Noticias y Actualidad

el hecho de que el Delegado de Protección de Datos tenga poder de decisión sobre determinados tratamientos impide que pueda ejercer sus funciones de supervisión en materia de datos de forma independiente, de donde deriva el conflicto de intereses

¿Qué está pasando con TIK TOK? TikTok (Douyin en China), la red social de vídeos cortos que cosecha cifras récord de instalaciones mensuales, fue lanzada en septiembre de 2016 por la compañía china ByteDance. Esta app móvil permite a cualquier usuario del mundo crear y compartir vídeos de una duración máxima de 60 segundos, existiendo la posibilidad de subir vídeos aún más cortos, de quince segundos. TikTok permite interactuar con otros usuarios a través de los propios vídeos, mediante emoticonos y mensajes, y a través de mensajes privados de cuenta a cuenta. A principios de 2018 contaba con 150 millones de usuarios, en la actualidad supera los 800 millones de usuarios únicos mensuales. TIK TOK y la privacidad de los menores En estos pocos años la app ha cosechado numerosas críticas respecto al cumplimiento de las diversas normativas de protección de datos de los países en los que opera, en especial la normativa estadounidense y el Reglamento General de Protección de Datos. El uso masivo de esta app por parte de menores de edad, especialmente menores de 14 años que, conforme a la normativa española de protección de datos, con carácter general no pueden prestar su consentimiento válido sin contar previamente con el de los padres. Es una de las circunstancias que ha afectado a esta red social a nivel internacional, y ha puesto el foco en la empresa que la desarrolló, ByteDance. La citada empresa ha sido acusada por diferentes organismos a nivel mundial de facilitar al gobierno chino la información que recopila de sus usuarios, en aplicación de la ley de inteligencia nacional china. Por citar un caso reciente; esta misma semana TikTok ha sido bloqueada definitivamente para su descarga en la India. El gobierno indio ha declarado a través de sus representantes que creen que la aplicación podría afectar a su soberanía digital. En 2017, el Committee on Foreing Investment de Estados Unidos comenzó una investigación tras la fusión de TikTok y Musical.ly, plataforma estadounidense de videos musicales. Hace pocos meses, en mayo de 2020, cerca de una veintena de asociaciones de consumidores estadounidenses presentaron, ante las autoridades de aquel país, una denuncia colectiva contra la plataforma por el incumplimiento del Children’s Online Privacy Protection Act (COOPA), por el cual las empresas tecnológicas que operan en Estados Unidos tienen limitada la recopilación de datos personales de niños. Esta denuncia llega después de que ByteDance pagase en febrero de 2019 más de 5 millones de dólares a través de un acuerdo en sede judicial, comprometiéndose a cumplir con la citada normativa, a borrar los datos de menores de 13 años y a restringir a mayores de esa edad el análisis comportamental mediante inteligencia artificial que hace de cada usuario, dándose la procedimiento por concluido. Cabe destacar que, recientemente, el 15 de julio de este 2020, TikTok fue multada por la Comisión de Comunicaciones de Corea del Sur, con 186 millones de won -unos 140.000€-, por la recopilación ilegal de datos de menores de 14 años sin el preceptivo consentimiento paterno. TikTok ha sido investigada también por la citada Comisión coreana, por no notificar a sus usuarios de la transferencia de sus datos a servidores ubicados en Estados Unidos y Singapur. No se tiene constancia de sanciones a TikTok en el ámbito europeo. ¿Qué mecanismos ha implementado la plataforma?¿Protegen la privacidad de los menores? A raíz de estas polémicas, TikTok ha ido mejorando sus mecanismos de control de la privacidad y la seguridad en el uso de la app. En la actualidad es posible configurar una cuenta como privada, y ha desarrollado el modo de seguridad familiar, mediante el cual los padres, madres o tutores pueden establecer un control de la actividad de la cuenta del menor. Este modo de uso cuenta con la opción de restringir el envío y recepción de mensajes directos, o desactivarlo. De igual forma, cuenta con un sistema de gestión del tiempo de uso de la app, y un modo restringido que limita la aparición de contenidos que puedan resultar inadecuados para los menores. A pesar de estas supuestas mejoras, en la actualidad TikTok sigue sin contar con un enlace dentro de la aplicación a la política de privacidad, y la política de privacidad alojada en la tienda de Google se ofrece únicamente, para los usuarios españoles, en inglés.

El Tribunal de Justicia de la Unión Europea (TJUE) invalida el escudo de privacidad Privacy Shield, el mecanismo legal para realizar transferencias internacionales de datos entre la UE y los Estados Unidos.   ¿Qué es y qué significaba para los usuarios el Privacy Shield?  El escudo de privacidad UE-EEUU o EU-US Privacy Shield se trataba de un acuerdo firmado entre los EE.UU. y la Unión Europea en materia de privacidad, que sustituía al antiguo marco de Puerto Seguro (o Safe Harbor), vigente hasta 2015.  Este acuerdo tenía por finalidad que las empresas norteamericanas que recopilaran datos de usuarios europeos garantizaran el cumplimiento de la normativa europea de protección de datos, aunque en la práctica, el Privacy Shield no garantizaba la protección de los ciudadanos europeos, especialmente porque EE.UU no cumplió con las exigencias de dicho acuerdo.  ¿Por qué el Tribunal de Justicia de la Unión Europea ha invalidado del escudo Privacy Shield?  Los motivos alegados por el TJUE para invalidar el acuerdo Privacy Shield se fundamentan, por un lado, en que los considerandos 67 al 135 del acuerdo se permitían el acceso a los datos personales transferidos en el marco del Escudo de Privacidad UE-EE.UU y la utilización de esos datos por las autoridades públicas estadounidenses a efectos de seguridad nacional y otros fines de interés general. Es más, el considerando 140 se expresaba de la siguiente forma:   “las injerencias de los poderes públicos de los Estados Unidos en los derechos fundamentales de las personas cuyos datos se transfieran desde la Unión a dicho país en el marco del Escudo de la privacidad a efectos de seguridad nacional, aplicación de la ley u otros fines de interés público, y las consiguientes restricciones impuestas a las entidades autocertificadas con respecto a su adhesión a los principios de privacidad, se limitarán a lo estrictamente necesario para alcanzar el objetivo legítimo perseguido, y que existe una tutela judicial efectiva frente a tales injerencias”  Está claro que la comunicación de datos de carácter personal a un tercero ya sea o no autoridad pública constituye una injerencia en los derechos fundamentales consagrados en el Reglamento General de Protección de datos en los artículos 7 y 8 de la Carta.  Y, por otro lado el siguiente motivo versa sobre la garantía del mecanismo del Defensor del Pueblo contemplado en el acuerdo marco del Escudo de Privacidad UE-EE.UU ya que éste no proporciona ninguna vía de recurso ante un órgano que ofrezca a las personas cuyos datos se transfieren a los Estados Unidos garantías sustancialmente equivalentes a las exigidas en el artículo 47 de la Carta, por lo que se desprende que el artículo 1 del Escudo de Privacidad UE-EE.UU es incompatible con el artículo 45, apartado 1, del RGPD, interpretado a la luz de los artículo 7, 8 y 47 de la Carta, y que es, por ello, inválido.  Conclusión sobre la invalidación del Escudo de Privacidad UE-EE.UU  En general, la opinión generalizada del Privacy Shield es que se queda corto a la hora de proteger los datos de los ciudadanos europeos, especialmente porque EE.UU. no ha cumplido completamente con las exigencias del propio acuerdo, y que este no es muy distinto al Safe Harbor que ya tumbó el Tribunal Europeo.  Esta sentencia nos ha dejado claro que para las empresas norteamericanas autocertificadas en el Privacy Shield ya no va a ser una herramienta para garantizar el cumplimiento de la normativa protección de datos europea, mucho más exigente en materias como el consentimiento expreso de los usuarios para el tratamiento de sus datos personales o la transferencia internacional de datos personales. Aunque es cierto que todavía sigue siendo un tema controvertido con un marco legal difuso, más exigente para las empresas europeas que para las estadounidenses.  La otra conclusión que emana de esta resolución es que se considera que Estados Unidos no es un país que pueda garantizar el cumplimiento de la normativa europea, cuestión que tiene muchas más consecuencias que la simple invalidez del Privacy Shield.  ¿Qué consecuencias va a tener la invalidación del Escudo de Privacidad UE-EE.UU y su declaración como país no garantista?  La principal consecuencia, resultará en que la certificación de Privacy Shield ya no es una garantía de cumplimiento de la normativa europea de protección de datos, por lo tanto, tendríamos que recurrir a cualquiera de las otras garantías que establece el artículo 46 del RGPD.  Sin embargo y como hemos mencionado, esto no se queda ahí. El TJUE ha ido más allá, y ha declarado que, ni siquiera recurriendo a las medidas garantizadoras de privacidad del artículo 46, se podría considerar que el tratamiento de datos en EEUU respeta la normativa europea. Por lo tanto, ningún tipo de transferencia a dicho país se va a considerar segura y se tendrá que estar en lo dispuesto en el artículo 49 del RGPD para establecer las excepciones para situaciones específicas. ¿Y esto en qué se traduce en la práctica? Pues que, en la mayoría de las ocasiones, tendremos que recurrir al consentimiento expreso del interesado para realizar una transferencia de sus datos a entidades de EEUU. Este consentimiento deberá de informar que el país donde se transferirán los datos es un país que no garantiza que sus datos sean tratados conforme a la normativa de la Unión Europea, tal y como estable el artículo 49.1, apartado a). Estamos hablando de empresas que realicen hosting, copias de seguridad, gestores de correo… muchas de las que utilizamos habitualmente en el mundo empresarial.  Desde Legitec, hemos visto esta situación en otras ocasiones, como sucedió ya con el Safe Harbor, y no dudamos de que en un futuro haya otro acuerdo similar entre la UE y EEUU. Sin embargo y mientras tanto, tendremos que ajustarnos a la normativa y a las declaraciones que puedan hacer desde nuestra Agencia Española de Protección de Datos. No dudes en consultarnos si tienes alguna situación como la que mencionamos en este post. 

¿Qué es la biometría? La biometría son las medidas biológicas o características físicas, que se pueden utilizar para identificar a las personas, algunos ejemplos son las huellas dactilares y reconocimiento facial, pero también la forma de los orejas1, las venas de las manos o incluso los contornos faciales pueden ser identificables.  Aunque esta tecnología parezca futurista ya forma parte de nuestro día a día. Por ejemplo, la tecnología de reconocimiento facial del iPhoneX de Apple proyecta 30.000 puntos infrarrojos sobre el rostro del usuario para realizar una autentificación por coincidencia de patrones, el nuevo Smartphone LGV30 combina reconocimiento facial y voz con el análisis de huellas dactilares…Incluso hay sistemas de reconocimiento facial para detectar personas inculpadas bajo sentencia firme y orden de alejamiento, como el que ha implantado como medida la cadena de supermercados Mercadona, pero… ¿qué base de legitimación tienen? ¿Afectan a nuestra privacidad? ¿Qué tan fiables son estas medidas?  ¿Qué base de legitimación tienen?  A este respecto, la Agencia Española de Protección de Datos emitió el pasado 28 de mayo, un informe sobre el uso de sistemas de reconocimiento facial dirigido a la seguridad privada y vigilancia en el que se declara que el tratamiento de datos biométricos es considerado por el Reglamento General de Protección de Datos (RGPD) como categoría de datos especiales. Una de las excepciones para legitimar ese tratamiento es que exista un “interés público esencial” que requiere, por tanto, una norma con rango de ley que justifique esta medida. En la actualidad dicha norma no existe y en el caso de que existiera tendría que justificar específicamente en qué medida y en qué supuestos la utilización de dichos sistemas respondería a un interés público esencial, cumplir con el principio de proporcionalidad y superar el principio de necesidad en el sentido de que no exista otra medida más moderada con la que se consiguiera el mismo propósito con igual eficacia, por ejemplo con el empleo de sistemas de videovigilancia que solo captan y graban imágenes y que son menos intrusivas que el reconocimiento fácil.  Si la legitimidad del tratamiento la establece de otra forma no lo conocemos en este momento. ¿Afectan a nuestra privacidad?  Teniendo en cuenta estas observaciones, la instalación de sistemas de reconocimiento facial propuesta por el supermercado Mercadona para detectar personas con “sentencia firme de orden de alejamiento del establecimiento dictada por un juzgado, con la idea de reforzar la seguridad de sus clientes y trabajadores” resulta demasiado intrusiva ya que la medida no está legitimada pero también se nos plantean otras dudas por ejemplo, cómo Mercadona va a adquirir todas la imágenes de los delincuentes cuando no es  un cuerpo de seguridad del Estado y qué es lo que va a pasar con el resto de personas analizadas, según los comunicados de Mercadona alegan que “no hay tratamiento porque las imágenes captadas se eliminan a las 0.3 segundos durante todo el proceso de identificación y descarte”, este fundamento no parece ser muy sólido, es por eso que la Agencia Española de Protección de Datos, el pasado 6 de Julio ha iniciado una investigación de oficio a Mercadona por implantar un sistema de reconocimiento facial en unos 40 supermercados de Mallorca, Zaragoza y Valencia.

Son tiempos de innovar para seguir creciendo, la situación vivida durante estos meses nos empuja a fortalecernos y ampliar horizontes con el gran equipo que contamos. Después de haber cumplido Legitec la mayoría de edad, era necesario transmitir la consolidación de nuestra marca, por ello tenemos el gusto de presentar la nueva imagen y web. Agradecemos a delefant el trabajo realizado, han sabido escuchar y atender todas nuestras demandas, estamos muy contentos con el resultado. La nueva imagen corporativa mantiene muchos de los valores e identidad de la anterior, como los colores. Sin embargo, hemos actualizado a una tipografía más moderna y simplificado el isotipo, quedando más acorde a los tiempos que corren. También hemos incluido nuevos servicios, opiniones de clientes, un calendario con nuestra oferta formativa, y una sección de Ciberseguridad. NUEVA WEB: https://legitec.com ¿Qué os parece el resultado?

El Tribunal Supremo confirma una sanción de 40.000 euros a Mutua Madrileña por enviar publicidad a un cliente que no quería recibirla Te comentamos la última sentencia del Tribunal Supremo, en la que se condena a Mutua Madrileña Automovilística por obstaculizar el ejercicio del derecho de oposición y confirma la multa de 40.000€. El derechos de oposición consiste en la facultad que tienen los interesados de oponerse, previa petición y sin gastos, al tratamiento de sus datos personales procediendo por parte de las organizaciones a la cancelación de éstos. Este derecho se hace particularmente significativo en el ámbito publicitario, donde muchas organizaciones envían de forma masiva correos ofertando sus productos o servicios. En este territorio se desarrolla esta sentencia, el conflicto se genera cuando un cliente de la Mutua Madrileña de Automóviles ejerce su derecho de oposición al tratamiento de sus datos personales con fines publicitarios, prospección comercial, segmentaciones, estudios de Marketing, campañas publicitarias, comunicación ni cesión de sus datos. Tras esta primera comunicación la Mutua sigue manteniendo los datos del interesado en su fichero. El 8 de Enero de 2013, Mutua Madrileña contrata con un tercero (Datono) una campaña de marketing por correo electrónico, y de acuerdo con el contrato, Datono asume plenamente el cumplimiento de todos los aspectos derivados de la protección de datos de carácter personal, cláusula que pretendía desplazar la responsabilidad de la Mutua Madrileña. A este respecto, el Alto Tribunal rechaza la eficacia de esta cláusula aludiendo a las responsabilidades de Mutua Madrileña por ser el responsable del tratamiento y, por lo tanto, “está obligada a procurar la efectividad de la oposición al tratamiento de datos manifestando por su cliente, aún en el supuesto de externalización de su actividad publicitaria”. Además, las medidas para asegurar la efectividad del derecho de oposición “subsisten aunque las campañas publicitarias no se realicen a partir de los datos de sus propios ficheros, sino con bases de datos de otras compañías contratadas por Mutua Madrileña, y en este caso quedó acreditado que la recurrente no comunicó a las empresas con las que contrató la realización de servicios de publicidad la oposición del denunciante a recibir publicidad de la Mutua, ni en definitiva adoptó previsión alguna para asegurar la exclusión de su cliente de los envíos publicitarios contratados con terceras entidades”. CONCLUSION: La entidad responsable del tratamiento de datos personales, ante la que se ha ejercitado el derecho de oposición, externalice o no su servicio, está obligada a adoptar las cautelas y medidas razonables para garantizar la efectividad del derecho de oposición; y una de dichas medidas puede consistir en la comunicación de los datos excluidos de tratamiento publicitario a la empresa con la que contrate la prestación de servicios publicitarios. Autor: Lucía Contreras

Tras la crisis sanitaria provocada por la Covid-19, se están llevando a cabo ciertas prácticas en el ámbito de la contratación laboral en las que se solicita como requisito a los candidatos de un proceso de selección, información sobre si han pasado la Covid-19 y como consecuencia desarrollado anticuerpos. En este sentido la Agencia Española de Protección de Datos (AEPD) se ha pronunciado para advertir de que estas prácticas constituyen una “vulneración de la normativa de protección de datos aplicable”  y como consecuencia las empresas pueden enfrentarse a graves sanciones. Realizar cualquier pregunta sobre una condición personal al candidato para el puesto de trabajo supone una discriminación que tanto la Constitución como el Estatuto de los Trabajadores prohíbe ya que atenta contra nuestra intimidad. Más concretamente en este caso, la información sobre si se ha padecido el coronavirus es un dato personal relativo a salud que el Reglamento General de Protección de Datos (RGPD) califica de categoría especial en su artículo 9, por lo que su recogida y utilización por la posible empresa empleadora está sujeta a la normativa de protección de datos. Entre las bases jurídicas que podrían fundamentar dicho tratamiento por la empresa empleadora estaría el consentimiento del interesado o el tratamiento necesario para la ejecución de un contrato en el que el candidato es parte. Sin embargo, ninguna de estas bases jurídicas podría ser aplicable en el presente caso. Veamos porqué. ¿SE PROPORCIONARÍA ESA INFORMACIÓN POR PARTE DEL CANDIDATO DE UNA FORMA LIBRE Y VOLUNTARIA A LA EMPRESA EMPLEADORA? Para que se entienda que el consentimiento es válido, debe ser una manifestación de voluntad libre, específica, informada e inequívoca. El RGPD ha dejado bien claro que el consentimiento no debe considerarse libremente prestado cuando no se goza de verdadera o libre elección o no se puede denegar o retirar su consentimiento sin sufrir perjuicio alguno. Asimismo, en el contexto que estamos tratando del proceso de selección del empleo, se puede producir un desequilibrio de poder dada la dependencia que resulta de la relación entre las partes y no es probable que la persona candidata pueda negar a la empresa el consentimiento para el tratamiento de datos sin experimentar temor o riesgo real de que su negativa produzca efectos perjudiciales para la selección del empleo. Es por tanto que el consentimiento bajo estas circunstancias no se entenderá libre. ¿SE PODRÍA SOLICITAR ESA INFORMACIÓN AL CANDIDATO A FIN DE QUE LA EMPRESA EMPLEADORA CUMPLA CON SUS OBLIGACIONES EN EL ÁMBITO LABORAL? En este contexto, solicitar información sobre el estado de inmunidad al Covid 19 por parte del empleador al candidato va más allá de las obligaciones y derechos específicos que impone a la empresa la legislación de Derecho laboral y de la seguridad y protección social, concretamente del deber de proteger a los trabajadores frente a los riesgos laborales previstos en la Ley 31/1995 de 8 de noviembre de prevención de riesgos laborales. Por un lado porque la persona interesada aún no es empleada y por ello, la empresa no tiene obligaciones o derechos específicos frente a ella en este sentido. Por otro lado, la información que pueda recabarse de estas preguntas sobre una posible inmunidad a la enfermedad, no contribuye en gran medida a la protección del resto de empleados y empleadas o de la propia persona ya que, los protocolos de prevención de riesgos laborales adoptados por las autoridades sanitarias y laborales se aplican a todo el personal por igual sin establecer excepciones a las personas que ya hayan pasado la enfermedad, orientándose en cualquier caso, a los casos sospechosos de tener la infección. No es por tanto este motivo justificado para que el empleador solicite esta información al candidato en este sentido. CONCLUSIÓN Por tanto, y una vez expuesto todo lo anterior, SI LA EMPRESA EMPLEADORA REALIZARA ESTAS PREGUNTAS EN UNA ENTREVISTA DE TRABAJO, ¿CÓMO DEBE REACCIONAR EL CANDIDATO? En todo caso, el candidato al puesto de trabajo puede y debe negarse a responder porque se trata de información innecesaria para el puesto de trabajo que se ofrece por parte de la empresa y durante la misma solo se podrían realizar preguntas que tengan relación con el puesto de trabajo que se recoge en la oferta. Si eres una empresa que va a realizar un proceso de selección es importante tener en cuenta todos estos aspectos y poder así evitar posible sanciones. Ahora más que nunca es muy importante contar con un buen asesoramiento y desde Legitec estamos a tu entera disposición para poder ayudarte en esta y otras cuestiones que precises acerca de protección de datos. ¡No lo dudes y contáctanos!

Ayer martes 9 de junio la Agencia Española de Protección de Datos nos volvió a recordar la importancia que tiene para las empresas el nombramiento de un Delegado de Protección de Datos. Y nos lo recordó de la forma que más ruido hace: a través de una sanción de 25.000 €. La empresa penalizada en cuestión ha sido Glovo, la famosa compañía que realiza envíos a domicilio. Para quien no la conozca, Glovo es una APP mediante la cual los usuarios pueden encargar a sus repartidores que le lleven a domicilio cualquier cosa: desde un pedido de comida en un restaurante a pedidos más personalizados. La empresa es denunciada por dos particulares porque no tiene nombrado y declarado un Delegado de Protección de Datos. Glovo, según la Agencia, tiene la obligación de tener nombrado un Delegado ya que maneja datos a gran escala. Aunque la Agencia no se pronuncia de una forma más detallada, se entiende a que se refiere con “gran escala” al gran nivel de usuarios que maneja ya que es una APP instaurada a nivel nacional y tiene un gran número de usuarios y empleados. Pese a que Glovo había creado previamente una Comisión de Protección de Datos en su organización para velar por una tutela de estos derechos en su organización, la Agencia no lo considera suficiente ya que objetivamente la encuentra encuadrada en la obligación de nombrar a un Delegado de Protección de Datos por tratar datos a gran escala. Es por eso que es muy importante que, si tienes una APP o una e-commerce, debes de al menos analizar y considerar si tu organización necesita tener un DPD. Porque, aunque actualmente no manejes una gran cifra de usuarios, sólo por estar abierta al ámbito nacional (incluso más, si es internacional) al tener potencialmente un gran número de usuarios probablemente te aplicará el criterio de “gran escala”. El Ayuntamiento de Huercal, apercibido. Fuera de este ámbito, pero no abandonando a los Delegados de Protección de Datos, hace unos días la Agencia Española de Protección de Datos abrió un procedimiento sancionador al Ayuntamiento de Huercal, en Almería. De igual forma que contra Glovo, un particular denunció al Ayuntamiento por no tener nombrado a un Delegado de Protección de Datos, además de otros asuntos como que los concejales del equipo de gobierno pueden acceder libremente a los datos del padrón y que personas que no tienen ningún tipo de relación laboral con el ayuntamiento tienen acceso a información relativa a datos sensibles (en concreto, en el departamento de servicios sociales). El Delegado de Protección de Datos es de obligado nombramiento para todos los Ayuntamientos y cada vez más se está viendo reflejado en las denuncias y resoluciones en la Agencia Española de Protección de Datos. No olvidemos que esta figura no se puede nombrar de cualquier forma, sino que tiene que ser una persona o empresa con una experiencia probada en protección de datos, y que pueda mantener una posición de independencia e integridad frente a la organización. Si un Delegado de Protección de Datos no cumpliese con estas características, es denunciable. Por lo que es igualmente importante que las organizaciones cumplan con estos requisitos al ir a elegir y nombrar al DPD. Desde Legitec hemos reseñado siempre la importancia de esta figura que cada día es más trascendente en las organizaciones que manejan datos personales y tenemos una gran experiencia en la implantación de esta figura en todo tipo de organizaciones. Puedes consultar con nosotros sin compromiso tu necesidad de nombrar un Delegado de Protección de Datos, estamos disponibles siempre para ayudarte. Descargar sentencia completa

La COVID-19 está generando situaciones excepcionales en todos los ámbitos de nuestra vida, tanto personal, como laboral. Las empresas estudian como afrontar las implicaciones en su día a día, para garantizar la seguridad del personal, la protección de los datos en el teletrabajo y al mismo tiempo, garantizar la continuidad de la actividad y la supervivencia de la compañía. En ese contexto, cabe preguntarse si las normas ISO pueden ayudarnos a afrontar esta situación. Efectivamente, muchas normas ISO incluyen herramientas que pueden ayudarnos a enfrentarnos a esta situación, como por ejemplo los Planes de continuidad de negocio de la ISO 27001, que se ha convertido en una herramienta potente para enfrentarse a los retos relacionados con la seguridad de la información y la protección de los datos en el contexto actual de teletrabajo, la ISO 45001 que garantiza el cumplimiento de la normativa de seguridad y salud, o el análisis de riesgos y oportunidades de ISO 9001.Vamos a centrarnos en esta última. Hay varios aspectos de esta norma que pueden ayudar a la empresa a gestionar la situación actual generada por el Coronavirus. Uno de los aspectos principales, procede de la propia idiosincrasia de la norma, que es un estándar de gestión por procesos que nos obliga a definir y sistematizar los procesos de nuestra organización, lo que permite que cualquiera pueda llevarlos a cabo independientemente del lugar desde el que trabaje, o bien, regresar a la actividad de una manera rápida y con el menor impacto posible. Siguiendo el orden de los puntos de la norma, es evidente que el análisis del contexto de la organización y la comprensión de las necesidades y expectativas de las partes interesadas (puntos 4.1 y 4.2. de la norma), nos pueden ayudar en la gestión de la crisis, ya que nos ofrecen herramientas para identificar a qué amenazas concretas nos enfrentamos y qué esperan las partes interesadas pertinentes de nuestra organización que hagamos al respecto. Una vez identificadas estas amenazas, y también las oportunidades, (o si no que se lo digan a los fabricantes de mascarillas o geles hidroalcohólicos), el punto 6.1 de la norma nos ayudará a planificar acciones concretas para abordar estos riesgos y oportunidades.  Además, el punto 6.3. garantiza que la empresa disponga de mecanismos para la gestión del cambio que se requieren en una contingencia como la actual, y que son imprescindibles por ejemplo, para aquellas empresas que han reconvertido su actividad habitual de producción para confeccionar mascarillas y otros productos con alta demanda en la pandemia, mecanismos que incluyen el análisis de la disponibilidad de recursos y la reasignación de responsabilidades, manteniendo la integridad del sistema de gestión en todo momento. También se ha revelado estos días como un aspecto importante, la necesidad de tener establecidos mecanismos de comunicación eficaces (punto 7.4. de la norma), lo cual es una ventaja para las empresas certificadas en ISO 9001, que disponen de procesos de comunicación tanto interna como externa que les permiten agilizar este aspecto en una coyuntura en la que es imprescindible mantener informados tanto a los propios trabajadores como a clientes, proveedores y otras partes interesadas. Otros aspectos a considerar en esta crisis dentro del punto 7, sería la gestión de la infraestructura, especialmente de tecnología asociada al teletrabajo, y la competencia del personal, que en muchos casos, deberá adquirir nuevas competencias relacionadas con la actual situación. Finalmente, los puntos 9 y 10 de la norma nos pueden proporcionar herramientas de seguimiento y análisis para evaluar el impacto de la crisis en la actividad, y herramientas de mejora como las no conformidades y acciones correctivas, nos permitirán corregir las posibles incidencias lo antes posible y evitar que vuelvan a ocurrir, disminuyendo los tiempos de adaptación a las nuevas formas de trabajar durante esta coyuntura. Es evidente que las empresas que tengan un sistema de gestión bien implantado y mantenido, tendrán una ventaja competitiva en esta crisis frente a las que “utilizan” esta herramienta sólo una vez al año cuando llega la auditoría. Si conseguimos tener un sistema eficaz, este será un valioso apoyo ante nuevas contingencias en vez de una carga.

ENAE confía en LEGITEC para impartir un seminario sobre Ciberseguridad y Privacidad de la información. En este webinar nuestro director, Manuel Moreno, hablará de la importancia de definir protocolos de seguridad de la información y establecer herramientas que faciliten el cumplimiento de las obligaciones en materia de privacidad, así como la concienciación en ciberseguridad para disminuir riesgos. PROTECCIÓN DE DATOS: Privacidad en la organización. Contexto del tratamiento de datos personales. ¿Qué aporta a la organización establecer protocolos de protección? La figura de Delegado de Protección de Datos. Funciones y obligaciones. SEGURIDAD DE LA INFORMACIÓN: Reputación, brechas de seguridad, infracciones y sanciones. Valoración de los riesgos en ciberseguridad. Soluciones simples y eficaces para una mejora sustancial de la seguridad. Más información e inscripciones aquí