Noticias y Actualidad

La importancia de la protección de datos y ciberseguridad en Asesorías y Despachos profesionales

La Agencia Española de Protección de Datos ha publicado una guía con el fin de aclarar dudas sobre cómo cumplir con el Reglamento Europeo de Protección de Datos, en los servicios y productos que utilicen la Inteligencia Artificial. Con el objeto de ayudar a cumplir con el RGPD a los responsables del tratamiento de datos, a desarrolladores y diseñadores que elaboran productos o servicios que utilizan IA, la guía aclara una serie de dudas y remarca los aspectos que en este sentido deben tenerse en cuenta cuando se diseña este tipo de productos. Qué es la Inteligencia Artificial Existen distintas definiciones de Inteligencia Artificial. Entre ellas la que expone la Comisión Europea: “sistemas que manifiestan un comportamiento inteligente, al ser capaces de analizar el entorno y realizar acciones, con cierto grado de autonomía, con el fin de alcanzar objetivos específicos”. En términos generales, se puede decir que la IA es “la capacidad de una máquina de actuar como lo hace una mente humana, considerando sus aspectos de creatividad y capacidad de realizar análisis e inferencias a partir de información compleja, e incluso incompleta”. Obligaciones RGPD Teniendo en cuenta que en determinados usos y productos de Inteligencia Artificial puede suponer que exista tratamiento de datos personales, se desprende la obligación de cumplir con el marco normativa en materia de protección de datos. Y por consiguiente, cumplir con el RGPD. Estas obligaciones deben ser tenidas en cuenta desde el diseño, desde el origen de la creación del producto y/o servicio que utiliza IA. Por ello, es importante tener en cuenta una serie de parámetros. En la guía se muestran entre otras indicaciones, las condiciones que deben cumplir estas tecnologías para garantizar y demostrar que el tratamiento efectuado se adecua al RGPD, tal y como señala la Agencia. También se exponen aspectos como la legitimación para el tratamiento, la información, el ejercicio de derechos y la toma de decisiones automatizadas. Y temas relativos a “la gestión de riesgo de un tratamiento para los derechos y libertades como parte del concepto de responsabilidad activa establecido en el RGPD, centrándose en aspectos como la exactitud, la minimización de datos, la evaluación de impacto y el análisis de la proporcionalidad del tratamiento, entre otros”. Otro punto de la guía hace referencia al caso en que el uso de estas tecnología de IA, supongan transferencias internacionales de datos. Conclusiones de la Guía IA-RGPD Como punto final de la publicación de la Agencia, se muestran una serie de conclusiones. Entre ellas, destacamos que “el cumplimiento de lo establecido en el RGPD exige cierto nivel de madurez a las soluciones IA que permita determinar de forma objetiva la adecuación de los tratamientos y la existencia de avales y medidas para gestionar sus riesgos”. Como destaca la Agencia, en esta publicación de 53 páginas, uno de los principales problemas de las soluciones de IA no es la IA en sí, sino cómo van a usar las personas la tecnología IA y los nuevos sesgos psicológicos que se derivan de su empleo.

La Agencia Española de Protección de Datos (AEDP) dedica un artículo en su blog a su herramienta Gestiona_EIPD. Esta herramienta está pensada para ayudar, a las empresas y administraciones que tratan datos de alto riesgo, a realizar las Evaluaciones de Impacto. Dichas evaluaciones están recogidas como obligación en el Reglamento Europeo de Protección de Datos (RGPD) para estos casos. ¿Qué es Gestiona_EIPD? La Herramiento Gestiona_EIPD es gratuita. Consiste en la realización de un cuestionario online. Accesible desde el enlace gestiona.aepd.es. En este cuestionario, las empresas y administraciones deben responder una serie de cuestiones. Estas preguntas son relativas al análisis de riesgos en el tratamiento de datos personales y a las evaluaciones de impacto en materia de protección de datos. Con dicha herramienta, la Agencia quiere facilitar la labor de cumplimiento de las obligaciones que el RGPD establece a los responsables del tratamiento de datos de alto riesgo. Así, como nos recuerda la Agencia, dicho Reglamento establece: “que los responsables y encargados del tratamiento de datos personales están obligados a hacer un análisis de riesgos e implantar las medidas que sean necesarias para garantizar los derechos y libertades de las personas. Además, si de este análisis se constata la existencia de un alto riesgo para la protección de datos, también exige que se realice una evaluación de impacto (EIPD)”. Resultado de utilizar Gestiona_EIPD Al realizar el cuestionario de la herramienta Gestiona_EIPD, los usuarios obtienen un documento. Donde se exponen las pautas a seguir en su análisis y gestión de riesgo. Este documento les facilitará el cumplimento de las obligaciones que se marcan en el RGPD y en la nueva Ley Orgánica de Protección de Datos y Garantías de Derechos Digitales (LOPDGDD). Qué tratamientos deben realizar una Evaluación de Impacto Para saber qué tipos de tratamientos están obligados, según la normativa en Protección de Datos, a realizar una Evaluación de Impacto. La Agencia pone a disposición de los interesados un listado con los tipos de tratamiento que requieren dicha evaluación. También hay a disposición de los usuarios un listado con los tratamientos en los que no es obligado esta evaluación. ¿En qué consiste una EIPD? La Evaluación de Impacto en materia de Protección de Datos nos permite conocer de antemano los posibles riesgos a los que están expuestos los datos personales, según el tratamiento que se haga de ello. De este modo, si conocemos los posibles riesgos podemos tomar medidas para evitar que se produzcan y podemos reaccionar más rápidamente. En Legitec podemos ayudarte para cumplir con todas las obligaciones que establece la normativa, tanto a nivel europeo como nacional. Pide presupuesto sin compromiso.

Implantar ISO 14001, una ventaja competitiva para las organizaciones

Ya está aquí la Navidad y con ella los eventos y funciones navideñas que se realizan todos los años en los colegios y centros de actividades extraescolares en los que habitualmente acuden padres, abuelos y familiares ilusionados con móviles y cámaras para inmortalizar las actuaciones de sus retoños. Asimismo, los propios centros que, en la mayoría de los casos, también recogen imágenes para la difusión en sus redes sociales. Hay muchos adultos que no desean que se tomen fotos de sus hijos y acaben en redes sociales y por supuesto, tienen todo el derecho a poder decidirlo. Este es el motivo por el que en algunos centros se ha tomado la decisión de prohibir de manera explícita la realización de imágenes siendo ellos mismos quién asumen esa función. Para el resto de centros en los que sí se permite realizar fotos y videos, veamos cuáles son los pasos que se deben seguir, tanto por parte de los centros educativos, como de los familiares de los niños que hacen las fotografías y videos. Para ello, damos respuesta a muchas de las dudas que os puedan surgir. ¿Pueden los colegios y/o centros de actividades extraescolares tomar imágenes de los alumnos durante el evento? Para ello será necesario solicitar el consentimiento. En los casos de menores de 14 años será preciso obtener la firma de ambos progenitores, mientras que en mayores de 14 años, podrán otorgarlo ellos mismos y siempre con carácter previo a la realización del evento donde se pretenda tomar imágenes. ¿Pueden los familiares de los alumnos tomar imágenes del evento? ¿y los familiares de otros alumnos, pueden hacer fotos de nuestro hijo? En este caso la respuesta va a depender de la finalidad. Es decir, en principio no hay problema en que los familiares y amigos de los alumnos o incluso padres de otros niños, que también participan en el evento abierto, puedan hacer fotos siempre que las citadas imágenes sean exclusivamente para su uso personal y doméstico. Ahora bien, en el caso en el que las imágenes captadas, se difundan fuera del ámbito privado, familia o amistades, es decir, subiendo las imágenes en internet, por ejemplo, a través de redes sociales, la responsabilidad la asumen los familiares, amigos o las personas que han comunicado las fotos y que no deberían hacerlo salvo que hubieran recogido el consentimiento de ambos padres, algo que muy rara vez se hace. En estos casos se incluye también los usos de WhatsApp y el temido grupo de los padres del colegio. Es decir, los padres de un niño pueden difundir y distribuir las imágenes de su hijo o dar autorización a los centros educativos para ello, pero no pueden difundir la imagen de los hijos de los demás. El hecho de que unos padres hayan dado el consentimiento al centro educativo para el uso de imágenes de su hijo, no implica que podemos utilizar las fotos de grupo que se envían a través de este medio, y podamos difundirlas en las redes sociales.  Es muy importante tener en cuenta que, en el momento en que subes una imagen a una red social, aunque esté restringida, pierdes el control sobre ella. Además, tratándose de la difusión de imágenes de menores de edad, no solo aplica protección de datos sino que también se protege en la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, y el art. 4 de la Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor en la que se establece que “Los menores tienen derecho al honor, a la intimidad personal y familiar y a la propia imagen» y se considera infracción «la difusión de información o la utilización de imágenes o nombre de los menores en los medios de comunicación que puedan implicar una intromisión ilegítima en su intimidad, honra o reputación, o que sea contraria a sus intereses”. Y si una vez otorgado el consentimiento por parte de los padres, quieren retirarlo, ¿cómo pueden hacerlo? El consentimiento otorgado por los padres para el uso de imágenes de sus hijos menores de 14 años no es indefinido y en cualquier momento podrá ser retirado oponiéndose al tratamiento de las citadas imágenes, de tal forma que, los centros educativos siempre deberán tener en cuenta que, a partir de ese momento, al alumno ya no se le pueden tomar imágenes o videos para su difusión. Asimismo, en cualquier momento uno de los progenitores, podrá solicitar que se borre determinada foto o video y el centro educativo deberá proceder en ese sentido. Esperamos haber podido aclarar muchas de las dudas que se plantean en estos días para los padres y si eres un Colegio o Centro educativo y aun no estás adaptado a la Normativa de Protección de Datos, ¡no lo dudes!, ponte en contacto con Legitec y te asesoraremos en todo lo que necesites sobre éste y otros aspectos relacionados con la protección de datos.

En ocasiones, los despachos de abogados se encuentran en la tesitura de definir si el tratamiento de los datos que efectúan y que les han sido comunicados por el cliente para la ejecución de un servicio, lo hacen como responsables de tratamiento o como encargados. Pues bien, vamos a intentar aclararlo, desde un punto de vista general, sin olvidar que se pueden producirse excepciones y que hay que estudiar, en todo caso, el supuesto en cuestión. En el Reglamento General de Protección de Datos se definen los conceptos de encargado y responsable de tratamiento: 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento; Artículo 4 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE En este sentido, aunque los conceptos parecen claros, lo cierto es que en la práctica existen bastantes problemas para la diferenciar las figuras, sobre todo en el sector de la abogacía y, especialmente, cuando el cliente es una persona jurídica. Vamos a analizar los diferentes supuestos en los que se puede encuadrar la relación abogado-cliente y sus consecuencias en el tratamiento de los datos: Cuando la relación es de responsable e interesado. Cuando el cliente es un particular, es decir que no se trata de una empresa o un profesional, es el abogado quien determine los fines y medios del tratamiento. Este será el caso de un divorcio, un desahucio o una reclamación a un vecino en caso de daños por agua, por ejemplo. En este caso tendremos que cumplir con los principios de la protección de datos, de informar al interesado, de la contestación de ejercicios de derechos y comunicación de incidencias, así como de las medidas de seguridad aplicables, entre otras obligaciones. Cuando el abogado o el despacho actúa como encargado de tratamiento. Este supuesto se produce siempre y cuando una empresa externalice el asesoramiento interno de la organización. Se trataría de un servicio outsourcing. Pensemos, por ejemplo, en el supuesto de la externalización del asesoramiento en materia de derecho laboral, o en el propio servicio de consultoría en protección de datos. En estos casos será la empresa que nos contrata este servicio de consultoría “interna” la que defina las medidas de seguridad a adoptar o cómo debemos de efectuar el tratamiento de los datos. La relación se enmarcará en el contrato de encargado de tratamiento, que deberá de firmarse como anexo o parte de la hoja de encargo. Cuando se produce una cesión de datos y, por lo tanto, el abogado o el despacho actúan como responsables. Distinto a lo anterior es el caso en el que una empresa encargue un asunto concreto que suponga una comunicación de datos personales de sus trabajadores, clientes, proveedores… En estos casos, el encargo se produce para una asunto concreto, judicial o extrajudicial, donde el abogado actúa en representación de su cliente mediante unos poderes al efecto. Este supuesto se da, por ejemplo, en el encargo de contestar un despido improcedente o de una reclamación de cantidad adeudada por un cliente, o bien, para negociar una deuda con carácter extrajudicial previo a iniciar un procedimiento. En estos casos se produce una comunicación de datos de terceros, desde la empresa cliente al abogado, para que este último realice su encargo profesional. Descrito así, podría resultar evidente que se trataría de un encargo de tratamiento donde la empresa determinaría los fines y medios del tratamiento, que además daría instrucciones documentadas al abogado, que debería de seguirlas fielmente. Ahora bien, el ejercicio de la abogacía, de conformidad al propio Estatuto General de la Abogacía Española, es una profesión libre e independiente que presta un servicio a la sociedad en interés público y que se ejerce en régimen de libre y leal competencia, por medio del consejo y la defensa de derechos e intereses públicos o privados, mediante la aplicación de la ciencia y la técnica jurídicas, en orden a la concordia, a la efectividad de los derechos y libertades fundamentales y a la Justicia. También al Código Deontológico (aprobado por el Pleno del Consejo General de la Abogacía Española el 6 de marzo de 2019), establece la independencia de la actividad profesional de la abogacía cuando, en su artículo 2, dice que la independencia de quienes ejercen la Abogacía es una exigencia del Estado de Derecho y del efectivo derecho de defensa del justiciable y de la ciudadanía por lo que constituye un derecho y un deber. En este sentido, para poder asesorar y defender adecuadamente los legítimos intereses del cliente, el abogado debe mantener el derecho y el deber de preservar la independencia frente a toda clase de injerencias y frente a intereses propios o ajenos. Esta libertad e independencia, incluso frente al cliente, de la que goza el letrado y que es fundamental para su actividad, no se corresponde con la obligación de seguir las instrucciones documentadas del responsable, propia de un contrato de encargo de tratamiento. Por lo tanto, descartada la figura del encargado de tratamiento en estos supuestos, podemos concluir que se trataría de una relación entre dos responsables donde los datos objeto del procedimiento se comunican con la finalidad de garantizar el derecho de defensa del interesado. En estos supuestos, el abogado deberá cumplir todas las obligaciones en cuanto a información, derechos, medidas de

La Agencia Española de Protección de Datos ha presentado el balance final de su Plan estratégico. Iniciativa que comenzó en 2015 y cuyo horizonte final es este año 2019, que está a punto de finalizar. El balance es muy positivo, con más acciones realizadas que las planteadas inicialmente. Cuando la Agencia presentó su Plan estratégico 2015-2019 uno de los factores en el que más hizo hincapié fue su carácter dinámico. Prueba de ello, es el hecho de que inicialmente se planteaban un total de 113 iniciativas en el plan. Una cifra que gracias al dinamismo, se han incrementado en un 30%, alcanzando la cifra total de 150 acciones realizadas por la AEPD. Ver el Balance Final del Plan estratégico 2015-2019 El Plan estratégico se ideó con el objetivo de ayudar a la Agencia, y por ende, a los usuarios a cumplir con los retos que planteaban las nuevas normativas en materia de protección de datos: el Reglamento europeo de Protección de Datos (RGPD) y la nueva Ley de Garantías (LGPD) española. Las acciones realizadas por la Agencia han servido de guía y ayuda a organizaciones, administraciones, negocios, empresas, particulares, usuarios… a cumplir y conocer el nuevo marco normativo en protección de datos. Acciones realizadas dentro del Plan estratégico En concreto las acciones que se han realizado dentro del Plan estratégico 2015-2019 se han englobado dentro de cinco grandes ejes. Prevención para una protección más eficaz: se han realizado 66 iniciativas. Innovación y protección de datos: factor de confianza y garantía de calidad: con 18 acciones. Agencia colaboradora, transparente y participativa: 22 iniciativas. Una Agencia cercana a los responsables y a los profesionales de la privacidad: 26. Una Agencia más ágil y eficiente: 18. Con estas iniciativas se ha perseguido cumplir cinco grandes propósitos, tal y como señala la propia Agencia. “Reforzar los derechos de los ciudadanos, promover un enfoque proactivo en el cumplimiento de la legislación por parte de los responsables y de los profesionales de privacidad, impulsar un trabajo preventivo para detectar el impacto de los nuevos desarrollos tecnológicos en la privacidad de los ciudadanos, velar por el cumplimiento de la legislación ejerciendo la potestad sancionadora cuando ha sido necesario y contribuir a conseguir autoridades de control más sólidas y eficaces para afrontar la adaptación al modelo de supervisión del RGPD”. Herramientas y Guías de la AEPD Entre las iniciativas llevadas a cabo hay que destacar una serie de herramientas y de guías que la Agencia ha puesto a disposición de los usuarios y que han ayudado en mucho a cumplir con las nuevas obligaciones. De muchas de ellas os hemos informado en el Blog de Legitec. En total se han publicado 76 guías y herramientas para promover el conocimiento de los derechos de los ciudadanos y los deberes de los responsables de los datos personales y su tratamiento. Destacamos: Facilita-RGPD, Canal Informa-RGPD y la Guía para elaborar una Evaluación de Impacto. Unidad de Evaluación y Estudios Tecnológicos En estos años también se ha puesto en marcha la Unidad de Evaluación y Estudios Tecnológicos (UEET) encargada del “análisis del impacto que los nuevos desarrollos tecnológicos pueden tener en la privacidad de los ciudadanos, promoviendo una concepción de la privacidad como activo de las organizaciones públicas y privadas, y como elemento distintivo de la competitividad en el mercado”. Además, de ser la encargada de gestionar los temas relativos a la brechas de seguridad que deben comunicar los responsables a la Agencia. Actuaciones previstas 2020. Nuevo Plan estratégico Actualmente la Agencia ya está trabajando en sus iniciativas y acciones futuras. Lo más próximo será en el primer trimestre de 2020 cuando se prevé tener lista la herramienta Facilita-Emprende, enfocada a ayudar a los emprendedores y start ups a cumplir con el RGPD. El siguiente Plan estratégico ya fue anunciado en marzo de 2019. Se trata del “Marco de Actuación de Responsabilidad Social”, que se ha elaborado con la colaboración de Pacto Mundial de Naciones Unidas y está alineado con la Agenda 2030 y los Objetivos de Desarrollo Sostenible. En este nuevo plan se incluyen 100 acciones que serán realizadas en los próximos cinco años.

La Agencia Española de Protección de Datos (AEPD) ha publicado una guía para explicar los derechos en materia de protección de datos que tienen los pacientes y usuarios del sistema sanitario. VER LA GUÍA DERECHOS DE PROTECCIÓN DE DATOS DE PACIENTES Y USUARIOS DE LA SANIDAD Los datos personales que tratan las administraciones y organizaciones del sector sanitario son muchos de ellos, datos considerados sensibles. Hacen referencia a cuestiones de su salud. Estos datos sensibles deben protegerse sobremanera con el fin de mantener la privacidad de la persona a la que se refieren. Cuando acudimos a un centro sanitario como pacientes nuestros datos personales quedan reflejados en nuestra historia clínica. Un documento que debe mantenerse bajo una estricta protección. Con esta guía, la agencia quiere exponer los derechos respecto a la protección de datos que tiene los usuarios de la sanidad. Información de la Guía para pacientes La guía consta de 15 páginas en las que se abordan una serie de cuestiones. En el inicio de la guía se exponen cuestiones generales de la regulación de protección de datos que son aplicables al tratamiento de los datos sanitarios. Además se indican los derechos que tienen pacientes y usuarios. Derechos reconocidos en el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018. Entre otros aspectos, esta normativa establece la obligación por parte de los responsables del tratamiento de facilitar información al usuario y paciente sobre su historia clínica. Estos responsables deben facilitar esta información de forma concisa, transparente, inteligible y con un lenguaje claro y sencillo. Para que las personas que no se dedican a la sanidad sepan interpretar. También encontramos información relativa a una serie de aspectos. Legitimación para el tratamiento de datos de salud Derecho de información para el tratamiento de datos de salud Principios en el tratamiento de datos Cuestiones comunes al ejercicio de los derechos Derecho de acceso a la historia clínica Derecho de rectificación de la historia clínica Derecho de supresión de datos de la historia clínica FAQS sobre la historia clínica y derechos del paciente En la guía también se deja constancia de una serie de preguntas frecuentes que se remiten a la Agencia referentes a los derechos del paciente. Se muestran las respuestas a preguntas concretas: “si se debe pedir consentimiento para tratar los datos personales, qué información se debe facilitar al paciente, si se puede informar a la empresa acerca de los datos de salud de los empleados cuando acuden a revisiones, qué información deben contener los partes de baja, etc. En particular, el documento recoge varias cuestiones relacionadas con la historia clínica de los pacientes. Entre ellas, preguntas sobre como quién puede acceder a la misma y para qué finalidad, si se puede solicitar una copia o si es posible ejercer los derechos de rectificación o supresión en relación con el contenido incluido en la historia clínica”. La publicación de esta guía se incluye dentro de las actuaciones marcadas en el Plan estratégico de la Agencia. Complementa a otras publicaciones referentes al sector sanitario. La publicación, ya realizada, de un decálogo básico que incluye los puntos más relevantes de la normativa de protección de datos orientados al personal sanitario y administrativo de los centros. En un post anterior ya os hablamos de este decálogo. Lo podéis leer en este enlace. En un futuro próximo se presentará otra de las publicaciones previstas: el Plan de inspección sectorial de oficio del sector sociosanitario.

Obligación de nombrar un delegado de protección de datos en Clínicas, Hospitales, Consultas, Centros de Salud…

La prevención del blanqueo de capitales pretende erradicar las conductas que afectan al orden socio económico, es decir, al interés de Estado en controlar el flujo de capitales procedentes de actividades delictivas. Entre estas conductas se encuentra el lavado de capitales, cuya actual problemática será objeto de análisis en esta entrada. El disfrute de las ganancias que se han obtenido de manera ilícita necesita de una conducta activa para poder introducirlas en el mercado a través del movimiento de los capitales dando a las operaciones apariencia de licitud. De esta forma, estos sujetos operan en el mercado a través de los canales económicos habituales. Una de las problemáticas a las que se enfrentan las autoridades es el entorno transnacional de las operaciones, en el cual estos sujetos deciden actuar aprovechándose de la normativa de las distintas jurisdicciones afectadas. Hablamos de países o territorios que no cuentan con sistemas adecuados de prevención del blanqueo de capitales y de financiación del terrorismo, que se encuentran sujetos a sanciones, embargos o medidas análogas aprobadas por la Unión Europea, las Naciones Unidas u otras organizaciones internacionales. También pueden manifestar niveles significativos de corrupción u otras actividades criminales, como por ejemplo que faciliten financiación u apoyo a actividades terroristas o que tengan la consideración de paraísos fiscales y que presenten un sector financiero extraterritorial significativo, las denominadas jurisdicciones “off-shore” (esto es, aquellas personas jurídicas domiciliadas en un territorio, por un no residente, para beneficiarse de un régimen de tributación más favorable que el territorio de origen). En el caso de España, el blanqueo de capitales ha estado tradicionalmente ligado al mundo inmobiliario. Recordemos que venía siendo práctica habitual declarar el valor de las transacciones por cuantía inferior al valor real de los inmuebles, generándose de esta forma dinero negro en poder del transmitente. Otro ejemplo de ello es la compra al ganador del billete de lotería premiado, que consiste en adquirir el boleto por un 10% o 30% más que su valor en premio, para así poder justificar el aumento de patrimonio en sede del adquirente. Sin embargo, la dimensión que ha tomado en la actualidad el uso de las nuevas tecnologías, la posibilidad de interactuar en internet de manera anónima y los nuevos medios de pago, como los criptoactivos, ha puesto en duda la eficacia de algunos medios de control que se venían aplicando en la lucha contra el blanqueo. Esta situación ha forzado que la lucha contra el blanqueo de capitales se enfoque desde una perspectiva internacional y que se vayan adoptando cambios en el ordenamiento jurídico de los Estados para abordar esta problemática tanto desde una perspectiva administrativa como penal. La realidad es que la lucha contra el blanqueo de capitales y la financiación del terrorismo debe llevarse a cabo de conformidad con el ordenamiento jurídico de la UE y especialmente teniendo en cuenta la legislación sobre protección de datos y la Carta de los Derechos Fundamentales de la Unión Europea.