#33 La "Data" Act ya está entre nosotros
Como casi siempre ya con todo lo legal, en viernes
“Esto es lo que pasa, muchacho: decides publicar tu newsletter el jueves por cosas y la puñetera actualidad revienta semana tras semana el viernes. Sigh, creo que empiezo a estar viejo for this shit”.
Viernes: Todavía no se había enfriado la noticia de tener que vérselas con esta norma tan rematadamente complicada hasta de leer, que la Comisión Europea se marca una actualización notable de las FAQS. Hubiera sido mejor hacerlo antes de la aplicación efectiva, pero tampoco da mucha confianza que se hagan “parches de día 1” en los documentos de ayuda.
Nadie dice que no venga bien los nuevos ejemplos con desglose de apartados del doc, pero tela con no poder ni despistarte un día. Suerte que el texto de la Data Act está cerrado.
Enlace al doc con los cambios marcados. Podría ir en documentos dateros, pero perdería contexto.
Also Viernes: Pegaron un tiro a un político y nadie hubiera sospechado que foros, furros, memes y videojuegos iban a ser tan importantes para leer la mente (o no) del presunto asesino.
Domingo: Alguien podría pensar que las series ganadoras de los premios Emmy apuntan a sombras cada vez más siniestras de nuestra actualidad.
Estás leyendo ZERO PARTY DATA. La newsletter sobre actualidad privatística, tecnopolios y derecho tecnológico de Jorge García Herrero y Darío López Rincón.
En los ratos libres que nos deja esta newsletter, nos gusta resolver movidas complicadas en protección de datos personales e inteligencia artificial. Si tienes de alguna de esas, haznos así con la manita. O contáctanos por correo en jgh(arroba)jorgegarciaherrero.com
¡Gracias por leer Zero Party Data! Apúntate!
🗞️Noticias del Mundodato 🌍
.- Esta semana se movían cosas del eIDAS por la UE. A veces se pierde de vista entra tanta novedad, pero sigue ahí en el núcleo. Visto por Linkedin.
.- Un comentario interesante sobre la tercera resolución del TJUE que salió a inicios de septiembre. Las más famosas EDPS v SRB (o casi habría que llamarla Scania) y Latombe se llevaron más titulares, pero quedaba el Caso Quirin sobre indemnizaciones por daños morales al interesado (el 82 sobre indemnizaciones que poco se lee del RGPD). Y enlace a la propia resolución.
El TJUE se ha puesto restrictivo sin mucha sorpresa:
El daño moral, poniendo de relieve la pérdida de control sobre los datos, tiene que ser un daño real que quede probado. El miedo a que el responsable haga maldades cediendo esos datos sin control encaja en daño moral, pero queda el trecho jodido de probar perjuicio real.
EL RGPD no permitiría pedir como posible cautelar en los tribunales que se prohíba al responsable realizar el tratamiento de esos datos a posteriori/volver a infringir el RGPD. El interesado no es una DPA Terminator.
.- Muy interesante este relato sobre la batalla interna entre MAGA y el partido republicano tradicional que terminó defenestrando la moratorIA (la limitación sobre los legislativos de los estados federales para regular la IA durante un plazo de cinco años para, teóricamente, dar tiempo a negociar y promulgar un norma general federal) de la, erm, Big Beautiful Bill risketta.
Muy interesante que grupos políticos con muy poco en común estén de acuerdo en temas clave generales, en este caso, la necesidad de regular la IA. Veremos avances bipartisan en la materia y otros temas clave (y espero que a ambos lados del charco)? Más nos vale.
📄Documentos dateros-muy-cafeteros☕️
.- La AEPD impone una sanción de 1.800.000 euros a una empresa que compró a la Cámara de comercio de España los datos de todos los autónomos del Censo Básico (datos obtenidos de la Agencia Tributaria).
AEPD sanciona con 900.000 € por tratamiento sin base legal (la empresa sancionada se amparaba en la presunción iuris tantum del art. 19 de la ley española, entre otros argumentos) y otros 900.000 € por incumplir la obligación de informar del art. 14 RGPD. Muchos más detalles y mi opinión aquí.
.- Las nuevas directrices del EDPB sobre el juego de la DSA y el RGPD. Efectivamente, publicadas en consulta pública el mismo viernes. Vienen interesante con la matización del interés legítimo para el supuesto control de posible contenido indebido voluntario, obligación legal para el caso imperativo de la DSA, minimización en el tratamiento de datos del notificante en el sistema de “denuncia” a configurar, o que se debe poder permitir la presentación anónima (salvo que sean necesario de necesidad que estuviera identificado confirmar si es contenido ilegal).
Y enlace a un comentario más ligerito del mismo viernes.
.- Tres documentos interesantes sobre la Data Act:
1.- Este, que conocimos gracias a Mateusz Kupiec, analiza el ecosistema de los vehículos conectados. Estudia distintos escenarios proclives a hostias como roscas, como los datos generados por el coche que deben poder ser compartidos con terceros a petición del usuario, planteando retos tanto para fabricantes como para talleres y aseguradoras. Las interfaces técnicas y la protección de secretos empresariales, y el previsible alud de cláusulas contractuales de fabricantes para obstaculizar en lo posible el cumplimiento de la norma.
2.- Este de Carlos Hernández en La Ley, un resumen académico con el rigor a que este jefe ya nos tiene acostumbrados.
3.- Y este del gran László Pók, que vale por diez… porque son diez documentos..
.- Refrescantes (y pragmáticos) puntos de vista en este paper sobre uso de datos sintéticos (toca Scania por el camino) en el desarrollo de modelos de IA para el sector salud. Sin duda, es buenista con la industria pero, como digo, no se suelen ver análisis con menos peso académico y más de gente que se nota que tiene calle. Se lo vimos a Heiko Roth.
.- Sinceramente, después de seis años la mayoría de los expertos en privacidad están a uvas con la aplicación de la base contractual. La determinación de lo que es “objetivamente necesario”, las repercusiones para quienes “no son parte en el contrato” y la interrelación con el consentimiento han sido tratadas y aclaradas estos años por EDPB y jurisprudencia y todavía no nos hemos enterado. Es posible, sólo posible que este doc compartido por Luis Montezuma os ayude. En otro caos, siempre está mi formación…
🏡Cosas de casa
.- Y dando la turra un poco más sobre la Data Act (spam por interés legítimo imperioso), articulito de producción propia sobre su aplicación al supuesto de la consolita de videojuegos. No es nada corto, pero con la Data Act no puede haber nada muy fácil ni corto. Ahí tenéis a la Comisión Europea con versión 1.3 de sus FAQS (y las que vendrán).
💀Death by Meme🤣
Nunca sobra volver a quejarse de que no para el rodillo. Tradición muy de Valladolid, por cierto.
🤖NoRobots.txt o Lo de la IA
.- Desde el lado de UK se ven algunas noticias extrañas desde que están fuera del club UE, pero esta sección sobre IA aplicada a los colegios está bien. En una única página de consulta, al estilo de lo que hacía el ICO, va enlazando diversos documentos interesantes de consejos y cautelas en su uso. Se puede mirar para otro lado, pero a saber cuántos profesores están usando cualquier herramienta gratuita que conocen para lo suyo. Y con sección de protección de datos, guía para profesores y centros y alguna que otra advertencia de que pase por IT y DPO lo que sea que se ocurra sobre el tema.
“If you choose to enter pupils’ personal data into an AI tool, ensure you check with your data protection officer or IT lead that it is safe to do so. Observing data protection principles while handling personal data in AI tools will help your compliance with data protection legislation".
.- Destacamos un doblete de actualidad de Luca Bertuzzi.
Polonia pidiendo que se retrase la aplicación del régimen sancionador de IA de alto riesgo entre 6 a 12 meses. A ver si cuela.
Digital Omnibus: ajustes específicos a RIA para garantizar la aplicación óptima de las normas - consulta abierta 4 semanas - veremos a ver.
🧷Herramientas Útiles 🔧
.- Que levante la mano el que no ha tenido ningún pensamiento maligno al ver este tweet y respuesta de la empresa. Bueno, y el que nunca ha utilizado ilovepdf para nada. Huelga decir que no es lo más accountable, aunque cumplan con lo que responder.
Nosotros por aquí tenemos algo mejor para fundir, extractar, ordenar y convertir a PDF. GPL, vía GitHub y completamente local sin nada extraño: pdf arranger. El 90% de lo que se suele hacer con editores online de PDF.
🙄 El chorradón final
Llegó la primera ministra IA. Lo normal es que hubiera sido alguna campaña agresiva de marketing, pero era verdad. Veremos si llega a ser algo más que casito momentáneo para Albania, pero nos quedamos con sorpresa casual de Wikipedia. Es común que personajes reales y de ficción conocidos tengan página por allí, pero no referencia tan acertada a uso de imagen, voz y contrato con validez a punto de vencer.
Si crees que esta newsletter puede gustar e incluso ser útil a alguien, reenvíasela.
Si echas de menos algun doc, comentario o chorradón que manifiestamente debería haber estado en el Zero Party Data de la semana, escríbenos o deja un comentario y lo valoraremos para la próxima.