REGISTRO ACTIVIDAD DE TRATAMIENTO

De conformidad con el Reglamento (UE) 2016/679 Del Parlamento Europeo y del Consejo de 27 de abril de 2016 y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, le informamos de que los datos de carácter personal facilitados en el presente serán incorporados en un fichero titularidad y responsabilidad de JUAN CARLOS RODRIGUEZ CUADRADO

MEDIDAS DE SEGURIDAD PARA EL TRATAMIENTO DE DATOS PERSONALES A TRAVÉS DE LA PÁGINA WEB

PRIVACIDAD Y SEGURIDAD EN INTERNET

La privacidad digital se define por una serie de características:

–        Se refiere a toda la información de un usuario que circula por internet. Además de datos personales como el nombre, DNI, teléfono, domicilio, etc.

–        Las particularidades de internet también hacen que la privacidad se refiera a imágenes, vídeos, correo electrónico, geolocalización, historial de navegación, IP o cualquier otro dato que permita la identificación de un usuario en la red.

–        No se limita al uso de páginas web o redes sociales, sino que también se refiere a la transmisión de datos a través de tiendas online, aplicaciones, servicios de mensajería instantánea, etc.

Por otro lado, cabe citar que la privacidad digital en España está regulada por la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD), la cual adapta a la normativa española el Reglamento General de Protección de Datos (RGPD), que se aplica a nivel europeo.

Para cumplir con la normativa sobre privacidad digital, las páginas web que recaben información personal de usuarios deben informar sobre su Política de privacidad, Política de cookies y Aviso legal.

La política de privacidad es el texto legal que informa al usuario sobre la forma en la que se van a tratar sus datos personales. Debe ser colocada en un apartado específico y claramente visible de la web.

En la política de privacidad se debe informar sobre:

–        Identidad del responsable del tratamiento de datos

–        Información del usuario que se va a recabar

–        Finalidad con la que se recaba dicha información

–        Período durante el cual los datos del usuario se mantendrán en la base de datos

–        Si los datos del usuario se van a ceder a terceros

–        Si se produce alguna brecha de seguridad

–        La manera de efectuar los derechos ARSULIPO (antiguos derechos ARCO), esto es, los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad u oposición.

Política de cookies

Las cookies son archivos que se instalan en el navegador del usuario para conocer su historial de navegación. Se suele utilizar en marketing para ofrecer contenidos, productos o servicios relacionados con los intereses del usuario.

Para poder colocar una cookie en el navegador del usuario es necesario haber obtenido consentimiento expreso. Es decir, ya no sirve con el consentimiento tácito o por omisión, sino que éste debe ser efectivo, voluntario e inequívoco. Por ejemplo, marcando una casilla de aceptación.

Por otro lado, la intención de usar las cookies del usuario se debe presentar mediante una doble capa informativa. En la primera capa simplemente se indica que la web utiliza cookies de terceros, con un link a la segunda capa, en la que se informa más detalladamente sobre la finalidad, si se van a ceder a terceros o el tiempo de permanencia en la base de datos.

Como norma general, para colocar cualquier cookie es necesario el consentimiento expreso del usuario, pero esto no siempre es así. No será necesario, por ejemplo, en el caso de cookies de entrada de usuario, de seguridad, de reproducción multimedia o de autentificación.

Aviso legal

El aviso legal es un texto que se debe incluir en la web siempre y cuando se trate de:

–        Páginas corporativas

–        Webs o blogs que tengan publicidad

–        Tiendas online

–        Portales que ofrezcan prestación de algún tipo de servicio

En el aviso legal se debe incluir la siguiente información:

–        Nombre de la empresa/usuario y datos de contacto

–        DNI, NIF o NIE

–        Número del Registro Mercantil, en caso de estar dado de alta como sociedad

–        Información sobre autorizaciones administrativas obligatorias obtenidas

–        En caso de ejercer una profesión regulada, se debe facilitar los datos del Colegio Profesional, título académico o normas deontológicas relativas al ejercicio de la profesión.

INFORMACIÓN SOBRE COOKIES

El apartado segundo del artículo 22 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico establece:

“Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”.

En particular, conviene precisar que, de conformidad con el precepto transcrito, el mismo aplica a cualesquiera “dispositivos de almacenamiento y recuperación de datos” en cualesquiera “equipos terminales de los destinatarios” y que el anexo de la citada LSSI define como “Destinatario del servicio o destinatario” a la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”.

Así pues, el artículo 22 de la LSSI y la presente guía se refieren a la utilización de cookies y tecnologías similares utilizadas (tales como local shared objects o flash cookies, web beacons o bugs, etc.) para almacenar y recuperar datos de un equipo terminal (por ejemplo, un ordenador, un teléfono móvil o una tablet) de una persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.

Las obligaciones legales impuestas por la normativa son dos, a saber: la obligación de transparencia y la obligación de obtención del consentimiento.

El apartado segundo del artículo 22 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse, como se ha indicado, con arreglo a lo dispuesto el RGPD, que requiere que el tratamiento de los datos de los usuarios se realice de forma transparente para ellos.

Por consiguiente, la información sobre las cookies facilitada en el momento de solicitar el consentimiento debe ser suficientemente completa para permitir a los usuarios entender sus finalidades y el uso que se les dará.

En la política de cookies deberá incluirse la siguiente información:

–        Definición y función genérica de las cookies.

–        Información sobre el tipo de cookies que se utilizan y su finalidad.

–         

–        Identificación de quién utiliza las cookies, esto es, si la información obtenida por las cookies es tratada solo por el editor y/o también por terceros con los que editor haya contratado la prestación de un servicio para el cual se requiera el uso de cookies, con identificación de estos últimos.

–        Información sobre la forma de aceptar, denegar o revocar el consentimiento para el uso de cookies enunciadas a través de las funcionalidades facilitadas por el editor (el sistema de gestión o configuración de cookies que se haya habilitado) o a través de las plataformas comunes que pudieran existir para esta finalidad.

–        En su caso, información sobre las transferencias de datos a terceros países realizadas por el editor.

–        Cuando la elaboración de perfiles implique la toma de decisiones automatizadas con efectos jurídicos para el usuario o que le afecten significativamente de modo similar, será necesario que se informe sobre la lógica utilizada, así como la importancia y las consecuencias previstas de dicho tratamiento para el usuario en los términos establecidos en el artículo 13.2 f) del RGPD.

–        Periodo de conservación de los datos para los diferentes fines en los términos establecidos en el artículo 13.2 a) del RGPD.

–        En relación con el resto de información exigida por el artículo 13 del RGPD que no se refiera de forma específica a las cookies (por ejemplo, los derechos de los interesados), el editor podrá remitirse a la política de privacidad.

Para la utilización de las cookies no exceptuadas será necesario en todo caso obtener el consentimiento del usuario. Este consentimiento podrá obtenerse mediante fórmulas expresas, como haciendo clic en un apartado que indique “consiento”, “acepto”, u otros términos similares. También podrá obtenerse infiriéndolo de una inequívoca acción realizada por el usuario, en un contexto en que a éste se le haya facilitado información clara y accesible sobre las finalidades de las cookies y de si van a ser utilizadas por el mismo editor y/o por terceros, de forma que quepa entender que el usuario acepta que se instalen cookies. En ningún caso la mera inactividad del usuario implica la prestación del consentimiento por sí misma.

De conformidad con el apartado 2 del artículo 22 de la LSSI el consentimiento debe ser prestado por los “destinatarios” de los servicios de la sociedad de la información.

De acuerdo con el apartado d) del Anexo de la LSSI por “Destinatario del servicio o destinatario” debe entenderse “la persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. Y conforme a las definiciones realizadas en el apartado correspondiente, el término destinatario coincide con el de usuario, que es el utilizado en la presente guía.

Por ello, la información debe dirigirse directamente al usuario para que pueda expresar su consentimiento o su rechazo.

APLICACIONES MÓVILES (APPS)

Aquellas entidades involucradas en el desarrollo, distribución y explotación de apps para dispositivos móviles, en particular a aquellas que desempeñen el rol de responsables de tratamiento o corresponsable en cada una de sus áreas de competencia, así como otros agentes que intervienen en el ecosistema de apps para dispositivos móviles, como pueden ser, entre otros, desarrolladores de aplicaciones y desarrolladores de librerías, tienen las siguientes obligaciones:

Deber de información:

–        La información proporcionada a los usuarios sobre el tratamiento de sus datos personales debe cumplir los requisitos establecidos en los artículos 13 y 14 del RGPD y el artículo 11 de la LOPDGDD, en particular con respecto a la información por capas, en los términos señalados en la “Guía para el cumplimiento del deber de informar” y el “Decálogo para la adaptación al RGPD de las políticas de privacidad en internet”.

–        Dicha información, en forma de política de privacidad, debe estar disponible tanto en la propia aplicación como en la tienda de aplicaciones. De esta forma, el usuario podrá consultarla antes de instalar la aplicación o en cualquier momento durante su uso.

–        El acceso a la política de privacidad debe poder hacerse de forma sencilla desde la aplicación, y requerir del usuario un número de interacciones reducido, a ser posible a un máximo de dos clics como recomienda GT29 en sus directrices.

–        El responsable del tratamiento tiene que identificarse claramente en la política de privacidad.

–        La información sobre el tratamiento debe ser completa y consistente tanto en la tienda de aplicaciones, en su caso, como en la propia aplicación. No puede hacer discrepancias entre ambas.

–        El lenguaje en el que se describen las políticas de privacidad debe ser adecuado para el usuario objetivo de la aplicación teniendo en cuenta su edad y su nivel de conocimiento.

–        Las políticas de privacidad deben ser concretas y específicas sobre el tratamiento de datos personales que se lleva a cabo.

Los responsables de tratamiento que encarguen el desarrollo, puesta en producción y/o explotación de aplicaciones a terceras partes con acceso a datos personales, deben asegurarse de cumplir los requisitos establecidos en el RGPD para cada una de las partes.

Si bien el dispositivo muestra al usuario una notificación solicitando su autorización para acceder a dichos recursos, en muchos casos, la información mostrada no es suficiente en el contexto del RGPD, ni la granularidad del permiso se precisa de forma correcta, ya que, entre otra información, debe incluir la finalidad del tratamiento de esos datos. La necesidad de acceder a dichos recursos debe informarse apropiadamente en la política de privacidad de la aplicación, para que el usuario pueda decidir la conveniencia o no de otorgar autorización a la aplicación para acceder a dichos recursos.