Listado de la categoría: LOPD y LSSI

Nivel medio LOPD; registro de incidencias datos

/en /por

Como hemos indicado anteriormente, el Reglamento de la LOPD ha establecido los niveles de seguridad de forma acumulativa, es decir, que al Nivel de seguridad Medio se aplicarán las medidas de seguridad del Nivel Básico y aquellas que se establecen en los arts.15 a 22 del Reglamento 994/1999.

Igualmente en el Nivel Máximo aplicaremos todas las medidas del Nivel Básico y Medio, pudiendo hacer seis grandes apartados que contemplarán los puntos más importantes de la Ley y reglamentos vigentes.

IbéricaMultimedia le ofrece asesoramiento dentro de su mantenimiento informático para  cumplir con la normativa vigente en sistemas con datos de Nivel Medio en cuanto al Registro de Incidencias, ya que  Reglamento establece e informa de lo siguiente:

  • El registro regulado en el art.10 deberán consignarse, además, los procedimientos realizados de recuperación de los datos, indicando la persona que ejecutó el proceso, los datos restaurados y, en su caso, qué datos han sido necesarios grabar manualmente en el proceso de su recuperación.
  • Será necesaria la autorización por escrito del responsable del fichero para la ejecución de los procedimientos de recuperación de datos.

Nivel medio LOPD; deber de secreto y privacidad

/en /por

Como hemos indicado anteriormente, el Reglamento de la LOPD ha establecido los niveles de seguridad de forma acumulativa, es decir, que al Nivel de seguridad Medio se aplicarán las medidas de seguridad del Nivel Básico y aquellas que se establecen en los arts.15 a 22 del Reglamento 994/1999.

Igualmente en el Nivel Máximo aplicaremos todas las medidas del Nivel Básico y Medio, pudiendo hacer seis grandes apartados que contemplarán los puntos más importantes de la Ley y reglamentos vigentes.

IbéricaMultimedia le ofrece asesoramiento dentro de su mantenimiento informático para  cumplir con la normativa vigente en sistemas con datos de Nivel Medio tanto para su empresa como para sus empleados y colaboradores.

El cumplimiento del denominado deber de secreto, regulado en el artículo 10 de la LOPD, nos indica que tanto las empresas como los empresarios están obligados a guardar secreto profesional sobre los datos tratados en sus ficheros y mantener y garantizar la confidencialidad de los mismos dentro de su organización.

Se debe tener en cuenta que la ley extienda el deber de secreto a cualquier persona o entidad que intervenga en cualquiera de las fases del tratamiento de los datos, aún después de finalizar sus relaciones con el titular del fichero.

Para cumplir al menos formalmente dicho requisito, la empresa debe elaborar los contratos, cláusulas y procedimientos que les permitan dar a conocer a todos sus empleados y colaboradores su deber de secreto y las consecuencias de su incumplimiento.

Obligaciones y responsabilidades LSSI para empresas

/en /por

Obligaciones y responsabilidades para empresas con la LSSI.

Cualquier prestador de servicios relacionado con Internet en España, debería indicar en su sitio web de forma permanente, fácil, directa y gratuita los siguientes datos:

  • Nombre fiscal: Denominación social y datos de contacto, como son domicilio, dirección de correo electrónico y cualquier otro dato para obtener contacto directo y efectivo.
  • NIF, CIF y registro mercantil: Si es un particular el NIF del propietario. En caso de empresas el CIF de la empresa y si la empresa está registrada en el Registro Mercantil o cualquier otro registro nacional, se deben indicar los números de inscripción que correspondan en cada caso.
  • Autorizaciones adicionales u homologaciones: En caso de actividad que se deba ejercer con alguna autorización administrativa previa, datos relativos a la misma y la identificación inequívoca del órgano encargado de su concesión o renovación. Por ejemplo, si es una empresa de trabajo temporal para ejercer como tal deberá ser autorizada por el Sistema Nacional de Empleo y le será suministrado un número de Agencia de Colocación Autorizada. Si es un abogado, tendrá que estar colegiado y tendrá su número de colegiado. Si se necesita un título académico como para medicina, el título académico y el estado de la Unión Europea en que se expidió, o la correspondiente homologación en su caso.
  • Costes y gastos: Información veraz y sencilla sobre el precio de los productos o servicios, indicando si incluye o no los impuestos aplicables y los gastos de envío.
  • Condiciones y conducta: Los códigos de conducta a los que esté adherido, en su caso, y la forma de consultarlos electrónicamente.

 

LOPD adaptación informática y fases

/en /por

LOPD adaptación informática y fases.

IbéricaMultimedia le ofrece un asesoramiento integral dentro de su mantenimiento informático para cubrir todas las necesidades de las empresas o entidades,  relativas a la adecuada gestión y aplicación de toda la normativa vigente de la LOPD (Ley Orgánica de Protección de Datos).

Para adaptar cualquier empresa o entidad en el ámbito informática a la LOPD seguimos una serie de fases que enumeramos a continuación.

Fase 1: Información.
Información del escenario real y/o sitio web completo.

En la primera fase de nuestro plan de adaptación para su empresa u organización, el objetivo marcado por IbéricaMultimedia será el de obtener la mayor información posible sobre el escenario real y particular de cada organización y/o sitio web, especificación de los ficheros que contengan datos de carácter personal, los sistemas de información disponibles y los procedimientos implantados.

Fase 2: Auditoría.

Auditoria de seguridad informática en sistemas de información.

En esta segunda fase de adaptación a la nueva LOPD, IbéricaMultimedia realizará una auditoria de seguridad informática, sobre todos los Sistemas de Información en los que se albergan los datos de carácter personal.

Fase 3: Desarrollo.

Desarrollo procedimientos y adaptación de los existentes.

Durante esta tercera fase, IbéricaMultimedia desarrollará los procedimientos que no están actualmente en vigor en la organización, así como la adaptación de los procedimientos existentes para el cumplimiento de la LOPD.

Fase 4: Informe técnico.

Informe parcial técnico-organizativo.

Al finalizar la cuarta fase se entregará un informe detallado de los diferentes procedimientos y modificaciones tanto técnicas como organizativas, que será necesario desarrollar en la organización para garantizar el correcto cumplimiento de la normativa sobre protección de datos, analizando conjuntamente los mismos, su viabilidad y posible desarrollo  en la  organización.

Fase 5: Legal.

Fase de desarrollo de la adaptación legal

El objetivo de esta fase es el de dar cobertura legal a la organización, desarrollando o adaptando con la ayuda de IbéricaMultimedia todos aquellos contratos, cláusulas, avisos legales y recomendaciones que permitan  el correcto cumplimiento por parte de la empresa de los principios de la protección de datos, recogidos en los Titulo II, III, IV y V de la LOPD, siendo especialmente relevantes, aquellos que hacen referencia a la calidad de los datos, derecho de información en la recogida, consentimiento del afectado, datos de Salud y datos especialmente protegidos, seguridad de los datos, deber de secreto, comunicación de los datos, acceso a los datos por cuenta de terceros, derechos de las personas y movimiento internacional de datos.

Fase 6: Formación.

IbéricaMultimedia realizará y organizará cursos formativos a los responsables y empleados de su empresa u organización antes, durante y al finalizar la adaptación completa a la LOPD, para el correcto tratamiento de los datos de carácter personal dentro de su organización.

Fase 7: Registro de ficheros.

Registro de ficheros con datos carácter personal en AEPD.

Dentro de la adaptación de su organización a la nueva LOPD, se procederá al registro de sus ficheros en la Agencia Española de Protección de Datos:

  • Esto es uno de los pasos finales y se hace una vez concluidas las fases anteriores donde hemos realizado el estudio los de datos tratados en su empresa.
  • También hemos estudiado el diseño de los ficheros requeridos por la organización.
  • Pasamos a cumplimentar los formularios oficiales.
  • Obtenemos para su organización el código de registro de la Agencia Española de Protección de Datos.

 Fase 8: Documentos de seguridad.

Elaboración de documentos de seguridad y procedimientos.

IbéricaMultimedia elaborará para la adaptación de su empresa u organización a la nueva LOPD, un documento de seguridad específico:

  • Se prepara un documento según obliga el Reglamento 994/999 o el que lo sustituya.
  • La consultoría de protección de datos contendrá las medidas de seguridad, políticas y procedimientos utilizados por la empresa para cumplir con la actual LOPD.
  • Como resultado de la consultoría de protección de datos se obtendrá un documento personalizado para cada empresa.
Elaboración “anexo de las medidas de seguridad”.

IbéricaMultimedia, para finalizar la adaptación de su empresa u organización  a la  LOPD de obligado cumplimiento, debe generar también el “anexo de las medidas de seguridad“.

IbéricaMultimedia con la elaboración de este este documento dará por finalizada la adaptación a la nueva LOPD, no sin antes haber informado a la empresa y sus empleados de la normativa actual para la recogida de datos y las medidas correctivas que haya que ejecutar para cada organización en particular, tanto en la propia organización o empresa como en los sitios webs de dichas entidades.

Tendremos generada por lo tanto la siguiente documentación:

  • Registro de incidencias
  • Registro entrada/salida de soportes
  • Personal con acceso a datos personales o terceras empresas
  • Procedimiento de recuperación de datos en caso de siniestro o avería

Fase 9: Implementación.

Implementación,  medidas técnicas y organizativas.

IbéricaMultimedia en este punto revisará nuevamente junto con el responsable de la empresa u organización, todas las medidas técnicas y organizativas que fueron documentadas para comprobar que se adaptan tanto a los requerimientos de la organización como a la LOPD.

IbéricaMultimedia con esta última comprobación podrá dar por finalizada la adaptación a la LOPD, no sin antes haber informado a la empresa y sus empleados de la normativa actual para la recogida de datos y las medidas correctivas que han de ejecutar para cada organización en particular, tanto en la propia organización o empresa como en los sitios webs de dichas entidades.

Quedará generada por lo tanto la siguiente documentación:

  • Registro de incidencias
  • Registro entrada/salida de soportes
  • Personal con acceso a datos personales o terceras empresas
  • Procedimiento de recuperación de datos en caso de siniestro o avería

Fase 10: Metodología.

Metodología y Código de Buenas Prácticas de Seguridad Informática.

IbéricaMultimedia usará una metodología  tomando como base su amplia experiencia en el tratamiento de información y mantenimiento de instalaciones informáticas, para poder realizar de forma satisfactoria toda  la adaptación de su organización a la LOPD.

Los procedimientos de dicha metodología, además de cumplir con los requerimientos legales establecidos por dicha Ley, están basados en el Código de Buenas Prácticas de Seguridad Informática establecidos en la Norma UNE-ISO/IEC 17799:2002.

Así mismo toda la metodología de su empresa para la captación de datos de terceras personas, cumplirá con dichos requerimientos legales y dicho Código de Buenas Prácticas de Seguridad Informática.

En este punto IbéricaMultimedia revisará otra vez punto por punto, toda la información, documentación y procedimientos de la organización antes de cerrar el expediente de adaptación a la LOPD.

Continuidad, Servicio asesoramiento continuo LOPD.

IbéricaMultimedia en este punto tendrá acabada y finalizada la adaptación de toda su organización a la LOPD, pero puede incluir si el cliente lo requiere, la revisión y adaptación de su organización a la LOPD  de forma periódica y continuada, servicio de consultas legales, soporte para la auditoria bi-anual y una amplia gama de posibilidades de servicios relacionados.

Y siempre a la medida de nuestros clientes y cumpliendo sus expectativas.

Excepciones aplicación de la LSSI o LSSICE

/en /por

Excepciones en la aplicación de la LSSI o LSSIE.

Todas las obligaciones y reglamentación de la LSSI o LSSIE (Ley de Servicios de la Sociedad de Información y del Comercio Electrónico) se pueden no cumplir en tres casos muy concreto o excepciones:

  • Cuando hubiera una acuerdo entre ambas partes en tal sentido y ninguna de ellas tuviera la condición de consumidor.
  • Cuando el contrato se haya celebrado exclusivamente mediante el intercambio de correos electrónicos u otro medio de comunicación electrónico equivalente.
  • Cuando no haya lucro en ninguna de las partes que celebran el contrato.

 

LOPD, glosario, vocabulario, definiciones

/en /por

LOPD, glosario y  vocabulario.

IbéricaMultimedia le proporciona las definiciones del vocabulario empleado para la adaptación a la LOPD de su empresa o entidad.

Leer más

LOPD, legalización, legitimación y protección

/en /por

Legalización:

La legalización es la obligación con mayor cumplimiento a efectos estadísticos, la cual culmina con la inscripción de los ficheros que contienen datos de carácter personal objeto de tratamiento por la Organización.

Leer más

LOPD, la misión del responsable de seguridad

/en /por

Responsable de seguridad.

IbéricaMultimedia le informa que en cuanto al responsable de seguridad, el reglamento fija que el Responsable del Fichero designará uno o varios responsables de seguridad encargados de coordinar y controlar las medidas de seguridad definidas en el Documento de Seguridad.

Podemos decir que el Responsable de Seguridad es la persona encargada de velar por el cumplimiento de las medidas, reglas y normas de seguridad establecidas por el Responsable del Fichero; en la mayoría de los casos, se trata del personal de los departamentos de sistemas/informática, por contar con conocimientos técnicos que deberán complementados con un conocimiento específico en materia de Protección de Datos de Carácter Personal.

En otros casos, suele establecer varios responsables de seguridad que trabajan de forma coordinada en tres ámbitos dentro de la empresa:

  • jurídico,
  • informático y
  • gestión de calidad.

Además de definirse al/los responsables de seguridad, deberá establecerse en el Documento de Seguridad las funciones y obligaciones del Responsable de Seguridad, entre las que podemos fijar las siguientes:

  • Velar por el cumplimiento de las normas de seguridad contenidas en el Documento de Seguridad.
  • Determinar y describir los recursos informáticos a los que se aplicará el Documento de Seguridad.
  • Establecer y comprobar la aplicación del procedimiento de notificación, tratamiento y registro de incidencias.
  • Establecer y comprobar la aplicación del procedimiento de realización de copias de respaldo y recuperación de datos y su periodicidad.
  • Elaborar y mantener actualizada la lista de usuarios que tengan acceso autorizado al Sistema Informático, con especificación del nivel de acceso que tiene cada usuario.
  • Establecer y comprobar la aplicación del procedimiento de identificación y autenticación de usuarios, así como la asignación, distribución y almacenamiento de las contraseñas de acceso.
  • Establecer y comprobar la aplicación del procedimiento de cambio periódico de las contraseñas de los usuarios del sistema.
  • Establecer y comprobar la aplicación de un sistema que limite el acceso de los usuarios únicamente a aquellos datos y recursos que precisen para el desarrollo de sus funciones.
  • Establecer y comprobar la aplicación de los mecanismos necesarios para evitar que un usuario pueda acceder a datos o recursos con derechos distintos a los autorizados.
  • Conceder, alterar, anular el acceso autorizado a los datos y recursos, de acuerdo con los criterios establecidos por el Responsable del Fichero.
  • Velar por el cumplimiento de las normas de seguridad, comunicando al Responsable del Fichero las infracciones cometidas.
  • Establecer los controles periódicos y auditorias necesarias para comprobar el nivel de cumplimiento del documento.

También establece expresamente el Reglamento, en el artículo 16, que en ningún caso el Responsable de Seguridad será responsable de las infracciones cometidas por el incumplimiento de la normativa vigente en materia de protección de datos, puesto que la responsabilidad corresponde únicamente al responsable del fichero.

Competencias de la Agencia Española de Protección de Datos

/en , , , , /por

LSSI y LGT en España.

La Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones (LGT), y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), modificada por la LGT y por la Ley 59/2003, de 19 de diciembre, de Firma Electrónica, ampliaron las competencias de la Agencia Española de Protección de Datos.

La Ley General de Telecomunicaciones atribuye a la Agencia la tutela de los derechos y garantías de abonados (persona física o jurídica con contrato con el operador) y usuarios (quienes utilizan los servicios sin haberlos contratado) en el ámbito de las comunicaciones electrónicas, encomendándole la imposición de sanciones por vulneración en la prestación de los servicios de comunicaciones electrónicas de los siguientes derechos:

  • A que se hagan anónimos o se cancelen sus datos de tráfico cuando ya no sean necesarios a los efectos de la transmisión de una comunicación. Los datos de tráfico necesarios a efectos de la facturación de los abonados y los pagos de las interconexiones podrán ser tratados únicamente hasta que haya expirado el plazo para la impugnación de la factura del servicio o para que el operador pueda exigir su pago.
  • A que sus datos de tráfico sean utilizados con fines comerciales o para la prestación de servicios de valor añadido únicamente cuando hubieran prestado su consentimiento informado para ello.
  • A recibir facturas no desglosadas cuando así lo solicitasen (*).
  • A que sólo se proceda al tratamiento de sus datos de localización distintos a los datos de tráfico cuando se hayan hecho anónimos o previo su consentimiento informado y únicamente en la medida y por el tiempo necesarios para la prestación, en su caso, de servicios de valor añadido, con conocimiento inequívoco de los datos que vayan a ser sometidos a tratamiento, la finalidad y duración del mismo y el servicio de valor añadido que vaya a ser prestado.
  • A detener el desvío automático de llamadas efectuado a su terminal por parte de un tercero (*).
  • A impedir, mediante un procedimiento sencillo y gratuito, la presentación de la identificación de su línea en las llamadas que genere.
  • A impedir, mediante un procedimiento sencillo y gratuito, la presentación de la identificación de su línea al usuario que le realice una llamada (*).
  • A impedir, mediante un procedimiento sencillo y gratuito, la presentación de la identificación de la línea de origen en las llamadas entrantes y a rechazar las llamadas entrantes en que dicha línea no aparezca identificada (*).
  • A no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de venta directa sin haber prestado su consentimiento previo e informado para ello.
  • Además se garantizará a los abonados el derecho a no figurar en las guías ni en los servicios que informan sobre ellos. De este modo, se requerirá el consentimiento expreso para la inclusión por primera vez de datos en las citadas guías, y el consentimiento tácito para las sucesivas publicaciones. No obstante, y en relación con datos incluidos en la guía ya existente a que se refiere el artículo 30 del RD 424/2005, bastará con que tras la recepción de la comunicación que recibirá solicitándole si quiere mantener sus datos en la guía, el abonado no se oponga expresamente a dicha inclusión en el plazo de un mes. Para la inclusión de más datos de los mencionados en el artículo 30* del RD 424/2005 se exigirá el consentimiento expreso, tanto para la primera vez como para las sucesivas.

* Debe figurar, al menos, la siguiente información: a) Nombre y apellidos, o razón social. b) Número o números de abonado. c) Dirección postal del domicilio, excepto piso, letra y escalera. d) Terminal específico que deseen declarar, en su caso. e) Nombre del operador que facilite el acceso a la red.

(*) Estos derechos sólo están reconocidos por la LGT para los abonados a servicios de comunicaciones electrónicas.

LSSI, LSSICE.

La Ley de Servicios de la Sociedad de la Información establece que corresponde a la Agencia, la imposición de sanciones en el caso de infracciones por el envío de comunicaciones comerciales no solicitadas realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes, sin cumplir las siguientes previsiones:

  • Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas, salvo que exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente.

(*) En cualquier caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija.

  • El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado, y deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos.
  •  Cuando los prestadores de servicios empleen dispositivos de almacenamiento y recuperación de datos en equipos terminales (cookies), informarán a los destinatarios de manera clara y completa sobre su utilización y finalidad, ofreciéndoles la posibilidad de rechazar el tratamiento de los datos mediante un procedimiento sencillo y gratuito.

Lo anterior no impedirá el posible almacenamiento o acceso a datos con el fin de efectuar o facilitar técnicamente la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.

(*) Esta previsión ha sido introducida por la LGT, encontrándose en vigor desde el día 5 de noviembre de 2003. Asimismo, esta ley ha endurecido el régimen de infracciones y sanciones previsto en la LSSI en aquellos casos en los que se produzcan envíos masivos de spam, o remisiones a un mismo destinatario, en el plazo de un año, de más de tres comunicaciones comerciales no deseadas por medios electrónicos.

LSSI e información con respecto al SPAM.

Las sanciones previstas en la Ley de Servicios de la Sociedad de la Información respecto del Spam son también aplicables cuando no se respeta el derecho de los abonados a no recibir llamadas automáticas sin intervención humana o mensajes de fax con fines de venta directa sin haber prestado su consentimiento previo e informado para ello.

Investigar los casos de Spam se está convirtiendo en una tarea cada vez más complicada, en tanto en cuanto los spammers contratan piratas informáticos para ocultar su verdadera identidad (spoofing). Los proveedores de servicios de Internet (ISP) suelen ser diligentes a la hora de cortar el servicio a los spammers cuando constatan que se generan correos basura desde sus redes.

Si tiene conocimiento del país a partir del cual se emite el Spam, puede indicarlo a las autoridades interesadas. Tratándose de Spam emitido en un Estado de la Unión Europea, los datos del conjunto de las autoridades europeas de protección de datos están disponibles en la página web de la AEPD. Si el envío de Spam se ha realizado desde los Estados Unidos de Norteamérica, pueden transferir los mensajes no solicitados al Departamento del Comercio Americano (Federal Trade Commission) que propone un procedimiento de alerta en su página web www.ftc.gov y con el que la Agencia Española de Protección de Datos ha suscrito un Acuerdo de Colaboración .

En la sección Denuncias y Reclamaciones de nuestra página web encontrará información acerca de cómo presentar una denuncia ante la Agencia. Antes de poner en conocimiento de la AEPD un caso de Spam, asegúrese de que no se trata de una comunicación comercial solicitada.

Otras entidades homólogos a la APD en España.

A continuación encontrará las direcciones web de los organismos homólogos de la Agencia Española de Protección de Datos, muchos de ellos con competencia en la lucha anti-spam.

  • Austria: Austrian Data Protection Authority
  • Bélgica: Privacy Protection Commission
  • Chipre: Office of the Commissioner for Personal Data Protection.
  • Dinamarca: Danish Consumer Ombudsman
  • Eslovaquia: Slovak Personal Data Protection
  • Estonia: Estonian Data Protection Inspectorate
  • Finlandia: Data Protection Ombudsman
  • Francia: Commission Nationale de l’informatique et des Libertés (CNIL)
  • Grecia: Hellenic Data Protection Authoritie
  • Hungría: Data Protection and Freedom of Information Commissioner of Hungary
  • Irlanda: Data Protection Commissioner
  • Italia: Garante per la protezione dei dati personali
  • Letonia: Datu valsts inspekcijas
  • Lituania: Valstybin? duomen? apsaugos inspekcija
  • Luxemburgo: Commission nationale pour la protection des données
  • Malta: Data Protection Commissioner
  • Paises Bajos: College bescherming persoonsgegevens
  • Polonia: Inspector General for the Protection of Personal Data
  • Portugal: Comissão Nacional de Protecção de Dados
  • República Checa: Office for Personal Data Protection
  • Suecia: Swedish Data Inspection Board

Spam, soluciones internacionales a un problema internacional.

/en , , , , /por

Desde que, en 2003, la Agencia Española de Protección de Datos se encarga de velar por el cumplimiento de la Ley de Servicios de la Sociedad de la Información y la Ley General de Telecomunicaciones, otorgándosele la misión competencial de supervisión en materia de comunicaciones comerciales no solicitadas (Spam), se ha ampliado y promovido su actividad internacional, ya que en virtud del artículo 37.1 de la LOPD este organismo debe ejercer la cooperación internacional necesaria para cumplir las funciones que le han sido encomendadas.

Efectivamente el problema del Spam, por la propia naturaleza de Internet y la evolución tecnológica de los medios a través de los cuales se produce, es un problema eminentemente internacional frente al que hay que actuar con medidas de participación internacional, sincronizadas y adoptadas conjuntamente por todos los implicados, de acuerdo con todas las legislaciones, que en ocasiones no regulan esta materia de una misma forma.

Para la consecución de esta cooperación internacional se han firmado varios documentos de colaboración y asistencia recíproca con las instituciones que tienen encomendada esa función de supervisión en diferentes países, tanto a nivel comunitario como extracomunitario.

Relaciones con Europa.

En el ámbito intraeuropeo, la Agencia Española de Protección de Datos forma parte del grupo Contact Network of Spam Authorities (CNSA). Este grupo está compuesto por las Autoridades nacionales responsables de la regulación y control de las comunicaciones no solicitadas de la Unión Europea y del Espacio Económico Europeo. En la última reunión celebrada en Bruselas se acordó la redacción de un documento con el objetivo de establecer un marco intraeuropeo para el intercambio de información sobre denuncias sobre Spam entre autoridades competentes, con indicaciones claras sobre lo que hay que hacer cuando se recibe una denuncia. El punto común de estos países es el artículo 13 de la Directiva 2002/58/CE.

Dicho documento se aprobó en diciembre de 2004 y en el mismo se establece un procedimiento de cooperación en la transmisión de información referente a la aplicación del artículo 13 de la Directiva 2002/58/CE o de cualquier otra legislación nacional aplicable que se refiera a las comunicaciones comerciales no solicitadas.

En virtud de este acuerdo, se aprobaron las siguientes formas de colaboración:

  • Al recibir una queja internacional, y antes de remitirlo a la Autoridad Nacional Competente, la Autoridad Nacional ha de verificar que la denuncia es viable y que se trata de una persona física. Asimismo se ha de informar al denunciante de la cesión de sus datos personales a otra Autoridad. Las diferentes autoridades que tengan información sobre la contravención de la normativa sobre Spam en otra jurisdicción nacional, compartirán dicha información con la Autoridad competente.
  • Establecer el marco de cooperación entre autoridades y el reparto de las denuncias.
  • Mantener el secreto de las informaciones y denuncias, eliminando cualquier información sensible que haya comunicado una Autoridad a otra, de acuerdo a la legislación nacional aplicable.
  • Este texto no es vinculante sobre las legislaciones nacionales o internacionales.

Relaciones con Estados Unidos.

Con esta idea de cooperación global, se ha firmado con la Comisión Federal del Comercio de los Estados Unidos (Federal Trade Commission– FTC) un Acuerdo de Cooperación Administrativa para luchar contra el Spam- Memorando Of Understanding (MOU)-, organismo federal con competencias supervisoras y de control en los Estados Unidos. En virtud de este Convenio ambas partes acuerdan las siguientes formas de colaboración:

  • Facilitar la formación de usuarios y empresas en relación con el Spam.
  • Promover códigos de conducta sobre buenas prácticas.
  • Intercambiar información sobre las soluciones técnicas más avanzadas y mantenerse informados de las novedades.
  • Colaborar con las universidades de los respectivos países para promover la investigación, conferencias y cursos formativos sobre la materia.
  • Prestarse asistencia mutua en sus investigaciones.

La lucha contra el Spam en los Estados Unidos parte de una realidad normativa muy distinta a la europea. Básicamente, en este país se establece un sistema de opt-out en la Ley que regula este tipo de comunicaciones, la “CAN-SPAM Act”.

Relaciones multilaterales.

La AEPD ha participado en grupos de trabajo multilaterales contra el Spam y con esta finalidad se reunió en Londres en octubre de 2004, junto con otros responsables mundiales de la lucha contra Spam(agencias independientes y ministerios responsables) y sectores industriales implicados.

En este grupo de trabajo se reunieron los presidentes de la Comisión Federal de Comercio de los Estados Unidos (Federal Trade Commission– FTC), de la Comisión de Información del Reino Unido, de la Comisión de Libre Comercio del Reino Unido, la Comisión Nacional de Libertades e Información de Francia, el Regulador de las Telecomunicaciones de Países Bajos, el Director de la Oficina Australiana de Defensa del Consumidor y Competencia, el Director de la Agencia Española de Protección de Datos y el responsable internacional de la FTC.

Fruto de esta reunión se redactó una declaración final para iniciar un plan conjunto de actuación conocido como “London Action Plan” (LAP), que fue suscrito por 19 organismos e instituciones procedentes de 15 países distintos.

El LAP tiene por objeto desarrollar contactos internacionales para investigar casos de Spam y todos aquellos problemas conexos con el mismo. Los suscriptores del LAP hemos sido mayoritariamente Agencias y Comisiones Nacionales, y hemos asumido los compromisos suficientes para:

  • Impulsar y favorecer la comunicación entre nosotros para supervisar más eficazmente el cumplimiento de la ley.
  • Organizar conferencias periódicas para debatir: casos, desarrollos normativos, investigaciones, nuevas técnicas y formas de eliminar obstáculos en la investigación de casos de Spam. Informar y educar a los usuarios y consumidores.
  • Favorecer el dialogo con las agencias públicas y el sector privado para actuar conjuntamente e impulsar iniciativas de cooperación.

Relaciones con Iberoamérica.

La Agencia también ha querido fortalecer los lazos y fijar posiciones comunes en torno a la protección de datos personales en los países de Iberoamérica y para ello participó muy activamente, en el año 2004, en el III Encuentro Iberoamericano, que se celebró en Cartagena de Indias (Colombia). Este encuentro, que contó con la colaboración de la Agencia Española de Cooperación Internacional (AECI) y la Fundación Internacional y para Iberoamérica de Políticas Públicas (FIIAPP), reunió a más de 40 autoridades y destacados representantes de la esfera pública y privada de 15 países Iberoamericanos (Argentina, Brasil, Chile, Costa Rica, Colombia, El Salvador, Ecuador, España, México, Nicaragua, Perú, Panamá, Portugal, Uruguay y Venezuela). Entre otros temas de esta reunión, se trataron los ataques a la privacidad en el sector de las telecomunicaciones e Internet y la lucha contra el Spam, acordándose las siguientes actuaciones:

  • Fijar medidas técnicas y legislativas para evitar el Spam que disciplinen la lucha en este sentido.
  • Promover una colaboración internacional, estableciendo un marco homogéneo.
  • Propiciar iniciativas de autorregulación sectorial que complementen y faciliten la ampliación del marco regulatorio sobre la materia.

Fruto de este Encuentro se aprobaron unas conclusiones que se incluyen en la Declaración final aprobada (Declaración de Cartagena de Indias), que analizan y acercan enfoques comunes en torno a los grandes temas analizados.

Spam, foros internacionales en los que se involucra España.

Existen además otros foros internacionales en los que España participa y colabora activamente, como son los siguientes:

  • ITU- Unión Internacional de Telecomunicaciones. Para saber más acerca de este foro, puede acceder a él mediante el siguiente hipervínculo.: http://www.itu.int.
  • La UIT fue el organismo de las Naciones Unidas encargado de dirigir la organización de la Cumbre Mundial sobre la Sociedad de la Información. La Agencia ha participado en Acciones de Cooperación Internacional con el fin de generar confianza y seguridad en la utilización de las TIC. Además la Agencia trabaja en diversas iniciativas en la lucha contra el Spam.
  • OECD Task Force. En este foro los objetivos van encaminados a dar una repuesta internacional en las distintas políticas y a coordinar la lucha contra el Spam, alentado y promoviendo medidas para combatir el Spam y códigos de buenas prácticas en el sector de la industria y negocio, así como facilitar la aplicación de las leyes fronterizas. Se celebró el pasado año un taller en Bruselas para combatir el Spam, en el que participaron tanto Autoridades de Regulación como representantes del sector privado, analizándose los aspectos técnicos y socioeconómicos del Spam. Para obtener más información puede realizar la siguiente búsqueda en Internet: «OECD Work on Spam».

Spam, glosario de términos y vocabulario.

/en , , , , , /por

Acuse de recibo:

Un tipo de mensaje que se envía para indicar que un correo ha llegado a su destino sin errores. Un acuse de recibo puede también ser negativo, es decir, indicar que un bloque de datos no ha llegado a su destino.

Antivirus:

Programa de ordenador que permite detectar y eliminar virus informáticos.

Can-Spam Act:

Ley federal por la que se encuadra la práctica del spamming en Estados Unidos, de 16 de diciembre de 2003 que entró en vigor el 1 de enero 2004. Este texto prevé un mecanismo de derecho de oposición (opt out). Este texto prohíbe explícitamente los mensajes engañosos (utilización de falsas direcciones de expedición o el hecho de camuflar la naturaleza del mensaje) y la publicidad falsa del contenido del mensaje. Can-Spam Act responde al acrónimo de “Controlling the Assault of Non-SolicitedPornography and Marketing Act”.

Cookies:

Conjunto de datos que envía un servidor Web a cualquier navegador que le visita, con información sobre la utilización que se ha realizado, por parte de dicho navegador, de las páginas del servidor, en cuanto a dirección IP del navegador, dirección de las páginas visitadas, dirección de la página desde la que se accede, fecha, hora, etc. Esta información se almacena en un fichero en el ordenador del usuario para ser utilizada en una próxima visita a dicho servidor. Además, existen servidores que restringen la utilización de determinadas funcionalidades de sus servicios o, incluso, deniegan el uso de los mismos si el usuario decide no aceptar la grabación o colocación de la cookie en su ordenador.

Cortafuegos:

Sistema de seguridad que permite controlar las comunicaciones entre redes informáticas. Instalado entre Internet y una red local permite evitar en esta última accesos no autorizados, protegiendo con ello su información interna.

Dirección de correo electrónico o e-mail:

Serie de caracteres, numéricos o alfanuméricos, que identifican un determinado recurso de forma única y permiten acceder a él. La dirección de correo electrónico está considerada como dato personal, ya que puede permitir la identificación del usuario de la misma.

Filtros:

Permiten ordenar el correo entrante basándose en una serie de reglas definidas previamente.

Hoax:

Del inglés, engaño o bulo.

Https:

Versión segura del protocolo http. El sistema HTTPS usa un cifrado basado en las Secure Socket Layers (SSL) para crear un canal más apropiado para el tráfico de información personal que el protocolo HTTP. Se utiliza normalmente por entidades bancarias, tiendas on line, y cualquier tipo de servicio que requiera el envío de datos personales o contraseñas.

IRC:

Siglas de Internet Relay Chat, protocolo de comunicaciones que permite participar en conversaciones virtuales en tiempo real (véase Sala de Chat).

ISP:

Del inglés, Proveedor de Servicios a Internet.

Lista negra:

Mecanismo de control de identificación que permite diferenciar entre personas que pueden acceder a un determinado servicio de otros que, constando en dicha lista, no pueden acceder.

Opt-in:

Sólo mediante la petición expresa del particular, se podrá enviar comunicaciones comerciales. Se prohíbe todo tipo de comunicación comercial no consentida. Este es el mecanismo adoptado por las últimas Directivas Europeas. La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 202, relativa al tratamiento de datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, transpuesta a nuestro derecho interno por la Ley 32/2003 General de Telecomunicaciones.

Opt-out:

Permite el envío libre de este tipo de comunicaciones siempre que permita al destinatario del mismo solicitar la exclusión de la lista de envíos. Esta era la antigua tendencia europea con respecto a la prestación del consentimiento, tal y como se preveía en la Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de sociedad de la información y en particular el comercio electrónico en el mercado interior. En Estados Unidos sigue siendo el sistema legislativo vigente.

Phishing:

Es la contracción de “password harvesting fishing” (cosecha y pesca de contraseñas).

Red:

Conjunto de máquinas conectadas para intercambiar información entre sí.

Sala de Chat:

Lugar virtual de la red, llamado también canal, donde los usuarios se reúnen para charlar con otros que se encuentran en la misma sala.

Spam:

Véase “Qué es Spam”

Spammer:

La persona o compañía que realiza el envío de Spam.

Spamming lists:

Listas comerciales. Listas de direcciones de correo para envío de publicidad de forma masiva.

Spoofing:

Suplantación de la identidad de un tercero. Aunque puede producirse en diferentes entornos uno de los más habituales en los que aparece con frecuencia es en el envío masivo de Spam.

URL:

El URL es la cadena de caracteres con la cual se asigna dirección única a cada uno de los recursos de información disponibles en Internet.

Virus informático:

Programa de ordenador que puede infectar otros programas o modificarlos para incluir una copia de sí mismo. Los virus se propagan con distintos objetivos, normalmente con finalidades fraudulentas y realizando daños en los equipos informáticos.

Web bug:

También se denominan “micro espías” o “pulgas” y son imágenes transparentes dentro de una página web o dentro de un correo electrónico con un tamaño de 1×1 pixeles. Al igual que ocurre con lascookies, se utilizan para obtener información acerca de los lectores de esas páginas o los usuarios de los correos, tales como la dirección IP de su ordenador, el tipo y versión de navegador del internauta, el sistema operativo, idioma, cuanta gente ha leído el correo, etc.

Google condenada en Francia a retirar enlaces vídeo pornográfico profesora

/en , /por

Fuente: 16-03-2011 (Barcelona-CIBERPAIS-elpais.com)

La demandante alega que fue grabado cuando tenía 18 años y puesto en Internet sin su consentimiento.

Un tribunal de Montpeller ha condenado a Google a retirar de la lista de resultados que ofrece su buscador los enlaces a un vídeo pornográfico protagonizado por una persona que actualmente es profesora. La demandante, Marie C., alegaba que al colocar su nombre o términos como “escuela de Laetitia”, el buscador enviaba al internauta a sitios pornográficos donde se ofrecía este vídeo pornográfico de aficionados.

Algunos sitios aseguran que la demandante era en aquel entonces actriz porno amateur.

La profesora exponía en la demanda que mostrar estos enlaces constituía un atentado a su vida privada, tratamiento ilícito de datos personales y un perjuicio a su imagen en la medida que sus alumnos, amigos o familiares podían conocer este episodio del pasado.

Se trata en definitiva de reconocer el derecho al olvido, un tema sometido a notables disputas doctrinales.

Aunque Google no es quien publica los citados contenidos, el juez considera que al asociar un nombre de búsqueda a estos resultados lo hace responsable de la violación de la vida privada.

El tribunal rechaza que se trate de una ofensa al derecho a la propia imagen porque Google no es el editor de los sitios que publican el mencionado vídeo.

El tribunal defiende el derecho de una persona a solicitar la desindexación de páginas y rechaza el argumento de Google de que su retirada supondría un atentado a la libertad de expresión. El tribunal considera esta restricción justificada para respetar la vida privada de la demandante.

En España, esta polémica está igualmente viva. La Audiencia Nacional tiene en sus manos un contencioso entre Google España y la Agencia Española de Protección de Datos (AEPD) sobre quién debe retirar de Internet un enlace a una información o dato sobre una persona cuando ésta lo reclama.

En la actualidad hay más de 90 casos planteados por la AEPD y unos 60 recursos de Google contra resoluciones de la citada agencia reclamándole la retirada de enlaces que considera sensibles y perjudiciales para el peticionario. Cinco de estos casos han llegado a la Audiencia Nacional que probablemente eleve una consulta al Tribunal Europeo.

El conflicto se repite casi siempre en los mismos términos. Una persona, física o jurídica, se considera perjudicada porque una noticia o documento, por ejemplo una sentencia, siga viva en la red a pesar de que las circunstancias de aquella noticia o caso han variado…y solicita la retirada del enlace.

La Agencia Española de Protección de Datos considera que no puede obligarse a la fuente de la noticia o documento a retirarla porque ello alteraría el propio historial y se dirige al buscador para que deje de presentar el enlace.

Google sostiene que su tarea es rastrear lo que ofrece la red y su papel es el de listar lo que existe, no censurarlo. La empresa sostiene que es la fuente quien debe reaccionar ante una petición de este tipo retirando el archivo, o en el caso de que ello no proceda, bloqueando el acceso a la página por parte de los buscadores. Existen herramientas, como los robots txt, que lo hacen.