Noticias y Actualidad

Los ciclos de vida de la información en una organización implican fases de recabar datos, procesarlos, almacenarlos, transmitirlos, eliminarlos, etc. En todas estas fases hay un punto común que hace que cualquier medida de seguridad pueda fallar: Los usuarios. En la mayoría de las organizaciones son los empleados los encargados de realizar todas estas labores. Son el engranaje principal para el buen funcionamiento, pero ¿conocen los riesgos en materia de seguridad? ¿Saben cómo actuar? ¿Puede demostrar que lo saben? Sufrir incidentes en seguridad la información puede implicar sanciones por incumplimiento normativo como protección de datos, sanciones de nuestros clientes, pérdidas económicas y/o reputacionales. Es habitual que se diga que en la cadena de procesos de seguridad de la información las personas se consideran el eslabón más débil. Wikipedia nos dice que: La seguridad de la información es el conjunto de medidas preventivas y reactivas de​ las organizaciones y sistemas tecnológicos que permiten resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de datos. A lo largo del tiempo el concepto de seguridad en relación a la informática ha ido mutando. En los inicios de la informática la seguridad era un proceso puramente ingenieril y asociado a los propios productos, a la electrónica. Con desarrollo de la informática se llegó a la seguridad de la información como un concepto más amplio, asociado a la propia información como activo y no tanto al hardware. Actualmente, que la informática se ha convertido en algo ubicuo, nos la encontramos en cualquier sitio y la utilizamos de forma constante, la seguridad de la información debe ser considerada como un proceso de mejora continua, de revisión ininterrumpida, que implica la necesidad de ser consciente de los riesgos a los que estamos expuestos si no quieres convertirte en una nueva víctima de las amenazas de nuestro entorno. Entre las amenazas más habituales y que cualquiera podemos conocer se encuentran: Virus informáticos Gusanos, Troyanos, Malware, Adware Ransomware Rootkit Keyloggers Ataques Man In The Middle Ataques de Denegación de Servicio Siendo generoso podría decir que la mayoría de nosotros de una u otra forma nos preparamos y tenemos antivirus, actualizamos nuestros sistemas, compartimentamos el acceso a la información, hacemos copias de seguridad, … Todas estas protecciones son imprescindibles, no hay duda. Sin embargo, en nuestro día a día nos seguimos encontrando con situaciones más asociadas a la ingeniería social, al timo, a la estafa, al engaño. Nuestros clientes nos informan constantemente de distintas formas de extorsión. He accedido a tu base de datos sensibles y si no quieres que los haga públicos págame x Bitcoins. He accedido a la cámara de tu ordenador y te he grabado en situaciones delicadas. Tengo la lista de todos tus contactos. Si no quieres que haga públicos los vídeos que he grabado paga Y. … Las estafas de phishing suplantando a nuestra entidad bancaria están a la orden del día, pero también hay otras: Recibo un correo en el que han suplantado la identidad del remitente solicitando un cambio de número de cuenta para realizar un pago. El gerente de la empresa envía un email a administración solicitando una transferencia urgente. Recibo una factura de un cliente en el que el número de cuenta aprobado inicialmente ha cambiado pero el correo de origen es el mismo de siempre y la persona de contacto también. Veo un pendrive – que no sé que está infectado- en la puerta de la oficina y algún incauto acabará probándolo en su equipo. La protección en estos casos puede tener algún componente tecnológico, pero la concienciación en la existencia de las amenazas es esencial. La protección contra los ataques por ingeniería social podría tener estos pasos: En todo caso la concienciación en seguridad de la información es un imprescindible en cualquier organización que se preocupe por estas cuestiones y todas deberían preocuparse en mayor o menor medida por estas cuestiones. La formación a nuestros empleados por medio de la concienciación en materia de Ciberseguridad, de sus riesgos e implicaciones, supone una garantía adicional en la capacidad de demostrar la responsabilidad activa de una organización en la custodia y tratamiento de la información, a la vez que mitiga en buena parte la probabilidad de que los riesgos de seguridad se materialicen. Los costes de estas actuaciones no son altos y los beneficios pueden ser enormes. No esperes a sufrir el problema y actúa de forma preventiva. En este sentido Legitec ha puesto en marcha un servicio de ciberseguridad que puede ayudaros en estos aspectos. Si quieres más información no dudes en contactar con nosotros.

La Agencia Española de Protección de Datos (AEPD) ha publicado un documento en el que se explica cómo realizar las Evaluaciones de Impacto en materia de Protección de Datos (EIPD) en las Administraciones Públicas. El objetivo es facilitar el cumplimiento de esta obligación del Reglamento Europeo RGPD. En el informe, accesible en este enlace, se resumen todos los factores que deben tratarse en las Administraciones Públicas para que la Evaluación sea correcta. Este informe se complementa con la Guía que ya publicó la Agencia anteriormente. El documento es fruto de la colaboración entre el Ministerio de Trabajo, Migraciones y Seguridad Social y el Centro de Seguridad de la Información de la Gerencia de Informática de la Seguridad Social, y la propia Agencia. El Reglamento Europeo General de Protección de Datos (RGPD) establece entre las obligaciones de las Administraciones Públicas y de los responsables del tratamiento de los datos, “la necesidad de evaluar el impacto de las actividades de tratamiento en la protección de datos cuando resulte probable que dicho tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas”, recuerda la Agencia. En caso de que el riesgo sea bajo, no existe obligación de realizar esta evaluación, pero puede llevarse a cabo con el fin de estudiar en profundidad un tratamiento; mejorar la gestión global de los procesos de una organización; generar conocimiento y cultura de protección de datos, o hacer un ejercicio de responsabilidad proactiva. Evaluaciones de Impacto, factores a tener en cuenta La evaluación debe tener en cuenta determinados aspectos como: un resumen ejecutivo, un índice, una descripción del tratamiento, la base jurídica que lo justifica, metodología de la EIPD, análisis del tratamiento, análisis de la obligación de realizar una EIPD (evaluación del riesgo), análisis de la necesidad del tratamiento, medidas para la reducción del riesgo, análisis del balance entre riesgo y beneficio, un plan de acción. Finalmente la evaluación debe contener un apartado de conclusiones y recomendaciones. En él se explicará el resultado final del análisis de riesgos, las directrices generales para la implementación del tratamiento y se determinará si el riesgo es lo suficientemente bajo y si procede la Consulta Previa a la AEPD de acuerdo con el artículo 36 del RGPD. También se podrá incluir un Anexo con los contratos, declaraciones, descripciones, informes, referencias normativas, estándares, guías o documentos que en general sean relevantes para la elaboración de los resultados de este informe. Al igual que los documentos que se citen en el texto. En Legitec podemos ayudaros y asesoraros en todo lo necesario para cumplir con el RGPD. Y realizar las evaluaciones de impacto cuando sea necesario o se quieran hacer para mejorar la protección de datos de vuestro negocio o administración. Contamos con personal experto y profesional, con amplios conocimientos. Ver la Guía práctica para las Evaluaciones de Impacto en la Protección de los Datos sujetas al RGPD.

Cada vez más empresas deciden  implantar una ISO, pero realmente todavía vivimos en una sociedad en la que hay mucha desinformación y desconocimiento de lo que es un sistema  de gestión, qué ventajas ofrece y cómo puede beneficiar a la empresa. Debemos partir de la idea de que existen distintos tipos de ISO, las más frecuentes son la ISO 9001(Sistema  de gestión de la Calidad) y la ISO 14001 (Sistema de gestión de Medio Ambiente), también hay empresas que optan por un sistema de gestión integrado, es decir, deciden implantar ambas en su empresa. Pero, ¿Qué es una ISO? ISO son las siglas en inglés que significan International Organization for Standarization. Es una federación mundial de organismos nacionales de normalización y se dedica a la creación de estándares para asegurar la calidad, seguridad y eficiencia de productos y servicios.  El trabajo de preparación de las normas internacionales normalmente se realiza a través de los comités técnicos de ISO. Cada organismo miembro interesado en una materia para la cual se haya establecido un comité técnico, tiene el derecho de estar representado en dicho comité. Las organizaciones internacionales, públicas y privadas en coordinación con ISO, también participan en el trabajo. El Organismo Internacional de Normalización (ISO) fue creado en 1947 y cuenta con 91 estados miembros. Hasta el momento ISO (International Organization for Standardization), ha publicado alrededor de 19.500 normas internacionales. Una vez definido qué es una ISO, veamos un poco de cada uno de los sistemas de gestión antes mencionados; ISO 9001 (Sistema de Gestión de la Calidad) La norma ISO 9001, perteneciente a la familia a de normas ISO 9000, redacta los estándares de un Sistema de Gestión de Calidad. Lo hace mediante guías y herramientas que aseguran la calidad de los productos y servicios de las empresas. Todo tipo de empresas, desde pymes hasta grandes empresas, se pueden certificar con la norma ISO 9001, independientemente de su actividad económica. La adopción de un sistema de gestión de la calidad es una decisión estratégica para una organización que le puede ayudar a mejorar su desempeño global y proporcionar una base sólida para las iniciativas de desarrollo sostenible. Los beneficios potenciales para una organización de implementar un sistema de gestión de la calidad basado en esta Norma Internacional son:  a) la capacidad para proporcionar regularmente productos y servicios que satisfagan los requisitos del cliente y los legales y reglamentarios aplicables; b) facilitar oportunidades de aumentar la satisfacción del cliente; c) abordar los riesgos y oportunidades asociadas con su contexto y objetivos;  d) la capacidad de demostrar la conformidad con requisitos del sistema de gestión de la calidad especificados. Los requisitos del sistema de gestión de la calidad especificados en esta Norma Internacional son complementarios a los requisitos para los productos y servicios. Esta Norma Internacional emplea el enfoque a procesos, que incorpora el ciclo Planificar-Hacer-Verificar-Actuar (PHVA- PDCA en inglés) y el pensamiento basado en riesgos. El enfoque a procesos permite a una organización planificar sus procesos y sus interacciones. El ciclo PHVA permite a una organización asegurarse de que sus procesos cuenten con recursos y se gestionen adecuadamente, y que las oportunidades de mejora se determinen y se actúe en consecuencia. El pensamiento basado en riesgos permite a una organización determinar los factores que podrían causar que sus procesos y su sistema de gestión de la calidad se desvíen de los resultados planificados, para poner en marcha controles preventivos para minimizar los efectos negativos y maximizar el uso de las oportunidades a medida que surjan. ISO 14001 (Sistema de Gestión Ambiental) Esta norma tiene por objetivo conseguir el equilibrio entre el medio ambiente, la sociedad y la economía, lo que  está considerado como algo esencial para satisfacer las necesidades del presente sin comprometer las necesidades de futuras generaciones a la hora de satisfacer sus necesidades. El desarrollo sostenible es un objetivo que se consigue gracias al equilibrio de los tres pilares de sostenibilidad. Las expectativas sociales para el desarrollo sostenible, la trasparencia y responsabilidad y rendición de cuentas han evolucionado dentro del contexto de legislaciones cada vez más estrictas, presiones crecientes  con relación a la contaminación del medio ambiente, uso ineficiente de recursos, gestión inapropiada de residuos, cambio climático, degradación de los ecosistemas y pérdida de biodiversidad. El éxito de un sistema de gestión ambiental depende del compromiso de todas las funciones y niveles de la organización, bajo el liderazgo de la alta dirección. Las organizaciones pueden aprovechar las oportunidades de prevenir o mitigar impactos ambientales adversos e incrementar los impactos ambientales adversos e incrementar los impactos ambientales positivos, en especial, los que tienen consecuencias estratégicas y de competitividad. A modo de resumen, podemos decir que las ventajas de las normas ISO para las empresas son las siguientes: Proporcionan elementos para que una organización puede alcanzar y mantener mayores niveles de calidad en el producto o servicio. Ayudan a satisfacer las necesidades de un cliente cada vez más exigente. Permite a las empresas reducir costos, conseguir más rentabilidad y aumentar los niveles de productividad. Constituye uno de los medios más eficaces para conseguir ventaja competitiva. Reducir rechazos o incidencias en la producción o en la prestación de servicios. Implementar procesos de mejora continua. Conseguir un mayor y mejor acceso a grandes clientes y administraciones y a los mercados internacionales. Una vez que hayamos decidido implantar un ISO en nuestra organización, lo primero que tenemos que hacer es elegir una entidad de certificación (BUREAU VERITAS,  AENOR, SGS, etc.), la cual nos elaborará un prepuesto en función de nuestro alcance y las características que tengamos en nuestra organización. Ese presupuesto se elabora para tres años, en primer año se realiza una auditoría de certificación para la obtención del sello y en los dos años posteriores, se realizaran auditorías de mantenimiento. Al cuarto año, debemos solicitar un nuevo presupuesto para la auditoria de recertificación  con sus dos seguimientos posteriores. Por otro lado, es conveniente, contratar una entidad de servicios de consultoría.  Con ello, se crea un sistema documental correcto y se forma a los futuros responsables y a los trabajadores para garantizar la calidad en los procesos de la empresa. Por tanto,

La Agencia Española de Protección de Datos (AEPD) ha publicado una serie de recomendaciones dirigidas a las organizaciones y entidades que realizan procesos de anonimización de datos. Según establece el principio de Responsabilidad Proactiva establecido en el Reglamento General de Protección de Datos de la Unión Europea (RGPD), el responsable del tratamiento de datos debe abordar el estudio del riesgo de reidentificación e implementar las medidas para gestionarlo. El documento con las recomendaciones de la Agencia persigue aclarar los límites en la efectividad de estos procesos de anonimización. Destacando el estado real de anonimato de la información y cómo minimizar el riesgo de reidentificación. Análisis de la técnica K-anonimidad La AEPD ha analizado la técnica denominada K-anonimidad que entre otros elementos establece el grado de posible identificación en un conjunto de datos que han sido anonimizados. Con las últimas tecnologías de tratamiento de datos como el Big Data, la Inteligencia Artificial o el Machine Learning, que maneja datos a gran escala, interconectados, es posible crear un rastro electrónico de las personas, por lo que está en riesgo su privacidad. Con estas recomendaciones de la AEPD se persigue dotar de mayor privacidad al usuario. Como señala la Agencia, “existe un riesgo de que, una vez que se ha anonimizado un conjunto de datos, se pueda revertir esa anonimización, reidentificando a la persona”. Recomendaciones AEPD Por tanto, ante este riesgo, la Agencia aclara que suprimir o enmascarar los atributos de carácter identificador resulta insuficiente para garantizar la anonimidad de los sujetos objeto de estudio, ya que puede darse que campos comunes presentes en diferentes fuentes de datos, convenientemente agrupados y cruzados, se conviertan en un atributo seudo identificador, por lo que la privacidad del usuario se vería comprometida. La Agencia recomienda que durante las fases de concepción y diseño de un tratamiento de datos de carácter personal, se realice un análisis del grado de fidelidad necesario en el resultado del tratamiento para determinar, de forma precisa, los márgenes adecuados de generalización y eliminación, dentro de límites razonables que impidan la distorsión de la realidad. Igualmente, hay que hacer un análisis y correcto balance, entre los riesgos para los derechos y libertades de los ciudadanos; y los beneficios legítimos y para la sociedad que conlleva la realización de dicho tratamiento con un determinado grado de precisión. Por último, ante ambos análisis se debe buscar el equilibrio entre el beneficio que se obtendrá para la sociedad en la realización de un tratamiento con un grado de fidelidad determinado y el coste que dicho tratamiento implica para los derechos y libertades de los usuarios.

La Agencia Española de Protección de Datos ha publicado la guía Drones y Protección de Datos. En ella ofrece recomendaciones sobre cómo deben usarse estos dispositivos y tratarse los datos que se recogen con ellos. Los drones son dispositivos que se manejan por control remoto. Hay distintos tipos. En la guía se distingue entre los que recogen datos para su tratamiento, los que eventualmente podrían captar información y los que no implican un tratamiento de datos. En los últimos tiempos se ha incrementado el uso de estos dispositivos tanto a nivel profesional como recreativo. Algunos incorporan tecnologías como GPs, cámaras, escáner 3D o sistemas de detección de dispositivos móviles. En consecuencia, en determinados casos, “su uso puede suponer un impacto en el derecho a la protección de datos de las personas y, por extensión, una lesión de sus derechos y libertades”, indica la Agencia. El uso de drones está regulado por el Real Decreto 1036/2017, de 15 de diciembre. En su artículo 26 se establece la obligación de adoptar las medidas necesarias para garantizar el cumplimiento de lo dispuesto en materia de protección de datos personales y protección de la intimidad. Por consiguiente, el uso de drones debe cumplir con el Reglamento General de Protección de Datos de la Unión Europea y la Ley Orgánica 3/2018 española. Con el fin de facilitar el cumplimiento normativo, la Agencia ha publicado esta guía en la que se ofrecen recomendaciones en materia de protección de datos. Tipos de drones, según tratamiento de datos personales En la guía, se dividen las operaciones con drones, según si suponen un tratamiento de datos. Se establecen dos categorías en este sentido, con tres tipos de drones (sin riesgo de tratamiento de datos personales, con riesgo de ocurrencia de tratamientos de datos personales de forma inintencionada y/o inadvertida y tratamiento de datos de forma intrínseca). -A priori NO incluye el tratamiento de datos personales (inspección de infraestructuras, levantamientos topográficos, inspecciones y/o tratamientos del terreno, otros servicios de fotografía y vídeo). –Incluyen el tratamiento de datos personales de forma intrínseca (videovigilancia, grabación de eventos). Además en el documento publicado por la AEPD hay un apartado específico con recomendaciones para tener en cuenta antes de manejar un dron, que esté sujeto al cumplimiento de las normativas de protección de datos personales. Así, establece como cuestiones a tener en cuenta: “la necesidad de evaluar los riesgos que pueda implicar el tratamiento para los derechos y libertades de las personas y, si fuera necesario, realizar una evaluación de impacto sobre la protección de datos (EIPD); llevar a cabo un análisis de riesgos si la EIPD no fuera precisa, o tener en cuenta que, si se captan imágenes para uso personal, éstas no deben publicarse en internet de manera que sean accesibles indiscriminadamente cuando sea posible identificar a personas o se muestren espacios privados, como viviendas, jardines o terrazas”. FAQs: drones y protección de datos Por último en la guía Drones y Protección de Datos la Agencia incluye una sección de preguntas frecuentes (FAQS) para despejar las dudas que más suelen tener los responsables del uso de drones. A continuación os dejamos el índice de las dudas resueltas. Pregunta 1: Mi cliente me ha encargado un trabajo para promocionar su hotel, he realizado un reportaje en el que aparecen huéspedes en las zonas del spa, piscina y en instalaciones deportivas ¿Puede mi cliente publicarlo en su página web? ¿Puedo publicarlo en YouTube para promocionar mis servicios de reportaje fotográfico? Pregunta 2: Soy un operador de drones contratado para la inspección de vías públicas. El dron utiliza una cámara y un dispositivo GPS para georreferenciar las fotografías que toma cuando detectamos un desperfecto en una calzada. En alguna ocasión captamos imágenes de las matrículas de los vehículos o incluso de sus ocupantes, entendemos que al no hacer un tratamiento de estas imágenes no es de aplicación la normativa de protección de datos. Pregunta 3: Utilizo un dron para videovigilar una propiedad ¿Dónde puedo ubicar el cartel de zona videovigilada? Pregunta 4: Utilizo un dron para realizar grabaciones que visualizo personalmente y no llevo a cabo ninguna distribución de imágenes en internet o con terceros. Únicamente capto imágenes mías y de mi familia, aunque en ocasiones puedo capturar imágenes de espacios en los que viven personas o personas que transitan en los espacios en los que llevo a cabo las grabaciones. Entiendo que mi actividad se encuentra dentro de un uso familiar o doméstico y no le es de aplicación la normativa de protección de datos, ¿es correcto? Pregunta 5: Soy un aficionado y utilizo un dron con fines deportivos o de aeromodelismo. A veces le conecto una cámara y grabo el vuelo, entiendo que esto es un fin de uso privado y no es aplicable la normativa de protección de datos. A veces comparto con otros aficionados imágenes de los vuelos, por lo que si aparece alguna persona identificable en estas imágenes, me pregunto si tengo que pedir el consentimiento. En Legitec podemos ayudarte a cumplir con las normas en Protección de Datos en el uso de drones. Consúltanos sin compromiso.

Como ya sabéis en los últimos meses se han producido cambios legislativos en materia de protección de datos y son muchas las empresas de dudosa calidad que están aprovechando esta situación para ofrecer sus servicios en la citada materia.  A consecuencia de ello, el cliente final puede preguntarse, ¿cómo puedo saber que estoy contratando consultoría de calidad?, ¿cuáles son los aspectos a valorar que demuestran la responsabilidad activa que exige el RGPD a la hora de contratar al proveedor de protección de datos? A continuación, destacamos algunos de los aspectos en las ofertas que realizan estas empresas: Empresas que ofrecen herramientas de autoevaluación o incluso auditorías a distancia que realmente no te ayudan a cumplir con la normativa de manera adecuada, de tal forma que puedes sufrir carencias en su cumplimiento y como consecuencia, importantes sanciones. Además, en muchas ocasiones la citada herramienta de autoevaluación es la facilitada por la propia Agencia Española de Protección de Datos (“Facilita RGPD”), que está dirigida a empresas con escaso riesgo lo que significa que es insuficiente para la mayoría. Esta herramienta es una ayuda, y por tanto la documentación resultante deberá estar adaptada y actualizada a la situación de los tratamientos que se lleven a cabo en la entidad del cliente. La obtención de los documentos no implica el cumplimiento automático del RGPD, es decir, una vez obtenidos los documentos pueden surgir diferentes dudas; ¿cómo proceder?, ¿cómo actuar ante un ejercicio de derechos?, ¿cómo gestionar una brecha de seguridad de la que está obligado a informar a la AEPD en no más de 72 horas? La norma nos indica que el cumplimiento por parte del Responsable de los datos debe ser proactivo, y esto requiere de un seguimiento constante y diligencia en el uso de los datos, es por ello que se hace fundamental la correcta elección de un proveedor especializado y cualificado en protección de datos que te respalde en todo momento. Empresas de software que transmiten al cliente la obligación de contratar ciertas medidas de seguridad en las soluciones que proveen, pero que por diseño ya las deberían incluir, o asumir ellos el coste de implementación dado que son inherentes a la prestación de un servicio que cumpla con la ley. Incluso nos hemos encontrado casos en los que el cliente ya las tenía contratadas (Copias de seguridad, Registro de Accesos,…) con anterioridad al RGPD y el proveedor se las vuelve a facturar con la excusa de que es imprescindible para cumplir con protección de datos…por favor no os dejéis engañar Consultoría de protección de datos a “coste cero” que utilizan para la implantación, ayudas a la formación de la Fundación Estatal para la Formación en el empleo. Este tipo de actividades son perseguidas y sancionadas por la autoridad de control sobre las organizaciones beneficiarias de dichas bonificaciones. Además, está el inconveniente de que si intentas reclamar a esta empresa consultora por mala praxis no podrás, ya que solo podrás acreditar un curso formativo para tus trabajadores. Y después de ver todos estos puntos, ¿qué pasos debo seguir para contratar una consultoría de protección de datos de calidad? A continuación, desde el equipo de Legitec, nos gustaría proporcionar las claves para elegir la mejor consultoría que asegure el correcto cumplimiento de la normativa en materia de protección de datos. Entre los diferentes puntos a destacar de una consultoría experimentada como la nuestra, se encuentran los siguientes: Atención personalizada y adecuada al cliente. Legitec realiza actuaciones principalmente en las instalaciones de nuestros clientes, lo que permite personalizar el servicio y detectar adecuadamente las necesidades de cada cliente de forma individualizada. En protección de datos no vale “copiar y pegar”. Una buena consultoría necesita hacerse de forma específica para cada cliente. Realizando informes personalizados en función de las necesidades detectadas. Soporte constante, seriedad y rapidez en el servicio. Esta es una de las claves del servicio que proporciona Legitec puesto que, dados los constantes cambios normativos que se producen, asesoramos a nuestros clientes dándole seguimiento a sus proyectos y atendiendo cualquier consulta en cualquier momento gracias a nuestro amplio equipo de juristas, auditores y delegados de protección de datos. Sabemos que su tiempo vale dinero y nuestra experiencia y preparación nos permite ser rápidos dando respuestas a los clientes. Además, contamos con un seguro de responsabilidad civil con una cobertura de hasta 600.000€. Calidad y especialización en los procesos a un coste ajustado. Es fundamental para Legitec poder ofrecer a sus clientes procesos de calidad. Son más de 3.000 clientes los que ya confían en nuestros servicios y todo ello a un coste ajustado a sus necesidades reales dependiendo del sector y el tratamiento de datos que realiza. Desde Legitec, queremos poner de manifiesto la importancia de contratar a profesionales experimentados en la protección de datos. Contamos con más de 18 años de experiencia en el sector y nuestros profesionales cuentan con la formación necesaria para ayudar a tu negocio a cumplir con la Legislación, no dude en consultar nuestro servicio en Protección de Datos.

La Agencia Española de Protección de Datos (AEPD) ha hecho pública su Memoria 2018. Un año marcado por el cambio normativo. Con la entrada en vigor en mayo del nuevo Reglamento Europeo de Protección de Datos (RGPD) y la nueva ley estatal de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), publicada en diciembre. El año 2018 ha sido un año de mucho trabajo en la Agencia. En el que se han realizado un gran número de actividades y adaptaciones a las nuevas normas. Destacan la elaboración de varias Guías explicativas sobre cómo cumplir con el RGPD en varios sectores y con la puesta en marcha de la herramienta Facilita-RGPD que ayuda al cumplimiento a Pymes y profesionales autónomos. Un año del RGPD En este primer año de vida del RGPD. La Agencia ha presentado en su Memoria 2018 una serie de cifras relevantes, que se pueden ver en la infografía siguiente. Desde el 25 de mayo de 2018 al 15 de mayo de 2019, primer año de vida del RGPD, se han presentado ante la AEPD 14.397 reclamaciones. Destaca el apartado sobre los Delegados de Protección de Datos. Una figura que ha incluido el RGPD como obligatoria para empresas y administraciones que manejan una gran cantidad de datos. Destaca que se han certificado algo más de 34.000 DPD (29.908 en el sector privado y 4.285 en el público). Esta figura ha resuelto favorablemente 2.079 reclamaciones. Por lo que hace referencia a las brechas de seguridad. Se han notificado a la Agencia cerca de 1.000 incidentes. En un 72% de ellos indican que se ha comprometido la confidencialidad de los datos personales. El 53% de las brechas han sido por causas externas propiciadas por ciberdelincuentes y el 31% provocadas por pérdidas o robos de dispositivos o documentación. La Agencia también ha dado las cifras de uso de las herramientas que ha puesto a disposición de los profesionales para cumplir con el Reglamento. Su herramienta Facilita-RGPD e Informa-RGPD. En palabras de la Agencia, “el nuevo Reglamento ha aportado mejoras significativas en el régimen europeo, mejorando los derechos de los ciudadanos y ampliando las vías para que aquellos que tratan datos personales puedan demostrar su cumplimiento. Se ha hecho necesario, por tanto, intensificar las labores de concienciación sin dejar de trabajar en los procedimientos abiertos y en las nuevas reclamaciones y, en paralelo, implantar un nuevo sistema de funcionamiento interno que permitiese seguir dando respuesta en esta doble vertiente”. El año 2018 en cifras de Protección de Datos En cuanto a las cifras anuales de gestión de la AEPD. En todo el 2018, se han visto incrementadas en un 33%, el número de resoluciones presentadas ante este organismo. Pasando las reclamaciones de las 10.657 en 2017 a las 14.146 de este año. En cuanto a la temática, las reclamaciones corresponden a las siguientes materias: inserción indebida en ficheros de morosidad (16%), videovigilancia (11%), servicios de Internet (10%), reclamación de deudas (10%), Administración pública (7%), sanidad (7%), publicidad -excepto spam- (5%), comercios, transporte y hostelería (5%), entidades financieras/acreedoras (4%) y publicidad a través de e-mail o teléfono móvil (4%). Destaca que 1.784 hacen referencia a la defensa de los derechos de los ciudadanos. En este aspecto destacan las reclamaciones interpuestas a compañías como Google. De ellas, casi 200 corresponden a reclamaciones por derecho al olvido. De las reclamaciones presentadas ante la AEPD. Se han resuelto favorablemente, a través de los DPD, 863 en todo 2018. Lo que agiliza el proceso, pasando de los 200 días de media anteriores a los 100 días actuales para resolver la reclamación. En la imagen siguiente, vemos las cifras más relevantes de la Memoria 2018 de la AEPD. Sanciones de la AEPD en 2018 En 2018 se han dictado 907 resoluciones sancionadoras (434 con sanción económica, 96 con resolución de infracción a Administraciones Públicas y 377 apercibimientos). Una cifra que sigue aumentando. En 2017 se cuantificaron 852 resoluciones sancionadoras. En lo referente a la temática de los procedimientos sancionadores, destacan, por este orden: contratación fraudulenta, inserción indebida en ficheros de morosidad, videovigilancia, spam (LSSI), publicidad (excepto spam), servicios de Internet, reclamación de deudas, telecomunicaciones, Administración pública y sanidad. En este apartado, hay que destacar que el nuevo Reglamento incrementa la cuantía sancionadora. Las sanciones pueden llegar a alcanzar los diez millones de euros o hasta el 2% del volumen de negocio total anual global del ejercicio financiero anterior. O incluso, hasta los veinte millones de euros o el 4% del volumen de negocio antes citado. El futuro en protección de datos El futuro sigue lleno de retos que las organizaciones, administraciones y particulares deben afrontar. La AEPD cierra este año 2019 su último Plan Estratégico, que gracias a su dinamismo ha incrementado el número de actuaciones previstas. Tendrán que ponerse las bases para el nuevo plan de actuación.

La entrada en vigor del Real Decreto-ley 8/2019, de 8 de marzo, de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo. Supone, desde el pasado 13 de marzo, que las empresas están obligadas a llevar un registro de control horario de sus trabajadores. Esta nueva obligación, supone que los trabajadores deben fichar diariamente en su puesto de trabajo. Este control horario requiere un registro y tratamiento de datos personales. Como tal, deben cumplirse las normas en materia de protección de datos. La Agencia Española de Protección de Datos ha querido arrojar luz a las empresas para saber cómo debe realizarse este registro y el tratamiento de los datos. Para ello, ha añadido en la sección de FAQs de su web, una serie de preguntas y respuestas referentes al control horario. Las vemos a continuación. Sistemas que pueden utilizarse para el control de horario La nueva norma no especifica un medio determinado para llevar a cabo el control horario. Por tanto, puede ser digital, analógico o manual, en soporte físico o electrónico. Siempre y cuando, el sistema registre la hora de entrada y la salida de cada día, para cada trabajador. Serán los convenios colectivos o la negociación particular de empresa y trabajadores la que dicte que sistema se usa. Eso sí, debe ser un sistema que asegure la trazabilidad y rastreo fidedigno e invariable de la jornada diaria una vez de registrada, tal y como explica el Ministerio de Trabajo. Además, en caso de que se opte por un sistema a través de acceso a dispositivos digitales o el uso de sistemas de videovigilancia o geolocalización, “deben respetarse en todo caso los derechos de los trabajadores a la intimidad previstos en el artículo 20 bis del Estatuto de los Trabajadores, que remite a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales”. Guarda y custodia de los registros de control de horario Debe asegurarse la no manipulación de los registros. No pueden alterarse y deben guardarse por periodo de 4 años. Durante este tiempo deben estar a disposición, tanto de los propios trabajadores, como de la Inspección de Trabajo y los Representantes Legales de los Trabajadores. Siempre que sea requerido por alguno de ellos. Obligación de informar y consentimiento Como el control horario es una obligación impuesta por Ley. El empresario no necesita recabar el consentimiento del trabajador para almacenar y tratar sus datos del control de horario. Pero, aunque no esté obligado a pedir consentimiento, sí debe informar debidamente sobre el uso y tratamiento que se realizará de esos registros y sobre la finalidad para los que se recogen. Quién es responsable del tratamiento y quién dueño del registro En caso de externalizar el control horario. Se ha de tener en cuenta, que la empresa es la responsable del tratamiento de los datos y dueño del registro. Mientras que el proveedor del servicio, es el encargado del tratamiento. Ambas entidades deben firmar el correspondiente contrato de encargo, tal y como establece el artículo 28, del nuevo Reglamento Europeo de Protección de Datos. Control horario por huella digital La AEPD aclara que solo será lícito si se hace mediante un sistema que asocie la huella digital con un identificador numérico a cada trabajador. De forma que el sistema no almacena la huella digital, sino el identificador numérico que corresponde a la tarjeta de proximidad de cada empleado. Así se registra la entrada y salida. Si se opta por este sistema, tampoco está obligado a contar con el consentimiento del trabajador, pero sí a informar sobre el uso y modo de tratamiento de los datos. En Legitec contamos con profesionales con amplia y dilatada experiencia en el campo de la Protección de Datos, no dudes en consultar nuestros servicios de asesoramiento.

Me gustaría realizar un breve resumen del estado actual de las denominadas “criptomonedas”. Y si hablamos de criptomonedas, debemos hacer referencia a Bitcoin, la invención de Satoshi Nakamoto, -a día de hoy se desconoce su identidad real-, que el 3 de enero de 2009 dio sus primeros pasos. En primer lugar, resulta necesario acotar el concepto de criptomoneda. De acuerdo con la definición dada por la Directiva (UE) 2018/843, las criptomonedas o monedas virtuales son una representación digital de valor, que no es emitida ni garantizada por una autoridad pública, y que no tiene por qué estar asociada a una moneda de curso legal. Las criptomonedas no son consideraras monedas como tal, ni por tanto dinero, pero a su vez sí son aceptadas como un medio de cambio de bienes y servicios, y también pueden ser transferidas y almacenadas mediante el uso de medios electrónicos. Por consiguiente, al menos a nivel europeo y con el grado de desarrollo normativo actual, es la delimitación ofrecida por la Directiva 2018/843, la que acota el estatus de las criptomonedas, y viene a diferenciar de forma clara la naturaleza de las mismas respecto al dinero electrónico -véase la Directiva 2009/110/CE y la Directiva (UE) 2015/2366-, y respecto también a otros medios de cambio de bienes y servicios de uso masivo en la actualidad, como las monedas utilizadas en determinados videojuego, cuyo uso queda restringido al propio videojuego. En segundo lugar, es importante precisar el uso que se les da a estas criptomonedas, por cuanto la propia Directiva constata que las monedas virtuales se están utilizando en la actualidad, no solo como medios de pago en comercios físicos y a través de “e-commerce”, sino también como productos de reserva, medios de cambio o incluso de inversión -en línea con el crecimiento y caída de las Ofertas Iniciales de Monedas (ICO, por sus siglas en inglés)-, y como medio de pago en determinados juegos online y casinos virtuales. Mientras asistimos a movimientos como el del gobierno chino, que ha comenzado a limitar significativamente el uso de las criptomonedas en su territorio, poniendo coto también a las granjas de minado o “mining farms”, observamos al mismo tiempo movimientos en sentido contrario -en Japón actualmente se permite el pago con Bitcoins en más de 250.000 comercios-.  Desde la perspectiva del legislador europeo, la prioridad se centra en limitar los riesgos inherentes al uso de las criptomonedas para los usuarios y, a su vez, acabar con el anonimato en su uso. Como destacaron varios ponentes de las jornadas de PBC celebradas en Valencia, los riesgos en el uso de las criptomonedas se centran justamente en el anonimato que las mismas permiten a sus usuarios. La Directiva 2018/843 pone el foco en la actividad que llevan a cabo los principales actores en el ecosistema de las criptomonedas, centrando la responsabilidad proactiva por primera vez en los proveedores de servicios de cambio de monedas virtuales por monedas de curso legal -tales como Coinbase-, y en aquellos proveedores de servicios de monederos electrónicos de monedas virtuales -denominados “cryptowallets”, tales como Jaxx-. El legislador europeo, a través de la Directiva (UE) 2018/843, ha fijado una serie de medidas y mecanismos de control del uso de las criptomonedas para el blanqueo de capitales, y que tienen como premisa inicial la inclusión de estos dos tipos de actor entre los sujetos obligados por la normativa, siendo el objetivo último la eliminación del anonimato, la fiscalización adecuada de las operaciones y el fomento de la vinculación entre operaciones y las personas físicas o entidades que las realizan. Como conclusión, se debe indicar que el legislador europeo es consciente de que los usuarios de criptomonedas, a día de hoy, pueden realizar operaciones al margen de las casas de cambio y las carteras virtuales, pero ha decidido centrarse en la actividad de los actores principales, como punto de partida para conseguir la asociación efectiva de operaciones y usuarios, así como fomentar en estos últimos las autodeclaraciones a las autoridades de cada Estado.

En la época de la información (instantánea) en la que vivimos, se ha convertido en algo esencial para las empresas, la promoción de sus servicios y/o productos a través del marketing digital. En los últimos tiempos, se ha hecho muy popular la opción de utilizar gestores de correo como herramientas de marketing. Estos gestores, facilitan la tarea de comunicar a una gran lista de contactos, un e-mail tipo con la información que queremos hacerles llegar. Gestores, hay muchos: MailRelay, SendinBlue, Mailchimp, MailPoet…. Pero estas herramientas no sólo nos permiten el envío masivo del correo, si no que lo interesante para el departamento de marketing, es lo que sucede después. Estas herramientas, permiten recoger estadísticas como cuántas personas han abierto el correo, cuántas han clickado sobre los enlaces, cuantos “rebotes” de email se han producido… Multitud de datos muy útiles a la hora de analizar si nuestro producto o forma del email está generando el interés que deseábamos. Sin embargo, la información no se consigue a consta de nada, y como bien regula el RGPD y la LOPD, siempre tendremos el deber de informar al interesado de que, al fin y al cabo, vamos a recopilar datos de su comportamiento respecto a los e-mail que reciba, y de cómo estamos recopilando dicha información. En este orden de cosas, hace unas semanas, se publicó la sentencia de fecha 30 de noviembre de 2018, de la sala de lo Contencioso de la Audiencia Nacional, por la cual se resuelve sancionar con 5.000€ a una empresa por el uso incorrecto de Mailchimp, entendiendo que no ha informado a los destinatarios de su lista de distribución de que, el acceso a los correos remitidos por dicha plataforma, conllevaba la instalación de dispositivos, ficheros o archivos que posibilitaban la recogida de datos asociados al comportamiento. Todo ello fundamentado en el artículo 22.2 de la LSSI, que dice lo siguiente: Artículo 22, LSSI. 2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Esto significa que cuando se haga uso de herramientas de email marketing, tipo Mailchimp, tendremos que informar previamente de la finalidad de efectuar perfiles automatizados a través de estos gestores, para evaluar su comportamiento ante nuestros correos electrónicos. O lo que es lo mismo, antes de meter a un contacto en una lista de distribución a la cual se le van a enviar e-mails sobre los que se realizan informes de comportamiento, tendremos que informar de esta medida. Como posibles soluciones a esta controversia, desde Legitec recomendamos realizar alguna de las siguientes acciones: Cuando se recopile la información de contacto (por ejemplo, en un formulario en el que el interesado escriba su correo), se deberá de incluir en la cláusula de protección de datos, la información sobre el estudio del comportamiento a través del correo. Si ya tienes una lista de distribución activa, bloquear el análisis del comportamiento mediante la configuración del gestor de correo, informar a los miembros de la lista con la nueva cláusula informativa, y a continuación y si se desea, volver a activar el análisis de comportamiento. Si no se va a dar uso a los informes de comportamiento, recomendamos su desactivación. Por supuesto, el interesado podrá siempre oponerse a la elaboración de perfiles, o lo que es lo mismo, al estudio de su comportamiento. En este caso, se tendrá que sacar al usuario de la lista de distribución en la que se vaya a realizar esta clase de informes. Cuestiones a tener en cuenta a la hora de elegir tu gestor de correo 1. Dónde está alojada la empresa a la que pertenece el gestor Si la empresa, y los servidores que utilizan, están alojados en un país considerado como no seguro por la Comisión Europea, se estará a lo dispuesto en el RGPD respecto a transferencias internacionales. El riesgo en el tratamiento de estos datos aumentará debido a esta circunstancia, y se tendrán que tomar consideraciones especiales que con un gestor de correo de la lista de países seguros, no se tendrían por qué tomar: revisión de certificaciones, contratos-tipo específicamente aprobados por la Comisión, autorización expresa del interesado… Puedes consultar la lista de países seguros en este enlace: https://www.aepd.es/reglamento/cumplimiento/transferencias-internacionales.htm 2. Si el gestor de correo ofrece la posibilidad de bloquear el análisis de comportamiento. Para ejecutar una de las medidas que hemos recomendado para crear una base de legitimación suficiente a la hora de realizar informes de comportamiento, el gestor de correo nos tendrá que ofrecer la posibilidad de “apagar” este seguimiento a los correos. Si no nos ofrece esta medida, tendremos que buscar otra forma de informar a los destinatarios del correo. La actividad de marketing entraña muchos riesgos en cuanto a protección de datos: no estar legitimado para mandar publicidad, conseguir contactos donde no se pueden conseguir, ejercicio de derechos de los destinatarios y cómo responder a ellos… En Legitec, tenemos una amplia experiencia y conocimiento respecto a este campo y todo el que abarca el mundo empresarial. Ofrecemos soluciones adaptadas a la legislación y que a la vez, sean prácticas para vuestra empresa. Entendemos que una solución que no ofrece resultados, aunque cumpla con la normativa, no es una solución. Para más información puede ponerse en contacto con nosotros a través de cualquier medio indicado en nuestra página web.