Noticias y Actualidad

El próximo 27 de Febrero impartiremos una charla sobre la nueva normativa de Protección de Datos en el Colegio de Arquitectos de Murcia, con el objetivo de dar conocer de forma clara y directa, los retos que plantea el Reglamento Europeo y la nueva Ley de Protección de datos española (LOPDGDD) a la actividad profesional del arquitecto. Programa: Conceptos previos de protección de datos Evolución legislativa Principios aplicables en el tratamiento de datos personales Pasos del arquitecto para la adaptación a la normativa #RGPD #LOPDGDD Inscripciones a través de la web del COAMU Ampliar información sobre la jornada

La Agencia Española de Protección de Datos (AEPD) ha publicado un estudio sobre el Fingerprinting o Huella digital del dispositivo. Analiza cómo esta huella digital afecta a la privacidad de los usuarios. Da medidas para que el usuario evite esta recopilación de datos y recomendaciones a los desarrolladores web para cumplir la normativa de protección de datos. La Agencia explica en su estudio que la huella digital del dispositivo es un conjunto de datos extraídos del terminal del usuario que permiten individualizar de forma unívoca dicho terminal. Teniendo en cuenta que lo habitual es que las personas no compartan sus equipos, ya sea este un teléfono móvil, tableta, portátil u ordenador de trabajo, individualizar el terminal supone individualizar a la persona que lo utiliza. Este hecho hace que las organizaciones que utilizan los mecanismos de huella digital, pueden hacer una recopilación sistemática de información de todos los terminales que se conecten a sus servidores. De este modo consiguen individualizar cada usuario y poder hacer un seguimiento de la navegación del usuario para construir un perfil de éste. El estudio que está disponible en el enlace del primer párrafo, analiza más de 14.000 páginas web dirigidas al público español. Indicando cómo realizan y las técnicas que utilizan para individualizar y crear estos perfiles de usuarios. Conclusiones del estudio Fingerprinting o Huella digital del dispositivo Entre las conclusiones del estudio destacan no solo las técnicas, sino la cantidad tan extensa de datos que llegan a recabar los desarrolladores web. Muchos de los cuales, se consideran de categoría sensible. Además, en muchos casos esta recogida de datos no cumple lo dispuesto en la Ley, ya que no piden un consentimiento expreso ni informado al usuario. Además, la Agencia resalta que en la mayoría de las webs analizadas, no se dan herramientas al usuario para que pueda evitar la recogida de datos, ni los medios para que ejerza sus derechos, definidos en el Reglamento General de Protección de Datos europeo (RGPD). Medidas para el usuario En la publicación aparecen una serie de medidas para evitar esta singularización y perfilado de los usuarios. Aconseja entre otras medidas activar la opción Do Not Track (DNT) del navegador, activación de bloqueadores de publicidad (los bloqueadores más eficaces son Ghostery y uBlock Origin), deshabilitar el uso de Javascript, alternar el uso de navegadores, ejecución del acceso a Internet en máquinas virtuales, reducir la instalación de otro tipo de extensiones en el navegador. Por otra parte, no son eficaces para evitar la singularización el uso de la navegación en incógnito y la utilización de redes de anonimización o VPNs. Recomendaciones desarrolladores Las recomendaciones que da la Agencia a los desarrolladores, es que estén activadas todas las opciones de privacidad por defecto, y sea el usuario quien decida reducir este nivel de privacidad. Como buena práctica, los navegadores podrían tener la opción DNT activada por defecto. Uso de la huella digital Por su parte, las organizaciones que quieran utilizar esta huella digital, deben abstenerse de recabar y tratar los datos si el usuario no ha dado su consentimiento expreso e informado para ello. Si el usuario tiene habilitada DNT debería ser interpretado como una negativa clara a la recogida y tratamiento de datos. En caso de no tener activada el DNT, debe pedirse el consentimiento de forma clara y expresa, al igual que la opción de retirar este consentimiento. La AEPD también recomienda a estas entidades que tratan los datos de la huella digital, que cuentan con un Delegado de Protección de Datos, realicen un análisis de riesgo de protección de datos relativos a los derechos y libertades de los afectados. Si el riesgo es elevado, entonces deben realizar una Evaluación de Impacto para la Protección de Datos (EIPD) para establecer las medidas necesarias que garanticen la protección de los derechos de los usuarios. El estudio concluye diciendo que el tratamiento de datos mediante técnicas de huella del dispositivo ha de seguir los criterios recogidos en la ‘Guía del Uso de Cookies’ de la AEPD y lo establecido en el Reglamento General de Protección de Datos en los tratamiento de datos de carácter personal.

Creo conveniente empezar este post tratando de diferenciar dos aspectos fundamentales cuando hablamos de la protección del consumidor en la contratación a través de medios electrónicos. Por un lado, nos encontraremos con el deber de información al consumidor y, por otro lado, con el derecho de desistimiento. Los contratos celebrados a través de Internet son contratos que quedan regulados en el Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios (TRLGDCU) por lo que se deberán cumplir todas y cada una de las obligaciones dispuestas en dicha ley, debiéndose a su vez cumplir con aquellas que quedan establecidas en otra norma, la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI). Información al consumidor Encontramos un primer momento donde se podría empezar a hablar de la protección del consumidor y es en la información previa que se debe facilitar a este cuando adquiere bienes o contrata servicios a través de medios electrónicos. En este momento, el empresario, debe facilitar al consumidor de forma clara y comprensible la siguiente información según lo dispuesto en el art. 60 TRLGDCU:             – Las características principales de los bienes o servicios             – La identidad del empresario, incluidos los datos correspondientes a la razón social, el nombre comercial, su dirección completa y su número de teléfono y, en su caso, la identidad del empresario por cuya cuenta actúe             – El precio total, incluidos todos los impuestos y tasas. Si no pudiera calcularse en un primer momento el precio del bien, debería informarse sobre la forma de determinar el precio, además de los gastos adicionales de transporte o entrega             – Los procedimientos de pago, entrega o ejecución, así como la fecha en que el empresario se compromete a entregar el bien o a ejecutar la prestación del servicio             – Existencia de una garantía legal para el bien adquirido o el servicio contratado             – La duración del contrato, o, si este no tiene una duración determinada o se prolonga de forma automática, las condiciones de resolución. Deberá indicarse la existencia de compromisos de permanencia o vinculación de uso exclusivo de los servicios de un determinado prestador, así como las penalizaciones en caso de baja en la prestación del servicio             –  La lengua o lenguas en las que podrá formalizarse el contrato             – La existencia del derecho de desistimiento que pueda corresponder y el plazo y la forma de ejercitarlo             – La funcionalidad de los contenidos digitales, incluidas las medidas técnicas de protección aplicables             – Toda interoperabilidad relevante del contenido digital con los aparatos y programas conocidos por el empresario (sistema operativo, la versión necesaria o determinados elementos de los soportes físicos)             – El procedimiento para atender las reclamaciones de los consumidores, así como, la información sobre el sistema extrajudicial de resolución de conflictos. Información según LSSI Además de lo dispuesto en la norma a la que nos hemos referido anteriormente, el empresario, en virtud de lo dispuesto en el art. 27 de la LSSI, debe poner a disposición del destinatario, antes de iniciar el procedimiento de contratación y mediante técnicas adecuadas al medio de comunicación utilizado, de forma permanente, fácil y gratuita, información clara, comprensible e inequívoca sobre los siguientes extremos:             – Los distintos trámites que deben seguirse para celebrar el contrato.             –  Si el prestador va a archivar el documento electrónico en que se formalice el contrato y si éste va a ser accesible.             – Los medios técnicos que pone a su disposición para identificar y corregir errores en la introducción de los datos, y             – La lengua o lenguas en que podrá formalizarse el contrato. Estos extremos no deberán ser aplicados cuando las partes del contrato no tengan la consideración de consumidor o cuando el contrato se haya celebrado exclusivamente mediante intercambio de correos electrónicos u otro tipo de comunicación electrónica equivalente. Una vez perfeccionado el contrato, el consumidor, debe ser informado de nuevos aspectos. Entre dichos aspectos, encontramos uno que debemos destacar: La confirmación por parte del empresario del contrato celebrado en un formato duradero, entendiendo como formato duradero, aquel instrumento que permita al consumidor o al empresario almacenar la información de forma que, en el futuro, pueda ser recuperada fácilmente. Derecho de desistimiento Posteriormente, en un segundo momento, podemos encontrar la protección del consumidor en el derecho de desistimiento. Este, que se encuentra regulado en el TRLGDCU, queda establecido como el derecho que tiene el consumidor a desistir del contrato durante un periodo de 14 días naturales, sin necesidad de indicar motivo alguno y sin necesidad de incurrir en ningún gasto salvo supuestos muy específicos. Este derecho tiene sus excepciones, de entre las que podemos destacar las siguientes:             – El suministro de bienes confeccionados conforme a las especificaciones del consumidor             – El suministro de bienes que puedan deteriorarse             – El suministro de bienes precintados que no sean aptos para ser devueltos por razones de protección de la salud o de higiene y que hayan sido desprecintados tras la entrega             – El suministro de grabaciones sonoras o de vídeo precintadas o de programas informáticos precintados que hayan sido desprecintados por el consumidor después de la entrega. Respecto al comienzo del computo de plazo, se debe diferenciar entre la contratación de servicios, donde el cómputo de plazo comienza desde el día de la celebración del contrato y entre la adquisición de un bien, donde el cómputo de plazo comienza en el momento en que el consumidor o un tercero por el indicado, adquiera la posesión material del bien. Una vez ejercido el derecho de desistimiento por parte de consumidor, el empresario, deberá reembolsar a este todo pago recibido, incluidos los costes de entrega y siempre, antes de los 14 días naturales desde que haya recibido la decisión de desistimiento del contrato. Os podemos ayudar Desde Legitec nos esmeramos

La Agencia Española de Protección de Datos ha publicado su informe anual, donde se comunica la situación de cumplimiento de su Plan Estratégico 2015-2019. En el ejercicio 2018 este grado de cumplimiento ha sido del 96%, dejando 4 acciones aplazadas para este año en el que estamos, 2019. En el siguiente enlace se puede acceder al Informe completo, de 125 páginas. En el año 2018, tercer año de ejecución del Plan Estratégico de la AEPD, se han ejecutado 48 iniciativas de ejecución continua o plurianual y 34 de ejecución continua a anual/bianual. Han quedado aplazadas tres iniciativas que se contemplaban para el ejercicio 2018, pero que pasan a 2019. Se trata de la actualización de la Guía de Cookies, la creación de un espacio Web para desarrolladores y la elaboración de un tesauro de protección de datos para facilitar la búsqueda de la información disponible en la web de la Agencia. Cuando la Agencia presentó su Plan Estratégico señaló el carácter dinámico del mismo, que se muestra con la incorporación, según las necesidades de nuevas iniciativas. Así, aunque en un principio para el ejercicio 2018 estaban contempladas un total de 74 iniciativas, la actualidad y necesidades ha hecho que se incorporasen otras 7. Se puede ver todas las iniciativas y su grado de cumplimiento en estas fichas elaboradas por la AEPD. Ejes de actuación del Plan Estratégico de la AEPD 2015-2019 El Plan Estratégico de la AEPD se divide en cinco ejes distintos de actuación. Eje 1. Prevención para una protección eficaz. Eje 2. Innovación y protección de datos: factor de confianza y garantía de calidad. Eje 3. Una agencia colaboradora, transparente y participativa. Eje 4. Una agencia cercana a los responsables y a los profesionales de la privacidad. Eje 5. Una agencia más ágil y eficiente. Iniciativas incorporadas en el ejercicio 2018 Las siete iniciativas incorporadas al cronograma del Plan para su ejecución durante 2018, han sido: Orientaciones/recomendaciones sobre juguetes conectados. Actuaciones en el ámbito sanitario, farmacéutico y de la investigación biomédica. Colaboración con la Comisión Nacional de los Mercados y la Competencia. Colaboración con el servicio 060 (Portal de Atención Ciudadana de la AGE). Encuentro sobre Compra Segura en Internet. Listado de Cumplimiento Normativo. Encuentro con Delegados de Protección de Datos de las Diputaciones Provinciales. Por otra parte, se han descartado cuatro iniciativas que contemplaba el cronograma: Guía de Universidades, que se integra en la Guía de Centros Docentes, Guía de Empleados Públicos, Proyecto Archive y Reglamento de la LOPD. Iniciativas incorporadas al ejercicio 2019 Además de las 3 iniciativas aplazadas para 2019, se incorporan al Plan para ser ejecutadas en su último año de vigencia, otras 14 acciones. Son las siguientes. Site Web sobre reclamaciones en materia de contratación eléctrica y gas. Encuentro con Delegados de Protección de Datos de Universidades. Jornada de formación en el RGPD con la Audiencia Nacional. Orientaciones sobre el tratamiento de los datos personales en la actividad de los partidos políticos. Convenio de colaboración con el Centro para el Desarrollo Tecnológico Industrial (CDTI). Estudio de privacidad en dispositivos y aplicaciones móviles para la monitorización de la actividad física, el bienestar y la salud. Estudio de privacidad de aplicaciones para su uso en el aula en entornos de educación obligatoria. Orientaciones en protección de datos para operadores de drones. Análisis comparativo de privacidad en navegadores web. Orientaciones sobre el tratamiento de datos biométricos. Herramienta de evaluación de impacto en protección de datos (EIPD) para Administraciones Públicas. Herramienta de análisis de riesgos para PYME. Herramienta de evaluación de impacto en protección de datos (EIPD) para PYME. Desde Legitec queremos aprovechar estas líneas para Felicitar a la Agencia Española de Protección de Datos por su gran labor.

La Oficina de Seguridad del Internauta (OSI) y el Instituto Nacional de Ciberseguridad (INCIBE) han alertado de una nueva campaña de phishing que pretende robar tus datos personales y bancarios haciéndose pasar por Hacienda. El fraude consiste en el envío de un email suplantando a la Agencia Tributaria, en el que se informa que el usuario es acreedor de un reembolso económico por parte de la Hacienda Pública. Para cobrar este dinero debe acceder a un enlace que aparece en el email y que deriva a un formulario. El usuario debe rellenar el formulario con una serie de datos personales y bancarios para poder percibir la devolución del dinero. Cómo actuar ante el phishing Desde la OSI y el INCIBE alertan de la necesidad de no realizar ningún trámite ni rellenar el formulario, con el fin de evitar que nuestros datos personales y bancarios queden comprometidos. Se debe hacer caso omiso al email en caso de recibirlo en nuestra bandeja de entrada. Phishing con Hacienda En las siguientes imágenes extraídas de la web de la OSI se muestra cómo es el mecanismos de esta nueva campaña de phishing. Como vemos en la primera imagen superior, el usuario recibe un email con el asunto “Nuevo mensaje:Código Numérico”, el emisor del mensaje no es la Agencia Tributaria. Es importante fijarse en los remitentes antes de abrir un mensaje y no hacerlo cuando son remitentes desconocidos. En el texto del mensaje se puede leer que al usuario le corresponde un reembolso de 350.16 €. En caso de querer recibir esta cantidad de dinero debe acceder a un enlace web que aparece al final del texto. Una vez que hemos accedido al enlace nos encontramos con una pantalla que simula ser la web de la Agencia Tributaria, pero que no lo és. Ya que la Agencia siempre trabaja con protocolos seguros https y con certificados digitales o claves PIN. En la página se muestra un formulario en el que se piden datos personales y bancarios del usuario incluidas números de tarjeta bancaria y datos de acceso a la Agencia Tributaria: usuario y clave, con las que operamos en la sede electrónica de la Agencia. Una vez introducidos los datos y hacer clic en “Entrar”, se nos muestra el siguiente mensaje: “Por favor espere, mientras procesamos su solicitud. Por favor, espere y no cierre la ventana”. Pasados unos momentos, la página vuelve a cargarse y aparece el siguiente mensaje, indicando que el usuario recibirá un SMS con un código que debe introducir. Qué hacer si caes en el phishing En caso de que no hayamos detectado el fraude y hayamos rellenado y completado los pasos, desde OSI nos recomiendan contactar con nuestro banco para comentar la situación y evitar que suframos fraude. Además nos aconsejan buscar periódicamente nuestra información personal en los buscadores para saber qué circula por la red y en caso de ver datos que no queremos que estén, contactar con la Agencia de Protección de Datos para exigir nuestros derechos de acceso, rectificación, cancelación u oposición (ARCO) al tratamiento de nuestros datos personales. Si has sido destinatario de esta campaña de phishing o de otras comunica a las autoridades este hecho y denuncia. Puedes informarte de cómo actuar en la Línea de ayuda en ciberseguridad de INCIBE. Teléfono: 900.116.117.

Hemos comentado en varias de nuestras noticias que desde el 06 de diciembre de 2018 tenemos una nueva Ley de protección de datos, concretamente la Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales. (LOPDPyGDD). Esta norma viene a complementar el muy mentado Reglamento Europeo de Protección de datos (RGPD), por lo que ha aprovechado el legislador para regular puntos en los cuales el RGPD no se había detenido.Uno de esos puntos, es la creación de sistemas de exclusión publicitaria. Estos sistemas ya estaban regulados en el anterior Reglamento de protección de datos, que data del 2007, y fruto del mismo se habían creado algunas listas de exclusión. La más conocida era la denominada Lista Robinson , que podemos todavía consultar en www.listarobinson.es .Por su parte, la LOPDPyGDD, en su Artículo 23 establece, a groso modo:• Que las entidades responsables de los sistemas de exclusión publicitaria comunicarán a la autoridad de control competente su creación, de carácter general o sectorial, así como el modo en que los afectados pueden incorporarse al mismo.• Cuando un afectado manifieste a un Responsable de Tratamiento su deseo de que sus datos no sean tratados para la remisión de comunicaciones comerciales, éste deberá informarle de los sistemas de exclusión publicitaria existentes.• Las organizaciones que pretendan realizar comunicaciones de mercadotecnia directa (El envío de cualquier newsletter o boletín informativo), deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación, excluyendo del tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa al mismo. No será necesario realizar la consulta a la que se refiere el párrafo anterior cuando el afectado hubiera prestado su consentimiento expreso para recibir la comunicación, por lo que sólo tendremos que consultar las citadas listas cuando los envíos comerciales que realicemos estén basados en el interés legítimo. Por ejemplo. Cuando enviemos una newsletter a clientes de los cuales no tengamos un consentimiento expreso para el envío de publicidad.Hasta ahora, no tenemos conocimiento de que la Agencia Española de Protección de datos haya publicado en su sede electrónica ninguna lista de exclusión, pero en sucesivas noticias os iremos informando de la evolución de estas listas, además, si desean obtener información adicional, no duden en ponerse en contacto con Legitec para asesorarse sobre éste y otros aspectos relacionados con la protección de datos.

En este artículo me gustaría tratar brevemente lo que se ha denominado “canal de denuncias”. Como expuso el abogado José Antonio Sánchez Pérez en las IV jornadas sobre prevención y represión del blanqueo de capitales que tuvieron lugar en Valencia, el canal de denuncias se configura como un sistema o vehículo de comunicación bidireccional, que tiene por objetivo la atención a cualquier denuncia, comunicación o consulta realizada por los trabajadores y grupos de interés – “stakeholders”-, de una organización. Estas denuncias o comunicaciones deben ser relativas a actuaciones o comportamientos contrarios a la normativa vigente, o que vulneren los códigos de conducta y/o protocolos internos que tenga implantados la entidad en su fuero interno. La Directiva (UE) 2015/849 del Parlamento Europeo y del Consejo, de 20 de mayo de 2015, relativa a la prevención de la utilización del sistema financiero para el blanqueo de capitales o la financiación del terrorismo, establece en su artículo 61 la necesidad de que los Estados miembros garanticen el establecimiento de mecanismo eficaces y fiables para alentar que se informe a las autoridades competentes de infracciones potenciales o reales de las disposiciones de la citada normativa. Es obligación de los Estados miembros establecer, a través de los organismos y mecanismos oportunos, un canal de comunicación seguro de comunicación para la transmisión de información, debiendo este canal garantizar el anonimato y la confidencialidad entre el emisor de la información -denunciante- y el organismo encargado de analizar la información facilitada. La figura del canal de denuncias incorporada a la normativa europea ha sido exportada de la legislación estadounidense, en concreto de la Lloyd–La Follete Act de 1912, la Whistleblower Protection Act de 1989 y de la Sarbanes–Oxley Actde 2002. A nivel nacional, el Código Penal recoge, en su artículo 31 bis.5.4, la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento del modelo de prevención. Por su parte, la nueva LOPDGDD establece en su artículo 24 el esquema básico de funcionamiento del canal de denuncia remarcando, entre otros aspectos, la necesidad de que el mismo preserve y garantice la confidencialidad del mensaje y proteja la identidad del denunciante. A nivel internacional, es la norma ISO 19600:2014, relativa a sistemas de gestión de compliance, la que recoge la posibilidad de creación del canal como herramienta efectiva de comunicación, sin perjuicio de la implantación de otras herramientas o sistemas. Respecto a la efectiva implantación del canal de denuncias, las organizaciones deben establecer una serie de principios rectores del funcionamiento, y deben asegurarse de que los mismos son conocidos por todos aquellos interesados y potenciales usuarios del canal. En todo caso, y como principios rectores, esta herramienta debe ser totalmente confidencial, se debe realizar siempre un exhaustivo análisis de los hechos que se denuncian -con el objeto de asegurar la veracidad del incumplimiento denunciado-, se debe garantizar la presunción de inocencia de las personas implicadas. Asimismo, deben imperar, como principios rectores, el rigor y la fundamentación de todas aquellas actuaciones llevadas a cabo a tenor de las comunicaciones recibidas. En conclusión, la implantación de un canal de denuncias es un elemento clave para la prevención y detección de todo tipo de actuaciones irregulares e ilícitos penales, limitando las posibles responsabilidades penales y perjuicios de carácter reputacional, siendo una herramienta especialmente interesante para la mejora de los procesos internos de la organización. El canal de denuncia correctamente implantado en el seno de una organización también es un elemento útil para ponderar el grado de responsabilidad social de la misma. Cuando el canal de denuncias se lleva a término de forma externalizada, este aspecto da información sobre el grado de madurez del modelo de prevención implantado por la organización. Guillermo Coloma Serna (Consultor ESOC by LEGITEC)

Los nuevos cambios normativos introducidos en los últimos tiempos en materia de protección de datos, en un principio por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (en adelante RGPD), y, posteriormente, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPD-GDD), permite observar importantes similitudes entre la regulación en esta materia y otros sistemas de Compliance. ANÁLISIS DE RIESGOS Y EVALUACIÓN DE IMPACTO El análisis de los riesgos relativos al tratamiento nos permite controlar la incertidumbre relativa a una amenaza mediante una secuencia de actividades que incluyen la identificación y evaluación del riesgo, así como, las medidas para su reducción o mitigación. Una vez evaluado el riesgo, el artículo 35 RGPD establece que cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Es decir, en los supuestos en los cuales existan riesgo de incumplir la normativa, se evaluará el potencial impacto que supondría en caso de producirse, en los derechos y libertades de las personas físicas afectadas. El análisis de riesgos y la evaluación de impacto en materia de protección de datos la podríamos asemejar a la identificación, análisis y valoración de los riesgos penales que se realiza en la primera fase de implantación de un Sistema de Compliance para definir el programa de cumplimiento. Una vez analizados los riesgos y sus consecuencias, debemos establecer y valorar los controles para prevenir o detectar la posible ocurrencia de los mismos. CANAL DE DENUNCIAS INTERNO En este sentido, el artículo 24 de la LOPD-GDD promueve la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable. Los empleados y terceros deberán ser informados acerca de la existencia de estos sistemas de información. El acceso a los datos contenidos en estos sistemas será limitado exclusivamente a quienes desarrollen las funciones de control interno y de cumplimiento, o a los encargados del tratamiento que eventualmente se designen a tal efecto. Dentro de los protocolos de actuación que incluyen la segunda fase del Sistema de Compliance, comprende la definición del funcionamiento de un Canal de Denuncias, que permitirá la realización de consultas y la comunicación de situaciones ilícitas o contrarias al marco ético o a las políticas internas. DELEGADO DE PROTECCIÓN DE DATOS/COMPLIANCE OFFICER Dentro de las novedades del nuevo marco legal en protección de datos nos encontramos la aparición de un nuevo órgano de control: el Delegado de Protección de Datos (DPO), figura introducida por el RGPD (artículos 37 a 39) y reforzada en la LOPD-GDD (artículos 34 a 37). Si atendemos a las funciones de ambos, el DPO se asemeja al Compliance Officer, en los términos recogidos en el Código Penal en su artículo 31bis, al ser un órgano encargado de asesorar, controlar y supervisar el cumplimiento de la normativa. RESPONSABILIDAD PROACTIVA El RGPD introduce el Principio de Responsabilidad Proactiva (artículo 5.2) entendiendo que el responsable del tratamiento será responsable del cumplimiento de los principios relativos al tratamiento y, además, capaz de demostrarlo. La Ley 31/2014, de 3 de diciembre, por la que se modifica la Ley de Sociedades de Capital para la mejora del gobierno corporativo, introduce cambios en los órganos de administración de todas las sociedades entre los cuales que, los mismos, deberán actuar con la diligencia y lealtad debidas y que, además, deberán poder demostrarlo. En este punto, la diligencia debida en el contexto del Sistema de Compliance podríamos definirla como el adecuado cumplimiento de los requisitos y obligaciones de carácter penal por parte de los grupos de interés, especialmente de los propios miembros de la Organización (proyección interna) y de los socios de negocio (proyección externa). FORMACIÓN Dentro de las funciones del DPO y, en cumplimiento del principio de Responsabilidad Proactiva, se encuentra la de supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes. La formación y concienciación del personal con acceso a los datos personales se configura, en este sentido, como un pilar fundamental para evidenciar la responsabilidad proactiva. Dentro del Sistema de Compliance, el proyecto se completa con el diseño y ejecución de un plan de formación y concienciación a los miembros de la organización (Dirección, mandos intermedios, empleados y colaboradores en general). No podrá evidenciarse la idoneidad del sistema si no se lleva a cabo una formación continua adaptada a los roles y circunstancias específicas de cada área, dando a conocer las políticas, procedimientos y canales con que cuenta y las consecuencias de su incumplimiento. En definitiva, nos encontramos que, con el nuevo marco legal de protección de datos, se han introducido mecanismos de control similares a los de Compliance, detectándose una tendencia hacia la autorregulación de las empresas, en virtud del análisis desde el riesgo, y la supervisión dentro de la organización por parte de figuras autónomas e independientes. Visita nuestra web e infórmate de cómo implementar un sistema que integre Protección de Datos y

Los hogares inteligentes o smart homes utilizan el Internet de las Cosas, es decir los dispositivos y sensores conectados entre sí para facilitarnos el día a día. Podemos subir o bajar la intensidad de la luz, saber qué tenemos en la nevera, la despensa, cerrar la puerta a distancia, instalar la alarma, ver nuestro hogar, encender la televisión… y todo aquello que nos podamos, o no imaginar. Cada vez son más los hogares que se unen a la domótica, la tecnología que nos permite disfrutar de hogares inteligentes. Desde una pantalla táctil (tablet, móvil, ordenador…) con conexión a Internet, el propietario controla su hogar. Además de hacernos la vida más fácil, son muchas las ventajas que tienen estos hogares inteligentes. Nos permiten llevar un control y reducir el gasto del hogar (electricidad, agua, calefacción, gas…). Pero estos smart homes no están exentos de riesgos. Desde la Oficina de Seguridad del Internauta nos recuerdan que como toda tecnología que está conectada a Internet nos encontramos en riesgo de sufrir ciberataques. La mayoría de los sistemas de casas inteligentes se manejan desde una Aplicación, la cual solo nos pide un usuario y una contraseña. De ahí la importancia de elegir contraseñas seguras: más de 8 caracteres, mezclar minúsculas, mayúsculas y caracteres numéricos. Cuanto más segura sea la contraseña más difícil será que nos hackeen. También es importante tener actualizados los sistemas informáticos, tanto el software como los antivirus, para evitar ataques de ciberdelincuentes. Antes de instalar un sistema es conveniente informarnos sobre las opiniones de los expertos y saber qué vulnerabilidades tiene. Es necesario además revisar y leer las condiciones del servicio y la política de privacidad de cada aplicación y sistema. Debemos saber qué hacen las empresas con nuestros datos personales y como tratan esta información tan privada: ¿qué información recoge el dispositivo?, ¿qué hace la empresa fabricante con esa información?, ¿es compartida con terceras empresas?, ¿dónde y cómo se guarda esta información, y por cuánto tiempo?, ¿el consumidor tiene control sobre qué información desea compartir? Un ejemplo de sus riesgos: La equivocación de Amazon Esta semana se ha conocido el gran error que cometió Amazon al enviar los archivos recogidos por sus sistema Alexa, smart home a un usuario que no se correspondía con el propietario de ese hogar. Concretamente un usuario de Amazon le pidió a esta compañía que le enviará un archivo con todos los datos personales que tenía la firma sobre él. Amparando su petición en los derechos que le reconoce el Reglamento Europeo de Protección de Datos. Amazon le envió el archivo, pero fue el archivo equivocado. En él había datos e información sobre el hogar de otro usuario que hacía uso de su sistema Alexa, asistente virtual de Amazon que nos permite domotizar nuestro hogar. De esta forma el usuario que solicitó la información pudo conocer intimidades e invadir la privacidad de otra persona. Desde la compañía se asegura que fue fruto de un error humano, pero queda expuesto la vulnerabilidad de estos sistemas. Pero también se han dado casos en los que el error ha sido del propio asistente virtual, al haber malinterpretado una orden. Desde Legitec os recordamos la importancia de conocer los riesgos de cualquier sistema conectado a Internet. Es importante tener toda la información antes de instalar o acceder a un servicio.

La Agencia Española de Protección de Datos (AEPD) ha elaborado un informe que analiza el tratamiento de datos por parte de los partidos, tras los cambios realizados en las regulaciones en materia de protección de datos y del régimen electoral general (LOREG). La llegada de las nuevas tecnologías y técnicas como el Big Data han supuesto cambios en muchos ámbitos. Alguno de ellos afecta al tratamiento de datos referentes a las opiniones públicas de las personas sobre sus opiniones e ideologías políticas. ¿Qué es legítimo? ¿Dónde están los límites? Para dar respuesta a algunos de estos interrogantes y sobre todo para velar por los derechos en materia de protección de datos, la AEPD elabora este informe, disponible en este enlace: Informe tratamiento datos opiniones políticas por partidos políticos. En el citado informe, la Agencia señala que solo podrán tratar opiniones políticas cuando estas hayan sido libremente expresadas por las personas en el ejercicio de su derecho a la libertad de expresión y a su libertad ideológica, y se hayan expresado de manera pública. Establece que en ningún caso se podrán aplicar o usar tecnologías como el big data, la inteligencia artificial, el micro-targeting en los procesos electorales, que pueden llevar a la manipulación de las personas mediante la realización de perfilados exhaustivos y el fenómeno de las “fake-news” o “desinformación online”. Como ya ha ocurrido en el escándalo de Cambridge Analytica. Artículo 58 bis de la LOREG Para evitar que estos hechos ocurran y la información se utilice para fines ilegítimos. El legislador español ha modificado el artículo 58 bis de la LOREG con el fin de regular específicamente la recopilación y tratamiento de opiniones políticas por los partidos políticos así como el envío de propaganda electoral. Artículo 58 bis. Utilización de medios tecnológicos y datos personales en las actividades electorales. 1. Conforme a lo establecido en el Considerando 56 del Reglamento (UE) 2016/679, se considera de interés público la recopilación y tratamiento de datos personales sobre las opiniones políticas de las personas que realicen los partidos políticos en el marco de sus actividades electorales únicamente cuando se ofrezcan garantías adecuadas. 2. Cuando la difusión de propaganda electoral en redes sociales o medios equivalentes se base en la elaboración sistemática y exhaustiva de perfiles electorales de personas físicas, deberá realizarse una previa evaluación de impacto relativa a la protección de datos personales en los términos previstos en el artículo 35 del Reglamento (UE) 2016/679. Dicha difusión no podrá realizarse cuando se identifique un alto riesgo para los derechos y libertades de las personas y no se adopten las medidas necesarias para impedirlo. Quedan prohibidas las actividades de propaganda electoral basadas en la elaboración de perfiles electorales en redes sociales o equivalentes cuando no se informe a sus destinatarios sobre su finalidad, la identidad del responsable o la entidad contratada para su realización y los criterios de selección. 3. Los partidos políticos, coaliciones y agrupaciones electorales podrán utilizar datos personales obtenidos en páginas web y otras fuentes de acceso público para la realización de actividades políticas durante el periodo electoral. 4. El envío de propaganda electoral por medios electrónicos o sistemas de mensajería y la contratación de propaganda electoral en redes sociales o medios equivalentes no tendrán la consideración de actividad o comunicación comercial. 5. Las actividades divulgativas anteriormente referidas identificarán de modo destacado su naturaleza electoral. 6. Se facilitará al destinatario un modo sencillo y gratuito de ejercicio del derecho de oposición. Garantías para el tratamiento de datos Como leemos en el apartado 1 de este artículo 58 bis señala que se podrán tratar cuando cuando se ofrezcan garantías adecuadas. La Agencia en su informe establece en qué consisten estas garantías. 1. Responsabilidad desde el diseño y por defecto. Los responsables deberán adoptar medidas técnicas y organizativas apropiadas, como la seudonimización e incluso la agregación y anonimización. 2. Designar un delegado de protección de datos. 3. Elaborar el registro de actividades de tratamiento, debiendo ser precisos y claros, conforme a los principios de lealtad y transparencia. 4. Realizar una evaluación de impacto relativa a la protección de datos, al realizar un tratamiento a gran escala de categorías especiales de datos. 5. Consultar a la AEPD antes de proceder al tratamiento cuando la evaluación de impacto muestre que el tratamiento entraña un alto riesgo. Si esa evaluación de impacto se realiza adecuadamente será obligatorio consultar a la AEPD, salvo que el responsable garantice que el riesgo puede mitigarse. 6. Adoptar medidas de seguridad, que deberán ser lo más rigurosas que permita el estado de la técnica, teniendo en cuenta que se trata de datos referentes a opiniones políticas cuyo tratamiento es excepcional y que suponen un importante riesgo para los derechos y libertades de las personas. 7. Cuando el tratamiento vaya a realizarlo un encargado del tratamiento, deberán seleccionar uno que ofrezca garantías suficientes y haber suscrito con él un contrato en el que deberá garantizarse que el encargado actuará sólo siguiendo instrucciones del responsable, debiendo contemplar dichas instrucciones las garantías definidas por la Agencia. 8. Facilitar el ejercicio de los derechos de acceso, rectificación, supresión y oposición. 9. En el caso de que se pretenda obtener los datos de terceros (que no actúen como encargados del tratamiento) el responsable deberá comprobar que esos datos fueron obtenidos de manera lícita y cumpliendo con todos los requisitos del RGPD, especialmente que el tercero tenga una legitimación específica para obtener y tratar dichos datos y que haya informado expresamente a los afectados de la finalidad de cesión a los partidos políticos. 10. El responsable deberá cumplir con las garantías del artículo 22 del RGPD si se van a realizar decisiones automatizadas, incluida la elaboración de perfiles generales. En su informe la AEPD establece que los partidos deben informar sobre el tratamiento de estos datos. Esta información debe ser concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Del mismo modo, cuando el responsable pretenda obtener los datos de un tercero, deberá comprobar que este ha cumplido con su obligación de