Noticias y Actualidad

Me gustaría realizar un breve resumen del estado actual de las denominadas “criptomonedas”. Y si hablamos de criptomonedas, debemos hacer referencia a Bitcoin, la invención de Satoshi Nakamoto, -a día de hoy se desconoce su identidad real-, que el 3 de enero de 2009 dio sus primeros pasos. En primer lugar, resulta necesario acotar el concepto de criptomoneda. De acuerdo con la definición dada por la Directiva (UE) 2018/843, las criptomonedas o monedas virtuales son una representación digital de valor, que no es emitida ni garantizada por una autoridad pública, y que no tiene por qué estar asociada a una moneda de curso legal. Las criptomonedas no son consideraras monedas como tal, ni por tanto dinero, pero a su vez sí son aceptadas como un medio de cambio de bienes y servicios, y también pueden ser transferidas y almacenadas mediante el uso de medios electrónicos. Por consiguiente, al menos a nivel europeo y con el grado de desarrollo normativo actual, es la delimitación ofrecida por la Directiva 2018/843, la que acota el estatus de las criptomonedas, y viene a diferenciar de forma clara la naturaleza de las mismas respecto al dinero electrónico -véase la Directiva 2009/110/CE y la Directiva (UE) 2015/2366-, y respecto también a otros medios de cambio de bienes y servicios de uso masivo en la actualidad, como las monedas utilizadas en determinados videojuego, cuyo uso queda restringido al propio videojuego. En segundo lugar, es importante precisar el uso que se les da a estas criptomonedas, por cuanto la propia Directiva constata que las monedas virtuales se están utilizando en la actualidad, no solo como medios de pago en comercios físicos y a través de “e-commerce”, sino también como productos de reserva, medios de cambio o incluso de inversión -en línea con el crecimiento y caída de las Ofertas Iniciales de Monedas (ICO, por sus siglas en inglés)-, y como medio de pago en determinados juegos online y casinos virtuales. Mientras asistimos a movimientos como el del gobierno chino, que ha comenzado a limitar significativamente el uso de las criptomonedas en su territorio, poniendo coto también a las granjas de minado o “mining farms”, observamos al mismo tiempo movimientos en sentido contrario -en Japón actualmente se permite el pago con Bitcoins en más de 250.000 comercios-.  Desde la perspectiva del legislador europeo, la prioridad se centra en limitar los riesgos inherentes al uso de las criptomonedas para los usuarios y, a su vez, acabar con el anonimato en su uso. Como destacaron varios ponentes de las jornadas de PBC celebradas en Valencia, los riesgos en el uso de las criptomonedas se centran justamente en el anonimato que las mismas permiten a sus usuarios. La Directiva 2018/843 pone el foco en la actividad que llevan a cabo los principales actores en el ecosistema de las criptomonedas, centrando la responsabilidad proactiva por primera vez en los proveedores de servicios de cambio de monedas virtuales por monedas de curso legal -tales como Coinbase-, y en aquellos proveedores de servicios de monederos electrónicos de monedas virtuales -denominados “cryptowallets”, tales como Jaxx-. El legislador europeo, a través de la Directiva (UE) 2018/843, ha fijado una serie de medidas y mecanismos de control del uso de las criptomonedas para el blanqueo de capitales, y que tienen como premisa inicial la inclusión de estos dos tipos de actor entre los sujetos obligados por la normativa, siendo el objetivo último la eliminación del anonimato, la fiscalización adecuada de las operaciones y el fomento de la vinculación entre operaciones y las personas físicas o entidades que las realizan. Como conclusión, se debe indicar que el legislador europeo es consciente de que los usuarios de criptomonedas, a día de hoy, pueden realizar operaciones al margen de las casas de cambio y las carteras virtuales, pero ha decidido centrarse en la actividad de los actores principales, como punto de partida para conseguir la asociación efectiva de operaciones y usuarios, así como fomentar en estos últimos las autodeclaraciones a las autoridades de cada Estado.

En la época de la información (instantánea) en la que vivimos, se ha convertido en algo esencial para las empresas, la promoción de sus servicios y/o productos a través del marketing digital. En los últimos tiempos, se ha hecho muy popular la opción de utilizar gestores de correo como herramientas de marketing. Estos gestores, facilitan la tarea de comunicar a una gran lista de contactos, un e-mail tipo con la información que queremos hacerles llegar. Gestores, hay muchos: MailRelay, SendinBlue, Mailchimp, MailPoet…. Pero estas herramientas no sólo nos permiten el envío masivo del correo, si no que lo interesante para el departamento de marketing, es lo que sucede después. Estas herramientas, permiten recoger estadísticas como cuántas personas han abierto el correo, cuántas han clickado sobre los enlaces, cuantos “rebotes” de email se han producido… Multitud de datos muy útiles a la hora de analizar si nuestro producto o forma del email está generando el interés que deseábamos. Sin embargo, la información no se consigue a consta de nada, y como bien regula el RGPD y la LOPD, siempre tendremos el deber de informar al interesado de que, al fin y al cabo, vamos a recopilar datos de su comportamiento respecto a los e-mail que reciba, y de cómo estamos recopilando dicha información. En este orden de cosas, hace unas semanas, se publicó la sentencia de fecha 30 de noviembre de 2018, de la sala de lo Contencioso de la Audiencia Nacional, por la cual se resuelve sancionar con 5.000€ a una empresa por el uso incorrecto de Mailchimp, entendiendo que no ha informado a los destinatarios de su lista de distribución de que, el acceso a los correos remitidos por dicha plataforma, conllevaba la instalación de dispositivos, ficheros o archivos que posibilitaban la recogida de datos asociados al comportamiento. Todo ello fundamentado en el artículo 22.2 de la LSSI, que dice lo siguiente: Artículo 22, LSSI. 2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Esto significa que cuando se haga uso de herramientas de email marketing, tipo Mailchimp, tendremos que informar previamente de la finalidad de efectuar perfiles automatizados a través de estos gestores, para evaluar su comportamiento ante nuestros correos electrónicos. O lo que es lo mismo, antes de meter a un contacto en una lista de distribución a la cual se le van a enviar e-mails sobre los que se realizan informes de comportamiento, tendremos que informar de esta medida. Como posibles soluciones a esta controversia, desde Legitec recomendamos realizar alguna de las siguientes acciones: Cuando se recopile la información de contacto (por ejemplo, en un formulario en el que el interesado escriba su correo), se deberá de incluir en la cláusula de protección de datos, la información sobre el estudio del comportamiento a través del correo. Si ya tienes una lista de distribución activa, bloquear el análisis del comportamiento mediante la configuración del gestor de correo, informar a los miembros de la lista con la nueva cláusula informativa, y a continuación y si se desea, volver a activar el análisis de comportamiento. Si no se va a dar uso a los informes de comportamiento, recomendamos su desactivación. Por supuesto, el interesado podrá siempre oponerse a la elaboración de perfiles, o lo que es lo mismo, al estudio de su comportamiento. En este caso, se tendrá que sacar al usuario de la lista de distribución en la que se vaya a realizar esta clase de informes. Cuestiones a tener en cuenta a la hora de elegir tu gestor de correo 1. Dónde está alojada la empresa a la que pertenece el gestor Si la empresa, y los servidores que utilizan, están alojados en un país considerado como no seguro por la Comisión Europea, se estará a lo dispuesto en el RGPD respecto a transferencias internacionales. El riesgo en el tratamiento de estos datos aumentará debido a esta circunstancia, y se tendrán que tomar consideraciones especiales que con un gestor de correo de la lista de países seguros, no se tendrían por qué tomar: revisión de certificaciones, contratos-tipo específicamente aprobados por la Comisión, autorización expresa del interesado… Puedes consultar la lista de países seguros en este enlace: https://www.aepd.es/reglamento/cumplimiento/transferencias-internacionales.htm 2. Si el gestor de correo ofrece la posibilidad de bloquear el análisis de comportamiento. Para ejecutar una de las medidas que hemos recomendado para crear una base de legitimación suficiente a la hora de realizar informes de comportamiento, el gestor de correo nos tendrá que ofrecer la posibilidad de “apagar” este seguimiento a los correos. Si no nos ofrece esta medida, tendremos que buscar otra forma de informar a los destinatarios del correo. La actividad de marketing entraña muchos riesgos en cuanto a protección de datos: no estar legitimado para mandar publicidad, conseguir contactos donde no se pueden conseguir, ejercicio de derechos de los destinatarios y cómo responder a ellos… En Legitec, tenemos una amplia experiencia y conocimiento respecto a este campo y todo el que abarca el mundo empresarial. Ofrecemos soluciones adaptadas a la legislación y que a la vez, sean prácticas para vuestra empresa. Entendemos que una solución que no ofrece resultados, aunque cumpla con la normativa, no es una solución. Para más información puede ponerse en contacto con nosotros a través de cualquier medio indicado en nuestra página web.

En un post anterior os hablamos de los peligros de los hogares inteligentes y los asistentes de voz. En él os contamos una “metedura de pata” de Amazon que había enviado por error los registros de voz de un usuario a otro. Ahora, coincidiendo con la presentación de resultados del primer trimestre del gigante informático de las ventas online, se conoce otro escándalo. Según ha destapado la agencia de noticias Bloomberg, algunos empleados de Amazon tienen acceso a grabaciones de usuarios y pueden asociarlas a la geolocalización de las casas de estos usuarios. Han sido una serie de empleados de Amazon, que en conversaciones con la agencia, han dado la voz de alarma. La cuestión se explica de la siguiente forma. Alexa, el asistente de voz de Amazon, graba las conversaciones y peticiones que tiene con sus usuarios para responder a sus peticiones. Este mecanismo no se hace siempre de forma mecanizada. Algunos comandos de voz no son reconocidos por el robot de Alexa y son interpretados por empleados. Según cuentan las fuentes anónimas de Amazon, las personas encargadas de descifrar estos comandos reciben las conversaciones y también un mapa de coordenadas de localización donde se han producido estas conversaciones, por lo que con un sencillo sistema informático, se pueden saber las direcciones de las casas de los usuarios. Un dato de carácter personal que como tal, para su uso y tratamiento, debe existir un consentimiento expreso e informado. Consentimiento que no se pide, incumpliendo el Reglamento Europeo de Protección de Datos. Amazon ha señalado al conocer la noticia, según explica el diario El Mundo que no tiene constancia de que ningún empleado haya utilizado este método para saber datos de la dirección de las casas de los usuarios. Además, asegura que en los últimos días ha reducido el número de empleados que tiene acceso a esta información. Políticas de despidos de Amazon No solo esta ha sido una de las polémicas que ha perseguido a Amazon esta semana. También se ha conocido que el gigante de las ventas por Internet, monitoriza a través de robots la productividad de sus empleados en centros logísticos. Las máquinas que monitorean esta actividad, despiden automáticamente a los trabajadores que no cumplen con los objetivos. Esta práctica la ha destapado la web The Verge. Podéis leer la noticia en inglés en este enlace. Amazon obtuvo un beneficio de casi 3.200 millones de euros, en el primer trimestre de 2019, un 120% más que en el mismo periodo de 2018.

La Agencia Española de Protección de Datos (AEPD) ha actualizado su herramienta gratuita Facilita RGPD, dirigida a empresas y profesionales con el objetivo, como su propio nombre indica, de facilitar el tratamiento de datos personales de riesgo escaso para cumplir con el Reglamento Europeo de Protección de Datos (RGPD). La herramienta Facilita RGPD consta de un cuestionario online que sirve a profesionales y empresas para saber si los datos que tratan en el ejercicio de su actividad son de bajo riesgo y conocer los documentos necesarios a cumplimentar para satisfacer las obligaciones del RGPD. Cuestionario Facilita RGPD El cuestionario no lleva más de 20 minutos y está dividido en cuatro bloques: Primero: Sector de actividad y el tipo de datos que trata. Segundo: Información sobre la empresa (nombre, dirección, CIF o teléfono, entre otros). Tercero: Información sobre los tratamientos que realiza (clientes, empleados, currículums de candidatos, etc…). Cuarto: Documentación indispensable para facilitar el cumplimiento de la normativa en materia de Protección de Datos. Cambios en Facilita RGPD Las mejoras que se han incluido en la herramienta Facilita RGPD en esta versión actualizada son las siguientes: Mejora de las cláusulas de información que se generan para cada uno de los tratamientos realizados por el responsable. Se explican con mayor detalle para tener una información más clara y amplia. Puesta a disposición de un nuevo canal electrónico para poder ejercer los derechos que establece el RGPD. Se añade un nuevo campo en el cuestionario de la herramienta que ofrece la posibilidad de incluir un correo electrónico habilitado para atender las solicitudes de ejercicio de derechos. En caso de contratos con fines publicitarios, se añade en la redacción una cláusula que obliga a las agencias de marketing a consultar la Lista Robinson para asegurarse de a quién se pueden enviar las comunicaciones comerciales. Se incorpora una nueva cláusula de confidencialidad en los contratos suscritos con empresas de servicios, cuando el servicio prestado solo requiere de un acceso accidental y accesorio a los datos personales. Se mejora la estructura del anexo final, referente al protocolo a seguir en caso de captación de imágenes mediante cámaras de videovigilancia. Separando la información en atención de las solicitudes de ejercicio de derechos y medidas de seguridad. Se mejora la redacción, ampliando la información en la sección de atención de solicitudes de ejercicio de derechos en materia de protección de datos, explicando claramente cada uno de los derechos e incluyendo un enlace a los formularios publicados en la web de la Agencia. Además en la herramienta, se facilita el distintivo informativo de señalización de zona videovigilada, cumplimentado con los datos del responsable del tratamiento.

El Instituto IMDEA Networks y la Universidad Carlos III de Madrid concluyen en su artículo An Analysis of Pre-installed Android Software, que los dispositivos con sistema Android espían a sus usuarios. La Agencia Española de Protección de Datos llevará las conclusiones de la publicación al Comité Europeo de Protección de Datos. El análisis que han realizado ambas instituciones ha estudiado más de 1.700 dispositivos con este sistema Android, fabricados por 214 marcas. Se han estudiado más de 82.000 Apps preinstalados en estos dispositivos. El estudio “An Analysis of Pre-installed Android Software” está disponible en este enlace. Conclusiones del estudio Según las investigaciones realizadas por IMDEA y la Universidad Carlos III se constata que existe un complejo sistema de desarrolladores y acuerdos comerciales en el que las Apps preinstaladas disponen de permisos privilegiados que les permiten obtener datos personales de sus usuarios sin contar con el consentimiento ni informar debidamente de esta recopilación de datos ni el uso que se hace de ellos. Además el usuario no tiene posibilidad de desinstalar estas Apps. La investigación deja patente que existen acuerdos comerciales entre vendedores de dispositivos Android y terceros, entre los que se encuentran empresas dedicadas a la monitorización y rastreo de datos de los usuarios, empresas especializadas en mostrar publicidad a la carta, compañías que se encargan de detectar y analizar vulnerabilidades, analizar la transparencia de la información suministrada por el usuario. El usuario desconoce la existencia de esta trama, quién accede, trata, utiliza sus datos y para qué fines. Además desconoce cómo poder desinstalar estas Apps, para evitar el rastreo y el tratamiento de sus datos personales. Tampoco sabe qué efecto tienen estas prácticas sobre su privacidad. A todas estas prácticas hay que unir, según el estudio, el hecho de que un gran número de las Apps contiene software potencialmente maliciosos que pueden suponer prácticas de malware, troyanos genéricos o software preinstalado que facilita prácticas fraudulentas. Actuación de la AEPD La AEPD tiene previsto presentar las conclusiones del estudio y las investigaciones realizadas, ante los subgrupos de trabajo del Comité Europeo de Protección de Datos (CEPD). Hay que recordar que el nuevo Reglamento Europeo de Protección de Datos establece que los desarrolladores y responsables de Apps y sistemas informáticos como el caso de Android, están obligados a establecer los principios de Privacidad por Defecto y desde el Diseño, asegurando la máxima privacidad a los usuarios desde un principio, y que sean ellos quienes elijan qué datos quieren compartir. Desde la Agencia ponen a disposición de los desarrolladores de Apps Android un estudio sobre flujos de información personal, riesgos y herramientas de cumplimiento del RGPD.

La Agencia Española de Protección de Datos ha puesto coto al uso y tratamiento de datos personales por parte de los partidos políticos. Para limitar así la creación de perfiles ideológicos de las personas y el envío de spam electoral. Para evitar que se influya de manera fraudulenta en las intenciones de voto de los votantes. Los partidos deben ceñirse a lo expuesto en la circular emitida por la Agencia a este respecto. Tras la publicación de esta circular de la Agencia en el BOE, los partidos tendrán un plazo de 14 semanas antes de iniciarse cualquier campaña electoral para comunicar a este órgano de protección de datos una serie de documentos. En los que se expliquen las medidas que adoptarán en el uso y tratamiento de datos de los electores y evaluar el impacto de la recopilación de estos datos y las acciones llevadas a cabo para reducir los riesgos. Dadas las próximas elecciones de abril y mayo, el plazo en este caso se recorta a tres semanas. En este periodo los partidos políticos deben consultar a la Agencia los datos que se van a recopilar. La AEPD recuerda que “está limitado el uso del big data y la inteligencia artificial. Y no se permitirá el microtargeting ni sistemas que tiendan a forzar o desviar la voluntad de los electores. Y una vez que concluyan los comicios, deberán destruir la información”. Restricción de lo expuesto en el artículo 58 bis de la LOREG Con esta circular la Agencia restringe el uso de datos personales a los partidos políticos que establece el artículo 58 bis de la LOREG. Un artículo que fue denunciado ante el Tribunal Constitucional por el Defensor del Pueblo, y cuya denuncia se ha admitido a trámite. Ahora el Gobierno tiene un plazo de 15 días para presentar sus alegaciones. Artículo 58 bis. Utilización de medios tecnológicos y datos personales en las actividades electorales. 1. La recopilación de datos personales relativos a las opiniones políticas de las personas que lleven a cabo los partidos políticos en el marco de sus actividades electorales se encontrará amparada en el interés público únicamente cuando se ofrezcan garantías adecuadas. 2. Los partidos políticos, coaliciones y agrupaciones electorales podrán utilizar datos personales obtenidos en páginas web y otras fuentes de acceso público para la realización de actividades políticas durante el periodo electoral. 3. El envío de propaganda electoral por medios electrónicos o sistemas de mensajería y la contratación de propaganda electoral en redes sociales o medios equivalentes no tendrán la consideración de actividad o comunicación comercial. 4. Las actividades divulgativas anteriormente referidas identificarán de modo destacado su naturaleza electoral. 5. Se facilitará al destinatario un modo sencillo y gratuito de ejercicio del derecho de oposición. En su circular la Agencia aclara que solo podrán recopilarse las opiniones políticas que hayan sido libremente expresadas por las personas en el ejercicio de sus derechos a la libertad ideológica y a la libertad de expresión reconocidos por la Constitución. Y solo en fuentes de acceso público cuya consulta puede ser realizada por cualquier persona, no siendo lícita la recopilación en fuentes públicas que solo están accesibles a un determinado número de personas como pueden ser los perfiles en redes sociales. Tampoco se puede utilizar técnicas como el big data o la inteligencia artificial para elaborar perfiles ideológicos e influir en los votantes. Sanciones a los partidos políticos Con el fin de asegurar el cumplimiento de estas restricciones y para evitar casos como el de Cambridge Analytics que influyó en anteriores campañas. La Agencia ha puesto a trabajar en este propósito a parte de sus funcionarios y recuerda que se pueden imponer sanciones de hasta 20 millones de euros. Además, en la circular se expone la obligatoriedad de que los partidos políticos comuniquen de forma clara y expresa y pidan el consentimiento informado para el tratamiento de estos datos personales. Y pongan a disposición del votante los mecanismos necesarios para que pueda oponerse a este tratamiento. También se limita el uso en términos de circunscripción. Esto es si un partido político se presenta para una zona determinada, no puede enviar información (spam electoral) a personas que votan en otros territorios en los que no se presenta.

Tanto asesorías como despachos profesionales son un sector crítico en materia de protección de datos. Para el ejercicio de sus funciones tratan y custodian mucha información de clientes, asumiendo el rol de encargado de tratamiento. Con la entrada en vigor del RGPD, los responsables de tratamiento (clientes de las asesorías) deben elegir únicamente profesionales que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el responsable garantice y esté en condiciones de demostrar que el tratamiento se realiza conforme el RGPD (principio de responsabilidad activa). La capacidad de demostrar la diligencia debida en la selección de su asesor implicará que los clientes podrán hacer uso de distintos medios de comprobación de las capacidades de cumplimiento de su encargado. Algunas de estas medidas podrían ser la exigencia de auditorías de terceros, certificaciones, o comprobación exhaustiva de las condiciones en las que se llevan a cabo los tratamientos de datos personales de los que son responsables. Las relaciones entre el responsable y el encargado deben formalizarse en un contrato o en un acto jurídico que vincule al encargado respecto al responsable. Esto supone un plus de compromiso para los encargados de tratamiento respecto a la normativa de protección de datos, ya que si no pueden garantizar su cumplimiento se verán abocados a la pérdida continua de clientes. Es el momento de convertir un riesgo en una oportunidad si se maneja bien. En el sentido contrario los asesores, basándose en la confianza con sus clientes, suelen asesorar en materias que pueden ir más allá de lo laboral, fiscal, etc., y en ocasiones lo hacen respecto a las necesidades relacionadas con protección de datos. Es por ello que consideramos importante que las recomendaciones que puedan hacer sean adecuadas y basadas tanto en la experiencia en esta materia como en las exigencias legales reales. Desde Legitec creemos crucial que Asesorías y Despachos profesionales conozcan bien cuáles son las obligaciones en esta materia, por ello hemos organizado un seminario dirigido en exclusiva para este colectivo, donde explicaremos de forma clara y directa, los riesgos y los retos que plantea en su actividad diaria el Reglamento Europeo (RGPD) y la nueva Ley de Protección de Datos (LOPDGDD). Contenido de la Jornada: Mas información e inscripciones a través de este enlace

Una de las dudas más frecuentes que tienen las empresas a la hora de implantar un sistema de gestión de la calidad, está relacionada con la cantidad de “papeleo” que eso les va a suponer. Muchas empresas creen que la implantación del sistema va a obligar a sus empleados a documentar cada cosa que hagan y que eso va a repercutir negativamente en la productividad. En realidad, si el sistema de la empresa está bien diseñado, la documentación puede ser una herramienta muy útil para la empresa. ¿Qué nos dice la norma sobre la documentación? La norma dice que, en la medida en que sea necesario, la organización debe: -Mantener información documentada para apoyar la operación de sus procesos. -Conservar la información documentada para tener la confianza de que los procesos se realizan según lo planificado. Como podemos ver, la versión de la norma de 2015 ya no habla de documentos y registros, sino de información documentada refiriéndose a la información que una empresa tiene que controlar y mantener, además del medio en el que se encuentra contenida (papel, formato electrónico, etc.). En esencia, el cambio no es más que de nomenclatura, ya que cuando habla de “mantener información documentada…” se refiere a disponer de documentos que describan como llevar a cabo un proceso o actividad, y cuando habla de “conservar información documentada…”, hace referencia a conservar registros como evidencia objetiva de que hemos hecho las cosas tal y como las hemos descrito. Bien, ya tenemos claro que la norma nos pide que documentemos nuestros procesos en la medida que sea necesario y registremos evidencias, pero, ¿qué documentos y registros nos van a exigir en concreto y en qué extensión? Respecto a la extensión, la norma nos aclara que puede variar de una organización a otra, debido a su tamaño y tipo de actividad, la complejidad de sus procesos y la competencia de las personas. Por tanto, es la propia organización la que tiene que decidir cual deber ser la extensión de su información documentada en función de sus características, de tal manera que la documentación que tengamos garantice el adecuado funcionamiento de la empresa. En cuanto a qué información documentada es necesaria, la norma distingue entre dos tipos: – La requerida por la norma (que deberemos tener de forma obligatoria). – La que la organización determine como necesaria para la eficacia del sistema de gestión de la calidad. La versión de 2015 es menos exigente en cuanto a documentación obligatoria ya que elimina la necesidad de documentar y mantener un manual de la calidad y una serie de procedimientos que antes eran obligatorios, y deja a criterio de la empresa decidir qué procesos documentar. Los documentos obligatorios no son muchos: el alcance del sistema de gestión, la política de calidad y los objetivos, que es donde la norma indica que “se debe mantener información documentada…” En cuanto a los registros obligatorios, hay bastantes más, ya que donde la norma indica “se deberá conservar información documentada…” habrá que tener registros, como por ejemplo: las evidencias de los controles de los equipos de medida,  de la competencia del personal o de la evaluación de proveedores entre otros. ¿Entonces, es cierto que la implantación del sistema nos va a obligar a hacer mucho “papeleo”? No debemos olvidar que la ISO 9001 es un estándar certificable y por tanto es necesario que una entidad externa acreditada, certifique que el sistema de gestión implantado cumple con los requisitos de dicha norma, y eso se hace, entre otros métodos, revisando documentación, por lo tanto, tendremos que documentar, pero si lo hacemos bien, esta documentación puede ayudar mucho a la empresa y no tiene por qué suponer una carga. Lo primero de todo, es decidir que procesos vamos a documentar para garantizar la eficacia del sistema.  Un criterio que se utiliza de manera habitual para decidir si documentamos un proceso o no, es que, si existe la posibilidad de que el proceso no se lleve a cabo como se planificó, debemos documentarlo para evitar el riesgo. Lo segundo, es decidir la extensión y complejidad que tendrá el documento, y para eso es importante saber a quién va destinado y el proceso que está describiendo. Por ejemplo, no será lo mismo describir un proceso sencillo y repetitivo o que lleva a cabo personal cualificado, que un proceso más complejo o que lleva a cabo personal con menor cualificación. En ocasiones puede ser más efectivo colocar carteles visibles con indicaciones que recuerden la parte del proceso más susceptible de producir errores, que elaborar un procedimiento extenso que los trabajadores van a leer el primer día y posiblemente no van a volver a consultar. En un almacén en la zona de empaquetado de una empresa,  posiblemente sería más eficaz hacer un documento sencillo y reforzarlo con carteles del tipo: “Es obligatorio indicar la referencia del envío en cada paquete”, o “No olvidar adjuntar la documentación de envío” en las distintas zonas de trabajo,  que hacer un procedimiento largo. Igualmente, en el caso de los registros, es importante elaborar modelos sencillos, que sean fáciles de cumplimentar y  con los datos necesarios (sin campos de más, pero tampoco de menos), lo cual ayudará a la empresa a funcionar mejor y por supuesto, implicar a todo el personal de la empresa en la cumplimentación de los mismos según sea necesario.  Si la empresa no está habituada a registrar evidencias, puede empezar con registros más sencillos e ir mejorándolos según lo vaya necesitando y el personal esté más habituado. Como resumen podemos decir que un sistema de gestión deberá tener información documentada ya que así lo exige la norma, pero que ésta debe ser una documentación diseñada  a medida de cada empresa de tal forma que aporte valor y suponga una mejora para la organización y no una carga que se utilice y cumplimente para “enseñársela al auditor”. Un sistema de gestión realizado a la medida de la empresa, no supondrá un obstáculo, sino todo lo contrario, será una herramienta eficaz de

La lucha contra el blanqueo de capitales se ha convertido en una prioridad no solo a nivel nacional sino también a nivel internacional. Las técnicas empleadas en estas tres grandes fases son cada vez más complejas e ingeniosas, pero suelen manifestarse en; colocación, encubrimiento e integración. Estas fases pueden darse en diferentes momentos o incluso solaparse entre ellas, pero que conforman la operativa empleada. Vamos a delimitarlas brevemente; La fase de colocación o placement de los ingresos originados por una actividad delictiva consiste en la introducción del dinero negro en el sistema financiero, a través de entidades nacionales o transfiriéndolo a otras situadas en territorios opacos. En esta fase es dónde el sujeto debe hacer un mayor uso de su ingenio ya que no debe levantar las sospechas de los sujetos obligados a prevenir el blanqueo de capitales, por ello se suele hacer uso de programas de compliance penal para limitar la responsabilidad de las personas jurídicas o fraccionar las cantidades y diversificarlas entre las distintas entidades de crédito (conocido también como smurfing o pitufeo), entre otras técnicas. La fase de encubrimiento o layering. Una vez lograda la ocultación de su origen delictivo, se realizan una serie de transacciones financieras, en las que el dinero se mueve sucesivamente para desvincular al blanqueador de la actividad. Así, una vez introducido en el sistema económico, los activos se envían a través de distintos métodos como son; la adquisición de instrumentos financieros, la transferencia electrónica de fondos a bancos o sociedades extraterritoriales, centros off-shore, todo ello para evitar la trazabilidad del dinero por parte de las autoridades. El objetivo es borrar el rastro del dinero y garantizar que cualquier esfuerzo por seguir la pista de su origen sea frustrado por la existencia de un complejo entramado de sociedades y de legislaciones aplicables. En esta fase del blanqueo entran en juego las estructuras formadas por las sociedades pantallas, las sociedades y entidades de crédito en paraísos fiscales, los fideicomisos o las técnicas como el “sándwich holandés”. La fase de integración o integrationes la última fase, en ella el capital blanqueado vuelve a la economía con la apariencia de dinero legal. Algunas de las formas mediante las cuales este dinero se pone a disposición de sus titulares para que pueda emplearlo para sus fines personales o económicos son los préstamos simulados o inversiones realizadas desde un centro off-shore al blanqueador, o bien invirtiéndolo en sociedades que realizan fines lícitos de forma que el dinero negro se mezcla con dinero de origen legal. La construcción de esta ingeniería jurídica está orientada a disfrutar las ganancias obtenidas de forma ilícita distanciándose del delito para operar en el mercado como uno más. En definitiva, hay que tener en cuenta que en esta arquitectura de blanqueo de capitales en muchos casos intervienen un gran número de personas y de entramados de distinta naturaleza, que hace a veces complicado la identificación de las distintas fases.   Alicia García Fernández (Consultora ESOC by LEGITEC)

Los profesionales sanitarios manejan a diario una gran cantidad de datos personales de pacientes. Muchos de los cuales entran en la categoría de datos personales de carácter sensible. Con el objetivo de ayudar a estos profesionales a cumplir con la normativa, desde la Agencia Española de Protección de Datos (AEPD) ponen a su disposición un decálogo con buenas prácticas. En Legitec explicamos a continuación este decálogo de protección de datos. Enfocado a los profesionales sanitarios y administrativos de los centros de salud, hospitales, consultas públicas o privadas. 1-No hagas lo que no te gusta que te hagan a ti. Por tanto, debes tratar los datos personales de los pacientes como si fueran los tuyos propios. 2-No cotillees los historiales. Solo debes acceder a los datos e historiales que sean necesarios para la óptima realización de tu trabajo. 3-Todo queda registrado. El cotilleo te puede salir caro. Todos los accesos que hagas usando tu usuario y contraseña se registran en los sistemas informáticos y estos accesos son auditados. Tu actividad está constantemente monitoreada. 4-No puedes compartir información de las historias clínicas. Son datos privados, personales y sensibles y solo puede compartirse la información con las personas que tratan a estos pacientes y con las personas que el paciente haya consentido que sepan sus datos. 5-Tu usuario y contraseña no puede ser compartido con otros. Protege información sensible, que solo tú puedes acceder con est clave. Además recuerda que los ordenadores en los que accedes son de uso compartido, por lo que no dejes tu sesión abierta, para que pueda revisarla el siguiente usuario. Cierra siempre tus accesos. 6-No debes compartir estos datos personales a través de email o wifi. Si lo haces, siempre deben estar cifrados, para que no se filtren. 7-Si imprimes documentos o manejas copias de historiales en papel, siempre deben estar en tu poder, no puedes perderlos, ni dejarlos a la vista de terceros. Cuando ya no sean necesarios destrúyelos. 8-Si tienes acceso a archivadores o armarios con documentación, siempre deben estar los documentos bajo llave y cerrar el armario cuando termines de consultar la información guardada en ellos. 9-No puedes dejar a la vista documentos con datos personales. Pueden ser robados o ojeados por personas que no tiene consentimiento para tratar estos datos. 10-Si te gusta ser ordenado y hacer documentos con datos de terceros. No puedes crear ficheros con datos personales de pacientes por tu cuenta. Pueden acabar en manos de terceros. Solo puedes usar las fuentes y herramientas que cumplan las especificaciones técnicas de seguridad que expone la Ley. Es imprescindible para evitar sanciones y multas que los profesionales sanitarios cumplen con la normativa en materia de Protección de Datos, estos consejos de la AEPD, son muy útiles para evitar fuga de datos.