere específicamente a las imágenes captadas por sistemas de videovigilancia en entornos privados, surgen otros condicionantes relacionados, no sólo con el derecho a la intimidad propiamente dicho, sino más específicamente con el derecho fundamental a la protección de datos personales recogido en el art. 18.4 CE, teniendo en cuenta que la captación y, en su caso, la grabación, transmisión, conservación o almacenamiento de información personal en forma de imágenes, cuando su uso afecta a » personas identificadas o identificables», constituye un dato de carácter personal”
“(…)A la vista de las anteriores consideraciones, resulta obligado considerar que la captación y grabación de la imagen «identificable» del acusado llevada a cabo sobre las 8 horas del día 15 julio 2007 por la cámara de vídeo instalada en la fachada del edificio privado ubicado en el número 19 de la calle Balmes de Barcelona sí vulneró el derecho fundamental del mismo a la protección de su imagen (además del de otros, lo que justifica que se dé cuenta a la AEAP a los efectos oportunos) como «dato personal» (art. 18.4 CE).
La consecuencia directa es que la prueba de cargo así obtenida y utilizada en el presente procedimiento debe considerarse nula (art. 11.1 LOPJ).”
La trascendencia de una correcta instalación de cámaras de videovigilancia y del cumplimiento de los requisitos legales para la legalidad de las imágenes así obtenidas con la finalidad de su válidez como prueba adquiere mayor relevancia cuando se trata de aquellos establecimientos e instalaciones que se encuentran legalmente obligados a su utilización, también denominados de Grado 3.
La Norma UNE-EN 50131-1 establece cuatro grados de seguridad en función del riesgo:
Dentro del grado 3 se encuentran joyerías y platerías, galerías de arte y tiendas de antigüedades, administraciones de lotería y estaciones de servicio. La Orden INT/317/2011, de 1 de febrero, sobre medidas de seguridad privada establece en su Disposición Transitoria Única;
“Los elementos de seguridad física y electrónica y los sistemas de alarma, instalados antes de la fecha de la entrada en vigor de la presente Orden, en establecimientos obligados y no obligados, se adecuarán a la misma en el plazo de diez años.
Los establecimientos a que hace referencia la Disposición Adicional Primera de esta Orden, dispondrán de un plazo de dos años para que cumplan lo previsto en ella, respecto a su conexión a central de alarmas y disponer de sistema de registro de imágenes”
Así pues, el plazo para la adaptación de los sistemas de videovigilancia a las exigencias de la normativa de Seguridad Privada finaliza el próximo 1 de agosto de 2013. Todo ello sin perder de vista la necesidad de cumplir con lo dispuesto por la Instrucción 1/2006 de la Agencia Española de Protección de Datos, cuya observancia, como hemos indicado, determina su validez como prueba, pase lo que pase y grabe lo que grabe.

References: artículo 31
 artículo 4
 artículo 42
 artículo 9
 artículo 22
 artículo 29