Noticias y Actualidad

El sector educativo maneja una gran cantidad de datos de alumnos y educadores que suben a la nube ya sea pública o privada. Desde la Agencia Española de Protección de Datos se ha llevado a cabo una inspección sobre el uso de estos servicios de computación en la nube en educación con el fin de comprobar el grado de cumplimiento de las normas de protección de datos. Desde la Agencia se resalta los beneficios para el aprendizaje y la enseñanza de este tipo de tecnologías, pero también pone de manifiesto los riesgos para la privacidad de los alumnos que tiene su utilización, sobre todo si no se cumple con la ley. Con el fin de que los datos no estén comprometidos, desde la Agencia se dan una serie de recomendaciones entre las que destacan:   Consentimiento expreso de los alumnos o sus representantes legales a la hora de difundir datos sensibles como imágenes, vídeos, mensajes. Informar de la cesión de datos a terceros. Aquellas entidades a las que son cedidos los datos deben saber que no pueden hacer uso de ellos sin el consentimiento de los interesados. Control de los datos por parte de los educadores. Los contenidos que los alumnos comparten y suben a las aulas virtuales deben ser supervisados por el profesorado. Regulación interna sobre el uso de aplicaciones móviles en las que se requiere uso de datos, con el fin de que se cumpla con la Ley. Control y aprobación del uso de aplicaciones de computación en la nube públicas o privadas que sean distintas a las del propio centro educativo. Contratación de servicios de cloud computing que cumplan con la normativa y aseguren ciertas garantías, como la portabilidad de la información y el borrado de los datos al término del contrato. Garantías de seguridad. Debe especificarse en el contrato el tipo de datos que se van a almacenar y las responsabilidades de todos los actores del contrato. Las plataformas educativas que prestan servicios a varios centros escolares deben garantizar la independencia y el aislamiento de los datos almacenados por cada uno de ellos. En este enlace podéis consultar todas las conclusiones del informe sobre el uso de cloud computing en el sector educativo. En él se muestran más detalladamente todas las recomendaciones que establece la AEPD. Desde Legitec podemos ayudar a que vuestras aulas virtuales cumplan con los establecido en la normativa de protección de datos.

El Ilustre Colegio de Abogados de Murcia y Legitec, consultora especializada en Protección de datos, firmaron el  29 de mayo un acuerdo de colaboración, por el cual todos los colegiados podrán acceder a los servicios de consultoría LOPD/ LSSI y destrucción confidencial de documentos con plenas garantías y en condiciones preferentes. A la firma, celebrada el pasado viernes en la sede del colegio, asistió el Sr. Francisco Martínez-Escribano Gómez en calidad de decano y el Sr. Sergio Franco, en calidad de Director-Socio de la consultora Legitec . El ejercicio de la abogacía es muy sensible a la normativa de protección de datos de carácter personal, y es su deber ofrecer garantías de privacidad en el tratamiento que hacen de información, en muchas ocasiones comprometida, y por ello es fundamental que puedan contar con el asesoramiento de especialistas en la materia con una experiencia y trayectoria contrastada. El acuerdo supone para sus colegiados un descuento del 15% sobre nuestras tarifas oficiales en materia de protección de datos y un 10% sobre las tarifas de destrucción confidencial de documentos. Además de los descuentos mencionados, Legitec se ha comprometido a organizar una sesión informativa para los colegiados, con el fin de informarles de la casuística en materia de protección de datos que afecta en su actividad diaria. Desde este momento nos ponemos a disposición de aquellos colegiados que quieran consultar el estado en el que se encuentra su despacho respecto a la normativa de protección de datos, y cuales son las principales medidas que debe adoptar para evitar riesgos innecesarios. Puede contactar con nuestra empresa en el 968 90 29 75 o mediante nuestro formulario de contacto.    

  Cada vez son más las aplicaciones que instalamos en nuestros teléfonos inteligentes, entre ellas están al alza las Apps de salud, que nos ayudan a llevar una vida más sana y cuidan de nuestro bienestar. Pero no es oro todo lo que reluce, una investigación de la Universidad de Valladolid alerta del peligro que pueden suponer para nuestra privacidad y control de datos personales.   El estudio se ha publicado en la revista Journal of Medical Systems y ha sido realizado por el Grupo de Telemedicina y eSalud de la Universidad de Valladolid, entre las conclusiones que extrae se encuentra la falta de protección de datos de estas Apps que puede mermar la privacidad de los datos que manejan, destapando así fallos de seguridad.   Entre los principales riesgos que puede ocasionar que los datos lleguen a terceras personas, se encuentra la posibilidad de que éstas alteren datos del usuario que puedan ocasionar riesgos para su salud. Como vemos en el portal consalud.es, si alguien elimina del historial electrónico de un usuario el dato de que padece algún tipo de alergia a un medicamento, puede ocasionar un grave problema, que puede tener consecuencias graves para la vida del usuario.   La investigación pone de manifiesto según los expertos que han participado, la necesidad de regular a nivel internacional la programación y diseño de este tipo de aplicaciones y de aquellas que manejen datos personales, sobre todo si es en el caso de datos sanitarios, que se consideran de naturaleza sensible. Los gobiernos deben cooperar y ponerse manos a la obra para dar seguridad y privacidad a los usuarios.   Además es necesario realizar una labor de concienciación para que usuarios, profesionales sanitarios conozcan qué y cómo utilizan los datos estas aplicaciones. Con el fin de poder conocer los riesgos en su seguridad.   Con el fin de ayudar a usuarios, desarrolladores, profesionales, gobiernos…, el grupo de investigadores de la Universidad de Valladolid ha elaborado una guía sobre medidas de seguridad que deben cumplir las aplicaciones de salud, para asegurar la privacidad de los datos y del usuario.   Para los investigadores que han participado en este estudio, gran parte de los problemas de seguridad de las Apps de salud se deben a la necesidad de los desarrolladores de tener éxito, que se traduce en lanzar cuanto antes sus creaciones sin que se asegure su correcto funcionamiento en materia de protección de datos.

La Agencia Española de Protección de Datos ha dado a conocer las conclusiones del estudio sobre el uso de cookies en Europa, en el que ha participado junto a otros organismos de la Unión Europea. En el estudio se pone de manifiesto que los responsables de la webs deben mejorar la forma en la que obtienen el consentimiento del usuario, entre muchos otros factores de los que os hablamos en este post. Las cookies son unos archivos que se instalan en el navegador con el fin de conocer hábitos y datos sobre las consultas y visitas de los usuarios. De este modo se obtienen datos personales, de ahí que las webs que instalan cookies deben cumplir con las leyes europeas de protección de datos. Las autoridades europeas de protección de datos han llevado a cabo este estudio sobre cookies, con el fin de tener una visión transnacional, integral y conjunta sobre las condiciones en las que se instalan estos archivos en los ordenadores de los usuarios; fomentar el cumplimiento de la protección de datos y la privacidad por parte de los responsables y promover la concienciación de los usuarios. Entre los resultados del informe, en el que se han analizado hasta 478 webs pertenecientes a tres sectores específicos: comercio electrónico, medios de comunicación y servicios públicos, se extrae que el 26% de los sitios analizados no ofrece información sobre la instalación de cookies. En los sitios donde sí se informa de su uso, sería conveniente: en un 39% de los casos mejorar la visibilidad y en uno de cada dos que exista un mecanismo para pedir el consentimiento del usuario sobre el uso de cookies, ya que la conocida como Ley de cookies no sólo obliga a que el usuario sea informado de su uso, sino que también debe obtenerse su consentimiento. Además, en algo más del 80% de las webs debe facilitarse al usuario el control sobre qué cookies se instalan. Entre los aspectos a mejorar, también está el periodo de caducidad de las cookies. En la mayoría de los casos éste suele estar entre uno o dos años, pero aún hay un 20% de las cookies instaladas cuya validez es entre dos y cinco años, en tres de ellas el plazo de caducidad ascendía a 8.000 años. En nuestro país el estudio ha analizado 65 webs y se ha registrado la instalación de más de 2.400 cookies, lo que supone casi 40 cookies por web, un número que supera la media del conjunto de la Unión Europea. Desde la AEPD nos recuerdan que en su web tenemos una sección completa en la que podemos informarnos de todo lo que supone el cumplimiento de la conocida como Ley de Cookies, Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI). El estudio y sus conclusiones sobre la situación del uso de cookies en Europa se puede consultar en inglés en este enlace.

Son muchos los ayuntamientos que se plantean contratar los servicios de un gestor de computación en la nube o cloud computing. En el post de hoy os queremos dar las claves que deben tener en cuenta estos servicios para cumplir con las obligaciones que establece la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD). A la hora de contratar el servicio se deben tener en cuenta una serie de factores con el objetivo de que estos servicios de cloud computing cumplan con la legalidad y aseguren la confidencialidad de los datos y se haga un tratamiento de ellos conforme a la Ley. Es muy importante entre otros aspectos que la contratación contemple: La evaluación de los datos que se van a subir a la nube. Si los datos que se almacenan son considerados de carácter personal y sensible, debemos pedir un nivel de seguridad más alto con el fin de que no puedan quedar expuestos. La seguridad del gestor de la nube. Hemos de asegurarnos que se trata de un servicio de computación en la nube con garantías de seguridad, que posee servidores de calidad, protegidos para posibles ataques informáticos, que cumplen con la legislación de protección de datos, que no cede los datos a terceros sin consentimiento, en definitiva que no tiene fallos de seguridad. El ayuntamiento podrá pedir una auditoría de la seguridad del servicio. El cumplimiento de la LOPD. En este caso debe firmarse un contrato acorde a la legislación, que remarque que los ayuntamientos o administraciones públicas son los dueños de los datos y el proveedor del servicio será el encargado de su tratamiento. Además, debe aclararse qué sucederá con los mismos una vez finalizada la relación contractual. Debe establecerse que los datos serán destruidos o devueltos y en ningún caso el proveedor de la nube podrá hacer uso de ellos ni cederlos a terceros sin consentimiento. Uso de los datos por terceros. En caso de que el prestador del servicio realice para el desarrollo de su actividad la subcontratación de otros servicios que puedan tener acceso a estos datos y a su correspondiente tratamiento, este uso debe aceptarse por parte de las administraciones y deberá contemplarse en el contrato. Además, la empresa subcontratada deberá firmar un contrato donde se establezca su obligación de cumplir con la LOPD. Localización de los datos. Si los datos están localizados fuera del Espacio Económico Europeo habrá que solicitar a la Agencia Española de Protección de Datos (AEPD) la transferencia de los datos. Portabilidad de los datos. También es extremadamente relevante que el prestador del servicio facilite la portabilidad de los datos, con el fin de que no se vean expuestos en caso de cambiar de proveedor. Debe concretarse y asegurarse la destrucción de los datos por parte del proveedor una vez que haya terminado el contrato. Además de estos aspectos, los ayuntamientos deben exigir en la prestación del servicio que se garantice el principio de cooperación, para facilitar el ejercicio de derechos ARCO por parte de los ciudadanos. Estos son solo algunos aspectos fundamentales que debe cumplir la contratación de servicios de computación en la nube. Pero hay otros factores específicos de la legislación de las administraciones públicas que deben atenderse. Desde Legitec os podemos asesorar en todos estos aspectos.

  En el post de hoy vamos a repasar las sanciones económicas a las que se enfrenta tu empresa si no cumple con las obligaciones establecidas en la Ley Orgánica de Protección de Datos de Carácter Personal. Como expone el artículo 44 de la LOPD pueden ser de carácter leve, grave o muy grave. Según se califiquen en infracciones leves, graves o muy graves, la cuantía económica de la multa variará. Las sanciones leves pueden ir de 900 a 40.000 euros, las graves de 40.001 a 300.000 euros y las muy graves de 300.001 hasta los 600.000 euros. En las próximas líneas os resumimos algunas de las causas que pueden hacer que recibas una sanción por parte de la Agencia Española de Protección de Datos.     Serás sancionado levemente si: No remites a la AEPD las notificaciones previstas en la LOPD o en sus disposiciones de desarrollo. No solicitas la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos. Si incumples el deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado. Si ordenas la transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de la LOPD. Te enfrentas a una sanción grave si: Procedes a la creación de ficheros de titularidad pública o inicias la recogida de datos de carácter personal para los mismos, sin autorización de disposición general, publicada en el “Boletín Oficial del Estado” o diario oficial correspondiente. Tratas datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en la LOPD y sus disposiciones de desarrollo. Tratas datos de carácter personal o los usas posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la LOPD y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave. Vulneras el deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la LOPD. Impides u obstaculizas el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. Incumples el deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos no hayan sido recabados del propio interesado. Incumples los restantes deberes de notificación o requerimiento al afectado impuestos por la LOPD y sus disposiciones de desarrollo. Mantienes los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen. No atiendes a los requerimientos o apercibimientos de la AEPD o no proporcionas a ésta cuantos documentos e informaciones te solicite. Obstruyes el ejercicio de la función inspectora. Comunicas o cedes los datos de carácter personal sin contar con legitimación para ello en los términos previstos en la LOPD y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave. La sanción será muy grave si: Recoges datos en forma engañosa o fraudulenta. Tratas o cedes los datos de carácter personal a los que se refieren los apartados 2, 3 y 5 del artículo 7 de la LOPD salvo en los supuestos en que la misma lo autoriza o violentar la prohibición contenida en el apartado 4 del artículo 7. No cesas en el tratamiento ilícito de datos de carácter personal cuando existiese un previo requerimiento del Director de la Agencia Española de Protección de Datos para ello. Llevas a cabo transferencia internacional de datos de carácter personal con destino a países que no proporcionen un nivel de protección equiparable sin autorización del Director de la Agencia Española de Protección de Datos salvo en los supuestos en los que conforme a la LOPD y sus disposiciones de desarrollo dicha autorización no resulta necesaria. Desde Legitec podemos ayudarte a que tu empresa evite ser sancionada. Te asesoramos y adecuamos tu negocio para que cumplas con la LOPD. Infórmate sin compromiso.

La Directiva Europea sobre Protección de Datos regula entre otros aspectos la instalación por parte de particulares y empresas de cámaras de videovigilancia. Señala la prohibición de contar con una cámara que apunte hacia la vía pública y grabe a los viandantes sin su consentimiento. En un post anterior os contamos que las imágenes grabadas de viandantes por un lugar público se consideran un dato personal y como tal debe regirse su tratamiento por las leyes relativas a la protección de datos. Concretamente en la Ley Orgánica de Protección de Datos española (LOPD), en su artículo 4 se establece que: 1.”Las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida”. La reciente sentencia del Tribunal de Justicia Europeo establece un añadido a esta norma, al considerar que “podrán ser tratados los datos -imágenes- siempre y cuando la finalidad de su captación sea la de proteger los bienes, salud y vida del propietario de la vivienda, local y de sus familiares y ayudará a salvaguardar la prevención, investigación, detección y procesamiento de delitos penales”. La sentencia del Tribunal responde así a una denuncia de un ciudadano checo que tras sufrir varios ataques a su vivienda, decidió colocar una cámara para cazar a los infractores, las imágenes sirvieron para detener a los acosadores, pero uno de los detenidos denunció al propietario de la vivienda ante la Agencia checa de Protección de Datos al considerar que su actuación infringía las normas, por lo que fue sancionado. El ciudadano decidió llevar el asunto al Tribunal Europeo, que ha fallado a su favor al considerar legítimo el tratamiento que se ha hecho de las imágenes. En este enlace se puede consultar la nota sobre la sentencia del Tribunal de Justicia Europeo.

Uno de los apartados que establece la conocida Ley de Cookies es la necesidad de obtener el consentimiento informado del cliente para instalar este tipo de archivos en el ordenador del usuario, los cuales permiten recabar información personal sobre gustos, búsquedas, consultas… del mismo. Con estos conocimientos, las empresas pueden ofrecer una experiencia más personal al usuario. En este post vamos a analizar cómo debe recopilarse este consentimiento en un email comercial con el fin de instalar cookies que permitan a la empresa recabar datos con el fin de ofrecer al usuario una publicidad más a la carta, en función de sus gustos y necesidades, que quedan a la vista a través de su navegación. La respuesta a cómo cumplir la Ley de Cookies en los emails comerciales la da la Agencia Española de Protección de Datos. Este organismo recibió una consulta en la que se preguntaba si era suficiente con obtener el permiso con un mecanismo opt out, o de exclusión, es decir informando al usuario, pero sin requerir ninguna acción por su parte, se entiende que si el usuario no expone su desistimiento se pueden instalar; o bien debía realizarse mediante un mecanismo opt it, una vez informado el usuario debe dar su consentimiento expreso de que acepta el uso de cookies. Atendiendo a la Ley de Servicios de la Sociedad de la Información y de comercio electrónico (LSSI), su artículo 22.2, que hace referencia a la Ley de Cookies, establece que “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal”. La Agencia en su Guía sobre el uso de las cookies remarca la necesidad de implantar un sistema en el que el usuario sea plenamente consciente de la instalación de aquellos dispositivos y el uso que se está haciendo de sus datos y las consecuencias que éste tiene para su privacidad. En consecuencia, su gabinete jurídico establece la obligatoriedad de que este consentimiento se obtenga a través de una respuesta opt in, es decir que requiera de una acción del usuario. En su dictamen señala que un “formulario de aceptación expresa mediante un sistema de opt in, sí daría cumplimiento al requisito de obtención de un consentimiento que establece el artículo 22.2 de la LSSI”. Un ejemplo sería que el formulario cuente con una casilla que el usuario debe marcar poniendo de manifiesto, de este modo su consentimiento. Podéis consultar en este enlace la respuesta del Gabinete Jurídico de la AEPD en el que se da respuesta a este tema.

La Agencia Española de Protección de Datos ha dado a conocer una nueva guía con el fin de que las empresas cumplan desde el inicio de sus proyectos con sus obligaciones en materia de protección de datos. Es decir que este cumplimiento se tenga en cuenta desde la primera fase del diseño del producto o servicio. Es lo que se conoce como Privacidad desde el Diseño. Desde la AEPD consideran que con esta Guía de Evaluación de Impacto en la Protección de Datos Personales, las compañías reducirán sus costes en materia de protección de datos. Si desde el inicio se cumple con los parámetros establecidos en la ley se evitarán muchos costes posteriores de rediseño del producto o servicio. Con esta evaluación se analizan los riesgos y se establece un protocolo de cómo actuar antes de que éstos se produzcan. En consecuencia, busca que se potencie la privacidad de los datos desde el diseño, llevando a cabo políticas preventivas en materia de protección de datos. Este tipo de actuaciones se realizan en los países anglosajones, pero en España no hay mucha conciencia de ello ni obligación, aunque podrá existir en el futuro cuando se apruebe la Propuesta de Reglamento General de Protección de Datos para la Unión Europea. Sin embargo, desde la Agencia resaltan que aplicar esta evaluación supondrá una ventaja competitiva para las empresas, además de ser un excelente ejercicio de transparencia. En la guía se señalan algunas actuaciones en las que es conveniente realizar un análisis exhaustivo para evitar riesgos, entre ellos destaca: “cuando se vayan a utilizar tecnologías que se consideran especialmente invasivas con la privacidad, esto es, videovigilancia a gran escala, minería de datos, biometría, técnicas genéticas, geolocalización, o cuando se traten grandes volúmenes de datos a través de sistemas como el big data o la internet de las cosas”. Además de señalar las actuaciones donde es más necesario está evaluación de riesgos, desde la publicación de la AEPD se establecen una serie de medidas para evitarlos o reducir su impacto. Algunas de ellas son: transparencia en el uso de datos con políticas de privacidad visibles y accesibles, evitar la utilización de los datos recogidos para finalidades no especificadas y que podrían permitir monitorizar el comportamiento, realizar perfiles o tomar decisiones económicas o sociales sobre las personas en función de la información recopilada. Por último, aunque la aplicación de esta evaluación no exonera a las empresas en el caso de no cumplir con la Ley, sí será tenida en cuenta por la AEPD como punto a favor de la empresa al considerar que se tomaron medidas para evitar riesgos. La Guía para una Evaluación de Impacto en la Protección de Datos Personales está accesible en este enlace de la web de la AEPD.