Esta web utiliza cookies, puedes ver nuestra la política de cookies aquí. Si continuas navegando estás aceptándola.

La Agencia Española de Protección de Datos señala a Android por vulnerar la legislación europea

A vueltas con la privacidad del usuario y, en este caso, Android. La Agencia Española de Protección de Datos (AEPD) señala con el dedo al sistema operativo de Google por infracciones al Reglamento General de Protección de Datos (RGPD) de la Unión Europea. La AEPD ha publicado dos documentos técnicos, dirigidos tanto a usuarios como a desarrolladores, que analizan Android.

La forma en la que las aplicaciones móviles solicitan permiso para acceder a grabaciones de la pantalla de los dispositivos y el uso de identificadores en Android para la personalización de anuncios estarían vulnerando la legislación europea. El primer informe analiza el control del usuario en la personalización de anuncios que hace Android. Desde la versión Android 7 KitKat, cada terminal cuenta con un identificador único para el envío de anuncios personalizados.

El SO para móviles de Google ofrece a los usuarios la posibilidad de deshabilitar el identificador de publicidad a través de sus ajustes, lo que Google transmite a las entidades de publicidad, "pero depende de estas respetar o no esta preferencia", alerta la AEPD. Asimismo, deshabilitar el identificador de Android "no impide que el identificador sea enviado por algunas aplicaciones y, por tanto, no evita que se pueda seguir construyendo un perfil basado en los intereses o gustos del usuario", destaca el estudio. Además, señala el organismo, ocurre que al reiniciar los valores de fábrica de un teléfono móvil, Android vuelve a activar por defecto la personalización de anuncios y "el usuario tiene que deshabilitarla de nuevo y no al revés, como debería suceder de acuerdo al principio de privacidad por defecto establecido en el RGPD".

La AEPD recomienda a los desarrolladores de aplicaciones "tener en cuenta que el envío de datos personales a una tercera parte se considera un tratamiento de datos personales para el que es necesaria una base legal, y como tal, además deben cumplir con todos los principios aplicables a tratamientos de datos que el RGPD establece, entre ellos el principio de minimización de datos", recoge la nota técnica. Aplicaciones que hacen capturas de pantalla sin avisar

El segundo informe de la Agencia Española de Protección de Datos se refiere a la práctica mediante la cual Android da permiso a las aplicaciones para que capturen la pantalla del dispositivo y lo envíen fuera del mismo, una característica habilitada en el sistema operativo móvil de Google desde 2014 con la versión 5.0 Lollipop. Los investigadores de este organismo han detectado casos de aplicaciones que "solicitan permiso al usuario cuando se produce el acceso a su pantalla sin informarle correctamente, y que éste no puede comprobar si éste está activado ni puede revocar el permiso". 

La aceptación del usuario para la captura de pantalla "no cumple con las condiciones del consentimiento si previamente no se le ha informado claramente de los propósitos de dicho tratamiento de acuerdo con el artículo 13 del RGPD", alerta la AEPD. Tampoco cumplen con los principios de transparencia las aplicaciones que llevan a cabo la grabación de pantalla sin que el usuario sea consciente de en qué momento se está produciendo, incluso en los casos en que se ha concedido previamente el consentimiento, según AEPD. "Acabamos de recibir los estudios. Estamos revisando su contenido y esperamos poder discutirlo con la AEPD", ha dicho Google en un comunicado.

TTCS Android AEPD

#agenciaespañoladeprotecciondedatos #protecciondedatos #usofraudulentodedatos #sistemadeseguridad  #ciberseguridad

Fuente: 20minutos

A Alfonso Jesús Cabezuelo, uno de los miembros de La Manada, le ha llegado una notificación de la Agencia de Protección de Datos: la apertura de un expediente sancionador de 150.000 euros por grabar y difundir un vídeo de la víctima durante la primera noche de los sanfermines de 2016, cuando sucedieron los hechos por los que fueron condenados a nueve años de prisión por abuso sexual con prevalimiento, a la espera de que se pronuncie el Tribunal Supremo.

El origen de la diligencia está en la denuncia de una organización feminista contra los portales de internet Forocoches y Burbuja.info, por la publicación de datos de la víctima, y la Comunidad Foral de Navarra, por la filtración de esos datos. "No se filtraron", explica el abogado en referencia a que los funcionarios no realizaron la "limpieza" que hay que hacer de las sentencias para que no consten datos sensibles, "y aparecían en la resolución judicial". Asegura que este procedimiento por parte de la Agencia es "una barbaridad", ya que el vídeo al que hace referencia la denuncia "nunca se difundió y eso quedó acreditado en la sentencia" y, además, "cuando hay un procedimiento judicial en curso no puede haber una resolución administrativa sobre lo mismo, no se puede sancionar dos veces por el mismo delito".

El pasado 5 de diciembre, el Tribunal Superior de Justicia de Navarra ratificó la condena a nueve años de prisión por un delito de abuso sexual con prevalimiento contra los cinco miembros de La Manada, y, atendiendo el recurso de la víctima, ordenó que la Audiencia Provincial dictase una nueva sentencia por un delito contra la intimidad de la mujer, por haber sido grabada sin su consentimiento. Si la sentencia fuera condenatoria, esto elevaría las penas entre dos y cuatro años. La Fiscalía interpuso dos semanas después un recurso de casación contra esa decisión del TSJN, al considerar que la actitud intimidatoria de los acusados fue "la que les permitió consumar sobre la víctima los actos sexuales", y esta "intimidación grave" llevaría a calificar los hechos como un delito continuado de agresión sexual, por lo que solicitó una condena de 18 años de prisión para cada uno.

Los miembros de La Manada permanecen en libertad provisional hasta que el Tribunal Supremo dicte sentencia firme. Martínez Becerra cuenta que, según algunas informaciones que le llegan, eso podría ocurrir en junio. "Y eso es ser muy rápido, y ya me extraña, porque todos los recursos que presentamos todas las partes son extensísimos. El mío tiene 300 y pico páginas, hay otras con más de 200. No doy crédito si eso sucede".

manada

 

#agenciaespañoladeprotecciondedatos #protecciondedatos

Fuente: Elpais

La Agencia Española de Protección de Datos (AEPD) ha instado a las grandes empresas proveedoras de servicios de Internet a la aprobación de protocolos específicos de actuación con el fin de evitar la utilización o difusión de imágenes personales en la red de víctimas de violencia de género sin su consentimiento.

Esta es una de las medidas que figura en el Marco de Actuación de Responsabilidad Social 2019-2024 de la AEPD --elaborado con la colaboración de Pacto Mundial de Naciones Unidas y alineado con la Agenda 2030 y los Objetivos de Desarrollo Sostenible-- que estructura el compromiso de este organismo en cuatro ejes: Sociedad; Buen Gobierno, Transparencia y rendición de cuentas; Medio Ambiente y Empleados.

 

Dentro del apartado de Compromiso con la Sociedad, la Agencia ha establecido a su vez tres grandes áreas de trabajo: la igualdad de género, el fomento de la prevención, y la innovación y el emprendimiento.

 Así, respecto a la igualdad de género, se impulsarán protocolos con el Ministerio del Interior, la Fiscalía y la Delegación de Gobierno para la Violencia de Género, en el marco del Grupo de Trabajo sobre la privacidad de las víctimas de violencia en Internet, para que cuando acudan a una comisaría sean informadas de la posibilidad de dirigirse gratuitamente a la Agencia en caso de utilización o difusión de imágenes personales sin consentimiento.

La AEPD dará prioridad a este tipo de reclamaciones, además de instar a las grandes empresas proveedoras de servicios de Internet a la aprobación de protocolos específicos de actuación, según ha destacado la institución.

 

En el área de prevención, destaca la colaboración con Ministerio de Educación para elaborar materiales curriculares sobre educación digital y uso responsable de Internet, con especial atención a las situaciones de violencia en la Red. En este sentido, la AEPD recuerda que, en aplicación de la nueva Ley de Protección de Datos, las CC.AA. tienen de plazo hasta finales de año para incluir formación específica en el uso seguro de los medios digitales en los currículums académicos.

También se colaborará con la Fiscalía para actuar frente a la difusión de imágenes o información personal de menores en Internet; se impulsarán protocolos contra el ciberacoso, en colaboración con el Ministerio de Educación; y se colaborará con la Policía Nacional en cursos sobre privacidad y seguridad.

 

Además de alinear con la Agenda 2030 los premios que anualmente concede la Agencia, la AEPD ha anunciado que va lanzar una nueva categoría en la que se van a reconocer proyectos y actuaciones innovadoras y respetuosas con la privacidad en el marco de las iniciativas empresariales noveles y las startups. El premio tendrá la denominación 'Ángela Ruiz Robles', precursora española del libro electrónico.

De otra parte, el Marco de Actuación recoge una apuesta firme por una política de cumplimiento (compliance) basada en los valores de la transparencia, el buen gobierno, la integridad, la rendición de cuentas, la participación, la profesionalidad y el servicio público, lo que se va a traducir en la aprobación de un Código Ético y de Conducta para los empleados y directivos de la Agencia, y la implantación de un canal de denuncias anónimo, siempre con las debidas garantías en su aplicación.

 

TTCS Agencia Española de Protección de Datos

 

#agenciaespañoladeprotecciondedatos #protecciondedatos #usofraudulentodedatos #proteccioneninternet #internetseguro

 

Fuente: Lavanguardia

La AEPD las sanciona a dos tiendas Xiaomi ya que vulneran la protección de datos en España

Teknautas lo adelantó el pasado mes de septiembre: dos tiendas Xiaomi de Madrid habían dejado al descubierto datos de sus clientes, incumpliendo la Ley Orgánica de Protección de Datos (LOPD) y el nuevo Reglamento General de Protección de Datos (RGPD, o GDPR, por sus siglas en inglés). El hecho hizo que Facua denunciase a las tiendas ante la Agencia Española de Protección de Datos (AEPD), que acaba de imponerles una sanción.

 

TTCS Datos descubiertos tienda Xiaomi

 

Los datos de clientes, a la vista de todos

La infracción tuvo lugar en la Xiaomi Mi Store Sol (calle Carretas 5, junto a la Puerta del Sol) y en la Mi Store La Vaguada. En los móviles que había en exposición para sus clientes, las tiendas tenían configurada una cuenta de Gmail desde la que, a diario, enviaba la caja y facturación del establecimiento durante la jornada. Además, en los correos también aparecían los datos personales de los empleados de dichas tiendas, así como, en ocasiones, los de algunos clientes que habían comprado.

 En su procedimiento sancionador [PDF], la AEPD se muestra contundente: la compañía Balmore Atlantic, encargada de explotar ambas tiendas, "ha incurrido en infracción de la normativa sobre protección de datos materializado en la existencia de una brecha de seguridad derivada de la defectuosa configuración de una cuenta de correo desde un terminal para uso de gestiones internas de la tienda".
 

Esta circunstancia incumple el artículo 32 de la GDPR, que determina que "el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo" tales como "la seudonimización y el cifrado de datos personales y la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento".

Apercibimiento sin multa económica

Las compañías que incumplen la GDPR a estos niveles se enfrentan a multas de hasta 10 millones de euros o el 2% de su facturación anual (la cifra más alta), pero, en este caso, y al tratarse de la primera vulneración por parte de Balmore Atlantic SL, la AEPD ha sancionado a la compañía con un apercibimiento de conformidad, que no implica multa económica.

Según señala el organismo oficial, Balmore "contestó al requerimiento de los servicios de inspección de esta agencia". Además, "ha acreditado haber adoptado con una razonable diligencia medidas de carácter técnico y organizativas reforzando la seguridad de los datos y evitar que en el futuro vuelva a producirse una quiebra como la que ha provocado el procedimiento sancionador".

Entre estas medidas para evitar un nuevo incumplimiento, las dos tiendas desvincularon las cuentas de Gmail de dichos terminales, nombraron un delegado especial de protección de datos e incluso dieron formación a sus empleados para actuar conforme a la normativa.

Además, "la ausencia de intencionalidad, la ausencia de daños y perjuicios, el comportamiento y las medidas adoptadas por el responsable del tratamiento atenúan más si cabe su culpabilidad en el presente caso". De todos modos, la compañía que explota ambas tiendas ya sabe a lo que se expone: si vuelve a vulnerar la ley, la multa económica será inevitable.

 

TTCS Datos descubiertos tienda Xiaomi 2

 

#aepd #agenciaespañoladeprotecciondedatos #datosdescubiertos #protecciondedatos 

Fuente: Elconfidencial

 

Una investigación dirigida por científicos españoles ha revelado que los móviles Android (de Google) monitorizan al usuario sin que él lo sepa y acceden a sus datos personales de forma masiva a través de un gran número de aplicaciones preinstaladas que apenas pueden retirarse del terminal.

Las conclusiones de la investigación realizada por el Instituto IMDEA Networks con sede en Leganes y la Universidad Carlos III de Madrid se recogen en el artículo “An Analysis of Pre-installed Android Software”, que difunde hoy la Agencia Española de Protección de Datos (AEPD) debido al “impacto masivo” de sus resultados sobre la privacidad y la protección de los datos personales de los ciudadanos, explica la entidad en una nota.

De hecho, la AEPD presentará este estudio y sus conclusiones en los subgrupos de trabajo del Comité Europeo de Protección de Datos (CEPD), organismo de la Unión Europea del que forma parte la entidad junto a otras autoridades europeas de protección de datos y el supervisor europeo. La investigación incluye más de 82.000 aplicaciones preinstaladas en más de 1.700 dispositivos con sistema operativo Android fabricados por 214 marcas.


Prácticamente en todos los fabricantes se ha detectado algún tipo de software preinstalado que utiliza acceso privilegiado sin conocimiento del usuario a recursos del sistema para la obtención de datos personales, según sus responsables.

La conclusión es que existe un complejo sistema de desarrolladores y acuerdos comerciales con aplicaciones preinstaladas que disponen de permisos que no se corresponden con los originarios de Android para dar acceso a sus servicios sin posibilidad de que un usuario medio pueda desinstalarlas.

 

Falta transparencia


El problema es que “no hay transparencia” en torno a la actividad de esas aplicaciones que el usuario no tiene capacidad para desinstalar y que vienen predeterminadas con el terminal, ha explicado uno de los autores de la investigación, Narseo Vallina-Rodríguez, de IMDEA Networks.

En ocasiones, puede que este haya dado el consentimiento para el acceso a un servicio pero en otros, puede ser totalmente inconsciente de qué está pasando con su información personal, añade el experto.

Según el estudio, el modelo de permisos para el acceso a las aplicaciones preinstaladas en Android que son distintos a los que incluye por defecto el sistema operativo de Google, permite monitorizar y obtener información personal a nivel operativo sin conocimiento del afectado, por parte de “un gran número de actores”.

Entre estos hay multitud de compañías que van desde fabricantes, hasta operadores, redes sociales, empresas multimedia, de videojuegos, de antivirus, y un sinfin más, que podrían obtener directamente beneficios por el acceso a esos datos de los usuarios para alguna actividad comercial o venderlos a otros agentes a cambio de dinero.

De hecho, el informe pretendía revelar acuerdos comerciales entre vendedores de dispositivos Android y terceros, incluyendo organizaciones especializadas en la monitorización y rastreo de usuarios y en proporcionar publicidad en internet, así como detectar y analizar vulnerabilidades y otras prácticas opacas y analizar la transparencia en la información proporcionada al usuario.

Se han identificado más de 1.200 compañías relacionadas con las aplicaciones preinstaladas, y más de 11.000 librerías (software incluido en las apps para proporcionar servicios añadidos) de las cuales muchas están relacionadas con actividades de publicidad y monitorización “on line” con fines comerciales.

Un análisis exhaustivo del comportamiento del 50 % de las aplicaciones identificadas revela que una fracción importante de las mismas presenta comportamientos potencialmente maliciosos o no deseados, como muestras de malware, troyanos genéricos o software preinstalado que facilitaría prácticas fraudulentas. 

 

TTCS proteccion de datos

 

#agenciaespañoladeprotecciondedatos #protecciondedatos #usofraudulentodedatos 

 

Fuente: Efefuturo