El portal de Derecho Español más completo y útil para jurístas, empresas y particulares
Bienvenid@
Usuario me pide datos de tienda virtual
- Foros Legales
- Nuevas Tecnologías
- Tema: Usuario me pide datos de tienda virtual
- Nuevas Tecnologías
Nuevo Comentario
21
Comentarios
Viendo 1 - 20 de 21 comentarios
(comienza en anterior)
DELIMITACIÓN FRENTE A DERECHOS DE TERCEROS
"Cuando un conjunto de datos personales determinado concierna a más de un interesado, el derecho a recibir tales datos se debe entender sin menoscabo de los derechos y libertades de otros interesados de conformidad con el presente Reglamento."
No es lícita la entrega de formatos que incorporen datos de otros interesados. Como ejemplo, podríamos citar listados de llamadas telefónicas, que incluyen tanto el número del interesado como el de los destinatarios.
DELIMITACIÓN CON OTROS DERECHOS DEL INTERESADO
"Por otra parte, ese derecho no debe menoscabar el derecho del interesado a obtener la supresión de los datos personales y las limitaciones de ese derecho recogidas en el presente Reglamento, y en particular no debe implicar la supresión de los datos personales concernientes al interesado que este haya facilitado para la ejecución de un contrato, en la medida y durante el tiempo en que los datos personales sean necesarios para la ejecución de dicho contrato."
Con desarrollo en el artículo 20 - 4:
"4. El derecho mencionado en el apartado 1 no afectará negativamente a los derechos y libertades de otros."
DESTINATARIO DE LOS DATOS PORTADOS
"El interesado debe tener derecho a que los datos personales se transmitan directamente de un responsable del tratamiento a otro, cuando sea técnicamente posible."
Desarrollado en el artículo 20 - 2 del mismo Reglamento:
"2. Al ejercer su derecho a la portabilidad de los datos de acuerdo con el apartado 1, el interesado tendrá derecho a que los datos personales se transmitan directamente de responsable a responsable cuando sea técnicamente posible."
Finalmente, la LOPD establece el derecho de portabilidad de datos en aplicación directa del RGPD en su artículo 17:
"Artículo 17. Derecho a la portabilidad. El derecho a la portabilidad se ejercerá de acuerdo con lo establecido en el artículo 20 del Reglamento (UE) 2016/679."
Con el caso especial del artículo 95 para la regulación de redes sociales y plataformas equivalentes:
"Artículo 95. Derecho de portabilidad en servicios de redes sociales y servicios equivalentes. Los usuarios de servicios de redes sociales y servicios de la sociedad de la información equivalentes tendrán derecho a recibir y transmitir los contenidos que hubieran facilitado a los prestadores de dichos servicios, así como a que los prestadores los transmitan directamente a otro prestador designado por el usuario, siempre que sea técnicamente posible. Los prestadores podrán conservar, sin difundirla a través de Internet, copia de los contenidos cuando dicha conservación sea necesaria para el cumplimiento de una obligación legal."
Espero que con esto te haya quedado claro.
Un saludo.
José Manuel Rosón Bravo
DELIMITACIÓN FRENTE A DERECHOS DE TERCEROS
"Cuando un conjunto de datos personales determinado concierna a más de un interesado, el derecho a recibir tales datos se debe entender sin menoscabo de los derechos y libertades de otros interesados de conformidad con el presente Reglamento."
No es lícita la entrega de formatos que incorporen datos de otros interesados. Como ejemplo, podríamos citar listados de llamadas telefónicas, que incluyen tanto el número del interesado como el de los destinatarios.
DELIMITACIÓN CON OTROS DERECHOS DEL INTERESADO
"Por otra parte, ese derecho no debe menoscabar el derecho del interesado a obtener la supresión de los datos personales y las limitaciones de ese derecho recogidas en el presente Reglamento, y en particular no debe implicar la supresión de los datos personales concernientes al interesado que este haya facilitado para la ejecución de un contrato, en la medida y durante el tiempo en que los datos personales sean necesarios para la ejecución de dicho contrato."
Con desarrollo en el artículo 20 - 4:
"4. El derecho mencionado en el apartado 1 no afectará negativamente a los derechos y libertades de otros."
DESTINATARIO DE LOS DATOS PORTADOS
"El interesado debe tener derecho a que los datos personales se transmitan directamente de un responsable del tratamiento a otro, cuando sea técnicamente posible."
Desarrollado en el artículo 20 - 2 del mismo Reglamento:
"2. Al ejercer su derecho a la portabilidad de los datos de acuerdo con el apartado 1, el interesado tendrá derecho a que los datos personales se transmitan directamente de responsable a responsable cuando sea técnicamente posible."
Finalmente, la LOPD establece el derecho de portabilidad de datos en aplicación directa del RGPD en su artículo 17:
"Artículo 17. Derecho a la portabilidad. El derecho a la portabilidad se ejercerá de acuerdo con lo establecido en el artículo 20 del Reglamento (UE) 2016/679."
Con el caso especial del artículo 95 para la regulación de redes sociales y plataformas equivalentes:
"Artículo 95. Derecho de portabilidad en servicios de redes sociales y servicios equivalentes. Los usuarios de servicios de redes sociales y servicios de la sociedad de la información equivalentes tendrán derecho a recibir y transmitir los contenidos que hubieran facilitado a los prestadores de dichos servicios, así como a que los prestadores los transmitan directamente a otro prestador designado por el usuario, siempre que sea técnicamente posible. Los prestadores podrán conservar, sin difundirla a través de Internet, copia de los contenidos cuando dicha conservación sea necesaria para el cumplimiento de una obligación legal."
Espero que con esto te haya quedado claro.
Un saludo.
José Manuel Rosón Bravo
En cuanto al tema de si tiene derecho o no a exigirte la entrega de los datos presentes en tu base en la forma indicada, depende de diversas cuestiones y debe moderarse positiva y negativamente según la nueva normativa presente en el RGPD y la LOPD 3/2018.
El derecho de portabilidad es perfilado en detalle en el considerando 68 del RGPD, que podemos desglosar en varios aspectos, y desarrollado en su artículo 20 y los artículos 17 y 95 de la LOPD.
RECONOCIMIENTO GENERAL
"Para reforzar aún más el control sobre sus propios datos, cuando el tratamiento de los datos personales se efectúe por medios automatizados, debe permitirse asimismo que los interesados que hubieran facilitado datos personales que les conciernan a un responsable del tratamiento los reciban en un formato estructurado, de uso común, de lectura mecánica e interoperable, y los transmitan a otro responsable del tratamiento."
1. Establece un marco de aplicación dependiente de un tratamiento automatizado de los datos. Desarrollado en el artículo 20 b) (...el tratamiento se efectúe por medios automatizados."
2. Exige que sea el interesado el que haya facilitado dichos datos.
3. Reconoce el derecho del interesado a recibirlos en el formato estructurado.
4. Reconoce igualmente su derecho a transmitirlo a otro responsable.
PROMOCIÓN DE SISTEMAS INTEROPERABLES
Inmediatamente insta a las autoridades a alentar "a los responsables a crear formatos interoperables que permitan la portabilidad de datos".
DELIMITACIÓN POSITIVA
A continuación reitera la necesidad de una acción de entrega de datos por parte del interesado o fundamento en ejecución de contrato:
"Dicho derecho debe aplicarse cuando el interesado haya facilitado los datos personales dando su consentimiento o cuando el tratamiento sea necesario para la ejecución de un contrato."
1. Consentimiento.
2. Contrato.
Desarrollado en el artículo 20 a):
"el tratamiento esté basado en el consentimiento con arreglo al artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), o en un contrato con arreglo al artículo 6, apartado 1, letra b), (...)."
Concretamente:
Artículo 6, 1 "a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;"
Artículo 6, 1 "b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;"
Artículo 9, 2 "a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;"
DELIMITACIÓN NEGATIVA
Establece unos criterios negativos excluyentes en cuanto a la aplicación del derecho de portabilidad y por tanto su exigencia:
"No debe aplicarse cuando el tratamiento tiene una base jurídica distinta del consentimiento o el contrato. Por su propia naturaleza, dicho derecho no debe ejercerse en contra de responsables que traten datos personales en el ejercicio de sus funciones públicas. Por lo tanto, no debe aplicarse, cuando el tratamiento de los datos personales sea necesario para cumplir una obligación legal aplicable al responsable o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable."
1. Cumplimiento de obligación legal por parte del responsable.
2. Ejercicio de funciones de interés público por el responsable.
3. Ejercicio de poderes públicos por el responsable.
Desarrollado en el artículo 20 - 3:
"3. El ejercicio del derecho mencionado en el apartado 1 del presente artículo se entenderá sin perjuicio del artículo 17. Tal derecho no se aplicará al tratamiento que sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. "
DELIMITACIÓN TÉCNICA
"El derecho del interesado a transmitir o recibir datos personales que lo conciernan no debe obligar al responsable a adoptar o mantener sistemas de tratamiento que sean técnicamente compatibles."
Es decir, no es obligatorio proporcionar los datos en un sistema adaptado precisamente a plataformas o sistemas concretos, sino un lenguaje estructurado generalmente válido.
(continúa)
El derecho de portabilidad es perfilado en detalle en el considerando 68 del RGPD, que podemos desglosar en varios aspectos, y desarrollado en su artículo 20 y los artículos 17 y 95 de la LOPD.
RECONOCIMIENTO GENERAL
"Para reforzar aún más el control sobre sus propios datos, cuando el tratamiento de los datos personales se efectúe por medios automatizados, debe permitirse asimismo que los interesados que hubieran facilitado datos personales que les conciernan a un responsable del tratamiento los reciban en un formato estructurado, de uso común, de lectura mecánica e interoperable, y los transmitan a otro responsable del tratamiento."
1. Establece un marco de aplicación dependiente de un tratamiento automatizado de los datos. Desarrollado en el artículo 20 b) (...el tratamiento se efectúe por medios automatizados."
2. Exige que sea el interesado el que haya facilitado dichos datos.
3. Reconoce el derecho del interesado a recibirlos en el formato estructurado.
4. Reconoce igualmente su derecho a transmitirlo a otro responsable.
PROMOCIÓN DE SISTEMAS INTEROPERABLES
Inmediatamente insta a las autoridades a alentar "a los responsables a crear formatos interoperables que permitan la portabilidad de datos".
DELIMITACIÓN POSITIVA
A continuación reitera la necesidad de una acción de entrega de datos por parte del interesado o fundamento en ejecución de contrato:
"Dicho derecho debe aplicarse cuando el interesado haya facilitado los datos personales dando su consentimiento o cuando el tratamiento sea necesario para la ejecución de un contrato."
1. Consentimiento.
2. Contrato.
Desarrollado en el artículo 20 a):
"el tratamiento esté basado en el consentimiento con arreglo al artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), o en un contrato con arreglo al artículo 6, apartado 1, letra b), (...)."
Concretamente:
Artículo 6, 1 "a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;"
Artículo 6, 1 "b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;"
Artículo 9, 2 "a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;"
DELIMITACIÓN NEGATIVA
Establece unos criterios negativos excluyentes en cuanto a la aplicación del derecho de portabilidad y por tanto su exigencia:
"No debe aplicarse cuando el tratamiento tiene una base jurídica distinta del consentimiento o el contrato. Por su propia naturaleza, dicho derecho no debe ejercerse en contra de responsables que traten datos personales en el ejercicio de sus funciones públicas. Por lo tanto, no debe aplicarse, cuando el tratamiento de los datos personales sea necesario para cumplir una obligación legal aplicable al responsable o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable."
1. Cumplimiento de obligación legal por parte del responsable.
2. Ejercicio de funciones de interés público por el responsable.
3. Ejercicio de poderes públicos por el responsable.
Desarrollado en el artículo 20 - 3:
"3. El ejercicio del derecho mencionado en el apartado 1 del presente artículo se entenderá sin perjuicio del artículo 17. Tal derecho no se aplicará al tratamiento que sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. "
DELIMITACIÓN TÉCNICA
"El derecho del interesado a transmitir o recibir datos personales que lo conciernan no debe obligar al responsable a adoptar o mantener sistemas de tratamiento que sean técnicamente compatibles."
Es decir, no es obligatorio proporcionar los datos en un sistema adaptado precisamente a plataformas o sistemas concretos, sino un lenguaje estructurado generalmente válido.
(continúa)
Hola Juan.
Formato estructurado es aquel que incorpora campos delimitados y determinados procesables por una aplicación informática, generalmente basados en tecnología SGML/XML, como son docbook, linuxdoc-sgml y html, entre otros.
Formato no estructurado es el que no presenta tales características por lo cual, aunque puede ser leído por humanos, no es adecuado o representa un grave inconveniente de cara a una interpretación mecánica, como son los formatos MS Word, PDF, txt, etc.
Formato estructurado es aquel que incorpora campos delimitados y determinados procesables por una aplicación informática, generalmente basados en tecnología SGML/XML, como son docbook, linuxdoc-sgml y html, entre otros.
Formato no estructurado es el que no presenta tales características por lo cual, aunque puede ser leído por humanos, no es adecuado o representa un grave inconveniente de cara a una interpretación mecánica, como son los formatos MS Word, PDF, txt, etc.
Me acabo de dar de alta porque he leído este tema. Me pidieron los datos por un tema legal para un juicio que no vamos a explicar aquí. El tema es que me piden la integridad de todo lo que hay en la tienda y en el foro de forma completa y en "formato estructurado haciendo uso de mi derecho a la portabilidad de los datos". Parece ser que es para un perito y un abogado para un juicio. Si hace falta ya iré a un despacho a preguntar, pero me gustaría una primera vista del asunto de forma personal por aquí mismo.
Muchas gracias a todos.
Muchas gracias a todos.
Si manejas una tienda de Prestashop, tienes un módulo gratuito para su instalación que te permitirá ofrecer una función de recuperación de datos para los usuarios que lo deseen.
Si sólo quiere ejercer el derecho de acceso, puedes proporcionarle los datos que tengas en tu base en cualquier formato. Basta un pdf o MS Excel, como dices. En este caso, si quiere en un formato especial que te cueste un trabajo o gasto desproporcionado con respecto a lo que significa el usuario en tu base, podrías pedirle una compensación económica.
Puedes leerlo en el artículo 13-4 de la LOPD:
"4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas."
Si quisiera ejercer su derecho de portabilidad, tendrías que utilizar un lenguaje estructurado que le permita su aplicación en otro entorno por el responsable o encargado del tratamiento de los datos que lo vaya a recibir. Esto es otro tema y ya lo tienes resuelto con el módulo de Prestashop.
Por cierto, volviendo al tema de las IPs de los usuarios, si quisieras acceder a ellas, las tienes en la columna "Últimas Conexiones" en el módulo de clientes.
Si sólo quiere ejercer el derecho de acceso, puedes proporcionarle los datos que tengas en tu base en cualquier formato. Basta un pdf o MS Excel, como dices. En este caso, si quiere en un formato especial que te cueste un trabajo o gasto desproporcionado con respecto a lo que significa el usuario en tu base, podrías pedirle una compensación económica.
Puedes leerlo en el artículo 13-4 de la LOPD:
"4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas."
Si quisiera ejercer su derecho de portabilidad, tendrías que utilizar un lenguaje estructurado que le permita su aplicación en otro entorno por el responsable o encargado del tratamiento de los datos que lo vaya a recibir. Esto es otro tema y ya lo tienes resuelto con el módulo de Prestashop.
Por cierto, volviendo al tema de las IPs de los usuarios, si quisieras acceder a ellas, las tienes en la columna "Últimas Conexiones" en el módulo de clientes.
Gracias otra vez!
Tengo instalado Prestashop, pero estoy muy pez con ello. Lo intento llevar a cabo con ayudas que me dan en foros, pero la tienda la he puesto yo y cobro sólo por PayPal, transferencia y contrarreembolso. Todo gratis hasta ahora. No sé si se podrá lo del enlace al acceso que dices. Lo voy a mirar.
Si no se puede, ¿hay alguna forma de entregar los datos? Quiero decir, ¿hay que darlos de una manera concreta o vale un pdf o Excel con un listado con títulos sin más?
Muchas gracias José Manuel. No sabes lo bien que lo haces.
Tengo instalado Prestashop, pero estoy muy pez con ello. Lo intento llevar a cabo con ayudas que me dan en foros, pero la tienda la he puesto yo y cobro sólo por PayPal, transferencia y contrarreembolso. Todo gratis hasta ahora. No sé si se podrá lo del enlace al acceso que dices. Lo voy a mirar.
Si no se puede, ¿hay alguna forma de entregar los datos? Quiero decir, ¿hay que darlos de una manera concreta o vale un pdf o Excel con un listado con títulos sin más?
Muchas gracias José Manuel. No sabes lo bien que lo haces.
Hola Begoña.
Ese último párrafo se refiere a información considerada como datos personales y que por la mecánica o configuración del sistema no es accesible desde la prestación de muestreo de datos de usuario.
No sé qué sistema manejas, pero seguramente será una tienda de serie montada en un CMS como WordPress, Joomla! o cualquiera otro, u Oscommerce, Prestashop, etc. En cualquier caso, suelen tener una parte en la administración que muestra, por ejemplo, las IPs desde las que se conectó el usuario, que son datos de carácter personal y cuyo registro no suele mostrarse.
Te podría exigir que le entregues un listado de las mismas o que las eliminases porque están sujetas a la misma situación que todos los demás datos personales en tu base.
Ese último párrafo se refiere a información considerada como datos personales y que por la mecánica o configuración del sistema no es accesible desde la prestación de muestreo de datos de usuario.
No sé qué sistema manejas, pero seguramente será una tienda de serie montada en un CMS como WordPress, Joomla! o cualquiera otro, u Oscommerce, Prestashop, etc. En cualquier caso, suelen tener una parte en la administración que muestra, por ejemplo, las IPs desde las que se conectó el usuario, que son datos de carácter personal y cuyo registro no suele mostrarse.
Te podría exigir que le entregues un listado de las mismas o que las eliminases porque están sujetas a la misma situación que todos los demás datos personales en tu base.
Magnífica respuesta. Gracias.
Solo una cosa final. No entiendo esto último del final que pones en tu respuesta. Lo que dice la ley, quiero decir:
No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto.
Solo una cosa final. No entiendo esto último del final que pones en tu respuesta. Lo que dice la ley, quiero decir:
No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto.
Si te sale rentable o no, debes valorarlo tú. Lo demás es obligación legal tal y como te lo he indicado a lo largo de este hilo.
Si te piden más que el acceso y el usuario tiene muchos datos en tu base, tienes la posibilidad de exigir una especificación al solicitante, reconocida por el artículo 13-1 de la LOPD:
"Artículo 13. Derecho de acceso.
1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud."
Por cierto, no sé qué sistema de tienda virtual manejas, pero el párrafo segundo de este artículo 13 establece un derecho de acceso otorgado de forma permanente para el caso de sistemas con acceso a datos aportados en el registro mediante URL y contraseñas. Con lo cual no tienes más que indicar a tus usuarios que pueden acceder a sus datos a través de esa sección de gestión de perfil, cuenta o como se denomine en el caso de tu sistema, evitando sucesivas solicitudes o contactos para asistencia. Basta con informar a los usuarios de la existencia de tal sección o categoría y de la forma de acceder al mismo en el mensaje de registro.
Léelo tu misma:
"2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto."
Si te piden más que el acceso y el usuario tiene muchos datos en tu base, tienes la posibilidad de exigir una especificación al solicitante, reconocida por el artículo 13-1 de la LOPD:
"Artículo 13. Derecho de acceso.
1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud."
Por cierto, no sé qué sistema de tienda virtual manejas, pero el párrafo segundo de este artículo 13 establece un derecho de acceso otorgado de forma permanente para el caso de sistemas con acceso a datos aportados en el registro mediante URL y contraseñas. Con lo cual no tienes más que indicar a tus usuarios que pueden acceder a sus datos a través de esa sección de gestión de perfil, cuenta o como se denomine en el caso de tu sistema, evitando sucesivas solicitudes o contactos para asistencia. Basta con informar a los usuarios de la existencia de tal sección o categoría y de la forma de acceder al mismo en el mensaje de registro.
Léelo tu misma:
"2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto."
Bien, entonces se trata de cuando te lo piden más de una vez en seis meses. Tampoco lo veo claro si lo que se pide es algo más que el acceso, si te vienen con una tonelada de preguntas o exigencias sobre esto y aquello. El problema es que entre atender la tienda, proveedores, ordenar, tema contable, tema de facturas, etc. etc. etc. te vuelves loca como para encima atender una tienda virtual con gente preguntando cosas sobre esto y aquello. Sí hay que atender claro para lo que has comentado pero no es tan automático y fácil como te lo venden los comerciales de agencias de páginas web. Te vas a sacar un sueldo o un medio sueldo atendiendo un poco por la mañana y otro poco por la tarde y luego es mentira. Venga problemas y requisitos legales para lo que es en mi caso un 15 por ciento de lo que vendo en la tienda física. Que me viene de perlas eso sí, pero poca cosa para tanto quebradero de cabeza....
Sí, efectivamente, no se puede hacer negocio con los datos personales porque la libertad de servicios y prestaciones profesionales debe tener como límite - entre otros - el ejercicio de los derechos y libertades de personas y entidades (en este caso solo de personas), que quedaría gravemente en compromiso, cuando no totalmente imposibilitado, si se permitiese la aplicación de una tasa o recompensa económica al mismo.
Mucho más en el momento presente, con tanto espabilado y listo al servicio de su propio bolsillo e interés pasajero. Arreglados íbamos a andar si se permitiese, por ejemplo, una tarifita para recuperar datos, acceder al propio perfil o modificarlo, borrarlo, etc.
Tendríamos sitios web ofreciendo cualquier cosa - o ninguna - no más que para hacer acopio y colección de unos cuantos cientos de miles de perfiles para todos los gustos. Que ya habría tiempo después de sacar un buen sueldo pidiendo aunque solo fuese un euro a los despistados.
No vamos a comentar la legislación anterior, que ya lo preveía, dejándote la indicación del artículo 12-5 del actual RGPD, que impone gratuidad y posibles excepciones:
"5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito.
Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
a) cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
b) negarse a actuar respecto de la solicitud.
El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud."
Obligaciones y excepciones que se aplican igualmente al quehacer de las autoridades de control (la AEPD, por ejemplo) en el artículo 57-4 del mismo reglamento:
"4. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, la autoridad de control podrá establecer una tasa razonable basada en los costes administrativos o negarse a actuar respecto de la solicitud. La carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud recaerá en la autoridad de control."
Por su lado, la LOPD también impone la misma obligación y gratuidad en el artículo 12-7:
"Artículo 12. Disposiciones generales sobre ejercicio de los derechos."
(...)
7. Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del Reglamento (UE) 2016/679 y en los apartados 3 y 4 del artículo 13 de esta ley orgánica."
En cuanto a lo que debe ser entendido como solicitudes excesivas o infundadas, te puedo citar el artículo 13-3 de la misma LOPD:
"3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello."
Para terminar, la calificación de infracción y posible sanción se establece en el artículo 74 b), como tu misma puedes ver:
"Artículo 74. Infracciones consideradas leves.
(...)
b) La exigencia del pago de un canon para facilitar al afectado la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679 o por atender las solicitudes de ejercicio de derechos de los afectados previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679, cuando así lo permita su artículo 12.5, si su cuantía excediese el importe de los costes afrontados para facilitar la información o realizar la actuación solicitada."
Mucho más en el momento presente, con tanto espabilado y listo al servicio de su propio bolsillo e interés pasajero. Arreglados íbamos a andar si se permitiese, por ejemplo, una tarifita para recuperar datos, acceder al propio perfil o modificarlo, borrarlo, etc.
Tendríamos sitios web ofreciendo cualquier cosa - o ninguna - no más que para hacer acopio y colección de unos cuantos cientos de miles de perfiles para todos los gustos. Que ya habría tiempo después de sacar un buen sueldo pidiendo aunque solo fuese un euro a los despistados.
No vamos a comentar la legislación anterior, que ya lo preveía, dejándote la indicación del artículo 12-5 del actual RGPD, que impone gratuidad y posibles excepciones:
"5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito.
Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
a) cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
b) negarse a actuar respecto de la solicitud.
El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud."
Obligaciones y excepciones que se aplican igualmente al quehacer de las autoridades de control (la AEPD, por ejemplo) en el artículo 57-4 del mismo reglamento:
"4. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, la autoridad de control podrá establecer una tasa razonable basada en los costes administrativos o negarse a actuar respecto de la solicitud. La carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud recaerá en la autoridad de control."
Por su lado, la LOPD también impone la misma obligación y gratuidad en el artículo 12-7:
"Artículo 12. Disposiciones generales sobre ejercicio de los derechos."
(...)
7. Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del Reglamento (UE) 2016/679 y en los apartados 3 y 4 del artículo 13 de esta ley orgánica."
En cuanto a lo que debe ser entendido como solicitudes excesivas o infundadas, te puedo citar el artículo 13-3 de la misma LOPD:
"3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello."
Para terminar, la calificación de infracción y posible sanción se establece en el artículo 74 b), como tu misma puedes ver:
"Artículo 74. Infracciones consideradas leves.
(...)
b) La exigencia del pago de un canon para facilitar al afectado la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679 o por atender las solicitudes de ejercicio de derechos de los afectados previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679, cuando así lo permita su artículo 12.5, si su cuantía excediese el importe de los costes afrontados para facilitar la información o realizar la actuación solicitada."
Tu pregunta tiene una vertiente comercial y otra legal.
La comercial te obliga efectivamente a responder y atender cordialmente a todos los usuarios y clientes, o potenciales en un caso y otro, para asegurar o mantener una imagen de comercio serio y responsable.
Una página web con tienda virtual no es un arte de pesca armado a la espera de capturas. Te puedo asegurar que un porcentaje real de clientes se basan en la confianza que genera la atención y el trato personalizado, sobre todo en el caso de posibles clientes indecisos. Y también puedo confirmarte que la falta de respuesta, la tardía o carente de respeto o atención supone un desgaste en términos de mala reputación online, que debe sumarse a la pérdida de ese porcentaje de indecisos que finalmente se deciden a no comprar debido al silencio o respuesta inadecuada.
------------------------
Por otro lado, la vertiente legal también te obliga a responder a los usuarios que hayan adquirido productos para dar respuesta a las exigencias de la legislación mercantil y de protección de derechos de consumidores y usuarios; además de las obligaciones derivadas de la normativa de protección de datos de carácter personal.
En el caso que nos ocupa, debes responder y hacer efectivo el derecho de acceso, rectificación, supresión y portabilidad de los datos, en caso de ser reclamada en tal sentido, llevando a cabo los procedimientos que se hagan necesarios para su correcta tramitación, como en el supuesto de verificación que hemos tratado en este hilo.
Para terminar, creo entender que haces alusión a horas de trabajo "al cabo de la semana" como base a una posible compensación económica por la asistencia prestada. Si te refieres a ello, te informo de que la actual normativa impone la gratuidad para tales gestiones, salvo excepciones muy bien perfiladas.
Con ello, si lo que estás preguntando es si puedes cobrar, por ejemplo, por la asistencia al usuario que reclama acceso a sus datos personales en tu base de datos, la respuesta es no salvo excepciones.
La comercial te obliga efectivamente a responder y atender cordialmente a todos los usuarios y clientes, o potenciales en un caso y otro, para asegurar o mantener una imagen de comercio serio y responsable.
Una página web con tienda virtual no es un arte de pesca armado a la espera de capturas. Te puedo asegurar que un porcentaje real de clientes se basan en la confianza que genera la atención y el trato personalizado, sobre todo en el caso de posibles clientes indecisos. Y también puedo confirmarte que la falta de respuesta, la tardía o carente de respeto o atención supone un desgaste en términos de mala reputación online, que debe sumarse a la pérdida de ese porcentaje de indecisos que finalmente se deciden a no comprar debido al silencio o respuesta inadecuada.
------------------------
Por otro lado, la vertiente legal también te obliga a responder a los usuarios que hayan adquirido productos para dar respuesta a las exigencias de la legislación mercantil y de protección de derechos de consumidores y usuarios; además de las obligaciones derivadas de la normativa de protección de datos de carácter personal.
En el caso que nos ocupa, debes responder y hacer efectivo el derecho de acceso, rectificación, supresión y portabilidad de los datos, en caso de ser reclamada en tal sentido, llevando a cabo los procedimientos que se hagan necesarios para su correcta tramitación, como en el supuesto de verificación que hemos tratado en este hilo.
Para terminar, creo entender que haces alusión a horas de trabajo "al cabo de la semana" como base a una posible compensación económica por la asistencia prestada. Si te refieres a ello, te informo de que la actual normativa impone la gratuidad para tales gestiones, salvo excepciones muy bien perfiladas.
Con ello, si lo que estás preguntando es si puedes cobrar, por ejemplo, por la asistencia al usuario que reclama acceso a sus datos personales en tu base de datos, la respuesta es no salvo excepciones.
Sí es verdad que llevo poco tiempo gestionando la tienda. La tienda física tiene 10 años y me convencieron para que abriera una página web y una tienda virtual para apoyar la venta en Internet y sacar un porcente más de ventas.
Seguiré tus buenos consejos.
Una pregunta más. ¿Hasta que punto tengo que dar servicio postventa o asistencia en este tipo de situaciones? Es decir ¿tengo que responder sin más a la gente? Lo digo porque aunque este sea un caso extraño, mucha gente me pregunta y pide temas sobre sus perfiles y es un trabajo al cabo de la semana. Si me estoy explicando bien.
Seguiré tus buenos consejos.
Una pregunta más. ¿Hasta que punto tengo que dar servicio postventa o asistencia en este tipo de situaciones? Es decir ¿tengo que responder sin más a la gente? Lo digo porque aunque este sea un caso extraño, mucha gente me pregunta y pide temas sobre sus perfiles y es un trabajo al cabo de la semana. Si me estoy explicando bien.
Seguramente llevas muy poco tiempo gestionando tu tienda virtual porque en otro caso no te arrugaría tanto el tema. Si tienes tienda virtual o cualquier cosa que mueva dinero en Internet, debes prepararte para este tipo de situaciones.
En cuanto al tipo en cuestión, querer, puede haber querido muchas cosas. Desde hacerse con los datos del usuario para usurpar su identidad y cometer alguna clase de estafa en Internet; hasta acceder a tu sitio web como usuario, comprar algo - o fingir que lo compra - y luego estafarte a ti. Entre otras múltiples posibilidades.
Ignorarlo, revisar que todo funcione correctamente, asegurar siempre una copia de seguridad y, en este caso, denunciar el caso a la unidad de delitos informáticos de la CNP o la Guardia Civil:
https://www.policia.es/denunweb/denuncias.html
http://www.guardiacivil.es/es/servicios/denuncias/denuncia_electronica/index.html
En cuanto al tipo en cuestión, querer, puede haber querido muchas cosas. Desde hacerse con los datos del usuario para usurpar su identidad y cometer alguna clase de estafa en Internet; hasta acceder a tu sitio web como usuario, comprar algo - o fingir que lo compra - y luego estafarte a ti. Entre otras múltiples posibilidades.
Ignorarlo, revisar que todo funcione correctamente, asegurar siempre una copia de seguridad y, en este caso, denunciar el caso a la unidad de delitos informáticos de la CNP o la Guardia Civil:
https://www.policia.es/denunweb/denuncias.html
http://www.guardiacivil.es/es/servicios/denuncias/denuncia_electronica/index.html
Te cuento. No se me había ocurrido y he hecho lo que me has dicho. Llamé al móvil en el registro, que tiene campo para fijo y móvil. Me responde una persona y me dice que ni tiene ningún problema con la web y ha pedido ninguna recuperación de datos. Que no es él. No puede haber problema con error o coincidencia con otro nombre de usuario porque es un nombre muy peculiar y el único del registro.
Osea que el que me ha estado contactando no es quien dice ser. Me tiembla todo.....
¿Para qué quiere meterse en el sitio? ¿Qué puedo hacer al respecto?
Muchas gracias por tu rapidez en atender. Sobre todo es el tema de que te atienda alguien.
Osea que el que me ha estado contactando no es quien dice ser. Me tiembla todo.....
¿Para qué quiere meterse en el sitio? ¿Qué puedo hacer al respecto?
Muchas gracias por tu rapidez en atender. Sobre todo es el tema de que te atienda alguien.
Hola.
Me he conectado para ver la respuesta de esa persona y me encuentro con esta respuesta, por cierto en tono rudo:
Yo no tengo que darle
Yo no tengo que darle a usted mi dni para nada, ni tampoco ningún otro documento privado. Necesito los datos para acceder a mi cuenta en su página y en otro caso pondré una denuncia a la agencia española de protección de datos. Usted tiene obligación de darme esos datos porque tengo derecho de acceso a mis datos. Se lo aseguro, pondré una denuncia.
Me ha revuelto la mañana...
Me he conectado para ver la respuesta de esa persona y me encuentro con esta respuesta, por cierto en tono rudo:
Yo no tengo que darle
Yo no tengo que darle a usted mi dni para nada, ni tampoco ningún otro documento privado. Necesito los datos para acceder a mi cuenta en su página y en otro caso pondré una denuncia a la agencia española de protección de datos. Usted tiene obligación de darme esos datos porque tengo derecho de acceso a mis datos. Se lo aseguro, pondré una denuncia.
Me ha revuelto la mañana...
Claro, lógico. Lo que no me parecía es que le tenga que dar los datos al primero que aparezca diciendo que es tal perfil.
Lo que no sé es cómo puede averiguar el nombre de un usuario, porque mi web no es un foro ni un sitio de citas. Los nombres de usuario no están a la vista más que para los usuarios como en todas las tiendas virtuales, creo.
Le voy a pedir escaneo de DNI y ya te contaré lo que resultó.
Un saludo y gracias por tu respuesta.
Lo que no sé es cómo puede averiguar el nombre de un usuario, porque mi web no es un foro ni un sitio de citas. Los nombres de usuario no están a la vista más que para los usuarios como en todas las tiendas virtuales, creo.
Le voy a pedir escaneo de DNI y ya te contaré lo que resultó.
Un saludo y gracias por tu respuesta.
