100.000€ por fallo de seguridad a Vodafone

dineroLa semana pasada leí en la web de la Unión de Consumidores y Usuarios que la Agencia Española de Protección de Datos ha sancionado a Vodafone con 100.000€ por tener un fallo de seguridad en su página web y dejar al descubierto los datos de clientes de móviles con tarjeta prepago. En enero de 2009 lo comenté aquí, porque el incidente pudo seguirse prácticamente en tiempo real en los foros de la página web GSMSpain, y la empresa no reaccionó como hubiera debido. Todavía está abierto el post “Error en Mi Vodafone accedo a datos de otros clientes” para quien quiera leer el intercambio de impresiones de los usuarios.

Cuestión de prueba

Las empresas desarrolladoras de software no incluyen las disposiciones LOPD.
Las empresas desarrolladoras de software no incluyen las disposiciones LOPD.

Nos hemos acostumbrado a recoger datos personales en páginas web. Con poner un formulario y un aviso legal parece que lo tenemos todo listo. Pero es más complejo de lo que a priori pudiera parecernos, puesto que como veremos a continuación, puede traer bastantes quebraderos de cabeza. No se soluciona solo con poner la cláusula informativa adecuada, sino que además estamos obligados a controlar una cuestión capital: la prueba. Y esto nos ocurre con cualquier tipo de contratación a distancia.

Uno de los ejemplos más conocidos es el “caso Antevenio”, donde la Agencia sancionó a esta empresa con un total de 210.000€. Antevenio disponía (y dispone) del “Servicio CorreoDirect”, que consiste, tal y como ellos lo definen, “en un Club formado por millones de personas interesadas en multitud de campos”, donde el usuario “les dice lo que le gusta” y Antevenio les envía ofertas y promociones de diversos sectores. Sus términos y condiciones de “privacidad” pueden consultarse aquí (al final volveremos sobre éstas…). Bankinter contrató a través de un intermediario el uso de parte de esa base de datos con ciertos parámetros para un envío de publicidad de la tarjeta “Visa Oro de Capital One” por correo ordinario. En concreto, solicitó “hombres mayores de 18 años – todos los registros masculinos”, tal y como dice la Resolución sancionadora. Pero he aquí que entre los registros facilitados se encontraban los datos de un menor de edad que para acceder a unos contenidos de la web (www.trucoteca.com) tenía que realizar el registro previo como usuario de “CorreoDirect”. En las condiciones legales del formulario de registro figuraba la advertencia de que el servicio no estaba permitido a menores. Aún así, el menor pudo finalizar el registro sin dificultad consignando su mayoría de edad.

La Sentencia de la Audiencia Nacional de 26 de Noviembre de 2009 confirmó la sanción a Antevenio, y se ha limitado a reafirmar en su Fundamento de Derecho 4º que

la concurrencia del consentimiento inequívoco del afectado que exige el artículo 6.1 de la LOPD para el tratamiento de datos de carácter personal, en el caso de que el afectado niegue haberlo otorgado, incumbe a quien realiza el tratamiento a través de los medios previstos legalmente a tal fin

Es feo el asunto. ¿Nos sirve algo más allá de una recogida de datos con la firma electrónica de la persona en el caso de los formularios en las páginas web? El usuario siempre podrá negar que nos ha proporcionado los datos, y tendremos la carga de la prueba. ¿Nos sirven de algo los “logs” que almacenan la IP del equipo desde el que se ha rellenado el formulario?… ¿cuántas personas pueden utilizar un ordenador?…

Y en el caso de los menores, ya ni hablemos. Recordemos que en cuestión de prueba sobre el consentimiento de menores, el artículo 13, en su punto 4, del R.D. 1720/2007, atribuye al responsable del fichero o tratamiento “articular losprocedimientos que garanticen que se ha comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales“.

La última sanción de la que tengo constancia es ésta, en la que ocurre algo idéntico al Caso Antevenio. Eso sí, a pesar de que Boombang Games S.L.recogió los datos de un menor de 14 años, y no aporta prueba de haber recabado el consentimiento del padre, tutor o representante legal, la Agencia se descuelga con una sanción de 2.000€. ¿Me puede explicar alguien qué diferencia hay con Antevenio? Es de marco el párrafo de su “política de privacidad” donde se hace referencia al consentimiento del menor:

En el supuesto de que el titular de los datos fuera menor de 14 años en el momento de entrega de sus datos, con la aceptación de esta Política de Protección de Datos, manifiesta que ha entregado sus datos con el previo consentimiento de sus padres o representantes legales, y que, en cualquier caso, ha cumplimentado los formularios accesibles desde la Página Web, en su presencia y bajo su constante supervisión.

Hombre… ya que hacen que una criatura menor de 14 años afirme todo eso, pídanle el consentimiento al padre, que está delante del ordenador con el niño, ¿no?… pero claro, ¿cómo probamos que hemos recogido los datos del padre si este lo niega…?

Bromas aparte, todo lo dicho conduce a que si nos tomamos la Ley y el Reglamento a pies juntillas, en cualquier recogida de datos por Internet tendríamos que andar o solicitando que se aportase la firma electrónica, o comprobando la identidad de cualquiera a base de faxes, cartas y otros medios pre-Internet.

No solo Internet trae problemas. En la recogida de datos por teléfono también ha habido multitud de casos en los que se ha sancionado a empresas por no poder aportar prueba de haber recogido los datos. Un ejemplo es el de lasanción a Edugama Asociados S.L., empresa dedicada a la publicidad. Tras haber recibido (supuestamente) un encargo de un cliente para la publicación en una revista de un anuncio y pasar el recibo correspondiente para su cobro a la cuenta que el mismo cliente le había facilitado, el cliente niega haber contratado tal publicidad. Edugama alegó que había mantenido una conversación telefónica con el cliente de 6 minutos de duración en la que se le recogieron los datos, pero la Agencia concluye que no se ha probado que el cliente los haya facilitado… ¿dónde está la prueba? La resolución está recurrida, pero de momento, ahí están los 60.101€. En el caso de recogida de datos por teléfono, sólo nos queda la grabación de la conversación, donde quede registrada la recogida de datos previa la información del artículo 5.

Colocar un formulario y redactar la cláusula para obtener un consentimiento informado no es complejo. Pero cuidarse de comprobar que nos lo han dado, y poder probarlo, ya es otro cantar. Y con los menores,más complicaciones.

No puedo dejar de observar que, tanto unos como otros, a pesar de haber sido sancionados, no han movido un dedo para cambiar ni los clausulados. Qué cosas…

Resolución contra Facebook en Canadá

facebookHace más de un año el Canadian Internet Policy and Public Interest Clinic (CIPPIC) denunció a Facebook ante la autoridad de protección de datos de Canadá, el Privacy Commisioner. Hoy se han publicado las conclusiones, donde se le concede a la red social treinta días para aceptar e implementar las recomendaciones que se le hacen, o podrá terminar en los tribunales para que le obliguen a hacerlo.

Entre otras cosas se ha detectado que:

– las explicaciones que se dan sobre privacidad son confusas e incompletas;

– aplicaciones de terceros: se permite a los desarrolladores acceder a datos que no les son necesarios, y se da poca información a los usuarios cuando las utilizan;

– cuando se cancela una cuenta Facebook retiene información personal. La autoridad considera insuficiente la explicación que se le ha ofrecido distinguiendo entre “borrado” y “desactivación” de las cuentas;

– el etiquetado de fotografías de terceros no usuarios, y la cesión de las direcciones de correo electrónico por parte de los usuarios a Facebook (“recomienda a un amigo”) han sido dos de los puntos más duros, puesto que la empresa se ha negado a regularlos.

Canadá es uno de los países modélicos en protección de la privacidad, y habrá que ver si es capaz de corregir a Facebook, si es que no cumple con la resolución.