phone 915 752 750 email aec@aec.es

    Corresponsabilidad en Protección de Datos Personales

    by Macarena Rodriguez |Jul 13, 2018 | 0 Comments | GDPR Legal | , , ,

    El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (en adelante, RGPD) regula, por primera vez, un supuesto de hecho que ha necesitado respuesta legislativa. Así, es el caso de los tratamientos de datos de carácter personal realizados, de manera  conjunta, por dos o más entidades, como es el caso de los grupos empresariales. En la práctica, pueden disponer de una base de datos nutrida por las diferentes sociedades mercantiles del grupo, siendo todas éstas las que, sin distinción, deciden sobre el contenido, uso y finalidad del tratamiento de los datos.

    Arreglo a la legislación española, hemos entendido que cada una de estas empresas del grupo ostenta la condición de Responsable de Tratamiento, “Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. Sin embargo, no se establecía, a nivel legislativo, la responsabilidad que adquirían. Tan sólo se limitó a señalar que cada una, en condición de Responsable, debía notificar el fichero, tratado simultáneamente, ante la autoridad de control.

    Ahora, entendiéndose pertinente por parte del legislador europeo la atribución clara de responsabilidades, cuando estas empresas del grupo determinen conjuntamente los objetivos y los medios del tratamiento, serán considerados CORRESPONSABLES. Y, en tal caso, deben determinar, de modo transparente y de mutuo acuerdo, sus responsabilidades respectivas en el cumplimiento de las obligaciones en protección de datos; en especial, el deber de información y las relativas a la atención de los derechos de los interesados, a cuyos efectos podrá fijarse a un punto de contacto en común.

    El grupo empresarial ha de reflejar, debidamente, en el acuerdo las funciones que asumen cada uno y dará a conocer a los interesados los aspectos esenciales del mismo. No obstante, los interesados, independientemente de los términos del acuerdo, podrán ejercer los derechos en protección de datos frente a, y en contra de, cada uno de los Responsables.

    Cabe añadir que, el Reglamento establece que si los responsables participan en el mismo tratamiento, cada responsable debe ser considerado responsable de la totalidad de los daños y perjuicios. No obstante, si se acumulan en la misma causa, de conformidad con el Derecho de los Estados miembros, la indemnización puede prorratearse en función de la responsabilidad de cada responsable por los daños y perjuicios causados por el tratamiento, siempre que se garantice la indemnización total y efectiva del interesado que sufrió los daños y perjuicios. Todo responsable que haya abonado la totalidad de la indemnización puede interponer recurso posteriormente contra otros responsables que hayan participado en el mismo tratamiento.

     

    Con esto, los términos en los que se articule el acuerdo por parte del grupo son absolutamente relevantes, a los efectos de delimitar las responsabilidades de cada uno y no verse así en un conflicto desagradable.

     

    El Equipo Govertis 

    Logotipo de Govertis

    La seguridad de los datos en terceros, eslabones de una misma cadena           

    by Macarena Rodriguez |Jul 6, 2018 | 0 Comments | GDPR Legal | ,

    La semana pasada nos vimos sorprendidos por la comunicación por parte de Ticketmaster de una posible brecha de seguridad que afectaba a los datos de sus clientes. Todo incidente debe llevarnos a la reflexión y plantearnos la eterna pregunta ¿Me puede pasar a mi? Este es un incidente que pone de manifiesto la importancia de garantizar tanto la protección propia como la de cualquiera de los proveedores que formen parte de la cadena de suministro.

    En este caso, la puerta de entrada ha sido un problema en un producto de atención a usuarios que gestionaba el proveedor Inbenta Technologies.

    En el marco del Reglamento de General de Protección de Datos, hay ahora cuestiones contractuales que son muy relevantes y que deben ser incluidas en toda elaboración de cláusulas para cuando se produzcan incidentes. En relación a la gestión de las notificaciones de brechas de seguridad, el artículo 33 establece el plazo de 72 horas para notificar a la Autoridad de control una vez se tiene conocimiento del incidente y se ha valorado el riesgo para los derechos y deberes del afectado. Sin embargo, el punto siguiente establece que esa notificación, cuando el incidente se produce y se es encargado de tratamiento, debe realizarse sin dilación indebida. Son muchos los casos de organizaciones y empresas que suelen desempeñar el doble papel de responsable de tratamiento y encargado. Por tanto, cuando sucede un incidente y se identifican los sistemas afectados, se deben iniciar las actividades de comunicación y coordinación con aquellas entidades para las que ostentamos la figura de encargado de tratamiento dando la máxima transparencia sobre lo acaecido con el objetivo de poderles permitir a ellas, como responsables del tratamiento, contar con información precisa para dar cumplimiento a los requisitos del artículo 33 del  RGPD.

    Es necesario, por tanto, establecer en el contrato de encargo de tratamiento con cierta claridad cuál será el protocolo a emplear en caso de incidente y establecer los responsables en la coordinación y respuesta por ambas partes.

    El responsable de tratamiento identificará al interlocutor con el que comunicar y el encargado también definirá quién será el punto de contacto al que dirigirse en caso de problemas. Se pueden también establecer los marcos de colaboración y los servicios a prestar por parte del encargado para contribuir en la reacción y respuesta frente al incidente. En muchos casos, la capacidad de reacción del responsable del tratamiento dependerá del nivel de diligencia de sus encargados de tratamientos. Pensemos proveedores que ofrecen cualquier modalidad de servicios en cloud (IaaS, PaaS o SaaS). La respuesta técnica estará en manos del proveedor tecnológico y podría darse la circunstancia de que el incidente afectará de forma simultánea a varios responsables del tratamiento. No suele gustar plantearse escenarios de riesgos pesimistas pero el momento de atar estos cabos es justo en el proceso de contratación del encargado. Encontrar un proveedor que tenga estos temas resueltos y muestre proactividad y claridad de ideas es un buen síntoma de estar acertando en la elección.

    Merece la pena también leer la sección creada por Ticketmaster con la información sobre el incidente como ejemplo del modo en el que deben realizarse este tipo de comunicaciones. Está accesible en la URL https://seguridad.ticketmaster.es/

    El equipo de profesionales de Govertis

    Logotipo de Govertis

     

    Análisis de Riesgos

    by Macarena Rodriguez |Jun 29, 2018 | 0 Comments | GDPR Legal | , ,

    El análisis de riesgos es, por definición, el estudio de las causas de las posibles amenazas y probables eventos no deseados y los daños y consecuencias que éstas puedan producir.

    Históricamente se ha utilizado como una herramienta de decisión en entornos financieros y de seguridad, si bien, es una herramienta que utilizamos de forma inconsciente en nuestra vida cotidiana: desde que nos despertamos, la elección de nuestras acciones viene determinada en función de los riesgos, desde elegir la ropa que nos ponemos (cogemos el abrigo si sabemos que va a hacer frio, o el paraguas si está nublado, ¿Pero por qué? Porque la probabilidad de pasar frío o mojarnos es alta y si se confirma el hecho, las consecuencias no son deseables), hasta la elección de movernos en coche o coger transporte público, dependiendo del tráfico.

    Existen diferentes metodologías que desarrollan un método formal para realizar este estudio, algunas reconocidas internacionalmente como Magerit v.3 o la ISO 31000:2018. Es importante seleccionar un método, ya que también por definición un análisis de riesgos formal debe reunir tres condiciones: deber ser objetivo, repetible y comparable.

    Independientemente de la metodología escogida se debería  comenzar por conocer qué es lo que nos preocupa o sobre qué queremos hacer el estudio (en el entorno de una EIPD, en el ámbito del Reglamento General de Protección de Datos, sería el tratamiento de datos personales), para posteriormente identificar qué posibles eventos podrían suceder que lo pusieran en peligro (identificación de escenarios de riesgos).

    Dichos escenarios de riesgos deberán ser analizados en dos sentidos: por un lado estimar la frecuencia de ocurrencia de dicho escenario, y por otro, supuesta la materialización del escenario, qué posibles daños podría ocasionar. Para ello, se deberán establecer criterios de impacto (en el caso de las EIPD, en el ámbito del  RGPD, cómo se ven afectados los derechos y las libertades de los individuos) y escalas del daño (por ejemplo: bajo, medio y alto).

    La fórmula del riesgo es sencilla: Riesgo = Frecuencia  x Impacto. Para ello, normalmente se suelen establecer matrices de riesgo, donde se representa gráficamente dicha relación.

    Ejemplo de matriz de riesgo

    El siguiente paso, es evaluar los riesgos e indicar qué riesgos son aceptables y cuáles no lo son, y por lo tanto van a requerir de un tratamiento.

    En el siguiente punto, se propondrán posibles acciones para tratar el riesgo. Existen diferentes opciones: acciones dirigidas a reducir el riesgo, ya sea reduciendo la probabilidad o el daño, para evitar el riesgo, trasladar el riesgo a un tercero o, en última instancia, asumir el riesgo.

    Esta última acción, debería ser por defecto la última opción, debe ser una decisión de la alta dirección y debe estar justificada.

    El último paso consiste en estimar cómo de efectivo se estima que sea el tratamiento, para finalmente calcular el riesgo residual, el cual, debe ser comunicado a la alta dirección y debe ser aprobado por la misma.

     

    El equipo de profesionales de Govertis

    Logotipo de Govertis

    Encargados de Tratamiento

    by Macarena Rodriguez |Jun 22, 2018 | 0 Comments | GDPR Legal | , ,

    Los Encargados de tratamiento, es uno de los aspectos que ha sufrido modificaciones con el Reglamento General de Protección de Datos (RGPD).

    Las novedades más importantes son:

    1.- Antes no se establecían de forma directa obligaciones para los encargados, centrándose la LOPD y su reglamento de desarrollo en las obligaciones del Responsable del Fichero. Ahora, con el RGPD, se establecen a lo largo de su articulado diversas obligaciones ya dirigidas directamente a los encargados tales como:

    • Deben mantener un registro de actividades de tratamiento.
    • Deben determinar las medidas de seguridad aplicables a los tratamientos que realizan.
    • Deben designar a un Delegado de Protección de Datos en los casos previstos por el RGPD

     

    2- Antes existía cierto deber de diligencia a la hora de seleccionar a los encargados de tratamiento, pero ahora se hace énfasis en la necesidad de escoger y estudiar las condiciones de seguridad que ofrecen los encargados de tratamiento al amparo del RGPD, de tal manera de que sólo se han de elegir encargados de tratamiento que puedan demostrar que cumplen con el RGPD.

    A manera de comparativa es ejemplificativo el cuadro que expongo a continuación:

    Obligaciones LOPD RGPD
    Elección del encargado de tratamiento El Reglamento de Desarrollo de la LOPD establecía la necesidad de diligencia debida en la selección de encargados Según el RGPD, el responsable deberá adoptar medidas apropiadas, incluida la elección de encargados, de forma que garantice y esté en condiciones de demostrar que el tratamiento se realiza conforme el RGPD (principio de responsabilidad activa).
    Modo de comprobar que el encargado cumple con las exigencias legales Era una obligación sin mencionar el cómo hacerse, por lo que en la práctica se pedía un comprobante de la empresa que había adaptado o auditado al encargado de tratamiento Para demostrar que los encargados o subencargados ofrecen las garantías exigidas por el RGPD, éstos podrán adherirse a códigos de conducta o certificarse dentro de los esquemas previstos por el RGPD
    Obligaciones Responsables/Encargados La LOPD se centra en la actividad de los responsables El RGPD, por el contrario, contiene obligaciones expresamente dirigidas a los encargados, tales como:

    ·         Deben mantener un registro de actividades de tratamiento.

    ·         Deben determinar las medidas de seguridad aplicables a los tratamientos que realizan.

    ·         Deben designar a un Delegado de Protección de Datos en los casos previstos por el RGPD

     

    3.- Por último, los contratos de encargo de tratamiento tienen nuevas menciones, por lo que hay que redactar nuevos contratos que incluyan dichas novedades.

     

    También creo y, a manera de ejemplo, que el siguiente cuadro deja claro las diferencias de contenidos entre el contenido del contrato exigido por la LOPD y por el RGPD.

    Contenido del contrato LOPD RGPD
    El encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas Se debe hacer mención a esta situación Se debe hacer mención a esta situación
    Se indicarán las medidas de seguridad Se debe hacer mención a esta situación Se debe hacer mención a esta situación
    Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. Se debe hacer mención a esta situación Se debe hacer mención a esta situación
    En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. Se debe hacer mención a esta situación
    Si se permite o no la subcontratación Se debe hacer mención a esta situación Se debe hacer mención a esta situación
    Las personas autorizadas para tratar datos personales por parte de los encargados de tratamiento se han tenido que comprometer a respetar la confidencialidad o estarán sujetas a una obligación de confidencialidad de naturaleza estatutaria No se exigía Se exige
    Respuesta a las solicitudes de los derechos de los titulares: Se debe dejar por escrito si las solicitudes del ejercicio de derechos las responde el encargado o se trasladan al responsable No se exigía Se exige
    Deber de colaboración: Ayudará al responsable a garantizar el cumplimiento de ciertas obligaciones legales (implantación de medidas de seguridad, notificación de violaciones de seguridad y Evaluaciones de Impacto de Privacidad) No se exigía Se exige
    Demostrar el cumplimiento de sus obligaciones: Pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. No se exigía Se exige

    El equipo de profesionales de Govertis

    Logotipo de Govertis

     

     

    El derecho al olvido

    by Macarena Rodriguez |Jun 18, 2018 | 0 Comments | GDPR Legal | , ,

    La primera vez que se habló del derecho al olvido fue en la Sentencia C-131/12, TJUE, 13/05/2014 y, actualmente el Reglamento (UE) 2016/679 Del Parlamento Europeo y Del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) lo recoge, en el artículo 17 denominado “Derecho de supresión” también conocido como el “Derecho al Olvido”, de ello resulta que no será necesario acogerse a criterios jurisprudenciales para hacer efectivo el “Derecho al Olvido” al encontrarse positivizado en el RGPD.

    Haciendo una lectura del mencionado artículo, podemos constatar que el “derecho al olvido” es aquel derecho que tienen los ciudadanos a solicitar que sus datos personales sean suprimidos cuando, entre otros supuestos, estos ya no sean necesarios para la finalidad con la que fueron recabados inicialmente, cuando se haya revocado el consentimiento o, cuando los datos no hayan sido recogidos de forma lícita.

    Podríamos afirmar que el “derecho al olvido” es el conocido derecho de cancelación y oposición, pero aplicado exclusivamente a los medios online, por ende, su ejercicio conlleva la posibilidad de impedir la difusión de información personal a través de Internet cuando dicha publicación no sea adecuada y pertinente en virtud de las estipulaciones recogidas en el Reglamento General de Protección de Datos (RGPD). A través del mismo, se incluye la posibilidad de limitar la difusión de información que lleve asociada datos de carácter personal, de forma indiscriminada, cuando ésta ha dejado de ser actual o ya no tiene relevancia pública.

    Por otro lado, hemos de tener presente que el ejercicio de los derechos de supresión y oposición frente a buscadores, únicamente aplicará a los resultados obtenidos a través de búsquedas realizadas mediante el nombre de una persona, pero ello no quiere decir que dicha página vaya a ser suprimida de los índices del buscador ni de la fuente original. Es decir, cuando se procede a la búsqueda de un caso a través del nombre de la persona afectada/interesada y, dicha información está obsoleta, el afectado podrá exigir que el enlace que aparece en el buscador deje de ser visible; sin embargo, ello no implica que la información no pueda aparecer si buscamos a través de cualquier otro término o palabra puesto que las fuentes de publicación permanecerán inalteradas.

    Por último, a grandes rasgos los pasos a seguir para ejercer el presente derecho, serían los siguiente: en primer lugar, solicitar el derecho al olvido frente a la página web que publicara la información o, frente al buscador. En  el supuesto de recibir respuesta declinando la solicitud, el interesado podrá acudir ante la Autoridad de Control para que tutele el derecho, acompañando la documentación que evidencie la solicitud de supresión ejercida ante la entidad de que se trate y, cuya resolución agotará la vía administrativa, pudiendo el interesado interponer, en el supuesto de disconformidad con la misma, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de la resolución o, recurso contencioso-administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, en el plazo de dos meses desde el día siguiente a la notificación.

    El equipo de profesionales de Govertis

    Logotipo de Govertis

     

    El Delegado de Protección de Datos y sus funciones

    by Macarena Rodriguez |Jun 1, 2018 | 0 Comments | DPD DPO | , , , ,

    El Delegado de Protección de Datos (DPD) o Data Protection Officer (DPO), es una figura que introduce como obligatoria el Reglamento General de Protección de Datos (RGPD) para supervisar internamente, en cada entidad, el cumplimiento de las obligaciones que impone el RGPD.

    El DPD, puede ser un empleado interno de la empresa o puede ser externo, pero debe estar en condiciones de desempeñar sus funciones y cometidos de manera independiente. El DPD debe participar de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales.

    En cuanto a las funciones del DPD / DPO, el artículo 39 del RGPD indica que tendrá como mínimo las siguientes:

    1. Informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;
    2. Supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;
    3. Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación de conformidad con el artículo 35;
    4. Cooperar con la autoridad de control;
    5. Actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36 del RGPD, y realizar consultas, en su caso, sobre cualquier otro asunto.

    El DPD/DPO, podrá asumir otras funciones dentro de la empresa siempre que tengan relación con los tratamientos de datos personales y que no creen un conflicto de intereses entre sus funciones como DPD y las funciones o intereses de otros departamentos.

    Para el correcto desempeño de sus funciones, el DPD tiene que prestar atención a los riesgos asociados a las operaciones de tratamiento. El DPD tendrá que tener en cuenta la naturaleza, el contexto, el alcance y las finalidades del tratamiento que se quiera realizar.

    En Julio de 2017 la Agencia Española de Protección de Datos presentó su esquema de certificación de delegados de protección de datos. Estas certificaciones serán otorgadas por entidades certificadoras debidamente acreditadas por ENAC, siguiendo criterios de acreditación y certificación elaborados por la AEPD.

    El esquema de certificación establece los requisitos de competencia para la persona que pretenda obtener la acreditación como DPD. Para poder acceder a la fase de evaluación, se requiere una experiencia o formación relevante en materia de protección de datos de carácter personal.
    La prueba de evaluación permitirá constatar que se tienen los conocimientos teóricos y prácticos, las habilidades personales y la capacidad profesional necesarios. El esquema de certificación exige la sujeción a un código ético que incluye los principios de Legalidad e integridad, profesionalidad, responsabilidad en el desarrollo de la actividad profesional, imparcialidad, transparencia y confidencialidad.

    El Proyecto de Ley Orgánica de Protección de Datos, actualmente en tramitación, contempla la figura del Delegado de Protección de Datos en sus artículos 34 a 37.
    Destacando en la redacción actual la posición que ocupa el DPD como interlocutor del responsable ante la Agencia Española de Protección de Datos y la relevancia que le otorga la ley al DPD en la organización interna de la empresa conforme a la redacción del artículo 36.2 del Proyecto de Ley.

    El equipo de profesionales de Govertis

    Logotipo de Govertis

     

     

    El nuevo derecho a la portabilidad de los datos

    by Macarena Rodriguez |May 25, 2018 | 0 Comments | GDPR Legal | , , ,

    El legislador europeo, en su voluntad de reforzar el control del interesado sobre sus propios datos, ha incluido en el artículo 20 RGPD, el nuevo derecho a la portabilidad de los datos como una forma avanzada del derecho de acceso. Este derecho a la portabilidad se materializa en la transmisión, al propio interesado o a otro responsable, de sus datos en un formato estructurado, de uso común, de lectura mecánica e interoperable.

    Para ejercitar este derecho que incorpora el nuevo Reglamento, deberán darse acumulativamente estos dos requisitos: (1) que sea un tratamiento basado en el consentimiento del interesado o de la ejecución de un contrato del que el interesado es parte y (2) que se efectúe por medios automatizados. Este derecho podría materializarse en la obtención de una lista de reproducción; de los capítulos visionados en una plataforma de reproducción online; el listado de contactos de una aplicación de chat para confeccionar una lista de invitados a una fiesta o el listado de los libros adquiridos en el último año.

    No obstante, no puede entenderse de manera absoluta, no aplicándose el mismo si el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; y, no podrá afectar negativamente a los derechos y libertades de otros, incluidos los secretos comerciales, la propiedad intelectual y, en particular, a los derechos de autor que protegen los programas informáticos.

    Sin embargo, la portabilidad implica también una serie de retos para los responsables del tratamiento entre los que, teniendo en cuenta las directrices del Grupo de Trabajo del Artículo 29, Grupo de Trabajo creado de conformidad con el artículo 29 de la Directiva 95/46/CE, órgano consultivo independiente de la UE en materia de protección de datos y privacidad, destacan los siguientes:

    • Interoperabilidad de los sistemas. El RGPD no exige que los sistemas sean compatibles, pero sí deben resultar interoperables. Al respecto, el GT29 recomienda que las partes interesadas del sector y que las asociaciones comerciales trabajen conjuntamente sobre unas normas y formatos interoperables que permitan portar los datos de un responsable a otro. Una solución aceptable hasta la interoperabilidad de los sistemas sería ofrecer los datos en formato Excel, que nos permita trabajar con los datos; sin embargo, nunca sería aceptable proporcionar los mismos en formato PDF.

     

    • Responsabilidad del tratamiento. Corresponde al «responsable del tratamiento receptor» garantizar que los datos proporcionados que se pueden portar sean pertinentes y no excesivos -principio de minimización de los datos- en relación con el nuevo tratamiento de datos. Así, si la información portada no es relevante en relación con el propósito del nuevo tratamiento, no deberá guardarse ni procesarse. Por ejemplo, si portamos una lista de contactos de una plataforma webmail para enviar una invitación por correo electrónico a una fiesta, deberán omitirse otros datos como el teléfono o la dirección postal.

     

    • Los datos personales que deben portarse no son sólo los directa y conscientemente proporcionados por el interesado, sino que incluye los datos personales que se generan y se recaban a partir de las actividades de los usuarios, por ejemplo, las canciones más escuchadas por un usuario en una plataforma online. De este modo, deben excluirse únicamente los «datos inferidos» y los «datos deducidos», que abarcan los datos personales que genera un proveedor de servicios (por ejemplo, resultados algorítmicos).

     

    • El derecho a la portabilidad de los datos no puede afectar negativamente a los derechos y libertades de terceros (que no han dado su consentimiento). De este modo, los responsables deberán implantar herramientas que permitan a los interesados seleccionar los datos relevantes y excluir (donde proceda) otros datos suyos; así como mecanismos de autorización para otros interesados involucrados a fin de facilitar la transmisión de datos en aquellos casos en los que las partes estén dispuestas a dar su consentimiento.

    La complejidad de estos requisitos unido al fomento de la libre competencia que supone el mismo, nos hace sospechar que la aplicación de este derecho tardará aún algún tiempo en ser plenamente efectiva. Es tarea de los responsables y encargados de tratamiento adaptar sus sistemas para poder aplicar este derecho.

     

    El Equipo Govertis 

    Logotipo de Govertis

    Privacidad por defecto y desde el diseño en el Reglamento Europeo de Protección de Datos

    by Macarena Rodriguez |May 21, 2018 | 0 Comments | GDPR Legal | , , , , ,

    El nuevo Reglamento Europeo de Protección de Datos (en adelante RGPD), consagra en su artículo 5 los principios básicos a tener en cuenta para el tratamiento de los datos personales: transparencia y licitud, limitación de la finalidad, minimización de los datos, exactitud, limitación del plazo de conservación, integridad y confidencialidad, y responsabilidad proactiva.

    Este último supone una importante novedad, señalando que el responsable o encargado del tratamiento deberá garantizar el cumplimiento de la normativa, y además estar en condiciones de demostrarlo en cualquier momento: principio de “accountability” o rendición de cuentas.

    Esto supone además un cambio de enfoque a la hora de abordar el cumplimiento, ya que,

    con la anterior normativa, los sujetos obligados debían seguir una serie de rígidas pautas establecidas por la Administración. A partir de ahora, corresponde a los responsables identificar y calificar los riesgos que pueden existir en su organización derivados de los tratamientos que realizan, escoger las medidas adecuadas para mitigarlos, y acreditarlo todo fehacientemente.

     

    Por tanto, del análisis de riesgos que deberá realizar cada organización, se derivarán una serie de controles para tratar los mismos, y entre ellos destacan las medidas de privacidad desde el diseño y por defecto (“privacy design” y “privacy by default”), que deberán aplicarse con anterioridad al inicio del tratamiento y cuando se esté desarrollando.

     

    En cuanto al concepto “privacidad desde el diseño”, el mismo hace referencia a la necesidad de tener presentes las garantías del RGPD desde que se inicia un proceso, previendo adoptar medidas que garanticen que solo se traten los datos necesarios y por el tiempo imprescindible. A este respecto, el RGPD indica en su Considerando 78 que “al desarrollar, diseñar, seleccionar y usar aplicaciones, servicios y productos que están basados en el tratamiento de datos personales o que tratan datos personales para cumplir su función, ha de alentarse a los productores de los productos, servicios y aplicaciones a que tengan en cuenta el derecho a la protección de datos cuando desarrollan y diseñen estos productos, servicios y aplicaciones, y que se aseguren, con la debida atención al estado de la técnica, de que los responsables y los encargados del tratamiento están en condiciones de cumplir sus obligaciones en materia de protección de datos”.

     

    Por su parte, la “privacidad por defecto” está relacionado con lo que en la LOPD se denominaba como “principio de calidad de los datos”, o dicho con otras palabras, con el uso proporcionado de los datos personales a la finalidad por la que se recaban. Con las medidas de “privacy by default”, lo que se pretende es que las organizaciones, por defecto, solo traten los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esto es aplicable referido tanto a la cantidad de los datos recogidos, como al tipo de datos, los tratamientos que hacemos, el tiempo que los conservamos y el acceso que permitimos a los mismos. En el caso, por ejemplo, de una red social, las medidas de privacidad por defecto se cumplirían si se aplicara al usuario la configuración de privacidad más básica al registrarse.

    El equipo de profesionales de Govertis

    Logotipo de Govertis

    Más allá del consentimiento, hay legitimación

    by Macarena Rodriguez |May 11, 2018 | 0 Comments | GDPR Legal | , ,

    El Reglamento General de Protección de Datos, en adelante RGPD, establece un sistema de legitimación compuesto por seis bases jurídicas, de modo que el tratamiento de datos ya no se basa en el consentimiento del interesado y excepciones al mismo, sino que ha de basarse en uno de los seis supuestos que el RGPD establece. Dichas bases de legitimación no son intercambiables ni hay ninguna jerarquía entre ellas.

    Además, la base jurídica de legitimación del tratamiento se incorpora al contenido obligatorio del deber de información (artículo 13.1c) RGPD), por lo que el Responsable del tratamiento deberá facilitar dicha información al interesado, en el momento en que se obtengan los datos personales.

    Analizaremos a continuación los diferentes supuestos que conforman el sistema de legitimación diseñado por el RGPD, diferentes al consentimiento del interesado:

    • Legitimación para la ejecución de un contrato: el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales.
    • Legitimación derivada del cumplimiento de una obligación legal: deberá incluirse la referencia a la concreta norma que establece esta obligación al Responsable del tratamiento.
    • Legitimaciónpara el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
    • Legitimación para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero; el interés legítimo podrá constituir la base jurídica para el tratamiento “siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable” (Considerando 47 del RGPD). En cualquier caso, el interés legítimo siempre requerirá de una “evaluación meticulosa” (Considerando 47 del RGPD), que incluya la determinación, necesidad y justificación del interés legítimo, así como todo un análisis de la ponderación de dicho interés y los derechos y libertades del interesado y las medidas adoptadas para garantizar el equilibrio de los intereses en juego.
    • Legitimación para proteger intereses vitales del interesado o de otra persona física; se trata de un supuesto excepcional derivado de las propias circunstancias que harían posible esta causa de legitimación.

    En conclusión, recordar la importancia de la correcta determinación de la base jurídica que legitime el tratamiento de datos, ya que, además de formar parte del contenido del deber de información junto a la finalidad del tratamiento, en aplicación del Principio de responsabilidad proactiva, el Responsable deberá poder demostrar la adecuación de la base jurídica utilizada a las exigencias del RGPD.

    El equipo de profesionales de Govertis

    Logotipo de Govertis

    Nuevos retos en privacidad: IoT

    by Macarena Rodriguez |May 4, 2018 | 0 Comments | DPD DPO | , , , ,

    Al hablar de IoT nos referimos a la llamada “Internet of Things –  Internet de las Cosas”. Esencialmente se trata de la interconexión de objetos en red, mediante la asignación a cada uno de ellos de un “identificador único”, constituyendo así un dominio en el que pueden interactuar e intercambiar información de forma identificada, lo que supone una comunicación máquina a máquina. Estos tratamientos requieren de la designación obligatoria de Delegado de Protección de Datos- DPO-, quien deberá asesorar al responsable o encargado de tratamiento sobre los retos que plantean estos tratamientos para la privacidad.

    Los principales riesgos para la privacidad de estos tratamientos son:

    Rastreo. Consiste en el seguimiento en tiempo real de los movimientos de una persona, a partir de objetos que tiene asignados. Permite conocer la completa trazabilidad de los mismos. Ello puede provocar que esa información sobre hábitos de conducta en manos de cibercriminales pueda ser utilizada por ejemplo para efectuar un robo cuando estamos fuera de casa (trabajando o de vacaciones).

    Elaboración de perfiles. A partir de los datos almacenados del seguimiento de una persona, mediante técnicas analíticas, permite inferir unos patrones de conducta y llegar a conocer sus hábitos y preferencias, posibilitando elaborar su perfil. Por ello se deberá estar a lo previsto en el RGPD para la elaboración de perfiles y, en su caso, decisiones individuales automatizadas.

    Seguridad. Los ataques de DoS (Denegación de Servicio) / DDoS (Distributed Denial of Service) que ya están actualmente presentes en Internet. La IoT también es susceptible a este tipo de ataques por lo que se deben establecer mecanismos de resistencia a este tipo de ataques.

    Por otro lado, al tratarse de dispositivos conectados son susceptibles de recibir malware (virus o programas que cifran la información – ransomware) por lo que deben ser protegidos de la misma manera que otros dispositivos conectados como ordenadores o smartphones.

    Estos tratamientos en la mayoría de los casos requerirán una Evaluación de Impacto en Protección de Datos a tenor del artículo 35.3. a) del RGPD:

    Evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar”.

    En la elaboración de la EIPD se deberán tener muy presentes las causas de legitimación del tratamiento, la información facilitada a los interesados, en su caso, el modo de obtención del consentimiento, así como las medidas técnicas y organizativas que reduzcan el alto riesgo para los derechos y libertades de los interesados. El Delegado de Protección de Datos DPO, tendrá un papel relevante en la elaboración de la misma debiendo liderarla y tomar parte activa en todas las fases de la misma.

    Finalizaremos nuestra exposición haciendo referencia a la “Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO sobre el respeto de la vida privada y la protección de los datos personales en el sector de las comunicaciones electrónicas y por el que se deroga la Directiva 2002/58/CE (Reglamento sobre la privacidad y las comunicaciones electrónicas)” que entre otras cuestiones pretende regular la IoT.

    En relación con las comunicaciones máquina a máquina realizadas por la IoT, la Propuesta de Reglamento indica que estará prohibido recopilar la información emitida por un equipo terminal para poder conectarse a otro dispositivo o a un equipo de red, salvo cuando se cumpla alguna de las siguientes excepciones:

    1. a) cuando se lleve a cabo con el fin exclusivo de establecer una conexión y solamente durante el tiempo necesario para ello, o
    2. b) cuando se muestre una advertencia clara y destacada que informe, como mínimo, de las modalidades de recopilación, su finalidad, las personas responsables de ella y la información restante requerida de conformidad con el artículo 13 del Reglamento (UE) 2016/679 en caso de que se recojan datos personales, así como de cualquier medida que pueda adoptar el usuario final del equipo terminal para interrumpir o reducir al mínimo la recopilación. La información podrá proporcionarse en combinación con el uso de iconos normalizados que ofrezcan, de forma fácilmente visible, inteligible y claramente legible, una adecuada visión de conjunto.

    La recopilación de esta información quedará supeditada a la aplicación de medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado en relación con los riesgos, según lo establecido en el artículo 32 del Reglamento (UE) 2016/679.

    El equipo de profesionales de Govertis

    Logotipo de Govertis