ASPECTOS LEGALES DE INTERNET Y LA PUBLICIDAD EN EL ENTORNO DIGITAL

Transcripción

1 ASPECTOS LEGALES DE INTERNET Y LA PUBLICIDAD EN EL ENTORNO DIGITAL ENTORNO LEGAL Comunidad Valenciana 1

2 LSSICE LOPD LSSICE LGTEL CONSUMO Ley 34/1988, de 11 de noviembre, General de Publicidad. Ley 3/1991, de 10 de enero, de Competencia Desleal. Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal y su reglamento de desarrollo. Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico. Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios. Texto refundido de la ley general para la defensa de los consumidores y usuarios y otras leyes complementarias. Comunidad Valenciana 2

3 SI ALGUN PRINCIPIO HAY CLARO.. <EL PODER DE CONTROL> Comunidad Valenciana 3

4 OBJETIVO: Que cada individuo tenga un poder de disposición sobre sus datos personales de manera que en todo momento conozca y pueda controlar: - Dónde están sus datos - A qué tratamiento están sujetos - Quien responde del tratamiento - Finalidad del tratamiento - Destinatarios de los datos - Cómo ejercer los derechos ARCO - Cómo impedir o poner fin: (i) Al tratamiento y (ii) al uso de los mismos. OBJETIVO: Recibir o no recibir publicidad con independencia del canal o medio de recepción de la publicidad: -Postal - Electrónica -sms - Telefónica -Viral... Comunidad Valenciana 4

5 SE CONSIDERA SPAM Actualmente se denomina spam a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por spam cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada entre el público en general es el correo electrónico. Comunidad Valenciana 5

6 SE CONSIDERA DESLEAL Se considera desleal por agresivo realizar visitas en persona al domicilio del consumidor o usuario, ignorando sus peticiones para que el empresario o profesional abandone su casa o no vuelva a personarse en ella. Igualmente se reputa desleal realizar propuestas no deseadas y reiteradas por teléfono, fax, correo electrónico u otros medios de comunicación a distancia, salvo en las circunstancias y en la medida en que esté justificado legalmente para hacer cumplir una obligación contractual. financieros. El empresario o profesional deberá utilizar en estas comunicaciones sistemas que le permitan al consumidor dejar constancia de su oposición a seguir recibiendo propuestas comerciales de dicho empresario o profesional. Este supuesto se entenderá sin perjuicio de lo establecido en la normativa vigente sobre protección de datos personales, servicios de la sociedad de la información, telecomunicaciones y contratación a distancia con los consumidores o usuarios, incluida la contratación a distancia de servicios financieros. Comunidad Valenciana 6

7 CONSTITUYE UNA INFRACCIÓN EN MATERIA DE CONSUMO l) El uso de prácticas comerciales desleales con los consumidores o usuarios b) El incumplimiento de las obligaciones que la regulación de contratos celebrados a distancia impone en materia de información y documentación que se debe suministrar al consumidor y usuario, de los plazos de ejecución y de devolución de cantidades abonadas, el envío, con pretensión de cobro, de envíos no solicitados por el consumidor y usuario y el uso de técnicas de comunicación que requieran el consentimiento expreso previo o la falta de oposición del consumidor y usuario, cuando no concurra la circunstancia correspondiente. CONSTITUYE UNA INFRACCIÓN DE CARÁCTER GRAVE EN MATERIA DE PROTECCIÓN DE DATOS b) Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. Comunidad Valenciana 7

8 Y TODO ESTO POR ENVIAR PUBLICIDAD Ley general publicidad (PUBLICIDAD) LSSICE (COMUNICACIÓN COMERCIAL) Toda forma de comunicación realizada por una persona física o jurídica, pública o privada, en el ejercicio de una actividad comercial, industrial, artesanal o profesional, con el fin de promover de forma directa o indirecta la contratación de bienes muebles o inmuebles, servicios, derechos y obligaciones. Toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional.. Aunque no se trate de promover la contratación Comunidad Valenciana 8

9 no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica Principio general y prácticas comerciales (LGCU) 1. Los legítimos intereses económicos y sociales de los consumidores y usuarios deberán ser respetados en los términos establecidos en esta norma, aplicándose, además, lo previsto en las normas civiles, mercantiles y las demás normas comunitarias, estatales y autonómicas que resulten de aplicación. 2. las prácticas comerciales de los empresarios dirigidas a ellos están sujetas a lo dispuesto en esta ley, en la Ley de Competencia Desleal y en la Ley de Ordenación del Comercio Minorista. Comunidad Valenciana 9

10 PRACTICAS COMERCIALES? Se consideran prácticas comerciales de los empresarios con los consumidores y usuarios todo acto, omisión, conducta, manifestación o comunicación comercial, incluida la publicidad y la comercialización, directamente relacionada con la promoción, la venta o el suministro de un bien o servicio a los consumidores y usuarios, con independencia de que sea realizada antes, durante o después de una operación comercial. REQUISITOS OFERTAS COMERCIALES BIENES O SERVICIOS (LGCU) Las prácticas comerciales que, de un modo adecuado al medio de comunicación utilizado, incluyan información sobre las características del bien o servicio y su precio, posibilitando que el consumidor o usuario tome una decisión sobre la contratación, deberán contener, si no se desprende ya claramente del contexto, al menos la siguiente información: a) Nombre, razón social y domicilio completo del empresario responsable de la oferta comercial y, en su caso, nombre, razón social y dirección completa del empresario por cuya cuenta actúa. Comunidad Valenciana 10

11 ..tome una decisión sobre la contratación b) Las características esenciales del bien o servicio de una forma adecuada a su naturaleza y al medio de comunicación utilizado. c) El precio final completo, incluidos los impuestos, desglosando, el importe de los incrementos o descuentos aplicables y los gastos adicionales que se repercutan al consumidor. Si, debido a la naturaleza del bien o servicio, no puede fijarse con exactitud el precio en la oferta comercial, deberá informarse sobre la base de cálculo que permita al consumidor o usuario comprobar el precio. Igualmente, cuando los gastos adicionales que se repercutan al consumidor o usuario no puedan ser calculados de antemano por razones objetivas, debe informarse del hecho de que existen dichos gastos adicionales y, si se conoce, su importe estimado. d) Los procedimientos de pago, plazos de entrega y ejecución del contrato y el sistema de tratamiento de las reclamaciones, cuando se aparten de las exigencias de la diligencia profesional, entendiendo por tal la definida en el artículo 4.1 de la Ley de Competencia Desleal. e) En su caso, existencia del derecho de desistimiento. Comunidad Valenciana 11

12 DILIGENCIA PROFESIONAL Diligencia Profesional (LCD) Competencia y cuidados especiales que cabe esperar de un empresario conforme a las prácticas honestas del mercado, que distorsione o pueda distorsionar de manera significativa el comportamiento económico del consumidor medio. Comunidad Valenciana 12

13 En definitiva, no distorsionar de manera significativa el comportamiento económico del consumidor medio utilizando una práctica comercial para mermar de manera apreciable su capacidad de adoptar una decisión con pleno conocimiento de causa, haciendo así que tome una decisión sobre su comportamiento económico que de otro modo no hubiera tomado. LSSICE Las comunicaciones comerciales realizadas por vía electrónica deberán ser claramente identificables como tales, y la persona física o jurídica en nombre de la cual se realizan también deberá ser claramente identificable. En los supuestos de ofertas promocionales que incluyan descuentos, premios y regalos, y de concursos o juegos promocionales, se deberá asegurar, además las condiciones de acceso y, en su caso, de participación sean fácilmente accesibles y se expresen de forma clara e inequívoca. Comunidad Valenciana 13

14 Queda prohibido el envío de comunicaciones comerciales en las que se disimule o se oculte la identidad del remitente por cuenta de quien se efectúa la comunicación o que contravengan lo dispuesto en este artículo, así como aquéllas en las que se incite a los destinatarios a visitar páginas de Internet que contravengan lo dispuesto en este artículo.. LGCU (sobre comunicaciones comerciales a distancia) En todas las comunicaciones comerciales a distancia deberá constar inequívocamente su carácter comercial. En el caso de comunicaciones telefónicas, deberá precisarse explícita y claramente, al inicio de cualquier conversación con el consumidor y usuario, la identidad del empresario, o si procede, la identidad de la persona por cuenta de la cual efectúa la llamada, así como indicar la finalidad comercial de la misma. En ningún caso, las llamadas telefónicas se efectuarán antes de las 9 horas ni más tarde de las 21 horas ni festivos o fines de semana. Comunidad Valenciana 14

15 La utilización por parte del empresario de técnicas de comunicación que consistan en un sistema automatizado de llamadas sin intervención humana o el telefax necesitará el consentimiento expreso previo del consumidor y usuario. El consumidor tendrá derecho a no recibir,sinsuconsentimiento, llamadas con fines de comunicación comercial que se efectúen mediante sistemas con intervención humana, cuando (i) hubiera decidido no figurar en las guías de comunicaciones electrónicas disponibles al público, (ii) ejercido el derecho a que los datos que aparecen en ellas no sean utilizados con fines de publicidad o prospección comercial, (iii) o solicitado la incorporación a los ficheros comunes de exclusión de envío de comunicaciones comerciales regulados en la normativa de protección de datos personales. El consumidor tiene derecho a oponerse a recibir ofertas comerciales no deseadas, por teléfono, fax u otros medios de comunicación equivalente gratuitamente. Debe ser informado en cada una de las comunicaciones comerciales de los medios sencillos y gratuitos para oponerse a recibirlas. Comunidad Valenciana 15

16 ADEMÁS EN LAS OFERTAS TELEFÓNICAS: Las llamadas deben llevarse a cabo desde un nº teléfono identificable. Cuando el usuario reciba la primera oferta comercial deberá ser informado de (i) derecho a manifestar su oposición a recibir nuevas ofertas de (ii) derecho a obtener el nº referencia de dicha oposición. A solicitud del consumidor el empresario le facilitará un justificante de haber manifestado su oposición en el plazo más breve posible y en todo caso en el plazo máximo de un mes. El empresario conservará al menos un año los datos relativos a los usuarios que hayan ejercido su dº a oponerse a recibir ofertas comerciales, con el nº de referencia otorgado a cada uno de ellos, y deberá ponerlos a disposición de las autoridades competentes. DESLEAL POR AGRESIVO. Realizar visitas en persona al domicilio del consumidor o usuario, ignorando sus peticiones para que el empresario o profesional abandone su casa o no vuelva a personarse en ella. Realizar propuestas no deseadas y reiteradas por teléfono, fax, correo electrónico u otros medios de comunicación a distancia, salvo en las circunstancias y en la medida en que esté justificado legalmente para hacer cumplir una obligación contractual. El empresario deberá utilizar sistemas que le permitan al consumidor dejar constancia de su oposición a seguir recibiendo propuestas comerciales de dicho empresario o profesional. Comunidad Valenciana 16

17 . Todo esto se entenderá sin perjuicio de lo establecido en la normativa vigente sobre protección de datos personales, servicios de la sociedad de la información, telecomunicaciones y contratación a distancia con los consumidores o usuarios, incluida la contratación a distancia de servicios financieros. DILIGENCIA PROFESIONAL POSTAL RRSS MAIL WEB SISTEMAS MENSAJERÍA INTERNA INVITAR A UN AMIGO VIRAL APP Comunidad Valenciana 17

18 APLICACIÓN DE LA LOPD Y LSSI A LA ACTIVIDAD PUBLICITARIA CONCEPTO PUBLICIDAD LOPD CONCEPTO PUBLICIDAD LSSI Recopilación de direcciones, reparto de documentos, prospección comercial, actividades cuyo fin sea comercializar productos y servicios propios o de terceros y otras actividades análogas Envío de comunicaciones comerciales DATOS LEGÍTIMOS DATOS LEGÍTIMOS Fuentes accesibles al público Ficheros propios con consentimiento informado Ficheros de terceros con consentimiento informado Sin relación contractual previa Relación contractual previa Consulta ficheros exclusión sectoriales Información en cada comunicación sobre origen, identidad del responsable y derechos que le asisten Consulta ficheros exclusión sectoriales Envíos solicitados Envíos expresamente autorizados Productos y servicios propios Similares a los inicialmente contratados Artículo 46. Tratamiento de datos en campañas publicitarias. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la LOPD. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas: a) Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña (anunciante), ésta será responsable del tratamiento de los datos. b) Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas (editor) dichas entidades serán las responsable del tratamiento. Comunidad Valenciana 18

19 c) Cuando en la determinación de los parámetros intervengan ambas entidades (editor/anunciante) serán ambas responsables del tratamiento. En el supuesto contemplado en el apartado anterior,la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la LOPD y su reglamento. parámetros identificativos de los destinatarios? se consideran las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma. Y EL RESPONSABLE DEL FICHERO LO DEBE INSCRIBIR.. Y CUMPLIR TODAS SUS OBLIGACIONES COMO RESPONSABLE Comunidad Valenciana 19

20 Y SI SE TRATA DE DATOS ESPECIALMENTE PROTEGIDOS. Artículo 7 (LOPD) Datos especialmente protegidos... nadie podrá ser obligado a declarar sobre su ideología, religión o creencias. Cuando en relación con estos datos se proceda a recabar el consentimiento a que se refiere el apartado siguiente, se advertirá al interesado acerca de su derecho a no prestarlo.. Sólo con el consentimiento expreso y por escrito del afectado podrán ser objeto de tratamiento los datos de ideología, afiliación sindical, religión y creencias Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. Comunidad Valenciana 20

21 ALGO MÁS? Hablemos de la Directiva Cookies Directiva 2009/136/CE del parlamento europeo y del consejo, de 25 de noviembre de 2009, por la que se modifican la Directiva 2002/22/CE relativa al servicio universal y los derechos de los usuarios en relación con las redes y los servicios de comunicaciones electrónicas, la Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas y el Reglamento (CE) no 2006/2004 sobre la cooperación en materia de protección de los consumidores... a más tardar el 25 de mayo de Los EM velarán por que únicamente se permita el almacenamiento de información, o la obtención de acceso a la información ya almacenada, en el equipo terminal de un abonado o usuario, a condición de que dicho abonado o usuario haya dado su consentimiento después de que se le haya facilitado información clara y completa, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Directiva 95/46/CE. Ello no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de: efectuar la transmisión de una comunicación a través de una red de comunicaciones electrónicas o enlamedidadeloestrictamentenecesarioafindequeelproveedordeun servicio de la sociedad de la información preste un servicio expresamente solicitado por el abonado o el usuario. Por lo tanto pasamos del conocido sistema opt-out (información y procedimiento posterior de baja u oposición), al sistema opt-in (información previa y consentimiento). Comunidad Valenciana 21

22 NO ESTAMOS ANTE UN PROBLEMA DE PRIVACIDAD NI DE PROTECCIÓN DE DATOS PERSONALES A PRIORI.. NORMA DE TRANSPOSICIÓN.. R.D.-ley 13/2012, de 30 de marzo por el que se transponen directivas en materia de mercados interiores de electricidad y gas y en materia de comunicaciones electrónicas, y por el que se adoptan medidas para la corrección de las desviaciones por desajustes entre los costes e ingresos de los sectores eléctrico y gasista («B.O.E.» 31 marzo)... Comunidad Valenciana 22

23 html LEY GENERAL TELECOMUNICACIONES Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse por el uso de los parámetros adecuados del navegador o de otras aplicaciones, siempre que aquél deba proceder a su configuración durante su instalación o actualización mediante una acción expresa a tal efecto. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de (i) efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas (ii) en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.. Comunidad Valenciana 23

24 Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la LOPD. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones, siempre que aquél deba proceder a su configuración durante su instalación o actualización mediante una acción expresa a tal efecto. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información CAMBIO? Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la LOPD. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. expresamente solicitado por el destinatario html Comunidad Valenciana 24

25 Comunidad Valenciana 25

26 CUESTIONES RELEVANTES Es una guía orientativa. El equipo terminal, es el dispositivo en que se descarga la cookie y desde el cual el usuario accede al servicio, el cual puede ser un ordenador personal, un teléfono móvil, un tablet, un correo electrónico etc. Unaplataformaderedsocial. Otros QUIÉN ES QUIÉN Y QUÉ OBLIGACIONES TIENE. Comunidad Valenciana 26

27 i. Usuario LAS PARTES Es el destinatario, persona física, que accede al servicio prestado por un editor, pudiendo diferenciarse entre usuario registrado y no registrado. ii. Anunciante Es la entidad cuyos productos, servicios o imagen se publicitan a través de los espacios publicitarios que disponen los editores en sus páginas u otras aplicaciones desde las que prestan los servicios a los usuarios. iii. Editor Es cualquier entidad prestadora de servicios de la sociedad de la información titular de una página web a los que puede acceder un usuario y para cuya prestación se utilizan cookies. Por ejemplo, el titular de una carpintería o de una pescadería con una página web a través de la cual ofrezca simplemente información relacionada con los servicios que presta o disponga de una tienda on- line o haya creado una aplicación para móviles para cuyo funcionamiento puede ser necesario la utilización de cookies. Algunos editores, además de prestar un servicio a los usuarios ofertan espacios publicitarios a los anunciantes para cuya gestión es necesaria la utilización de cookies. Estos espacios publicitarios pueden estar gestionados bien por el mismo editor o bien por una o más entidades simultáneamente, mediante el uso tecnologías que pueden requerir el uso de cookies para su funcionamiento. iv. El titular de una plataforma Wordpress, google, facebook es la entidad que pone la infraestructura donde el editor publicará su web. Comunidad Valenciana 27

28 v. Agencias de publicidad y agencias de medios Entidades que se encargan del diseño y ejecución de publicidad y de la creación, preparación o programación de las campañas publicitarias de los anunciantes, actuando en nombre y por cuenta de estos en la contratación de espacios publicitarios. Son demandantes de espacios publicitarios para los anunciantes. vi. Empresas de análisis y medición Entidades que miden y/o analizan el comportamiento de la navegación de los usuarios en la página web de un editor, a través del análisis de los datos obtenidos con la utilización de las cookies con la finalidad de mejorar el servicio que presta el editor. LAS OBLIGACIONES Informar (para.) Obtener el consentimiento Comunidad Valenciana 28

29 AL RESPECTO DE LA INFORMACIÓN LA INFORMACIÓN DEBE SER CLARA Y COMPLETA SOBRE: la utilización de los dispositivos de almacenamiento y recuperación de datos. los fines del tratamiento de los datos con arreglo a lo dispuesto en la LOPD (ex art. 5). para permitir a los usuarios entender la finalidad para las que se instalan y conocer los usos que se les darán. sobre cómo revocar el consentimiento y eliminar las cookies. Toda la información deberá de estar a disposición del usuario forma accesible y permanente en todo momento a través la página web desde la que se presta el servicio. Comunidad Valenciana 29

30 QUE TENER EN CUENTA. El tipo de usuario medio o quizás teniendo en cuenta que es un usuario avanzado Evitando terminología técnica poco comprensible El diseño y mecánica de la página web Al solicitar el alta en un servicio o antes de descargar un servicio o aplicación Utilizando denominaciones descriptivas intuitivas Mediante barras de encabezamiento Incrementando el tamaño del enlace a la información CUÁL HA SIDO LA PRÁCTICA.. Información por capas Se trata de mostrar la información esencial en una primera capa, cuando se accede a la página o aplicación, y completarla en una segunda capa mediante una página en la que se ofrezca información adicional sobre las cookies. Comunidad Valenciana 30

31 1.- PRIMERA CAPA: 1) la existencia de cookies 2) si son propias o de terceros 3) las finalidades de las cookies empleadas 4) los modos de prestar el consentimiento 5) la información sobre un procedimiento de rechazo de cookies. 6) enlace a la segunda capa de información 2.- SEGUNDA CAPA: 1) qué son y para qué se utilizan las cookies 2) los tipos de cookies utilizadas 3) su finalidad 4) la forma de desactivar o eliminar las cookies enunciadas a través de las funcionalidades facilitadas por el editor 5) las herramientas proporcionadas por el navegador o el terminal o través de las plataformas comunes que pudieran existir, para esta finalidad 6) la forma de revocación del consentimiento ya prestado 7) identificación de quién utiliza las cookies (solo por el editor y/o también por terceros contratados o cuyos servicios ha decidido utilizar el editor) con identificación de estos terceros. Comunidad Valenciana 31

32 VISIBILIDAD DE LA PRIMERA CAPA Esta información se facilitará a través de un formato que sea visible para el usuario y que deberá mantenerse hasta que el usuario realice la acción requerida para la obtención del consentimiento. AL RESPECTO DEL CONSENTIMIENTO Comunidad Valenciana 32

33 EL CONSENTIMIENTO Podrá obtenerse mediante fórmulas expresas, como haciendo clic en un apartado que indique consiento, acepto, u otros similares. También infiriéndolo de una determinada acción realizada por el usuario, en un contexto en que a éste se le haya facilitado información clara y accesible sobre las finalidades de las cookies y si van a ser utilizadas por el editor y/o también por terceros, de forma que quepa entender que el usuario acepta que se instalen cookies. En todo caso la mera inactividad del usuario no implica la prestación del consentimiento por sí misma. FORMAS DE OBTENER EL CONSENTIMIENTO A través de la aceptación de los Términos y condiciones de uso de la página web o de su Política de privacidad al solicitar el alta en un servicio. Durante el proceso de configuración del funcionamiento de la página web. En del momento en que se solicite una nueva función ofrecida en la página. Antes del momento en que se vaya a descargar un servicio o aplicación ofrecido en la página web. A través de la configuración del navegador A través del formato de información por capas. Comunidad Valenciana 33

34 En el formato de información por capas la 1ª CAPA, que contiene la información esencial, debe incluir también la petición del consentimiento para la instalación de las cookies. En los casos en que el usuario no manifieste expresamente si acepta o no la instalación de las cookies, pero continúe utilizando la página web o la aplicación se podría entender que éste ha dado su consentimiento, siempre que se le haya informado claramente en este sentido y se ofrezca en todo momento a través de las formas señaladas en esta guía un aviso que ofrezca de modo permanente información sobre la utilización de las cookies y la posibilidad de desinstalarlas (2ª CAPA). Por ejemplo: se entenderá que se ha prestado el consentimiento al seguir navegando cuando tras informar sobre el uso de cookies: (i) El usuario ha utilizado la barra de desplazamiento, siempre y cuando la información sobre las cookies sea visible sin hacer uso de ésta; (ii) El usuario ha clicado sobre cualquier enlace contenido en la página. La información que se ofrezca en la primera capa se podrá mostrar a través de un formato que sea visible teniendo en cuenta que la localización en la parte superior de la página captaría mejor la atención de los usuarios. Comunidad Valenciana 34

35 Posibilidad de denegación de acceso al servicio en caso de rechazo a las cookies. Podrán existir supuestos en los que la no aceptación de la instalación de cookies impida la utilización total o parcial del servicio, siempre que se informe adecuadamente al respecto al usuario. No obstante, no podrá denegarse el acceso al servicio en caso de rechazo a las cookies, en aquellos supuestos en que tal denegación impida el ejercicio de un derecholegalmentereconocidoalusuario,porserelaccesoadichapáginaweb sea el único medio facilitado al usuario para ejercitar tal derecho. (Ejemplo, la baja en un servicio telefónico, de acceso a Internet o de otro tipo). RESPONSABILIDAD LEGAL Los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este título cuando la presente Ley les sea de aplicación. Cuando las infracciones se deban a la instalación de dispositivos de almacenamiento y recuperación de la información como consecuencia de la cesión por parte del prestador del servicio de la sociedad de la información de espacios propios para mostrar publicidad, será responsable de la infracción, además del prestador del servicio de la sociedad de la información, la red publicitaria o agente que gestione directamente con aquel la colocación de anuncios en dichos espacios en caso de no haber adoptado medidas para exigirle el cumplimiento de los deberes de información y la obtención del consentimiento del usuario. Comunidad Valenciana 35

36 SEGÚN LA AEPD: Se hace necesario que los sujetos que participan en la instalación y utilización de las cookies colaboren para asegurar el cumplimiento de las exigencias legales establecidas. SITUACIONES: a) El editor o los terceros utilizan las cookies para finalidades exceptuadas de las obligaciones de informar y de obtener el consentimiento: En estos casos, tanto si son propias como de terceros, no será necesario informar de su uso ni obtener el consentimiento. No obstante, en el caso que emplee cookies de terceros para la prestación del servicio solicitado por el usuario deberá asegurarse contractualmente que esas otras entidades o terceros no tratan los datos con ninguna otra finalidad que no sea la prestar el servicio al usuario, puesto que en caso contrario, sería necesario informar de esas otras finalidades y obtener el consentimiento. Comunidad Valenciana 36

37 b) El editor o los terceros utilizan las cookies para finalidades no exceptuadas de las obligaciones de informar y obtener el consentimiento: Cookies propias del editor: será necesario que informe sobre las finalidades para las se trataran los datos y obtenga el consentimiento del usuario, a través de alguna de las formas establecidas. Cookies de terceros: tanto el editor como las otras entidades intervinientes tendrán la responsabilidad de garantizar que los usuarios están claramente informados acerca de las cookies y de las finalidades para las se trataran y de obtener el preceptivo consentimiento. En la práctica es más difícil para las entidades que deciden la instalación de cookies de terceros (que no tienen relación directa con el usuario) informar correctamente, ya que los usuarios tenderán a hacer llegar sus inquietudes a la entidad a la que pueden identificar y con la que tienen relación, es decir, el editor. Por ello en estos casos, cuando se instalen cookies de terceros se deberían incluir en los contratos que se celebren entre los editores y los terceros, una o varias cláusulas en las que se asegure que se ofrecerá a los usuarios la información requerida y que se articulará la forma a través de cual se pueda obtener un consentimiento válido para la utilización de las cookies, así como sobre de las consecuencias de la revocación del consentimiento para el editor y, especialmente, para los terceros que lo obtuvieron a través del editor. Comunidad Valenciana 37

38 CUANDO LAS COOKIES ADEMÁS SON DATOS DE CARÁCTER PERSONAL Artículo 5 (LOPD) Derecho de información en la recogida de datos. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Comunidad Valenciana 38

39 Artículo 6 (LOPD) Consentimiento del afectado para el tratamiento 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;.. QUÉ HAY DE LAS REDES SOCIALES. Comunidad Valenciana 39

40 Informe 0023/2010 Hay que incluir en el foro de la página web de una Asociación de enfermos una cláusula en la que se recoja la política de privacidad de la Asociación? La actividad objeto de consulta constituye, de una parte, un tratamiento de datos de carácter personal. De otra parte, la publicación de datos personales en el foro constituye una cesión de datos. Entre las obligaciones de la Asociación consultante, como responsable del fichero, está la de obtener el consentimiento de los participantes en el foro deberá ser, libre, inequívoco, específico e informado, y en el presente supuesto, en el que, por tratarse de un foro de afectados por una determinada enfermedad, es posible que se traten datos de salud, el consentimiento deberá ser además expreso. No solamente resulta obligado el aviso legal, sino que parece conveniente que se incluya en la página de gestión del foro, impidiéndose la inclusión de dato personal alguno sin que se haya aceptado el mismo, lo que, como se ha señalado, puede constituir la prueba de que se ha obtenido el consentimiento expreso e informado del interesado para el tratamiento y publicación de los datos. En cuanto al modelo de cláusula facilitado, debería aclararse que se consiente expresamente la publicación no solo de lo que denomina información puesta en común, sino de datos personales asociados a dicha información que los interesados eventualmente incluyan en el texto a publicar, (tales como nombre y apellidos, dirección de correo electrónico, o teléfono que ponen a disposición de otros participantes en el foro). Noobstante,deberecordarserespectodelosdatos personales publicados que estos pueden ser objeto de indexación por un buscador, lo que, puede dar lugar a una difusión masiva y universal, además, los buscadores pueden guardar en la memoria caché el contenido textual de una página aún cuando ya no esté accesible en Internet. Comunidad Valenciana 40

41 La propia Asociación, además de recordar a sus asociados dichas recomendaciones, podría DISTINGUIR entre el tratamiento llevado a cabo para la gestión del foro, en el que se consignarían los datos personales de los participantes, y la publicación en abierto de los contenidos por ellos aportados, de manera que puedan utilizar un seudónimo para evitar su identificación y arbitrarse otros mecanismos, distintos a la publicación de datos personales en el foro, para posibilitar las relaciones a través de otros medios como teléfono o correo electrónico entre aquellos participantes del foro que tengan un interés legítimo en establecer un contacto entre ellos. Informe 0035/2010 Es adecuada la publicación en la página web de un club deportivo de las clasificaciones de los participantes en las competiciones deportivas y procede la cancelación de datos solicitada por un antiguo miembro del club?. Los datos a que hace referencia la consulta, son datos personales cuyo tratamiento quedará sujeto a la LOPD. La publicación en la página web del club deportivo de estos datos personales de sus socios constituye una cesión o comunicación de datos de carácter personal. En relación con las cesiones de datos, el artículo 11.1 de la LOPD que Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. Comunidad Valenciana 41

42 Nada indica la consulta respecto de la forma de obtener el consentimiento para dicha publicación. No obstante, se señala que dicha publicidad es una parte esencial de la actividad del Club que le diferencia de otros, de manera que podría entenderse prestado el consentimiento para la comunicación de los datos, si dicha comunicación se encuentra expresamente prevista en los Estatutos, dado que la incorporación al club implica el conocimiento y aceptación de los mismos por el socio. Pero según la LOPD el consentimiento del interesado para el tratamiento y cesión de datos, permite, igualmente, la revocación del mismo, esto es, que el interesado pueda exigir el cese en el tratamiento de sus datos mediante su pura y simple manifestación de voluntad. Este derecho de revocación, debe ser diferenciado del derecho de cancelación. En consecuencia, la revocación del consentimiento para la publicación de sus datos por parte de un antiguo socio del club deportivo consultante, implicará que se eliminen de su página web los datos a él referidos, sin perjuicio de que el club mantenga éstos bloqueados, en la forma indicada, durante el tiempo necesario para la atención de posibles responsabilidades derivadas del tratamiento de datos, debiendo suprimirse de sus ficheros transcurrido el correspondiente plazo de prescripción. Comunidad Valenciana 42

43 Informe 0184/2013 Se aplica la LOPD a la creación de una red social en la que, existirán 3 tipos de perfiles (personas físicas, profesionales o autónomos y empresas, que podrán dar de alta a empleados). Señala que en la red social además de interaccionar unas personas con otras se crean contenidos por parte de los usuarios y empresas (conversaciones, mensajes, debates, consultas, publicaciones, etc.). El Grupo de trabajo del artículo 29, en su Dictamen 5/2009 relativo a las redes sociales en línea, al determinar a quien se atribuye la condición de responsable del fichero o tratamiento de datos señala que los proveedores de servicios de redes sociales son responsables del tratamiento de datos en virtud de la Directiva relativa a la protección de datos. A) PERFIL PARTICULAR: La LOPD no será de aplicación: a) A los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas. En cuanto a la determinación de que se entiende por actividades personales o domésticas según el Reglamento Sólo se considerarán relacionados con actividades personales o domésticas los tratamientos relativos a las actividades que se inscriben en el marco de la vida privada o familiar de los particulares. AN: interpretación del término personal ST de 15 de junio de 2006 ( ) Será personal cuando los datos tratados afecten a la esfera más íntima de la persona, a sus relaciones familiares y de amistad y que la finalidad del tratamiento no sea otra que surtir efectos en esos ámbitos. Comunidad Valenciana 43

44 Dará lugar a la aplicación de la LOPD por superar el ámbito de la vida privada o familiar de los particulares la publicación de datos de terceros en la red cuando no existan limitaciones de acceso a su perfil, en cuanto que dicha publicación constituye una cesión de datos, ya que en estos supuestos, como señalaba la sentencia la Sentencia de 6 de noviembre de 2003 (caso Bodil Lindqvist) no se inscribe en el marco de la vida privada o familiar de los particulares un tratamiento de datos personales consistente en la difusión de dichos datos por Internet de modo que resulten accesibles a un grupo indeterminado de personas. Pero la limitación en el acceso a los datos contenidos en su perfil puede no ser el único indicador de que estamos ante un uso familiar o doméstico, así el Grupo de trabajo del artículo 29 destaca que habitualmente, el acceso a los datos (datos de perfil, archivos subidos a la red, textos ) aportados por un usuario viene limitado a los contactos por él mismo elegidos. Sin embargo, en algunos casos los usuarios pueden llegar a tener un gran número de personas de contacto, y de hecho puede darse el caso de que no conozca a algunos de ellos. Señala el Dictamen que un alto número de contactos puede ser una indicación para que no se aplique la exclusión a la normativa de protección de datos aque se viene haciendo referencia y se considere al usuario responsable de un fichero, debiendo asumir algunas de las responsabilidades propias de un responsable. La LOPD resultará aplicable en aquellos supuestos en que se supere dicho ámbito personal, como el supuesto en que las imágenes se publiquen en un perfil de libre acceso para cualquier persona o cuando el alto número de personas invitadas a contactar con dicho perfil resulte indicativo de que dicha actividad se extiende más allá de lo que es propio de dicho ámbito. En estos casos, nos hallamos ante una cesión de datos sujeta a la LOPD exige el consentimiento del interesado. que Comunidad Valenciana 44

45 Un caso de publicidad en rrss Informe 0241/2011 Se consulta sobre la creación de una cuenta en una red social con fines publicitarios. En particular, plantea si puede invitar a todo el mundo, y si dicha invitación puede reproducirse de forma viral, reenviándose dicha invitación por otras personas a terceros? Primero.- El consultante, en dicha calidad de responsable del tratamiento de datos, deberá asumir aquéllas obligaciones que la LOPD impone a éstos. Segundo.- teniendo en cuenta que dicho tratamiento se efectúa en el marco de una determinada red social, en la que las reglas de funcionamiento son impuestas por el proveedor de la red, algunas de estas obligaciones se limitan a aquéllos aspectos en los que el consultante tiene libertad para actuar. Comunidad Valenciana 45

46 Tercero.- Dentro de estas obligaciones debe hacerse referencia en primer término a la obtención del consentimiento para el tratamiento de los datos personales de las personas físicas. Cuarto.- Debe entenderse que el consentimiento en el supuesto a que se refiere la consulta se entenderá otorgado por el hecho de convertirse en amigo o seguidor de la página del consultante. El consentimiento así prestado se refiere únicamente a la persona que realiza la acción de hacerse amigo o seguidor y no puede extenderse al tratamiento de datos de terceros relacionados con dicha persona y ello aunque el perfil de estos últimos se encuentre abierto, en tanto que dicha circunstancia no implica el consentimiento de sus titulares para el tratamiento de los datos personales contenidos en el mismo. Quinto.- deberá informarse por el consultante, a aquellos que pretendan convertirse en amigos, de la finalidad o finalidades de la recogida de datos, y de la identidad y dirección del consultante, así como de la posibilidad de ejercer sus derechos de acceso, rectificación, cancelación y oposición ante el mismo. Sexto.- Encuantoalaformaenquedebellevarseacabodichainformación, debe tomarse en consideración que la Ley 15/1999 exige que se realice con carácter previo a la obtención del consentimiento, lo que implica que quienes deseen hacerse amigos del consultante deberán conocerla antes de efectuar dicha acción. Una posible solución sería ubicarla en el espacio de cuenta que facilite la red social con la información personal del consultante. Ello sin perjuicio de que puedan utilizarse otro tipo de procedimientos, como enlaces a políticas de privacidad del consultante, o cualquier medio que asegure que las finalidades del tratamiento son previamente conocidas por el afectado. Séptimo.- Si la finalidad del tratamiento es, como ocurre en el presente supuesto, publicitaria, dicha finalidad debe encontrarse recogida expresamente en la información facilitada, de manera que el nuevo amigo tenga conocimiento de la misma al prestar su consentimiento. Comunidad Valenciana 46

47 Octavo.- la utilización de información contenida en el perfil de aquéllos que han solicitado ser amigos se encuentra limitada a aquéllos estrictamente necesarios para lograr la finalidad para la que se ha prestado el consentimiento. Si se pretendiera además recolectar datos adicionales contenidos en el perfil, por ejemplo, los relativos a gustos, aficiones, periodicidad de la utilización de los servicios del consultante o cualquier otro que pueda utilizarse con la finalidad de remitirle una publicidad personalizada, deberá informarse de la existencia de dicho tratamiento de datos y de la finalidad del mismo, a fin de que sea conocido y consentido por los amigos del consultante. Noveno.- Se plantea en la consulta si se puede invitar a todo el mundo, sin que el consultante aclare qué medios pretende utilizar para efectuar dicha invitación. Si la invitación pretende efectuarse mediante comunicaciones electrónicas, entre las que se encuentran los mensajes remitidos por correo electrónico, SMS, MMS u otros sistemas equivalentes, debe tenerse en cuenta que a la misma resulta aplicable la LSSICE. En el presente caso, se desprende de la consulta que la invitación que se pretende enviar tiene por objeto la promoción directa de los servicios de la empresa consultante, por lo que no existe duda alguna de que el envío de dicha comunicación se encuentra, en todo caso, sometido a lo dispuesto en la LSSICE. En consecuencia, y sin perjuicio de las restantes responsabilidades a las que pudiera dar lugar el envío de la comunicación, será en todo caso necesario contar con el consentimiento previo y expreso de los destinatarios para que su envío no resulte contrario a lo dispuesto en la LSSICE. Comunidad Valenciana 47

48 Y aquí viene lo interesante. Por otra parte, en cuanto al envío de correos comerciales por terceros, esta Agencia, en el ejercicio de las competencias sancionadoras que le atribuye la citada Ley 34/2002, ha venido sancionado por incumplimiento de lo previsto en su artículo 21, aquellos supuestos en que se ha considerado que la empresa sancionada había ideado un sistema de enviar correos comerciales omitiendo las exigencias de dicha Ley (consentimiento previo e informado o que, previamente, haya habido una relación contractual entre el remitente del correo y el destinatario) al hacerse a través de personas que sí mantienen una relación con la entidad sancionada, pero que lo único que han de hacer es reenviar el propio correo comercial de la empresa sancionada. Si el consultante pretende utilizar los mecanismos de relación con terceros que la red social pone a su disposición, deben hacerse las siguientes consideraciones: La primera es que a la utilización del servicio de mensajería de la red social resulta igualmente de aplicación lo previsto en el artículo 21 de la LSSICE. La segunda hace referencia a aquellas opciones planteadas por la red social que permiten importar datos desde otros ficheros de que disponga el consultante (por ejemplo, su libreta de direcciones de correo electrónico). En estos casos, debe tenerse en cuenta que si dichos datos se refieren a personas físicas resulta de aplicación la LOPD. Dicha importación de datos supondrá una cesión de datos al servicio de red social, de conformidad con la definición que de cesión de datos se contiene en el artículo 3 i) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal como Toda revelación de datos realizada a una persona distinta del interesado. Comunidad Valenciana 48

49 Tal cesión debe sujetarse al régimen general de comunicación de datos de carácter personal establecido en el artículo 11 de la misma Ley, donde se establece que la misma solo puede verificarse para el cumplimiento de fines directamente relacionados con las funciones legitimas del cedente y cesionario y exige, para que pueda tener lugar, el consentimiento del interesado (artículo 11.1), otorgado con carácter previo a la cesión y suficientemente informado de la finalidad a que se destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar (artículo 11.3), y que debe recabar el cedente como responsable del fichero que contiene los datos que se pretenden ceder. Comunidad Valenciana 49

50 Y LAS APPS? Comunidad Valenciana 50

51 Según la funcionalidad de la APP el marco jurídico aplicable está constituido por todas las normas ya vistas. Ámbito territorial: estas normas se aplican a las aplicaciones destinadas a usuarios dentro de la UE, independientemente del lugar de establecimiento de los desarrolladores o la tienda de las aplicaciones. Responsabilidad de las partes: Existe un solapamiento de responsabilidades en la protección de datos entre las diferentes partes que participan en el desarrollo, la distribución y la capacidad técnica de las aplicaciones. Partes involucradas: En el desarrollo, la comercialización y la explotación de las aplicaciones participan muchas partes, cada una de las cuales puede tener diferentes responsabilidades en materia de protección de datos. De ellas, cabe destacar las cuatro siguientes: a) los desarrolladores de aplicaciones (incluidos los propietarios, es decir, que el término no se limita a los programadores o los desarrolladores técnicos de aplicaciones sino que incluye a los propietarios, es decir, las empresas y organizaciones que encargan su desarrollo y fijan sus objetivos ). b) los fabricantes de sistemas operativos y dispositivos (en algunos casos, el fabricante del sistema operativo se solapa con el del propio dispositivo y en otroscasos,elfabricantededispositivos es una empresa distinta del proveedor de sistemas operativos); c) las tiendas de aplicaciones (el distribuidor de aplicaciones); Comunidad Valenciana 51