Paul Lambert, assessor especialista en eBSI, ens explica alguns punts clau per garantir que la política de protecció de dades del nostre lloc web compleixi la legislació.
Els exportadors d'arreu del món haurien d'anticipar-se a la futura legislació de protecció de dades dels seus països a mesura que més governs s'endureixin els usos inadequats dels usuaris d'Internet dades personals.
En aquest article em centraré en la perspectiva i la legislació irlandesa, però molts d'aquests principis també seran rellevants per a altres països, ja que la legislació irlandesa reflecteix el que es considera que és la millor pràctica en aquest camp.
En primer lloc, què és la protecció de dades?
El règim de Protecció de Dades funciona per protegir els drets de les persones quan la seva informació personal és recollida i tractada per organitzacions. Totes les organitzacions, tant si controlen dades personals elles mateixes com quan tracten dades en nom de tercers, han de complir amb les obligacions imposades per la Llei de protecció de dades de 1988, modificada i ampliada recentment per la Llei de protecció de dades (esmena) de 2003 (col·lectivament la "DPA").
Totes les organitzacions han de conèixer i complir les seves obligacions i responsabilitats en virtut del nou règim de protecció de dades. Subratllant aquest punt, el Comissionat de Protecció de Dades té la intenció de dur a terme auditories de compliment en diversos sectors comercials. També recentment ha començat a emprendre accions legals contra organitzacions que no compleixen, i ho continuarà fent.
Les directrius
Les directrius distingeixen entre les declaracions de privadesa del lloc web i les polítiques de privadesa, i aclareixen que una declaració de privadesa no és una política de privadesa. Una política de privadesa documenta el compliment de l'organització amb els principis de protecció de dades en tota l'organització. S'aplica a tots els dades personals processats per l'organització, incloses les dades dels clients, les dades de tercers i les dades dels empleats. Una política de privadesa pot ser un document molt complex, que sovint requereix un assessorament legal especialitzat.
Les organitzacions també han de complir els 8 principis de protecció de dades, a saber:-
* Obtenir i processar dades de manera justa;
* Conserveu-lo només per a un o més propòsits especificats, explícits i lícits;
* Utilitzeu-lo i divulgueu-lo només de manera compatible amb aquests propòsits;
* Manteniu-lo segur i protegit;
* Manteniu-lo precís, complet i actualitzat;
* Assegureu-vos que sigui adequat, rellevant i no excessiu;
* Conserveu-lo durant més temps del necessari per als propòsits;
* Complir amb les sol·licituds d'accés individuals.
Una política de privadesa és un document intern de l'organització. Per tant, pot detallar procediments interns, assignar responsabilitats individuals/departamentals, etc.
Les declaracions de privadesa, per la seva banda, són documents públics, que declaren com l'organització compleix el règim de Protecció de Dades pel que fa a les dades tractades al seu lloc web. És com a tal un document molt més enfocat.
Els llocs web necessiten declaracions de privadesa
Aquest és un requisit legal d'acord amb el DPA i el SI núm. 535 de 2003, les Reglaments de 2003 de les Comunitats Europees (Xarxes i serveis de comunicacions electròniques) (Protecció de dades i privadesa) (els "Reglaments"). La secció 2(l)(a) DPA exigeix que "les dades o, si és el cas, la informació que constitueixen les dades s'hagin obtingut i les dades s'han de processar de manera justa". Aquest principi d'obtenció justa requereix, en general, que una persona les dades de la qual es tracten conegui almenys el següent:
* La identitat de la persona que processa les dades;
* La finalitat o finalitats amb què es tracten les dades;
* Qualsevol tercer a qui es puguin revelar les dades;
* L'existència d'un dret d'accés i un dret de rectificació.
El Reglament 5 imposa determinades obligacions pel que fa a l'activitat a Internet:-
"(1) Ningú ha d'utilitzar una xarxa de comunicacions electròniques per emmagatzemar informació o accedir a la informació emmagatzemada a l'equip terminal d'un abonat o usuari tret que
(a) el subscriptor o l'usuari en qüestió reben informació clara i completa d'acord amb el DPA, que es mostra de manera destacada i de fàcil accés i que, sense limitació, inclou la finalitat del tractament.
(b) el responsable del tractament ofereix a l'abonat o usuari el dret de rebutjar aquest tractament.
(2) L'apartat 1 no impedeix cap emmagatzematge tècnic o accés a la informació amb l'únic propòsit d'efectuar o facilitar la transmissió d'una comunicació a través d'una xarxa de comunicacions electròniques o que sigui estrictament necessari per oferir un servei de la societat de la informació sol·licitat explícitament per l'abonat o l'usuari.”
Aquest Reglament fa referència a l'ús de cookies, balises web, recopilació d'adreces IP i altres qüestions tècniques.
No tenir una declaració de privadesa
A Irlanda, la infracció de la DPA, com ara no tenir una Declaració de privadesa del lloc web, pot donar lloc a una investigació i accions d'aplicació per part del Comissari de Protecció de Dades. El comissari pot emetre un avís d'execució que requereixi una Declaració de privadesa o el cessament del tractament de dades. El processament també pot comportar una sanció de fins a 100.000 € i/o una ordre d'eliminació de dades. L'article 7 de la LPD també concedeix a les persones un dret d'acció civil si pateixen danys per la forma en què es tracten les seves dades.
Quan es requereix una declaració de privadesa
Es requereix una declaració de privadesa quan un lloc web fa alguna de les accions següents, és a dir:-
* Recull dades personals (visitants que omplen formularis web, formularis de comentaris, etc.);
* Utilitza cookies o balises web;
* Recopila en secret dades personals (adreces IP, adreces de correu electrònic).
Quina informació han de contenir les declaracions de privadesa
La informació ha de ser específica per al processament de dades personals al lloc web. Aquesta informació ha de ser prou detallada perquè sigui útil per al visitant del lloc web per decidir si avança. Declaracions com ara "totes les dades recollides en aquest lloc es processaran d'acord amb la DPA" ja no són suficients (per si soles), segons el Comissionat de Protecció de Dades. S'han de modificar/substituir per una explicació de com, en termes pràctics, el lloc web compleix les seves obligacions.
La informació hauria d'incloure el següent:-
* Identitat
Els detalls de l'organització han de ser clarament identificables. El nom d'una organització per si sol és insuficient. La identificació ha d'incloure dades de contacte completes i útils. Els detalls útils inclourien una adreça de correu electrònic i una adreça postal que un visitant pot utilitzar si vol discutir qualsevol qüestió relacionada amb el processament de dades personals al lloc web.
* Finalitat
Pot haver-hi molts propòsits oberts per als quals els visitants haurien d'esperar raonablement que s'utilitzin les seves dades. Aquests poden incloure dades necessàries en el context d'una transacció. No obstant això, és possible que les dades es puguin tractar amb finalitats no òbvies com ara la creació de perfils o la comercialització futura. Totes aquestes finalitats s'han de fer referència clarament a la Declaració de privadesa. Les dades proposades sobre aquesta comprensió s'obtenen de manera justa. Si una finalitat no és òbvia i no es fa referència, serà difícil que l'organització processi legalment les dades amb aquesta finalitat.
Si una organització té previst lliurar dades personals a un tercer (que no sigui una persona que actuï com a agent de l'organització), aquesta és una divulgació i s'ha de fer referència a la Declaració de privadesa. Una excepció general a aquesta regla és quan la llei exigeix la divulgació.
* Dret d'accés
Segons la Secció 4 DPA, una persona té dret a rebre una còpia del seu dades personals. Si una organització conserva dades personals, l'organització hauria de fer referència a aquest Dret de Access a la Declaració de privadesa. L'organització ha d'incloure referència als procediments a seguir. Segons l'APD, la sol·licitud d'accés a l'assumpte s'ha de fer per escrit, les organitzacions poden cobrar una tarifa que no superi els 6,35 € i han de respondre en un termini de 40 dies naturals. Les organitzacions han d'identificar a qui s'ha de dirigir aquesta sol·licitud.
* Dret de rectificació o supressió
En virtut de la Secció 6 DPA, una persona té dret a corregir la seva dades personals, si és inexacte o esborrada, si no teniu un motiu legítim per conservar les dades. Les organitzacions no poden cobrar per complir amb aquesta sol·licitud i hauran de complir-la dins dels 40 dies naturals següents a la recepció d'aquesta sol·licitud. La Declaració de privadesa d'una organització hauria de fer referència a això, si conserva dades personals, així com detallar els procediments que ha de seguir una persona quan fa aquesta sol·licitud.
* Extensió de les dades que s'estan processant
Si s'utilitzen dades diferents per a finalitats diferents, s'ha de fer referència clarament a això a la Declaració de privadesa, en lloc d'assumir que totes les dades s'utilitzaran per a tots els propòsits. Això és encara més important en relació amb el tractament encobert de dades, com ara la recollida d'adreces IP, l'ús de cookies o balises web.
* Dret a rebutjar galetes
Si no és necessari utilitzar galetes en el context d'una transacció, s'ha d'informar a l'usuari i tenir l'oportunitat de negar-se a col·locar galetes als seus ordinadors. També es podria explicar a l'usuari l'ús de cookies.
Altra informació recomanada
Més amunt es detalla la informació que s'ha d'incloure en una declaració de privadesa. Tanmateix, si una organització pretén que la seva Declaració de privadesa sigui una descripció completa del seu tractament de dades en línia, també pot incloure la informació següent:
* Seguretat
Tot i que una organització ha de disposar de mesures de seguretat adequades per evitar l'accés no autoritzat, l'alteració o la destrucció de dades personals en el seu poder, qualsevol referència detallada a aquestes mesures en una Declaració de privadesa disponible públicament no seria prudent. Més aviat, hauria de limitar-se a afirmar que es pren seriosament les responsabilitats de seguretat, emprant les mesures físiques i tècniques més adequades, inclosa la formació i la conscienciació del personal, i que reviseu aquestes mesures periòdicament.
* Precís, complet i actualitzat
Aquesta és en gran part una política reactiva, ja que sovint només es descobreixen problemes quan es tracten amb el persona interessada. No obstant això, una organització pot fer referència a la necessitat de conservar només dades exactes, completes i actualitzades, suggerint mitjans mitjançant els quals els subjectes de dades poden actualitzar les seves dades o accions que l'organització pot prendre per garantir la precisió, com ara contactar amb els clients per correu electrònic.
* Adequat, rellevant, no excessiu
Les organitzacions estan obligades a no conservar més dades de les necessàries per a la finalitat per a la qual les recullen. Qualsevol dada que superi aquest requisit no s'ha de sol·licitar o, si es proposa voluntàriament, s'ha de suprimir. En una Declaració de privadesa, les organitzacions poden fer referència a una política per revisar totes les dades subministrades/obtinguts i eliminar les que no siguin necessàries o que ja no siguin necessàries.
* Retenció
Les dades no s'han de conservar durant més temps del necessari per als fins per als quals es van obtenir. La Declaració de privadesa podria fer referència a una política per suprimir les dades de la targeta de crèdit un cop finalitzada una transacció, tret que l'organització obtingui el consentiment dels clients per conservar els detalls per facilitar més transaccions. Si una organització té diferents tipus de dades durant diferents períodes de temps, també es pot fer referència a això a la Declaració de privadesa.
* Mecanisme de resolució de queixes
El Comissionat de Protecció de Dades recomana alguns mitjans per tractar les queixes rebudes dels usuaris del lloc web sobre el tractament de dades.
Ubicació de la declaració de privadesa
Una declaració de privadesa s'ha de col·locar en una posició òbvia i no continguda en un altre document. Com a mínim, s'ha de col·locar una declaració de privadesa a la meitat superior de la pàgina d'entrada a un lloc web. Com que alguns navegadors web només mostraran part d'una pàgina, el requisit de la pàgina superior significa que un visitant no ha de desplaçar-se cap avall per buscar la Declaració de privadesa.
Posar una declaració només a una pàgina d'inici pot no ser suficient, ja que els enllaços d'altres llocs web o a través de motors de cerca poden portar un visitant al lloc a través d'una pàgina diferent de la pàgina d'inici. Una solució és col·locar un enllaç a la Declaració de privadesa a cada pàgina. Com a alternativa, es podria col·locar un enllaç a qualsevol pàgina on es recullin dades, tot i que si el lloc web utilitza galetes, efectivament això podria significar totes les pàgines.
Declaració de privadesa i "Termes i condicions"
Una Declaració de privadesa és un requisit legal i és diferent dels termes i condicions, dels drets d'autor o dels avisos d'exempció de responsabilitat. Ha de ser autònom i ser clarament identificable. Perquè una Declaració de privadesa sigui de valor, ha de ser fàcilment accessible per a l'usuari, llegir-la ràpidament i comprendre fàcilment. Si està enterrat dins d'un document extens que cobreix una varietat de qüestions legals, serà difícil que l'organització demostri que ha complert les seves obligacions en virtut de l'APD i el Reglament.
Revisar la declaració de privadesa
Només hauria de ser necessari realitzar una revisió si hi ha algun canvi als processos en línia. Tanmateix, s'hauria d'establir algun mecanisme per notificar al membre del personal adequat perquè iniciï una revisió si:
* Hi ha un canvi en el tractament de dades al lloc web;
* Hi ha una reurbanització planificada/real del lloc web;
* Hi ha un nou acord d'allotjament web;
* Hi ha suggeriments/rebuts dels usuaris del lloc.
En qualsevol cas, la Declaració de privadesa s'hauria de revisar en el context d'un procediment d'auditoria interna, que també hauria de revisar la Política de privadesa de l'organització, almenys anualment.
Altres problemes
Qualsevol persona que utilitzi un encarregat del tractament de tercers per allotjar un lloc web hauria de ser conscient d'una sèrie de problemes. Tots els encarregats de tractament de dades que tracten dades personals estan obligats a tenir una inscripció actual en el registre que manté el Comissionat de Protecció de Dades. El tractament de dades sense tenir aquesta entrada és un delicte.
Si el servei d'allotjament web allotja el vostre lloc en un servidor fora de l'EEE, estan obligats a complir almenys una de les condicions establertes a la Secció 11 DPA. L'organització és l'última responsable si l'empresa d'allotjament web processa dades il·legalment. La secció 2C DPA obliga les organitzacions a tenir un contracte per escrit (o equivalent) amb el encarregat del tractament que especifiqui:
* Què pot fer el encarregat del tractament amb les dades en nom vostre;
* Quines mesures de seguretat ha de tenir el encarregat del tractament.
Les organitzacions també han de prendre mesures raonables per assegurar-se que el encarregat del tractament compleix aquestes instruccions.
Paul Lambert
paul.lambert@merrionlegal.com
MERRION LEGAL
Advocats i advocats de marques comunitàries
Clifton House
Carrer inferior de Fitzwilliam
Dublín 2
Irlanda
T: + 353-1-6690523
E: info@merrionlegal.com
0 comentaris