Masters of Privacy (ES)

Estamos de vuelta con una puesta al día y tenemos de todo: TikTok prohibido, el Privacy Sandbox atascado en la cocina, opinión sobre “Consent or Pay”, Meta AI vs. Google, Worldcoin congelado, Sora investigada, Teams/Office bajo la lupa, Avast vendiendo datos, multa a Glovo, proyecto de ley federal de protección de datos en EEUU… y mucho más. Todo ello en el post y casi todo comentado en las secciones de siempre. Con Cris Moro y Sergio Maldonado. ePrivacy y marco regulatorio Multas y sanciones La AEPD ordenó a Worldcoin dejar de recabar datos biométricos con objetivos de identificación en un plazo de 72 horas por la vía de urgencia que en el GDPR permite saltarse el “one stop shop”. Worldcoin está basada en Alemania y había preparado el terreno con la autoridad bávara de protección de datos, pero aún así escogió España y Portugal como campo de pruebas. El proyecto ha generado importante alarma social, aparentemente recabando datos altamente sensibles sobre menores y adolescentes sin un propósito definido (“distinguir a humanos de robots”) y con la vinculación de perfiles a la aplicación móvil que permite acceder a criptomonedas o servicios futuros. La AEPD, a petición de Garante (DPA italiana), impuso una multa de 550.000 euros a Glovo por no observar los principios más básicos en el tratamiento de los datos de repartidores. Se ha apreciado falta de transparencia (información facilitada en el registro inicial), privacidad desde el diseño, uso de decisiones automatizadas a través de un sistema de ranking/scoring que determina la asignación de cada pedido, y la transferencia a terceros fuera de los países en los que operan. Después de sufrir una multa de 16.5 millones de euros por parte de la FTC en Estados Unidos, la agencia checa de protección de datos ha impuesto una nueva sanción de unos 15 millones de euros al antivirus Avast por vender datos de navegación de sus clientes en el mercado publicitario, destacando sus afirmaciones falsas sobre la forma en que se anonimizaban los datos, y el uso exclusivamente estadístico de los mismos. El abogado general de California anunció un acuerdo extrajudicial con DoorDash (reparto a domicilio), después de encontrarse una infracción del CPPA y CalOPPA por la participación de la plataforma en una cooperativa de intercambio de datos (“Second Party Data”), siendo esto equivalente a una venta de datos personales -y exigiendo un “opt-in”- en el sentido de la propia CCPA. La AEPD impuso multas de 10.000 euros tanto a La Vanguardia como a NH Hoteles por violaciones en el uso de cookies. El medio de prensa fue sancionado por no proporcionar información clara y completa sobre el uso de cookies, mientras que la cadena hotelera fue multada por usar cookies no exentas, propias y de terceros sin consentimiento, además de no permitir rechazar o gestionar las cookies de manera granular. Se ha concedido una rebaja del 20% a esta última por estar en proceso de actualización de estos aspectos en su web. El mes pasado Garante, la DPA italiana, anunció que estaba investigando a Sora (texto a vídeo), y solicitó información sobre sus fuentes de entrenamiento (ha circulado un vídeo en el que una consejera de OpenAI confesaba hacer uso de todo el catálogo de YouTube), y el uso de datos personales en ese proceso. Se le han pedido categorías de datos personales, fuentes y bases legales. También en marzo, el EDPS le pidió a la Comisión Europea que deje de usar Microsoft365 -que viene a ser Office, Teams, y todo el kit de productividad de Microsoft- por no haber analizado bien el marco contractual que permite a esta empresa tratar datos en Estados Unidos. El EDPS ha explicado que la Comisión Europea no ha proporcionado las medidas adecuadas para garantizar que los datos personales transferidos fuera de la Unión Europea cuenten con un nivel de protección equivalente (después de Schrems II). Además, tampoco se ha detallado qué tipo de datos han sido compartidos con Microsoft y otras compañías asociadas....

Carlos Rojas se ha incorporado recientemente como socio a EY (antes Ernst & Young) para lanzar el nuevo servicio de Transformación de Marketing de esta gran consultora (X.LAB). Carlos acumula muchos años de experiencia en consultoras especializadas de MarTech y AdTech o MadTech, incluyendo los últimos 8 años en Accenture Song, donde ha sido responsable de IA Generativa para Marketing y ha liderado el crecimiento del equipo de Marketing, Data y Personalización. Nuestro invitado es Licenciado en Dirección Comercial y Marketing por Cesma Business School y tiene un Máster en Comercio Internacional por la Universidad Blaise Pascal. Con Carlos hemos tratado el punto de confluencia entre protección de datos, inteligencia artificial e híper personalización, con referencias a la nueva ola de Customer Tech en sus dos posibles acepciones, el impacto del no-code y el Digital Fitness. Referencias: Carlos Rojas en LinkedIn Alexandre Gonfalonieri: The Age of Hyper-Personalization and AI Sergio Maldonado: How True Customer Centricity will eventually reshape Marketing Technology

Armando Lin ha sido Director de la ANTAI (Autoridad Nacional de Transparencia y Acceso a la Información), o autoridad supervisora de Panamá, y ha estructurado el equipo actual de dicho organismo. Cuenta con la Certificación en Protección de Datos Personales por APEP (Asociación Profesional Española de la Privacidad) y ALAP (Asociación Latinoamericana de Privacidad). Actualmente dirige el despacho Lin Barsallo y Asociados. Con Armando hemos cubierto la forma en la que el reciente marco de protección de datos panameño se aplica al mercado publicitario, con particular enfoque en las comunicaciones comerciales. Referencias: Ley 81 sobre protección de datos personales de PanamáAutoridad Nacional de Transparencia y Acceso a la Información de PanamáLin Barsallo y Asociados

¿Cómo se aborda desde el marco legal argentino la protección de datos en entornos digitales? ¿Qué cambios se avecinan? Mariano Peruzzotti es un profesional reconocido internacionalmente en el ámbito de la protección de datos, con particular exposición a su solapamiento con la propiedad intelectual y otros desafíos del entorno digital, incluyendo los derivados del uso de la inteligencia artificial o el Big Data. Es socio de Ojam Bullrich Flanzbaum, ha sido reconocido por Chambers & Partners y es co-Chair del capítulo de Buenos Aires de la IAPP, así como Chair del comité latinoamericano del Grupo 6 de The Sedona Conference. Referencias: Perfil de Mariano Peruzzotti en Ojam Bullrich FlanzbaumMariano Peruzzotti en LinkedIn Ley 25.326 de Protección de Datos Personales (Argentina) Estado de la Convención 108+ (Consejo de Europa)

Óscar Sánchez es Head of Platform Operations en RepScan, con un rol destacado en la protección de contenidos online y la prevención de infracciones en internet. Como criminólogo especializado en el ámbito digital, Óscar se encarga de implementar soluciones técnicas y operativas para la ejecución de derechos en la red. Con Óscar hemos cubierto los siguientes asuntos: Referencias: Óscar Sánchez en LinkedInBotón rojo contra el Cyberbullying Estrategia de la AEPD sobre menores, salud digital y privacidadPermission Slip

Volvemos a la carga con las novedades más candentes en las áreas de siempre. Con Cris Moro y Sergio Maldonado. ePrivacy y marco regulatorio Multas y sanciones 41 estados (de los 50 en EEUU) demandaron a Meta a finales de octubre acusando Instagram y Facebook de introducir elementos de manipulación de la dopamina que generan adicción de forma deliberada, contribuyendo a problemas de salud mental. Este nuevo ángulo puede evitar que Meta se acoja a la inmunidad que le otorga la Sección 230 con respecto al daño que pueda ocasionar a otros el contenido publicado por sus usuarios. En diciembre, Google aceptó un acuerdo extrajudicial de 5.000 millones de dólares en California por el seguimiento que hace de la actividad de los usuarios cuando estos han seleccionado el modo “Incógnito” de su navegador, que se supone que venía precisamente a ofrecer este nivel superior de intimidad. A finales del mismo mes la CNIL impuso una multa de diez millones de euros a Yahoo! por servir veinte cookies con independencia de que el usuario las aceptara o negara en el gestor de consentimiento facilitado. Una vez más, se trata de una empresa que bajo el RGPD debería ser multada en Irlanda (“one stop shop”), pero la Directiva ePrivacy (integrada en el artículo 82 de la Ley de Protección de Datos francesa) se queda en el ámbito nacional. Novedades legislativas, jurisprudencia y directrices El 1 de diciembre se aprobó el Reglamento de Ciber-Resiliencia. Todos los juguetes o dispositivos electrónicos conectados a internet tendrán que seguir el marco de seguridad contemplado desde enero de 2027. El 11 de diciembre California aprobó una propuesta para exigir a las páginas web que respeten las señales de opt-out de los navegadores, lo cual por fin forzará a Chrome, Safari y Edge a unirse a Brave, DuckDuckGo y Firefox en el soporte de Global Privacy Control y otros estándares similares. Otros estados como Colorado ya han codificado similares exigencias. La UE llegó a un acuerdo sobre el Reglamento de IA en el trílogo de diciembre, incluyendo requisitos para modelos fundacionales. Ahora tendrá que ser ratificado por los estados miembros. La AEPD ya había publicado una nueva guía para el uso de cookies el año pasado y la única novedad iba a ser su fecha límite de aplicación el 11 de enero, pero ahora ha publicado una nueva Guía para el uso de cookies “analíticas” que permite hacer medición de tráfico en páginas web sin pedir consentimiento. MarTech y AdTech Google lanzó Ads Data Manager para ayudar a los anunciantes a gestionar sus datos de primera parte (a diferencia de Ads Data Hub, que venía a ser su Data Clean Room para hacer peticiones a los datos de primera parte ostentados por el propio buscador). Los Data Clean Rooms han estado muy calientes este trimestre. Snowflake compró Samooha hace unas semanas y LiveRamp ha comprado Habu en días pasados. IA, Competencia y Mercados Digitales El New York Times denunció a OpenAI y a Microsoft en diciembre por incumplimiento de derechos de autor en el uso de sus artículos para entrenar algoritmos que terminan escupiendo contenidos destinados a competir con la actividad periodística llevada a cabo por este medio. PETs y Zero-Party Data En septiembre comenzó a aplicarse el Reglamento de Gobernanza de Datos de la UE, que promueve el uso de datos abiertos o el reciclaje de datos para su aprovechamiento general y democratización. En el caso de datos personales crea la figura de intermediarios de confianza para solventar la posible contradicción que pueda presentarse con el marco de protección de datos personales. Futuro de los medios 83 editores españoles (a través de la Asociación de Medios de la Información - AMI) denunciaron a Meta a final de año por incumplir sistemáticamente el GDPR desde 2018, pidiendo una compensación de más de 550 millones de euros por los daños y perjuicios acusados en el sector como consecuencia. OpenAI ha llegado a un acuerdo con Axel Springer (Business Insider,...

Alejandro Prieto es director del Departamento de Protección de Datos y Regulación Digital de Autocontrol. Anteriormente ha sido DPO del Grupo Alsea (VIPS, Starbucks, Foster’s Hollywood, Domino’s Pizza) y de Bluetab Solutions (Grupo IBM), así como consultor de seguridad de la información. Alejandro articipa como docente en diversas instituciones, incluyendo la Universidad Carlos III de Madrid. Referencias: Alejandro Prieto en LinkedInAutocontrol: Código de conducta publicitariaGuía actualizada sobre el uso de cookies de la AEPDGlobal Privacy ControlPrivacy Sandbox: Topics APId

Joanna Rozanska es Associate en el área de IP/TMT de Hogan Lovells Madrid, miembra de European Advisory Board de la IAPP y miembro de Madrid KnowledgeNet Chapter de la IAPP. Con Joanna hemos abordado el solapamiento entre el RGPD y el recién aprobado AI Act a la hora de gestionar proyectos de IA generativa, prestando particular atención al principio de exactitud (art. 5 RGPD) y el requisito de calidad de los datos (art. 10 AI Act). También hemos mencionado otras exigencias resaltadas por la Agencia Española de Protección de Datos. Referencias: Joanna Rozanska en LinkedIn Opinión conjunta del EDPB y EDPS sobre la propuesta de reglamento de IA Inteligencia Artificial: principio de exactitud en los tratamientos Requisitos para auditorías de tratamientos de datos personales que incluyan Inteligencia ArtificialAdecuación al RGPD de tratamientos que incorporan Inteligencia Artificial How data protection authorities are de facto regulating generative AI

Miguel Orense es experto en marketing full-stack y comercio electrónico, conferenciante y autor de varios libros. Su trayectoria incluye la fundación de Kanvas Media y otras empresas del sector, y ha orquestado estrategias de marketing para empresas de todos los tamaños, ejerciendo estos días el rol de “Fractional CMO” para empresas en diferentes estados de gestación. Referencias: Actividades y recursos de Miguel OrenseMiguel Orense en LinkedInChatGPT y Leonardo.ai imitando a Eduardo MendozaOpenAI lanza GPTs The Verge: El New York Times bloquea al robot de indexación de OpenAIAcuerdo entre OpenAI y Axel Springer para entrenar ChatGPT con contenidos del gigante editorial (Financial Times)Shopify AudiencesFeastables: Chocolate de Mr. Beast

Versión muy resumida del debate surgido tras la publicación de las nuevas Directrices del Comité Europeo de Protección de Datos sobre el ámbito técnico del artículo 5(3) de la Directiva ePrivacy. Referencias: Masters of Privacy: Entrevista a Renzo Marchini Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy DirectiveNew Guidance released on the technical scope of Art 5(3) ePrivacy Directive - a landgrab by the EDPB

Henry Velasquez es Global DPO para el sur de Europa y LATAM en el Grupo Publicis, abogado especializado en tecnología y protección de datos, y miembro del Consejo Asesor de la IAPP. También es profesor asociado en varias instituciones como la Universidad Complutense de Madrid, la IAPP, la IAB, el Data Privacy Institute, ISMS Forum, el Colegio de Abogados de Madrid y otros, además de colaborador en publicaciones especializadas. Con Henry hemos abordado hoy: Referencias: Henry Velasquez en LinkedIn Silvia Ruiz y Henry Velásquez: el rol del DPO en la agencia de medios Rafael Martinez: La fiebre del Retail MediaJeffrey Bustos: Retail Media, privacy, and the future of addressability Enrique Extremera: Aspectos legales de los Data Clean Rooms Nicola Newitt: The legal case for Data Clean Rooms

Después de 17 años en el despacho Garrigues, Jorge García Herrero encontró en 2017 su ikigai en la protección de datos personales. A día de hoy es premio de la AEPD a las “Buenas Prácticas en la implementación del RGPD y la LOPD" (2019), asesora a multinacionales españolas y extranjeras líderes en sus mercados y lidera dos grupos especialistas en protección de datos. Jorge es además co-autor del manual “Análisis de sanciones en Protección de Datos divididas por conceptos y sectores” (Wolters Kluwer, 2021) y del libro “La adaptación al nuevo marco de protección de datos tras el RGPD y la LOPDGDD” (Wolters Kluwer, 2019). También es ponente y docente habitual en las Universidades de Valladolid, Alicante, Almería, y Pontificia de Salamanca. Su blog es uno de los más leídos en el gremio. Con nuestro invitado vamos a analizar la situación que se nos presenta con un Instagram o Facebook de pago para quien no quiera publicidad personalizada. Referencias: Consiente o paga. Ocho razones para rechazar una oferta Jorge García Herrero en LinkedInJorge García Herrero en X/TwitterRobert Bateman en Masters of Privacy (EN): Consent or Pay Alonso Hurtado en Masters of Privacy: Instagram y Facebook sin base legal, autonomía de la voluntad Decisión del Consejo de Estado francés sobre la prohibición de muros de consentimiento por parte de CNIL Decisión del TJUE en Meta vs. Bundeskartellamt Decisión de la autoridad noruega al respecto de bases legales y publicidad personalizada en Meta Decisión urgente vinculante del EDPB sobre el procesamiento de datos para publicidad conductual en respuesta a la posición de la autoridad noruega Posición pública de Meta al respecto del reciente histórico de decisiones sobre sus bases legalesRatios de aceptación de seguimiento por parte de apps móviles en el contexto de App Tracking Transparency

Aprovechando que ha terminado el periodo de gracia de quince meses para la aplicación del Reglamento de Gobernanza de datos (Data Governance Act), hoy lanzamos una puesta al día rápida de lo que ha pasado en las últimas semanas antes de que se acumulen demasiadas cosas en este otoño vertiginoso. En las categorías habituales: Referencias principales: Eve-Christie Vermynck Cory Underwood Sille Sepp Cláusulas contractuales modelo Texto completo con más referencias: https://mastersofprivacy.com/es/newsroom-de-octubre-llega-la-dga-instagram-de-pago-y-mmm-2-0/

La carrera profesional de María Soledad Capozzi está vinculada con la innovación tecnológica, orientada al cumplimiento de la normativa de datos personales. Actualmente es DPO en OpenBank (Banco 100% digital del Banco Santander) y profesora del Máster en Protección de Datos y Seguridad de la Universidad de Nebrija. En sus ratos libres también escribe en la sección de innovación del Santander, así como otros foros para generar concienciación en los ciudadanos en materia de privacidad. Con nuestra invitada nos hemos zambullido en las profundidades de las políticas de protección de datos para entender qué menciones son necesarias y cómo conseguir un cumplimiento efectivo de ambos, deber de transparencia y principio de responsabilidad proactiva. Desde ahí nos ha dado incluso tiempo a abordar la comunicación de bases legales y el ejercicio de derechos. Interrogantes abordados a lo largo de esta entrevista: Referencias: María Soledad Capozzi en LinkedIn Masters of Privacy: Políticas de protección de datos eficaces con Ito Onojeghuo (inglés)Masters of Privacy: María Vidal - Listas Robinson Directrices sobre el deber de transparencia del Comité Europeo de Protección de Datos Multa a Spotify en Suecia (junio de 2023) relacionada con una política de privacidad insuficiente Multa a Criteo en Francia (junio de 2023, 40 millones de euros), siendo el deber de información uno de los criterios determinantes el incumplimiento de los artículos 12 y 13 del RGPD Modificaciones propuestas al UK GDPR, incluyendo supuestos “precocinados” de interés legítimoErin Meyer, The Culture Map

Jesús Fernández Acevedo, es abogado especialista en protección de datos, DPO/DPD en diversas entidades, profesor en cursos y másteres sobre la materia y colaborador en Canal Sur Radio sobre protección de datos. Jesús (Máster en Derecho de las Telecomunicaciones y de las Tecnologías de la Información por la Universidad Carlos III de Madrid) es además miembro de la Comisión de Abogacía Digital del Ilustre Colegio de Abogados de Sevilla, así como coautor de varios libros: “La adaptación al nuevo marco de protección de datos tras el RGPD y la LOPDGDD” (Editorial BOSCH); “El nuevo marco regulatorio derivado del Reglamento Europeo de Protección de Datos” (Editorial BOSCH); “Guía Práctica de Protección de Datos para PYMES” (CEA); y “Guía contra el Spam” (Agencia Española de Protección de Datos). También fue Primer Premio en el Legal Hackaton 2015 de la Universidad de Deusto. Referencias: Jesús Acevedo en LinkedInMulta a Spotify y otras sanciones recientes en el Newsroom de verano Libro: La adaptación al nuevo marco de protección de datos tras el RGPD y la LOPDGDD Brecha de seguridad en el Ayuntamiento de Sevilla

Estamos de vuelta. Aquí va una versión grabada de lo sucedido en el verano que ahora despedimos, en cinco apartados, con ligeros cambios con respecto a trimestres previos: Visita el post asociado a este episodio en nuestro blog para una larga lista de referencias y notas.

Leonardo Cervera es el Secretario General del EDPS (Supervisor Europeo de Protección de Datos), autoridad responsable de la supervisión del tratamiento de datos personales por parte de las instituciones europeas, así como de asesorar al legislador europeo en asuntos de protección de datos y participar en el EDPB (Comité Europeo de Protección de Datos). Leonardo se incorporó a la Comisión Europea en 1999 y al EDPS en 2010. Es licenciado en Derecho por la Universidad de Málaga, Máster en Derecho Europeo por la Universidad de Granada y fellow de la Universidad de Duke en Carolina del Norte. Referencias: Organigrama del EDPSEDPS en Twitter Estado de las negociaciones en el Reglamento de IA Digital Markets Act Digital Services Act Data Governance Act Data Act Episodio con Javier Aparicio sobre el Reglamento de Servicios Digitales Episodio con Rafael García del Poyo sobre el Reglamento de Inteligencia Artificial

Berta es Senior Privacy Counsel en la Oficina Corporativa de Privacidad de General Electric, responsable de la implementación del RGPD en la UE y el Reino Unido. Berta se encarga además de propagar y hacer valer los estándares reflejados en las Normas Corporativas Vinculantes (o Binding Corporate Rules) de General Electric, así como de definir un esquema de gobernanza de privacidad a nivel global y operacionalizar lo requerimientos legales de la protección de datos a través de diferentes países. Con Berta hemos abordado las Normas Corporativas Vinculantes para saber qué son, cómo se aprueban y cómo se mantienen. También tocaremos otros temas como la en ocasiones confusa línea divisoria entre responsables, encargados, corresponsables y responsables independientes. Referencias: Berta Balanzategui en LinkedIn Directrices del CEPD sobre Normas Corporativas Vinculantes para responsables y encargados del tratamiento [EN] Jetty, Tielemans, una primera aproximación al impacto de Schrems II en las BCR

Jesús Martín es licenciado en Derecho y Administración de Empresas, así como MBA por INSEAD. Dirige el área de datos y medición en Google España e imparte clases en diversas escuelas de negocio (IE, ISDI, ICEMD, etc.). También ha sido responsable del equipo de datos y analítica en la consultora The Cocktail. Con Jesús hemos hablado de: Referencias: Jesús Martín en LinkedInJesús Martín en TwitterCambios recientes en la especificación de Google Consent ModeTests recientes en Google Ads Privacy Sandbox Google PAIR

Trimestre completamente desbocado en lo que a noticias se refiere. Volvemos a cubrir las cinco categorías habituales (ePrivacy, Martech & AdTech, Competencia y mercados digitales, Zero-Party Data y Customer Centricity, futuro de los medios), destacando: Referencias: Resolución de la DPA austriaca sobre el uso de Facebook Pixel y Facebook Login en una web ¿El Facebook Login incumple el RGPD? Multa de CNIL a Doctissimo por varias infracciones, incluyendo haber servido dos cookies publicitarias una vez que se optaba por “Rechazarlas todas” en el gestor de consentimiento Acción de la FTC contra una aplicación móvil por compartir datos con fines publicitarios Sentencia del TJUE sobre anonimización y pseudonimización Orientaciones para validar el cifrado como medida de seguridad de los datos personales de la AEPD, ISMS Forum y APEP Privacy Manifests de Apple (Junio de 2023) TCF 2.2 de la IABPruebas de Google como alternativa a cookies de tercera parte en DV360 y Google Ads Directrices para el uso de Data Clean Rooms (IAB Tech Lab) Google "We Have No Moat, And Neither Does OpenAI" Adam Klee (Licorice) en Masters of Privacy Mattia Fosci (Anonymised) en Masters of Privacy CMA update report on implementation of the Privacy Sandbox commitments