Source: http://derechoytic.blogspot.com/
Timestamp: 2016-05-31 19:46:53+00:00

Document:
Entre esta resolución y ésta ha ocurrido algo fundamental. La sociedad británica Badoo Trading, Ltd.,
propietaria de la red social Badoo (como los más sagaces de Ustedes ya habrán
deducido), ha cambiado su criterio en relación a la comunicación de datos de
IPs de sus usuarios.
En el primer caso, Dª B.B.B. fue sancionada con 2.000 €,
entre otras cosas, por crear un perfil falso en la citada red social utilizando
fotografías de Dª C.C.C. Aunque Dª C.C.C. no sabía quién estaba detrás de los mensajes
que corrían por Facebook injuriándola, ni conocía la identidad de la persona
que había abierto una cuenta en Badoo con 27 fotografías suyas pidiendo
explícitamente contactos sexuales, sospechaba que se trataba de alguien cercano
a su ex marido. Presentó una denuncia a la Agencia Española de Protección de
Datos exponiendo simplemente los hechos, sin señalar culpables. La AEPD abrió la correspondiente investigación. Como suele
hacer en estos casos, se dirigió a los responsables de las redes sociales. De manera diligente, Badoo Tranding Ltd. dio de baja el
perfil falso y comunicó a la Agencia las direcciones IP de los equipos desde
los que se había creado y actualizado dicho perfil. Como se indica en la resolución:
“A partir de esta información y de la facilitada por los operadores de telecomunicaciones
que tienen asignado el uso de esas direcciones IP, se desprende que los datos
de carácter personal de la denunciante fueron tratados en la red social Badoo
los días 26 y 28 de diciembre de 2011, 4, 9, 12 y 28 de enero de 2012. Según estas
informaciones, los accesos se produjeron desde equipos conectados a internet a
través de la línea telefónica de la que es titular doña B.B.B. (en lo sucesivo
la denunciada), instalada en una localidad próxima a aquella en la que reside
la denunciante.”
La denuncia se presentó en mayo de 2012, y entendemos que
las actuaciones no se debieron demorar mucho. Como decimos, finalmente, el
asunto se cerró con una multa a Dª B.B.B. de 2.000 € por tratar datos sin el
consentimiento de la denunciante. Sin embargo, pocos meses después, en diciembre de 2012, el
departamento legal de Badoo Trading, Ltd. remitió un escrito a la AEPD
señalando que cambiaba su criterio, y que no facilitaría las IPs de los
usuarios. Así, cuando a principios de 2014 la Guardia Civil de La Victoria de
Acentejo dio traslado a la Agencia de dos atestados relativos a denuncias por
suplantación de la identidad de dos niñas de 16 años, a través de perfiles
falsos en Badoo, se tuvo que archivar el procedimiento sin multa para los
responsables. La resolución concluye con la siguiente explicación:
“A este respecto, en
escrito de fecha 19 de diciembre de 2012, por el departamento legal de la compañía
de nacionalidad británica Badoo Trading, Ltd. se confirmó a la Inspección de
Datos un cambio de criterio respecto a la atención de las solicitudes de
información que hasta entonces venían canalizándose a través del departamento
técnico de la compañía. Badoo Trading, Ltd., con domicilio social en
Inglaterra, interpreta que, desde una perspectiva territorial, la norma que le
resultaría aplicable a Badoo sería la Ley de Protección de Datos del Reino
Unido, y declara que, con carácter general, la misma prohíbe facilitar datos de
carácter personal sin el consentimiento expreso del titular de los mismos,
salvo que sean requeridos por una autoridad competente en Inglaterra. Por otra
parte, la Autoridad británica de protección de datos, Information Commissioner’s
Office, ha confirmado a esta Agencia que carece de competencia legal para
solicitar información sobre direcciones IP a los prestadores de servicios de la
sociedad de la información, facultad conferida exclusivamente a la Policía en
el marco de un procedimiento penal.
Autoridad británica de protección de datos, Information Commissioner’s Office,
ha confirmado a esta Agencia que carece de competencia legal para solicitar
información sobre direcciones IP a los prestadores de servicios de la sociedad
de la información, facultad conferida exclusivamente a la Policía en el marco
de un procedimiento penal. En el presente caso, por la Inspección de Datos no
se ha obtenido información relevante que permita la identificación de los
autores de los perfiles denunciados.”
Más suerte tuvo la denunciante de la tercera resolución que
les comentaré hoy. El 5 de marzo de 2014, una señorita que se declara “camarera
de animación” puso en conocimiento de la AEPD que su ex jefe había creado un
perfil falso en Badoo utilizando su fotografía “como reclamo para contactar con
chicas que pudieran estar interesadas en participar en los espectáculos
lésbicos que organiza la empresa que dirige”.
Sí, han leído bien…pero centrémonos en los temas relativos a
protección de datos. Al ex jefe le cayó una multa de 2.000 euros. ¿Cómo es
posible, si Badoo no facilita datos de IPs de diciembre de 2012? ¿Han vuelto a
cambiar de criterio estos ingleses? No. Son gente de fiar y muy seria. Lo que
ocurre es que el denunciado había sobreimpreso en la fotografía su número de
teléfono personal y el nombre comercial de su empresa. Así es difícil negar los
hechos. Lean el texto completo de la resolución aquí.
Otra vez la dichosa casilla
Aquí tienen Ustedes otra resolución de la AEPD sobre cláusulas informativas. Queda claro, tras su lectura, que no se puede imponer a un cliente que acepte cualquier tratamiento de sus datos sin permitirle, en el mismo momento de la aceptación del contrato, oponerse a los tratamientos no directamente relacionados con el objeto del contrato. Como bien explica Monsieur le Directeur, una cosa es cumplir con el art. 15 del RLOPD, y otra permitir la revocación del consentimiento prestado. En este caso, una entidad bancaria, el BBVA, cambia las condiciones generales de sus servicios, de tal forma que no permite realizar trámites on-line a clientes de la entidad, que venían operando habitualmente por este medio, sin aceptarlas. Estas condiciones incluían, por lo que se refiere a protección de datos, lo siguiente:
1º. Posibilidad de tratar los datos para finalidades adicionales a la del contrato: "Asimismo el Cliente autoriza que sus datos personales se incorporen a ficheros del Banco para las siguientes finalidades:
a) La elaboración de perfiles de cliente con fines comerciales, a efectos de ofrecer productos o servicios bancarios, y de análisis de riesgos para futuras operaciones.
b) La remisión, a través de cualquier medio, incluso por correo electrónico u otro medio de comunicación electrónica equivalente, de cualesquiera informaciones sobre productos o servicios bancarios o de terceros.
c) Para cualesquiera otras finalidades no incompatibles con cualquiera de las previstas en este apartado."
2º. Cesiones a empresas del grupo:
“ El Cliente consiente y autoriza al Banco a comunicar sus datos de identificación y comunicación a las Entidades del Grupo BBVA en España para su utilización con la finalidad del apartado II. b).” No se puede decir que se hayan detallado de forma correcta las finalidades (eso de "cualesquiera otras finalidades no incompatibles" resulta demasiado ambiguo, por decirlo de una manera educada), pero lo peor es que no se ofrece al usuario la posibilidad de oponerse a estos tratamientos mediante la marcación de una casilla. Simplemente se indicaba (recordemos que la denuncia la presenta un usuario de los servicios de banca electrónica) esto:
“Específicamente el Banco informa al Cliente que en el momento de la presente contratación o con posterioridad a la misma y en cualquiera de sus oficinas, pueden manifestar su negativa al tratamiento por el Banco de sus datos personales para cualquiera de las finalidades indicadas en el apartado II de la presente Cláusula"
Bonito, ¿verdad? Pues le ha costado 35.000 euros al BBVA. Aquí le dejo el razonamiento de la AEPD, con el que, por una vez y sin que sirva de precedentes, coincido: "En este supuesto, de las actuaciones practicadas se desprende que si bien las personas físicas usuarias de dicho servicio podían acceder a través de internet en el sitio web www.bbva...... a las condiciones del “contrato multicanal” y “anexo de servicios del contrato multicanal y que en la cláusula 12- IX del contrato MULTICANAL se señala que “Específicamente el Banco informa al Cliente que en el momento de la presente contratación o con posterioridad a la misma y en cualquiera de sus oficinas, pueden manifestar su negativa al tratamiento por el Banco de sus datos personales para cualquiera de las finalidades indicadas en el apartado II de la presente Cláusula.. Sin embargo se ha constatado que en el contrato multicanal aportado y en el anexo al contrato multicanal no se prevé en ningún lugar la posibilidad de que el interesado pueda manifestar expresamente en el cuerpo del propio contrato su voluntad favorable o contraria al tratamiento de sus datos para fines no relacionados directamente con el desarrollo del contrato y la prestación del servicio.
Esa circunstancia entra en colisión directa con la exigencia contenida en el mencionado artículo 15.
Alega BBVA que tiene previsto un procedimiento por el cual se hace efectiva la oposición al tratamiento de los datos del cliente para finalidades que no guarden relación con el mantenimiento desarrollo o control de la relación contractual. (....) En este sentido hay que señalar que lo anteriormente manifestado no resulta de aplicación a la contratación online que se realiza sin intervención de alguna oficina. En la contratación on line no se prevé en ningún lugar de dichos contratos la posibilidad de que el interesado pueda manifestar expresamente en el momento de la contratación su voluntad favorable o contraria al tratamiento de sus datos para fines no relacionados directamente con el desarrollo del contrato y la prestación del servicio. Así mismo señalar que el procedimiento que tiene instaurado la entidad denunciada es un procedimiento de revocación del consentimiento una vez que éste obligatoriamente ha sido dado, como se desprende del hecho probado segundo, que no ofrece al afectado la posibilidad de negarse al tratamiento de sus datos en el momento de la contratación, a pesar de lo manifestado en la propia cláusula.
Sin embargo en este caso, el procedimiento habilitado por BBVA no permite al usuario manifestar su negativa en el momento en que se recaban los datos."
Les he copiado los párrafos más relevantes, pero deberían leer Ustedes la resolución completa (17 páginas de placer LOPD) antes de irse a dormir. Buenas noches. Publicado por
No son muchas las resoluciones en las que la Agencia Española de Protección de Datos analiza con detalle la redacción de las cláusulas informativas utilizadas en procesos de recogida de datos. En los próximos días, Dios mediante, analizaremos tres interesantes resoluciones publicadas en 2014 sobre este particular. Para empezar el año, he elegido la mejor de todas. Ya verán. Parece el guión de una película de Frank Capra. El denunciante, el señor A.A.A., es sin duda alguien con ideales elevados, alguien que lucha por un mundo justo, donde las grandes compañías no envían publicidad por e-mail, ni elaboran perfiles de sus clientes, ni ceden datos a terceros. En fin, nuestro héroe, cansado de las condiciones abusivas impuestas por Jazztel, denuncia a esta compañía con la intención principal, y cito textualmente, de "conseguir que Jazztel y las demás empresas de telecomunicaciones y de otros sectores que se valgan de los mismos métodos para el envío de información comercial:
Mañana más. Buenas noches. Publicado por

References: resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 artículo 15
 resolución