Noticias y Actualidad

Atención Personalizada Consultores Expertos LOPD / RGPD
Ahora al Solicitar un Presupuesto obtendrá un Informe de Situación LOPD/RGPD de su negocio sin coste alguno.

Amazon y sus fallos en protección de datos

En un post anterior os hablamos de los peligros de los hogares inteligentes y los asistentes de voz. En él os contamos una “metedura de pata” de Amazon que había enviado por error los registros de voz de un usuario a otro. Ahora, coincidiendo con la presentación de resultados del primer trimestre del gigante informático de las ventas online, se conoce otro escándalo. Según ha destapado la agencia de noticias Bloomberg, algunos empleados de Amazon tienen acceso a grabaciones de usuarios y pueden asociarlas a la geolocalización de las casas de estos usuarios. Han sido una serie de empleados de Amazon, que en conversaciones con la agencia, han dado la voz de alarma. La cuestión se explica de la siguiente forma. Alexa, el asistente de voz de Amazon, graba las conversaciones y peticiones que tiene con sus usuarios para responder a sus peticiones. Este mecanismo no se hace siempre de forma mecanizada. Algunos comandos de voz no son reconocidos por el robot de Alexa y son interpretados por empleados. Según cuentan las fuentes anónimas de Amazon, las personas encargadas de descifrar estos comandos reciben las conversaciones y también un mapa de coordenadas de localización donde se han producido estas conversaciones, por lo que con un sencillo sistema informático, se pueden saber las direcciones de las casas de los usuarios. Un dato de carácter personal que como tal, para su uso y tratamiento, debe existir un consentimiento expreso e informado. Consentimiento que no se pide, incumpliendo el Reglamento Europeo de Protección de Datos. Amazon ha señalado al conocer la noticia, según explica el diario El Mundo que no tiene constancia de que ningún empleado haya utilizado este método para saber datos de la dirección de las casas de los usuarios. Además, asegura que en los últimos días ha reducido el número de empleados que tiene acceso a esta información. Políticas de despidos de Amazon No solo esta ha sido una de las polémicas que ha perseguido a Amazon esta semana. También se ha conocido que el gigante de las ventas por Internet, monitoriza a través de robots la productividad de sus empleados en centros logísticos. Las máquinas que monitorean esta actividad, despiden automáticamente a los trabajadores que no cumplen con los objetivos. Esta práctica la ha destapado la web The Verge. Podéis leer la noticia en inglés en este enlace. Amazon obtuvo un beneficio de casi 3.200 millones de euros, en el primer trimestre de 2019, un 120% más que en el mismo periodo de 2018.

Facilita RGPD

La AEPD actualiza la herramienta Facilita RGPD

La Agencia Española de Protección de Datos (AEPD) ha actualizado su herramienta gratuita Facilita RGPD, dirigida a empresas y profesionales con el objetivo, como su propio nombre indica, de facilitar el tratamiento de datos personales de riesgo escaso para cumplir con el Reglamento Europeo de Protección de Datos (RGPD). La herramienta Facilita RGPD consta de un cuestionario online que sirve a profesionales y empresas para saber si los datos que tratan en el ejercicio de su actividad son de bajo riesgo y conocer los documentos necesarios a cumplimentar para satisfacer las obligaciones del RGPD. Cuestionario Facilita RGPD El cuestionario no lleva más de 20 minutos y está dividido en cuatro bloques: Primero: Sector de actividad y el tipo de datos que trata. Segundo: Información sobre la empresa (nombre, dirección, CIF o teléfono, entre otros). Tercero: Información sobre los tratamientos que realiza (clientes, empleados, currículums de candidatos, etc…). Cuarto: Documentación indispensable para facilitar el cumplimiento de la normativa en materia de Protección de Datos. Cambios en Facilita RGPD Las mejoras que se han incluido en la herramienta Facilita RGPD en esta versión actualizada son las siguientes: Mejora de las cláusulas de información que se generan para cada uno de los tratamientos realizados por el responsable. Se explican con mayor detalle para tener una información más clara y amplia. Puesta a disposición de un nuevo canal electrónico para poder ejercer los derechos que establece el RGPD. Se añade un nuevo campo en el cuestionario de la herramienta que ofrece la posibilidad de incluir un correo electrónico habilitado para atender las solicitudes de ejercicio de derechos. En caso de contratos con fines publicitarios, se añade en la redacción una cláusula que obliga a las agencias de marketing a consultar la Lista Robinson para asegurarse de a quién se pueden enviar las comunicaciones comerciales. Se incorpora una nueva cláusula de confidencialidad en los contratos suscritos con empresas de servicios, cuando el servicio prestado solo requiere de un acceso accidental y accesorio a los datos personales. Se mejora la estructura del anexo final, referente al protocolo a seguir en caso de captación de imágenes mediante cámaras de videovigilancia. Separando la información en atención de las solicitudes de ejercicio de derechos y medidas de seguridad. Se mejora la redacción, ampliando la información en la sección de atención de solicitudes de ejercicio de derechos en materia de protección de datos, explicando claramente cada uno de los derechos e incluyendo un enlace a los formularios publicados en la web de la Agencia. Además en la herramienta, se facilita el distintivo informativo de señalización de zona videovigilada, cumplimentado con los datos del responsable del tratamiento.

Los dispositivos con sistema Android espían a sus usuarios

El Instituto IMDEA Networks y la Universidad Carlos III de Madrid concluyen en su artículo An Analysis of Pre-installed Android Software, que los dispositivos con sistema Android espían a sus usuarios. La Agencia Española de Protección de Datos llevará las conclusiones de la publicación al Comité Europeo de Protección de Datos. El análisis que han realizado ambas instituciones ha estudiado más de 1.700 dispositivos con este sistema Android, fabricados por 214 marcas. Se han estudiado más de 82.000 Apps preinstalados en estos dispositivos. El estudio “An Analysis of Pre-installed Android Software” está disponible en este enlace. Conclusiones del estudio Según las investigaciones realizadas por IMDEA y la Universidad Carlos III se constata que existe un complejo sistema de desarrolladores y acuerdos comerciales en el que las Apps preinstaladas disponen de permisos privilegiados que les permiten obtener datos personales de sus usuarios sin contar con el consentimiento ni informar debidamente de esta recopilación de datos ni el uso que se hace de ellos. Además el usuario no tiene posibilidad de desinstalar estas Apps. La investigación deja patente que existen acuerdos comerciales entre vendedores de dispositivos Android y terceros, entre los que se encuentran empresas dedicadas a la monitorización y rastreo de datos de los usuarios, empresas especializadas en mostrar publicidad a la carta, compañías que se encargan de detectar y analizar vulnerabilidades, analizar la transparencia de la información suministrada por el usuario. El usuario desconoce la existencia de esta trama, quién accede, trata, utiliza sus datos y para qué fines. Además desconoce cómo poder desinstalar estas Apps, para evitar el rastreo y el tratamiento de sus datos personales. Tampoco sabe qué efecto tienen estas prácticas sobre su privacidad. A todas estas prácticas hay que unir, según el estudio, el hecho de que un gran número de las Apps contiene software potencialmente maliciosos que pueden suponer prácticas de malware, troyanos genéricos o software preinstalado que facilita prácticas fraudulentas. Actuación de la AEPD La AEPD tiene previsto presentar las conclusiones del estudio y las investigaciones realizadas, ante los subgrupos de trabajo del Comité Europeo de Protección de Datos (CEPD). Hay que recordar que el nuevo Reglamento Europeo de Protección de Datos establece que los desarrolladores y responsables de Apps y sistemas informáticos como el caso de Android, están obligados a establecer los principios de Privacidad por Defecto y desde el Diseño, asegurando la máxima privacidad a los usuarios desde un principio, y que sean ellos quienes elijan qué datos quieren compartir. Desde la Agencia ponen a disposición de los desarrolladores de Apps Android un estudio sobre flujos de información personal, riesgos y herramientas de cumplimiento del RGPD.

La AEPD restringe el uso y tratamiento de datos personales a los partidos políticos

La Agencia Española de Protección de Datos ha puesto coto al uso y tratamiento de datos personales por parte de los partidos políticos. Para limitar así la creación de perfiles ideológicos de las personas y el envío de spam electoral. Para evitar que se influya de manera fraudulenta en las intenciones de voto de los votantes. Los partidos deben ceñirse a lo expuesto en la circular emitida por la Agencia a este respecto. Tras la publicación de esta circular de la Agencia en el BOE, los partidos tendrán un plazo de 14 semanas antes de iniciarse cualquier campaña electoral para comunicar a este órgano de protección de datos una serie de documentos. En los que se expliquen las medidas que adoptarán en el uso y tratamiento de datos de los electores y evaluar el impacto de la recopilación de estos datos y las acciones llevadas a cabo para reducir los riesgos. Dadas las próximas elecciones de abril y mayo, el plazo en este caso se recorta a tres semanas. En este periodo los partidos políticos deben consultar a la Agencia los datos que se van a recopilar. La AEPD recuerda que “está limitado el uso del big data y la inteligencia artificial. Y no se permitirá el microtargeting ni sistemas que tiendan a forzar o desviar la voluntad de los electores. Y una vez que concluyan los comicios, deberán destruir la información”. Restricción de lo expuesto en el artículo 58 bis de la LOREG Con esta circular la Agencia restringe el uso de datos personales a los partidos políticos que establece el artículo 58 bis de la LOREG. Un artículo que fue denunciado ante el Tribunal Constitucional por el Defensor del Pueblo, y cuya denuncia se ha admitido a trámite. Ahora el Gobierno tiene un plazo de 15 días para presentar sus alegaciones. Artículo 58 bis. Utilización de medios tecnológicos y datos personales en las actividades electorales. 1. La recopilación de datos personales relativos a las opiniones políticas de las personas que lleven a cabo los partidos políticos en el marco de sus actividades electorales se encontrará amparada en el interés público únicamente cuando se ofrezcan garantías adecuadas. 2. Los partidos políticos, coaliciones y agrupaciones electorales podrán utilizar datos personales obtenidos en páginas web y otras fuentes de acceso público para la realización de actividades políticas durante el periodo electoral. 3. El envío de propaganda electoral por medios electrónicos o sistemas de mensajería y la contratación de propaganda electoral en redes sociales o medios equivalentes no tendrán la consideración de actividad o comunicación comercial. 4. Las actividades divulgativas anteriormente referidas identificarán de modo destacado su naturaleza electoral. 5. Se facilitará al destinatario un modo sencillo y gratuito de ejercicio del derecho de oposición. En su circular la Agencia aclara que solo podrán recopilarse las opiniones políticas que hayan sido libremente expresadas por las personas en el ejercicio de sus derechos a la libertad ideológica y a la libertad de expresión reconocidos por la Constitución. Y solo en fuentes de acceso público cuya consulta puede ser realizada por cualquier persona, no siendo lícita la recopilación en fuentes públicas que solo están accesibles a un determinado número de personas como pueden ser los perfiles en redes sociales. Tampoco se puede utilizar técnicas como el big data o la inteligencia artificial para elaborar perfiles ideológicos e influir en los votantes. Sanciones a los partidos políticos Con el fin de asegurar el cumplimiento de estas restricciones y para evitar casos como el de Cambridge Analytics que influyó en anteriores campañas. La Agencia ha puesto a trabajar en este propósito a parte de sus funcionarios y recuerda que se pueden imponer sanciones de hasta 20 millones de euros. Además, en la circular se expone la obligatoriedad de que los partidos políticos comuniquen de forma clara y expresa y pidan el consentimiento informado para el tratamiento de estos datos personales. Y pongan a disposición del votante los mecanismos necesarios para que pueda oponerse a este tratamiento. También se limita el uso en términos de circunscripción. Esto es si un partido político se presenta para una zona determinada, no puede enviar información (spam electoral) a personas que votan en otros territorios en los que no se presenta.

PROTECCIÓN DE DATOS para ASESORÍAS y DESPACHOS PROFESIONALES

Tanto asesorías como despachos profesionales son un sector crítico en materia de protección de datos. Para el ejercicio de sus funciones tratan y custodian mucha información de clientes, asumiendo el rol de encargado de tratamiento. Con la entrada en vigor del RGPD, los responsables de tratamiento (clientes de las asesorías) deben elegir únicamente profesionales que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el responsable garantice y esté en condiciones de demostrar que el tratamiento se realiza conforme el RGPD (principio de responsabilidad activa). La capacidad de demostrar la diligencia debida en la selección de su asesor implicará que los clientes podrán hacer uso de distintos medios de comprobación de las capacidades de cumplimiento de su encargado. Algunas de estas medidas podrían ser la exigencia de auditorías de terceros, certificaciones, o comprobación exhaustiva de las condiciones en las que se llevan a cabo los tratamientos de datos personales de los que son responsables. Las relaciones entre el responsable y el encargado deben formalizarse en un contrato o en un acto jurídico que vincule al encargado respecto al responsable. Esto supone un plus de compromiso para los encargados de tratamiento respecto a la normativa de protección de datos, ya que si no pueden garantizar su cumplimiento se verán abocados a la pérdida continua de clientes. Es el momento de convertir un riesgo en una oportunidad si se maneja bien. En el sentido contrario los asesores, basándose en la confianza con sus clientes, suelen asesorar en materias que pueden ir más allá de lo laboral, fiscal, etc., y en ocasiones lo hacen respecto a las necesidades relacionadas con protección de datos. Es por ello que consideramos importante que las recomendaciones que puedan hacer sean adecuadas y basadas tanto en la experiencia en esta materia como en las exigencias legales reales. Desde Legitec creemos crucial que Asesorías y Despachos profesionales conozcan bien cuáles son las obligaciones en esta materia, por ello hemos organizado un seminario dirigido en exclusiva para este colectivo, donde explicaremos de forma clara y directa, los riesgos y los retos que plantea en su actividad diaria el Reglamento Europeo (RGPD) y la nueva Ley de Protección de Datos (LOPDGDD). Contenido de la Jornada: Mas información e inscripciones a través de este enlace

Consultoría ISO 9001 Legitec

¿Qué documentación tiene que incluir un sistema de gestión de la calidad según la norma ISO 9001:2015?

Una de las dudas más frecuentes que tienen las empresas a la hora de implantar un sistema de gestión de la calidad, está relacionada con la cantidad de “papeleo” que eso les va a suponer. Muchas empresas creen que la implantación del sistema va a obligar a sus empleados a documentar cada cosa que hagan y que eso va a repercutir negativamente en la productividad. En realidad, si el sistema de la empresa está bien diseñado, la documentación puede ser una herramienta muy útil para la empresa. ¿Qué nos dice la norma sobre la documentación? La norma dice que, en la medida en que sea necesario, la organización debe: -Mantener información documentada para apoyar la operación de sus procesos. -Conservar la información documentada para tener la confianza de que los procesos se realizan según lo planificado. Como podemos ver, la versión de la norma de 2015 ya no habla de documentos y registros, sino de información documentada refiriéndose a la información que una empresa tiene que controlar y mantener, además del medio en el que se encuentra contenida (papel, formato electrónico, etc.). En esencia, el cambio no es más que de nomenclatura, ya que cuando habla de “mantener información documentada…” se refiere a disponer de documentos que describan como llevar a cabo un proceso o actividad, y cuando habla de “conservar información documentada…”, hace referencia a conservar registros como evidencia objetiva de que hemos hecho las cosas tal y como las hemos descrito. Bien, ya tenemos claro que la norma nos pide que documentemos nuestros procesos en la medida que sea necesario y registremos evidencias, pero, ¿qué documentos y registros nos van a exigir en concreto y en qué extensión? Respecto a la extensión, la norma nos aclara que puede variar de una organización a otra, debido a su tamaño y tipo de actividad, la complejidad de sus procesos y la competencia de las personas. Por tanto, es la propia organización la que tiene que decidir cual deber ser la extensión de su información documentada en función de sus características, de tal manera que la documentación que tengamos garantice el adecuado funcionamiento de la empresa. En cuanto a qué información documentada es necesaria, la norma distingue entre dos tipos: – La requerida por la norma (que deberemos tener de forma obligatoria). – La que la organización determine como necesaria para la eficacia del sistema de gestión de la calidad. La versión de 2015 es menos exigente en cuanto a documentación obligatoria ya que elimina la necesidad de documentar y mantener un manual de la calidad y una serie de procedimientos que antes eran obligatorios, y deja a criterio de la empresa decidir qué procesos documentar. Los documentos obligatorios no son muchos: el alcance del sistema de gestión, la política de calidad y los objetivos, que es donde la norma indica que “se debe mantener información documentada…” En cuanto a los registros obligatorios, hay bastantes más, ya que donde la norma indica “se deberá conservar información documentada…” habrá que tener registros, como por ejemplo: las evidencias de los controles de los equipos de medida,  de la competencia del personal o de la evaluación de proveedores entre otros. ¿Entonces, es cierto que la implantación del sistema nos va a obligar a hacer mucho “papeleo”? No debemos olvidar que la ISO 9001 es un estándar certificable y por tanto es necesario que una entidad externa acreditada, certifique que el sistema de gestión implantado cumple con los requisitos de dicha norma, y eso se hace, entre otros métodos, revisando documentación, por lo tanto, tendremos que documentar, pero si lo hacemos bien, esta documentación puede ayudar mucho a la empresa y no tiene por qué suponer una carga. Lo primero de todo, es decidir que procesos vamos a documentar para garantizar la eficacia del sistema.  Un criterio que se utiliza de manera habitual para decidir si documentamos un proceso o no, es que, si existe la posibilidad de que el proceso no se lleve a cabo como se planificó, debemos documentarlo para evitar el riesgo. Lo segundo, es decidir la extensión y complejidad que tendrá el documento, y para eso es importante saber a quién va destinado y el proceso que está describiendo. Por ejemplo, no será lo mismo describir un proceso sencillo y repetitivo o que lleva a cabo personal cualificado, que un proceso más complejo o que lleva a cabo personal con menor cualificación. En ocasiones puede ser más efectivo colocar carteles visibles con indicaciones que recuerden la parte del proceso más susceptible de producir errores, que elaborar un procedimiento extenso que los trabajadores van a leer el primer día y posiblemente no van a volver a consultar. En un almacén en la zona de empaquetado de una empresa,  posiblemente sería más eficaz hacer un documento sencillo y reforzarlo con carteles del tipo: “Es obligatorio indicar la referencia del envío en cada paquete”, o “No olvidar adjuntar la documentación de envío” en las distintas zonas de trabajo,  que hacer un procedimiento largo. Igualmente, en el caso de los registros, es importante elaborar modelos sencillos, que sean fáciles de cumplimentar y  con los datos necesarios (sin campos de más, pero tampoco de menos), lo cual ayudará a la empresa a funcionar mejor y por supuesto, implicar a todo el personal de la empresa en la cumplimentación de los mismos según sea necesario.  Si la empresa no está habituada a registrar evidencias, puede empezar con registros más sencillos e ir mejorándolos según lo vaya necesitando y el personal esté más habituado. Como resumen podemos decir que un sistema de gestión deberá tener información documentada ya que así lo exige la norma, pero que ésta debe ser una documentación diseñada  a medida de cada empresa de tal forma que aporte valor y suponga una mejora para la organización y no una carga que se utilice y cumplimente para “enseñársela al auditor”. Un sistema de gestión realizado a la medida de la empresa, no supondrá un obstáculo, sino todo lo contrario, será una herramienta eficaz de

Prevención de Blanqueo de Capitales

Las fases en el blanqueo de capitales

La lucha contra el blanqueo de capitales se ha convertido en una prioridad no solo a nivel nacional sino también a nivel internacional. Las técnicas empleadas en estas tres grandes fases son cada vez más complejas e ingeniosas, pero suelen manifestarse en; colocación, encubrimiento e integración. Estas fases pueden darse en diferentes momentos o incluso solaparse entre ellas, pero que conforman la operativa empleada. Vamos a delimitarlas brevemente; La fase de colocación o placement de los ingresos originados por una actividad delictiva consiste en la introducción del dinero negro en el sistema financiero, a través de entidades nacionales o transfiriéndolo a otras situadas en territorios opacos. En esta fase es dónde el sujeto debe hacer un mayor uso de su ingenio ya que no debe levantar las sospechas de los sujetos obligados a prevenir el blanqueo de capitales, por ello se suele hacer uso de programas de compliance penal para limitar la responsabilidad de las personas jurídicas o fraccionar las cantidades y diversificarlas entre las distintas entidades de crédito (conocido también como smurfing o pitufeo), entre otras técnicas. La fase de encubrimiento o layering. Una vez lograda la ocultación de su origen delictivo, se realizan una serie de transacciones financieras, en las que el dinero se mueve sucesivamente para desvincular al blanqueador de la actividad. Así, una vez introducido en el sistema económico, los activos se envían a través de distintos métodos como son; la adquisición de instrumentos financieros, la transferencia electrónica de fondos a bancos o sociedades extraterritoriales, centros off-shore, todo ello para evitar la trazabilidad del dinero por parte de las autoridades. El objetivo es borrar el rastro del dinero y garantizar que cualquier esfuerzo por seguir la pista de su origen sea frustrado por la existencia de un complejo entramado de sociedades y de legislaciones aplicables. En esta fase del blanqueo entran en juego las estructuras formadas por las sociedades pantallas, las sociedades y entidades de crédito en paraísos fiscales, los fideicomisos o las técnicas como el “sándwich holandés”. La fase de integración o integrationes la última fase, en ella el capital blanqueado vuelve a la economía con la apariencia de dinero legal. Algunas de las formas mediante las cuales este dinero se pone a disposición de sus titulares para que pueda emplearlo para sus fines personales o económicos son los préstamos simulados o inversiones realizadas desde un centro off-shore al blanqueador, o bien invirtiéndolo en sociedades que realizan fines lícitos de forma que el dinero negro se mezcla con dinero de origen legal. La construcción de esta ingeniería jurídica está orientada a disfrutar las ganancias obtenidas de forma ilícita distanciándose del delito para operar en el mercado como uno más. En definitiva, hay que tener en cuenta que en esta arquitectura de blanqueo de capitales en muchos casos intervienen un gran número de personas y de entramados de distinta naturaleza, que hace a veces complicado la identificación de las distintas fases.   Alicia García Fernández (Consultora ESOC by LEGITEC)

AEPD: Decálogo de protección de datos para los profesionales de la salud

Los profesionales sanitarios manejan a diario una gran cantidad de datos personales de pacientes. Muchos de los cuales entran en la categoría de datos personales de carácter sensible. Con el objetivo de ayudar a estos profesionales a cumplir con la normativa, desde la Agencia Española de Protección de Datos (AEPD) ponen a su disposición un decálogo con buenas prácticas. En Legitec explicamos a continuación este decálogo de protección de datos. Enfocado a los profesionales sanitarios y administrativos de los centros de salud, hospitales, consultas públicas o privadas. 1-No hagas lo que no te gusta que te hagan a ti. Por tanto, debes tratar los datos personales de los pacientes como si fueran los tuyos propios. 2-No cotillees los historiales. Solo debes acceder a los datos e historiales que sean necesarios para la óptima realización de tu trabajo. 3-Todo queda registrado. El cotilleo te puede salir caro. Todos los accesos que hagas usando tu usuario y contraseña se registran en los sistemas informáticos y estos accesos son auditados. Tu actividad está constantemente monitoreada. 4-No puedes compartir información de las historias clínicas. Son datos privados, personales y sensibles y solo puede compartirse la información con las personas que tratan a estos pacientes y con las personas que el paciente haya consentido que sepan sus datos. 5-Tu usuario y contraseña no puede ser compartido con otros. Protege información sensible, que solo tú puedes acceder con est clave. Además recuerda que los ordenadores en los que accedes son de uso compartido, por lo que no dejes tu sesión abierta, para que pueda revisarla el siguiente usuario. Cierra siempre tus accesos. 6-No debes compartir estos datos personales a través de email o wifi. Si lo haces, siempre deben estar cifrados, para que no se filtren. 7-Si imprimes documentos o manejas copias de historiales en papel, siempre deben estar en tu poder, no puedes perderlos, ni dejarlos a la vista de terceros. Cuando ya no sean necesarios destrúyelos. 8-Si tienes acceso a archivadores o armarios con documentación, siempre deben estar los documentos bajo llave y cerrar el armario cuando termines de consultar la información guardada en ellos. 9-No puedes dejar a la vista documentos con datos personales. Pueden ser robados o ojeados por personas que no tiene consentimiento para tratar estos datos. 10-Si te gusta ser ordenado y hacer documentos con datos de terceros. No puedes crear ficheros con datos personales de pacientes por tu cuenta. Pueden acabar en manos de terceros. Solo puedes usar las fuentes y herramientas que cumplan las especificaciones técnicas de seguridad que expone la Ley. Es imprescindible para evitar sanciones y multas que los profesionales sanitarios cumplen con la normativa en materia de Protección de Datos, estos consejos de la AEPD, son muy útiles para evitar fuga de datos.

Jornada: LA NUEVA LEY DE PROTECCIÓN DE DATOS PARA ARQUITECTOS

El próximo 27 de Febrero impartiremos una charla sobre la nueva normativa de Protección de Datos en el Colegio de Arquitectos de Murcia, con el objetivo de dar conocer de forma clara y directa, los retos que plantea el Reglamento Europeo y la nueva Ley de Protección de datos española (LOPDGDD) a la actividad profesional del arquitecto. Programa: Conceptos previos de protección de datos Evolución legislativa Principios aplicables en el tratamiento de datos personales Pasos del arquitecto para la adaptación a la normativa #RGPD #LOPDGDD Inscripciones a través de la web del COAMU Ampliar información sobre la jornada

Fingerprinting o Huella digital del dispositivo

Fingerprinting o Huella digital del dispositivo, estudio de la AEPD

La Agencia Española de Protección de Datos (AEPD) ha publicado un estudio sobre el Fingerprinting o Huella digital del dispositivo. Analiza cómo esta huella digital afecta a la privacidad de los usuarios. Da medidas para que el usuario evite esta recopilación de datos y recomendaciones a los desarrolladores web para cumplir la normativa de protección de datos. La Agencia explica en su estudio que la huella digital del dispositivo es un conjunto de datos extraídos del terminal del usuario que permiten individualizar de forma unívoca dicho terminal. Teniendo en cuenta que lo habitual es que las personas no compartan sus equipos, ya sea este un teléfono móvil, tableta, portátil u ordenador de trabajo, individualizar el terminal supone individualizar a la persona que lo utiliza. Este hecho hace que las organizaciones que utilizan los mecanismos de huella digital, pueden hacer una recopilación sistemática de información de todos los terminales que se conecten a sus servidores. De este modo consiguen individualizar cada usuario y poder hacer un seguimiento de la navegación del usuario para construir un perfil de éste. El estudio que está disponible en el enlace del primer párrafo, analiza más de 14.000 páginas web dirigidas al público español. Indicando cómo realizan y las técnicas que utilizan para individualizar y crear estos perfiles de usuarios. Conclusiones del estudio Fingerprinting o Huella digital del dispositivo Entre las conclusiones del estudio destacan no solo las técnicas, sino la cantidad tan extensa de datos que llegan a recabar los desarrolladores web. Muchos de los cuales, se consideran de categoría sensible. Además, en muchos casos esta recogida de datos no cumple lo dispuesto en la Ley, ya que no piden un consentimiento expreso ni informado al usuario. Además, la Agencia resalta que en la mayoría de las webs analizadas, no se dan herramientas al usuario para que pueda evitar la recogida de datos, ni los medios para que ejerza sus derechos, definidos en el Reglamento General de Protección de Datos europeo (RGPD). Medidas para el usuario En la publicación aparecen una serie de medidas para evitar esta singularización y perfilado de los usuarios. Aconseja entre otras medidas activar la opción Do Not Track (DNT) del navegador, activación de bloqueadores de publicidad (los bloqueadores más eficaces son Ghostery y uBlock Origin), deshabilitar el uso de Javascript, alternar el uso de navegadores, ejecución del acceso a Internet en máquinas virtuales, reducir la instalación de otro tipo de extensiones en el navegador. Por otra parte, no son eficaces para evitar la singularización el uso de la navegación en incógnito y la utilización de redes de anonimización o VPNs. Recomendaciones desarrolladores Las recomendaciones que da la Agencia a los desarrolladores, es que estén activadas todas las opciones de privacidad por defecto, y sea el usuario quien decida reducir este nivel de privacidad. Como buena práctica, los navegadores podrían tener la opción DNT activada por defecto. Uso de la huella digital Por su parte, las organizaciones que quieran utilizar esta huella digital, deben abstenerse de recabar y tratar los datos si el usuario no ha dado su consentimiento expreso e informado para ello. Si el usuario tiene habilitada DNT debería ser interpretado como una negativa clara a la recogida y tratamiento de datos. En caso de no tener activada el DNT, debe pedirse el consentimiento de forma clara y expresa, al igual que la opción de retirar este consentimiento. La AEPD también recomienda a estas entidades que tratan los datos de la huella digital, que cuentan con un Delegado de Protección de Datos, realicen un análisis de riesgo de protección de datos relativos a los derechos y libertades de los afectados. Si el riesgo es elevado, entonces deben realizar una Evaluación de Impacto para la Protección de Datos (EIPD) para establecer las medidas necesarias que garanticen la protección de los derechos de los usuarios. El estudio concluye diciendo que el tratamiento de datos mediante técnicas de huella del dispositivo ha de seguir los criterios recogidos en la ‘Guía del Uso de Cookies’ de la AEPD y lo establecido en el Reglamento General de Protección de Datos en los tratamiento de datos de carácter personal.