Año nuevo, balance y perspectivas.

Año nuevo, balance y perspectivasDespués de un año que algunos llaman annus horribilis, 2021 está siendo recibido por muchos como una esperanza de cambio. 

Es cierto que los últimos meses han puesto a prueba la resiliencia de nuestras sociedades de maneras sin precedentes.

El impacto de la pandemia en nuestra salud, pero también en nuestros sistemas políticos y nuestros derechos fundamentales, está lejos de ser trivial.

Las autoridades de protección de datos han dedicado gran parte de su tiempo a apoyar y supervisar en áreas clave y muy diversas relacionadas con el virus:

• Investigación médica,
• Vigilancia de la población mediante drones,
• Teletrabajo,
• Enseñanza a distancia,
• Seguimiento de aplicaciones anti-covid,
• Datos de vacunación,

Y la cuestión más amplia del tratamiento de datos sanitarios por parte de autoridades públicas fuera del marco médico.

Esta atención particular a las cuestiones planteadas por la gestión de la pandemia no ha impedido, sin embargo, que la CNIL adopte varias sanciones importantes, incluidas dos relativas a los gigantes de la web Google y Amazon, por importes de varias decenas de millones de euros.

Otros actores han sido multados con importes menores, adaptados a su volumen de negocios, y estas sanciones han afectado tanto a grandes actores comerciales (véase el editorial de diciembre sobre Carrefour) como a muy pequeñas empresas: una empresa que emplea a dos personas y está especializada en el envío de correos electrónicos de prospección comercial acaba de ser multada con 7.300 euros, en particular por incumplimiento de la obligación de obtener el consentimiento, con una multa coercitiva de 1.000 euros por día de retraso si no se cumple en un plazo de dos meses.

No nos atrevemos a predecir qué nos deparará el nuevo año. Sin embargo, aún es posible identificar las principales áreas y prioridades de los actores de la protección de datos para los próximos meses.

Entonces, Además del tratamiento de datos sanitarios y las medidas de vigilancia asociadas, se observa que la cuestión de la ética, el desarrollo de la inteligencia artificial y las nuevas tecnologías sigue siendo una prioridad..

Esto es lo que destaca el Comité Europeo de Protección de Datos (CEPD) en su Estrategia 2021-2023, que se centra especialmente en

• Biometría,
• Elaboración de perfiles,
• Tecnologías de tecnología publicitaria,
• Servicios en la nube y
• La cadena de bloques.

El Comité indica también que desea dirigirse no sólo a los especialistas en protección de datos, sino directamente, de manera más concreta, a los responsables del tratamiento de datos, con directrices destinadas a apoyar a las micro, pequeñas y medianas empresas (VPE) y a las PYME.

La concentración de empresas en el ámbito de los servicios digitales también está en la mira de las autoridades europeas (véase más adelante, "Europa"), al igual que las transferencias de datos entre Europa y el resto del mundo.

Tras la sentencia Schrems II del Tribunal de Justicia de las Comunidades Europeas, se presta mayor atención, por una parte, a los regímenes de vigilancia y a las leyes vigentes en terceros países y, por otra, a las precauciones que deben tomarse en el contexto de las transferencias, que incluyen el cifrado de datos.

Siguiendo en el marco de las transferencias de datos, añadiremos que, Aunque el Reino Unido ya ha abandonado la Unión Europea, los datos podrán seguir fluyendo libremente entre el Reino Unido y la UE durante los próximos seis meses. El RGPD seguirá siendo aplicable allí de forma transitoria.

El régimen de transferencia dependerá entonces de la adopción por parte de la Comisión Europea de una decisión de adecuación.

De lo contrario, será necesario tomar garantías (como cláusulas contractuales) antes de considerar cualquier transferencia.

A pesar de los trastornos vividos en los últimos meses, y quizás en parte a causa de estos trastornos que han incrementado aún más el uso de las nuevas tecnologías y el desarrollo de lo virtual, la preservación de los derechos fundamentales es más relevante que nunca.

Apostemos a que estaremos a la altura de los retos tecnológicos y humanos que nos esperan.

Y también

Francia:

• El Consejo de Estado confirmó en su orden del 22 de diciembre la suspensión inmediata de la decisión del prefecto de policía relativa el uso de drones en el contexto de manifestaciones o reuniones en la vía pública.

El Consejo de Estado ordena el cese de las medidas de vigilancia con drones en estas manifestaciones o concentraciones, hasta que se adopte un texto que autorice la creación de un sistema de tratamiento de datos personales.

Queda por ver si la propuesta de ley de seguridad global podrá justificar ese uso de drones.

En su valoración de la urgencia, la CE menciona a este respecto "el número significativo de personas que probablemente serán objeto de las medidas de vigilancia controvertidas y la vulneración que podrían suponer para la libertad de manifestación", así como el hecho de que "el ministro no aporta ninguna prueba que demuestre que el objetivo de garantizar la seguridad pública durante las concentraciones de personas en la vía pública no pueda alcanzarse plenamente, en las actuales circunstancias, sin el uso de drones".

• En términos de reconocimiento facial, por otra parte, el Consejo de Estado, en una decisión del 4 de noviembre, validó la autenticación en línea basada en datos biométricos que permite el acceso a determinados teleservicios de la administración pública (Alicem).

La CE considera en particular que los datos recogidos son necesarios y proporcionales a la finalidad del tratamiento (los datos biométricos se destruyen tras la creación de identificadores electrónicos) y los usuarios conservan la posibilidad de acceder a los servicios a través de un identificador separado.

• El 7 de diciembre, la CNIL multó a Amazon Europe Core con 35 millones de euros por depósito de cookies en las computadoras de los visitantes de su sitio sin consentimiento previo o información satisfactoria.

Europa:

• La prensa ha comentado ampliamente la publicación por parte de la Comisión Europea de su propuesta de regulación de los servicios digitales.

Este nuevo marco jurídico, si es aprobado por el Parlamento Europeo y el Consejo, supondrá una importante actualización de la Directiva europea sobre comercio electrónico con el objetivo de proteger mejor a los consumidores y promover un mercado digital más equilibrado.

El texto crea importantes obligaciones para los actores "tecnológicos", en particular para las plataformas de acceso como Google o Facebook.

Estos deberán establecer medidas de información, elaboración de informes, auditoría, gestión de riesgos y cooperación.

Se creará un Comité Europeo de Servicios Digitales, con un papel comparable y complementario al del Comité Europeo de Protección de Datos.

Estas obligaciones no deberían entrar en vigor antes del año 2023.

• Un hombre fue condenado por asesinato en Alemania basándose en una grabación realizada por el asistente de voz Alexa de Amazon.

El hombre había utilizado el asistente de voz en la escena del crimen, lo que confirmó su presencia allí.

Amazon proporcionó a los jueces, a petición de éstos, las grabaciones que estaban almacenadas en servidores en el extranjero.

Independientemente de la cuestión de la utilización de dichas grabaciones con fines legales, el tratamiento de datos por parte de los asistentes de voz ha sido objeto de una aclaración por parte de la CNIL, disponible en su sitio web.

Internacional :

• Rusia Facebook ha pagado una multa de cuatro millones de rublos (cincuenta mil dólares) por negarse a localizar los datos de sus usuarios rusos en Rusia, una obligación a la que están sujetas todas las empresas extranjeras que operan en el ámbito de las nuevas tecnologías.

Las autoridades rusas bloquearon previamente la red social LinkedIn por las mismas razones.

• Allá Porcelana se prepara para regular el uso de la biometría y el reconocimiento facial en su ley de datos personales.

Según el portavoz de la Comisión de Asuntos Legislativos, si el objetivo es respetar los principios de proporcionalidad y necesidad en el tratamiento de datos, "quedan muchas opciones abiertas".

Anne Christine Lacoste

Socia de Olivier Weber Avocat, Anne Christine Lacoste es abogada especializada en derecho de datos, fue responsable de Relaciones Internacionales en el Supervisor Europeo de Protección de Datos y trabajó en la implementación del RGPD en la Unión Europea.