NOVEDOSA SENTENCIA DEL TRIBUNAL SUPREMO SOBRE LA RESPONSABILIDAD PENAL PERSONA JURÍDICA EN CASOS DE DELITO FISCAL

A continuación, unos breves apuntes sobre la reciente sentencia del Tribunal Supremo 298/2024, de 8 de abril de 2024[1].

  1. ANTECEDENTES

El acusado Norberto, representante y apoderado mancomunado de una empresa (TECONSA) y accionista del 51 % del capital social de otra empresa (OPALO INTERIORES) deja declarar a la Hacienda Pública la percepción de retribuciones dinerarias y en especie (rendimientos del trabajo) y la obtención de ingresos irregulares por actividades económicas simuladas que pretendían encubrir la obtención de determinadas cantidades de origen irregular para su propio lucro personal (ganancias patrimoniales no declaradas).

La cantidad defraudada asciende a 288.253 euros cuantía que supera los 120.000 euros por lo que entra en ámbito del delito fiscal. Además del acusado se condenan como cooperadores necesarios a cuatro personas físicas y a tres sociedades ligadas con unos u otros condenados en base a la actuación de sus socios o directivos, y por cuya cuenta actúan.

  1. CUESTIONES DE INTERÉS

Esta sentencia y en lo que aquí interesa en relación con la responsabilidad penal de las personas jurídicas, trata de varias cuestiones interesantes: i) la participación de las personas jurídicas en en el delito cometido por otro, en este caso, la comisión del delito por personas físicas con facultades de administración y dirección sobre la empresa: ii) la concurrencia del beneficio directo o indirecto a favor de la persona jurídica; iii) la carga de la prueba sobre la existencia de un programa de compliance.

  • Sobre el delito cometido por otro y nivel de participación

El artículo 31 bis del Código Penal fija los presupuestos para la concurrencia de responsabilidad penal de la persona jurídica:

“1. En los supuestos previstos en este Código, las personas jurídicas serán penalmente responsables de los delitos cometidos en nombre o por cuenta de las mismas, y en su provecho, por sus representantes legales y administradores de hecho o de derecho(…)”.

FUNDAMENTO DE DERECHO CUARTO

“La responsabilidad penal de una persona jurídica además de un elemento nuclear positivo (comisión de un delito por quien actúa como directivo o empleado del ente) (i) , otro normativo (que se trate de uno de los delitos en que está prevista esa posible responsabilidad) (ii) y otro negativo (que no esté implantado un plan  de cumplimiento eficaz que haya tenido que ser burlado para la actuación delictiva del agente) (iii) , reclama un elemento accesorio que es pieza imprescindible: el delito, objetivamente considerado y con independencia del móvil del agente, ha de redundar en beneficio directo o indirecto de la persona jurídica (iv)”.

Aquí, la sentencia señala que no es necesaria para que surja la responsabilidad penal de la persona jurídica que el directivo o empleado que actúe por cuenta de ella o a su servicio sea el autor principal del delito ya que el 32 bis piensa en todas las formas de participación.  

FUNDAMENTO DE DERECHO TERCERO:

“(…) Cuando el art. 31 bis habla de «delitos cometidos» por determinadas personas ligadas al ente colectivo está pensando en todas las formas de participación y no solo en la autoría directa.(…) Cuando se habla de comisión de un delito se alude a todos los responsables penales, sea cual sea su participación, y en todas sus formas de aparición, también la tentativa. Quien intenta, sin lograr consumarlo, perpetrar un delito, también ha cometido un delito. Quien induce a otro a ejecutar un delito, ha cometido un delito en la semántica del CP”.

  • Sobre el beneficio directo o indirecto de la persona jurídica

El delito por el que se hace responsables a las personas jurídicas es una defraudación tributaria ligada al IRPF de 2012 de Norberto.

Aquí, la sentencia señala que el beneficio o interés de que habla el art. 31 bis CP ha de estar asociado al delito por el que se hace responsable penal a la persona jurídica. Es necesario que sea precisamente el delito el origen o causa, directa o indirecta, del beneficio.

FUNDAMENTO DE DERECHO SEXTO

“(…)Si observamos desde esa perspectiva lo acaecido, tal elemento (el beneficio) ha de negarse: ni aparece en el hecho probado, ni cabe intuir o imaginar en qué medida el fraude fiscal de Norberto ha podido beneficiar a cada una de esas Sociedades; o qué potencialidad para ello podía albergar”. La negrita es nuestra.

  • Sobre la carga de la prueba sobre la existencia de un plan de compliance

Aquí, la sentencia señala que la carga de la prueba de un plan de cumplimiento eficaz como factor excluyente de la responsabilidad recae sobre la defensa. De forma que concluye:

FUNDAMENTO DERECHO CUARTO

“(…) Se trata de un elemento negativo, lo que, al margen de cuál sea su naturaleza, acarrea ciertas elementalesconsecuencias procesales. Entre otras, que la carga de la alegación de ese factor excluyente de laresponsabilidad recae, en principio, en la defensa. Si ésta se abstiene de proponer prueba alguna al respecto, y no realiza ni siquiera un amago de aportar un plan de cumplimiento y/o demostrar que la empresa seajustaba en su funcionamiento a cada uno de los requisitos que perfila el Código Penal, será legítimo entenderacreditado que no existía tal plan de cumplimiento”.

  1. CONCLUSIONES
  • Para que surja la responsabilidad penal de la persona jurídica no es necesario que el directivo o empleado que actúe por cuenta de ella o a su servicio sea el autor principal del delito ya que la norma está pensada para todas las formas de participación incluidos los inductores y cooperadores.
  • El beneficio o interés económico directo o indirecto ha de estar asociado al delito por el que se hace responsable penal a la persona jurídica. Es necesario que sea precisamente el delito el origen o causa, directa o indirecta, del beneficio.
  • La carga de la prueba de un plan de cumplimiento eficaz como factor excluyente de la responsabilidad recae sobre la defensa.

[1] https://personasjuridicas.es/inc/uploads/2024/04/STS-2024.298.pdf

responsabilidad penal #empresas#beneficio#carga compliance#autoría

INFLUENCERS-USUARIOS DE ESPECIAL RELEVANCIA -INGRESOS SIGNIFICATIVOS Y AUDIENCIA-

1.ANTECEDENTES

La Ley 13/2022, de 7 de julio, General de Comunicación Audiovisual incluye una definición de intercambio de videos a través de plataforma y los criterios para que un usuario de un servicio de video a través de plataforma pasa a ser considerado usuario de especial relevancia o “influencer”. En lo que aquí interesa, se tiene en cuenta entre otros criterios, los ingresos y la audiencia significativos que se debe alcanzar por el desarrollo de su actividad. No obstante, estos requisitos concretos no están desarrollados en la norma y precisan de desarrollo reglamentario.

Ahora, se ha aprobado un Real Decreto[1] que regula a los influencers o usuarios de especial relevancia de los servicios de intercambio de vídeos a través de plataforma delimitando los ingresos y la audiencia con obligación de inscripción en el registro estatal de Prestadores de Servicios de Comunicación Audiovisual. Todo ello sin perjuicio del Código de Conducta para el tratamiento de datos en la actividad publicitaria de AUTOCONTROL[2].

Los influencers vienen obligados al respeto de unos principios básicos de la comunicación audiovisual y garantizar la protección del público general, y de los menores de edad en particular, frente a contenidos audiovisuales y comunicaciones comerciales perjudiciales.

2. ESTUDIO DE LA CUESTIÓN

2.1 Ámbito de aplicación 

Se aplica a aquellos usuarios, ya sean personas físicas o jurídicas, de los servicios de intercambio de vídeos a través de plataforma que cumplan, de forma simultánea, los requisitos recogidos en el artículo 94.2 de la Ley 13/2022, de 7 de julio. (…)

a) El servicio prestado conlleva una actividad económica por el que su titular obtiene unos ingresos significativos derivados de su actividad en los servicios de intercambio de vídeos a través de plataforma;

c) El servicio prestado está destinado a una parte significativa del público en general y puede tener un claro impacto sobre él.

2.2 Requisitos de ingresos

Tendrán la consideración de ingresos significativos, los ingresos brutos devengados en el año natural anterior, iguales o superiores a 300.000 euros, derivados exclusivamente de la actividad de los usuarios en el conjunto de los servicios de intercambio de vídeos a través de plataforma que empleen. A efectos del cómputo de los ingresos brutos se tiene que tener en cuenta, ingresos de pagos en dinero o en especie por la comercialización, venta u organización de comunicaciones comerciales audiovisuales,  ingresos procedentes de los prestadores de servicios de intercambio de videos a través de la plataforma por el desarrollo de su actividad, ingresos procedentes de prestaciones económicas por administraciones y entidades públicas relacionados con la actividad de los usuarios  en los servicios de intercambio de videos a través de plataformas.

2.3. Requisitos de audiencia

Se considerará que un servicio responsabilidad de un usuario está destinado a una parte significativa del público en general y puede tener un claro impacto sobre él cuando cumpla, de forma cumulativa, los siguientes requisitos:

a) Que el servicio alcance, en algún momento del año natural anterior, un número de seguidores igual o superior a 1.000.000 en un único servicio de intercambio de vídeos a través de plataforma; o un número de seguidores igual o superior a 2.000.000, de forma agregada, considerando todos los servicios de intercambio de vídeos a través de plataforma en los que el usuario desarrolle su actividad.

b) Que, en el conjunto de servicios de intercambio de vídeos a través de plataforma en los que el usuario desarrolle su actividad, se haya publicado o compartido un número de vídeos igual o superior a 24 en el año natural anterior, con independencia de su duración.

2.4. Obligaciones de los influencers

Obligación de inscripción en el plazo de 2 meses en el Registro Estatal de Prestadores de servicios de comunicación audiovisual[1]. Además de las obligaciones de identificar los contenidos publicitarios y etiquetarlos desde el punto de vista de la edad a la que van dirigidos, la prohibición de publicidad sobre tabaco, medicamentos, alcohol, el respeto de la regulación sobre publicidad y la protección de las personas menores de edad.

3.CONCLUSIONES

  • La Ley General de Comunicación Audiovisual de 2022 estableció unos criterios para tener la consideración de usuario de especial relevancia o influencer entre los que se tenía en cuenta, entre otros, los ingresos significativos y audiencia.
  • Los influencers tienen en el desarrollo de su actividad un impacto en la población y, deben velar por el respeto del público en general y de los menores en particular, frente a contenidos audiovisuales y comunicaciones comerciales perjudiciales.
  • Ahora, se ha publicado una norma donde se establecen dichos criterios de forma que se aplica a los influencers que cumplen las siguientes condiciones de forma cumulativa: i) más de 300.000 euros de ingresos derivados de su actividad; ii) más de 1 millón de seguidores en una plataforma de vídeo, o 2 millones en total; iii) al menos 24 vídeos publicados en el año.
  •  En estos casos, existe obligación de inscripción en el Registro Estatal de Prestadores de Servicios de Comunicación Audiovisual.

#influencers#ingresos significativos#audiencia#registro prestadores servicios comunicación audiovisual

[1] https://www.boe.es/diario_boe/txt.php?id=BOE-A-2024-8716

 

 

RECOMENDACIONES INSTALACIÓN CÁMARAS DE VIDEOVIGILANCIA EN HABITACIONES DE RESIDENCIAS DE MAYORES

RECOMENDACIONES DE LA CNIL E INSTALACIÓN DE CÁMARAS DE VIGILANCIA EN HABITACIONES DE RESIDENCIAS DE MAYORES

La CNIL es clara sobre esta cuestión, no se pueden instalar dispositivos de videovigilancia en las habitaciones de la residencia para personas mayores dependientes salvo circunstancias excepcionales.

  1. Sólo se puede colocar una cámara de videovigilancia para garantizar la seguridad de las personas residentes como parte de la investigación por malos tratos siempre que se cumplan dos requisitos de forma cumulativa.

i) Sospecha fundada de malos tratos.

ii) Cuando persisten las dudas tras el fracaso de las diligencias de investigación que no permiten detectar una situación de malos tratos.

  1. Es necesario realizar una evaluación de impacto en la protección de datos por los elevados riesgos de este tratamiento para los derechos y libertades de las personas interesadas.

  1. Está prohibido instalar cámaras para mejorar el servicio ofrecido a la persona interesada aumentando su «comodidad» incluso cuando haya dado su consentimiento en la medida que existen otras medidas menos perjudiciales para la vida privada de las personas alojadas.

  1. Para garantizar la seguridad de las personas alojadas en caso de caída o accidente, se pueden instalar dispositivos distintos que permiten lograr el mismo objetivo (p.e. sensores de presencia colocados bajo el suelo y capaces de detectar la más mínima anomalía, pulsera que detectan una caída repentina mediante un acelerómetro, ).

  1. Antes de la instalación de la cámara de videovigilancia se han de adoptar garantías:

  • Limitar la activación en el tiempo.
  • Desactivar la cámara durante las visitas de familiares, a menos que existan sospechas de malos tratos;
  • Establecer y aplicar un marco interno sobre las condiciones que justifican la instalación de un dispositivo de videovigilancia;
  • Informar a los empleados, de la posibilidad de que se instalen cámaras de videovigilancia en las habitaciones de los residentes;
  • Obtener el consentimiento de las personas alojadas o cuando la persona no pueda dar su consentimiento, deberá obtenerse respetando las normas específicas relativas a la protección de los mayores;
  • Difuminar, en la medida de lo posible, las partes íntimas del interesado siempre que los cuidados que se le presten se realicen en su cama;
  • Introducir en el reglamento interno la posibilidad de instalar un sistema de videovigilancia en la habitación de un residente en caso de fuertes sospechas de malos tratos y, en particular, incluir las disposiciones sobre visualización;
  • Cuando la solicitud tenga su origen en familiares o amigos cercanos, la instalación deberá realizarse en consulta con el establecimiento;
  • Sensibilizar y formar al personal responsable de la gestión e implementación de estos sistemas.

Residencias#cámaras de videogilancia#sospechas#malos tratos# recomendaciones

https://www.cnil.fr/fr/videosurveillance-dans-les-chambres-dehpad-la-cnil-publie-sa-recommandation

USO DE SISTEMAS DE IA: RIESGOS Y RECOMENDACIONES PARA EMPRESAS

Se ha aprobado finalmente por el Parlamento Europeo el Reglamento de Inteligencia Artificial como norma pionera en el mundo y que pretende servir de guía para otros países como lo fue en su día el RGPD en el ámbito de la protección de datos de carácter personal.

Se trata de un gran avance en la medida en que en esta norma se intenta buscar un equilibrio entre la innovación y los valores y derechos establecidos por la Unión Europea.

No obstante, lo anterior, nadie duda que el uso de sistemas de inteligencia artificial puede comportar numerosos riesgos que deben ser tenidos en cuenta. A continuación, unas breves ideas para poder situarnos sobre los posibles riesgos existentes:

✅La IA está concebida un como programa de software que se desarrolla mediante técnicas o estrategias que relacionan determinados objetivos predeterminados y generan una respuesta en forma de contenidos, predicciones, recomendaciones o decisiones.

✅El diseño de los algoritmos de IA mediante técnicas de aprendizaje automatizado entre otras, comporta que se traten datos personales. Se introducen datos en el entorno de pruebas y posteriormente se usa el algoritmo.

La toma de decisiones basadas en un algoritmo puede afectar a las personas. P.e. selección de personal, evaluación del rendimiento laboral, concesión de ayudas públicas, concesión de créditos.

Los algoritmos de IA deben programarse y diseñarse de manera adecuada de forma que no se produzcan sesgos, discriminación y lesión de los derechos y libertades de las personas.  Una programación y un diseño erróneo puede comportar un elevado riesgo de discriminación.

✅Los principales riesgos en la fase de diseño son garantizar el principio de minimización, transparencia y seguridad en el diseño y el respeto a la privacidad y a la protección de datos. Y en muchas ocasiones riesgos en conexión con otras normativas

Los algoritmos de IA que contienen datos personales se han de construir y programar respetando la normativa de protección de datos, tener una base de legitimación y garantizar el cumplimiento de los principios de protección de datos.

La IA generativa se entrena con datos, contenidos, imágenes y aprende en función de los datos y el contenido que dispone. Es muy importante que esos datos y contenido sean reales para evitar los sesgos algorítmicos y la infracción de derechos propiedad industrial o intelectual de terceros y problemas de confidencialidad, privacidad. Ej., Chat GPT, Bing, Gemini.

La IA generativa puede comportar problemas específicos en relación con la privacidad, confidencialidad, derechos de autor y propiedad intelectual sobre la obtención de contenidos para entrenar y de los contenidos generados con la IA.

Los empleados de una organización al usar IA generativa deben tener en cuenta que no pueden introducir datos personales ni información confidencial de la empresa o de terceros como tampoco introducir obras protegidas. Se recomienda la redacción de una política de uso de sistemas de IA generativa de forma que conozcan los usos permitidos y prohibidos.

RECOMENDACIONES PARA LAS EMPRESAS EN EL USO DE IA

Los principales retos y desafíos a los que se enfrentan las empresas en el uso de sistemas de IA son, por un lado, ser transparentes e informar a las personas con claridad sobre dicho uso y las consecuencias, incluidos sus derechos, entre otros a recibir explicaciones sobre decisiones basadas en IA y a presentar reclamaciones. Y, por otro lado, evitar sesgos algorítmicos y violaciones de derechos de privacidad, confidencialidad y derechos de autor, secretos empresariales.

A continuación, un listado de recomendaciones que pueden resultar de ayudar:

✅ Valorar la necesidad y proporcionalidad de su uso y tener claro la finalidad para la que quieren ser usados los sistemas de inteligencia artificial.

✅ Realizar un análisis de riesgos para valorar el posible impacto que dicho uso puede tener en las personas adoptando las medidas necesarias de carácter organizativo y técnico para poder mitigarlos.

✅ Contratar con proveedores de sistemas de inteligencia artificial que pueden garantizar el cumplimiento de la normativa y los derechos de las personas y realizar un control periódico de cumplimiento.

✅ Fomentar la intervención humana en la decisión última que puede afectar a la persona y que tiene su origen en el uso de la IA.

Revisar las condiciones de los proveedores de sistemas de inteligencia artificial generativa para averiguar a quién le corresponde la propiedad intelectual de los resultados generados y en su caso, integrar la creatividad e intervención humana de la empresa sobre los resultados obtenidos.

✅Mantener un registro de la documentación generada con inteligencia artificial incluyendo entradas y resultados obtenidos.

✅Disponer de los recursos necesarios, técnicos humanos y materiales a nivel interno que permitan hacer un seguimiento de los sistemas de inteligencia artificial usados en la empresa y del cumplimiento de las normativas que se vayan aprobando.

Formar a los empleados en el uso de sistemas de inteligencia artificial cuando están permitidas para el desarrollo de sus funciones y limitar su acceso a personas autorizadas.

✅Crear una política para los empleados sobre el uso de sistemas de inteligencia artificial generativa donde se informe de usos permitidos y prohibidos. Es básico no introducir información confidencial, ni datos personales, obras protegidas por derechos de propiedad intelectual etc…

✅Fomentar una cultura empresarial de uso responsable de sistemas de inteligencia artificial.

IA#uso responsable# cultura empresarial#sesgos# discriminación

https://www.europarl.europa.eu/news/es/press-room/20240308IPR19015/la-eurocamara-aprueba-una-ley-historica-para-regular-la-inteligencia-artificial

LOS ESCRITOS DE LOS ABOGADOS, PLAGIO Y LA PROPIEDAD INTELECTUAL

LOS ESCRITOS DE LOS ABOGADOS, PLAGIO Y LA PROPIEDAD INTELECTUAL

Recientemente, se ha publicado una sentencia de la Audiencia Provincial de Valencia de 9 de enero 2023[1] por la que se acuerda indemnizar a una abogada por importe de 1.000 euros porque otra compañera de profesión copia literal y parcialmente su escrito de contestación a una demanda.

Las pretensiones de la abogada que interpuso la demanda fueron desestimadas en primera instancia y se basaban en que el escrito de contestación a una demanda reúne por su originalidad las características de una obra susceptible de protección patrimonial y personal prevista en la Ley de Propiedad Intelectual.  Ahora, la Audiencia Provincial de Valencia le ha dado la razón y ha condenado a la abogada que ha copiado de forma literal y parcial su escrito, afirmando que el escrito profesional de un letrado como puede ser la contestación a la demanda puede entrar dentro del ámbito del concepto de obra protegida por la Ley de Propiedad Intelectual.

Hasta ahora existían pocas sentencias que se pronunciaban sobre la protección de los escritos realizados por los abogados por la vía de la propiedad intelectual. Destaca la sentencia de la Audiencia Provincial de Salamanca de 2 de marzo de 2017[2], donde se reconocía como obra original protegida por los derechos de autor el escrito de demanda de un abogado considerando los escritos forenses o profesionales de los abogados como obra literaria “lato sensu” y, si son originales.

En particular, la Sentencia de la Audiencia Provincial de Valencia fundamenta sus argumentos en base a:

  1. La calificación de obra protegida

Se asimila la contestación a la demanda a un informe forense susceptible de protección por el artículo 10.1 a) de la Ley de Propiedad Intelectual.

La negrita es nuestra.

“el escrito profesional de un abogado, que es un escrito forense en cuanto de aplicación procesal, puede ser susceptible de calificación como obra. Esta protección del escrito se debe al esfuerzo y el valor creativos que reflejan la personalidad de su autor”.

“(…)  el escrito puede considerarse como «informe forense», y aunque es un acto procesal, también es un documento que incorpora un dictamen profesional del que suscribe. Aunque la reproducción fue parcial, y la abogada infractora (perteneciente al despacho de abogados codemandado) había «citado» a la autora y su origen, ello no significa que no hubo una lesión a los derechos de propiedad intelectual, pues sí que los hubo. No se limitaba a citar la autora, sino que se trató de una reproducción extensa (la contestación original era de 55 páginas) e inconsentida”.

  1. Ser un objeto identificable

Porque la contestación a la demanda es un objeto identificable con la suficiente precisión en cuanto expresado de forma objetiva y bien delimitada que puede ser percibido como un informe forense.

  1. La existencia de originalidad

Aquí, la evolución jurisprudencial comunitaria ha cualificado o enriquecido la noción de originalidad orientándola hacia una originalidad subjetiva y no meramente objetiva.

La elaboración del escrito de contestación a la demanda es el resultado de un proceso de toma de decisiones sucesivas y complejas desde el punto de vista sistemático y de expresión de contenidos, donde se percibe el carácter del profesional que lo suscribe y por eso es una obra original.

“(…) aunque el objeto examinado se ajusta a las previsiones legales y usos que imprimen una forma y ciertos contenidos exigidos o habituales en la práctica forense (artículos 399 y 405 LEC), su elaboración es el resultado de un proceso de toma de decisiones sucesivas y complejas, desde el punto de vista sistemático y de expresión de contenidos, donde es perceptible el carácter del profesional que lo suscribe”.

“(…) Porque es cierto que allí doña Lourdes hizo reproducción muy extensa de la doctrina jurisprudencial aplicable a la solución del caso. Pero lo relevante, también en ese aspecto y sin confundir originalidad y esfuerzo profesional es que el resultado final de esa composición es fruto de las sucesivas elecciones de la autora sobre la selección, disposición y tratamiento de los contenidos allí incorporados, preñados de inflexiones, enlaces y análisis con los hechos del caso o las alegaciones de otros sujetos intervinientes en el proceso, elementos bastantes para reclamar sobre ellos una originalidad creativa suficiente”.

  1. No se puede amparar la reproducción en el derecho de cita

No cabe eximirse de responsabilidad por haber citado al autor en el escrito copiado. Aquí, no resulta amparado el derecho de cita en la reproducción parcial y extensa del escrito de la abogada sin ninguna finalidad crítica distinta de alcanzar el resultado final de una obra compleja mediante un uso no autorizado por la abogada que realiza el escrito de contestación a la demanda parcialmente plagiado.

“De acuerdo con jurisprudencia del Tribunal Supremo, en ningún caso resulta amparada por el derecho de cita la reproducción de una obra original cuando esta no se incorpora a la obra subsiguiente para satisfacer una finalidad de análisis, comentario o crítica, sino para su comunicación, lo que sucede de manera evidente cuando la reproducción cuestionada es muy extensa o íntegra”.

[1]  SAP Valencia. Fuente Diario La Ley

[2] SAP Salamanca. Fuente. Cendoj.

MULTAS ELEVADAS POR INFRACCIONES EN MATERIA DE COOKIES

MULTA DE LA CNIL DE 10 MILLONES DE EUROS A YAHOO POR INFRACCIONES EN MATERIA DE COOKIES

El origen del procedimiento son las reclamaciones de veintisiete denunciantes relativas, en particular, al depósito de cookies en su terminal antes de cualquier acción, a no tener en cuenta  su negativa a la instalación de dichas cookies y a los métodos utilizados para rechazar las cookies del dominio «yahoo.com» y del servicio de mensajería «Yahoo mail».

 La CNIL señala lo siguiente:

Sobre la instalación de cookies

  • La instalación de cookies con fines publicitarios requiere el consentimiento. Aquí, se han instalado cookies publicitarias en el terminal del usuario sin consentimiento.

  • No se ofrece una alternativa al usuario que decide optar por retirar el consentimiento para cookies. En este caso concreto, la retirada del consentimiento tiene como consecuencia el no acceso a los servicios propuestos por la sociedad y la pérdida de la cuenta de mensajería electrónica, no se ofrece por ejemplo una cuenta de correo electrónico de page y la única posibilidad es la renuncia al uso de su mensajería electrónica.

Sobre el hecho de asociar el uso de un servicio a la aceptación de cookies no necesarias.

  • El hecho de ligar el uso de un servicio a la instalación de cookies no necesarias no es ilegal siempre y cuando el consentimiento sea libre por lo que la negativa a facilitarlo o en su caso, su retirada no pueden comportar perjuicio para el usuario. En este caso el consentimiento no es libre porque no ofrece una alternativa real al usuario.

  • La cuenta de correo electrónico constituye un elemento de la vida privada del usuario que le permite interactuar con otros en su vida privada y profesional. A medida que se usa no puede remplazarse por un servicio similar con la misma facilidad con la que lo habría hecho en un inicio. En este caso concreto, los usuarios que no deseen cambiar su dirección de correo electrónico y renunciar a su contenido, se ven conducidos a renunciar a su derecho a retirar su consentimiento, ya que la empresa no ofrece ninguna alternativa.

https://www.cnil.fr/fr/cookies-la-cnil-sanctionne-yahoo-dune-amende-de-10-millions-deuros

https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000048967251

GUÍA AEPD COOKIES ANALÍTICAS EXTERNAS

GUÍA AEPD COOKIES ANALÍTICAS EXTERNAS

La mayor parte de las webs usan cookies o tecnologías similares para obtener estadísticas tráfico y de rendimiento. La AEPD flexibiliza los criterios y no es necesario recabar el consentimiento cuando se usan en los siguientes casos:

✅ Medición exclusiva de la audiencia de la página web o aplicación por parte del editor y producción de datos estadísticos anónimos.

✅Los datos no se pueden cotejar con otras operaciones de tratamiento ni tampoco se deben transmitir a terceros.

✅No deben permitir el seguimiento agregado de la navegación de la persona que usa diferentes aplicaciones o navega por varios sitios web.

✅Se establece un listado sobre las mediciones que se consideran estrictamente necesarias.

 

Además, se fijan unas GARANTÍAS para el respeto de los derechos de las personas:

✅ Información al usuario del uso de cookies y tecnologías similares para medición de audiencia en la Política de Privacidad.

✅Duración de 13 meses y no extensión automática en nuevas visitas.

✅La información recopilada se conservará como máximo durante 25 meses.

✅Revisión periódica de la duración y período de conservación.

✅Cuando se acude a un proveedor de servicios de medición externo se debe firmar un acuerdo de encargo de tratamiento y realizar una evaluación del cumplimiento del contrato.

✅Si el proveedor de servicios de medición externo da servicio a varios editores debe ofrecer garantías que los datos se recogen procesan y almacenan de manera independiente para cada editor y que las cookies o tecnologías similares son independientes las unas de las otras y de cualquier otra cookie o tecnología similar.

AEPD#cookies#tecnologías similares#estadísticas tráfico# consentimiento#guía

https://www.aepd.es/guias/guia-cookies-analiticas-externas.pdf

TRIBUNAL DE JUSTICIA DE LA UNIÓN EUROPEA Y SENTENCIAS RELEVANTES

EL TJUE SEÑALA QUE EL TEMOR A UN POTENCIAL USO INDEBIDO DE DATOS PERSONALES PUEDE CONSTITUIR POR SÍ SOLO UN DAÑO O PERJUICIO INMATERIAL (MORAL)

El origen de la cuestión prejudicial es el acceso no autorizado a un sistema informático de la agencia pública de recaudación búlgara y publicación en Internet de datos personales.

En relación a los requisitos para una indemnización de daños y perjuicios inmateriales a favor de una persona por la exposición de sus datos personales a raíz de un ciberataque la sentencia afirma que:

✅La comunicación o acceso no autorizado a los datos personales no comporta de forma automática que las medidas de protección no eran apropiadas y los jueces deben examinarlas en cada caso concreto.

✅El responsable debe probar que las medidas son apropiadas

✅Cuando el acceso o la comunicación no autorizada ha sido realizada por terceros, “ciberdelincuentes” se puede obligar al responsable a indemnizar a los que sufren un daño salvo que se puede probar que el hecho que provoca el daño no le es imputable.

El temor que experimenta un interesado a un potencial uso indebido de sus datos personales por terceros a raíz de una infracción del RGPD puede constituir, por sí solo, un «daño o perjuicio inmaterial».

Indemnización#dañomoral#responsabilidad#ciberataque#datos personales#TJUE

STJUE de 14 de diciembre de 2023

️https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-12/cp230191es.pdf

EL TJUE DELIMITA LAS CONDICIONES PARA LA IMPOSICIÓN DE MULTAS POR INFRACCIÓN DE LA NORMATIVA DE PROTECCIÓN DE DATOS

En una reciente Sentencia del Tribunal de Justicia de la Unión Europea (STJUE) se ha delimitado el marco de referencia para que las autoridades de control de protección de datos puedan imponer multas a los responsables del tratamiento por infracción de la normativa de protección de datos.

El origen de la cuestión prejudicial proviene entre otros, de un tribunal alemán en el litigio ocasionado por una multa de 14 millones de euros impuesta por la autoridad de protección de datos alemana a una sociedad inmobiliaria por no tener medidas de seguridad necesarias para la supresión periódica de los datos personales de los arrendatarios que ya no eran necesarios o que se mantenían indebidamente almacenados por otras causas.

En particular, se concluye que:

✅ Sólo las infracciones que se cometen de forma intencionada o negligente pueden comportar la imposición de multas administrativas.

✅Ninguno de los factores del artículo 83.2 del RGPD presupone que se pueda generar responsabilidad del responsable sin una conducta culpable, por lo que, el elemento de la culpa en la comisión de la infracción es un requisito esencial.

No es necesario que la infracción con carácter previo sea imputable o imputada a una persona física concreta en el caso de infracciones cometidas por personas jurídicas.

✅Se puede imponer multa a un responsable del tratamiento por las operaciones efectuadas por un encargado del tratamiento siempre que las operaciones se puedan imputar al responsable.

 ✅El importe máximo de la multa en el caso que el destinatario sea una empresa que forme parte de un grupo de empresas se calcula sobre la base de del volumen de negocios del grupo.

Multas#culpa#infracción#negligencia#TJUE#culpa

✍️ Sentencia deTJUE de 5 de diciembre de 2023

LEY DE INTELIGENCIA ARTIFICIAL

LEY SOBRE INTELIGENCIA ARTIFICIAL: EL CONSEJO Y EL PARLAMENTO LLEGAN A UN ACUERDO SOBRE LAS PRIMERAS NORMAS PARA LA IA EN EL MUNDO

El proyecto de reglamento tiene como objetivo garantizar que los sistemas de Inteligencia Artificial (IA) comercializados en el mercado europeo y utilizados en la UE sean seguros y respeten los derechos fundamentales y los valores de la UE.

Se trata de regular la IA en función de su capacidad de causar daño a la sociedad de acuerdo con un enfoque “basado en el riesgo” a mayor riesgo más estrictas las reglas.

En particular, se destacan siguientes cuestiones:

Prohibiciones de uso por concurrir un riesgo inaceptable.

🛑Prohibir el uso de sistemas biométricos invasivos, categorización biométrica para inferir datos sensibles, como la orientación sexual o la religión. Excepciones: se permite el uso de sistemas de identificación biométrica en espacios públicos con fines policiales con autorización judicial y centrados en la búsqueda selectiva de personas condenadas o sospechosas de delitos graves.

🛑 Prohibir el uso de la IA para puntuaciones sociales o la manipulación de usuarios vulnerables, manipulación cognitiva conductual, el reconocimiento de emociones en el lugar de trabajo y en instituciones educativa.

🛑Prohibir en algunos casos de vigilancia policial predictiva para individuos.

Evaluación de impacto en los derechos fundamentales. Obligatorias antes de implementar sistemas de inteligencia artificial de alto riesgo y mayores obligaciones de transparencia. Aplica a sector banca y seguros.

Reglas generales sobre modelos de IA.  Los sistemas de IA de propósito general, esto es, aquellos que se usan para muchos fines diferentes y sus modelos deben cumplir con requisitos de transparencia, que incluye la documentación técnica y el respeto a la ley de derechos de autor. Asimismo, se acuerdan medidas más estrictas para los modelos de alto impacto con riesgo sistémico.

Apoyo a la Innovación y Entornos de Pruebas Regulatorios de la IA. Se incentiva los entornos de pruebas para desarrollar y entrenar IA innovadora antes de su lanzamiento, se permite probar los sistemas de IA en condiciones del mundo real y se tiene en cuenta a las pequeñas y medianas empresas.

✅ Multas elevadas por incumplimiento. Los importes pueden ascender a los 35 millones de euros o el 7% de la facturación global; 5 millones de euros o el 3% de la facturación global; 7,5 millones de euros o el 1,5% por el suministro de información incorrecta.

✅ Aplicación 2 años después de su entrada en vigor, con algunas excepciones para disposiciones específicas.

Próximos pasos: aprobación formal por parte del Parlamento y del Consejo.

#Inteligencia Artificial# Regulación# UE #Sistemas de Alto Riesgo#Prohibiciones

CONSEJO DE LA UNIÓN

PARLAMENTO EUROPEO


CATÁLAGO DE MEDIDAS DE SEGURIDAD DE GRAN AYUDA DPA DANESA

LA AUTORIDAD DE PROTECCIÓN DE DATOS DANESA PUBLICA UN CATALOGO DE MEDIDAS DE SEGURIDAD 

✅ Este catálogo puede ser de ayuda a las empresas como herramienta para garantizar la adopción de medidas técnicas y apropiadas y hacer frente a los riesgos.

✅Las medidas contienen ejemplos concretos en base a la experiencia de la autoridad de protección de datos, las violaciones de seguridad, las directrices CEPD y las normas ISO 27001 y 27002. Una medida puede ser preventiva, de detección, correctiva o una combinación de ambas.

✅Las medidas se han elaborado por un equipo multidisciplar de abogados y consultores de seguridad informática.

Entre otras medidas se proponen las siguientes:

  • derechos de acceso según necesidad.
  • cierre automático de acceso inactivos cuando no se usen por un determinado tiempo.
  • sensibilización y concienciación del personal en aspectos de seguridad.
  • realización de copias de seguridad.
  • gestión de derechos centralizada.
  • acceso a datos según necesidad.
  • documentación de autorizaciones.
  • autenticación multifactor.
  • separación de funciones.
  • gestión de cuentas de usuarios temporales.
  • control periódico derechos de acceso.
  • seudoanonimización y anonimización.
  • derechos de acceso basados en roles.
  • correlación competencias usuario y derecho de acceso.
  • control de acceso físico.
  • adaptación de los derechos de acceso al cambiar la relación laboral.

✍️

https://www.datatilsynet.dk/hvad-siger-reglerne/vejledning/sikkerhed/katalog-over-foranstaltninger?page=1