Source: http://derechoytic.blogspot.com/2008/07/
Timestamp: 2018-04-26 05:33:39
Document Index: 246150029

Matched Legal Cases: ['artículo 11', 'artículo 11', 'artículo 11', 'artículo 11', 'artículo 10', 'artículo 15', 'artículo 9', 'artículo 16', 'artículo 11']

AD EDICTUM: julio 2008
Publicado por Ad Edictum en 21:30 No hay comentarios:
Dedicaré el post de hoy a explicar cómo se debe enfocar la elaboración del Documento de Seguridad de una manera tan sencilla que incluso Ustedes podrán entenderlo.
El RD 1720/2007 dedica tu art. 88 al Documento de Seguridad. La importancia de este artículo se pone de manifiesto en el hecho de que constituye un capítulo dentro del Título VIII referido a medidas de seguridad, es decir, tiene entidad suficiente para que el legislador lo separe de las otras materias que componen el Título VIII otorgándole entidad propia. Su apartado primero indica:
"El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información."
Se trata de un conjunto de procedimientos, normas y estándares de seguridad que debe reflejar el cumplimiento por parte de la empresa de las medidas de seguridad establecidas en el reglamento. Su contenido mínimo se señalado en el art. 88 y debe mantenerse en todo momento actualizado. La revisión del Documento de Seguridad, constituye uno de los aspectos fundamentales de las auditorías bienales de los ficheros de nivel medio y alto.
Las empresas que se enfrenten a la elaboración de un Documento de Seguridad disponen de la guía elaborada por la Agencia Española de Protección de Datos.
También les resultarán útiles los modelos colgados en la web de la Agencia de Protección de Datos de la Comunidad de Madrid, que por cierto, venía ofreciéndolos varios años antes de que la AEPD se decidiera a facilitar la tarea de los responsables de ficheros en cuanto a la implantación de las medidas de seguridad. Recientemente, ha colgado versiones adaptadas al nuevo reglamento. Eso sí, no olviden que estos modelos están orientados a ficheros de titularidad pública.
Las guías y modelos señalados pueden servir de base a empresas pequeñas que no hayan desarrollado políticas ni redactado protocolos. Para las empresas que sí dispongan de normativa interna, el documento de seguridad no deberá constituir un texto independiente o diferente de dichos procedimientos, sino que habrá de integrarlos y remitirse a ellos para cubrir su contenido mínimo. En estos supuestos, el documento de seguridad se convierte en una especie de código o compilación de normas de seguridad implantadas en la organización.
Como conclusión, les remito a unos enlaces a Youtube (que no deja de sorprenderme) donde encontrarán Ustedes una agradable voz femenina que les explica la manera de completar la plantilla de documento de seguridad que facilita la AEPD en su página web:
- http://www.youtube.com/watch?v=4196Yy02UY8&feature=related (parte I).
- http://www.youtube.com/watch?v=ebsqLPoDpOU&feature=related (parte II).
Publicado por Ad Edictum en 22:37 2 comentarios:
Los prestadores de servicios en el nuevo reglamento
El RD 1720/2007 ha introducido importantes novedades en régimen aplicable al encargado del tratamiento. No sólo en el capítulo III de su Título II (arts. 20 a 22), sino a lo largo de su articulado, se incluyen diversas referencias a dicha figura que obligarán a realizar modificaciones a las empresas habituadas al outsourcing.
En primer lugar, el encargado del tratamiento cobra una mayor importancia en relación con el principio de seguridad. Recordemos que en la Directiva 95/46/CE, las previsiones sobre el encargado del tratamiento se incluyen en el art. 17, dedicado a la seguridad de los datos.
Los encargados del tratamiento con acceso a datos deberán aparecer listados en el documento de seguridad, con identificación de los ficheros a los que acceden. Así lo exige el art. 88.5 RLOPD:
“Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deberá contener la identificación de los ficheros o tratamientos que se traten en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable y del período de vigencia del encargo.”
El documento de seguridad también contendrá las siguientes menciones:
- Si los ficheros o tratamientos se incorporan o tratan en los sistemas del encargado del tratamiento (art. 88.6 RLOPD).
- Si se produce acceso remoto, habiéndose prohibido al encargado incorporar tales datos a sistemas o soportes distintos de los del responsable (art. 82.1 RLOPD)
Por otro lado, resulta conveniente modificar los modelos de contrato elaborados de acuerdo al art. 12 LOPD para adaptarlos al nuevo reglamento. Les resumo en seis punto aquello que no deberían pasar por alto a la hora de redactar estos contratos:
1. Siempre que los servicios se presten en los locales del responsable del fichero, el personal del encargado del tratamiento deberá comprometerse al cumplimiento de las medidas de seguridad implementadas por el responsable (art. 82.1 RLOPD). El responsable del fichero podría incluir una cláusula en el contrato de prestación de servicios que permita solicitar la sustitución de personal por incumplimiento de las medidas de seguridad.
2. En el caso de que el tratamiento se desarrolle en los locales del encargado, esta circunstancia deberá constar expresamente en el contrato (art. 88.6).
3. También se aconseja reflejar si el encargado del tratamiento asumirá la atención al ejercicio de los derechos de los interesados, de acuerdo a lo dispuesto en el art.26 RLOPD.
4. Los contratos de prestaciones de servicios de publicidad y prospección comercial habrán de dejar claro quien fija los parámetros de selección para realizar la campaña. Tengan presente que el art. 46.2 RLOPD señala:
“2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
a. Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
b. Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
c. Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento.”
5. Las previsiones en cuanto a la subcontratción o conservación de los datos (arts. 21 y 22 RLOPD) no son nuevas, sino que recogen el criterio fijado por la AEPD en sus informes jurídicos.
6. Por último, el art. 20.2 RLOPD al indicar que “cuando el responsable del tratamiento contrate la prestación de un servicio que comporte un tratamiento de datos personales sometido a lo dispuesto en este capítulo deberá velar por que el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto en este Reglamento”, abre la puerta a que se incluyan en el contrato diversas garantías como la exhibición de los informes de auditoría bienales o el documento de seguridad corporativo que acrediten la diligencia del responsable del fichero.
Por lo que se refiere a los prestadores de servicios sin accesos a datos, ya les sugerí en un post anterior un ejemplo de cláusula acorde al art. 83 RLOPD.
Publicado por Ad Edictum en 11:58 No hay comentarios:
....Porque es de locos no querer estar en Youtube. Como todos Ustedes saben, Telecinco presentó una denuncia contra el portal por piratear sus programas, solicitando como medidas cautelares que la demandada no ofrezciera grabaciones propiedad de Gestevisión Telecinco. El Juzgado de lo mercantil nº 7 de Madrid ha aceptado las medidas, pero indica que deberá ser Telecinco quien identifique los videos. El mundo publica hoy una noticia con los comentarios de las dos partes del proceso sobre la decisión judicial.
Publicado por Ad Edictum en 14:11 No hay comentarios:
Para que pasen entrenidos este día de Santiago Apostol, les recomiendo un artículo de Manuel CASTELL sobre política y sociedad red: "Comunicación, poder y contrapoder en la sociedad red. Los medios y la política". Aparece publicado en dos partes en los números 74 y 75 de la revista TELOS.
Publicado por Ad Edictum en 10:36 No hay comentarios:
Dado el índice de morosidad en el pago de derramas que existe entre mis lectores habituales, he creido conveniente comentar una reciente resolución de la Agencia Española de Protección de Datos sobre este particular. Se trata de la resolución R/00579/2008, recaida en el procedimiento sancionador PS/00427/2007,cuyo texto podrán Ustedes encontrar en http://www.agpd.es/.
En la resolución citada, se condena a una Comunidad de Propietarios de Asturias al pago de la cantidad de 601,01 euros por infracción del art. 10 LOPD (deber de secreto). El hecho que motiva la sanción es la publicación de una hoja referida al reparto de gastos entre propietarios en la que se señalan dos pisos como pendientes del pago de unas obras que se habían realizado. La hoja se encontraba colgada en una puerta del interior del inmueble, al lado de los buzones en los que constaban nombre y apellidos de cada vecino, con lo que la identificación de los morosos resultaba muy fácil. Uno de ellos presentó denuncia ante la Agencia Española de Protección de Datos.
Me ha parecido interesate el siguiente razonamiento de la resolución, en el que la Agencia fija un criterio de diferenciación entre cesión de datos y deber de secreto:
"Si bien la Comunidad denunciada puede tratar los datos de los propietarios de las viviendas para la consecución propia de la gestión de la citada vivienda, en este caso, no estaba autorizada para colgar y dar a conocer la condición de deudor del denunciante.
El artículo 11.1 de la LOPD, dispone que “los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”, si bien será posible la cesión inconsentida de los datos en caso de que la misma se encuentre fundamentada en lo establecido por una norma con rango de Ley (artículo 11.2.a). No obstante, se debe determinar la diferencia entre el artículo 11 y el 10, que definen, respectivamente, la prohibición de comunicación de datos, salvo en los supuestos previstos en el apartado 2 del citado artículo 11 y los deberes de secreto profesional, respecto de los datos de carácter personal que integran el fichero, pues la trasgresión de cualquiera de dichas garantías por parte de quien se responsabiliza del fichero supone, desde un punto de vista meramente fáctico, una conducta semejante la comunicación de la información que se contiene en el fichero.
Así, la distinción entre ambos tipos de garantías exige que la cesión suponga un comportamiento cualificado de la comunicación de datos, cualificación que consiste en la voluntad de que los datos sirvan para ser tratados de forma automatizada por parte del cesionario, circunstancia que no concurre en este caso, por lo que la comunicación producida debe encuadrarse dentro del marco del deber de mantener el secreto profesional recogido en el artículo 10 de la LOPD"
En cualquier caso, lo irónico del asunto es que el vecino denunciante tendrá que asumir el pago del importe de la multa en la proporción que le corresponda como propietario de la Comunidad de Vecinos sancionada. Aunque si no pagó las obras.....
En un post anterior (LOPD for Dummies III), les indiqué en qué condiciones era lícito publicar los datos de los propietarios morosos en el típico tablón de anuncios de la entrada (que parece que se pone ahí sólo para eso, ¿no?).
Publicado por Ad Edictum en 22:21 3 comentarios:
Leo en Juriscom que en dos sentencia de 30 de mayo de 2008, el TGI de París ha prohibido a los portales de Internet Unibet et Expekt poner a disposición de los usuarios los partidos de Roland Garros. Los jueces parisinos consideran que los portales atentaban contra el monopolio de explotación conferido a la Federación Francesa de Tenis (FFT), organizadora del torneo.
Unibet y Expekt han sido condenado a pagar de 300.000 euros y 200.000 euros, respectivamente, en concepto de daños y perjuicios.
Para A. RODRIGUES, autor de la reseña publicada en Juriscom, estas sentencias suponen una importante victoria para la FFT, puesto que venía de perder un litigio similar ante los tribunales belgas. La falta de un criterio común de decisión entre los jueces europeos es evidente y preocupante.
Publicado por Ad Edictum en 22:02 No hay comentarios:
Publicado por Ad Edictum en 20:59 No hay comentarios:
Ars Technica informaba el pasado viernes que un tribunal alemán ha declarado que el propietario de una red abierta no es responsable de las actividades ilegales que se puedan realizar desde esa ella.
Un artista cuyas obras estaban siendo distribuidas a través de P2P demandó al usuario de la IP desde la que se llevaban a cabo tales operaciones y que resultó ser una red abierta. Por tal motivo, el tribubal de segunda instancia ha determinado que no existen pruebas concluyente que permitan determinar quién cometió el delito.
¿Un pequeño triunfo para la libertad en Internet y el espíritu de cooperación-gratuidad que la caracteriza?
Publicado por Ad Edictum en 17:29 No hay comentarios:
Nuevo número de la "Revista Española de Protección de Datos"
Acaba de publicarse el tercer número de la "Revista Española de Protección de Datos", publicación semestral de la Agencia de Protección de Datos de la Comunidad de Madrid en colaboración con Thomson Aranzadi. Incluye los siguientes artículos:
JOSÉ LUIS PIÑAR MAÑAS. El por qué de un Reglamento de Desarrollo de la Ley orgánica de Protección de Datos.
JUAN MANUEL FERNÁNDEZ LÓPEZ. Algunas reflexiones sobre los aspectos generales que regula el reglamento de desarrollo de la LOPD.
EMILIO GUICHOT. Publicidad frente a privacidad de la información personal en derecho canadiense: lecciones para el Derecho Europeo.
ÁLVARO SÁNCHEZ NAVARRO. La articulación del derecho a la protección de datos de carácter personal en la gestión electrónica de los procedimientos administrativos.
MARIA ROSA LLÁCER MATACÁS. Comercialización de servicios y tutela de datos personales: el sector bancario y asegurador.
Si desea adquirir un ejemplar, puede hacerlo aquí.
Publicado por Ad Edictum en 21:21 No hay comentarios:
Imagínese que Tom Ewell hubiera tenido móvil cuando paseaba con Marilyn sobre las rejillas del metro en "La tentación vive arriba"....En este mundo 2.0 de periodistas aficionados, cualquier indiscreción que cometamos en un lugar público corre el peligro de convertirse en el vídeo más visto de Youtube.
A los paranoicos de la propia imagen les tranquilizará saber que un equipo de investigadores dirigido por Zeev Zalevsky, de la Universidad israelí de Bar Ilánha, ha desarrollado un dispositivo electrónico para impedir fotografías y grabaciones de cámaras digitales en un entorno limitado. Los promotores del proyecto resaltan que sólo podrá utilizarse en distancias cortas, como la colonia Brummel. Es decir, todavía no se ha inventado nada que nos proteja de Google Earth.
Publicado por Ad Edictum en 22:08 4 comentarios:
Mientras la Screening Room de Google hace famoso en Internet el corto "I met the Walrus", que incluye la grabación original de una entrevista a John Lennon del 69, todo ello en colaboración con sus creadores y sin violar derechos de propiedad intelectual, Viacom continúa acusando a la compañía de beneficiarse de infracciones reiteradas de los derechos de autor.
La productora demandó el año pasado a Google y a Youtube por permitir la publicación "ilegal" de sus películas. Consecuencia de dicha demanda, esta misma semana la Corte Federal del Distrito de Nueva York condenaba a Google a entregar a Viacom un registro de direcciones IPs y nombres de usuarios, aunque permitía que el algoritmo de búsqueda de Youtube siguiera siendo secreto. La sentencia ha levantado revuelo y ha reabierto el debate de la privacidad en Internet (si alguna vez dicho debate se dió por cerrado). Ahora Viacom dice que no ha pedido ni obtendrá información personal de usuarios. Les recomiendo que lean este post del blog de la EFF, si quieren enterarse bien de qué va esta sentencia tan polémica.
Publicado por Ad Edictum en 13:07 No hay comentarios:
GOOGLE ha comenzado esta semana el proceso de digitalización de los fondos bibliográficos de la Universidad Complutense de Madrid, dentro de su proyecto Google Book. "Un millón de libros al alcance de un clic", informaba ayer El País.
¿No se sienten Ustedes agobiados por el exceso de información sobre cualquier tema? ¿Guardan cada día varios documentos y enlaces que encuentran por casualidad en la red y que les parecen interesantes para leerlos "luego"? ¿Tienen su disco duro lleno de libros electronicos, tesis, artículos, ... sobre cualquier asunto imaginable?
Por si no se han dado cuenta, cada vez resulta más difícil conocer todo lo escrito sobre un tema (o sea, ser un experto). Lo peor de todo es que en el vano intento de dominar una materia perdemos demasiadas horas leyendo documentos sin rigor ni interés que puede haber escrito cualquiera.
Usted mismo, seguidor asiduo de mi sección "LOPD for Dummies", constituye un ejemplo ilustrativo de lo que trato de explicar....Por Dios, cómprese el estudio de APARICIO SALOM y deje de leer chorradas.
Ya conocen Ustedes el reverso oscuro de la sociedad de la información: La falta de criterio y el colapso informacional.
Publicado por Ad Edictum en 20:55 2 comentarios:
¿Es usted un vecino moroso? ¿Teme que pongan su nombre en el tablón de anuncios de la comunidad? Continúe leyendo este post si quiere saber si puede denunciar al Señor Presidente y al Administrador de la Finca ante la Agencia Española de Protección de Datos.
Para que no sea contraria a la LOPD, la publicación debe realizarse en cumplimiento de los artículos 16.2 y 9.1 h) de la Ley de Propiedad Horizontal.
El primero de ellos, establece que la convocatoria de la Junta "contendrá una relación de los propietarios que no estén al corriente en el pago de las deudas vencidas a la comunidad y advertirá de la privación del derecho de voto si se dan los supuestos previstos en el artículo 15.2". Por tanto, podrán conocerse aquellos propietarios deudores, sin necesidad de recabar el consentimiento de los mismos.
El artículo 9.1 h) señala entre las obligaciones de los propietarios:
Por tanto, siempre que la publicación obedezca al hecho de que la Convocatoria de la Junta, en la que deben figurar los datos a los que se refiere el artículo 16.2 de la Ley de Propiedad Horizontal, no haya podido ser notificada a alguno de los propietarios, podrá procederse a la publicación de la la Convocatoria en el tablón de anuncios (y por tanto del listado de morosos) sin el consentimiento de éstos, de acuerdo a lo dispuestos en el artículo 11.2.a) de la LOPD.
Publicado por Ad Edictum en 0:50 No hay comentarios:
Las "Listas Robinson" son listados de usuarios que no desean recibir publicidad. Se llaman así en honor del náufrago de la famosa novela de Daniel Defoe, que pasó 27 años en una isla tropical donde, como podrán Ustedes imaginar, no era bombardeado por anuncios de los Prestamos Mediatis.
Antes de la aprobación del nuevo reglamento, resultaba habitual entre abogados y consultores aburridos plantearse una pregunta similar a la de la gallina y el huevo: Si un interesado ejerce el derecho de cancelación y ya no voy a enviarle más publicidad, ¿puedo incluirlo en la Lista Robinson de la empresa o esto supondría un tratamiento de datos y, por tanto, implicaría que no he atendido correctamente el derecho de cancelación?
Afortunadamente, el nuevo reglamento ha venido a traer un poco certeza a nuestras confusas vidas. El art 48 del RD 1720/2007 autoriza la conservación de los datos mínimos para identificar a las personas que no desean recibir publicidad indicando:
Publicado por Ad Edictum en 7:21 No hay comentarios:
Etiquetas: Consumidores y Usuarios, protección de datos
Otro más que cree que la "tarifa plana" de su operador de telefonía móvil le permite navegar cuantas horas quiera por internet desde su teléfono y realizar descargas ilimitadas...
Pueden leer la noticia en El País de ayer. Este pobre usuario tenía contratado un bono de Internet de cinco gigas por 60 euros, en cuya denominación comercial se incluía el término "tarifa plana". Después de cuatro días de uso, había acumulado una factura superior a 6.000 euros y la teleoperadora le cortó la línea. Intentó aclarar la situación y anular la factura, pero la compañía se negó a ello. Afortunadamente, el Tribunal Arbitral de Consumo de la Comunidad de Madrid le ha dado la razón considerando que la publicidad del producto era confusa.
Desde luego debe de serlo, porque no es el primero al que le pasa. El año pasado un consumidor asturiano se llevó una sorpresa tras recibir una factura de 5.000 euros por una noche descargas desenfrenadas.
Si Usted está harto de los abusos de las compañías de telecomunicaciones, quizás le sea de utilidad visitar la página de la Oficina de Atención al Usuario de Telecomunicaciones, donde podrá encontrar información sobre sus derechos y presentar denuncias y reclamaciones telemáticas.
Cioran decía que sólo los optimistas se suidan, porque son tan ingenuos que esperan encontrar algo mejor. Esa es la única razón por la que no me cambio de operador de telefonía móvil.
Publicado por Ad Edictum en 22:24 3 comentarios: