Source: https://www.prodat.es/blog/tag/inter%C3%A9s%20leg%C3%ADtimo.html
Timestamp: 2020-07-05 12:41:35
Document Index: 70222184

Matched Legal Cases: ['artículo 4', 'artículo 9', 'artículo 9', 'Artículo 29', 'artículo 4', 'artículo 22', 'artículo 22', 'artículo 22', 'artículo 4', 'artículo 12', 'artículo 33', 'artículo 28', 'artículo 48', 'artículo 2', 'artículo 94', 'artículo 2', 'artículo 21', 'artículo 2', 'artículo 2', 'artículo 7']

PRODAT Protección de Datos para empresas RGPD, LOPDGDD y LSSI - Mostrando artículos por etiqueta: interés legítimo
Lunes, 22 Junio 2020 16:57
Cada vez más, percibimos como algo corriente ser objeto de seguimiento o rastreo mientras navegamos por internet o usamos nuestros dispositivos conectados, con el fin de que diferentes entidades puedan recopilar información acerca de nosotros, y de este modo poder elaborar perfiles, analizar comportamientos, o monetizar la información recopilada, para la posterior realización de acciones de mercadotecnia.
El uso de estos sistemas está más que instaurado desde hace años, y es por ello por lo que, aunque todavía nos genere cierta inquietud la precisión de los anuncios de publicidad en nuestra navegación por internet, la realidad es que ya no sorprende a ningún usuario.
Dentro de los diferentes métodos de seguimiento, tal vez el ámbito más conocido resulte precisamente el de web tracking, como mecanismo de rastreo dirigido a la identificación de dispositivos, navegadores y herramientas que utilizamos comúnmente los usuarios de internet.
Sin embargo, hace ya algunos años que, sin necesidad de navegar en la red, podemos ser objeto de seguimiento o rastreo, con el simple hecho de visitar determinados comercios o tiendas físicas, gracias al wifi-tracking.
Aunque se trata de un método que ya fue empleado por alguna empresa estadounidense en el año 2013 (como la cadena de moda Nordstrom, tal y como se hacía eco ese año el propio New York Times), y en España lleva unos años instaurado, es ahora cuando se ha formulado una consulta ante la Agencia Española de Protección de Datos (AEPD), acerca de si este sistema de seguimiento de usuarios se encuentra sujeto al ámbito de aplicación de la normativa en materia de protección de datos. La autoridad de control española se ha pronunciado sobre ello en su Informe Jurídico 0017/2019, que ahora analizamos en esta publicación.
Con carácter previo a profundizar en los fundamentos de la AEPD, consideramos conveniente exponer de forma breve, en qué consiste el Wi-Fi tracking.
El Wi-Fi tracking se refiere a los sistemas capaces de detectar las señales que periódicamente emiten los dispositivos electrónicos equipados con tecnología Wi-Fi y utilizar esta información para conocer de forma estadística o agregada la presencia o los flujos de dispositivos en diferentes localizaciones.
Si en un espacio determinado, como puede ser un comercio, se instalan rastreadores Wi-Fi, estos permitirán recoger y registrar la señal única que cada teléfono envía en la búsqueda de una red Wi-Fi (Dirección MAC), y usar esa información para el seguimiento del cliente a través de una zona para construir un perfil en torno a sus hábitos de compra. Por ejemplo, podría registrarse el tiempo que el dispositivo de un cliente ha esperado en la línea de caja, a qué hora ha entrado y salido, o qué zonas de la tienda ha visitado.
Situado ya el funcionamiento de este método de seguimiento, comenzamos con las cuestiones que la AEPD aborda para dar respuesta a la consulta objeto del Informe:
¿Un sistema de Wi-Fi tracking, implica un tratamiento de datos personales?
Viernes, 14 Febrero 2020 14:37
El reconocimiento facial en Facebook: Conflicto entre Illinois y Facebook.
En nuestros tiempos una parte esencial del mundo de las comunicaciones son las Redes Sociales (RRSS), en las que todo se comparte. Tanto es así, que hay muchos usuarios que no son conscientes de los riesgos a los que quedan expuestos una vez que publican su información en las plataformas sociales, tales como Facebook, Instagram, etc. Uno de los riesgos de esta sobreexposición actual es el hecho de que tanto ciberdelincuentes como las propias multinacionales que se encargan de la gestión de las plataformas intenten aprovechar esos datos de carácter personal y explotarlos en beneficio propio.
Precisamente algo similar ocurrió en el año 2015 cuando un grupo de ciudadanos de la ciudad de Illinois comenzaron a cuestionar las prácticas utilizadas por Facebook. En concreto, en este caso, la red social estaba utilizando una nueva técnica de reconocimiento facial, a través de la cual se identificaba de forma automática a las personas que aparecen en las fotografías como "sugerencias para etiquetar".
En primer lugar, cuando un usuario de Facebook subía una fotografía gracias al reconocimiento facial se le indicaban las sugerencias de las personas con las que aparecía para poder etiquetarlas directamente, siempre y cuando estas fuesen amigos suyos en la red o amigos de sus amigos.
Una vez que la persona que sube la fotografía decide etiquetar a los usuarios sugeridos éstos recibían una notificación en su perfil de esa etiqueta y de la publicación en su biografía.
Hasta aquí, seguramente esta información resulte muy común dado que es una funcionalidad que todos los usuarios de Facebook conocen y puede resultar hasta “cómoda” y práctica a la hora de etiquetar a las personas con las que compartes tus momentos y fotografías.
Es en este punto donde nos preguntamos: ¿Dónde queda la privacidad de esas personas? ¿Qué normativa se encarga de regularlo?
Para una correcta respuesta, lo primero es determinar qué tipo de datos de carácter personal está tratando Facebook en el supuesto de estudio de este artículo, y tal y como hemos indicado con anterioridad al tratarse de una técnica basada en el reconocimiento facial, estamos por tanto ante un tratamiento de datos biométricos.
Establecido lo anterior, analizaremos brevemente la normativa que nos protege a nosotros junto con la aplicada en el caso concreto de estudio:
Normativa a nivel europeo:
El Reglamento General de Protección de Datos europeo (RGPD), define los datos biométricos de la siguiente forma (artículo 4.14):
“Datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirme la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”
A mayor abundamiento, el RGPD, concretamente en su artículo 9, eleva estos datos personales a la característica de “especialmente protegidos”, por lo que se si se quiere realizar el tratamiento de éstos, el responsable ha de cumplir con una de las bases jurídicas indicadas a lo largo del punto 2, que realmente se identifican como excepciones a la prohibición del tratamiento de este tipo de datos.
En el caso que nos atañe y en base a la normativa europea solamente se podría haber aplicado la excepción del artículo 9.2.a), esto es, contar con el consentimiento explícito del interesado.
Normativa de Illinois:
En concreto, en el Estado de la controversia, cuentan con la Ley de Protección de Datos Biométricos (BIPA), que fue aprobada en 2008, precisamente para luchar contra la recogida y almacenamiento ilegal de información biométrica.
La ley referenciada requiere un consentimiento explícito para que las empresas recopilen marcadores biométricos de sus clientes, incluidas las huellas dactilares y los modelos de reconocimiento facial.
En base a la indicada normativa, los usuarios de Facebook y ciudadanos del Estado de Illinois presentaron una demanda colectiva alegando que la plataforma violó la BIPA cuando estaba escaneando imágenes de sus caras, sin su consentimiento, con el fin de utilizarlas para su herramienta de sugerencias para etiquetar.
Finalmente, después de una disputa judicial de casi cinco años, hace unas semanas la compañía que dirige Mark Zuckerberg informó de que se había llegado a un pacto con los demandantes. En dicho acuerdo extrajudicial se les ofrece pagarles 550 millones de dólares por haber usado sus datos biométricos sin permiso para sistemas de reconocimiento facial.
Pero ¿qué está haciendo Facebook actualmente con el reconocimiento facial?
Miércoles, 05 Febrero 2020 16:49
En los tiempos que corren es difícil no ser conocedor de la existencia de las aplicaciones de citas, las cuales, sin lugar a duda, están revolucionando el entorno digital, así como la manera de relacionarnos entre los seres humanos.
A tenor de la reciente noticia, relativa a la publicación de miles de fotografías de los usuarios de la aplicación Tinder en diversos foros de internet, en el presente artículo, en el que tomaremos como base el Informe “OUT OF CONTROL: How consumers are exploited by the online advertising industry” (“FUERA DE CONTROL: Cómo los consumidores son explotados por la industria de la publicidad online”, disponible en inglés) elaborado por el Consejo de Consumidores de Noruega, así como las Directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del RGPD, adoptadas el 3 de octubre de 2017 por el Grupo de Trabajo del Artículo 29 (“GT29”, y actual Comité Europeo de Protección de Datos), analizaremos cómo Tinder, una de las aplicaciones más populares de citas y encuentros, que cuenta con más de 100 millones de descargas, estaría vulnerando algunas de las exigencias y principios en materia de protección de datos que recoge el Reglamento Europeo de Protección de Datos (en adelante, RGPD). Además, trataremos de explicar cómo debe proceder la industria de las “apps”, para cumplir con la normativa vigente en esta materia.
Procedemos a dividir el presente análisis de la aplicación Tinder en los siguientes apartados:
Elaboración de perfiles que realiza la aplicación a sus usuarios.
Legitimación del tratamiento de los datos de sus usuarios.
Principios de la normativa en materia de protección de datos.
La aplicación de citas y encuentros Tinder realiza perfilado de sus usuarios mediante diferentes medios de tecnología publicitaria, con el fin de mostrarles publicidad dirigida y personalizada, procediendo a una previa categorización de los mismos.
El artículo 4.4 RGPD define el concepto de elaboración de perfiles como “toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física.”
Asimismo, el Reglamento faculta a toda persona física a oponerse a este tratamiento automatizado de sus datos, indicando en su artículo 22.1 que “todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar.”
Con carácter general, el interesado tiene derecho a no ser objetivo de decisiones basadas en tratamientos automatizados, donde encontramos la elaboración de perfiles, siempre y cuando no concurran las excepciones recogidas en el artículo 22.2 RGPD:
Autorizado por el Derechos de la Unión o de los Estados Miembros de la UE.
Del contenido de la Política de Privacidad de Tinder, que en los siguientes puntos también analizaremos, no podemos considerar que se indique de manera clara, cuál de las excepciones previstas en el artículo 22.2 RGPD, aplica Tinder para realizar perfilado de sus usuarios.
La política de privacidad de la aplicación establece que las bases legitimadoras del tratamiento de los datos que la aplicación recaba de sus usuarios son los siguientes:
Consentimiento: con el fin de utilizar la información de los usuarios para razones específicas (no se detallan más cuestiones al respecto). También se da la opción al usuario de retirar el consentimiento en el momento que así desee.
Interés legítimo: a la hora de analizar el comportamiento de sus usuarios sobre sus servicios para sugerirles y mejorarles ofertas que les puedan ser de su interés.
En relación con el consentimiento podemos observar que la aplicación Tinder no estaría cumpliendo con las exigencias dispuestas en la normativa a tal efecto, las cuales, tal y como señala el artículo 4 apartado 11 RGPD, deberá ser en todo caso una “manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa”, el tratamiento de sus datos. Igualmente, en el considerando 32 se establece la obligación de dar el consentimiento para cada uno de los fines del tratamiento, cuestión que podemos comprobar que no se realiza, al ser cada una de las filiales responsables en el tratamiento de los datos que recaban, y no otorgarse consentimiento para dichas cesiones de datos.
En la propia política de privacidad de Tinder, se indica que la aplicación compartirá “cierta información de los usuarios con proveedores de servicios y socios que nos asisten en la operación de nuestros servicios, como otras compañías de Match Group y, en algunos casos, con las autoridades legales.” Podemos inferir, por tanto, que la empresa podrá ceder sus datos a más de las 45 empresas pertenecientes a Match Group, compañía que pertenece y opera con datos de sitios web, entre los que se encuentra la citada aplicación.
Lunes, 14 Octubre 2019 12:51
Protección de Datos y Videovigilancia. Doctrina de la AEPD. “El caso del supermercado”
Seguramente te hayas hecho eco de una noticia relacionada con la publicación, en diferentes medios de comunicación, de ciertas imágenes recogidas por el sistema de videovigilancia, instalado en un establecimiento comercial de una conocida cadena de supermercados, donde se mostraba a una persona que ostentaba un importante cargo político en nuestro país junto a un vigilante de seguridad tras, presuntamente, sustraer varios artículos del establecimiento.
Los hechos a los que nos referimos se produjeron el 4 de mayo de 2011, y las imágenes se publicaron en los medios de comunicación el 25 de abril de 2018, a partir de ese momento la Agencia Española de Protección de Datos (AEPD) decide iniciar de oficio actuaciones de investigación e inspección.
Un año y medio después, la AEPD ha resuelto (ver Resolución R/00423/2019) eso sí, conforme a la ya derogada Ley 15/1999 de Protección de Datos (LOPD 15/1999) por estar ésta aún en vigor en el momento de apertura de las investigaciones, y en base a los siguientes puntos que vamos a analizar. No obstante, el criterio doctrinal adoptado es plenamente aplicable con la normativa actual y vigente, esto es, el Reglamento General Europeo de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD 3/2018).
ACCESO A LAS IMÁGENES POR PARTE DE LA EMPRESA DE SEGURIDAD
Tanto el artículo 12.2 de la LOPD 15/1999 como el actual artículo 33.2 de la actual LOPDGDD 3/2018 y el artículo 28.3 del RGPD exigen que la realización de un tratamiento de datos por parte de un tercero se debe regular en un contrato u otro acto jurídico que vincule al encargado respecto del responsable y establezca expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable. Asimismo, el contrato debe establecer el objeto, la duración, la naturaleza, la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable.
Martes, 13 Agosto 2019 12:50
ACABO DE PULSAR EL BOTÓN ME GUSTA EN UNA PÁGINA WEB ¿QUÉ PASARÁ CON MIS DATOS?
El Tribunal de Justicia de la Unión Europea (TJUE) se ha pronunciado el pasado mes de julio (ST TJUE 29.07.19) al respecto. En dicha resolución se ha determinado por parte de la sala que tanto el administrador de un sitio web en el que se incluya el botón “me gusta” de Facebook (o cualquier otra red), como el de la propia red social serán considerados como responsables del tratamiento.
El origen del objeto de la Sentencia surge cuando Fashion ID, empresa dedicada a la venta online de prendas de vestir, decide insertar en su propia página web el famoso botón “me gusta” de la conocida red social Facebook. Este simple hecho, y que vemos en otras muchas páginas web, implica la transmisión de datos del visitante, a dicha red, sin mediar conocimiento ni previo consentimiento por parte del usuario. Ante esta situación, la Asociación de utilidad pública de defensa de los intereses de los consumidores (Verbraucherzentrale NRW,) decidió ejercitar una acción de cesación contra Fashion ID, con el objetivo de que se dejase de realizar la transmisión de datos personales de los visitantes de su sitio web, sin previo consentimiento y sin informarles.
Antes de analizar en profundidad la resolución definiremos tanto la figura de responsable como la de encargado del tratamiento, art.4 RGPD:
Responsable del tratamiento: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento.
Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.
Una vez determinadas las figuras que podrían darse en este caso, nos puede surgir la siguiente pregunta: ¿por qué el TJUE considera que tanto Fashion ID como Facebook son responsables del tratamiento?
Viernes, 07 Diciembre 2018 12:10
La AEPD considera lícita la difusión a través de RRSS de una sentencia por malos tratos, amparándose en el interés legítimo de la víctima
El uso de las redes sociales (RRSS), forma parte de nuestro día a día, y, de hecho, los servicios más utilizados en la red se prestan gracias a la información y datos personales que los usuarios aportamos, tanto a empresas como a otros usuarios. Esto requiere que seamos conscientes de los riesgos que puede entrañar tanto para nuestra propia seguridad y privacidad como para la de terceros.
Para abordar este tema, vamos hoy a referirnos al criterio que ha adoptado la Agencia Española de Protección de Datos (AEPD) en la Resolución del expediente N. º: E/01849/2018, a raíz de la denuncia interpuesta por un hombre (el denunciante) tras la difusión que dio su ex pareja (la denunciada) de la sentencia que le condenaba por incumplir la orden de alejamiento de la víctima que se le había interpuesto como responsable de un delito de violencia de género. (artículo 48 de nuestro Código Penal).
La sentencia completa fue difundida a través de un grupo cerrado de Facebook compuesto por 728 miembros del municipio donde ambos residían y, el fallo de dicha sentencia, a través de su estado de WhatsApp.
Hay que analizar si este supuesto encaja dentro del ámbito de aplicación previsto en la normativa de protección de datos personales:
- El artículo 2.2.a) LOPD 15/1999 dispone que “El régimen de protección de los datos de carácter personal no se aplicará a los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas”.
Además, el artículo 94 de la ya aplicable Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. (LOPDGDD), el cual regula el “derecho al olvido en servicios de redes sociales y servicios equivalentes”, excluye del ejercicio de este derecho, los datos facilitados por personas físicas en el ejercicio de actividades personales o domésticas.
- En la misma línea, el Reglamento General de Protección de Datos (RGPD) tanto en su Considerando 18 como en su artículo 2, refleja que lo dispuesto en el mismo no es aplicable para el tratamiento de datos que se desarrolle en el curso de actividades exclusivamente personales o domésticas y que, en consecuencia, no guarden conexión con actividades profesionales o comerciales.
Llegado este momento, cabe plantearse dos cuestiones:
1. ¿Qué debemos entender por actividades personales o domésticas en este ámbito?
2. ¿Queda entonces este caso fuera del ámbito de aplicación de la norma?
Miércoles, 30 Noviembre 2016 16:28
Derecho de oposición y decisiones individuales automatizadas. Derechos del interesado RGPD. Parte VIII
Con el artículo de hoy ponemos fin a la serie dedicada a los derechos del interesado, que tal y como decíamos siete artículos atrás vienen recogidos en el capítulo III del RGPD.
En relación al derecho de oposición el artículo 21 del RDLOPD indica que el interesado tiene derecho a oponerse al tratamiento de cualquier dato personal relativo a su situación particular, incluso en los casos en que tales datos se estén tratando de forma lícita, ya sea:
1. Porque el tratamiento es necesario para el cumplimiento de una misión realizada en interés público.
2. Para el ejercicio de poderes públicos conferidos al responsable del tratamiento.
3. Por motivos de intereses legítimos del responsable o de un tercero.
En estos casos, el RGPD obliga al responsable a demostrar que sus intereses legítimos imperiosos prevalecen sobre los intereses o los derechos y libertades fundamentales del interesado.
Por otro lado y respecto de los tratamientos realizados con una finalidad de marketing directo, tal y como está regulado actualmente, en el RGPD el afectado tiene derecho a oponerse a ese tratamiento y en consecuencia los datos dejarán de ser tratados para dichos fines, y así deberá comunicarse explícitamente al interesado.
Viernes, 28 Octubre 2016 14:17
¿Cuándo la dirección IP es un dato de carácter personal? Sentencia TJUE
La semana pasada el Tribunal de Justicia de la Unión Europea dictaba sentencia resolviendo las Cuestiones Prejudiciales planteadas por el Tribunal Supremo Civil y Penal Alemán, a raíz de la denuncia de un ciudadano alemán que se oponía, ante los órganos jurisdiccionales alemanes, a que los sitios de Internet de los organismos federales de su país registren y conserven sus direcciones de protocolo de Internet.
La primera cuestión prejudicial planteada por el tribunal alemán versa sobre si los datos que consisten en una dirección IP dinámica y en la fecha y hora de la sesión de consulta de un sitio de Internet, registrados por un proveedor de servicios de medios en línea no permiten, por sí solos, identificar al usuario que ha consultado ese sitio de Internet durante dicha sesión. En principio es el proveedor de acceso a Internet quien dispone de la información adicional que, combinada con esa dirección IP, permitiría identificar a dicho usuario
Sin embargo, el Tribunal Europeo expone que del tenor del artículo 2, letra a), de la Directiva 95/46 se desprende que se considera identificable a la persona que puede ser identificada no sólo directamente sino también indirectamente, y no es necesario que dicha información permita, por sí sola, identificar al interesado.
Continúa TJUE indicando, que para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados. Esto sugiere que para que un dato pueda ser calificado de dato personal no es necesario que toda la información que permita identificar al interesado deba encontrarse en poder de una sola persona. Es decir, que la información adicional no esté en poder del proveedor de servicios de medios en línea, sino del proveedor de acceso, no parece que pueda excluir que las direcciones IP dinámicas sigan constituyendo un dato de carácter personal.
Ahora toca preguntarse:
¿combinar los datos de una IP dinámica con la información del proveedor de acceso es un medio razonable?
Jueves, 04 Febrero 2016 09:17
Interés superior de los menores frente a la protección de datos.Parte II
Terminábamos el anterior artículo indicando que resultado de los indicado en en artículo 2.5 LO 1996 de protección jurídica del menor, el interés superior del menor, en respecto a la mayor protección tanto física como psicológica de los menores a través desistemas de vigilancia, debía prevalecer permitiendo así la implantación de tales sistemas.
Pero a pesar de esta afirmación, la AEPD considera que deberán adoptarse unas especiales cautelas, de forma que se minimicen los riesgos que pueden concurrir para la protección de datos:
1. Únicamente se permite la captación y reproducción de las imágenes estrictamente necesarias para el cumplimiento de los fines propuestos.
2. En ningún caso podrán captar la vía pública.
3. No se podrán captar lugares donde no se encuentren menores, por no servir a la finalidad prevista.
4. Deberán existir estrictas medidas en cuanto al acceso a las imágenes, tanto en el visionado inicial como en los posibles accesos a las grabaciones.
5. Las pantallas de visionado no podrán estar en lugares de acceso general, sino en lugares donde sólo puedan acceder quienes puedan ver las imágenes.
6. Únicamente se permitirá tanto su visionado inicial como el acceso ulterior a las imágenes grabadas al director del centro, o a la persona responsable que tenga a su cargo la gestión de los recursos humanos, o la persona específicamente designada por el centro.
Jueves, 28 Enero 2016 19:31
Interés superior de los menores frente a la protección de datos.Parte I
Hace poco más de un mes, la AEPD daba noticia de un informe que había publicado, en el cual se examina si los centros escolares pueden colocar videocámaras en zonas comunes, como patios y comedores, así como qué requisitos deben cumplir para ello.
Para analizar esta cuestión, la AEPD parte de la base del interés legítimo recogido en el artículo 7.f) de la Directiva 95/46/CE, que tiene efecto directo siendo el interés legítimo presupuesto legitimador para el tratamiento de datos personales sin consentimiento del interesado (...) .
El interés legítimo, en este caso, sólo podría plantearse en relación con el principio de interés superior del menor consagrado en el art. 2 de la Ley Orgánica 1/1996 de protección jurídica del menor: "Todo menor tiene derecho a que su interés superior sea valorado y considerado como primordial en todas las acciones y decisiones que le conciernan, tanto en el ámbito público como privado (...) primará el interés superior de los mismos sobre cualquier otro interés legítimo que pudiera concurrir".