Blog Derecho de Nuevas Tecnologías

Ley de Impulso de la factura electrónica

La Ley 25/2013 pretende mejorar la competitividad de las empresas reduciendo la morosidad de las Administraciones Públicas, al tiempo que impulsa el uso de la factura electrónica en el sector privado, con la modificación de la Ley 56/2007  introducida en su Disposición final segunda.

1. Uso de la factura electrónica en el sector público. Art 4 Ley 25/2013

El uso de la factura electrónica por los proveedores que hayan entregado bienes o prestado servicios a la Administración Publica deviene obligatoria desde el pasado 15 de enero de 2015 para las siguientes entidades:

a)     Sociedades anónimas,

b)     Sociedades de responsabilidad limitada,

c)      Personas jurídicas y entidades sin personalidad jurídica que carezcan de nacionalidad española;

d)     Establecimientos permanentes y sucursales de entidades no residentes en territorio español en los términos que establece la normativa tributaria;

e)      Uniones temporales de empresas;

f)      Agrupación de interés económico,  y otras como Fondo de pensiones, Fondo de capital riesgo, Fondo de inversiones, etc.

Excepciones: Las Administraciones Públicas podrán excluir reglamentariamente de esta obligación a las facturas cuyo importe sea de hasta 5.000 euros.

Tras la entrada en vigor de esta Ley, muchas son las dudas que se plantean los proveedores sobre los aspectos legales obligatorios en la implantación de la factura electrónica, tales como la necesidad de: homogeneización de los requerimientos realizados por las Administraciones Públicas, establecer un sistema de codificación de rechazo de la factura electrónica, utilización de los códigos DIR3, o la operatividad de los web services de los portales habilitados por algunas Administraciones Públicas, entre otros, según un informe publicado por la CEOE.

2. Factura electrónica en el sector privado.

2.1 Art 2 bis Ley 56/2007

La ley 25/2013, modificó a su vez el art. 2 bis de la Ley 56/2007, de medidas de impulso de la sociedad de la información ,  estableciendo que determinadas empresas deberán expedir y remitir facturas electrónicas en sus relaciones con empresas y particulares que acepten recibirlas o que las hayan solicitado expresamente.

Las empresas afectadas son las que operan en los siguientes sectores económicos:

a)     Servicios de comunicaciones electrónicas a consumidores, en los términos definidos en  la Ley 32/2003 General de Telecomunicaciones.

b)     Servicios financieros destinados a consumidores

c)      Servicios de suministro de agua a consumidores

d)     Servicios de suministro de gas al por menor

e)      Servicios de suministro eléctrico a consumidores finales

Adicionalmente las que presten servicios de agencia de viaje, de transporte y actividades de comercio al por menor, solo están obligadas a emitir factura electrónicas cuando la contratación se haya llevado a cabo por medios electrónicos.

Las facturas electrónicas deberán cumplir, en todo caso, lo dispuesto en la normativa especifica sobre facturación.

Las empresas deberán facilitar procedimientos sencillos y gratuitos para que los usuarios puedan revocar el consentimiento dado a la recepción de facturas electrónicas en cualquier momento.

Las empresas que, estando obligadas a ello, no ofrezcan a los usuarios la posibilidad de recibir facturas electrónicas o no permitan el acceso a las personas que han dejado de ser clientes, serán sancionadas con apercibimiento o una multa de hasta 10.000 euros, y conforme a los criterios establecidos en el Ley 59/ 2003 de firma electrónica.

2.2 Adopción de la e-factura

La adopción  de la factura electrónica deberá realizarse bajo una interpretación conjunta de lo establecido en la Ley 3/2014 de 27 de marzo, que modificó la Ley General de Defensa de los Consumidores y Usuarios aplicable a contratos celebrados a partir del 13 de junio de 2014 (vid Breves Intangibles Marzo 2014) , y de los requisitos contemplados en el artículo 2 bis de la Ley 56/2007.

Y ello  porque el art. 63.3 de la Ley  General de Defensa de  los Consumidores y Usuarios establece que la expedición de la factura electrónica estará condicionada a que el empresario haya obtenido previamente el consentimiento expreso del consumidor, mientras que la Ley de Impulso de la Sociedad de la Información se limita a indicar que deberán expedirse y remitirse a aquellas que acepten recibirlas o las hayan solicitado expresamente, de forma que cabe interpretar que el consentimiento puede ser prestado de forma tácita.

El RD 1619/12  al abordar la facturación electrónica exige consentimiento  del destinatario, sin exigir que éste sea expreso.

 

3. Requisitos de la factura electrónica ya previstos en el RD 1619/2012

La expedición de la factura electrónica estará condicionada a que su  destinatario haya dado su consentimiento.

La factura expedida en formato electrónico, deberá permitir  garantizar al obligado de su expedición la autenticidad de su origen, la integridad de su contenido y legibilidad, desde su fecha de expedición y durante todo el periodo de conservación:

•  Autenticidad del origen: garantizar la identidad del proveedor de los bienes o prestador de los servicios facturados, y la del emisor de la factura, en caso de no ser el mismo.
• Integridad del contenido: garantizar que el contenido de la factura no ha sido modificado.
• Trazabilidad: crear una pista de auditoría fiable que establezca la necesaria conexión entre la factura y la entrega de bienes o la prestación del servicio que la misma documenta.

La autenticidad e integridad podrán garantizarse por cualquier medio de prueba admitido en Derecho.

En particular la autenticidad e integridad del contenido de la factura electrónica, podrá garantizarse mediante:

a) Firma electrónica avanzada

b) Intercambio electrónico de datos ( EDI)

c) Otros medios que los interesados hayan comunicado a la Agencia Estatal de Administración Tributaria para su validación, previo a su utilización.

Protección de datos desde el diseño

Este principio de Protección de Datos desde el diseño se encuentra regulado en el artículo 23 de la propuesta de Reglamento Europeo en materia de protección de datos, estando prevista su  aprobación para el próximo año.

Analizamos las principales características de este principio:

Finalidad

La Privacidad desde el diseño consiste en la implantación de políticas y medidas que permitan a las empresas acreditar el cumplimiento del marco legislativo desde el momento en el que se diseña un nuevo producto o servicio que implique un tratamiento de datos. Persigue además obtener una ventaja económica para las empresas, al permitir identificar, corregir y/o mitigar en las etapas iniciales del diseño de un nuevo producto o servicio, posibles riesgos que puedan derivarse de la misma antes de que el sistema se desarrolle, lo que implica, una solución de elevados costes para las empresas por el rediseño y adaptación de la tecnología.

Alcance

Las entidades, tanto cuando actúan como responsables de los ficheros como encargados del tratamiento, deberán adoptar políticas internas y aplicar medidas y procedimientos jurídicos, técnicos y organizativos apropiados y proporcionados, tanto en el momento de la determinación de las finalidades y los medios de un tratamiento de información personal como del tratamiento propiamente dicho.

La implementación de estos principios exigirá que la protección de datos se integre en todo el ciclo de vida de cualquier producto o servicio a través del que se realice un tratamiento de datos personales, desde la primera fase de diseño hasta su despliegue final, su utilización y su eliminación definitiva, centrándose sistemáticamente en proporcionar amplias garantías respecto de la exactitud, la confidencialidad, la integridad, la seguridad física y la supresión de los datos personales.

Protección de datos por defecto

Del mismo modo, se debe garantizar por defecto que sólo sean objeto de tratamiento datos de carácter personal necesarios para el cumplimiento de las finalidades previstas y que dichos datos sólo resulten accesibles a un número determinado de personas.

Obligaciones del Delegado de Protección de Datos

Ente las tareas que corresponderán al Delegado de Protección de Datos se encuentra la obligación de supervisar la implementación y aplicación de los requisitos relativos a este principio. 

Desarrollo de sistemas de certificación

1. Las empresas podrán acudir a los procedimientos de certificación regulados en el artículo 39      de la propuesta de Reglamento, a fin de garantizar y demostrar que el tratamiento de datos se efectúa de conformidad con los principios de protección de datos desde el diseño y por defecto
2. Aquellas empresas que estén en posesión de estos sistemas de certificación únicamente se les podrá imponer una sanción económica, en caso de incumplimiento intencionado o negligente.

Sanciones administrativas

La Agencia Española de Protección de Datos también tendrá en cuenta la aplicación de este principio en las organizaciones a la hora de graduar el importe de las sanciones administrativas que imponga ante un incumplimiento de la normativa de protección de datos.

Contratación con el Sector Público

A fin de fomentar su aplicación generalizada en diferentes sectores económicos, la Protección de Datos desde el diseño constituirá un requisito previo para las licitaciones de contratos con las Administraciones Públicas.

Responsabilidad de la Gerencia

La responsabilidad final de asegurar el cumplimiento de estos principios corresponderá a la Gerencia de las organizaciones, lo que implicará que deberán contar con un asesoramiento especializado que garantice un dominio de los requisitos técnicos del principio de protección de datos desde el diseño.

 

Assumpta Zorraquino / Rubén Cabezas Departamento de Intangibles

Anteproyecto de Ley del Código Mercantil

El pasado 30 de mayo, el Consejo de Ministros aprobó el Anteproyecto de Ley del Código Mercantil que prevé la derogación de varias leyes mercantiles unificando su regulación en un mismo Código.

El texto integra de manera general la normativa de las empresas, las sociedades mercantiles, la competencia desleal, la propiedad industrial, los contratos mercantiles, los títulos-valores e instrumentos de pago y crédito, la prescripción y la caducidad.

Del mismo modo, regula ex-novo o, en su caso, modifica, el concepto de operador de mercado, el régimen existente en cuanto a la constitución de sociedades mercantiles, los grupos de sociedades, la transmisión de la empresa, y respecto determinadas obligaciones y contratos mercantiles.

Si se cumple el calendario previsto se prevé la aprobación de la Ley antes de la finalización del año  2015.

De entre las materias cuya regulación se recoge en el Anteproyecto, destaco a continuación  las relacionadas con las materias tratadas en este blog, relativas tanto a prestaciones de servicios que son objeto de nueva regulación, como la incorporación a este nuevo texto normativo de materias ya reguladas.

1. Contratación electrónica

Se regula la contratación electrónica. Las normas que contiene no son nuevas sino que básicamente son una recopilación, mejora y puesta al día de disposiciones que están dispersas en el ordenamiento español.

• Destaca la regla general conforme a la cual el uso del soporte negocial electrónico no necesita acuerdo previo entre las partes del contrato que se firme. 
• La comunicación electrónica, esto es, la emisión y llegada de comunicaciones electrónicas, y el acuse de recibo, constituyen peculiaridades de la contratación electrónica, que adquiere rango normativo.
• Las condiciones generales deberán incluirse en toda su extensión e incorporarse mediante su referencia a su acceso electrónico y poder ser accesibles en todo momento.
• La factura emitida mediante comunicación electrónica equivale funcionalmente a la factura emitida en soporte papel, produciendo idénticos efectos siempre que reúna los requisitos que le son legalmente exigibles.

2. Contratos para las comunicaciones electrónicas  y de alojamiento de datos   (Nueva regulación)

2.1  Contrato de servicio de comunicación electrónica por el cual el  prestador, se obliga a suministrar el acceso a la red pública de comunicaciones electrónicas para la transmisión de datos o información.

El prestador está obligado a proporcionar el acceso a la red pública en las condiciones de continuidad, regularidad, velocidad, volumen y seguridad previstas en el contrato y, en lo no previsto, en las condiciones y bajo los usos y los estándares de mercado. Igualmente está obligado a mantener el secreto de las comunicaciones.

El prestador quedará exonerado de su responsabilidad cuando el incumplimiento sea ocasionado por interceptación de la información transmitida o cualquier otro tipo de intromisiónilegítima por parte de terceros,  si prueba haber aplicado todas las medidas de seguridad técnicamente apropiadas para tal finalidad.

Regula asimismo el Anteproyecto los supuestos de  responsabilidad derivada de las interrupciones en el acceso o las comunicaciones.

2.2 El contrato de alojamiento de datos quese configura como un contrato en virtud del cual el prestador, se obliga frente al cliente a:

1. Poner a su disposición la capacidad de almacenamiento pactada en      un sistema de información bajo su control, así como permitir el acceso      para el alojamiento, recuperación, manejo y cancelación de la información      almacenada,
2. Permitir el acceso de terceros cuando así se haya pactado,
3. Conservar la información alojada y mantener su integridad.

3. Contrato de  permuta publicitaria: bartering (Nueva regulación)

• Contrato de bartering o de permuta publicitaria por el cual un anunciante o una agencia de publicidad pone a disposición de un medio de comunicación una producción literaria, radiofónica o audiovisual que aparece vinculada a la publicidad de sus bienes o servicios, a cambio de la cesión por dicho medio del espacio y tiempos necesarios para su difusión.
• Las producciones del contrato de permuta publicitaria, gozarán de los derechos de propiedad intelectual. Los derechos de explotación de las producciones objeto del contrato de permuta comercial se presumirán cedidos en exclusiva al medio para los fines previstos en el contrato.

4 . Página web corporativa

• Recoge lo ya establecido respecto a que las sociedades podrán tener una web corporativa, siendo obligatoria para las sociedades cotizadas.
• El acuerdo de creación se hará constar en el Registro Mercantil. Corresponderá a la sociedad la carga de la prueba de la inserción  de documentos y la fecha en que se hizo.

5. Contrato de reclamo mercantil: merchandising (Nueva regulación)

• Contrato por el que el titular de un bien inmaterial protegido por un derecho de exclusiva y susceptible de resultar atractivo para el público, cede su uso a un empresario como medio de atraer clientela hacia los bienes o servicios que ofrece en el mercado.
• Podrán ser objeto de reclamo mercantil, entre otros bienes inmateriales, el nombre o la imagen de una persona física, las marcas y las creaciones protegidas por derechos de propiedad intelectual.

6. Contrato de cesión y de licencia de bienes inmateriales

• En relación a la cesión, se regula el contenido mínimo necesario para la transmisión, obligaciones de las partes y la responsabilidad frente a terceros. Asimismo, destaca la obligación de poner a disposición del cesionario las habilidades, conocimientos técnicos o secretos que posea en relación asociados al bien inmaterial que sean necesarios para su adecuada explotación.
• En materia de licencia establece las clases, exclusiva o no exclusiva, el contenido, obligaciones de ambas partes, acciones
• ejercitables y en materia de responsabilidad, las exclusiones del efecto retroactivo de la nulidad si se cancela el registro del derecho  o comprendido s en un bien inmaterial.

7 . Competencia Desleal

• Incorporación a este nuevo texto normativo de los comportamientos que pueden ser considerados de competencia desleal.
• Asimismo regula las acciones que pueden ejercitarse contra tales comportamientos desleales.

8. Propiedad industrial

• La nueva regulación nace con carácter complementario y supletorio en relación con las leyes especiales (Ley de Patentes, Ley de Marcas, Ley de Diseños, etc.) que regulan cada modalidad de propiedad industrial que continúan en vigor, tanto normas nacionales como comunitarias.
• Se delimita el catálogo de modalidades que comprende la propiedad industrial.
•  Se reconoce la unidad de registro a todo el territorio español de los títulos de propiedad industrial y  la indivisibilidad de los derechos exclusivos. Se establecen limitaciones para el ejercicio de los derechos de propiedad industrial, disponiendo que no podrán ser utilizados para realizar prácticas anticompetitivas.
• Se incluye una responsabilidad solidaria entre el titular de la tecnología que sea objeto del derecho exclusivo de propiedad industrial y el fabricante de los productos a los que esa tecnología aplica, respondiendo así por los daños causados a los consumidores por defecto de esa tecnología

 

 

Reforma de la Ley de Propiedad Intelectual

El Proyecto de Ley por el que se modifica el Texto Refundido de la Ley de Propiedad Intelectual, aprobado por Real Decreto Legislativo 1/1996, de 12 de abril, y la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil, cuyo texto, tras la introducción de determinadas enmiendas, ha sido aprobado por el Senado y remitido al Congreso para su debate y votación final en los próximos días.

1. Objetivo

De acuerdo con la propia exposición de motivos, la futura Ley tiene, entre otros objetivos, el de dotar de instrumentos más eficaces para la protección de los derechos ante el desarrollo del entorno digital, así como mejorar la eficiencia y transparencia de las Entidades de Gestión, realizar algunos ajustes legales en relación con la compensación por copia privada, dada la modificación del régimen de financiación de la misma, y trasponer al ordenamiento nacional la Directiva 2011/77/UE  relativa al plazo de protección  de derechos de autor y determinados derechos afines, y la Directiva 2012/28UE sobre ciertos usos autorizados de las obras huérfanas.

Sin embargo, la presente reforma no constituye una revisión exhaustiva de la normativa en materia de Propiedad Intelectual, sino una solución temporal hasta la aprobación de una nueva Ley integral de Propiedad Intelectual.

2. Límites a la copia privada

• Exclusión expresa de las reproducciones para uso profesional o empresarial, de acuerdo con la jurisprudencia del Tribunal de Justicia de la Unión Europea, o cuando el perjuicio causado al titular del derecho sea mínimo, como la reproducción para uso privado de imágenes, sonido o ambos para su visionado o audición posterior.
• Exclusión de reproducciones a partir de soportes físicos que no sean propiedad del usuario que, cuando carezcan de autorización, devendrán ilícitas.
• Compensación equitativa con cargo a los Presupuestos del Estado con remisión a lo establecido reglamentariamente para la determinación de la cuantía y forma de pago.

3.  Modificación de los límites al derecho de cita y reseñas con fines educativos o de investigación

• Se añade una compensación equitativa para editores y  otros titulares de derechos ante la puesta a disposición del público, por parte de los prestadores de servicios electrónicos de agregación de contenidos de fragmentos no significativos de contenidos, divulgados en publicaciones periódicas o en sitios web de actualización periódica con una finalidad informativa, de creación de opinión pública o de entretenimiento.
• No será de aplicación la referida compensación, ni requerirá autorización la utilización de los citados contenidos por prestadores de servicios que faciliten instrumentos de búsqueda de palabras aisladas, siempre que la puesta a disposición del público sea sin finalidad comercial propia, se circunscriba a lo imprescindible para ofrecer los resultados, e incluya el enlace al origen del contenido. En cuanto a las citas y reseñas con fines educativos o de investigación se produce una ampliación de supuestos a la enseñanza no presencial (on-line).
• Se añade la posibilidad de reproducción parcial de libros de texto cuando no supongan la puesta a disposición ni permitan el acceso de los destinatarios a la obra o fragmento (inclusión de localización desde la que los alumnos puedan acceder a la obra protegida).
• En cuanto a manuales universitarios o publicaciones asimiladas, se habilita el acuerdo directo con el titular del derecho y el centro o Universidad, así como delimita el concepto de “extensión equivalente” a  un 10% del total de la obra.

 4. Ampliación de las facultades de control de la Comisión de Propiedad Intelectual

• Se amplían las funciones de la Sección Segunda de la Comisión de Propiedad Intelectual  y el procedimiento originariamente previsto en la  llamada "Ley Sinde”.
• Dicha Sección ejercerá las funciones de salvaguarda de los derechos de propiedad intelectual frente a su vulneración por los responsables de servicios de la sociedad de la información
• Se considerará una vulneración de los derechos de propiedad intelectual el ofrecimiento por parte de los prestadores  de servicios que  faciliten la descripción o la localización de obras y prestaciones que se ofrezcan sin autorización, más allá de acciones de intermediación técnica.
• La Sección Segunda podrá adoptar medidas para que se interrumpa la prestación del servicio o para retirar los contenidos ilícitos, y requerir la colaboración necesaria a tal efecto a los servicios de intermediación, pagos electrónicos y de publicidad, requiriéndoles para que suspendan el servicio prestado al infractor.
• Podrá solicitar asimismo la cancelación del dominio .es bajo el que se aloje el contenido infractor.
• Se incluyen sanciones administrativas por incumplimiento reiterado de hasta 600.000 euros.

5. Acciones y medidas cautelares

• Ampliación del concepto de responsable a i. quien induzca dolosamente la conducta infractora, ii. quien coopere con la misma conociendo la conducta infractora o contando con indicios para conocerla, y iii. quien teniendo un interés  económico directo en los resultados cuente con una capacidad de control sobre la conducta del infractor.
• Tanto las medidas de cesación como las medidas cautelares podrán solicitarse contra los intermediarios a cuyos servicios recurra el infractor para vulnerar los derechos de propiedad intelectual, aunque  los actos de los intermediarios no comporten en sí mismo una infracción.
• Modificación de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil:

                 i.          Introducción de la posibilidad de practicar diligencias de obtención de datos con el objeto de identificar, con una dirección IP, nombre de dominio, dirección de Internet o dato similar, al prestador de un servicio de la sociedad de la información sobre el que concurran indicios razonables de que esta poniendo a disposición, de forma directa o indirecta, contenidos, obras o prestaciones incumpliendo los requisitos de la legislación de propiedad industrial o propiedad intelectual.

               ii.          La solicitud de datos podrá dirigirse también a otros prestadores de servicios de la sociedad de la información, de pagos electrónicos y de publicidad que mantengan o hayan mantenido una relación de prestación de servicio con el prestador infractor.

              iii.          Se amplía asimismo la posibilidad de solicitar al prestador de servicios de la sociedad de la información los datos necesarios para la identificación de un usuario sobre el que concurran indicios racionales de comisión  de una infracción de derechos de propiedad intelectual.

6. Modificación del régimen regulador de las entidades de gestión

• Ampliación de las obligaciones de transparencia de las Entidades de Gestión (transparencia en el reparto, en actividades complementarias, en la contabilidad, en las tarifas y repertorio y en la remuneración de directivos.
• Obligación de fomentar el desarrollo de la oferta digital legal de las obras y prestaciones protegidas cuyos derechos gestionan,  mediante por ejemplo campañas de educación o sensibilización.
• Mayor supervisión, control y vigilancia efectiva de las obligaciones de las Entidades de Gestión por parte de las autoridades competentes.
• Nuevo régimen sancionador para las Entidades de Gestión.

De acuerdo con el texto actual, la entrada en vigor de la  Ley está prevista el 1 de enero de 2015, a excepción de algunos preceptos específicos.

Alejandra Matas / Assumpta Zorraquino Departamento de Intangibles

Revisión del régimen jurídico aplicable a la utilización de “cookies”

A raíz de los últimos informes y resoluciones emitidos por la Agencia Española de Protección de Datos (en adelante, AEPD) que aclaran  el régimen jurídico aplicable a los dispositivos de almacenamiento y recuperación de datos (“cookies" y tecnologías similares) en equipos  terminales, regulado en el artículo 22.2 de la Ley 34/2002, de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico  ( LSSI), se analizan a continuación distintas soluciones para el cumplimiento de la LSSI en caso de utilizarse un sistema de información por capas para la obtención del consentimiento informado de los usuarios, por ser la solución más utilizada por las entidades en España.   

Los citados informes y resoluciones son especialmente relevantes en el contexto del “European "cookies" Sweep Day”, que prevé el inicio de inspecciones a portales web por las Autoridades Europeas de Protección de Datos a fin de comprobar el cumplimiento de la normativa en materia de “cookies”, durante la semana del 15 al 19 de septiembre.

Qué información debe facilitarse y cómo debe manifestarse en la primera capa:

a)      Advertencia del uso de "cookies", si son propias o de terceros  y  finalidades de las mismas;

b)      Los modos  de prestar el consentimiento, a través de una acción positiva  (Informe AEPD 11/2014);

c)      Enlace a una segunda capa informativa;

d)      El aviso de "cookies" debe aparecer a primera vista y de forma destacada y ddeberá mantenerse hasta que el usuario realice la acción requerida para la obtención del consentimiento;

e)      No se entenderá cumplido esta “primera capa” con la simple existencia de una Política de privacidad, o incluso una Política de "cookies" en la página web o aplicación (Resolución AEPD R/02990/2013).

f)       No existe obstáculo para que la “Política de "cookies” no sea un documento independiente de la “Política de Privacidad” (Informe AEPD 93/2014).

g)      Información sobre el tipo de "cookies" y su finalidad

 

 En una segunda capa:

a)      Se debe acceder mediante un enlace o hipervínculo de la primera;

b)      Qué son y para que se utilizan las "cookies";

c)      Tipos de "cookies" utilizadas y su finalidad;

d)      La forma de desactivar o eliminar las "cookies" y de revocar el consentimiento ya prestado;

e)      Identificación de quién utiliza las "cookies", incluidos los terceros con los que el editor haya contratado la prestación de un servicio que suponga el uso de "cookies".

f)       Ya no es necesario mostrar la información en una tabla o de otro modo en que se especifiquen los nombres de todas y cada una de las "cookies", por lo que cabría el suministro de información por grupos de "cookies", siempre que exista identidad entre ellas y ello no produzca ambigüedad (Informe AEPD 196/2014).

g)      identificarse el tercero contratado o cuyos servicios ha decidido utilizar el editor y describir su finalidad. Si no fuera posible, se puede incluir un enlace a páginas del tercero en las que se expliquen las "cookies" utilizadas y su finalidad, asegurándose que el hipervínculo se dirige a páginas en el idioma utilizado en la web o aplicación, los enlaces no estén obsoletos, ni rotos, ni dirijan al usuario a versiones desactualizadas .

Identificación electrónica y servicios de confianza para las transacciones electrónicas

El pasado 23 de julio se aprobó el Reglamento (UE) 910/2014 del Parlamento Europeo y del Consejo relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior.

Paso a destacar los principales aspectos de la norma

1.      Objetivo

• Reforzar la confianza en las transacciones electrónicas en el mercado interior proporcionando una base común para lograr interacciones electrónicas seguras entre los ciudadanos, las empresas y las administraciones públicas, incrementando, en consecuencia, la eficacia de los servicios en línea públicos y privados, los negocios electrónicos y el comercio electrónico de la Unión.
• Establecer las condiciones en que los Estados miembros deberán reconocer los medios de identificación electrónica de las personas físicas y jurídicas pertenecientes a un sistema de identificación electrónica notificado de otro Estado miembro.
• Establecer normas para los servicios de confianza y para las transacciones electrónicas.
• Establecer un marco jurídico para las firmas electrónicas, los sellos electrónicos,los sellos de tiempo electrónicos, los documentos electrónicos, los servicios de entrega electrónica certificada y los servicios de certificados para la autenticación de los sitios web.

2.  Ámbito de Aplicación

• Aplica a los sistemas de identificación electrónica notificados por los Estados  miembros y a los prestadores de servicios de confianza establecidos en la Unión.
• No aplica a los sistemas utilizados exclusivamente dentro de sistemas cerrados resultantes del Derecho nacional o de acuerdos entre un conjunto definido de participantes.
• No afecta al Derecho nacional o de la Unión relacionado con la celebración y validez de los contratos u otras obligaciones legales o de procedimiento relativos a la forma.

3. Identificación electrónica

• Se define “identificación electrónica” como el proceso de utilizar los datos de identificación de una persona en formato electrónico que representan de manera única a una persona física o jurídica o a una persona física que representa a una persona jurídica.
• El Reglamento aplica el  principio de reconocimiento mutuo si el sistema de identificación electrónica del Estado miembro que efectúa la notificación cumple las condiciones de notificación previstas en el art. 7, y ésta se ha publicado en el Diario Oficial de la Unión Europea.  Este principio se refiere únicamente a la autenticación a efectos de un servicio en línea.
• El tratamiento de los datos personales será conforme a lo dispuesto en la Directiva 95/46/CE.
• Los sistemas nacionales de identificación electrónica, notificados, serán interoperables.

4. Servicios de confianza

• Se refiere a aquel servicio electrónico prestado habitualmente a cambio de una remuneración, consistente en la creación, verificación y validación de firmas electrónicas, sellos electrónicos o sellos de tiempo electrónicos, servicios de entrega electrónica certificada y certificados relativos a estos servicios, o la creación, verificación y validación de certificados para la autenticación de sitios web o la preservación de firmas, sellos o certificados electrónicos relativos a estos servicios.
• Se establece el régimen de  responsabilidad  de los prestadores de servicios de confianza por los perjuicios causados  de forma deliberada o por negligencia.

4.1 Firma electrónica

• No se denegarán efectos jurídicos ni admisibilidad como prueba en procedimientos judiciales a una firma electrónica por el mero hecho de ser una firma electrónica o porque no cumpla los requisitos de la firma electrónica cualificada.
• La firma electrónica cualificada tendrá un efecto jurídico equivalente a la de una firma manuscrita.
• Del mismo modo, una firma electrónica cualificada basada en un certificado cualificado emitido en un Estado miembro será reconocida como una firma cualificada e todos los demás Estados miembros.
• Los requisitos para firma electrónica avanzada, consisten en:

                 Estar vinculada al firmante de manera única

                 Permitir la identificación del firmante

                Haber sido creada utilizando datos de creación de la firma electrónica que el firmante puede utilizar, con un alto nivel de confianza, bajo su control exclusivo y estar vinculada con los datos firmados por la misma de modo tal que cualquier modificación ulterior de los mismos sea detectable.

• Contempla una regulación específica para la utilización de firma electrónica en servicios en línea ofrecidos por un organismo público.

4.2 Sellos electrónicos

• No se denegarán  efectos jurídicos  del sello electrónico, ni admisibilidad como prueba en procedimientos judiciales por el mero hecho de estar en formato electrónico o de no cumplir con los requisitos del sello electrónico cualificado.
• Un sello electrónico cualificado disfrutará de la presunción de integridad de los datos y de la corrección del origen de los datos a los que el sello electrónico cualificado está vinculado.
• Un sello electrónico cualificado basado en un certificado cualificado emitido en un Estado miembro será reconocido como un sello electrónico cualificado en todos los demás Estados miembros.

4.3  Sello de tiempo electrónico

• Efectos jurídicos  del sello de tiempo electrónico, y de su admisibilidad como prueba en procedimientos judiciales.
• Un sello cualificado de tiempo disfrutará de una presunción de exactitud de la fecha y hora que indican y de la integridad de los datos a los que la fecha y hora  estén vinculados.
• Un sello cualificado de tiempo electrónico emitido en un Estado miembro será reconocido como sello cualificado de tiempo electrónico en todos los demás Estados miembros.

4.4  Servicio de entrega electrónica certificada

• No se denegarán efectos jurídicos ni admisibilidad como prueba en un procedimiento judicial a los datos enviados y recibidos por el mero hecho de estén en formato electrónico.
• Los datos enviados y recibidos mediante un servicio cualificado de entrega electrónica certificada disfrutarán de la presunción de integridad de los datos.
• El Reglamento regula para cada uno de los servicios de confianza descritos, los requisitos necesarios que deben cumplir los certificados  cualificados, así como los de los dispositivos y la certificación de los mismos.

4.5 Autenticación de sitios web

• Se establecen requisitos para la obtención de certificados cualificados de autenticación de sitios web.

4.6  Documentos Electrónicos

• No se denegarán efectos jurídicos  ni admisibilidad como prueba en procedimientos judiciales a un documento electrónico por el mero hecho de estar en formato electrónico.

5. Entrada en vigor y fecha de aplicación

• El Reglamento entrará en vigor a los 20 días de su publicación en el Diario Oficial de la Unión Europea. Será aplicable a partir del 1 de julio de 2016 con ciertas excepciones aplicables a partir del 17 de septiembre de 2014.

Riesgos jurídicos derivados de la contratación de servicios de “cloud computing” en materia de protección de datos.

 

1. Análisis de los riesgos que comporta la contratación de los servicios de cloud

La contratación de servicios de cloud computing ofrece importantes beneficios económicos para las empresas, sin embargo puede provocar riesgos específicos para el cumplimiento de las obligaciones establecidas en la normativa de protección de datos de carácter personal.

La mayoría de estos riesgos están relacionados con la falta de control de los datos y la insuficiente información sobre la propia operación de tratamiento (falta de transparencia).

Lo primero que conviene aclarar es que aquellas empresas establecidas en España que decidan contratar un servicio de cloud computing serán consideradas responsables del tratamiento de los datos personales sobre los que se aplicarán los citados servicios.

Esta responsabilidad, así como la determinación del marco jurídico aplicable, al derivarse de lo establecido en la LO 15/1999 (en adelante, LOPD), no puede alterarse contractualmente, de manera que la relación jurídica entre las partes estará siempre sujeta a la legislación española.

De la misma manera, es importante señalar que el legislador exige a las empresas diligencia en la elección del prestador del servicio de cloud computing, debiendo velar por que el proveedor reúna las garantías para el cumplimiento de la normativa de protección de datos personales

 

2. Garantías contractuales deben adoptarse en la contratación del servicio de cloud computing.

2.1 Transferencias internacionales de datos

Con frecuencia, la contratación de un servicio de cloud computing lleva aparejada la migración de los datos al territorio donde se encuentran ubicados los sistemas de información del proveedor.  Este movimiento internacional de datos obliga a que se deban establecer garantías específicas en los supuestos en que los datos se transfieran a países que no ofrezcan un nivel de protección equiparable al de la LOPD, lo que implicará la notificación en el Registro General de Protección de Datos del fichero afecto  y, en algunas ocasiones, resultará necesario, además, obtener la autorización del Director de la Agencia Española de Protección de Datos.

2.2 Regulación del encargo del tratamiento

En los supuestos en que el servicio prestado por el proveedor de cloud computing implique un acceso a datos personales del cliente,  deberán regularse los términos y las condiciones en los que dicho acceso tiene lugar, de conformidad con el artículo 12 de la LOPD. En este contrato,  se establecerá que el  proveedor de cloud computing únicamente tratará los datos conforme a las instrucciones del cliente, que no los aplicará o utilizará con un fin distinto al pactado, y que no los comunicará a terceros, ni siquiera para su conservación.

2.3  Subcontratación

Del mismo modo, siendo habitual que intervengan terceras empresas (subcontratistas) en la prestación de servicios de cloud computing, se deberán incorporar al contrato las garantías jurídicas previstas en el artículo 21 del Reglamento de desarrollo de la LOPD.

2.4 Medidas de seguridad

Establecer medidas de seguridad en función de la tipología de datos afectados. Para el caso que los sistemas de información del proveedor se encuentren ubicados en territorio español, se deberán implementar las medidas  de seguridad establecidas en el RLOPD. Por otro lado, en el supuesto de que dichos sistemas de información radiquen en el extranjero, pueden solicitarse certificados de seguridad en base a diferentes estándares.

2.5 Portabilidad

Se deberá estipular si el proveedor garantiza la portabilidad de los datos y servicios y de qué manera lo hace, en especial  en lo referente a los costes derivados de la migración a otro proveedor.  Adicionalmente, el contrato de cloud computing deberá regular el  plazo del que dispone el cliente para recuperar la información en posesión del proveedor así como determinar el intervalo de tiempo durante el cual el  proveedor de los servicios conservará una copia de la información (incluso una vez finalizada la prestación del servicio).

2.6 Ejercicio de los derechos ARCO

Precisar ante quién pueden los interesados hacer valer sus derechos ARCO, incluido el plazo de respuesta para garantizar el ejercicio de estos derechos, así como la asignación de responsabilidad en caso de incumplimiento de alguna de las partes.

 

Rubén Cabezas /Assumpta Zorraquino, Departamento de Intangibles.

 

 

Instalación de dispositivos de almacenamiento. Infracción del art. 22.2 de la LSSI

 

1.      Antecedentes

El procedimiento se inicia en noviembre de 2013, tras una denuncia formulada por  una asociación de usuarios poniendo de manifiesto irregularidades detectadas en los sitios web xxxxx.blogspot.com y blogspot.com.es

En la segunda Resolución dictada por la Agencia Española de Protección de Datos de 14 de mayo de 2014 sobre el uso de dispositivos de almacenamiento en equipos terminales, se analiza, en los sitios web bolgspot.com y blogspot.com.es de Google, la aplicabilidad del art. 22.2 de la LSSI a datos de personas físicas y jurídicas.

2.      Hechos Probados

La resolución declara como hechos probados que ha quedado acreditado que Google instala y utiliza, por defecto, en los terminales de los usuarios que acceden a los blogs creados bajo el servicio on-line Blogger  cookies no exentas de la necesidad de recabar el consentimiento previo del usuario, entre ellas, Google Analytics.

El  documento “Condiciones de servicio de Google” no incluye ninguna mención al uso de cookies. El documento “Política de Privacidad” proporciona  información genérica sobre uso de cookies, y no especifica el tipo de cookies y finalidades de las mismas.

3.      Alegaciones de las partes

En su defensa, Google Inc. sostiene que se trata de cookies técnicas y exentas de recabar el consentimiento, así como que la interpretación del art.22.2 de la LSSI debe hacerse de conformidad con lo establecido en la Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas.

Alega que la única interpretación coherente con la normativa comunitaria es la que circunscribe la aplicación del  art. 22.2 de la LSSI a información referida a datos de carácter personal, y que la AEPD para poder imputar a Google la comisión de dicha infracción, deberá demostrar que ésta recabó datos de carácter personal de los usuarios de Blogs en los sitios web blogspot.com y blogspot.com.es.

Por su parte la AEPD  sostiene que el ámbito de aplicación  de la Directiva 2002/58/CE no se restringe a la protección de datos de carácter personal, y por tanto la información almacenada y recuperada de los terminales de los usuarios y abonados de los servicios de comunicaciones electrónicas, se refiere tanto a personas físicas como jurídicas.

La propuesta de resolución recogía la petición de que se sancionase a Google Inc. con multa de 130.000 euros por la infracción del art. 22.2 de la LSSI, tipificada como grave en el art. 38.3.i).

4.      Sanción impuesta

Durante la tramitación del procedimiento se promulgó la Ley 9/2014 de 9 de mayo de Telecomunicaciones, que reforma determinados preceptos de la LSSI. La citada reforma afecta al art. 38.3 i) que califica como infracción grave la reincidencia en la comisión de una infracción leve.

En virtud de la aplicación del principio de retroactividad de la ley más favorecedora, se aplica el nuevo régimen sancionador de la LSSI al no haber sido Google sancionada con anterioridad por infracción del art. 22.2, pasando a ser la infracción calificada como leve.

Al proceder a la aplicación del principio de proporcionalidad y graduación de la sanción, la AEPD establece que:

 “El incumplimiento, decidido por Google al diseñar el funcionamiento del servicio Blogger, afecta a todos los usuarios que acceden a dichos sitios web sin ser informados del uso y finalidades de tales cookies,  lo que permite obtener a Google un volumen masivo de información de los usuarios de estos espacios web, quienes no son conscientes de la intrusión derivada de la recogida de una información que será tratada y analizada por Google con distintas finalidades orientadas a mejorar sus servicios y desarrollar otros nuevos”. 

La falta de reincidencia operó como atenuante, y finalmente se impone como sanción a Google Inc., el pago de 25.000 euros por el uso de cookies sin recabar el consentimiento previo del usuario.

 

Anteproyecto de Ley de Patentes

El 11 de abril, el Consejo de Ministros aprobó el anteproyecto de Ley de Patentes que modificará aspectos relevantes en cuanto a la tramitación de nuevas solicitudes. La norma sustituirá a la actual Ley 11/1986, de 20 de marzo de Patentes.

En la actualidad el anteproyecto está pendiente de informes por parte de distintos organismos, entre ellos el Consejo de Estado, con carácter previo a su tramitación parlamentaria.

Principales novedades:

• Eliminación del sistema optativo de concesión con examen y sin examen

Con el actual sistema previsto en la Ley de Patentes, conservando la tradición reflejada en el Estatuto de la Propiedad Industrial de 1929, el solicitante puede optar entre solicitar el examen de su solicitud de patente o pedir la concesión sin examen. Con la nueva propuesta se pretende eliminar este sistema de elección de forma que todas las solicitudes deberán ser objeto de examen.

Como señala la exposición de motivos, el hecho de que la OEPM pueda ser designada como Oficina de Búsqueda y Examen Preliminar internacional junto con otra serie de factores como  el hecho de que el 90% de patentes con efectos en España son Patentes Europeas, deja entrever la necesidad de acomodar nuestro sistema al entorno internacional predominante.

• Creación del sistema de oposición después de la concesión

El nuevo sistema de oposición tendrá lugar en estos momentos con carácter posterior a la concesión de la patente. Este aspecto viene a reforzar el punto anterior con vistas a obtener como resultado patentes de mayor calidad y comparables a las de los países del entorno según señala el comunicado  del gobierno del 11 de abril en el que se informaba de la aprobación del anteproyecto.

• Cambio presunción legal en las patentes laborales

Con el nuevo sistema, se sustituye la presunción “de iure” del empresario a reclamar la titularidad de invenciones dentro del año de la extinción de la relación laboral por la presunción “iuris tantum” por la que se admite prueba en contrario de que las invenciones se realizaron durante la vigencia de la misma.

• Reducción de las tasas

Se establece una reducción del 50 % de las tasas para determinados emprendedores y PYMEs.

• Modelos de utilidad

En materia de modelos de utilidad una novedad importante es la equiparación del estado de la técnica relevante al exigido para las patentes. Así, para los modelos de utilidad la novedad exigida lo será también mundial.

Los modelos de utilidad, hasta ahora restringidos al campo de la mecánica, serán también aplicables a los productos químicos. Siguen quedando excluidos los procedimientos y las invenciones que tienen por objeto materia biológica.

 José Pascual García Bailén / Assumpta Zorraquino | Departamento de Intangibles

 

Sentencia del Tribunal de Justicia de 13 de mayo 2014 (Sentencia Google)

El TJUE se pronuncia acerca de las cuestiones prejudiciales planteadas por la Audiencia Nacional como consecuencia del recurso interpuesto por Google Spain y Google Inc contra la resolución de la Agencia Española de Protección de Datos que les instaba a eliminar de sus resultados de búsqueda dos enlaces en los que se hacía referencia a datos personales del afectado.

Los resultados, que aparecían en la primera página del buscador, al hacer una búsqueda del nombre y apellidos del afectado, M. C. G., dirigían a las páginas del periódico La Vanguardia publicado en 1998 en el que aparecían anuncios de una subasta de inmuebles por embargos con la Seguridad Social.

 Tras haber intentado, infructuosamente, el afectado ejercitar sus derechos de oposición y cancelación al tratamiento de sus datos frente a La Vanguardia Ediciones, Google Spain y Google Inc, solicitó a la AEPD que exigiese a La Vanguardia que eliminase o modificase la publicación de los datos personales del afectado y subsidiariamente a Google Spain y a Google Inc que eliminasen u ocultasen dichos datos para que no fueran incluidos en sus resultados de búsqueda.

La resolución de la AEPD determinó que en su caso, quien debía desindexar era Google, siendo legítimo el mantenimiento de la noticia por parte del medio de comunicación.

En este sentido, el TJUE ha declarado que debe calificarse de “tratamiento de datos personales” la actividad de un motor de búsqueda (i.e: Google) que consiste en (i) hallar información publicada o puesta en Internet por terceros, (ii) indexarla de manera automática, (iii) almacenarla temporalmente y (iv) ponerla a disposición de los internautas según un orden de preferencia determinado, siempre que contenga datos personales.

Además el gestor de búsqueda debe considerarse “responsable” del tratamiento de dichos datos personales. 

Dado que el gestor de un motor de búsqueda ubicado fuera de la Unión, crea en un Estado miembro una sucursal o filial destinada a garantizar la promoción y venta de espacios publicitarios propuestos por dicho gestor del motor de búsqueda y cuya actividad se dirige a los habitantes de dicho Estado miembro, ambas actividades están indefectiblemente asociadas, por lo que debe interpretarse que la sucursal o filial también lleva a cabo un tratamiento de datos en dicho Estado miembro y es aplicable la legislación europea.

El gestor de un motor de búsqueda está obligado a eliminar resultados de búsquedas a petición de un ciudadano si los sitios web a los que se enlaza contienen datos personales del solicitante y se cumplen los requisitos legales, incluso si el sitio web de origen no elimina dicha información o ésta es lícita.

En cualquier caso, es necesario ponderar los derechos en juego, esto es, interés del público a tener acceso a la información, libertad de expresión e injerencia en la intimidad del afectado que le cause un perjuicio. 

Con relación a qué implicaciones puede tener el tratamiento de datos en internet, es necesario destacar que Google y cualquier otro motor de búsqueda que esté establecido en un país fuera de la Unión Europea, deberá someterse a las legislaciones europeas (y nacionales que correspondan), de protección de datos, si abre una sucursal o filial para la promoción y venta de espacios publicitarios de aquélla, al ser actividades indefectiblemente asociadas a las propias del gestor.

Google y los demás gestores de motores de búsqueda se convierten en responsables del tratamiento de los datos personales que se contengan en las páginas web que indexen o de las cuales se realicen resultados de búsquedas (no son meros intermediarios neutrales).

Salvo en los casos en los que haya interés público, prevalece el derecho de intimidad y protección de datos sobre el mero interés económico del gestor del motor de búsqueda.

Habrá que examinar en cada caso si el afectado tiene derecho a que sus datos personales dejen de estar vinculada a su nombre a través de la lista de resultados realizada por un motor de búsqueda. Para ello, el usuario que quiera la retirada de sus datos de las búsquedas del motor de búsqueda deberá ejercitar sus derechos de oposición y cancelación de datos frente al gestor de mismo por los cauces legales establecidos.

En cualquier caso, al tratarse de una resolución dictada por el TJUE habrá que esperar a ver cómo aplican los tribunales españoles lo establecido en la misma y que otros preceptos de la normativa española le son de aplicación.

Así las cosas, el debate que se suscita en la actualidad versa, entre otros, sobre los siguientes puntos;

•  Si el motor de búsqueda es el “responsable” del tratamiento de los datos personales:

 Será obligado hacer un seguimiento de la sentencia que finalmente dicte la Audiencia Nacional en este caso, así como en los restantes procedimientos en curso, y posteriores reclamaciones que puedan dirigirse contra Google en las que pueden verse ampliadas las pretensiones basadas en el resto de articulado de la normativa de protección de datos, tales como consentimiento, derecho de acceso, etc.

•  Si el ejercicio del derecho al olvido deberá ser analizado caso por caso:

Con independencia de que ahora se pueden plantear directamente frente al buscador la ponderación de los derechos fundamentales en juego siguen siendo los mismos.

•  Si la publicación en el medio de comunicación de origen sigue siendo licita:

 La misma puede permanecer accesible al público en los medios y soportes en el que se publicó, pero los motores de búsqueda no podrán enlazarla o indexarla. Cabrá analizar si por otro lado, puede abrirse un debate respecto a los propios buscadores de los medios de comunicación.

En todo caso, a raíz de la STJUE los medios editoriales y medios de comunicación escritos salen reforzados en el tratamiento legítimo.

Cristina Villasante Chamorro / Assumpta Zorraquino Departamento de Intangibles