Noticias y Actualidad

La Agencia Española de Protección de Datos (AEPD) ha publicado una nueva Guía dedicada a la Privacidad desde el Diseño. Va dirigida a responsables del tratamiento de datos, a proveedores y prestadores de servicios y a desarrolladores de productos y aplicaciones o fabricantes de dispositivos. VER LA GUÍA PRIVACIDAD DESDE EL DISEÑO El Reglamento Europeo de Protección de Datos (RGPD) establece la obligatoriedad de asegurar la privacidad de los datos personales desde el diseño de productos y servicios. Lo que supone que: la protección de datos debe tenerse en cuenta y asegurarse desde las primeras fases de desarrollo. Y no añadirse posteriormente al producto, servicio, tratamiento… Esta Guía de Privacidad desde el Diseño tiene como objetivo facilitar fórmulas, a los responsables de tratamiento y las personas encargadas de diseñar los productos y servicios. Con el fin de incorporar desde las primeras fases esta protección de datos. Principios Fundacionales de la Privacidad desde el Diseño El concepto de Privacidad desde el Diseño se basa en asegurar durante las fases de diseño y desarrollo de un producto, servicio, negocio, actividad, organización, equipo, aplicación… siete principios básicos. Proactivo, no reactivo; Preventivo, no correctivo. La privacidad como configuración predeterminada. Privacidad incorporada en la fase de diseño. Funcionalidad total: pensamiento “todos ganan”. Aseguramiento de la privacidad en todo el ciclo de vida. Visibilidad y transparencia. Enfoque centrado en el sujeto de los datos. ¿Quién está obligado a asegurar la Privacidad desde el diseño? En virtud del artículo 25 del RGPD: “la obligación de implementar la protección de datos desde el diseño es aplicable a todos los responsables del tratamiento con independencia de su tamaño, el tipo de datos tratados o la naturaleza del tratamiento”. Además el artículo 28 del citado Reglamento añade que: «la protección de datos desde el diseño se proyecta sobre otros actores participantes en el tratamiento de datos personales como son los proveedores y prestadores de servicios, desarrolladores de productos y aplicaciones o fabricantes de dispositivos«. Todos estos actores, deben procurar las medidas técnicas y organizativas apropiadas “tanto en el momento de determinar los medios de tratamiento como en el propio tratamiento”. En caso de no atender a la obligación de asegurar la Privacidad desde el Diseño se pueden enfrentar a sanciones, según expone el artículo 83 del RGPD. Contenido de la Guía Privacidad desde el Diseño Esta nueva publicación de la AEPD se organiza en nueve apartados o secciones. En los dos primeros se exponen los conceptos y principios fundamentales de la Privacidad desde el Diseño, y se indican los sujetos sobre los que recae esta obligación. Además de establecer los requisitos que deben cumplirse. El concepto de ingeniería de la privacidad, se trata en el tercer apartado. El objetivo de esta ingeniería es traducir, en términos prácticos y operativos, los principios de la privacidad desde el diseño. Para aplicarlos durante el ciclo de vida de los sistemas de información, que se encargan del tratamiento de datos personales. El apartado cuatro muestra las distintas estrategias de diseño de la privacidad. Dividiéndolas entre: las que están orientadas al tratamiento de datos (minimizar, ocultar, separar y abstraer) y las que están dirigidas a definir procesos para una gestión responsable de los datos personales (informar, controlar, cumplir y demostrar). El siguiente apartado se centra en los patrones de diseño de la privacidad. A este respecto, en el Anexo 1 de la Guía se exponen, -en forma de tabla y enlazados a su ficha-, una selección de 54 patrones de diseño de privacidad para determinados problemas. El punto sexto está dedicado a clasificar las tecnologías de privacidad mejorada o PETS (conjunto organizado y coherente de soluciones TIC que reducen los riesgos que afectan a la privacidad, implementando las estrategias y patrones definidos anteriormente). Los puntos 8 y 9 son los Anexos tanto de patrones de privacidad, como de la normativa al respecto de la Privacidad desde el Diseño. Conclusiones de la AEPD Las Conclusiones se exponen en el apartado séptimo. Es fundamental entender, en palabras de la Agencia, que: “asegurar la privacidad y establecer un marco que garantice la protección de datos no representa un obstáculo para la innovación. Sino que ofrece ventajas y oportunidades tanto para las organizaciones como para el mercado y la sociedad en su conjunto”. “Comprender cómo un tratamiento de los datos personales puede llegar a afectar a la privacidad de los individuos es la clave para diseñar y desarrollar sistemas confiables desde un punto de vista de protección de datos”. Desde Legitec podemos ayudarte a cumplir con el RGPD y evitar sanciones para tu empresas, negocio, organización. Solicita presupuesto sin compromiso.

Sanción de 150.000 euros La Agencia Española de Protección de datos ha sancionado a Eroski con 150.000 euros por incumplimiento de la LO 15/1999 de protección de datos de carácter personal (LOPD) y el RD 1720/2007 por el que se aprueba el Reglamento de desarrollo de la LO 15/1999 (RLOPD) El abril de 2018 se filtra por varios medios de comunicación un vídeo en el que se puede ver a Cristina Cifuentes tras hurtar, supuestamente, unas cremas en un supermercado Eroski. En el mismo momento de la publicación la Agencia Española de protección de datos inició de oficio el procedimiento sancionador cuyo resultado es una multa de 150.000 euros a Eroski. ¿Y por qué se le sanciona? Las infracciones que sanciona la Agencia son las siguientes: Vulneración del Art. 9 LOPD, por no establecer medidas de seguridad, de manera más concreta las siguientes: No haber elaborado un documento de seguridad en el que se recojan las medidas aplicadas a las imágenes captadas por las cámaras de videovigilancia. No tener establecidas funciones y obligaciones de cada uno de los usuarios con acceso a las imágenes. No establecer medidas adecuadas para el acceso, tanto a las oficinas en las que se custodian las imágenes, a la que todo el mundo podría acceder cómo en el acceso a los equipos que, si bien disponían de usuarios y contraseñas, éstas estaban anotadas en un papel de manera visible. Por este incumplimiento la sanción asciende a 100.000€, ya que se ha tenido en cuenta: Volumen del tratamiento de los datos: todas las personas que acceden al supermercado. Volumen de negocio medio-alto Varios elementos que se suman a la falta de medidas de seguridad; falta de documento de seguridad, asignación de claves incorrecta y falta de conocimiento de funciones y obligaciones específicas. Vulneración Art 4.1 LOPD, calidad de los datos, se vulnera por tener fotografías de personas sospechosas de hurto desde 2005. Estas imágenes deberían ser eliminadas en el plazo máximo de un mes, salvo que sea necesaria su conservación para acreditar la comisión de actos que atenten contra la integridad de personas, bienes e instalaciones. Multado con 50.000€ por la acción deliberada de recopilación de datos de fotografías con el fin de ser expuestas para su visionado habitual. ¿Y qué pasaría si se hubieran publicado los vídeos un mes después? Desde el 25 de mayo de 2018, entró en vigor el Reglamento 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD). El RGPD no dispone de medidas específicas de seguridad, pero establece que el Responsable de tratamiento (Eroski) aplicará las medidas técnicas y organizativas apropiadas para garantizar que el tratamiento es conforme con el reglamento, por lo que será necesario realizar un análisis de riesgo previo para decidir qué medidas de seguridad son las idóneas para evitar sucesos como los de la sentencia. En LEGITEC asesoramos a nuestros clientes para que implanten procedimientos para evitar o atenuar posibles sanciones de este tipo. Es fundamental estar bien asesorado en esta materia para no incurrir en incidentes irreparables.

Esta semana encendí mi televisor después de unos días sin hacerlo. Mientras hacía zapping me encontré que Antena 3 me mostraba información relacionada con las Cookies. La Sexta, del mismo grupo, hacía lo mismo. La verdad es que incluso considerándome experto en estos temas me sorprendió que algunos canales de televisión pudieran estar tratando información relacionada con mi forma de ver la televisión. Probablemente lo hacen todos. Después de pernsarlo con más detenimiento, es cierto que una SmartTV no deja de ser un ordenador con un programa para visualizar canales de televisión tradicionales y por lo tanto susceptible de incorporar Cookies. Las cookies, son ficheros que un proveedor de un sitio de Internet coloca en el ordenador de los usuarios de dicho sitio y a los que puede acceder nuevamente cuando éstos vuelven a visitar el sitio con el fin de facilitar la navegación en Internet o las transacciones o de obtener información sobre el comportamiento de dichos usuarios. Esta última opción es la que más preocupa desde el punto de vista de nuestra privacidad. En el caso que aquí comento, como se ve en la imagen, la finalidad es la medición de audiencias, personalización de contenidos y publicidad según mi perfil así como la posibilidad de asociar otros dispositivos desde los que vea los mismos canales. Está muy bien que sean transparentes y nos anuncien lo que quieren hacer. Ahora bien, ¿me las ha instalado ya aunque no lo haya consentido? No he investigado con más profundidad para comprobarlo, pero no me extrañaría, es lo habitual -aunque no legal-, en la mayoría de sitios web. De hecho, la forma en la que presenta la información es bastante buena y, en un principio, con un nivel de información adecuado, sin embargo hay algo en lo que fallan. Todas las casillas para prestar el consentimiento están premarcadas. Evidentemente es lo más cómodo para aceptarlo todo sin leer mucho, pero esto va diametralmente en contra de lo que se ha establecido en la Unión Europea que nos dice que la colocación de cookies requiere el consentimiento activo de los usuarios ( Según el Reglamento General de Protección de Datos y las directivas sobre la privacidad y las comunicaciones electrónicas ). El Tribunal de Justicia de la Unión Europea ha dictado una sentencia de 1 de octubre del 2019 en un caso que podemos entender como similar -aunque en un escenario distinto- especificando que ese tipo de consentimiento no es válido. En concreto sentencia «[…] consentimiento al que se hace referencia en estas disposiciones no se presta de manera válida cuando el almacenamiento de información o el acceso a la información ya almacenada en el equipo terminal del usuario de un sitio de Internet a través de cookies se autoriza mediante una casilla marcada por defecto de la que el usuario debe retirar la marca en caso de que no desee prestar su consentimiento« Si no queréis leer la sentencia puede que os baste con echar un vistazo al comunicado de prensa. El caso es que, atendiendo al criterio establecido en este caso, la forma en la que recaba Antena 3 los consentimientos para la poner cookies en nuestros dispositivos no es adecuado. ¿Y cómo lo hacemos bien pero que no afecte comercialmente a mi empresa?…. no es fácil de responder me temo, pero en LEGITEC podemos ayudarte.

¿Estás preparado? En cualquiera de nuestras organizaciones podemos sufrir distintos tipos de ataque por los que podemos perder toda nuestra información. Últimamente nuestros clientes siguen informándonos de problemas de phishing y especialmente de Ransomware, mediante los cuales les cifran toda la información y les piden dinero como rescate. La mayoría inocentemente piensa… «eso me lo lleva mi informático», y damos confianza ciega, sin tener en cuenta que un problema no controlado puede tumbar nuestra empresa. No lo dejes para mañana, por favor revisa los siguientes puntos hoy. ¿Qué revisar? Copias de seguridad Debo asegurarme que tengo copias de seguridad de toda la información importante de la organización. Mejor si también disponemos de los sistemas operativos y programas. Las copias deben ser actuales. Deberíamos poder restaurar la información con la mínima pérdida. Es decir, hacer copias a diario a ser posible. Tienes varios juegos de copias. Lo ideal es que algún juego de copias sea cercano, de fácil acceso, por ejemplo en el propio sistema, en un disco externo, en otro ordenador o servidor de la organización, etc. Eso me permitiría una restauración rápida en caso de un problema menor. Mejor si tenemos varios conjuntos de copias en distintos soportes. Que algún juego de copias no esté en el mismo sistema de información. Es decir, que tengamos algún juego de copias fuera, bien sea porque me llevo un disco duro externo de forma periódida, o porque hago copias online, o una combinación de varias. La información que esté fuera debería mantenerse cifrada y conocer bien cómo descifrarla. Que los usuarios del sistema de nuestro personal, incluso los usuarios privilegiados, no tienen permisos para modificar o borrar archivos en los lugares donde se hacen las copias. Así si somos infectados solo podrá acceder a un mínimo de datos y no podrá cifrar también las copias. No se debería trabajar con usuarios con permisos de administrador o sobre las copias, salvo excepciones muy puntuales. Debo hacer pruebas de restauración periódicamente, al menos una vez cada semestre o cada año y estar involucrado en la prueba, no dejarlo en la mano del proveedor exclusivamente. Revisar los contratos que tengo para que cumplan con un encargo de tratamiento de protección de datos de acuerdo al RGPD. Asegurarnos que nuestro proveedor es adecuado y da garantías de cumplimiento de protección de datos. Revisar el acuerdo de nivel de servicio en relación a qué se compromete el proveedor respecto a periodicidad, medidas de seguridad, capacidad de restauración, etc. y la posibilidad de indemnización si incumple su parte. Documenta todo el proceso, tanto de cómo se realizan las copias como del proceso a seguir para la restauración. No incluir las contraseñas. Actualización de sistemas Aquí solo incluiremos algunas cuestiones a valorar, pero son importantes. Revísalas también. Debo asegurarme que mantengo mis sistemas actualizados. Actualizar el sistema operativo a la última versión de forma habitual y constante. Hacer lo mismo con los principales programas que utilicemos Ten un antivirus y mantenlo actualizado. Actualiza tu cortafuegos. Debes disponer de un sistema de control perimetral para evitar dejar la puerta abierta a Internet. Podría ser recomendable establecer un sistema de alertas que me comunique deficiencias de seguridad, o de falta de actualización. ¿Tienes windows 10? si es así y está actualizado, dispones de un Servicio de Protección Antiransomware. Búscalo en el sistema y activalo. Aquí tienes como hacerlo. Concienciación de nuestro personal Es habitual que se diga que en la cadena de procesos de seguridad de la información las personas se consideran el eslabón más débil. Si queremos evitar que nuestros sistemas de información se vean comprometidos, concienciar en seguridad es esencial. Conformidad legal La normativa de protección de datos exige que tratemos los datos con las medidas de seguridad adecuadas. Esto incluye trabajar con proveedores que demuestren capacidad suficiente y cumplimiento con la normativa, además de disponer de estos contratos. Debemos tener la capacidad de demostrar que las medidas de seguridad que implantamos son las necesarias atendiendo al riesgo de mi información. Esto puede ser especialmente relevante si tenemos una incidencia que afecte a los datos y tengamos que comunciar la brecha de seguridad a la Agencia Española de Protección de Datos tal y como establece el Reglamento General de Protección de Datos. En ocasiones estaremos obligados a disponer de la figura del Delegado de Protección de Datos (DPO) . Esto se puede hacer especialmente relevante ya el DPO mitiga algunos riesgos tanto al participar en la definición de los sistemas de información como en el seguimiento del cumplimiento de los controles y en la gestión de brechas de seguridad. ¿Quieres que te ayudemos a prevenir? En Legitec tenemos 2 servicios que pueden interesarte especialmente: Un servicio diseñado específicamente para la concienciación en ciberseguridad. Limitarás la posibilidad de que el personal actúe de forma inadecuada. Un dispositivo que conjuga las copias de seguridad y seguridad perimetral. Se trata de un dispositivo orientado específicamente para pequeñas organizaciones. Es de fácil implantación y puesta en marcha. Incluye: Un cortafuegos/Firewall de control accesos a nuestra red Establece una red privada virtual (túnel seguro) para conexiones desde el exterior Incluye un antivirus. Permite la realización de copias de seguridad externas mediante este túnel seguro y en servidores bajo nuestro control y con las máximas garantías de seguridad. Además permite monitorizar servicios que queremos asegurar que se mantienen activos (nuestra web, cámaras IP, Servidor, etc.) Si quieres más información contacta con nosotros. Y si llego tarde ¿cómo actuar? ¿Has sufrido un ataque y has pedido la información? Te damos una guía a seguir: Aísla el ordenador. Desconecta el ordenador de internet. Quita el cable si no lo tienes claro. Apágalo. Quita el cable de corriente si no lo tienes claro. Apaga el resto de sistemas si es factible y se han podido ver comprometiros. La idea es frenar la propagación del virus y su capacidad de cifrado. Posteriormente los especialistas deberán clonar el disco, tratar de limpiarlo y recuperar la información. No pagues el rescate. No tienes ninguna garantía de recuperar la información. Conocemos

“Tengo un sistema de gestión de la calidad ISO 9001 implantado, pero no percibo la mejora en mi empresa, ¿a qué puede deberse?” Cuando una empresa decide implantar un sistema de gestión de la calidad basado en la norma ISO 9001 puede tener diferentes motivaciones, pero una de las más frecuentes es conseguir la mejora de sus procesos, minimizando errores, y consiguiendo todos esos beneficios que los consultores les explicamos al inicio del proyecto de implantación. Pero hay algunas empresas que tienen un sistema de gestión implantado y no llegan a percibir esta mejora, y en el peor de los casos, perciben el sistema como una carga que les hace ir peor que antes de implantarlo. ¿A qué puede deberse? A continuación, explicamos algunos de los errores más frecuentes que se cometen en la implantación y gestión de un sistema de calidad que pueden comprometer el éxito del proyecto. No implantar un sistema a medida de la empresa: No hay dos empresas iguales, ni siquiera en el mismo sector y es un error frecuente implantar procedimientos estándar o incluso copiar procedimientos que han funcionado en otras empresas sin tener en cuenta las peculiaridades de cada organización. La norma debe ser adaptada a cada empresa, no al revés. La falta de compromiso de la alta dirección en la buena marcha del sistema: Si la alta dirección de la empresa no está comprometida con la buena marcha del sistema, este no tendrá éxito, ya que, al fin y al cabo, es la responsable de proporcionar los recursos necesarios y de conseguir que la filosofía de la norma llegue a formar parte de la estrategia empresarial. No formar a los trabajadores en el sistema: Aunque hayamos logrado un sistema adecuado sobre el papel, si los trabajadores no están implicados en el sistema de gestión y no saben qué se espera de ellos, el sistema no funcionará. Dejar la implantación o el funcionamiento del sistema en manos de una sola persona: Dejar el peso de todo el sistema sobre una sola persona, por muy cualificada que esté, nunca conseguirá que el sistema aporte valor a la empresa, ya que se necesita la implicación de todo el personal y de la alta dirección para que funcione. Es igual de erróneo pensar que el consultor puede implantar sólo el sistema en una empresa sin colaboración del personal y la dirección. No adaptar el sistema a los cambios de la organización: Las empresas cambian a lo largo de los años (cambia su contexto, sus objetivos y metas, las expectativas de sus clientes y otras partes interesadas…), y no adaptar el sistema de gestión al mismo ritmo es un error. Un buen sistema de gestión debe cambiar y adaptarse al mismo ritmo que la empresa para conseguir que siga funcionando y aportando mejoras en vez de convertirse en un lastre. Aunque no son los únicos, estos son algunos de los errores más frecuentes en la implantación y mantenimiento de un sistema de gestión de la calidad. Si usted tiene un sistema de gestión implantado en su empresa y no percibe la mejora o quiere implantar un sistema que esté bien adaptado a su organización, no dude en contactar con LEGITEC, estaremos encantados en ayudarle a conseguir que su sistema de gestión ISO 9001 aporte valor a su organización.

¿Por qué un nuevo estándar? A día de hoy prácticamente cualquier organización trata datos personales y estos tratamientos van en aumento, tanto en cantidad como el tipos de datos tratados. Adicionalmente es cada vez más común que parte del tratamiento se subcontrate o se realice mediante acciones de co-responsabilidad. La protección de la intimidad en este contexto es una necesidad de la sociedad, como así se está reflejando en los cambios legislativos y reglamentarios en todo el mundo. En este sentido ISO (International Standard Organization), organización que promueve la publicación de estándares internacionales, publicó el pasado Agosto una nueva norma de la serie ISO27K, la ISO/IEC 27701. La norma especifica los requisitos y proporciona orientación para establecer, implementar, mantener y mejorar continuamente un Sistema de Gestión de Información de Privacidad (PIMS- Privacy Information Management System) integrable con cualquier Sistema de Gestión de Seguridad de la Información (SGSI o ISMS en inglés) establecido bajo la norma ISO27001. ¿En qué casos sería recomendable? Este documento puede ser utilizado por cualquier organización independientemente del tamaño y actividad de la misma, ya sea en relación a los datos que trata como responsable o aquellos que trata por cuenta de otro, por una subcontratación. El cumplimiento de este estándar permite generar evidencias adecuadas para garantizar una correcta gestión de los datos personales. Estas garantías facilitan acuerdos con otras organizaciones en los que el tratamiento de datos personales es mutuamente relevante y también puede ayudar en las relaciones con otras partes interesadas. El uso de este documento junto con la norma ISO/IEC 27001 puede, si se desea, proporcionar una verificación independiente de estas pruebas al considerarse una norma certificable. Este documento fue desarrollado inicialmente como ISO/IEC 27552. El 1 en el que acaba la nueva nomenclatura lleva a que la misma se considere certificable al incluir requisitos y no solo orientación. Relación con la regulación europea en protección de datos. La norma ISO27701, desde su introducción, vincula la misma al cumplimiento del regulación europea en protección de datos ya que mapea controles de la norma con los establecidos por el RGPD. Contenido de la norma. Podemos decir que la norma amplía los requisitos que establece la ISO27001 especialmente respecto a los controles relacionados con el tratamiento de datos de carácter personal. Esto tiene implicaciones en la descripción del contexto de la organización y también en la forma en la que se realizan los análisis de riesgos, que se deberán vincular con los análisis de riesgos y evaluaciones de impacto que establece en RGPD en aquellas organizaciones a las que le aplique dicha normativa. Los objetivos de control y controles, establecidos en los diversos dominios del anexo A de la ISO27001 son repasados y detallados en cada dominio, ampliando los requisitos que establece. Además de los controles requeridos establece otros opcionales cuya exclusión deberán ser justificada cuando no aplique. La norma establece un apartado específico con recomendaciones y requisitos en relación a los tratamiento de información realizados por terceros y su posible subcontratación. Distintivo para garantizar la privacidad. La ISO 27701 puede suponer el documento ideal en el que basarse para demostrar con las máximas garantías que velamos por la privacidad de los datos personales que tratamos en nuestras organizaciones, aportando un valor diferencial importante en este sentido. El RGPD obliga a toda organización a asegurarse que aquellos proveedores que vayan a participar en los tratamientos de los datos de los que son responsables, son adecuados. Teniendo en cuenta esta consideración, tener implantado un PIMS, y certificarlo, podrá implicar una ventaja competitiva importante para muchas empresas, a los que pondrá en una posición preferente entre los seleccionables. Si estás interesado en esta norma, en las posibilidades de su implantación e integración en tus sistemas no dudes en contactar con LEGITEC.

¿POR QUÉ TIENEN QUE TENER  DPO LOS CENTROS DE ENSEÑANZA? Según el artículo 34 de la LOPD-GDD, de manera expresa hace referencia a «los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas»: Por lo que centros privados y públicos de Educación Infantil, primaria, secundaria, formación profesional, universidades,…tendrán la obligación de nombrar un Delegado de Protección de Datos ¿POR QUÉ ES DIFÍCIL ASUMIR LA FIGURA DEL DPO CON PERSONAL DEL CENTRO? Según establece la legislación, esta figura tiene que ser asumida por alguien con conocimientos jurídicos y con especialización en protección de datos. Además la persona asignada debe desempeñar sus funciones con independencia. Estas premisas dificultan el nombramiento con personal propio del centro: INFRACCIONES Y SANCIONES No disponer de un DPO en un centro de enseñanza se considera una infracción grave y puede acarrear cuantiosas multas FUNCIONES DEL DPO a) Establecer, mantener y supervisar el cumplimiento en materia de protección de datos y privacidad del centro de enseñanza b) Valorar el impacto sobre el marco de privacidad y la protección de los datos personales de nuevos proyectos o de normas que afecten al Centro de Enseñanza c) Centralizar la atención de los ejercicios de los derechos y reclamaciones de los interesados d) Centralizar las relaciones de forma interna con todos los departamentos afectados por el cumplimiento e) Coordinar las relaciones con la Agencia Española de Protección de Datos f) Supervisar la gestión de incidencias g) Coordinar los planes de auditoría, ya sea de carácter interno o externo h) Impulsar la adopción de medidas correctoras y de mejora para asegurar el cumplimiento de la normativa de protección de datos i) Promover e impulsar la formación, educación y concienciación en protección de datos. SERVICIO DE DPO EXTERNO LEGITEC pone a disposición de los centros de enseñanza profesionales cualificados, con una dilatada experiencia, que pueden asumir las funciones de esta figura mediante un contrato de outsourcing. Consúltenos sin compromiso, y analizaremos vuestras necesidades para plantear una propuesta de servicio de DPO externo concretando dedicación y funciones a desempeñar.

Como bien sabemos, con las nuevas tecnologías aparecen para las empresas oportunidades que permiten a estas la obtención de múltiples beneficios como consecuencia del tratamiento de los datos personales. En este aspecto, una de las herramientas que dan acceso a dichos beneficios es el análisis de cantidades masivas de datos personales provenientes de distintas fuentes (Big Data), así como el acceso y posterior uso de dicha información para otorgarle una utilidad que posteriormente le proporcione valor para la Entidad. El análisis de estos comportamientos de los usuarios permite la elaboración de perfiles de los mismos con el fin, entre otros, de proceder posteriormente al envío de comunicaciones comerciales adecuados a los gustos o preferencias de estos. Respecto a lo anterior, tanto el Reglamento Europeo de Protección de Datos (RGPD) como la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales, exigen una protección bastante férrea en cuanto a la creación de perfiles, ya que la creación de perfiles tiene un fuerte impacto en cuanto a la privacidad de los usuarios. En el RGPD se define la creación de perfiles como: “toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física”. De este modo, para que le aplique el RGPD, podemos concluir que la creación de un perfil tiene que reunir dos requisitos que entendemos básicos: Que el tratamiento de datos personales se haga de forma automatizada, debiendo aclarar al respecto que la participación humana en la creación de dichos perfiles no hace que pierda validez  la creación de dicho perfilado. Que se realice una evaluación o análisis de datos personales a fin de descubrir distintos patrones de comportamiento de los afectados. Una vez detallado lo anterior, podemos concluir que la creación de un perfil es un tratamiento en sí mismo, tratamiento que debe cumplir con los siguientes requisitos que impone la normativa actual y que detallamos a continuación: a) Existencia de una base jurídica que legitime el tratamiento. Debe existir una base jurídica que legitime el tratamiento y para ello, el Reglamento Europeo de Protección de Datos en su art. 6 enumera dichas bases jurídicas. En cuanto a la creación de perfiles, podrían ser de aplicación como bases de legitimación, tanto el consentimiento expreso por parte del cliente, así como el interés legítimo que pueda tener la Entidad que va a proceder a realizar el perfil del cliente. b) Informar sobre la acción de perfilar La Entidad que va a realizar la acción de perfilado debe informar sobre esta acción y dicho deber de informar, en sus extremos más básicos (o lo que se conoce como primera capa), tal y como reza el art. 11 de la LOPDGDD, debería contener la identidad del Responsable del tratamiento, la finalidad del tratamiento, la posibilidad de ejercer los derechos establecidos en el art. 15 a 22 del Reglamento Europeo de Protección de Datos, así como el derecho a oponerse a la adopción de decisiones individuales automatizadas. En una información más detallada (o conocida como segunda capa), las compañías tendrían que detallar que consecuencias tendría el perfilado. c) Otorgar al usuario el derecho de oponerse al perfilado. El Reglamento Europeo de Protección de Datos en su art. 21.2, nos viene a decir que en el caso de que una Entidad utilice como base de legitimación el interés legítimo para efectuar el perfil de un cliente, en el mismo momento de la recogida de los datos de este, se debe ofrecer al mismo la posibilidad de oponerse a que sus datos sean utilizados para elaborar perfiles. d) Garantizar que los perfiles sean exactos y garantizar su conservación durante un periodo de tiempo concreto. Cuando la elaboración de perfiles es utilizada por las Empresas con el fin de proceder al envío de comunicaciones comerciales por medios electrónicos en función del perfil del usuario creado, estas, además de cumplir con la normativa de protección de datos (Tanto el RGPD como la LOPDGDD), deben cumplir con la Ley de Servicios de Sociedad de la Información y más concretamente, con lo dispuesto en su art. 21. Dicha normativa, exige de un modo claro la obligación de recabar el consentimiento de los usuarios para poder proceder al envío de comunicaciones comerciales, pero en el caso de que exista una relación contractual previa entre las partes y exista interés legítimo en el envío de comunicaciones por parte de la Entidad, sería necesario el cumplimiento de los siguientes requisitos que a continuación: El destinatario de la comunicación comercial debe ser cliente de la empresa. En el caso de que ya no existiera relación comercial la base que legitima dicho envío dejaría de ser el interés legítimo de la empresa para el envío de las comunicaciones y pasaría a ser el consentimiento expreso que debería de otorgarse para legitimar el envío. La comunicación comercial estará relacionada con aquellos productos que sean ofertados por la Entidad con la que exista una relación comercial, no siendo válido que al cliente le sean remitidos correos comerciales de aquellos productos o servicios de terceros con los que la Entidad pueda llegar a tener relación (Ej: Empresas de un mismo grupo Empresarial). La comunicación comercial debe estar relacionada con aquellos productos o servicios similares a los adquiridos o contratados por el cliente, entendiendo en este aspecto como productos o servicios similares aquellos respecto a los el cliente tenga expectativas razonables de recibir por parte de la Entidad.  En conclusión, tal y como hemos analizado en el presente artículo, observamos como las herramientas que hoy ofrecen las nuevas tecnologías pueden permitir a las compañías, entre otras posibilidades, la de conocer el perfil de comportamiento de los usuarios con el fin de enviar comunicaciones lo más ajustadas a sus gustos, pero es importante que estas compañías conozcan el riesgo que existe de no cumplir con la normativa vigente en

En el post de hoy nos fijamos en las comunidades de propietarios y sus obligaciones en materia de protección de datos.

FaceApp es la aplicación de moda entre los famosos (y los no tanto). Esta aplicación gratuita permite editar fotos empleando inteligencia artificial. El programa nos permite que, mediante el uso de filtros, podamos parecer más viejos, más jóvenes, de otro sexo, o incluso sonreír o tener más barba, con un realismo sorprendente. Hasta aquí, todo perfecto. El problema surge cuando indagamos en la política de privacidad, la cual es lo suficientemente parca y ambigua para que nos planteemos si aceptar o no esas condiciones. El primer inconveniente que plantea es que el responsable de los datos, es decir, quien los almacena y trata, se encuentra en Rusia, fuera de la Unión Europea, lo cual dificulta la aplicación de la normativa comunitaria que resulta más exigente que en el resto de países. Ahora bien, esto no debería de resultar un problema, pues el propio RGPD se aplica al tratamiento de datos personales de usuarios residentes en la Unión Europea, aunque el responsable o encargado no esté establecido en la Unión… Pero esto no se cumple en la mayoría de los casos. A esta cuestión hay que añadirle los términos de uso abusivos que se aceptan y que conducen al usuario a una absoluta inseguridad y desprotección. En este sentido, con el uso de la aplicación le otorgamos a FaceApp “una licencia perpetua, irrevocable, no exclusiva, sin royalties, en todo el mundo, totalmente pagada y con licencia transferible para usar, reproducir, modificar, adaptar, publicar, traducir, crear trabajos derivados, distribuir, realizar públicamente y mostrar el contenido del usuario y cualquier nombre, nombre de usuario o imagen proporcionados, sin compensación alguna”. Además, en dichos términos y condiciones, se incluye que, al acceder o utilizar la aplicación, el usuario acepta “el procesamiento, la transferencia y el almacenamiento de su información en los Estados Unidos y en otros países, donde es posible que no tengan los mismos derechos y protecciones que tiene la ley local”, sin especificar en ningún momento a que entidades se les comunican dichos datos y para qué fines. En consecuencia, los derechos de protección de datos se ven limitados, impidiendo el derecho de acceso a la información que puedan disponer del usuario, así como, a qué terceros países o entidades se han comunicado los datos, o el derecho al olvido y la supresión de la información, incluida la imagen, que dispongan. Un último problema que plantea es que FaceApp no solo puede alterar la imagen del usuario sino también la de cualquier persona que él suba a la nube, lo cual puede afectar al derecho al honor, la imagen y la intimidad de esa persona. Nada nuevo en el paraíso… FaceApp solamente se trata de la última herramienta de moda dentro del grupo de las conocidas como Deepfakes Apps, termino anglosajón para aplicaciones que permiten generar vídeos o imágenes falsas creadas mediante inteligencia artificial, con resultados hiperrealistas, a partir de vídeos e imágenes ya existentes. Llegados a este punto, si nos dijeran que un producto no cumple con la normativa de aplicación o unos estándares de calidad adecuados, ¿seguiríamos comprando el producto? Seguramente no. Entonces, ¿por qué seguimos utilizando herramientas que no cumplen con la normativa de protección de datos y nos da igual lo que hagan con nuestra información? Seguramente porque no somos conscientes de los fines y las consecuencias… ¿Y por qué permiten su comercialización si no cumple la normativa? Seguramente haya a quiénes les interese que cedamos toda esta información “gratis”. Las implicaciones legales del uso de dichas aplicaciones para el honor, la imagen y la intimidad de las personas, han conllevado su veto en determinadas plataformas o países. Si estas pensando en desarrollar tu propia aplicación (o eres creador de FaceApp, ?), en Legitec tenemos experiencia en el asesoramiento jurídico necesario para su puesta en marcha y evitar así problemas futuros.