Archivo del Autor: Elena F Pérez Carrillo

Acerca de Elena F Pérez Carrillo

Doctora en Derecho. Profesora de Derecho Mercantil Universidad de León

Contratos financieros -derivados y de depósito de valores- ante el Brexit (duro o sin acuerdo). Sistemas excepcionales de equivalencia y reconocimiento de infraestructuras británicas

Posted on por

La Comisión Europea y la ESMA colaboran en la puesta en marcha de planes de contingencia para el supuesto de BREXIT “duro” o sin acuerdo.  Además, las entidades prestadoras de servicios financieros de la UE están  completando sus procesos preparatorios, por ejemplo, adaptando sus contratos o reubicando sus actividades en el continente  para minimizar los riesgos vinculados a un escenario sin acuerdo. Y, se anima a las entidades británicas -como las entidades de contraparte central- a solicitar anticipadamente su equivalencia con el régimen de la UE.

Houses of Parliament

En relación con los contratos de derivados que no se compensan centralizadamente no parecen existir dificultades derivadas del BREXIT, incluso en el caso de que no se pacte. Sin embargo,  algunos «eventos del ciclo de vida del contrato» como (por ejemplo, las modificaciones del contrato, la financiación renovada y las novaciones)  necesitarán de autorizaciones o excepciones al pasar a situarse la contraparte británica fuera de la UE

En cuanto a la situación de los derivados compensados mediante cámaras de compensación que actúan como contrapartes centralizadas puede haber riesgos para la estabilidad financiera, en un Brexit sin acuerdo, en caso de cierre desordenado de las posiciones de los miembros compensadores de la UE en las contrapartes centrales del Reino Unido.

Podría haber también riesgos en relación con determinados servicios prestados a los operadores de la UE por los depositarios centrales de valores del Reino Unido que no puedan sustituirse a corto plazo.

En todos estos casos, los sistemas  de equivalencia  autorizados por la comisión Europea proporcionan instrumentos que pueden desplegarse con rapidez y ser adecuados.

En caso de que la Comisión tenga que intervenir, solo lo hará en la medida necesaria para afrontar los riesgos para la estabilidad financiera por un BREXIT  sin acuerdo, bajo condiciones estrictas y durante un período limitado.  En ese supuesto,  la Comisión ya ha anunciado que adoptará decisiones de equivalencia temporales y condicionales con el fin de garantizar que no se produzca ninguna interrupción en la compensación centralizada y en los servicios de depositarios . Estas decisiones se complementarán con el reconocimiento de las infraestructuras establecidas en el Reino Unido,  (la Comisión Europea anima a la solicitud anticipada de reconocimiento a la Autoridad Europea de Valores y Mercados (AEVM).

Proyecto LOPD (2). Prácticas desleales, por agresivas, en el ámbito de la protección de datos

Posted on por
El 21 de noviembre de 2018, el Senado aprobó el Proyecto de Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales, con el que se adapta el ordenamiento español al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a su libre circulación. (ver tramitación del  proyecto en web del Congreso)

 

El nuevo texto incorpora novedades reseñables en el ámbito del competencia desleal.

 La Disposición adicional decimosexta  “Prácticas agresivas en materia de protección de datos”, viene a modificar el artículo 8 de la Ley 3/1991, de 10 de enero, de competencia desleal . Incorpora así nuevos supuestos de prácticas comerciales agresivas relacionadas con la protección de datos personales:

  1.  Actuar con intención de suplantar la identidad de la Agencia Española de Protección de Datos o de una autoridad autonómica de protección de datos en la realización de cualquier comunicación a los responsables y encargados de los tratamientos o a los interesados.
  2.  Generar la apariencia de que se está actuando en nombre, por cuenta o en colaboración con la Agencia Española de Protección de Datos o una autoridad autonómica de protección de datos en la realización de cualquier comunicación a los responsables y encargados de los tratamientos en que la remitente ofrezca sus productos o servicios.
  3.  Realizar prácticas comerciales en las que se coarte el poder de decisión de los destinatarios mediante la referencia a la posible imposición de sanciones por incumplimiento de la normativa de protección de datos personales.

    San Martín de Frómista, Palencia

  4.  Ofrecer cualquier tipo de documento por el que se pretenda crear una apariencia de cumplimiento de las disposiciones de protección de datos de forma complementaria a la realización de acciones formativas sin haber llevado a cabo las actuaciones necesarias para verificar que dicho cumplimiento se produce efectivamente.
  5. Asumir, sin designación expresa del responsable o el encargado del tratamiento, la función de delegado de protección de datos y comunicarse en tal condición con la Agencia Española de Protección de Datos o las autoridades autonómicas de protección de datos.

 

Recuérdese que antes de la reforma  anunciada, el artículo 8 LDC establece la prohibición –por deslealtad- de realizar prácticas agresivas,  que define como comportamientos, que teniendo en cuenta sus características las circunstancias concurrentes, es  susceptible de mermar de manera significativa la libertad de elección o conducta del destinatario en relación al bien o servicio y, por consiguiente, afecta o puede afectar a su comportamiento económico.  Los medios para desplegar tal agresividad son, actualmente acoso, coacción, incluido el uso de la fuerza, o influencia indebida.

Las prácticas comerciales desleales agresivas se encuentran contempladas también en otros artículos de la propia Ley, que incorporan la lista negra de la Directiva 25/2009/UE sobre Prácticas Comerciales Desleales.

  • el 22.6 (prácticas señuelo y promociones engañosas como 22. Crear la impresión falsa, incluso mediante el uso de prácticas agresivas, de que el consumidor o usuario ya ha ganado, ganará o conseguirá un premio o cualquier otra ventaja equivalente si realiza un acto determinado, cuando en realidad: a) No existe tal premio o ventaja equivalente. b) O la realización del acto relacionado con la obtención del premio o ventaja equivalente está sujeto a la obligación, por parte del consumidor o usuario, de efectuar un pago o incurrir en un gasto.
  • El 28 (prácticas agresivas por coacción) Se reputan desleales por agresivas las prácticas comerciales que hagan creer al consumidor o usuario que no puede abandonar el establecimiento del empresario o profesional o el local en el que se realice la práctica comercial, hasta haber contratado, salvo que dicha conducta sea constitutiva de infracción penal.
  • El 29 (prácticas agresivas por acoso)
  • El 30 (prácticas agresivas en relación con los menores)
  • El 31 (otras prácticas agresivas)

Ver sobre el mismo proyecto de ley, en relación con la defensa de la competencia aqui

Actualizado Reforma de la LEC para la intervención de autoridades de defensa de la competencia en procesos de protección de datos y competencia

Posted on por

El  Senado aprobó el Proyecto de Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales, con el que se adapta el ordenamiento español al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a su libre circulación. (ver tramitación del  proyecto en web del Congreso).

Actualización.- Texto aprobado: BOE Núm: 294 de 06/12/2018
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Antecedentes:

Sanabria

El nuevo texto incorpora novedades reseñables en el ámbito del derecho de la competencia en relación con la intervención de las autoridades de la competencia en procesos de defensa de la competencia y de protección de datos. De esta manera, el reconocimiento explícito de la relación entre protección de datos y defensa de la libre competencia se hace evidente y gana terreno en nuestro ordenamiento

Reproduzco:

DEFENSA DE LA COMPETENCIA. Disposición final séptima.  Se modifica el artículo 15 bis de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil, que queda redactado como sigue: «Artículo 15 bis. Intervención en procesos de defensa de la competencia y de protección de datos.

 

1. La Comisión Europea, la Comisión Nacional de los Mercados y la Competencia y los órganos competentes de las comunidades autónomas en el ámbito de sus competencias podrán intervenir en los procesos de defensa de la competencia y de protección de datos, sin tener la condición de parte, por propia iniciativa o a instancia del órgano judicial, mediante la aportación de información o presentación de observaciones escritas sobre cuestiones relativas a la aplicación de los artículos 101 y 102 del Tratado de Funcionamiento de la Unión Europea o los artículos 1 y 2 de la Ley 5/2007, de 3 de julio, de Defensa de la Competencia. Con la venia del correspondiente órgano judicial, podrán presentar también observaciones verbales. A estos efectos, podrán solicitar al órgano jurisdiccional competente que les remita o haga remitir todos los documentos necesarios para realizar una valoración del asunto de que se trate. La aportación de información no alcanzará a los datos o documentos obtenidos en el ámbito de las circunstancias de aplicación de la exención o reducción del importe de las multas previstas en los artículos 65 y 66 de la Ley 5/2007, de 3 de julio, de Defensa de la Competencia.

Sollans’ city’s Bichitos

2. La Comisión Europea, la Comisión Nacional de los Mercados y la Competencia y los órganos competentes de las comunidades autónomas aportarán la información o presentarán las observaciones previstas en el número anterior diez días antes de la celebración del acto del juicio a que se refiere el artículo 433 o dentro del plazo de oposición o impugnación del recurso interpuesto.

3. Lo dispuesto en los anteriores apartados en materia de procedimiento será asimismo de aplicación cuando la Comisión Europea, la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos, en el ámbito de sus competencias, consideren precisa su intervención en un proceso que afecte a cuestiones relativas a la aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.»

 

Salvando las distancias, lo explicado en relación con la Sentencia en los asuntos acumulados C-54/17 Autorità Garante della Concorrenza e del Mercato/Wind Tre S.p.A., y C-55/17 Autorità Garante della Concorrenza e del Mercato/Vodafone Italia S.p.A., donde se cuestionó la competencia de las autoridades de competencia (en ese caso frente a la autoridad sectorial de telecomunicaciones), se va consolidando al abrirse paso la idea de que la defensa de la competencia presenta intereses tutelables, incluso en presencia de autoridades sectoriales, o, de protección de datos.

Cambio climatico e inversores institucionales

Posted on por

Grupos  de inversores institucionales cuestionan a grandes multinacionales de los sectores energético y automovilístico en relación con sus sedicentes buenas prácticas  ambientales, que en realidad podrían  no responder a la realidad

Así ha sido comunicado por el Financial Times, y recogido por la prensa económica internacional (ver por ejemplo la revista Forbes).

Las industriales afectadas incluirían BP, AcelorMittal, entre otras. Se les acusa de que, contrariamente a sus declaraciones públicas, estos grupos empresariales no estarían avanzando en lucha para minimizar la huella de carbono. Y lo que es más, se desprendería la posibilidad de que estuviesen realizando pactos y acuerdos opacos para, de modo concertado, falsear sus acciones y resultados ambientales.

Los inversores institucionales que habrían dado la voz de alarma incluirían al Fondo de Pensiones de la Iglesia Anglicana (Church of England Pension Board) el fondo sueco AP7, Legal & General Investment Management, y la gestora holandesa Robeco.

Más sobre ISR (cinco días)

Fondos de pensiones que incluyen derivados. Excepcionalidad y exenciones

Posted on por

Compensación de fondos de pensiones. «Clarificación» de ESMA a efectos de la obligación de compensar productos de inversión comercializados como planes de pensiones y que incorporen componentes de productos financieros derivados. Solicita una supervisión laxa hasta que se actualice el régimen de exención

Como es sabido, los planes de pensiones presentan en algunos caso importantes dificultades para su compensación centralizada, motivo por le cual fueron objeto de exenciones, por ejemplo en virtud del Reglamento EMIR.  Sin embargo, y en relación con los productos que si deben compensarse mediante cámaras al efecto, la ESMA hizo públicos, en julio de 2018, una serie de explicaciones para facilitar ese ejercicio (ver Comunicación de ESMA sobre la compensación de Planes de Pensiones 3 julio, 2018)

EMIR introdujo una exención temporal para la obligación de compensar productos de planes de pensiones que incorporan derivados, para dar tiempo a encontrar una solución técnica adecuada para la transferencia de garantías no monetarias (como márgenes de variación)   que se exigen en esos procesos de compensación a cargo de las Cámaras de Compensación Centralizada. Transcurridos ya los dos periodos de  ampliación de la exención, a partir del 17 de agosto de 2018 EMIR no permitía una renovación del régimen transitorio (pese a que si está siendo objeto de negociación en el marco de la Reforma de EMIR dentro del programa REFIT, y por lo tanto es previsible que vuelva a ser posible reabrir la excepción).

Sobre ese marco, la Comunicación de ESMA   incluye  la reflexión para las autoridades nacionales nacionales competentes en materia de supervisión sobre derivados, que no prioricen sus acciones sobre estos planes de pensiones, respecto de los que –según reza- espera que estén de nuevo exentos de compensación centralizada en breve. En cambio, pide ESMA que la supervisión de estos productos de planes de pensiones se basen en el riesgo diario, más que en el riesgo a medio o largo plazo, a la espera de la aprobación de la excepción.

Ver:

 

Observatorio Nacional de 5G.

Posted on por

La Secretaría de Estado para el Avance Digital del  Ministerio de Economía y Empresa, ; la entidad pública Red.es y la Fundación Mobile World Capital Barcelona (en adelante MWCapital) han firmado un convenio para la creación del Observatorio Nacional de 5G.

 

NYC_by Jara IPM

La tecnología 5G está llamada, según nos indican, a liderar los cambios tecnológicos en los próximos años. El objetivo de mantener a nuestro país en la cabeza de las trasformaciones, y de garantizar que la implantación tecnológica se basa en la colaboración público-privada y cala, se crea este Observatorio 5G que  será presentado oficialmente el 29 de noviembre en Madrid, en el espacio ‘La Enredadera’ de Red.es.

Su objetivo principal es complementar y asistir las actividades público-privadas  que se desarrolen con el apoyo o en el marco de la Oficina Técnica del Plan Nacional de 5G, en el despliegue de redes y servicios 5G.  También para la estandarización y la innovación, la alineación de estrategias y ara compartir conocimiento en torno a la tecnología móvil

Elaborará estudios e informes relacionados con la tecnología 5G, sus nuevos usos y su impacto potencial en la sociedad y la economía, e incentivará la colaboración público-privada y del sector investigador. Desde este Observatorio se impulsará la formación y la capacitación en las tecnologías 5G .

 

El Observatorio 5G actuará en coordinación con el Plan Nacional 5G y complementará la estrategia España Nación Emprendedora Por ello, desde el observatorio se promoverá también el emprendimiento y la internacionalización entorno al nuevo paradigma de las telecomunicaciones.

El convenio que da título a esta entrada podrá ser firmado por otras instituciones, fundaciones o empresas, públicas o privadas, que compartan el objetivo de fomentar el despliegue 5G en España

Prioridades de supervisión y cumplimiento contable de los emisores europeos. Declaración de la AEVM/ESMA

Posted on por

La Autoridad Europea de Valores y Mercados (ESMA) publicó el 26-10-2018 sus prioridades como supervisor europeo  de cara al examen de los estados financieros de 2018 de las sociedades cotizadas

 

Con su Declaración pública anual sobre las prioridades comunes europeas de cumplimiento de 2018, ESMA ofrece orientaciones y prioridades para la aplicación coherente de las Normas Internacionales de Información Financiera (NIIF) y otros requisitos de información financiera y no financiera. Destacadamente, sus prioridades reflejan la relevancia y la magnitud del cambio introducido por las nuevas normas de información y tienen en cuenta los problemas identificados por las Autoridades Nacionales Competentes.

Find the Dodo in this window…!

En este sentido debe recordarse que en 2018 se produjo, por primera vez con carácter obligatorio en la UE la aplicación de la NIIF 15 Ingresos de contratos con clientes y de la  NIIF 9 Instrumentos financieros. Por ello las prioridades de la ESMA incluyen la aplicación de estas NIIF que será objeto de seguimiento del supervisor en los próximos meses,   especialmente en relación con la aplicación de las nuevas normas contables para el reconocimiento de ingresos y para la contabilización del deterioro de activos.

  • Más concretamente, los emisores deben centrarse en la identificación y satisfacción de las obligaciones de cumplimiento, la desagregación de ingresos y la revelación de sus valoraciones sobre el reconocimiento de ingresos.
  • Para las entidades de crédito, la ESMA destaca la aplicación del nuevo modelo de pérdidas  por créditos fallidos previstos (ECL) y la divulgación de la información utilizada para la evaluación de  aumentos significativos del riesgo de crédito y  de los ECL. En relación con esta cuestión no puede obviarse el hecho de que las NIIF recurren a elementos de valoración contable que en sí mismos suponen un riesgo para las entidades (y para sus administradores) , para terceros y para el mercado; motivo por el cual es esencial que los emisores hagan públicas las bases de sus previsiones valorativas.

    Vidrieras Catedral Pristina

  • También se adelanta ESMA en esta Declaración anual de prioridades a  la necesidad de ir generando información sobre la aplicación y el impacto previsto a raíz de la introducción de la NIIF 16 Arrendamientos que será obligatoria  para los estados financieros de 2019.
  • Por otra parte,observa la importancia de supervisar el modo en el que las entidades abordan el reto de la divulgación de información no financiera,  especialmente en relación con  el medioambiente, sentido en el que recomienda que se aborde un enfoque estratégico en el que las entidades divulguen no sólo las políticas implementadas sino también que ofrezcan indicadores de seguimiento y explicaciones sobre porque dejaron de aplicar otras medidas ambientales relevantes
  • La Declaración incluye también entre las prioridades la supervisión de las medidas alternativas de cumplimiento, teniendo en cuenta las Guidelines  sobre este particular, y en concreto la identificación y justificación de estas medidas, que comportan elementos valorativos relevantes.
  • Un último aspecto de las prioridades son las previsiones sobre el Brexit con sus impactos sobre los resultados de los emisores europeos.

Como es sabido, en su informe sobre supervisión de 2019, la ESMA incluirá los resultados de la aplicación de estas prioridades

Ciber contaminación. Centros de datos para servidores de Internet y su huella sobre el medioambiente y la energía

Posted on por

La huella de carbono e impacto de las actividades de Internet  sobre la generación de C02 y gases de efecto invernadero  están alcanzando el debate público, toda vez que algunas publicaciones grand public  van dando espacio a esta problemática entre sus páginas y webs, reflejando los análisis científicos  previos y las mediciones de la industria que configuran un panorama en el que, en efecto, Internet si contamina.**

 

NYC_by Jara IPM. One Trade Center Tower

En mi caso quiero reconocer que tal idea no me cruzó la mente hasta ya hace algunos años,  cuando en el último Xacobeo (el 31 de julio de 2010, cerrando as Festas do Apostolo), el gran Michael Jarre interpretó un especialísimo concierto en la Praza do Obradoiro de Santiago de Compostela, con un espectáculo de imagen, sonido y tecnología eléctrico-acústica que invadió la fachada principal de la catedral compostelana.  Los sonidos y los láser acústicos iban acompañados de imágenes proyectadas en la piedra milenaria de la catedralicia fachada barroca y -con tintes reivindicativos- calculaban el número de correos electrónicos que se estarían enviando en todo el globo en aquel  instante del verano de 2010,  ofreciendo además el cálculo de contaminación, en volúmenes delirantes de generación de C02, para sorpresa de quienes –al menos en mi caso- simplemente pretendíamos disfrutar de las creaciones siempre innovadoras de Jarre. Me impactó.

No sin ahínco en la búsqueda, ya años después he localizado datos, informaciones, conocimientos, sobre la huella de Internet  y de las TIC. Especialmente relevantes son  estudios como  clicking clean de Greenpeace que se pueden ver aquí en su versión de 2015 y también en la de de 2017.  Se unen a  otros informes previos sobre la contaminación producida por los residuos de hardware, los conocidos como basureros tecnológicos), o  a datos sobre la “cableización” de los océanos a medida que las infraestructuras (también) de Internet se sofistican y extienden,  o incluso sobre las consecuencias de los campos electromagnéticos , todos ellos aspectos sobre cuyas consecuencias contaminantes somos, quizás, más conscientes.

En esta entrada repasamos y enlazamos documentos relativos a la contaminación derivada directamente de los centros de datos y de la navegación por Internet, en cuanto a su impacto como contaminantes que están propiciando el activismo de ambientalistas y de la propia industria para acelerar la transición energética en este sector.

Centros de Datos
    • Los centros de datos almacenan servidores de Internet. Varían desde enclaves del tamaño de una habitación hasta vastas granjas con superficies  de  más de 150,000 metros cuadrados . Son grandes usuarios de energía. La necesitan para mantener los servidores que albergan, ejecutar los equipos que almacenan y para prestar servicios de computación en la nube,  música, películas y entretenimiento a demanda, entre otros. Además, generan mucho calor que también exige de una gran cantidad de energía para mantenerlos frescos.
    • Los grandes centros de datos son responsables de aproximadamente el 2% de las emisiones globales de gases de efecto invernadero, una proporción anual similar a la de la industria de la aviación. Estos centros se encuentran en todo el mundo, si bien existen áreas con una particular concentración, como la ciudad de Londres o el Estado de Virginia del Norte en EEUU. Su consumo energético es creciente, y, por dar una idea  de su volumen, se ha calculado que en Francia (territorio con concentración de este tipo de centros) consumen en torno a un 10% de la energía total del país
    • El calor que generan provoca dificultades para su enfriamiento, lo cual motiva que grandes operadores de big data como Google o Facebook estén ubicando sus centros en desiertos como el de Arizona,  o bajo el mar, o en zonas frías y cercanas al polo como las áreas nórdicas de Suecia y Finlandia.
Navegación individual
    • Individualmente, nuestra navegación tendría un impacto relativamente minúsculo, aunque en los documentos anteriormente aludidos ya se dan cifras preocupantes, por ejemplo en relación con el coste ambiental de la acumulación de correos electrónicos en nuestros buzones,  el reenvío de copias de mensaje de correo, o la utilización de buscadores.
    • Una de las principales formas de contaminación digital se llama «contaminación latente». Es debido al almacenamiento de correos electrónicos. Todos los correos electrónicos almacenados en un buzón hacen que muchos servidores se ejecuten ininterrumpidamente en los centros de datos de modo que su impacto ecológico es elevado.
    • Los mediambientalistas apuntan a que cada búsqueda en Google genera  tanto CO 2 como hervir la mitad del agua para una taza de café (7 g). Aunque el propio buscador  ofreció una cifra mucho menor  ( de 0,2 gr por búsqueda), de forma que  el uso de  Gmail durante un año daría lugar  aproximadamente a 1,2 kg de C02  por usuario.  Con todo,  en su conjunto, la huella de carbono de Google habría sido en 2013 de 1,766,014 toneladas de CO 2 ,  debido en su mayor parte a los centros de datos .
    • En cuanto al consumo de audiovisuales, el periódico The Guardian  titulaba un interesante reportaje con la idea de que los videos de gatitos que disfrutamos  en YouTube “están matando el planeta”, y  ofrecía datos como que  el consumo sería de 1 gr de C02 por cada 10 minutos de visualización de los videos en la plataforma YouTube.

      NYSE_by Jara IPM

Greenpeace , que cuenta con series de datos (buena parte de ellos recogidos en sus informes «Clicking Green» ,  está alertando sobre el impacto de Internet sobre el cambio climático, al menos si estos centros siguen operando como hasta ahora. Por ello aboga por la rápida transición a las energías renovables de estos data centers. Otras organizaciones  como Global e-sustainability Initiative difunden  informaciones  (ver ) y tratan de configurar un Internet “verde” (ver vídeo  )  a base de disociar las emisiones del crecimiento del sector TIC, principalmente fomentando la transición energética a renovables de los grandes motores de búsqueda y almacenamiento.

Véase también -fuentes y más detalles-:

****Redactado con el apoyo del Proyecto de Investigación «Libertad de Mercado y sobreendeudamiento de consumidores: estrategias jurídico-económicas para garantizar una segunda oportunidad» (Núm. Ref. DER2016-80568-R). Ministerio de Economía y Competitividad (España) del que la autora forma parte como investigadora.

 

ACTUALIZACIÓN: ¿Sabías que… Internet contamina ya tanto como el tráfico aéreo? La huella ecológica que deja internet ya se equipara con la de otras industrias muy contaminantes, como la aviación. Revista Emprendedores, por Diego S Adelantado (20/06/2021)

ESMA retira sus Directrices sobre negociación automatizada por estar la incluidas en el desarrollo reglamentario de MIFID 2

Posted on por

La Autoridad Europea de Valores y Mercados (AEVM) anunció el 3 de octubre de 2018 que retiraba sus Directrices de MiFID sobre sistemas y controles en un entorno comercial automatizado para plataformas de negociación, empresas de inversión y autoridades competentes.

 

Estas Directrices habían sido adoptadas por el Consejo de Supervisores, por iniciativa propia, para garantizar la aplicación común, uniforme y coherente de MiFID I y de la Directiva de Abuso de Mercado (MAD) en 2011.  Con  la entrada en vigor de la MiFID II el 3 de enero de 2018, revisó estas Directrices para establecer si  debía modificarlas o derogarlas, basándose en que su contenido  está incorporando con éxito  en MiFID 2 y sus medidas reglamentarias de ejecución en relación con  el ámbito de las Directrices (requisitos de las plataformas que acogen HST, requisitos de personal, control para suspender negociación, volúmenes mínimos de las ordenes, sincronización, registros de operaciones, supervisión y mecanismos para identificar órdenes sospechosas, entre otros .

Ver noticia aquí

IV Jornadas Nacionales de Derecho y Ciberseguridad en la Facultad de Derecho de León.

Posted on por

IV JORNADAS NACIONALES DE DERECHO Y CIBERSEGURIDAD

 

Organizadas por la Universidad de León y el Instituto Nacional de Ciberseguridad, INCIBE, la Facultad de Derecho de León acoge los días 24 y 25 de octubre las IV Jornadas de Derecho y Ciberseguridad, coordinadas por el Secretario General de INCIBE Don Francisco Pérez Bes, y por la Profesora  Dra. Dña Isabel Durán Seco.

(más información en idurs@unileon.es)

La calidad de los ponentes, la experiencia en materia de Ciberseguridad y Derecho de la Universidad de acogida y del INICIBE, y destacadamente, la labor constante, focalizada, intensa de los coordinadores de estas Jornadas Nacionales, que son además el alma del Máster Universitario en Derecho de la Ciberseguridad y Entorno Digital , auguran el éxito de esta IV edición.

Pulcra leonina

Las IV Jornadas Nacionales de Ciberseguridad y Derecho se inician el miércoles 24 de octubre, a las 16:00 h en el Palacio de Congresos y Exposiciones de León:

 

  • Contará esta sesión inaugural con la intervención de D. CARLOS KUCHKOVSKY  (12 ENISE – C7; CTO de Nuevos Negocios Digitales de BBVA) con la ponencia «Más allá de las criptomonedas. Potencial del blockchain e implicaciones en ciberseguridad» y otras disertaciones  que sin duda incrementarán el interés del aforo como la de D. FÉLIX ARTEAGA (12 ENISE – C8) Investigador principal del Real Instituto Elcano sobre «Nuevos retos en ciberseguridad: la amenaza híbrida» ,  o la del Dr. D. PABLO GARCÍA MEXIA Vicepresidente del Capítulo Español de Internet Society, «La Internet abierta«.
  • Entre las actividades previstas incluyen las mesas redondas compuestas por especialistas, entre las que tenemos la honra de contar con Doña ANA DEL SER, Presidenta de la Audiencia Provincial de León, miembro del GID DerMerUle y Profesora de Derecho Mercantil de la ULE ;  y DOÑA MARÍA TRAPERO, acreditada catedrática y profesora titular de Derecho Penal de la ULE que debatirán en torno a las «Obligaciones del empresario en la implantación de medidas. Su responsabilidad»,

 

El jueves 25 de octubre las IV Jornadas Nacionales  de Ciberseguridad y Derecho se trasladarán al Salón de Grados de la Facultad de Derecho de la Universidad de León:

El aforo a estas Jornadas es limitado, pero puede obtenerse información en el correo de inscripciones idurs@unileon.es

Desde DerMerUle, felicitamos a l@s organizadores, animamos a los inscritos y recomendamos la asistencia a cuantos estén interesados en las perspectivas de presente y futuro de la perspectiva jurídica del entorno cibernético.

 

 

Ciber seguridad, redes y transposición en España. (II) Ambito

Posted on por

El real decreto-ley 12/2018 se aplicará a las entidades que presten servicios esenciales para la comunidad y dependan de las redes y sistemas de información para el desarrollo de su actividad (ver entrada anterior).**

NYC_by Jara IPM. Freedom Statue

 

Su ámbito de aplicación se extiende también a sectores que no están expresamente incluidos en la Directiva, aunque sin perjuicio de su legislación específica. Especialmente en el caso de los operadores de servicios esenciales, su designación se realiza conforme a legislación sectorial

  • Veíamos que las actividades de explotación de las redes y de prestación de servicios de comunicaciones electrónicas y los recursos asociados, así como de los servicios electrónicos de confianza, están expresamente excluidos de dicha Directiva (que en ese sentido opera como norma de armonización mínima).  Sin embargo el real decreto-ley si se aplica a los “operadores críticos” que se designan conforme a la ley  8/2011
  • El real decreto-ley se aplicará, así mismo, a los proveedores de determinados servicios digitales: los que sean mercados en línea, motores de búsqueda en línea y servicios de computación en nube. La Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, los somete a un régimen de armonización máxima. La función de las autoridades nacionales se limita, por tanto, a supervisar su aplicación por los proveedores establecidos en su país, y coordinarse con las autoridades correspondientes de otros países de la Unión Europea.

 

Los operadores de servicios esenciales y los proveedores de servicios digitales deberán adoptar medidas adecuadas para gestionar los riesgos que se planteen para la seguridad de las redes y sistemas de información que utilicen, aunque su gestión esté externalizada.

NYC_by Jara IPM. One Trade Center Tower

  • Las obligaciones de seguridad que asuman deberán ser proporcionadas al nivel de riesgo  y estar basadas en una evaluación previa .
  • Las normas de desarrollo de este real decreto-ley podrán concretar las obligaciones de seguridad exigibles a los operadores de servicios esenciales, incluyendo en su caso las inspecciones a realizar o la participación en actividades y ejercicios de gestión de crisis.
  • El real decreto-ley requiere así mismo que los operadores de servicios esenciales y los proveedores de servicios digitales notifiquen los incidentes que sufran en las redes y servicios de información que emplean para la prestación de los servicios esenciales y digitales, y tengan efectos perturbadores significativos en los mismos, al tiempo que prevé la notificación de los sucesos o incidencias que puedan afectar a los servicios esenciales, pero que aún no hayan tenido un efecto adverso real sobre aquellos, y perfila los procedimientos de notificación. La notificación de incidentes forma parte de la cultura de gestión de riesgos que la Directiva y el real decreto-ley fomentan. Por ello, el real decreto-ley protege a la entidad notificante y al personal que informe sobre incidentes ocurridos; se reserva la información confidencial de su divulgación al público o a otras autoridades distintas de la notificada y se permite la notificación de incidentes cuando no sea obligada su comunicación.
  • El real decreto-ley recalca la necesidad de tener en cuenta los estándares europeos e internacionales, así como las recomendaciones que emanen del grupo de cooperación y de la red de CSIRT (Computer Security Incident Response Team) establecidos en el ámbito comunitario por la Directiva, con vistas a aplicar las mejores prácticas aprendidas en estos foros y contribuir al impulso del mercado interior y a la participación de nuestras empresas en él. Con el fin de aumentar su eficacia, este real decreto-ley trata de garantizar su coherencia con las que se derivan de la aplicación de otras normativas en materia de seguridad de la información, tanto de carácter horizontal como sectorial, y la coordinación en su aplicación con las autoridades responsables en cada caso.

Respecto a las normas horizontales, destacan los vínculos establecidos con las Leyes 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas, y 36/2015, de 28 de septiembre, de Seguridad Nacional, y con el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica, como normativa especial en materia de seguridad de los sistemas de información del sector público.

** Redactado con el apoyo del Proyecto de Investigación «Libertad de Mercado y sobreendeudamiento de consumidores: estrategias jurídico-económicas para garantizar una segunda oportunidad» (Núm. Ref. DER2016-80568-R). Ministerio de Economía y Competitividad (España) del que la autora forma parte como investigadora.

Ciber seguridad en las redes. Directiva de seguridad de las redes y transposición en España (I)

Posted on por

Lincoln, Ox

La protección de los servicios considerados esenciales para la sociedad son los objetivos sobre los que trabaja la Unión Europea y sus Estados.**

A tales efectos  destaca la legislación y propuestas a las que aludimos.

En primer lugar la Directiva 2008/114/CE del Consejo, sobre Identificación y Designación de las Infraestructuras Críticas Europeas y la Evaluación de la Necesidad de Mejorar su Protección”, que fue transpuesta en España con la “Ley 8/2011 por la que se establecen medidas para la Protección de las Infraestructuras Críticas”.

En segundo la  Directiva 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión; y  su primera transposición en España (Real Decreto-ley 12/2018 con tramitación parlamentaria como Proyecto de Ley de seguridad de las redes y sistemas de información (procedente del Real Decreto-ley 12/2018, de 7 de septiembre). Esta Directiva es objeto de desarrollo regulatorio, en el llamado «paquete NIS»).

En virtud de la Directiva (UE) 2016/1148, los países de la UE deben:

  1. designar a una o más autoridades nacionales competentes y a uno o varios centros de respuesta a incidentes cibernéticos – CSIRT-, así como determinar un punto de contacto único (en caso de que haya más de una autoridad competente)
        • Los CSIRT son responsables de supervisar incidentes de ciberseguridad y responder a ellos; efectuar análisis de riesgos e incidentes; participar en la red de CSIRTs; cooperar con el sector privado; fomentar la utilización de prácticas normalizadas para la clasificación de incidentes, riesgos e información, entre otras competencias
  2. designar operadores de servicios esenciales en sectores fundamentales como la energía, el transporte, las finanzas, la banca, la salud, el agua y la infraestructura digital, en los cuales un ciberataque podría perturbar un servicio esencial.
  3. adoptar una estrategia nacional de ciberseguridad para las redes y sistemas de información, que aborde la preparación y disposición para gestionar y reaccionar a los ciberataques; las funciones, responsabilidades y cooperación de la administración pública y de otros agentes; los programas de educación, concienciación y formación; los planes de investigación y desarrollo; y los planes de identificación de riesgos.
  4. asegurar que sus autoridades nacionales competentes supervisan la aplicación de la Directiva evaluando las políticas de ciberseguridad y seguridad de los operadores de servicios esenciales; supervisando los proveedores de servicios digitales; participando en el trabajo del Grupo de cooperación [formado por las autoridades competentes en materia de seguridad de las redes y de la información (SRI) de cada uno de los países de la UE, la Comisión Europea y la Agencia de Seguridad de las Redes y de la Información de la Unión Europea (ENISA)]; informando al público cuando sea necesario a fin de evitar incidentes o gestionarlos cuando ya se hayan producido, respetando siempre los requisitos de confidencialidad; impartiendo instrucciones vinculantes para subsanar las deficiencias en ciberseguridad.

All Souls Bridge. OX

La Directiva se aplica a los operadores de servicios esenciales (designados) -OSE- como a los proveedores de servicios digitales -PSE-, aunque las obligaciones de unos y otros resulten algo distintas.

Sin embargo, la Directiva NIS no se aplica a empresas que suministren redes públicas de comunicaciones o presten servicios de comunicaciones electrónicas disponibles para el público en el sentido de la Directiva 2002/21/CE del Parlamento Europeo y del Consejo  (Directiva Marco de Comunicaciones Electrónicas) que están sujetas a los requisitos específicos de seguridad e integridad, como tampoco a los prestadores de servicios de confianza definidos en el Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo (relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior) que están sujetos a los requisitos de seguridad establecidos en dicho Reglamento.

                                        • Su ámbito de aplicación no empece las medias especiales como las obligatorias en virtud de la Directiva 2013/40/UE del Parlamento Europeo y del Consejo, de 12 de agosto de 2013, relativa a los ataques contra los sistemas de información ; ni la  Directiva 2011/93/UE del Parlamento Europeo y del Consejo, de 13 de diciembre de 2011, relativa a la lucha contra los abusos sexuales y la explotación sexual de los menores y la pornografía infantil y por la que se sustituye la Decisión marco 2004/68/JAI del Consejo; ni la Directiva 2008/114/CE del Consejo, de 8 de diciembre de 2008, sobre la identificación y designación de infraestructuras críticas europeas y la evaluación de la necesidad de mejorar su protección.

 

El Real Decreto Ley  12/2018 incorpora al ordenamiento español la Directiva NIS. Tiene por objeto regular la seguridad de las redes y sistemas de información utilizados para la provisión de los servicios esenciales y de los servicios digitales, y establecer un sistema de notificación de incidentes. También establece un marco institucional en las cuestiones relativas a su ámbito.

Se aplica a

  • Operadores de Servicios Digitales -OSE- dependientes de las  redes y sistemas de información comprendidos en los sectores estratégicos (infraestructuras críticas) definidos en el anexo de la mencionada Ley 8/2011, sobre protección de infraestructuras críticas
    • Un operador de servicios esenciales está establecido en España cuando su residencia o domicilio social se encuentren en territorio español, siempre que éstos coincidan con el lugar en que esté efectivamente centralizada la gestión administrativa y la dirección de sus negocios o actividades.
    • Servicios esenciales que los operadores residentes o domiciliados en otro Estado ofrezcan a través de un establecimiento permanente situado en España.
    • La Comisión Nacional para la Protección de las Infraestructuras Críticas aprobará una primera lista de servicios esenciales dentro de los sectores incluidos en el ámbito de aplicación de este real decreto-ley e identificará a los operadores que los presten que deban sujetarse a este real decreto-ley 
  • Prestadores  o proveedores de servicios digitales – PSD-   conforme se determina en el artículo 3 e), es decir  «persona jurídica que presta un servicio digital.» que además sean mercados en línea, motores de búsqueda en línea y servicios de computación en nube. Es decir, proveedores de servicios digitales que tengan su sede social en España y/o con establecimiento principal en la Unión Europea, así como los que, no estando establecidos en la Unión Europea, designen en España a su representante en la Unión para el cumplimiento de la Directiva (UE) 2016/1148 y se dediquen a alguna (o todas) de las 3 actividades

Exclusiones. El RD-l, no se aplica a

  • a) Los operadores de redes y servicios de comunicaciones electrónicas, prestadores de servicios electrónicos de confianza que no sean designados como operadores críticos en virtud de la Ley 8/2011, de 28 de abril.
  • b) Los proveedores de servicios digitales cuando se trate de microempresas o pequeñas empresas, de acuerdo con las definiciones recogidas en la Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas.
Obligaciones de seguridad de los OSD y PSD:

Houses of Parliament

  • adoptar medidas técnicas y de organización, adecuadas y proporcionadas, para gestionar los riesgos que se planteen para la seguridad de las redes y sistemas de información utilizados en la prestación de los servicios sujetos a este real decreto-ley.
  • notificar incidentes conforme al título V
  • tomar medidas adecuadas para prevenir y reducir al mínimo el impacto de los incidentes que les afecten.

Los operadores de servicios esenciales designarán y comunicarán a la autoridad competente, la persona, unidad u órgano colegiado responsable de la seguridad de la información, como punto de contacto y de coordinación técnica con aquella,  cuyas funciones específicas serán las previstas reglamentariamente.

    • Las autoridades competentes podrán establecer mediante Orden ministerial obligaciones específicas para garantizar la seguridad de las redes y sistemas de información empleados por los operadores de servicios esenciales. Así mismo, podrán dictar instrucciones técnicas y guías orientativas para detallar el contenido de dichas órdenes.
    • Al elaborar las disposiciones reglamentarias, instrucciones y guías, tendrán en cuenta las obligaciones sectoriales, las directrices relevantes que se adopten en el grupo de cooperación y los requisitos en materia de seguridad de la información a las que estuviera sometido el operador en virtud de otras normas, como la Ley 8/2011, de 28 de abril, y el Esquema Nacional de Seguridad en el ámbito de la administración electrónica, aprobado por el Real Decreto 3/2010, de 8 de enero. Las autoridades competentes deberán coordinarse entre sí y con los diferentes órganos sectoriales con competencias por razón de la materia, con objeto de evitar duplicidades en las obligaciones exigibles y facilitar su cumplimiento a los operadores de servicios esenciales.

Los proveedores de servicios digitales determinarán las medidas de seguridad que aplicarán, teniendo en cuenta, como mínimo, los avances técnicos y los siguientes aspectos (atendiendo a los actos de ejecución de la Comisión Europea):

  •  La seguridad de los sistemas e instalaciones;
  •  La gestión de incidentes;
  •  La gestión de la continuidad de las actividades;
  •  La supervisión, auditorías y pruebas;
  •  El cumplimiento de las normas internacionales.

Turf Street (and Pub) Ox

Obligaciones de notificar

  • (Los operadores de servicios esenciales notificarán a la autoridad competente, a través del CSIRT de referencia, los incidentes que puedan tener efectos perturbadores significativos en tales servicios, o, conforme se determine reglamentariamente, incidentes relativos a los sucesos o incidencias que puedan afectar a las redes y sistemas de información empleados para la prestación de los servicios esenciales, pero que aún no hayan tenido un efecto adverso real sobre aquéllos.

  • Los proveedores de servicios digitales notificarán a la autoridad competente, a través del CSIRT de referencia (INCIBE en el caso de entidades privadas y empresarios individuales)  los incidentes que tengan efectos perturbadores significativos en dichos servicios.

    • A los efectos de valorar la gravedad del incidente, los operadores de servicios esenciales medirán la relevancia teniendo en cuenta, como mínimo, los siguientes factores: a) El número de usuarios afectados por la perturbación del servicio esencial. b) La duración del incidente. c) La extensión o áreas geográficas afectadas d) El grado de perturbación del funcionamiento del servicio. e) El alcance del impacto en actividades económicas y sociales cruciales. f) La importancia de los sistemas afectados o de la información afectada por el incidente para la prestación del servicio esencial. g) El daño a la reputación.
      • Estos operadores deben realizar una notificación inicial, otra intermedia y otra final

    • Los operadores de servicios digitales, determinan la medición conforme a lo que establezcan los actos de ejecución previstos en los apartados 8 y 9 del artículo 16 de la Directiva NIS. La obligación de la notificación del incidente únicamente se aplicará cuando el proveedor de servicios digitales tenga acceso a la información necesaria para valorar el impacto de un incidente.

 

  • Los operadores de servicios esenciales y los proveedores de servicios digitales  así como cualquier otra parte interesada, que tengan noticia de incidentes que afecten de modo significativo a servicios digitales ofrecidos en España por proveedores establecidos en otros Estados miembros de la Unión Europea, podrán notificarlo a la autoridad competente aportando la información pertinente, al objeto de facilitar la cooperación con el Estado miembro en el que estuviese establecido el citado proveedor.
  • Las notificaciones tanto de operadores de servicios esenciales como de proveedores de servicios digitales se referirán a los incidentes que afecten a las redes y sistemas de información empleados en la prestación de los servicios, tanto si se trata de redes y servicios propios como si lo son de proveedores externos.
    • Las autoridades competentes y los CSIRT de referencia utilizarán una plataforma común para facilitar y automatizar los procesos de notificación, comunicación e información sobre incidentes.
    • El desarrollo reglamentario de este real decreto-ley preverá las medidas necesarias para el cumplimiento de lo preceptuado en este artículo por parte de los operadores de servicios esenciales.
      • Las autoridades competentes podrán establecer, mediante Orden ministerial, obligaciones específicas de notificación por los operadores de servicios esenciales. Así mismo, podrán dictar instrucciones técnicas y guías orientativas para detallar el contenido de dichas órdenes. Al elaborar las disposiciones reglamentarias, instrucciones y guías, se tendrán en cuenta las obligaciones sectoriales, las directrices relevantes que se adopten en el grupo de cooperación y los requisitos en materia de notificación de incidentes a los que estuviera sometido el operador en virtud de otras normas, como la Ley 8/2011, de 28 de abril, y el Esquema Nacional de Seguridad, aprobado por el Real Decreto 3/2010, de 8 de enero.
    • La obligación de notificación de incidentes no obsta al cumplimiento de los deberes legales de denuncia de aquellos hechos que revistan caracteres de delito .

      Grove Qd, Lincoln, Ox

    • Proteccion de notificantes: Las notificaciones consideradas en este título no sujetarán a la entidad que las efectúe a una mayor responsabilidad. Además, los empleados y el personal que, por cualquier tipo de relación laboral o mercantil, participen en la prestación de los servicios esenciales o digitales, que informen sobre incidentes no podrán sufrir consecuencias adversas en su puesto de trabajo o con la empresa, salvo en los supuestos en que se acredite mala fe en su actuación.

Recuérdese a los efectos de la aplicación en España de la Directiva que los centros de respuesta a incidentes de seguridad cibernética, en lo concerniente a las relaciones con los operadores de servicios esenciales son 1º El CCN-CERT, del Centro Criptológico Nacional, al que corresponde la comunidad de referencia constituida por las entidades del ámbito subjetivo de aplicación de la Ley 40/2015, de 1 de octubre de Régimen Jurídico del Sector Público. 2.º El INCIBE-CERT, del Instituto Nacional de Ciberseguridad de España, al que corresponde la comunidad de referencia constituida por aquellas entidades no incluidas en el ámbito subjetivo de la Ley 40/2015, de 1 de octubre. (el INCIBE-CERT es operado conjuntamente por el INCIBE y el Centro Nacional de Protección de Infraestructuras y Ciberseguridad (CNPIC) en todo lo que se refiera a la gestión de incidentes que afecten a los operadores críticos. 3.º El ESPDEF-CERT, del Ministerio de Defensa, que cooperará con el CCN-CERT (centro criptológico nacional) y el INCIBE-CERT en aquellas situaciones que éstos requieran en apoyo de los operadores de servicios esenciales y, necesariamente, en aquellos operadores que tengan incidencia en la Defensa Nacional y que reglamentariamente se determinen. En lo concerniente a las relaciones con los proveedores de servicios digitales que no estuvieren comprendidos en la comunidad de referencia del CCN-CERT: el INCIBE-CERT. El INCIBE-CERT será, así mismo, equipo de respuesta a incidentes de referencia para los ciudadanos, entidades de derecho privado y otras entidades no incluidas anteriormente.

Los CSIRT de referencia se coordinarán entre sí y con el resto de CSIRT nacionales e internacionales en la respuesta a los incidentes y gestión de riesgos de seguridad que les correspondan. En los supuestos de especial gravedad que reglamentariamente se determinen y que requieran un nivel de coordinación superior al necesario en situaciones ordinarias, el CCN-CERT ejercerá la coordinación nacional de la respuesta técnica de los CSIRT. Cuando las actividades que desarrollen puedan afectar de alguna manera a un operador crítico, los CSIRT de referencia se coordinarán con el Ministerio del Interior, a través de la Oficina de Coordinación Cibernética del Centro Nacional de Protección de Infraestructuras y Ciberseguridad (CNPIC), de la forma que reglamentariamente se determine.

**Redactado con el apoyo del Proyecto de Investigación «Libertad de Mercado y sobreendeudamiento de consumidores: estrategias jurídico-económicas para garantizar una segunda oportunidad» (Núm. Ref. DER2016-80568-R). Ministerio de Economía y Competitividad (España) del que la autora forma parte como investigadora.