Archivo de la categoría: LOPD

Datos sensibles

Posted on por
Responder

Se consideran datos personales sensibles (también llamados categorías especiales) aquellos datos que revelen:

1.- El origen étnico o racial.

2.- Las opiniones políticas.

3.- Las convicciones religiosas o filosóficas.

4.- La afiliación sindical.

5.- El tratamiento de datos genéticos.

6.- Los datos biométricos.

7.- Los datos de salud.

8.- Los datos relativos a la vida sexual u orientación sexuales.

Estos datos para considerarse personales y sensibles deberán poder asociarse a una persona concreta de forma unívoca.

Como norma general, el tratamiento de estos datos está prohibido.

Las únicas excepciones que permiten que una empresa pueda tratar este tipo de datos, son las siguientes:

  • El interesado dio su consentimiento explícito para el tratamiento de dichos datos personales.
  • El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social.
  • El tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no pueda dar su consentimiento.
  • El tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, y siempre que los datos personales no se comuniquen fuera de estas organizaciones sin el consentimiento de los interesados.
  • El tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos.
  • El tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial.
  • El tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido.
  • El tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsa­bilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros.
  • El tratamiento es necesario por razones de interés público en el ámbito de la salud pública.
  • El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos.

Es muy importante tener en cuenta que estas excepciones se deben aplicar sobre la base del Derecho de la Unión o de los Estados miembros, el tratamiento siempre debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.

Guía para reclamación de deudas, y consentimiento para uso de datos por parte de reclamadores

Posted on por
Responder

Frecuentemente escuchamos  a deudores quejarse, muchas veces con razón, de que están siendo “acosados” por sus acreedores, y de que usan sus datos sin su consentimiento, o que no saben quién les reclama ni por qué.

En este sentido, para entender mejor qué puede hacer y qué no puede hacer un acreedor para reclamar el pago de una deuda, puedes consultar la siguiente Guía, teniendo en cuenta que España es uno de los pocos países de la Unión Europea que no tiene una regulación específica para este tipo de reclamaciones:

1.- Por lo general, el acreedor está legitimado para contactar con el deudor, utilizando aquellos datos facilitados por el propio deudor. Para ello, el acreedor NO necesita el consentimiento del deudor y, por ese mismo motivo, el que el deudor lo revoque no tiene ningún efecto. También se podrá actualizar los datos de localización por parte del acreedor cuando hayan cambiado, aplicando las garantías respecto a la fiabilidad de esos datos.

2.- El punto 1 se justifica así porque la base legal de tratamiento no es el consentimiento. Aparte del interés legítimo del acreedor en cobrar la deuda, la base legal de tratamiento de los datos es la ejecución y desarrollo del contrato del que trae origen la deuda (por ejemplo un préstamo, un contrato de telefonía móvil o una hipoteca), que aún sigue vigente.

3.- Por lo general, es recomendable no contactar telefónicamente con un deudor fuera del siguiente horario: de 9:00 horas  a 21:00 horas, ni hacerlo de forma muy continuada (varias veces al día o todos los días de forma seguida), de manera que se pueda considerar que el deudor está siendo acosado. Una mala práctica en este sentido no solo no permitirá el objetivo (cobrar la deuda) ya que el deudor se siente acosado y perseguido, y el acreedor podrá tener problemas de ámbito penal.

4.- El acreedor, siempre que lo informe debidamente, podrá grabar las llamadas. Además, deberá informar de forma clara, al menos, de quién es el responsable del tratamiento de los datos, cómo ejercitar los derechos de protección de datos, base legal de tratamiento y facilitar el acceso a la política de privacidad o cláusula informativa de conformidad con el artículo 13 del RGPD.

5.- El acreedor, podrá contactar por otros medios, como SMS, mensajería instantánea, carta, visitas concertadas.

6.- El acreedor podrá contactar con personas del entorno del deudor (familiares, amigos, compañeros de trabajo…), siempre y cuando sea exclusivamente para localizar al deudor. Además, nunca podrá revelar el propósito de la llamada ni la condición de deudor de la persona que intenta localizar. Por último, téngase en cuenta que las personas del entorno del deudor pueden ejercer su derecho de oposición a recibir llamadas, por lo que en ese caso el acreedor no podrá volver a contactar con ellas.

7.- El deudor, aunque obviamente puede ejercitar su derecho de oposición o de supresión de sus datos, por lo general, y si la deuda sigue pendiente, es probable que no se acceda a su petición, si el acreedor entiende que prevalece su derecho a cobrar la deuda.

8.- El acreedor puede delegar la reclamación de deudas en empresas especializadas o despachos de abogados. En este caso, tampoco es necesario el consentimiento del deudor para transferir sus datos a estas empresas de recuperación de deuda, ya que estas actúan en calidad de encargados del tratamiento. Sin embargo, la empresa de recobro deberá informar correcta y claramente sobre quién es el acreedor inicial que actúa en calidad de responsable del tratamiento, además de lo previsto en el punto 4 anterior.

9.- Si el deudor ha pagado la deuda, o ha sufrido un fraude, o se le está reclamando un importe incorrecto, lo más recomendable es que se apresure en acreditar documentalmente todo lo que defiende, y se ahorre llamadas y discusiones maratonianas. En este sentido, si ha pagado la deuda, podrá acreditarlo mediante justificantes bancarios, si ha sufrido un fraude, siempre ayudará haber interpuesto la correspondiente denuncia a la policía.

10.- El acreedor, puede además dar de alta al deudor en ficheros de información crediticia (antes llamados de solvencia patrimonial y crédito), siempre y cuando se cumplan los requisitos previstos en el artículo 20 de la LOPDGDD.

Reconocimento facial y RGPD

Posted on por
Responder

De acuerdo con el RGPD, hay determinadas tecnologías que, por su novedad y/o falta de precisión, deben ser tratadas con especial cautela. Sobre todo si los datos tratados son considerados sensibles.

Este es el caso del reconocimiento facial, una tecnología que en algunos casos puede ser especialmente invasiva para la privacidad, y que en la mayoría de las ocasiones requiere una evaluación previa antes de implantarla en nuestra empresa o negocio.

Recientemente, la Autoridad sueca ha sancionado a un instituto de estudiantes que había decidido hacer una prueba piloto con esta tecnología, para un mejor control de la asistencia de sus alumnos.

En este caso, además de ser un proyecto piloto, el instituto había solicitado el consentimiento paterno de todos aquellos estudiantes que querían participar en el proyecto, lo que aparentemente se podría considerar que habían actuado diligentemente.

Sin embargo, y teniendo en cuenta esta tecnología de reconocimiento facial, la actuación correcta del instituto debería haber sido la siguiente:

1.- Realizar una evaluación de impacto en los derechos de los estudiantes respecto al tratamiento de sus datos, estudiando la posibilidad de utilizar métodos menos invasivos para su privacidad.

2.- Hacer una consulta previa a la Agencia de protección de datos sueca, para obtener en su caso el visto bueno de la misma.

Lamentablemente el instituto no realizó ninguna de estas acciones.

Por esta razón, antes de utilizar nuevas tecnologías en las que se tratan datos personales, siempre es recomendable seguir los pasos anteriores.

Por último, la AEPD ha publicado una lista de posibles tratamiento que necesariamente exigen la realización de una evaluación de impacto, y que puedes encontrar aquí.

Consentimiento y datos personales de empleados

Posted on por
Responder

Recientemente se ha sancionado a una empresa en Grecia (PwC) por una mala elección respecto a la base legal de tratamiento de los datos personales de sus empleados.

El esencial error que ha cometido esta empresa (que paradójicamente presta, entre otros servicios, el asesoramiento legal en protección de datos) es basar el tratamiento de datos de trabajadores en el consentimiento expreso de estos, mediante la firma de un documento. Y se entiende que es un error porque, con el nuevo Reglamento Europeo de Protección de Datos, existen bases legales mucho más fuertes y justificadas para el tratamiento de datos que el consentimiento, el cual deber quedar relegado únicamente a aquellos casos en lo que no es aplicable otra base legal.

En concreto, para el uso de datos personales de trabajadores, la base legal de tratamiento más correcta es el desarrollo y cumplimiento de un contrato entre la empresa y estos, y el cumplimiento de obligaciones legales (alta en Seguridad Social, por ejemplo).

Ante estos hechos, en PwC Grecia se dio la absurda situación en la que, al haber escogido una base legal como es el consentimiento, en aquellos casos en los que los empleados se han negado (o se han olvidado) de firmar el documento, se entiende que PwC estaba usando estos datos sin autorización, lo que ha desembocado en una sanción de 150.000 Euros.

5 Claves para cumplir con la LOPD en tu empresa

Posted on por
Responder

Como ya he comentado en otras ocasiones, los datos de carácter personal son derechos especialmente protegidos, y se encuentran dentro de la categoría de derechos fundamentales de la Constitución.

La privacidad de estos datos deber ser tomada muy en serio por las empresas y organizaciones, pues éstas gestionan información personal que, de ser conocida por terceros, puede causar perjuicios graves para los particulares, además de generar denuncias a la AEPD o demandas para éstas.

Sin perjuicio de que siempre recomendaré que un experto con conocimientos jurídico-técnicos en LOPD valore y audite cada empresa de forma independiente antes de implantar cualquier política de protección de datos, a continuación indico las claves básicas para dar un cumplimiento mínimo a la LOPD.

1.- Inscripción de los diferentes ficheros en la Agencia Española de Protección de Datos.

No se trata simplemente de inscribir un fichero genérico en el que caben todo tipo de datos. Se debe hacer un estudio previo de las diferentes formas en los que un empresa recaba datos de carácter personal para así organizarlos en diferentes ficheros. Por ejemplo, si los datos se recaban a través de un formulario web, conviene crear un fichero exclusivo para estos datos, si se recogen imágenes de una cámara de seguridad se debe crear otro fichero diferente, si se trata de proveedores otro, de curriculums otro, de personal y nóminas otro diferente, otro para clientes, etc. De esta manera, los datos estarán organizados, localizables y mejor protegidos según sus características, pues obviamente no es lo mismo tener información de enfermedades de una persona, que tener simplemente su e-mail.

Otra cosa importante es, por supuesto, poner esto en práctica y crear estos ficheros física o virtualmente de forma ordenada, y mantenerlos en buenas condiciones junto con las medidas técnicas adecuadas en función de si se trata de datos con una protección de grado básico, medio o alto.

2.- Elaboración de una política de privacidad y de cookies.

Tanto si tu empresa tiene una web como si no, la LOPD indica que se ha de elaborar una política de privacidad en la que se informará a los clientes o aquellas personas de las que se recaben sus datos de cual será el uso de los mismos, cómo pueden ejercitar los derechos ARCO (acceso, cancelación, rectificación y oposición), a dónde deben dirigirse los usuarios, titularidad del o los ficheros y otra información relevante que cada empresa quiera o deba facilitar a sus clientes.

Además, esta política se debe implementar en el propio seno de la empresa, y funcionar tal y como se indica a los clientes. Es decir, conviene que haya un responsable del fichero, un responsable de atender a los clientes que ejerciten sus derechos ARCO, etc. No es suficiente informar de nuestra política de privacidad si internamente la empresa no funciona como tal, ni se lleva ningún control sobre los datos.

3.- Elaborar el Documento de seguridad.

Un Documento de seguridad es donde se anotan protocolos de seguridad, medidas técnicas y organizativas para la protección de los datos, se indica quienes son los responsables de las diferentes funciones y ficheros, listado de personas con acceso a los datos, se archivan documentos firmados con terceros en relación con acceso a datos, contratos de confidencialidad con los trabajadores, etc. En definitiva, se trata de un documento «vivo», que se deberá actualizar con cada cambio y por ello es necesario que alguien se responsabilice del mismo.

Paradójicamente, el Documento de seguridad es el gran olvidado de las empresas, cuando en realidad es el documento más importante y el que, en caso de inspección por denuncia (de momento no hay inspecciones de oficio propiamente dichas) se requerirá. Hemos de tener en cuenta que las inspecciones suelen producirse por denuncia, normalmente de trabajadores pero cada vez los casos son más variados.

Actualmente, como digo, no existe la figura del inspector de protección de datos de carácter personal, pero hemos de tener en cuenta que un Inspector de trabajo también podrá solicitar el Documento de seguridad, ya que suele contener datos de carácter laboral, o curriculums, y aunque no se sancionará en caso de no tenerlo en condiciones, sí se anota en el acta de inspección.

Además, para muchas certificaciones ISO, el estar en cumplimiento de la LOPD es un requisito básico.

4.- Firma de Contratos con proveedores, clientes y trabajadores.

Otro gran olvido de las empresas u organizaciones es firmar los correspondientes documentos con aquellos proveedores, clientes u otras personas que tengan acceso a los datos o dependencias de éstas.

En estos contratos las partes implicadas se deben comprometer a hacer el uso correcto y necesario de los datos a los que acceden, además de guardar confidencialidad. Sin estos contratos, los datos  corren el peligro de ser utilizados para otras cuestiones.

5.- Mantenimiento.

Por último, y muy importante, es que las empresas deben concienciarse de que la LOPD es una de las leyes más estrictas y específicas que Europa nos impone, y que para dar un buen cumplimiento es necesario trabajar sobre los datos obtenidos de forma continua, establecer medidas técnicas adecuadas, auditarse y mantener unos estándares de protección y calidad adecuados de forma continuada, y por tanto tras la implantación de protección de datos, se deben proceder al mantenimiento correcto de todos los protocolos de cara a evitar sanciones importantes.

 

Spam: Los e-mails publicitarios y su legalidad

Posted on por
Responder

Publicación en Todostartups.com: El Spam

Captura_de_pantalla_18_02_13_11_58

¿A qué nos obligamos los usuarios de Facebook?

Posted on por
Responder

Lo que voy a hacer en esta entrada es una libre interpretación para que los legos en Derecho entiendan a qué se obligan al abrir una cuenta, qué dice Facebook que hace con nuestros datos, qué responsabilidades asumimos, que nos garantizan y a qué Jurisdicción aceptamos someternos.

En primer lugar, al abrir una cuenta de Facebook aceptas lo siguiente:

1.-FACEBOOK LO UTILIZAS BAJO TU PROPIA RESPONSABILIDAD.

2.- PROPORCIONAN FACEBOOK TAL CUAL SIN GARANTÍA ALGUNA EXPRESA O IMPLÍCITA, INCLUIDAS, DE MANERA ENUNCIATIVA PERO NO LIMITATIVA, LAS GARANTÍAS DE COMERCIABILIDAD, ADECUACIÓN A UN FIN PARTICULAR Y NO CONTRAVENCIÓN.

3.- NO GARANTIZAN QUE FACEBOOK SEA SEGURO.

4.- FACEBOOK NO SE RESPONSABILIZA DE LAS ACCIONES, EL CONTENIDO, LA INFORMACIÓN O LOS DATOS DE TERCEROS Y POR LA PRESENTE NOS DISPENSAS A NOSOTROS, NUESTROS DIRECTIVOS, EMPLEADOS Y AGENTES DE CUALQUIER DEMANDA O DAÑOS, CONOCIDOS O DESCONOCIDOS, DERIVADOS DE O DE ALGÚN MODO RELACIONADOS CON CUALQUIER DEMANDA QUE TENGAS INTERPUESTA CONTRA TALES TERCEROS.

5.- SI ERES RESIDENTE DE CALIFORNIA, NO SE TE APLICA EL CÓDIGO CIVIL DE CALIFORNIA §1542 , SEGÚN EL CUAL: UNA RENUNCIA GENERAL NO INCLUYE LAS DEMANDAS QUE EL ACREEDOR DESCONOCE O NO SOSPECHA QUE EXISTEN EN SU FAVOR EN EL MOMENTO DE EJECUCIÓN DE LA RENUNCIA, LA CUAL, SI FUERA CONOCIDA POR ÉL, DEBERÁ HABER AFECTADO MATERIALMENTE A SU RELACIÓN CON EL DEUDOR.

6.- NO SON RESPONSABLES DE NINGUNA PÉRDIDA DE BENEFICIOS, ASÍ COMO DE OTROS DAÑOS RESULTANTES, ESPECIALES, INDIRECTOS O INCIDENTALES DERIVADOS DE O RELACIONADOS CON ESTA DECLARACIÓN DE FACEBOOK, INCLUSO EN EL CASO DE QUE SE HAYA AVISADO DE LA POSIBILIDAD DE QUE SE PRODUZCAN DICHOS DAÑOS.

7.- SU RESPONSABILIDAD CONJUNTA DERIVADA DE LA PRESENTE DECLARACIÓN O DE FACEBOOK NO PODRÁ SOBREPASAR LA CANTIDAD MAYOR DE CIEN DÓLARES (100 $) O LA CANTIDAD QUE NOS HAYAS PAGADO EN LOS ÚLTIMOS DOCE MESES.

8.-LAS LEYES APLICABLES PODRÍAN NO PERMITIR LA LIMITACIÓN O EXCLUSIÓN DE RESPONSABILIDAD POR DAÑOS INCIDENTALES O CONSECUENCIALES, POR LO QUE LA EXCLUSIÓN DE LIMITACIÓN ANTERIOR PODRÍA NO SER APLICABLE EN TU CASO. EN TALES CASOS, LA RESPONSABILIDAD DE FACEBOOK SE LIMITARÁ AL GRADO MÁXIMO PERMITIDO POR LA LEY APLICABLE.

DATOS PERSONALES:

1.- Das tu consentimiento para que tus datos personales sean transferidos y procesados en Estados Unidos.
2.- Si te encuentras en un país bajo el embargo de Estados Unidos o que forme parte de la lista SDN (Specially Designated Nationals, Nacionales especialmente designados) del Departamento del Tesoro de Estados Unidos, no participarás en actividades comerciales en Facebook (como publicidad o pago) ni utilizarás una aplicación o sitio web de la Plataforma.
3.- Las condiciones aplicables específicamente a los usuarios de Facebook en Alemania están disponibles aquí.

1.- Ante cualquier discrepancia en la versión traducida al castellano, prevalece la versión inglesa.

2.- Facebook Ireland Limited para Europa está situada en Dublín, Irlanda. Por motivos fiscales probablemente, como muchas otras empresas norteamericanas. Si no estás establecido en USA o Canadá, esta es la sociedad responsable.

3.- Por otro lado, te indican que Facebook Inc. se ha establecido y registrado de acuerdo con las Leyes del Estado de Delaware, Estados Unidos.

PRIVACIDAD

Facebook recibe mucha información sobre nosotros, más que muchos de nuestros amigos o familia y además es muy importante para la compañía, la base de su negocio. Facebook sabe tu nombre y apellidos, tu correo electrónico, tu fecha de nacimiento, tu sexo, tus fotos, tus comentarios, los amigos que tienes, lo que te gusta o no te gusta, si tienes una relación con alguien, tus familiares, tus redes, tu nombre de usuario y tu identificador de usuario, tu país, tu ciudad (a veces incluso tu dirección), tu foto de perfil, etc…

Pero además, cuando utilizas cualquier aplicación o juego de Facebook, también pueden tener acceso a estos datos las empresas responsables o desarrolladoras de estas aplicaciones o juegos.

Por otro lado, tus propios amigos al etiquetarte también queda registrado para Factbook, saben que eres su amigo, que has estado con éste, e incluso el lugar exacto en el que has estado vía GPS o Google maps.

5.- Aunque lo indica ya empieza a “dar miedo”, a continuación indicamos qué información tiene Facebook de ti como usuario y para qué puede utilizarla, puesto que tú le has dado permiso:

1.- Cada vez que interactúas en Facebook queda registrado, cada vez que miras el perfil de otra persona queda registrado, tienen acceso a los mensajes que envía a otro usuario, cuando tratas de localizar algo o alguien en su buscador, cuando hace click en un anuncio, etc…

2.- Cada vez que subes una foto o video no sólo ven qué foto o video sino que saben la hora, fecha y lugar en el que hiciste la foto.

3.- Saben tu IP del ordenador o tu número de móvil si accedes desde éste o desde un IPad u otra tablet. Estos datos incluyen la localización (dónde estás en cada momento), el tipo de navegador de Internet que usas o las páginas web que visitas y a qué horas. Incluso pueden obtener tu localización GPS, y el sistema operativo que utilizas.

Además, lo que ellos llaman, “socios publicitarios”, clientes y “otros”, facilitan información sobre nosotros cuando interactuamos en un anuncio, una aplicación, un juego, número de clicks, horas de acceso, lugar, IP…Por tanto, no sólo Facebook tiene nuestros datos sino sus “socios publicitarios”, clientes y “otros”…

La “excusa” de Facebook es que tienen acceso y pueden hacer uso y transmitir estos datos para “calibrar su efectividad y mejorar su calidad”, pero creo que existen otras intenciones. La información es poder, y quien quiere poder, puede pagar mucho dinero.

Creo que no debe preocuparnos tanto el hecho de que alguien “nos vea” como el hecho de que dar tanta información a una organización que  le produce tantos beneficios debería hacernos pensar si queremos contribuir o no.

Facebook dice que sólo facilita nuestros datos a sus socios publicitarios o a sus clientes después de haber eliminado nuestro nombre u otros datos que puedan identificarnos (lo cual es lo de menos, pensémoslo bien), o bien después de haber combinado nuestros datos con los de otras personas de manera que dejen de estar asociados con nosotros.

Sin embargo, luego indican “de modo similar, cuando recibimos datos sobre ti de nuestros socios y clientes publicitarios, conservamos esos datos durante 180 días, es decir, 6 meses con nuestra cara y nuestros datos, nombres, apellidos, fotos…!! Pasado este tiempo, combinamos esos datos con los de otras personas de forma que dejan de estar asociados contigo.

INFORMACIÓN PÚBLICA

Esta información es la que no sólo es accesible a través de Facebook sino que te pueden localizar por Google u otros buscadores, y tus datos serán accesibles para sus API de la gráfica social. Se supone que tú decides hacerla pública o no, pero no todos los usuarios, y menos los más jóvenes y vulnerables, son conscientes de esto.

Además indican que, en ocasiones, cuando publiques algo (como cuando escribas en el muro de una página o comentes un artículo periodístico que incluye el plug-in de comentarios) no podrás elegir un público concreto. Esto se debe a que algunas publicaciones son siempre públicas. En general, se entiende que si no hay un icono para compartir, la información será pública.

Cuando otras personas comparten información sobre ti, pueden optar a hacerla pública.

Pero además, hay información que SIEMPRE es pública:

Nombre. Si no te gusta esto, te proponen como solución eliminar tu cuenta. ;)
Fotos del perfil. Si no te gusta esto, Facebook te propone borrarla. ;)
Red. Facebook dice: Si no quieres hacer pública tu red, puedes abandonar la red.
Nombre de usuario e identificador de usuario.

¿PARA QUÉ UTILIZAN LA INFORMACIÓN NUESTRA QUE RECIBEN?

Según Facebook, utilizan tu la información:

•    como parte de nuestros esfuerzos por mantener la seguridad de Facebook. Nuestros datos no son necesarios para esto. COMENTARIO: Lo necesario es crear una herramienta segura.

•    para ofrecerte funciones y servicios de localización, como informarte a ti y a tus amigos sobre eventos cercanos. COMENTARIO: Los servicios de localización no sólo se usan para beneficio del usuario, sino para crear bases de datos segmentadas por países, provincias o incluso barrios de las ciudades.

•    para calibrar o comprender la eficacia de los anuncios que tú y otros usuarios veis.

•    para hacerte sugerencias a ti y a otros usuarios de Facebook, como: sugerir a tu amigo que utilice nuestra herramienta de importación de contactos porque tú encontraste amigos gracias a ella; sugerir a otro usuario que te incorpore a su lista de amigos porque ese usuario ha importado la misma dirección de correo electrónico que tú, o sugerir a un amigo que te etiquete en una foto que ha cargado en la que apareces.

Facebook dice: “Aunque nos permites utilizar la información que recibimos acerca de ti, tú eres en todo momento su propietario”. Vamos, esto es como cuando prestas un libro. Efectivamente soy el propietario, pero no volveré a ver el libro ni sabré qué  se hace con él jamás.

Facebook compartirá tu información con terceros desconocidos si les das permiso.

ELIMINACIÓN Y DESACTIVACIÓN DE TU CUENTA

Facebook dice:

Si quieres dejar de usar tu cuenta, la puedes desactivar o eliminar.

Desactivación

Una cuenta desactivada queda en espera. El resto de usuarios ya no podrán ver tu perfil, pero no eliminaremos tu información. Al desactivar una cuenta nos estás pidiendo que no eliminemos la información porque piensas volver a activar la cuenta más adelante.

Puedes desactivar tu cuenta en la página de configuración de la cuenta.

Eliminación

Cuando eliminas una cuenta, se borra de forma permanente de Facebook. Normalmente tardamos aproximadamente un mes en eliminar una cuenta, pero puede quedar información en las copias de seguridad y los registros durante hasta 90 días. Sólo deberías eliminar tu cuenta si estás seguro de que nunca querrás volver a activarla.

CESIÓN DE TODOS TUS DATOS, FOTOS Y CONTENIDOS

Cedes a Facebook (no sabemos si a Facebook Irlanda o Facebok Inc. de Estados Unidos o a ambas) TODOS tus datos, incluidas fotos y videos,  para que puedan usarlos de forma no exclusiva. Estos datos los pueden transmitir a cualquiera, sin royalties, aplicable globalmente en TODO EL MUNDO, para utilizar cualquier contenido tuyo que publiques en Facebook o en conexión con Facebook. Si eliminas tu cuenta, esta cesión NO finaliza si el contenido se ha compartido con terceros y éstos no lo han eliminado. Con lo cual, pierdes el control de tus datos.
1.    Es más, cuando eliminas contenido puede quedar en copias de seguridad durante un plazo de tiempo razonable COMENTARIO_ ¿Cuánto es un tiempo razonable para Facebook? ¿Con qué finalidad?
2.    Cuando usas una aplicación, tu contenido e información se comparte con ella. Ésta controlará el modo en que la aplicación use, almacene y transfiera dicho contenido e información.
3.    Cuando publicas contenido o información con la configuración Todos, significa que permites que todos, incluidas las personas que son ajenas a Facebook, accedan y usen dicha información y la asocien a ti (es decir, tu nombre y foto del perfil).
4.    Pueden utilizar tus datos, incluso con fines comerciales, sin obligación de compensarte por ello (del mismo modo que tú no tienes obligación de ofrecerlos).

SEGURIDAD DE LA CUENTA Y REGISTRO

Los usuarios de Facebook proporcionan sus nombres e información reales y necesitamos tu colaboración para que siga siendo así. Éstos son algunos de los compromisos que aceptas en relación con el registro y mantenimiento de la seguridad de tu cuenta:
5.    No proporcionarás información personal falsa en Facebook, ni crearás una cuenta para otras personas sin su autorización.
6.    No crearás más de un perfil personal.
7.    Si inhabilitamos tu cuenta, no crearás otra sin nuestro permiso.
8.    No utilizarás tu perfil personal para obtener ganancias comerciales (como vender tu actualización de estado a un anunciante).
9.    No utilizarás Facebook si eres menor de 13 años.
10.    No utilizarás Facebook si has sido declarado culpable de un delito sexual.
11.    Mantendrás la información de contacto exacta y actualizada.
12.    No compartirás la contraseña (o en el caso de los desarrolladores, tu clave secreta), no dejarás que otra persona acceda a tu cuenta, ni harás cualquier cosa que pueda poner en peligro la seguridad de tu cuenta.
13.    No transferirás la cuenta (incluida cualquier página o aplicación que administres) a nadie sin nuestro consentimiento previo por escrito.
14.    Si seleccionas un nombre de usuario para tu cuenta, nos reservamos el derecho a eliminarlo o reclamarlo si lo consideramos oportuno (por ejemplo, si el propietario de una marca comercial se queja por un nombre de usuario que no está relacionado estrechamente con el nombre real del usuario).

TUS OBLIGACIONES CON FACEBOOK

Según Facebook:

No publicarás contenido ni realizarás ninguna acción en Facebook que infrinja o viole los derechos de otros o que viole la ley de algún modo.

Podemos retirar cualquier contenido o información que publiques en Facebook si consideramos que viola estaDeclaración. COMENTARIO: ¿Qué hacen con este contenido?

Te proporcionaremos las herramientas necesarias para ayudarte a proteger tus derechos de propiedad intelectual.

Para obtener más información, visita nuestra página Cómo informar de presuntas infracciones de los derechos de propiedad intelectual.

Si infringes repetidamente los derechos de propiedad intelectual de otra persona, desactivaremos tu cuenta si es oportuno.

No utilizarás nuestros copyrights o marcas registradas (incluidos Facebook, los logotipos de Facebook y F, FB, Face, Poke, Wall y 32665) ni ninguna marca que se parezca a las nuestras sin nuestro permiso por escrito.

Si recopilas información de usuarios: deberás obtener su consentimiento previo, dejar claro que eres tú (y no Facebook) quien recopila la información y publicar una política de privacidad que explique qué datos recopilas y cómo los usarás.

No publicarás los documentos de identificación ni información financiera de nadie en Facebook.

No etiquetarás a los usuarios ni enviarás invitaciones de correo electrónico a quienes no sean usuarios sin su consentimiento.

MÓVIL

Actualmente ofrecemos nuestros servicios de móviles de forma gratuita pero ten en cuenta que se aplicarán las tarifas normales de tu operadora, por ejemplo, las tarifas de mensajes de texto.

En caso de que cambies o desactives tu número de teléfono móvil, actualizarás la información de tu cuenta de

Facebook en un plazo de 48 horas para garantizar que los mensajes no se le envíen por error a la persona que pudiera adquirir tu antiguo número.

Proporcionarás todos los derechos necesarios para permitir que los usuarios sincronicen (incluso a través de una aplicación) sus listas de contactos con cualquier información básica y de contacto que puedan ver en Facebook, así como tu nombre y foto del perfil.

Disposiciones especiales aplicables a los enlaces compartidos

Si incluyes en tu sitio web nuestro botón para compartir enlaces, debes tener en cuenta los siguientes términos adicionales:

Te damos permiso para utilizar el botón de compartir enlaces de Facebook para que los usuarios puedan publicar enlaces o contenido de tu sitio web en Facebook.

Nos das permiso para utilizar dichos enlaces y el contenido en Facebook, y para permitir que otros los utilicen.

No pondrás un botón de compartir enlaces en ninguna página que incluya contenido que pueda violar esta Declaración si se publica en Facebook.

Disposiciones especiales aplicables a desarrolladores u operadores de aplicaciones y sitios web

Si eres un desarrollador u operador de una aplicación de la Plataforma o de un sitio web, se aplicarán las siguientes condiciones adicionales:

Eres responsable de tu aplicación, de su contenido y del uso que hagas de la Plataforma. Esto incluye la obligación de asegurar que tu aplicación o uso de la plataforma cumple las Normas de la plataforma de Facebook y nuestras Normas de publicidad.

El acceso a la información que recibes de Facebook y su utilización por tu parte se limitará de la siguiente forma:

1.    Sólo podrás solicitar los datos que necesites para hacer funcionar tu aplicación.

2.    Dispondrás de una política de privacidad que indique a los usuarios qué datos de usuario utilizarás, además de la forma en que los utilizarás, mostrarás, compartirás o transferirás. También incluirás la dirección web de la política de privacidad en la aplicación.

3.    No utilizarás, mostrarás, compartirás ni transferirás datos de un usuario de un modo que resulte incoherente con la configuración de privacidad.

4.    Eliminarás todos los datos que recibas de nosotros relacionados con un usuario si éste te pides que los elimines, y facilitarás un mecanismo para que los usuarios puedan realizar dicha solicitud.

5.    No incluirás datos que recibas de nosotros en relación con un usuario en ningún mensaje publicitario.

6.    No transferirás, directa o indirectamente, los datos que recibas de nosotros a (ni los usarás en conexión con) ninguna red publicitaria, intercambio de anuncios, agente de datos u otro conjunto de herramientas relacionado con la publicidad, incluso si un usuario consiente en dicha transferencia o uso.

7.    No venderás los datos de los usuarios. Si un tercero compra tu empresa o si la fusionas con otra, podrás seguir utilizando los datos de los usuarios en la aplicación, pero no podrás transferirlos fuera de ella.

8.    Podemos solicitar que elimines datos de usuarios si los utilizas de un modo que no responde a las expectativas de los usuarios.

9.    Podemos limitar tu acceso a los datos.

10.    Cumplirás todas las demás restricciones incluidas en nuestras Normas de la plataforma de Facebook.

No nos proporcionarás información que recopiles independientemente de un usuario ni el contenido de un usuario sin su consentimiento.

Facilitarás a los usuarios la eliminación o desconexión de tu aplicación.

Facilitarás a los usuarios el modo de ponerse en contacto contigo. También podemos compartir tu dirección de correo electrónico con los usuarios y otras personas que afirmen que has infringido o violado sus derechos.

Proporcionarás atención al cliente para tu aplicación.

No mostrarás anuncios de terceros o casillas de búsqueda en la web en Facebook.

Te concedemos todos los derechos necesarios para usar el código, las API, los datos y las herramientas que recibes de nosotros.

No venderás, transferirás ni sublicenciarás nuestro código, API (interfaces de programación de aplicaciones) o herramientas a nadie.

No falsearás tu relación con Facebook ante otros.

Puedes utilizar los logos disponibles para desarrolladores o hacer público un comunicado de prensa o cualquier otra declaración pública siempre que cumplas las Normas de la plataforma de Facebook.

Podemos publicar un comunicado de prensa que describa nuestra relación contigo.

Cumplirás todas las leyes aplicables. En particular, deberás (si procede):

1.- tener una política de eliminación de contenido infractor e inhabilitación de los infractores que sea conforme a la ley estadounidense de protección de los derechos de autor (Digital Millennium Copyright Act).

2.- cumplir la ley de protección de la privacidad de vídeo (Video Privacy Protection Act, VPPA) y obtener el consentimiento necesario de los usuarios para que se puedan compartir en Facebook los datos de usuario de acuerdo con la VPPA. Declaras que cualquier notificación que nos hagas no incidirá en el transcurso normal de tu negocio.

No garantizamos que la Plataforma será siempre gratuita.

Nos concedes todos los derechos necesarios para habilitar tu aplicación para que funcione con Facebook, incluido el derecho a:

Nos concedes el derecho a enlazar a tu aplicación, o a incluirla en un marco, y a colocar contenido, incluidos anuncios, alrededor de ella.

Podemos analizar tu aplicación, contenido y datos para cualquier propósito, incluido el comercial (por ejemplo, para la segmentación de anuncios o el indexado de contenido para búsquedas).
Para garantizar que tu aplicación es segura para los usuarios, podríamos realizar una auditoría.
Podemos crear aplicaciones que ofrezcan funciones y servicios similares a los de tu aplicación, o que de algún modo compitan con ella.

¿QUÉ PASA SI HAY ALGÚN CONFLICTO CON FACEBOOK?

Pues de primeras te sometes al Tribunal de Santa Clara (¡!!!!), California. Te sometes a las Leyes del Estado de California.

IMPORTANTE: Si alguien interpone una demanda contra Facebook relacionada con tus acciones, tu contenido o tu información en Facebook, te encargarás de indemnizar a Facebook y le librarás de la responsabilidad por todos los posibles daños, pérdidas y gastos de cualquier tipo (incluidos los costes y tasas legales razonables) relacionados con dicha demanda.

Además de todo esto, lo cual debería, como poco, ponernos en alerta, no llegamos a comprender aún la finalidad de que Facebook quiera tantos datos de nosotros. Parece claro que nuestros datos pueden ser cedidos a terceros, que utilizan nuestros datos para realizar estadísticas, que pueden saber antes que nadie qué nos va a gustar el año que viene o qué artículos se van a vender más en cada país, provincia o barrio. Pueden segmentar nuestros gustos con un simple click, puesto que disponen de una sofisticadísima base de datos, de la cual no garantizan que pueda fallar o ser hackeada.

En fin, se me ocurren muchos riesgos sobre los datos que Facebook obtiene, de manera lícita, eso sí, puesto que nosotros aceptamos todas estas condiciones mediante un contrato de adhesión que no permite negociación alguna. O lo aceptas, o no lo aceptas.
La desprotección es total, habida cuenta que ningún usuario medio acudirá a los Tribunales de Santa Clara California, otra cosa serán las empresas potentes.

Por último, me gustaría aclarar que esta interpretación es personal, que no afirmo ni confirmo nada, simplemente me base en lo que las condiciones de Facebook a ka fecha de publicación de esta entrada indica y a mi libre entender quieren decir.

LOPD: El documento de seguridad y las medidas de seguridad.

Posted on por
Responder

Nuestra LOPD y el Reglamento que lo desarrolla, nos obliga a:

1.- DOCUMENTAR todas las medidas de seguridad que implantemos para la protección de los ficheros de datos de carácter personal. En este sentido, se debe indicar cómo, quién y de qué manera se manejarán los datos por parte del responsable/encargado del tratamiento.

2.- DAR A CONOCER el documento de seguridad.

3.- LISTA DE USUARIOS del documento de seguridad, claramente identificados.

4.- Qué DERECHOS DE ACCESO tienen los mencionados usuarios de estos datos.

5.- Utilización de NOMBRE DE USUARIO Y PASSWORD para cada uno de los usuarios, la cual debe renovarse cada año, como mínimo.

6.- Se debe HACER COPIAS DE SEGURIDAD semanalmente, y cada 6 meses comprobar que puedo recuperar los datos.

7.- MANTENER LAS MEDIDAS DE SEGURIDAD durante traslados de la información.

8.- Cuando se produce un CAMBIO DE ORDENADOR, se debe borrar de forma segura la información (destrucción de datos segura).

9.- Si se trata de papel, los documentos han de mantenerse BAJO LLAVE.

10.-  Llevar un REGISTRO DE INCIDENCIAS.

Estas son, grosso modo, las medidas de nivel básico a las que la LOPD nos obliga.

¿Dónde se aplican las medidas?

Por supuesto en los datos de carácter personal, pero también en los procesos relacionados con los mismos, aplicaciones, sistemas operativos (software), ordenadores (hardware), en las propias personas, etc.

Las medidas de seguridad deben evitar cuatro cosas:

1.- Alteración no consentida o autorizada de los datos
2.- Pérdida de los datos.
3.- Tratamiento no autorizado de los datos.
4.- Acceso no autorizado de los datos.

El análisis de riesgos

Respecto a este asunto, simplemente apuntar que, obviamente, será necesario un exhaustivo análisis de riesgos previo para poder saber qué medidas de seguridad debemos implantar (aunque ya nos las dice la Ley), y sobre todo cómo. Para ello, necesitaremos la ayuda de un abogado o consultor/auditor especializado en la materia.

Tipos de tratamiento de datos

El tratamiento puede ser automatizado o no automatizado (papel). El tratamiento NO automatizado está en desuso.

Dentro del tratamiento automatizado (informatizado, digitalizado), existen a su vez 3 tipos de tratamiento:

1.- Básico
2.- Medio
3.- Alto

Según el tipo de datos, se aplicará un tratamiento u otro, ya que la LOPD determina, como ya expliqué en su momento, que existen datos personales especialmente protegidos relativos a la salud, orientación sexual, religión, afiliación sindical, etc. Lógicamente para este tipo de datos se aplica un tratamiento de nivel alto.

Y por último, simplemente indicar, que cada tipo de tratamiento lleva aparejadas unas medidas diferentes, que se diferencian en función del tipo de datos. Las medidas de nivel medio incluyen todas las del nivel básico más las de nivel medio. Las medidas de nivel alto incluyen todas las básicas, las de nivel medio y las de nivel alto.

Seguridad y protección de datos. Las medidas de seguridad.

Posted on por
Responder

El objeto de protección obviamente son las personas. Históricamente, el uso indiscriminado de datos personales sin ninguna protección ha provocado daños irreparables, por eso surgió esta necesidad.

La mayor parte de estos daños surgieron a raíz de la aparición de tecnologías que permitían el tratamiento de datos de forma masiva, además de automatizada.

Ya en 1890, Samuel Samuel Warren y Louis Brandeis (Universidad de Harvard) publicaron «The Right to Privacy,» que se considera como uno de los artículos jurídicos más influyentes en las legislaciones relativas a la privacidad y protección de datos, criticando la forma indiscriminada en la que se trataban datos personales por parte de la prensa sensacionalista.

Otro acontecimiento relevante es el indiscriminado control que los nazis ejercieron sobre los judíos para llevar a cabo la aniquilación de la población judía en Europa durante la Segunda Guerra Mundial.

Sobre este tema, por si alguien quiere ampliar información, existe un libro llamado “IBM y el Holocausto” de Edwin Black, y que, por increíble que parezca, se publicó en 2001. El libro narra la alianza nazi con IBM a través de su filial alemana Deutsche Hollerith Maschinen GmbH (Dehomag), empresa norteamericana que ideó las máquinas Hollerith (máquinas que fabricaban las tarjetas perforadas para identificación de los judíos en Europa). El libro en sí quizás no sea del todo objetivo, pero en todo caso es un documento curioso.

De hecho, no es casualidad que precisamente sea Alemania el país impulsor de las primeras legislaciones en materia de protección de datos.

Así, en 1970 nace la primera Ley de protección de datos en la región de Hesse, y en 1978 la Ley Federal de Protección de Datos para todo Alemania.

Y siguiendo con derecho comparado, nos trasladamos quizás, al otro lado más extremo. Como muchos ya saben, en el Estado de California existe la Megan´s Law. Esta ley surgió a raíz de una niña de 7 años de New Jersey, Megan Kanka, que fue violada y asesinada, cuyo violador y asesino posteriormente pasó a vivir, por tener acceso a determinados datos, justo al lado de los padres de la víctima.

El partido republicano californiano aprobó entonces la Megan´s Law, basada principalmente en un Registro público de personas que han cometido un delito sexual.

Esto dio lugar a la creación de una web en la que cualquiera, de cualquier país, puede acceder a un mapa en donde se localizan los domicilios de aquellas personas que hayan sido condenados por delitos sexuales. Si se mudan, tienen obligación de comunicar su nuevo domicilio en California, y de no hacerlo incurrirán en un delito grave.

Obviamente aquí nos surgen algunas dudas: ¿qué pasa con los condenados por error? ¿serán capaces estas personas de reinsertarse a la sociedad? ¿y de tener un trabajo, amigos, vida social? ¿realmente sirve de algo teniendo en cuenta que las cifras de delitos sexuales no se han reducido?

En todo caso, si tienes curiosidad, puedes echar un vistazo a la web (www.meganslaw.ca.gov), en la que no sólo verás en un mapa la localización del domicilio de estas personas, sino que haciendo “click” en los puntos azules del mapa (los domicilios), verás su fotografía en alta calidad, nombre y apellidos, alias, delitos imputados, color de ojos, altura…

Otro ejemplo sería la web del estado de Texas http://www.blueservo.net, en el que se hace una vigilancia constante de la frontera mediante cámaras, en la que se implica a los ciudadanos que colaboran en esta vigilancia. Actualmente hay unos 25.000 vigilantes. Volvemos de nuevo a preguntarnos si esto encajaría en nuestro país, si hemos traspasado los límites, si es realmente útil, si el ser humano debe actuar así ante otros seres humanos…

España

En nuestro país, rige tanto la ya comentada LOPD como el Reglamento que la desarrolla. En este sentido, la normativa nos obliga a aplicar determinadas medidas de seguridad sobre el tratamiento de datos de carácter personal, y éstas debe estar documentadas. Esta obligación hace que surja el denominado Documento de Seguridad, cuyas características y contenido desarrollaré en posteriores entradas.

Situación actual: «Ley Sinde», inseguridad jurídica clara y necesidad de reforma

Posted on por
Responder

Según las últimas noticias, parece ser que la denominada Ley Sinde, ha sido aprobada por el COnsejo de Ministros y entrará en vigor en marzo.

Básicamente esta «ley» está destinada a cerrar páginas web sin necesidad de intervención judicial, sino a través de una comisión administrativa dependiente del Ministerio de Cultura, pero previa autorización del juez. Una vez producido el cierre, un juez verificará que no se han vulnerado derechos fundamentales como la libertad de expresión o información. En mi opinión, debería ser precisamente al revés, ya que parece que se pone por encima un derecho NO fundamenta como es el de la propiedad intelectual, sobre dos derechos fundamentales reconocidos como tal en nuestra Constitución, no así el derecho a la propiedad intelectual, o más concretamente el derecho patrimonial-económico que conlleva la propiedad intelectual.

Por tanto, de alguna manera se establece un precedente para controlar los contenidos de Internet por parte del Gobierno.

Esto nos lleva a realizar algunas valoraciones:

  • La causa para cerrar una página web es la infracción de derechos de autor.
  • La potestad para hacerlo se otorga a la Comisión de Propiedad Intelectual, dependiente del Ministerio de Cultura, no a un juez, aunque requerirá la autoprización previa.
  • Se obliga a los prestadores de servicios de la sociedad de la información a entregar a dicha Comisión la información (datos de carácter personal) de identificación de sus usuarios.
  • El derecho legítimo a lucrarse de unos, prima sobre los derechos fundamentales del resto.

Es importante dejar claro que la llamada «ley Sinde» no es una Ley propiamente dicha, sino una de las medidas de la Ley 2/2011, de 4 de marzo, de Economía Sostenible, que implica  la modificación de las siguientes Leyes:

1.- Real Decreto Legislativo 1/1996, de 12 de abril, por el que se aprueba el Texto Refundido de la Ley de Propiedad Intelectual, regularizando, aclarando y armonizando las disposiciones legales vigentes sobre la materia.

PRIMERO.- Se introduce una nueva letra e) en el artículo 8.1 de la mencionada Ley:

  1. La salvaguarda de los derechos de propiedad intelectual.

SEGUNDO.- Se introduce un nuevo apartado segundo del artículo 8 de la Ley:

2. Los órganos competentes para la adopción de las medidas a que se refiere el apartado anterior, con el objeto de identificar al responsable del servicio de la sociedad de la información que está realizando la conducta presuntamente vulneradora, podrán requerir a los prestadores de servicios de la sociedad de la información la cesión de los datos que permitan tal identificación a fin de que pueda comparecer en el procedimiento. Tal requerimiento exigirá la previa autorización judicial de acuerdo con lo previsto en el apartado primero del artículo 122 bis de la Ley reguladora de la Jurisdicción contencioso-administrativa. Una vez obtenida la autorización, los prestadores estarán obligados a facilitar los datos necesarios para llevar a cabo la identificación.

TERCERO.- Se introduce una disposición adicional quinta en el Texto Refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril, con la siguiente redacción:

El Ministerio de Cultura, en el ámbito de sus competencias, velará por la salvaguarda de los derechos de propiedad intelectual frente a su vulneración por los responsables de servicios de la sociedad de información en los términos previstos en los artículos 8 y concordantes de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico.

CUARTO.- Se modifica el artículo 158 del Texto Refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril con la siguiente redacción:

Artículo 158. Comisión de Propiedad Intelectual.

1. Se crea en el Ministerio de Cultura la Comisión de Propiedad Intelectual, como órgano colegiado de ámbito nacional, para el ejercicio de las funciones de mediación y arbitraje, y de salvaguarda de los derechos de propiedad intelectual que le atribuye la presente Ley.

2. La Comisión actuará por medio de dos Secciones.

La Sección Primera ejercerá las funciones de mediación y arbitraje que le atribuye la presente Ley.

La Sección Segunda velará, en el ámbito de las competencias del Ministerio de Cultura, por la salvaguarda de los derechos de propiedad intelectual frente a su vulneración por los responsables de servicios de la sociedad de información en los términos previstos en los artículos 8 y concordantes de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico.

3. Corresponde a la Sección Primera el ejercicio de las funciones de mediación y arbitraje, de acuerdo con las siguientes reglas:

    1. En su función de mediación:
      1. Colaborando en las negociaciones, previo sometimiento de las partes, para el caso de que no llegue a celebrarse un contrato, respecto a las materias directamente relacionadas con la gestión colectiva de derechos de propiedad intelectual, y para la autorización de la distribución por cable de una emisión de radiodifusión, por falta de acuerdo entre los titulares de los derechos de propiedad intelectual y las empresas de distribución por cable.
      2. Presentando, en su caso, propuestas a las partes.

Se considerará que todas las partes aceptan la propuesta a que se refiere el párrafo anterior, si ninguna de ellas expresa su oposición en un plazo de tres meses. En este supuesto, la resolución de la Comisión surtirá los efectos previstos en la Ley 60/2003, de 23 de diciembre, de Arbitraje, y será revisable ante el orden jurisdiccional civil. La propuesta y cualquier oposición a la misma se notificará a las partes, de conformidad con lo dispuesto en los artículos 58 y 59 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.

El procedimiento mediador se determinará reglamentariamente.

    1. La Comisión actuará en su función de arbitraje:
      1. Dando solución, previo sometimiento de las partes, a los conflictos que se susciten entre entidades de gestión, entre los titulares de derechos y las entidades de gestión, o entre éstas y las asociaciones de usuarios de su repertorio o las entidades de radiodifusión o de distribución por cable. El sometimiento de las partes a la Comisión será voluntario y deberá constar expresamente por escrito.
      2. Fijando una cantidad sustitutoria de las tarifas generales, a los efectos señalados en el apartado 2 del artículo anterior, a solicitud de la propia entidad de gestión afectada, de una asociación de usuarios, o de una entidad de radiodifusión, siempre que éstas se sometan, por su parte, a la competencia de la Comisión con el objeto previsto en la letra a) de este apartado.

Reglamentariamente se determinará el procedimiento para el ejercicio de su función de arbitraje.

La decisión de la Comisión tendrá carácter vinculante y ejecutivo para las partes.

Lo determinado en este apartado se entenderá sin perjuicio de las acciones que puedan ejercitarse ante la jurisdicción competente. No obstante, el planteamiento de la controversia sometida a decisión arbitral ante la Comisión impedirá a los Jueces y Tribunales conocer de la misma, hasta que haya sido dictada la resolución y siempre que la parte interesada lo invoque mediante excepción.

    1. En el ejercicio de sus funciones para la fijación de cantidades sustitutorias de tarifas, la Comisión valorará, el criterio de utilización efectiva, por el usuario, del repertorio real de titulares y obras o prestaciones que gestionen las entidades y la relevancia y utilización en el conjunto de la actividad del usuario.

La Comisión también podrá tener en cuenta, entre otros criterios o antecedentes, las tarifas existentes para la explotación de los mismos derechos y que hayan sido establecidas por la Comisión o en los acuerdos y contratos firmados por la propia entidad para situaciones análogas.

  1. La Sección Primera de la Comisión estará formada por tres miembros nombrados por el Ministro de Cultura, a propuesta de los Subsecretarios de los Ministerios de Economía y Hacienda, Cultura y Justicia, por un período de tres años renovable por una sola vez, entre expertos de reconocida competencia en materia de propiedad intelectual. Los Ministerios de Cultura y Economía y Hacienda nombrarán, conjuntamente, al Presidente de la Sección Primera. La Sección se regirá por lo establecido en el presente texto y, supletoriamente, por las previsiones de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y Procedimiento Administrativo Común y de la Ley 60/2003, de 23 de diciembre, de Arbitraje.

4. Corresponde a la Sección Segunda, que actuará conforme a los principios de objetividad y proporcionalidad, el ejercicio de las funciones previstas en los artículos 8 y concordantes de la Ley 34/2002, para la salvaguarda de los derechos de propiedad intelectual frente a su vulneración por los responsables de servicios de la sociedad de información.

La Sección podrá adoptar las medidas para que se interrumpa la prestación de un servicio de la sociedad de la información que vulnere derechos de propiedad intelectual o para retirar los contenidos que vulneren los citados derechos siempre que el prestador, directa o indirectamente, actúe con ánimo de lucro o haya causado o sea susceptible de causar un daño patrimonial.

Antes de proceder a la adopción de estas medidas, el prestador de servicios de la sociedad de la información deberá ser requerido a fin de que en un plazo no superior a las 48 horas pueda proceder a la retirada voluntaria de los contenidos declarados infractores o, en su caso, realice las alegaciones y proponga las pruebas que estime oportunas sobre la autorización de uso o la aplicabilidad de un límite al derecho de Propiedad Intelectual. Transcurrido el plazo anterior, en su caso, se practicará prueba en dos días y se dará traslado a los interesados para conclusiones en plazo máximo de cinco días. La Comisión en el plazo máximo de tres días dictará resolución. La retirada voluntaria de los contenidos pondrá fin al procedimiento. En todo caso, la ejecución de la medida ante el incumplimiento del requerimiento exigirá de la previa autorización judicial, de acuerdo con el procedimiento regulado en el apartado segundo del artículo 122 bis de la Ley reguladora de la Jurisdicción Contencioso-Administrativa.

Lo dispuesto en este apartado se entiende sin perjuicio de las acciones civiles, penales y contencioso-administrativas que, en su caso, sean procedentes.

La Sección, bajo la presidencia del Subsecretario del Ministerio de Cultura o persona en la que éste delegue, se compondrá de un vocal del Ministerio de Cultura, un vocal del Ministerio de Industria, Turismo y Comercio, un vocal del Ministerio de Economía y Hacienda y un vocal del Ministerio de la Presidencia.

Reglamentariamente se determinará el funcionamiento de la Sección y el procedimiento para el ejercicio de las funciones que tiene atribuidas. El procedimiento para el restablecimiento de la legalidad, que se iniciará siempre a instancia del titular de los derechos de propiedad intelectual que se consideran vulnerados o de la persona que tuviera encomendado su ejercicio y en el que serán de aplicación los derechos de defensa previstos en el artículo 135 de la Ley 30/1992, estará basado en los principios de celeridad, proporcionalidad y demás previstos en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. La falta de resolución en el plazo reglamentariamente establecido tendrá efectos desestimatorios de la solicitud. Las resoluciones dictadas por la Comisión en este procedimiento ponen fin a la vía administrativa.

PRIMERO.- 2. Corresponderá a los Juzgados Centrales de lo Contencioso-Administrativo, la autorización a que se refiere el artículo 8.2 de la Ley 34/2002 así como autorizar la ejecución de los actos adoptados por la Sección Segunda de la Comisión de Propiedad Intelectual para que se interrumpa la prestación de servicios de la sociedad de la información o para que se retiren contenidos que vulneren la propiedad intelectual, en aplicación de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la información y de Comercio Electrónico.

Seis. Se modifica la letra d) del apartado 1 del artículo 80 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, con el siguiente tenor:

  1. Los recaídos sobre las autorizaciones previstas en el artículo 8.6 y en los artículos 9.2 y 122 bis.

Siete. Se introduce un nuevo artículo 122 bis en la Ley 29/1998, de 13 de abril, reguladora de la Jurisdicción Contencioso-administrativa, con el siguiente tenor:

1. El procedimiento para obtener la autorización judicial a que se refiere el artículo 8.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico, se iniciará con la solicitud de los órganos competentes en la que se expondrán las razones que justifican la petición acompañada de los documentos que sean procedentes a estos efectos. El Juzgado, en el plazo de 24 horas siguientes a la petición y, previa audiencia del Ministerio Fiscal, dictará resolución autorizando la solicitud efectuada siempre que no resulte afectado el artículo 18 apartados 1 y 3 de la Constitución.

2. La ejecución de las medidas para que se interrumpa la prestación de servicios de la sociedad de la información o para que se retiren contenidos que vulneren la propiedad intelectual, adoptadas por la Sección Segunda de la Comisión de Propiedad Intelectual en aplicación de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la información y de Comercio Electrónico, requerirá de autorización judicial previa de conformidad con lo establecido en los párrafos siguientes.

Acordada la medida por la Comisión, solicitará del Juzgado competente la autorización para su ejecución, referida a la posible afectación a los derechos y libertades garantizados en el artículo 20 de la Constitución.

En el plazo improrrogable de dos días siguientes a la recepción de la notificación de la resolución de la Comisión y poniendo de manifiesto el expediente, el Juzgado convocará al representante legal de la Administración, al Ministerio Fiscal y a los titulares de los derechos y libertades afectados o a la persona que éstos designen como representante a una audiencia, en la que, de manera contradictoria, el Juzgado oirá a todos los personados y resolverá en el plazo improrrogable de dos días mediante auto. La decisión que se adopte únicamente podrá autorizar o denegar la ejecución de la medida.

Ocho. Se modifica el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, con el siguiente tenor:

5. Los actos administrativos dictados por la Agencia Española de Protección de Datos, Comisión Nacional de Energía, Comisión del Mercado de las Telecomunicaciones, Comisión Nacional del Sector Postal, Consejo Económico y Social, Instituto Cervantes, Consejo de Seguridad Nuclear, Consejo de Universidades y Sección Segunda de la Comisión de Propiedad Intelectual, directamente, en única instancia, ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.

Nueve. Se suprime el apartado 6 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, que se añadió por la disposición adicional vigésima cuarta, punto 1 de la Ley 50/1998, de 30 de diciembre, de Medidas Fiscales, Administrativas y del Orden Social.