La LOPD como paradigma de la transversalidad.

¡Hola de nuevo, querid@s lopder@s!

No son pocas las veces que me preguntan exactamente a lo que me dedico. Suelo responder, para que se me entienda más o menos, que a la LOPD, y generalmente el interlocutor suele reaccionar de dos formas:

1) Diciendo que la LOPD no la cumple ni Perry Mason, lo cual es una idea que me resulta, por una parte, frustrante y por otra, descorazonadora. Frustrante porque me hace pensar que mi trabajo no se toma en serio y descorazonadora porque pienso: "si crees eso y sigues regalando tus datos, es que es algo que no valoras". Y con esta segunda idea, vuelvo a la parte de la frustración y enlazo: No valoras tus datos = no vas a exigir a las empresas que se preocupen por este tema = me van a tomar por el pito del sereno= Frustración.

2) Afirmando con toda seguridad: "en mi trabajo/empresa no hay datos de nadie", tras lo cual mi respuesta suele ser: "¿no tenéis clientes?" y el ávido interlocutor suele responder: "sí, pero lo único que tengo es el nombre y el DNI, no tengo datos del banco, así que eso no cuenta". Mi cara suele ser una Oda a la Paciencia (la lucha por el nivel de seguridad de los datos bancarios empiezo a darla por perdida) , pero reconozco que, dependiendo de la situación en la que me encuentre y las ganas que tenga de hablar de trabajo, suelo optar o por empezar a decirle todos los datos los que sospecho que hay en su negocio o bien, vuelvo a eso de la frustración que os decía antes.

Una de las últimas veces en las que he tenido el gusto de hablar con un "ajeno" sobre LOPD me encontré con que le eché una chapa buena al pobre interlocutor planteándole un montón de situaciones sobre las que la protección de datos extiende sus ramas, y eso me hizo pensar en lo transversal que es esta materia. Este post va de eso: de la transversalidad de la protección de datos y de las situaciones en las que algo tan desconocido como esta temática tiene mucho que decir. Para ello, voy a tirar de los argumentos que he usado alguna vez, para darle un toque de humor tan característico en este blog y dar armas a mis compañer@s de profesión y de fatigas; para no extenderme mucho, me centro en los dos que más llaman la atención:

1) La LOPD y el Derecho Laboral.

Aquí de lo que suelo tirar es de las cámaras de videovigilancia, lo reconozco. Poco hay que explicar sobre esto porque cada vez hay más cámaras en las empresas y los titulares son casi diarios, amén de los posts estupendos que escriben muchos laboralistas, a los que felicito desde aquí con todo el cariño, porque por mi experiencia suelen ser de los compis más aplicados en darle alguna vuelta a la incidencia de la LOPD sobre su especialidad.

Otras de mis "armas" suelen ser los temas de geolocalización (GPS en coches de empresa, por ejemplo) o los de los equipos (reglas de uso de los equipos de trabajo, ya sean móviles, portátiles, tablets...).

2) La LOPD y la Tecnología (así, en genérico). 

Aquí voy con toda la artillería, ya que no sólo es LOPD, es que hay implicaciones LSSI, de normativa de comercio, de consumidores, propiedad intelectual...bla bla bla. Y, obviamente, en un mundo tan hiperconectado, a todo esto hay que sumarle la normativa internacional que también hay que tener en cuenta.

Aplicaciones móviles/Páginas web/RRSS/Drones/Wearables

Comentaba hace un rato por twitter la cara de perplejidad que suelen ponerme cuando comento, así a la ligera, aquello de la necesidad de hacer unos textitos legales para sacar una app a la luz. Siempre suelo rematar con: "ya, ya sé que ni los miras ni aunque los busques los encuentras en las apps que descargas, pero DEBEN ESTAR". Formularios y mails de contacto, fotos de trabajadores (vuelvo al anterior punto y a este post que escribí hace un tiempo contando la Historia de Paco), las malditas cookies (si a estas alturas no sabes lo que son, te invito a ver mi política, donde he procurado explicar el concepto muy claramente y con el toque #iurisfriking) y los desconocidos web beacons...

3) La LOPD y la macedonia de frutas.

Aquí ya suelo meter las cosas que se me ocurren sobre la marcha: desde el Cloud Computing (la Nube, hablando coloquialmente), hasta las cámaras que vemos en los coches de policía estadounidenses (siempre hay alguien que ha visto un vídeo rollo peli de acción de una persecución), el Whatsapp y las fotos que se envían (de menores, sexting...), la reputación digital (hoy especialmente en boca de todos por el "despido" de cierto youtuber de una gran empresa, por cierto), el derecho al olvido, las supuestas grabaciones cuando llamas para dar de baja un servicio en una teleco, las facturas y los tickets de pago del banco cuando compras cualquier cosa, la información que puede sacarse de tu abono transportes y que puede ser muy valiosa a efectos comerciales y estadísticos con el big data (por dónde vas al trabajo, qué líneas de bus son más usadas y en qué horas...), todo lo que tus dispositivos pueden contar de ti sin que lo sepas (aquí tienes un post en el que te cuento lo chivato que puede ser tu móvil). A colación de esto, imagínate que en vez de dar info a un comerciante, estás en una manifestación o celebración de un torneo de lo que sea, la cosa se pone fea y las autoridades se enteran (por ciencia infusa, claro) de tu presencia en medio del meollo o que te intervienen tus mails a la ligera...

Como veis, la transversalidad es un rasgo clarísimo de la protección de datos, así que hacedme el favor de usar estas armas para que todo el mundo entienda que esta rama es importante y necesaria. Me haréis feliz y evitaréis situaciones de frustración mías (y de much@s compis) como las que os comentaba al principio.

Y hasta aquí llega el post de hoy, amig@s: feliz verano, id por la sombra y...

¡A rebatir argumentos!

5 Situaciones Anti-LOPD a desterrar (basado en hechos reales)

¡Hola de nuevo!

En  este post voy a contar casos reales con los que me he encontrado en los últimos tiempos y que son la máxima expresión del desconocimiento general que hay en torno a la materia de protección de datos. Desconocimiento y cierto desinterés, que todo hay que decirlo. Siempre insisto en la necesidad de concienciar a la persona antes que entrar en vereda con el trabajador y con su jefe; la formación en materia de protección de datos (bajo mi opinión), debe partir desde el más básico de los puntos: tus datos como persona física. Es por eso por lo que, para tener unos mínimos conocimientos de protección de datos y privacidad no debe requerirse más que el hecho de "ser". Si eres una persona y tienes un nombre, ya puedes (y debes) conocer algunas pautas de la materia que te permitirán protegerte en un mundo hiperconectado como el que se avecina.

Y ahora, tras esta reflexión, voy a enumerar las situaciones más anti-LOPD que me he encontrado en los últimos tiempos, con el fin de que si lo lees, te acuerdes de este post y sepas que algo no va bien...

1) Aquel mítico "Acepto la LOPD".

Me lo encontré en una web y la verdad es que estuve un buen rato analizando la frase. Obviamente, la idea era que mis datos fueran procesados para obtener un servicio y al que elaboró el formulario no se le ocurrió otra cosa que irse al grano. Querido amigo: no acepto la LOPD, cuando pulso (la LOPD viene aceptada "de fábrica"), lo que aceptaré (en su caso), serán las condiciones que me tienes que explicar en la cláusula que deberías poner.

2) Esa app de videovigilancia que envía las imágenes a Marte y las conserva hasta que vuelva a pasar el Cometa Halley.

Afloran las aplicaciones sencillas y gratis para que hagas de tu casa o tu negocio un auténtico plató de TV. Está de lujo instalar un sistema de videovigilancia con dos clicks y que no te cuente un duro, pero tienes que ver más allá de eso. Si la app va a grabar tu casa, en principio, la LOPD no aplicaría, pero yo no dejaría de plantearme quién va a tener acceso a esas imágenes y durante cuánto tiempo. Instalar una app y no preocuparse por esto es muy temerario, no son pocos los casos en los que en tres clicks se puede acceder a los servidores que guardan esas imágenes y ser espectador de una especie de Gran Hermano no autorizado. Y claro, rizando el rizo, imagínate que encima es un caco (de esos que quieres ahuyentar con las cámaras): ¡le estás dando el trabajo hecho! Le facilitas horarios en los que está la casa libre, lugares donde escondes los dineros, información personal tuya y de tu familia o los que te visiten (desde el del Gas hasta tu grupo de amigos o aquella tía del pueblo que viene una vez al año a engancharte los mofletes) ... ¿No te parecen motivos suficientes como para darle un par de vueltas al asunto?

En el caso de que la app la quieras para tener "segura" tu empresa, aparte de lo que acabo de comentarte, te metes en un jardín con la LOPD y sus medidas de seguridad como poco (amén de las más que probables transferencias internacionales), además de normativa laboral, así como base. Si fuera tú, le pondría velas a San Pancracio para que no tengas que usar las imágenes y acabes con una multaza en bonito primer plano.

3) La app gratis para gestionar los RRHH de la empresa o los clientes y que me permite mandar newsletters a mansalva.

Íntimamente relacionado con el caso anterior. Te encuentras con una maravillosa app que te permite gestionar los CV's que te llegan, crear expedientes de posibles fichajes o controlar los movimientos del personal de tu empresa (altas, bajas, permisos....), todo es idílico hasta que ves que los datos que subes los mandan a Plutón y que, por mucho que tengas toda la buena intención de eliminar de vez en cuando, la información sigue ahí, como un ente. Y para rematar la faena, el gestor/creador de la app los está vendiendo a terceros con pocos escrúpulos o bien, ha puesto una contraseña tan complicada como 1234 y que le roben los datos es tan esperable como que amanezca mañana ¡Vaya berenjenal! Aparte de las transferencias de datos que comentábamos antes y de la vulneración de principios básicos de la LOPD, estamos obviando las medidas de seguridad de la normativa y faltando el respeto a los titulares de esos datos (aunque tengamos suerte de que no lleguen a enterarse jamás), que son los que hacen que nuestro negocio funcione. Perdemos credibilidad, confianza y, al final, perderemos dinero. Como se ha dicho mil veces: Los datos personales son un activo (o si no...¿por qué crees que ha pagado Microsoft el pastizal por Linkedin?).

Para poner la guinda al pastel, resulta que la maravillosa app es capaz de enviar tropecientos mil emails contando lo maravillosos que somos, pero ninguno de esos tropecientos emails llevan incluidos las premisas básicas de la normativa, ni hay posibilidad de cuadrar las bajas que nos piden los receptores. Pues bien, que sepas que por cada email que envías desde Plutón es una papeleta que compras para que la AEPD te traiga el premio gordo.

Por cierto, aplicable a este punto y al anterior: Si te da como garantía de tomarse en serio la protección de datos el enterrado Safe Harbour, al igual que si alguien se va a por el pan y vuelve sin haberse comido un trocito...NO ES DE FIAR (ni uno ni otro).

4) Déjame tu DNI que lo fotocopio y me firmas el papel (en el que está fotocopiado tu DNI) para eso de la LOPD.

A día de hoy, no he encontrado nada en la LOPD que exija que nadie fotocopie tu DNI (a excepción del ejercicio de derechos ARCO) ni, mucho menos, que le tengas que firmar la fotocopia, así por las buenas. Me remito al punto 1) : ¿y mi formulario? ¿para qué quieres saber los nombres de mis padres? ¿y mi cláusula LOPD?. Por no hablar de los peligros de que alguien tenga por las buenas ese documento oficial (¿y si se le ocurre ponerse a afiliarme a cualquier partido o contratar algún tipo de servicio con alguna empresa que se tome la LOPD como el que fotocopia mi DNI?). La manía de pedir el DNI jamás la he entendido, si os soy sincera. Leí hace poco en un periódico una carta de una lectora que se quejaba precisamente de esto: de la cantidad de gente que tiene el DNI de cualquiera de nosotros. Parece que nos hemos acostumbrado a usar el DNI como comodín para todo y, a la vez, nos dicen que cuidado con a quien damos los datos personales. ¿No es un poco contradictorio todo esto?

5) Aceptar el "Te lo hacemos gratis con la Tripartita".

Me llaman a la ofi y lo cojo y, para mi sorpresa... ME OFRECEN LOPD A COSTE 0. Me pilló de buenas y le dejé que me hablara de lo sencillo que es, que no me iba a costar nada y que ellos se encargaban de TODO (entendiendo como TODO la declaración de ficheros, exclusivamente). Tras escuchar pacientemente al pobre comercial, cuando terminó y me preguntó que qué me parecía, le expliqué con toda la amabilidad que me salió que no estaba interesada en que me estafaran. Ante el incómodo silencio. le expliqué por qué estaban ofreciendo NADA y por qué lo sabía. El pobre comercial aguantó el chaparrón como pudo (intenté ser lo más amable posible, al fin y al cabo, el que menos culpa tiene es él) y la cosa no fue a mayores, pero oye, yo me quedé tan agusto.

Como veis, las situaciones anti-LOPD abundan que da gusto, incluso los que nos dedicamos a esto nos encontramos con este tipo de situaciones a diario. Si os digo la verdad, suelo intentar quitarme el "uniforme LOPD" cuando no trabajo, por dos motivos: 1) por tomar aire fresco y no vivir en una caja y 2) para poder ponerme en la situación del que no tiene ni idea de esta temática y poder detectar los errores que pueden cometer las empresas a las que asesoro. 

Y hasta aquí llega el post de hoy; os deseo una muy feliz semana y mucha suerte (y paciencia) a mis queridos unedianos, que, acabados los exámenes, empiezan la larga cuenta atrás para conocer sus notas.

¡Hasta la próxima!

¡Bienvenido Mr. Uber!

Hola de nuevo!

Uberliebers

El post de esta semana viene sobre ruedas: Uber ha vuelto (chan chan chan) y conozco bastante gente que estaba esperando este momento como agua de mayo, así que espero que este post sea útil a l@s uberliebers más acérrimos. 

;-)

El primer vistazo es inevitable echarlo a su política de privacidad, que tenéis disponible en este link. Me voy a parar en los aspectos que más me han llamado la atención y en los que puede que no caigas de primeras si decides "ubertizarte". Vamos a ello:

USA

Lo primero que me ha llamado la atención es que la Declaración de Privacidad (como lo llaman ellos), es en general la misma, residas en USA o fuera. Si estás fuera de USA (da igual que andes por Europa o por la Conchinchina), la que gestiona tus datos es Uber V.B; mientras que si estás por la tierra de Obama, la que "manda" es Uber U.S. Parece que Uber no podía esperar a Privacy Shield y ha preferido curarse en salud tras el Safe Harbourazo; lo que está por ver es si esta estrategia inicial es verdaderamente efectiva (recordemos que, aunque los datos se queden en Europa, eso no implica 100% que ya estemos cumpliendo la normativa de protección de datos que nos corresponde). De hecho, al final de la Declaración de Privacidad, a traición,  te encuentras con esto: "Podemos transferir la información descrita en esta Declaración a, y procesarla y almacenarla en, Estados Unidos y otros países, algunos de los cuales pueden tener leyes de protección de datos de menor protección que la región en la que reside. Cuando sea este el caso, tomaremos las medidas apropiadas para proteger su información personal de acuerdo con esta Declaración" (Ups, con lo bonito que era todo al principio).

Hecha esta apreciación, nos encontramos con una nueva "separación": la declaración de privacidad aplicable a los conductores y la que es aplicable a los usuarios; si eres conductor y usuario, llevas el pack completo: se te aplican ambas en función de la orilla desde la que te asomes. Así, Uber nos dice, textualmente, lo siguiente:  

"Si usted interactúa con los Servicios tanto como Usuario y como Conductor, se aplicarán las declaraciones de privacidad respectivas a sus diferentes interacciones".

Bien, como este post va de la Declaración de Privacidad que afecta al usuario NO CONDUCTOR, voy a dejar esto en stand by a la espera de poder entender las diferencias entre una y otra. Y luego ya me plantearé cómo casa esto. :-P

Ahora vamos a ver la información que recopilan si te asomas a la orilla como usuario NO CONDUCTOR: 

- Información de tu ubicación. 

Localización

Ojo que esto va en dos vías: 1) recogen datos "desde la aplicación Uber utilizada por el conductor" (es decir, que tu "transportista" es el chivato) y 2) desde tu propio móvil, que les dará info sobre dónde está tu dispositivo (y por ende, tú, a no ser que tengas la mala suerte de que te lo haya tangado algún/a amig@ de lo ajeno), información que Uber obtiene a excepción de que tengas la app apagada (es decir, que si no cierras la app, aunque no estés usándola, están también obteniendo tus coordenadas).

Agenda de Contactos

- Información de tus contactos: 

Si le das permiso a la app para esto, obtienen una bonita copia de toda tu agenda; práctica que a mí no sólo no me gusta personalmente sino que además veo muy lejos de cumplir con la normativa (¿dónde queda la bonita figura del consentimiento?).

- Datos de llamadas y SMS:

Smartphone

Vale, salvo Mariano, ya muy poca gente usa los SMS, pero esto tiene su importancia. Textualmente Uber indica que "Nuestros Servicios facilitan las comunicaciones entre los Usuarios y los Conductores. Para facilitar este servicio, recibimos datos de llamadas, incluyendo la fecha y hora de la llamada o mensaje SMS, los números de teléfono de las partes y el contenido del mensaje SMS". Pues hombre, yo entiendo que Uber quiera ver que el servicio es el adecuado y demás, pero me parece excesivo acceder al contenido de los mensajes, más que nada por aquello que pone en el art.18.3 de la Constitución Española. "Puedo" entenderlo (que no significa que lo apruebe, ojo y RE-OJO), cuando estás usando una app específica, pero el servicio SMS no lo presta Uber, es ajeno a la app. Además, que si te haces colegui de tu conductor de referencia y os enviáis mensajitos de amor, no veo en qué va a facilitar Uber el servicio accediendo a los churrymensajes; en todo caso estaría de sujetavelas, por decirlo de una forma elegante. Parece que al art.18.3 le llueven guantás sin mano de todas partes, y no, eso NO MOLA NADA. 

Una cosa que sí es de agradecerles es que hayan habilitado una zona explicativa especifica para los usuarios de su app: una para los Iphoneros y otra para los Androidianos. La pega es que están en inglés, pero oye, menos da una piedra. 

Me reservo para otro post los aspectos de una y otra zona explicativa para no extenderme en esta entrada, pero dejo este aviso: en un primer vistazo veo alguna que otra diferencia en los datos recopilados de los Iphoneros y los de los Androidianos. Si es que ahora las diferencias entre las personas no las marcan nuestros orígenes ni el color de nuestra piel o pelo; ahora lo que nos diferencia es el S.O que usamos. 

 VS

Android  

   

Iphone

   

Y con esta reflexión tan profunda venida de mis más profundos adentros, cierro el post de hoy; muchas gracias por pasarte por este rinconcito de la web. Que tengas una estupenda semana, que se te pase el descuadre por la hora que nos han sisado y que seas feliz, que se te ve buena gente. ;-)

Uber 

Hasta la próxima, my friend!