1000 RGPERDONES.

Mi querido y estimado Data Subject, interesado, Responsable o lo que seas, que ahora mismo me la bufen (es tarde y la vida se me vaaaa).

Me dirijo a ti, mediante este post, para trasladarte mis más sinceras disculpas, en nombre de mis compañeros de Derecho Friki, por el aluvión de Spam bastante innecesario que has recibido estos días previos al 25 de mayo. Quiero que sepas que entendemos el coñazo máximo que ha supuesto para ti abrir el maldito correo y encontrarte la bandeja llena de emails de empresas con las que probablemente no hayas cruzado palabra en tu puñetera vida, pero a las cuales seguramente les diste tus datos para poder ganar dos entradas de cine (un premio nada desdeñable, con lo caro que se ha puesto lo de culturizarse). Y si no le diste tus datos a la empresa que organizaba el sorteo, igual se lo diste a otra, que se los hizo llegar. Y no tenías ni pajolera idea porque eso estaba en chiquitito en las condiciones legales que declaras expresamente, y bajo juramento biblico, que has leido y entendido, aunque tod@s sepamos a estas alturas que eso es menos creíble que el testimonio de Mariano en el juicio de la Gürtel (y esto no lo digo yo, eh? viene en la Sentencia que acabamos de conocer que condena este mamoneo de poder y dinero más negro que el sobaco de un grillo, tal y como señala mi querida profesora Verónica del Carpio en su cuenta de twitter). Esas condiciones legales infumables que han invadido tu bandeja de entrada  y que se han reproducido como setas en las bandejas de tod@s tus conocid@s, desde aquí, las maldigo.

Te pido perdón por el error de cálculo que ha supuesto tener dos años para ver de qué cojones iba el RGPD y no haber sido capaces de preparar el terreno como para evitar este pseudoacoso al que ahora estamos sometidos.  2 años parece bastante tiempo, pero créeme, no lo es. Y el ejemplo claro es que a estas alturas de la vida, no hemos sido capaces de sacar la puñetera reforma de la LOPD. Pero no te fustigues, esta vez no hemos sido los únicos "perezosos"; si miras fuera de la madre patria, verás que casi ningún país ha hecho los deberes. Estamos todos jodidos, o jodiden, como prefieras.

Pero no te vayas todavía, que tengo más cosas por las que disculparme, en mi nombre, en el de mis compañeros y en el de los getas que te venden que cumples la normativa de protección de datos y todo el derecho saturniano en 3 tardes. Bueno...¿qué cojonen? En nombre de estos no me disculpo, son ellos los que deberían hacerlo por mentirte. Y atento porque esto no te va a gustar, pero alguien tiene que decírtelo... NO ES POSIBLE CUMPLIR AL 100% LA NORMATIVA DE PROTECCIÓN DE DATOS. Si somos honest@s, creo que toda relación se basa en la honestidad, incluso aunque duela. Y te voy a contar principalmente por qué es imposible cumplirla, que me has pillado de buenas. El melón del RGPD está formado, entre otras cosas, por la información sobre ti (y sobre otr@s) que emites desde el dispositivo desde el que me lees, y que vuela, casi podríamos decir que lo hace "libre a lo Nino Bravo", hasta rincones que ni imaginas.  Y podrás suponer que cada día hay 30303939393 millones de amenazas a toda esa información, y ninguna entidad es infalible. Si solo pensamos en factores técnicos, es fácil de entenderlo; pero si además le sumamos el factor humano, el riesgo, concepto bien incrustado en el RGPD, LO PETAMOS. Así que no seas moñas, que nadie te engañe diciendo que las plantillas son suyas y están nuevas porque los zapatos se los pone poco (por cierto, excelente hilo de la tuitera @menendezfaya). Abre tus brazos y tu cartera a la nueva normativa. Y sí, he dicho tu cartera, porque cuesta dinero, majete, como todo en la vida. No hace falta que nos compres un chalet en Galapagar, pero sí que valores nuestro trabajo, nuestro esfuerzo, las horas que invertimos en reciclarnos y la salida que tenemos que encontrar a desafíos que no se encuentran en los libros. Y, de nuevo, sí: aunque cojas a la mejor frikitoga (que, por cierto, nunca hay que dar por hecho que será la que te pegue la mayor clavada), no estarás 100% a salvo de que venga la AEPD y te pegue un estacazo. Es lo que hay, querid@.

 Y ahora estarás pensando: "joder Iuris, qué mal vendes el sector". Pues tienes razón, eh? es que lo del Marketing nunca se me ha dado bien. Peeero lo que sí se me da bien es hablar claro; incluso con todos estos aspectos negativos, nos necesitáis y nos acabaréis queriendo, créeme. Porque detrás de todo este coñazo, están tus datos, tu vida, tus gustos, el derecho que tienes a tener tu puñetera privacidad y a exigir a las empresas que sean cuidadosas. Y al gobierno, my darling, que también mete mano aquí y, a veces, de formas más que dudosas. ¿O es que nos hemos olvidado del Lexnetazo del verano? ¿o de lo que contó mi adorado Snowden?

En resumen, y para no extenderme más como esos pergaminos intermitables a los que accedías para reconsentir lo que ya consentiste sin leer...(pero declarando y jurando que lo hiciste)...

LISTA DE DISCULPAS:

1) Por petarte la bandeja de entrada.

2) Por petarte el cerebro con políticas más largas  que El Quijote. Danos tiempo, somos abogad@s y va en la sangre enrollarnos cual persianas; aunque se pretenda lo contrario con el RGPD (o esa es la teoría).

3) Por no darte respuestas talladas en piedra a tus preguntas. Joder, que vamos con la "L", coño. Y que en esto hay mil aristas, sé comprensivo y baja los humitos; si no dudo cada día de la respuesta a dar a cada cosa que se me presenta, tendría que considerarme un fracaso de ser. Hay que dudar más, preguntar, interactuar, aplicar y volver a dudar. Y créeme: "prometo solemnemente dudar", porque las veces que dude serán directamente proporcionales a todas las aristas que tengo en cuenta para arreglar tu problema. Funciona así.

4) Por este coñazo de post.

Hala, que me he quedado tan agusto. Me despido con este temazo, más que apropiado, de Café Quijano con Willy Bárcenas... ;-)

...Aunque sé que no es tan fácil Perdonarme
Hoy te pido que me dejes demostrarte
Que se aprende de los fallos
Y que entiendo que te duela
Que estés triste y te cuesta perdonar...

A bailaaaaarl con el RGPD!!!

Pdt: Ni fotos ni ná pongo hoy, que estoy en modo minimalista XDDDDDDDD.

 

El Palo Parlante, tu coche contestante y la que nos espera.

Holi Holiiii.

Me apetece ponerme muy friki esta vez, lo siento, pero ni quiero, ni puedo evitarlo. Estaba haciendo unas cositas y me he encontrado con un documento del WG del artículo 29 que ha llamado poderosamente mi atención, cosa que, si visitas este pobre blog, suele pasar (tengo algún que otro post comentando documentos de este Grupete de coleguis XDDD). Vamos al lío, que me lío...

Documento: Dictamen 03/2017 sobre el tratamiento de los datos personales en el contexto de los sistemas de transporte inteligentes (STI) cooperativos. Como siempre, os lo linkeo si pulsáis aquí. 

• ¿De qué va el cirio este? 

Pues muy sencillo: de coches/camiones/motos/sidecars...en definitiva: "Vehículos" que hablan con: señales, palos misteriosos... Qué pasote,¿no? Y...¿cuál es la finalidad de estas charlas? Pues, según el propio documento: "lograr mejores predicciones sobre las situaciones del tráfico y mejorar la prevención de accidentes". Sí amig@s, el asunto se pone serio: Los coches hablan; ya no sólo se conducen solos...¡ES QUE ENCIMA HABLAN CON PALOS DEL CAMINO! 

Tranquilos, piltrafillas, de momento los casos que dice el documento que se han identificado están relacionados en su mayoría con funcionalidades informativas (como advertencias de obras, condiciones meteorológicas, etc.). Iba a decir que no os preocupárais en España, ya que obras ya pocas y no somos país de condiciones meteorológicas especiales, pero...mejor me callo tras los últimos acontecimientos. 

Bueno, pues el tema es que se nos empiezan a plantear situaciones un poco complicadas, porque se juntan aspectos éticos (en los últimos tiempos, prácticamente todo kiski se ha planteado casos extremos rollo "y si el coche autónomo tiene que elegir entre atropellar al profe de tributario que no sabe decir "coxis" o al misterioso y desconocido M. Rajoy... ¿qué hace?") y transmisiones de datos que nos son desconocidas al común de los mortales. 

• ¿Qué tiene que ver esto con la Protección de Datos, Iuris?

Pues muy sencillo: que ese coche pertenece a una persona, que dentro del coche también van personas y que el coche, al igual que el vecino del quinto, habla de esas personas. Y esto es así aunque se seudonimicen los datos, que es el caso que se trata aquí. 

Aclaración: La seudonimización viene recogida en el RGPD de la siguiente forma: "tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable". Para que entiendas esta parrafada, te hablo en cristiano: Ese apodo tan amoroso que usa tu amorsito para llamarte y que solo conocéis vosotros, rollo: "Currupipi". Es imposible saber que Currupipi eres tú a no ser que nos den alguna pista, como que tu amorsito se llama "x". A grosso modo, esa es la idea (a lo cutre, lo sé, no dejes de leer el post por esta memez).

Tal y como comentaba, los datos seudonimizados caen bajo la aplicación de la normativa de protección de datos, y por eso el WG mete baza aquí; . si los datos fueran anónimos, el WG pasaría del tema porque no caería dentro de la aplicación del RGPD. 

 

 

• Entonces... ¿qué pasa aquí?

 Pues que el WG no tenía otra cosa que hacer y se ha puesto a analizar todo esto: el coche que habla, el palo que le responde y la fundamentación a nivel jurídico que puede "soportar" esto tan raruno (sí: para tratar datos, hace falta tener un "soporte jurídico", y los tenemos en el RGPD, concretamente en su artículo 6. No quiero pararme en esto para no aburrir al personal; simplemente, os dejo una pinceladita del documento para general rayada: "la capacidad de identificación de los datos de localización es bien conocida: bastan unos pocos puntos espaciales para singularizar a una persona en una población con un elevado grado de precisión, teniendo en cuenta los patrones más habituales de movilidad de las personas". 

Para que me entiendas: identificarte a ti con los datos de localización que manda tu coche al palo parlante, es MUUUUY SENCILLITO. E imagínate lo que se puede sacar de ahí si mereces ir a comiseriden por saltarte una línea continua... (información que caería dentro de las llamadas "categorías especiales de datos" que recoge el art.11 RGPD, y que tienen un régimen de tratamiento un poco diferente).

 Así, el WG da un toquecito para que se mejoren algunos aspectos que inciden en la privacidad de la gente o creando problemas cuando buscábamos soluciones. Por ejemplo:

 

- Los STI cooperativos, por su propia naturaleza, desvelarán información que no estábamos acostumbrados a revelar: por dónde conducimos y de qué modo.  Para algunos, esto es horroroso, especialmente para esos Fernandos Alonsos de Pacotilla: Tu seguro estará encantado de conocer que vas como un fitipaldi: clavadita que te va a caer.

 

- Posibilidad de predicciones inexactas sobre las condiciones del entorno (por ejemplo, creando un atasco en lugar de reducir la carga de tráfico) o  por una interpretación no neutral de los datos del entorno (por ejemplo, induciendo a los usuarios a visitar zonas específicas debido a los intereses económicos de uno de los particulares). Cuanto menos, esto es curioso. 

Y aporta algunas ideas para mejorar estas cosas QUE YA ESTÁN AQUÍ Y AMENAZAN CON QUEDARSE.

 

Como el propósito del post era hablar de palos parlantes y coches, lo dejo aquí; pero os invito a que le echéis un ojo al tema, porque es de lo más curioso. 

Hasta lueguen!!!

 

 

Un nuevo invitado en la LOPD: El Whistleblower.

Hola de nuevo, lopder@s.

Llevaba un tiempo con el blog en modo de stand by debido a una alineación interplanetaria de asuntos que, objetivamente, me han impedido sentarme a escribir algo que realmente mereciera la pena. Soy de esas personas que creen en aquello de: "si lo haces, lo haces bien", y este blog nació con la idea de ser una herramienta útil basada en una "apetencia" de escribir, no una obligación tediosa que acabe siendo una carga. Así que, amig@s, si no he escrito antes es precisamente por eso, no hay por qué mentir. ;-)

Partiendo de esa base y añadiendo todas las novedades en temática lopdera que ha habido últimamente: que si el RGPD, que si el Proyecto de Reforma de la LOPD, que si a vueltas con el DPO y las medidas de seguridad... Este camino empieza a tener curvas cada dos pasos y, honestamente, yo soy de marearme en los viajes pero, a la vez, me encanta viajar, por lo que jamás dejaré de hacerlo, aunque tenga que llevar algo heavy para los mareos. Bueno, pues ayer desayunaba con este titular, que me hizo torcer el morro, que es muy característico en mí cuando algo no me gusta (y que por cierto: ha heredado el #iurisobri): "Quién es el delegado de datos, el 'delator' que llega a tu empresa en mayo." Tras ese primer impacto, el resto de la noticia no parece coincidir con ese titular, pero oye, la impresión fue cosita fina. Entiendo que es necesario un titular impactante para traer lectores, pero hagan el favor de pensar en el corazoncito de los que nos dedicamos a esto; la palabra "delator" es fea y, objetivamente, pensar en el DPO como un "delator" es no tener ni pajolera idea del tema. Si lees lo que se dice de esta figura en el RGPD , podría comprarte que el DPO es un poco el jode-rollos de la fiesta si lo llevas al extremo, pero si eres un tío/tía list@ , podrás ver que el DPO realmente puede ser un activo de tu empresa, un Pepito Grillo que te haga hacer las cosas bien y un "Mago Merlín" que haga magia contra las ideas de bombero que pueden dar al traste con un buen negocio. Hazme caso: El DPO no es ningún lobo que vaya a entrar en tu corral a darse un festín. Son muchos los cracks que han escrito sobre la figura del DPO y tan bien que, sinceramente, no creo que vaya a mejorar ninguno de esos textos. Baste leer al gran Ricard Martínez y su respuesta al artículo de titular con mala uva: http://lopdyseguridad.es/delegado-de-proteccion-de-datos-delator-o-colaborador-imprescindible/ . Querido Maestro, suscribo cada palabra suya, cosa que no es novedad, por cierto.

Tras pensar en la palabra "delator", me he acordado de que hay una figura que asusta más que el DPO y que aparece como novedad en el proyecto de reforma de la LOPD que acabamos de conocer, recién salido del horno y bien calentito: El whistleblower. Llevamos un tiempo escuchando y leyendo sobre esta figura, sobre todo a raíz de que la heroína Ana Garrido decidiera levantar las alfombras y denunciar el pestilente olor a podrido que invadía cierto municipio madrileño. Si empecé este párrafo usando la palabra "delator", quiero terminarlo (e iniciar la cuestión lopdera que me ocupa en este post), haciendo un alegato en favor de gente tan valiente como Ana, a los cuales tenemos que agradecer que saquen la cara y pongan su nombre y apellidos y principios por delante de los beneficios sin escrúpulos ofrecidos por algunos. Qué feas suenan palabras como "delator" o "chivato"; honestamente, creo que la Sociedad debería ver a figuras como la de Ana Garrido como "valientes"; y con esa idea tan "flower", el Proyecto de Reforma de la LOPD los trae a su texto, afortunadamente. Y... ¿qué dice el nuevo texto sobre ellos? Pues vamos a verlo:

Artículo 17. Sistemas de información de denuncias internas en el sector privado.

1. Será lícita la creación y mantenimiento de sistemas de información a través de los cuales

pueda ponerse en conocimiento de una entidad privada, incluso anónimamente, la comisión en el

seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas

que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable. Los

empleados y terceros deberán ser informados acerca de la existencia de estos sistemas de

información.

2. El acceso a los datos contenidos en estos sistemas quedará limitado exclusivamente al

personal que lleve a cabo las funciones de control interno y de cumplimiento de la entidad y, sólo cuando procediera la adopción de medidas disciplinarias contra un trabajador, al personal con

funciones de gestión y control de recursos humanos.

3. Deberán adoptarse las medidas necesarias para preservar la identidad y garantizar la

confidencialidad de los datos correspondientes a la persona que hubiera puesto los hechos en

conocimiento de la entidad si se hubiera identificado.

4. Los datos de quien formule la comunicación y de los empleados y terceros deberán

conservarse en el sistema únicamente durante el tiempo imprescindible para la averiguación de

los hechos denunciados.

En todo caso, transcurridos tres meses desde la introducción de los datos deberá procederse a

su supresión del sistema. Si fuera necesaria su conservación para continuar la investigación

podrán seguir siendo tratados en un entorno distinto.

No será de aplicación a estos sistemas la obligación de bloqueo prevista en el artículo 29.

Puntos clave del artículo:

1) Lo primero: que es lícito crear este tipo de mecanismos. Y yo voy más allá: no solo es lícito, sino que, personalmente, creo que es ultranecesario. Nos llenamos la boca con temas como la Responsabilidad Social Corporativa o con donaciones estratosféricas a fines sociales, o con lo modernos que somos por estar en RRSS y conectar con la gente joven, pero a veces las alcantarillas están un poco, digamos, congestionadas. No pongáis esa cara, seguro que se os ocurren ejemplos de malas prácticas a porrón, tanto en vuestras empresas como en vuestra comunidad de vecinos. 

2) Que para que esto funcione, es necesario que los empleados conozcan que hay esos mecanismos y sepan cómo usarlos. Esto es básico: cuando entra un nuevo empleado, hay codazos por enseñarle cómo funciona la máquina de café o las reglas que hay sobre protección de datos (chas!), pues habrá que explicarle también que, si ve algo feo feísimo, puede denunciarlo. 

3) Que los datos de estas denuncias solo tendrán que estar a disposición del personal encargado de velar porque la empresa sea güena (es decir, que si denuncias algo que hace tu jefe, en teoría, este no debe saber que has sido tú "garganta profunda"). Esto es de cajón: si sé que se va a enterar mi jefe de que le he denunciado por algo que hace mal, a ver quién es el rico que se atreve (y menos cuando está la cola del SEPE que hay cola hasta para hacer cola, aunque nos vendan lo contrario). La única excepción a esto es que puedan derivarse medidas disciplinarias contra el denunciado; entonces sí se da vía libre a que los de RRHH lo sepan y procedan contra el malo malísimo.

4) Que hay que tomar medidas para proteger la identidad del whistleblower; precisamente al hilo de lo que comentaba en el punto 3. Empezaba la introducción del post hablando de lo feo que suena la palabra "delator"; todos hemos crecido interiorizando que el chivato era el malo de la peli, incluso aunque se chivara de que se estaba haciendo algo horrible. La consecuencia de que se hiciera público en el cole el nombre del "chivato", era que se enfrentaba a una especie de castigo social por hacerlo, no sólo del "afectado" por el chivatazo, sino del resto. Esto hacía que pocos se atrevieran objetivamente a tomar la iniciativa y, cuando crecemos, no sólo no olvidamos esta memez (la Sociedad hace que lo interioricemos aun más), sino que es como una especie de aberrante "pacto de silencio" que, a mi juicio, nos convierte en cómplices. Y luego pasa lo que pasa, que todos conocemos de sobra. Bueno, la cosa es que el artículo, con muy buenas intenciones, establece la obligatoriedad de aplicar medidas que garanticen la confidencialidad y preserven la identidad del valiente. En un mundo ideal, me encantaría que no tuviesen que ser tomadas este tipo de medidas con la citada finalidad de protección, pero oigan, "piano, piano". Menos da una piedra.

5) Que tenemos un plazo de conservación de los datos de la denuncia: el tiempo imprescindible para estudiar los hechos objeto de la denuncia. Como aquí somos muy de conservar las cosas por tiempo indefinido (menos las relaciones laborales, por cierto), el propio artículo nos da un plazo: 3 meses desde que el whistleblower meta los datos en el sistema. Esto me lleva a plantearme algunas cosas: 

a) Entiendo que el método que prefiere el legislador es por vía TIC, porque lo de poner un buzón fisico de denuncias parece un poco complicado a la hora de cumplir y gestionar este plazo. Además, me imagino la imagen del buzón como una zona inhóspita y desangelada, pocas ganas de acercarse por temor a las miradas inquisitorias de las que hablaba antes, por lo que quizás el método TIC es el más "cómodo" (veremos si el más "eficiente").

b) El plazo de 3 meses es muy bonito en el papel, igual que lo es el de la Justicia Rápida de la que presume nuestro querido Ministro en las giras que hace vendiendo las maravillas de Lexnet y de los nuevos Juzgados que abre, en muchas ocasiones, sin equipar (aunque esto no lo ha inventado él, sinceramente, esto se inventó con hospitales y creo que la idea fue de una conocida de Ana Garrido, por cierto). Habrá que ver si ese plazo es el adecuado y cómo justifica la empresa que ha llevado las gestiones necesarias en ese tiempo para analizar y estudiar el caso. 

c) Pasados los 3 meses, hay que SUPRIMIR los datos, NO BLOQUEARLOS. Bien, esto tiene un doble filo: si eliminamos todo lo generado por la denuncia, a ver cómo hacemos si luego resulta que, a pesar de que la investigación interna se cerró con un beso y una flor, resulta que nos encontramos con un berenjenal como el descubierto por la denuncia de Ana Garrido. De esa denuncia interna que inicia el proceso pueden derivarse consecuencias "positivas" y "negativas" que igual es necesario revisar a posteriori, por lo que es posible que cargarse TODO no sea la mejor idea., sobre todo si se abre un meloncito como ese. Habrá que darle alguna vuelta a cómo gestionarlo. ¿Anonimización? ¿Pseudonimización? 

Para finalizar este post un poco incendiario, quiero hacer mención a dos cosas importantes:

1) Leo en la web de la AEPD esto: "El CGPJ y la AEPD colaborarán en las inspecciones de órganos judiciales en materia de protección de datos". Una gran noticia que se deriva, obviamente, de porrocientas denuncias de muchos compañeros sobre la falta de diligencia en esta temática de algunos organismos, entre ellos, los que componen la Brigada Tuitera. Como veis, e incidiendo en lo que decía anteriormente, la figura del "Whisteblower" es muy necesaria; muchas denuncias públicas las han hecho compañeros desde su cuenta de Twitter. Mi más sincera enhorabuena.

2) Me he encontrado en twitter muy bien acompañada de cracks en una mención que reconozco que me ha hecho especial ilusión: http://sinderiza.com/7-blogs-juridicos-me-encantan/ . Muchísimas gracias a los compis de Sinderiza por meter este pequeño blog junto a tanta gente enorme, de verdad que es todo un honor, compañer@s!!!

Y ahora sí: hasta aquí el post de hoy. Feliz semana y hasta la próxima!

Una alemana, una española y un crédito sospechoso

Hola de nuevo, lopder@s!

En este post, a petición de mi querido Raúl Gámez, voy a comentar, hasta el día de hoy, la Resolución más curiosa que he visto en la web de la AEPD, Esta vez no termina con un multazo, por lo que no esperéis que alguno sufra en sus bolsillos la embestida de la AEPD; lo interesante del caso es cómo empieza y cómo se desarrolla; esta vez el final quizás deje con un cierto sabor agridulce (y no precisamente por la ausencia de multa). Como siempre, la Resolución la dejo aquí (y te invito a leerla encarecidamente). Vamos a ello:

Era un 20 de enero de 2016 cuando se recibe en la AEPD una carta un poco diferente. El matasellos dice que viene de Alemania, de un lejano lugar llamado Hamburgo y el remitente, impronunciable para un hispano-hablante, resulta ser aquella prima a la que conocíamos apenas de oídas: la Agencia de Protección de Datos de Hamburgo. "Vaya marrón, a ver qué quiere esta ahora", debió pensar la AEPD. Al abrir la carta, resulta que no es una felicitación tardía de Navidad: es todo un escrito en el que nuestra prima hamburguesa desarrolla lo que parece una especie de informe bastante currado sobre las actividades de una empresa con matriz en Alemania pero tentáculos en diferentes lugares europeos, entre otros, España. La prima harmburguesa nos envía una carta para decirnos que algo le huele a chamusquina en Alemania y parece que, cierta parte de ese olorcillo a quemado, viene de más abajo de los Pirineos: nos pide ayuda para identificar el foco y nos abre el camino para ir con la manguera.

Puntos clave de lo que le huele a chamusquina a la prima teutona:

- Tenemos un grupo empresarial, que se dedica a esto de los créditos rápidos, la mar de majo y cuya matriz está en Alemania pero tiene una filial en nuestra patria querida, que actúa un poco a su rollo pero interacciona fuerte con la matriz. 

- Recopilación de Datos que hacen las filiales (también, por supuesto, la española). 

El textual de lo que dice la prima teutona es revelador: "Para preparar la aprobación del crédito, las empresas filiales de XXXXXX  recopilan un amplio abanico de datos de carácter personal que se inmiscuyen de lleno en la intimidad de sus clientes". Y ojo que la cosa se pone fea: aparte de la información que da el solicitante para obtener su crédito, este conglomerado recopila información del pobre solicitante obtenida gracias al rastro que va dejando en lo que navega por webs asociadas al conglomerado presunto. La prima teutona sospecha que esta recopilación de datos a mansalva da como fruto la elaboración de un perfil muy amplio del solicitante. Es más, para completar bien el perfil, el conglomerado tira también del Facebook del pobre solicitante (eso sí, tras tener su ok voluntario, cosa también un poco cuestionable a juicio de la prima harburguesita, ya que ofrece compensaciones si el solicitante dice aquello de "sí quiero"). Por si esto fuera poco, el solicitante tiene que dar la contraseña de sus cuentas bancarias en internet para que el conglomerado presunto verifique que sus cuentas han tenido movimientos "sexis" en los 60 días anteriores a la solicitud del préstamo. Y todo esto se hace a cambio de que te presten una pequeña cantidad de dinero; no quiero ni pensar lo que pedirían si les pides un pastizal.

- Consentimiento no otorgado libremente. 

Ojo al textual de la carta de la prima teutona: "(...)...los clientes que deciden pedir dinero prestado a KREDITECH se sienten fuertemente obligados a hacerlo, ya que no tienen acceso al mercado de capitales normal y a los créditos a tipos de interés normales. Obviamente, necesitan con urgencia un dinero que ningún banco comercial les prestaría"(...). 

Es decir: aquí se cuestiona algo de lo que ya he hablado en alguna ocasión por aquí: la cuestionable libertad a la hora de consentir el tratamiento de algunos de nuestros datos. Hay que tener en cuenta dos cosas: 

1) la necesidad urgente de conseguir una cantidad de dinero y 

2) el interés que se paga si el conglomerado presunto te lo presta: 3.752%.

La prima alemana hace hincapié en ambas cosas, y nos informa de que eso en su casa se llama usura y que está prohibido, para más inri.

- Retención indefinida, lo que se traduce en que: "o pides que te borre o ahí te quedas" (y cuando digo "borre" quiero decir "me anonimizas").

Tras este informe, la AEPD se levanta de la siesta y se pone a currar (me encanta tirar de tópicos...XD). Se va a la web de la filial española y revisa un poco lo que ve: desde los textos legales hasta si tiene declarados ficheros y de qué tipo, se pasa por la sede para que le expliquen como hacen las cosas y a pedir y pedir documentación (que si contratos de encargo de tratamiento, por ej. del Call Center que tienen en Rumanía, que si el envío de publi se hace bien... ), lo que se dice: un cisco. Además de esto, la AEPD accede a los sistemas de información de la filial y se encuentra con que se registran datos del solicitante como estos (y me remito a los más llamativos, que hay más): 

• Localización actual (longitud, latitud), 
• Dirección de trabajo, 
• facebookData, 
• balance de pagos del cliente (pagos adelantados, pagos pendientes... en relación al préstamo pedido al conglomerado presunto, sospechamos),  
• IP de conexión y el agente de usuario (navegador), 
• Datos externos (identificador del dispositivo), 

Como curiosidad, os cuento dos cosas más: los datos recorren más países que Willy Fog y el conglomerado presunto dispone de un procedimiento de bloqueo (una de mis eternas peleas) tan majo como este:

- Datos de solicitudes no finalizadas: se bloquean siete días después de suinicio y se borran en 180 si no han sido completadas.

- Datos de solicitudes finalizadas y no concedidas: se bloquean a los 30 días y se borran a los tres años.

- Datos de créditos concedidos: se bloquean 30 días tras el pago del préstamo y se borran diez años después.

Además de todo esto, la AEPD recurre a Infojobs para informarse sobre el conglomerado presunto (no, no es coña) y se encuentra con esto (literal): 

<<El grupo XXXXXXX usa big data y complejos algoritmos de aprendizaje automático.

Basado en 20.000 puntos de datos, su tecnología propietaria permite a sus servicios financieros el adquirir, identificar, valorar, pagar y aumentar sus clientes en segundos.

Los procedimientos automatizados combinados con algoritmos de auto-aprendizaje aseguran una rápida y adecuada atención al cliente mientras se minimizan el costo y espacio para el error humano. >>

Vale, o sea que la AEPD recurre a Infojobs para hacer su trabajo. Pues qué campechano todo. ¿no?

Tras todo este berenjenal, nos encontramos con los fundamentos jurídicos (que no voy a reproducir para no aburrir al personal) y con las conclusiones de nuestra AEPD, que os resumo:

1) "(...)... no hay indicios de los que se desprenda que LA FILIAL no actúe diligentemente, ya que cuenta en todo momento con el consentimiento de sus clientes, tanto en la toma de datos personales, como para las cesiones y transferencias internacionales de sus datos, o bien para el acceso de ficheros de terceros, señalando además que su clientes en todo momento podrán ejercitar sus derechos ARCO...(...)"

2) "(...)...no estamos ante un supuesto donde se tomen datos únicamente para evaluar determinados aspectos de su personalidad, ya que existe además la finalidad de formalizar una relación contractual, es decir un préstamo.Además el ciudadano siempre podrá impugnar el tratamiento de sus datos ante los órganos administrativos y judiciales competentes....(...)"

3) Y ojo con lo siguiente: Si os acordáis, al principio del post comenté que había algo que le olía a chamusquina a la prima teutona, y al empezar a analizar la Resolución, os he destacado en rojo y negrita lo siguiente: eso en su casa se llama usura y que está prohibido. Exacto, mis queridos amigos: parece que todo esto se ha montado porque la prima hamburguesa cree que el conglomerado presunto realiza sus actividades rozando lo ilegal, acorde con la normativa alemana. Es decir: que aparte del tratamiento de datos cuestionable, la finalidad del mismo es prestar un servicio con tintes de usura, insisto, según la normativa alemana que menciona nuestra prima teutona. Claro, la AEPD que es muy perspicaz, deja claro en la Resolución que...

 " (..) ...la Agencia Española de Protección de Datos, no es competente para dirimir cuestiones civiles, tales como si los tipos de interés son o no acordes a derecho según las prácticas bancarias españolas, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para el tratamiento de los datos, pero sin realizar indagaciones propias de la esfera civil...(...)"

Chimpún.

Cosas que, personalmente, me llaman la atención y me hacen pensar en lo divino y lo humano:

1) Me gusta la colaboración entre Agencias de Protección de Datos: los datos personales "vuelan" y es imprescindible que se tiendan la mano y colaboren. Punto para la prima alemana y para nuestra AEPD por darse la mano y bailarse unas sevillanas en lo que se toman unas pintas.

2) Me da cierta envidia la actuación de la prima teutona en lo que parece una cierta defensa de sus ciudadanos e, incluso, de los ciudadanos españoles. Ya sé que la función de la AEPD no es verificar si se practica usura o canto gregoriano a grito pelao a las 4 de la mañana por el centro de Madrid; pero también es verdad que al final los datos se usan para algo y, aparte de verificar que el tratamiento es acorde a la normativa de protección de datos, echo de menos una cierta prevención en que la finalidad es correcta (e insisto, no sólo a nivel protección de datos). 

Y lo tengo que decir: me parece excesivo que para pagar un préstamo se te invite a dejar fisgar en tus perfiles de RRSS. Uno en sus RRSS no está sólo, y además, que no entiendo y no veo sostenible lo que tiene que ver el tocino con la velocidad: que yo pague religiosamente mi deuda no tiene que ver con que le de a "Me gusta" a las fotos de la playa del vecino (¿o es que eso denota que voy a dejar de pagar porque tengo mono de playa?). Ya, ya lo sé: Big data, algoritmos o lo que queráis, pero no, no me parece admisible.

3) La AEPD tira de Infojobs para investigar. Lo flipo: entre los que buscan curro y las investigaciones de la AEPD, el Señor Infojobs debe estar más contento que unas pascuas con sus visitas. 

Y hasta aquí llega el post de hoy; espero que os haya gustado, queridos frikis de la protección de datos!

Sí, Quiero (ser tu Encargado de Tratamiento). Pues firma aquí, ricura.

¡Hola hola!

Retomo el blog con un tema que últimamente me está dando no pocos quebraderos de cabeza: las complicadas relaciones con los encargados de tratamiento. Por si pasas por aquí por primera vez y esto te suena a chino, te voy a presentar al Encargado de Tratamiento tal y como lo hace la LOPD:

Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.

Para aclarar el tema, el Encargado de Tratamiento es el que "trastea" con los datos siempre bajo las órdenes e instrucciones del que verdaderamente decide lo que hacer con ellos, que no es otro que el Responsable (y aquí te dejo otro post de la menda para que veas por dónde van los tiros). Bien, en definitiva (y acorde con lo que hemos visto): el Encargado es "el mandao". Ejemplos de Encargados de Tratamiento hay a punta pala: desde el hosting de tu web hasta la agencia de publi a la que le has encargado un concurso o la asesoría que te lleva todo lo de laboral. La LOPD no sólo te dice quién es el Encargado de Tratamiento, también te dice que tienes que establecer unas reglas para que "el mandao" tenga claro que sólo puede trastear los datos siguiendo tus instrucciones y que no los va a usar para otra cosa que no sea lo que tú le traslades en esas reglas. Además, esas reglas incluirán las medidas de seguridad que debe implantar sobre esos datos y podrá preverse el destino de los datos cuando el Encargado termine su trabajo sobre ellos. Esto lo tienes en el art. 12 de la LOPD, el cual dice también que estas reglas deberán estar  en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido. Y aquí mi primer briconsejo: Por escrito SIEMPRE. La LOPD dice CONTRATO, NO DICE "condiciones de uso de una web"; ojocuidao que el matiz es canela fina.

Hasta aquí todo claro: Si hay Encargado, debe haber contrato. Y esa es la regla general. Otra cosa es que luego la cosa se complica porque nos encanta una app que ofrece una empresa en USA o en la Conchinchina (y que, por supuesto, tiene los servidores que la soportan o allí o en Groenlandia) y se nos olvida. Y para los problemas de memoria, además de las pasas, este link de la propia AEPD es imprescindible: 

https://www.agpd.es/portalwebAGPD/canalresponsable/transferencias_internacionales/index-ides-idphp.php 

Descifrando...

1) ¿Encargado de tratamiento? CONTRATO

2) ¿Los negocios con nuestro Encargado de Tratamiento suponen una transferencia internacional? Resumiendo, las opciones son dos:

         a) CONTRATO (si el país de destino de los datos tiene nivel adecuado de protección, cosa que no decido yo).

          b) CLÁUSULAS TIPO + AUTORIZACIÓN DE LA DIRECTORA DE LA AEPD (para lo cual hay que seguir un procedimiento muy clarito que tenéis perfectamente explicado en el link que os he pegado de la AEPD). 

Y ojo, ojazo: LOS DOCUMENTOS ES PREFERIBLE QUE VAYAN EN CASTELLANO. Cualquier cosa de estas que firmes en inglés, arameo o esperanto te va a poner obstaculillos para defenderte, según lo que me han dicho varios operadores de la AEPD. Me insisten en que son conscientes de que muchas empresas están guardando como oro en paño sus documentos en inglés y eso no es un escudo antiproblemas. Como consejo: mejor tenerlo en castellano, que es un idioma muy majo.

(Las reglas corporativas vinculantes las dejo fuera del post porque me centro en las relaciones básicas con los Encargados de Tratamiento).

Todo esto que es tan fácil y mecánico en la práctica se vuelve casi una pesadilla, sobre todo cuando hablamos de un Encargado de Tratamiento "lejano", ya que es muy raro el que se presta a colaborar y a seguir el procedimiento de firmar básicamente lo que es un contrato. 

Las excusas más típicas son: 

- Yo tengo mis medidas de seguridad bien puestas en mi web. FAIL (vuelve a leer arriba: CONTRATO). 

Me da igual lo que tengas puesto en la web ya que a eso no me puedo agarrar si la lías con los datos que te confío. ¿Qué parte de "contrato" no entiendes?

- Yo estoy en Privacy Shield. FAIL (vuelve a leer arriba: CONTRATO). 

Te pego EL LITERAL de lo que dice la AEPD: "Debe recordarse que en el caso de que la transferencia internacional de datos con destino a uno de estos países sea consecuencia de una prestación de servicios, esta circunstancia no exime de la obligación de tener que suscribir un contrato conforme a lo dispuesto en el artículo 12 de la LOPD". 

- No voy a ir yo a cambiarle las reglas a una empresaca como XXX. FAIL

No es que vayas a cambiarle las reglas, es que necesitas garantías de que se va a portar bien. ¿O es que dejarías a tu pequeño y tierno gatito al cuidado de Jack El Destripador? Además que es que inviertes en tranquilidad, porque a la primera puerta que va a llamar la AEPD si hay problemas es a la tuya. No creo que de buen rollo tu Encargado piratilla vaya a sacar su espada para defenderte. 

Llegados hasta aquí, y sin ánimo de asustar al personal, te voy a pegar lo que dice el art. 20.2 del Reglamento de la LOPD para que veas que esto es sólo la puntita del Iceberg:

"Cuando el responsable del tratamiento contrate la prestación de un servicio que comporte un tratamiento de datos personales sometido a lo dispuesto en este capítulo deberá velar por que el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto en este Reglamento"

Es decir: a lo que ya nos ha quedado claro (el contrato) le unimos otro lío más (la obligación de velar porque el Encargado reúna las garantías de que cumple lo dispuesto en el Reglamento).  ¿Y esto cómo se hace? Pues cada maestrillo tiene su librillo, por lo que no me siento capaz de darte una respuesta rotunda. Lo que sí te puedo decir es que mirar si tiene ficheros declarados en la AEPD NO ES SUFICIENTE (que además, si no hay cambios a la vista, tendrás que cambiar de truquillo en año y pico, por cierto).

Consejos finales:

- Sé selectivo y escrupuloso con tus Encargados de Tratamiento.

- Ponte pelmazo para firmar contrato EN CASTELLANO. Si te encuentras con un "no", lo deseable sería no establecer relaciones con ese proveedor. 

- Una vez firmado el contrato, disfruta de tu amor con tu Encargado pero pídele que de vez en cuando te haga saber que él también te quiere en forma de pruebas de que se sigue portando bien (es decir, que te acredite que va cumpliendo lo que le pediste).

Y hasta aquí el post de hoy. Espero que te haya parecido interesante y que pases una estupenda semana.

Pdt: Por cierto, ya que publico hoy esto quiero recordarte que este sábado es un buen momento para seguir reivindicando una Justicia SIN TASAS, CON MEDIOS E INDEPENDIENTE. Te pego el link con más info y te animo encarecidamente a que te apuntes: la lucha sigue porque los motivos no han dejado de existir. Si estás por allí...¡no te olvides de saludarme!

¿Un Gran Hermano en los colegios? No, gracias, no me gusta nominar.

¡Hola de nuevo!

Lo reconozco,voy a hacer algo que critico siempre: escribir a golpe de titular. No puedo evitarlo esta vez tras llevar una semana viendo cómo en las noticias se hacen alegatos casi sin disimulo acerca de la necesidad de poner cámaras en los colegios para luchar contra una de las lacras de estos tiempos: el acoso que sufren algunas criaturas. Me decido a contaros mi opinión teniendo en mente a una de las personas más importante de mi vida: mi pequeño Iurisobri, ya conocido de sobra por los que os asomáis por mi perfil twittero. Le traigo a este post para meterme en perspectiva y partir de una idea clara: si alguien le hace el mínimo daño al Iurisobri, me arderían las tripas. Y por eso entiendo que a las familias de las víctimas, especialmente a esas madres y a esos padres, les arda el interior de ver cómo sufre su peque. De eso se trata este post: de hablar con la mente fría pero con el corazón caliente. Vamos a ver qué sale.

Tal y como comentaba, va calando en la sociedad poco a poco la idea de que necesitamos cámaras en los coles. Bien; ya tenemos experiencia en esto, en crear necesidades: nos pasó con el móvil y ya todos tenemos uno, a excepción de aquellos que resisten y a los que, personalmente, admiro profundamente. Esto funciona así: creamos una necesidad, argumentamos que es la única vía y todo solucionado. Pues no: puede que en temas de Marketing sea así en algunos casos (no soy una experta, para estos lares gente como Sara Molina, de Marketingnize es la clave), pero, afortunadamente, en temas de Derecho, no debe funcionar de esta forma. Si en Derecho todo fuera así, nos encontraríamos con soluciones salomónicas poco apropiadas: desde cortar por la mitad el piso de los que se divorcian hasta volver a los tiempos oscuros del ojo por ojo. No sé vosotros, pero no es mi plan. Voy a poner sobre la mesa las aristas de normalizar el uso de cámaras para todo, especialmente en los coles: aquellos detallitos que muchos obvian por desconocimiento o intencionadamente, pero que deben estar presentes en el debate. Sin ellos, el debate se queda corto, en mi humilde opinión. 

Cosas a poner sobre la mesa:

1) El establecimiento de un Gran Hermano por regla general.

¿Tenemos un problema? Usamos cámaras para evitarlo, directamente. Oigan, la imagen de una persona y el derecho que tiene a su esfera íntima es muy importante, no se reduce a lo que pasa en su casa. Defiendo a capa y espada tener mi parcela de intimidad dentro y fuera de casa y asumo con  relativa resignación saber que mi imagen se capta en sitios como el metro o algunas tiendas o restaurantes. Pero es que yo soy mayor de edad y mi pequeño Iuirsobri, no. Y el tener cámaras no ha evitado que siga habiendo atracos en establecimientos o que la gente se cuele en el metro: ¿va a evitar que se sigan produciendo estas situaciones tan execrables? Yo no lo creo, y aquí me agarro con fuerza a lo revelado por Snowden: una ultravigilancia no ha evitado que algunos malnacidos hagan el mal, no creo que con niños sea diferente, sinceramente. Pensemos en ello.

2) El colegio debe ser un lugar seguro, y  no olvidemos los derechos de los trabajadores.

En un centro escolar no sólo hay niños: hay personal de limpieza, profesores, el monitor del comedor, el que viene a cambiar un cristal, el padre que va a recoger al niño malo... ¿es lógico grabar a todo el mundo y establecer como norma la presunción de que todo el mundo es malo? Y hay trabajadores que aciertan y se equivocan como cualquier hijo de vecino. ¿O es que aquí nadie se equivoca en su trabajo? Donde hay que poner el dedo es en los motivos de esos errores y enmendarlos. Por lo que me comenta gente allegada que trabaja en los colegios, muchos de estos errores se deben a falta de medios y de formación específica para atajar estas situaciones. Vayamos ahí, a que los colegios tengan herramientas, directrices, a que los niños no miren a la cámara sino a los profesionales que pasan el día a día con ellos, con los que establecen una relación de confianza, de tú a tú. Fortalezcamos el calor humano y la cercanía: el colegio debe ser un sitio seguro porque es su esencia, no porque haya cámaras. No hagamos de una cámara el elemento clave de nuestra tranquilidad; el profesional puede actuar y ver cosas que una cámara no va a recoger. 

3) Los derechos de los niños.

Obvio que deben estar presentes y habrá que confrontarlos con la necesidad de los padres de estar tranquilos, más que razonable. Pero pensemos una cosa: ¿dónde van a ir esas imágenes? ¿qué pasa si acaban en manos no deseadas? Y esta última pregunta va con intención, ya que proliferan como setas los sistemas de videovigilancia laboral montados rudimentariamente: "me cojo una cámara y la conecto a mi móvil". Y me da igual que cualquiera pueda acceder libremente a esas imágenes porque no soy consciente; pero oiga, que usted no se lo plantee no implica que no pase. Con una pequeña búsqueda en internet podemos encontrar imágenes de muchos trabajadores en su día a día, incluso podemos coger unas palomitas y ver cómo un camarero le pone el café a su cliente, y podemos juzgarle desde casa: ¿ha sido lo suficientemente simpático con el cliente? ¿le ha mirado mal? . Creedme: esto pasa todos los días y no pocos jefes pasan el día colgados al teléfono para decirle a sus empleados que rectifiquen algo que acaban de hacer,  todo porque lo ha visto en las imágenes. Pasándose todo lo que viene a ser LOPD por el arco del triunfo, y haciendo de la desconfianza una dudosa bandera. Traslada esto a los coles: ¿ a quién damos acceso? ¿al director sólo, a los padres del niño que sufre, a los padres del niño que acosa o a todos los padres "por si acaso"? ¿o damos acceso a todo kiski para que vean y juzguen lo que se debe o no hacer? Incluso puede ser que pongamos en bandeja que el acoso salga de las aulas y acabemos dando más material a los acosadores. Sabemos que cuando cerramos la puerta del cole no se acaba el sufrimiento; si no podemos garantizar mínimamente que las imágenes vayan a estar seguras, es un riesgo demasiado alto, ¿no creéis?

4) La más que probable estigmatización y normalización de una conducta no apropiada.

Vuelvo al punto anterior: descontrol de las imágenes. De repente dentro de 10 años alguien reconoce a su compi de trabajo en un vídeo grabado en su edad escolar y juzga un error/sufrimiento pasado con los ojos actuales. Todo el mundo se equivoca y tiene derecho a rectificar, y más un niño. Y todo el mundo tiene derecho a querer olvidar su sufrimiento y a empezar una nueva vida. Es parte del desarrollo emocional de una persona. No quiero condenas pro-futuro: ni a ser un acosador ni a ser una victima. 

Por otra parte, acostumbrarnos a ver cámaras en los colegios nos mandará un mensaje negativo de inicio: "si hay cámaras es porque aquí hay problemas". Seamos sinceros: vemos una cámara y todos pensamos en negativo, y si esto lo ves todos los días, implicará que te acostumbres a que el hecho de que haya problemas es "normal". Y no lo es; precisamente hay que desterrarlo de todo lo que implique normalidad. Ya lo hicimos con quemar gente en la hoguera; no es tan difícil. La normalidad cambia, afortunadamente.

Al hilo de este tema, os recomiendo este reportaje en el que participa de forma genial mi querida Olga, del despacho Iuris Estudio Jurídico, en el que se aborda el tema desde diferentes perspectivas. Se agradece ver que se abre el debate y que hay algo de resistencia a la idea de necesidad que va calando.

Y para poner el punto final a este post, un llamamiento a la cordura: No caigamos en la falsa sensación de seguridad basada en el control absoluto de todo y en todo momento; ya vimos que no resultaba infalible. Utilicemos herramientas como la empatía, la confianza, la formación, la libertad... como raíces para estar seguros: somos humanos, tenemos consciencia y un bonito cerebro que igual que es capaz de lo mejor, puede sacar a relucir lo peor de nosotros. Luchemos con herramientas, no con armas. Las herramientas construyen, las armas, destruyen. Y las herramientas son una inversión pro-futuro, las armas son "soluciones" temporales. Los niños son el futuro y de nosotros depende que sean adultos acostumbrados a usar herramientas en vez de armas.

Feliz semana a todos y hasta la próxima.