L'entrada en vigor del Reial decret 933/2021 ha posat al punt de mira la protecció de dades al sector turístic. L'obligació de recopilar i conservar durant tres anys un gran volum d'informació sensible sobre els viatgers ha generat preocupació entre els experts, que adverteixen sobre riscos de privadesa i possibles sancions. Una mesura desproporcionada? Entre les dades que cal registrar figuren informació personal, financera i contractual, com el DNI, adreça, número de targeta bancària i correus electrònics. Aquest volum d‟informació, combinat amb l‟obligació d‟emmagatzemar-lo durant tres anys, incrementa les possibilitats de filtracions i ús indegut. A més, algunes d'aquestes dades, com la targeta bancària, són altament sensibles, cosa que augmenta els riscos de robatori d'identitat en cas de bretxes de seguretat. Sense garanties de protecció robustes, el risc de pèrdua de control sobre les dades personals és molt alt. Aquesta norma, a més, podria vulnerar principis fonamentals del RGPD (Reglament General de Protecció de Dades), com ara el de minimització, que exigeix limitar la recopilació de dades al mínim necessari per complir l'objectiu previst. Càrregues administratives i riscos legals per a les empreses La protecció de dades no és només una preocupació per als viatgers, sinó també un desafiament per a les empreses. El decret imposa una gran càrrega administrativa, especialment per a petites empreses i autònoms, que han d'implementar sistemes tecnològics per registrar, emmagatzemar i protegir la informació de manera adequada. Aquestes inversions, a més de costoses, són complexes d'implementar en empreses amb recursos limitats, cosa que pot derivar en incompliments no intencionats i, en darrer terme, en sancions. Les multes poden ser significatives. L'incompliment del RGPD per qüestions com filtracions, fallades de seguretat o ús indegut de la informació pot derivar en sancions de fins a 20 milions d'euros o el 4% de la facturació anual de l'empresa, segons quina sigui més gran. A més a més, el decret contempla multes específiques per a infraccions relacionades amb el registre de viatgers, que van des de 100 fins a 30.000 euros, depenent de la gravetat. No és menys important l'impacte sobre l'operativitat diària. La gestió d'aquestes dades pot alentir processos a recepció, generar conflictes amb clients que es neguin a proporcionar informació addicional i desviar recursos d'altres àrees crítiques del negoci. Això és especialment rellevant en un sector altament competitiu com el turisme, on qualsevol retard o problema pot repercutir negativament en l'experiència del client i, en darrer terme, en la reputació de l'establiment. La importància de garantir la proporcionalitat de les dades El precedent de l'anul·lació de la Directiva 2006/24/EC pel Tribunal de Justícia de la Unió Europea, pel seu caràcter indiscriminat, hauria de servir d'alerta. En paraules de Ruth Benito, experta en protecció de dades d'Elzaburu: "L'emmagatzematge massiu de dades personals sense mesures proporcionals ni justificació clara genera riscos que poden ser irreversibles per a la privadesa". Aquest escenari reforça la necessitat de posar la protecció de dades al centre de qualsevol mesura que impliqui el tractament massiu dinformació personal. Només un enfocament equilibrat, que combini garanties de seguretat robustes amb una justificació clara i proporcional, permetrà garantir tant la seguretat pública com els drets fonamentals dels ciutadans. Alhora, és crucial protegir la competitivitat del sector turístic, un dels motors econòmics d'Espanya. Amb aquest marc, les empreses s'han de preparar per fer front a aquest repte, invertint en sistemes de compliment i protecció de dades que no només responguin a les exigències normatives, sinó que també reforcin la confiança dels viatgers. Ruth Benito, Of Counsel. Privadesa i Protecció de Dades
El sector de les telecomunicacions a Espanya fa un pas important en l'autoregulació amb la implementació del nou Codi de Conducta. AEPD i Autocontrol han impulsat un nou sistema de mediació, que va entrar en vigor el 17 de desembre, per resoldre controvèrsies en matèria de protecció de dades del sector de manera extrajudicial. Més representació del sector, més cobertura per als usuaris Una de les novetats principals del Codi de Conducta és l'ampliació del seu abast. A les operadores inicials que formaven part del Protocol –Movistar, Orange, Vodafone i MásMóvil, entre d'altres– se sumen ara Euskaltel, Virgin Telco, R i Telecable. Això assegura una major representativitat del sector, cosa que beneficia directament els usuaris en proporcionar un marc comú per resoldre reclamacions relacionades amb la protecció de dades. El Codi també amplia els supòsits coberts dins del seu àmbit daplicació. Això significa que ara més tipus de reclamacions es podran tractar sota aquest mecanisme, encara que s'exclouen expressament les que cerquin compensacions econòmiques. Aquest enfocament reforça l'objectiu principal del Codi: facilitar una solució ràpida, gratuïta i eficaç en qüestions relacionades amb la privadesa i la protecció de dades. AUTOCONTROL: la peça clau del procés per promoure acords ràpids i flexibles Per garantir la imparcialitat, el Codi designa el Jurat de Publicitat d'AUTOCONTROL com a organisme de supervisió. Aquest tercer independent és responsable de gestionar les mediacions entre els interessats i les operadores adherides. La mediació té una durada estàndard de 30 dies, ampliable fins a tres mesos si hi ha raons justificades. Tot i que les propostes de solució d'AUTOCONTROL no són vinculants, l'acord a què arribin les dues parts sí que ho serà. En cas de desacord, linteressat podrà sol·licitar que la reclamació sigui elevada al Jurat dAUTOCONTROL, sempre que loperador estigui dacord. Un aspecte destacable del Codi és el compromís amb la confidencialitat dels procediments, un requisit crucial atès que moltes reclamacions poden incloure informació sensible. Tot i això, les resolucions del Jurat són públiques, cosa que aporta transparència al procés i reforça la seva credibilitat. 'La mediació, gestionada per un tercer independent com AUTOCONTROL, promou acords ràpids i flexibles, encara que el seu caràcter no vinculant de les propostes de solució pot limitar-ne l'efectivitat en certs casos. I és que, com és habitual en qualsevol tipus de mediació, les propostes de solució que ofereixi el mediador -en aquest cas la Unitat de Mediació d'AUTOCRONTROL- no són vinculants. Únicament seria vinculant l'acord a què poguessin arribar les parts i la resolució del Jurat d'AUTOCONTROL, en cas que les parts decideixin voluntàriament elevar la resolució davant del Jurat Agustín Alguacil. Un sistema de sancions amb efecte dissuasori pel trasllat a l'Agència Espanyola de Protecció de Dades (AEPD) El Codi reforça la seva eficàcia mitjançant un sistema de sancions per a les operadores incomplidores. Les infraccions es classifiquen com a lleus, greus o molt greus, i poden comportar des d'amonestacions fins a la suspensió temporal de drets dins del Codi o fins i tot l'expulsió. Tot i que les sancions no inclouen penalitzacions econòmiques, el seu efecte dissuasori rau en l'impacte reputacional i en el trasllat de les resolucions a l'Agència Espanyola de Protecció de Dades (AEPD). Aquest mecanisme complementa les potestats de l‟AEPD, assegurant que el sistema d‟autoregulació s‟alineï amb les normatives nacionals i europees. En general, el Codi de Conducta és un exemple de com el sector privat pot organitzar mecanismes efectius d'autoregulació, tot procurant un equilibri entre l'autonomia sectorial i els drets dels interessats. Agustín Alguacil, Associat Àrea Legal. Negocis i Contractes
El Comitè Europeu de Protecció de Dades s'ha pronunciat finalment sobre la polèmica del pay or OK o paga o empassa que va introduir a Europa l'any passat Meta, la propietària de Facebook o Instagram. El Comitè, que respon a les sigles en anglès d'EDPB conclou que el procediment utilitzat pel gegant tecnològic per intentar complir amb el Reglament General de Protecció de Dades (RGPD) no és vàlid. En primer lloc, ha de quedar clar que no estem davant d'una decisió d'un tribunal ni una nova legislació, ni tampoc davant d'una resolució vinculant. El que ha emès l'EDPB és un dictamen en què, a petició de diverses autoritats de protecció de dades europees, aporta la seva interpretació respecte a l'encaix del “pay or ok” a la legislació de protecció de dades. Ara bé, l'impacte pot ser molt alt, sobretot per a les grans plataformes que fins fa poc permetien l'accés als seus continguts de forma totalment gratuïta. Això és així perquè, a la pràctica, l'informe de l'EDPB estableix com a regla general que no es pot oferir com a única alternativa a les galetes l'abonament d'una quantitat (ja sigui aquesta única o mitjançant una subscripció). D'aquesta manera, aquelles plataformes que mantinguin el model “pay or ok” pur, sense opcions addicionals, estaran obligades a poder demostrar que el sistema adoptat no força els seus usuaris a acceptar les galetes, sinó que les consenten de forma totalment lliure i això, amb les presumpcions que de fet conté el dictamen de l'EDPB, és summament complicat, per no dir impossible. No és una nova legislació però el dictamen ha de ser pres en consideració És important assenyalar que l'EDPB no s'està pronunciant sobre Meta de manera específica i individualitzada, encara que sigui el cas que subjau en la causa del seu dictamen, però aquest ha de ser tingut en consideració no només per Meta, sinó per totes les grans plataformes web. La legislació sobre galetes exigeix que les que no siguin estrictament necessàries per al funcionament del lloc web han de ser expressament consentides pels usuaris per poder ser activades. Entre aquestes cookies, hi ha les de publicitat comportamental, amb les quals es perfila els usuaris per després impactar-los amb publicitat. I el consentiment que els usuaris prestin ha de ser donat amb total llibertat. Gran part del negoci de les grans plataformes se sustenta a vendre a les marques la possibilitat d'impactar amb la seva publicitat aquells usuaris que, pel seu perfil, seran més proclius a adquirir els seus productes o serveis. Però un perfilat tan invasiu com el que realitzen moltes plataformes, ja sigui a través de cookies o per qualsevol altre sistema, requereix el consentiment dels usuaris i l'EDPB entén, en essència, que si l'única alternativa a aquest consentiment és pagar una quantitat, cal presumir que llavors el consentiment no s'atorga lliurement, sobretot si la quantitat a pagar és desproporció. gratuïta. A més, cal dir que el “pay or ok” infringeix també una de les condicions perquè el consentiment sigui vàlid, i és que ha de ser específic per al tractament concret de dades que es produeixi. Si es requereix el consentiment dels usuaris per rastrejar-los i perfilar-los i també perquè posteriorment puguin ser impactats amb publicitat, haurien de demanar-se ambdós consentiments de forma separada i no globalment, com passa amb el sistema “pay or ok” de Meta i altres. El Comitè ofereix entre les possibles solucions fer servir la publicitat “random” Si Meta volgués ajustar-se a la interpretació de l'EDPB, sembla clar que hauria de fugir d'oferir únicament el pagament com a alternativa al perfilat i publicitat comportamental. El mateix EDPB aporta com a solució, a més de fixar quanties no abusives per a la modalitat de pagament, oferir també l'alternativa de publicitat “random” o menys invasiva per a la privadesa dels usuaris. Per exemple, deixant que sigui el mateix usuari qui marqui, entre una llista d'opcions tancada, quins són els seus interessos o les matèries sobre les quals voldríeu que se us mostressin promocions i publicitat. Una possible solució seria que els usuaris poguessin optar entre diverses opcions, per exemple: a) modalitat de pagament sense publicitat, b) modalitat gratuïta amb publicitat d'acord amb les preferències que marqui c) modalitat gratuïta amb publicitat “random” sense cap mena de perfilat, id) modalitat gratuïta amb galetes de publicitat comportamental. Cadascuna d'aquestes opcions podria comportar alguna diferència quant a la prestació del servei o l'ús de la plataforma, però en essència haurien de ser equivalents de manera que l'usuari no se senti compel·lit a triar-ne una sola perquè en cas contrari se li ocasioni un perjudici injustificat o desproporcionat. A més, per a la resta de possibles galetes que també requereixin el consentiment dels usuaris, aquest hauria de demanar-se de forma separada. Tot i això, les plataformes, coneixedores del seu negoci i dels seus usuaris, segurament trobin altres solucions o models diferents que siguin d'acord amb l'opinió de l'EDPB. Potser en alguns casos n'hi ha prou de rebaixar el preu a pagar i d'altres amb adoptar alternatives acompanyades d'algun tipus de compensació o contraprestació addicional per a l'usuari. Tot i que això últim ha de ser valorat amb molta cura tenint en compte que l'EDPB també indica que les dades personals no poden ser utilitzades com a moneda de canvi. El Comitè proporciona elements per avaluar els criteris de consentiment informat, específic i inequívoc que les grans plataformes en línia han de tenir en compte a l'hora d'aplicar models de «consentiment o pagament». Ruth Benito, Of Counsel Protecció de Dades i Privadesa d'ELZABURU Per a més informació: Javier Herreros jherreros@goodwill.es Tel. : 626 20 73 22
Electronic Arts (EA) patenta una tecnologia revolucionària que permetrà oferir jocs i publicitat a mida: El sistema aconsegueix que els videojocs generin nou contingut basant-se en l'estil de joc de l'usuari –temps que passa en combat, freqüència amb què opta per desafiaments fàcils o complexos, etc.– per oferir-li una experiència que encaixi millor amb les seves preferències. Alhora, els jocs poden publicitar DLC o micropagaments més ajustats al seu estil de joc. A més, segons recull la patent, els continguts i escenaris que es despleguen als videojocs d'EA evolucionen a mesura que els jugadors modifiquen els seus hàbits de joc. Es diu “Marc de Contingut Dinàmic Guiat per la Persona”, i està registrat davant de l'OMPI World Intellectual Property Organization – WIPO i l'Oficina de Patents i Marques Registrades dels EUA. És un avenç o es plantejaran problemes amb el maneig de dades dels usuaris? L'assessorament legal en aquest sentit és fonamental per garantir un bon ús dels avenços tecnològics i continuar generant innovació i riquesa. ELZABURU és una firma especialitzada en propietat industrial i intel·lectual, la missió de la qual és protegir, defensar i posar en valor la innovació i creacions dels seus clients. Compta amb un equip de 150 professionals format per advocats i experts tècnics de diverses àrees (enginyers, químics, biòlegs, biotecnòlegs, físics, etc.), que assessoren, gestionen i controlen la defensa legal i la protecció dels drets en totes les etapes dels actius intangibles. La firma va ser el primer despatx espanyol a obtenir protecció duanera comunitària. Gestiona més de 34.000 marques d'empreses espanyoles fora de les nostres fronteres amb més de 1.500 litigis tramitats o en curs. Si tens qualsevol consulta relacionada, no dubtis a contactar amb nosaltres: Margarita García Díaz-Varela MGD@elzaburu.es Tel.: 673 13 01 04 Javier Herreros jherreros@goodwill.es Tel.: 626 20 73 22
El 6 desembre ha estat publicada al BOE la nova Llei de Protecció de Dades Personals i garantia dels drets digitals (LOPDPGDD). Versió espanyola: https://www.elzaburu.com/blog/2018/12/nova-lopd-parte-2.html Versió anglesa: Nine basic issues concerning the New Data Protection Act (II) https://www.elzaburu.com/blog/2018/12/new-d.html ¿¿¿¿¿¿¿¿¿(¿) https://www.elzaburu.com/blog/2018/12/new-dpa-part-2-zh.html Font: Blog Elzaburu Autor/s: Fernando Díaz Martínez, Ruth Benito Martín
Ruth Benito, Of Counsel d'Elzaburu, analitza el consentiment dels titulars a la LOPD i al RGPD Publicat a Tirant lo Blanch Font: Actualitat mercantil 2019, pàg. 485-503 Autor/s: Ruth Benito Martín