phone 915 752 750 email aec@aec.es

    Me han nombrado Servicio Esencial ¿y ahora qué hago?

    14 octubre, 2021 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    Este es un tema de Compliance; es decir, que tenemos que cumplir la ley.  ¿Qué ley? En este caso es la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas”, así como el Real Decreto 704/2011, de 20 de mayo, por el que se aprueba el Reglamento de protección de las infraestructuras críticas. Hay más normas relacionadas que luego iremos comentando, pero por ahora nos centramos en estas dos.

    • Servicio Esencial, Ley de infraestructuras Críticas, ¿qué es esto?
    • Ley 8/2011, art. 2. Definiciones.

    “A los efectos de la presente Ley, se entenderá por:

    1. a) Servicio esencial: el servicio necesario para el mantenimiento de las funciones sociales básicas, la salud, la seguridad, el bienestar social y económico de los ciudadanos, o el eficaz funcionamiento de las Instituciones del Estado y las Administraciones Públicas; (…)
    2. e) Infraestructuras críticas: las infraestructuras estratégicas cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales.”

    Resumiendo, que las Infraestructuras Críticas son los activos o elementos que dan soporte al Servicio Esencial.

    Vale, pero yo sigo igual. ¿Qué son las Infraestructuras Críticas?

    Las Infraestructuras Críticas son el conjunto de activos esenciales para el funcionamiento de una sociedad y de su economía y que son:

    • Necesarias para suministro de servicios esenciales.
    • Indispensables. No hay solución alternativa.
    • De carácter públicos y/o privados.
    • Con grave impacto sobre la sociedad.

    Una vez entrados en materia, destacar un detallito, esta información es secreta:

    • Ley 8/2011, Art. 3:

    “El Catálogo Nacional de Infraestructuras Estratégicas tiene, conforme a lo dispuesto en la legislación vigente en materia de secretos oficiales, la calificación de SECRETO, conferida por Acuerdo de Consejo de Ministros de 2 de noviembre de 2007”

    Por lo tanto, olvidaros de iros a las Redes Sociales a pregonar que el Servicio X, de la empresa Y, ha sido nombrado Servicio Esencial. Un poquito de mesura.

    Continuamos con la Ley 8/2011. Vamos a destacar uno de los pilares fundamentales, los roles.

    En cuanto a los roles, se deben crear los siguientes:

    • Artículo 16. El Responsable de Seguridad y Enlace.
    • 1. Los operadores críticos nombrarán y comunicarán al Ministerio del Interior un Responsable de Seguridad y Enlace con la Administración en el plazo que reglamentariamente se establezca.
    • 2.En todo caso, el Responsable de Seguridad y Enlace designado deberá contar con la habilitación de Director de Seguridad expedida por el Ministerio del Interior según lo previsto en la normativa de seguridad privada o con la habilitación equivalente, según su normativa específica.”
    • Artículo 17. El Delegado de Seguridad de la Infraestructura Crítica.

    “1. Los operadores con Infraestructuras consideradas Críticas o Críticas Europeas por el Ministerio del Interior comunicarán a las Delegaciones del Gobierno o, en su caso, al órgano competente de la Comunidad Autónoma con competencias estatutariamente reconocidas para la protección de personas y bienes y para el mantenimiento del orden público donde aquéllas se ubiquen, la existencia de un Delegado de Seguridad para dicha infraestructura.”

    Otro de los pilares son los planes, estos se encuentran en el RD 704/2011.

    De los planes que se mencionan en este RD:

      1. CAPÍTULO I. El Plan Nacional de Protección de las Infraestructuras Críticas
      2. CAPÍTULO II. Los Planes Estratégicos Sectoriales
    • CAPÍTULO III. Los Planes de Seguridad del Operador
    • CAPÍTULO IV. Los Planes de Protección Específicos
    1. CAPÍTULO V. Los Planes de Apoyo Operativo

    Solo están bajo nuestra responsabilidad el tres y el cuatro, que es donde vamos a poner el foco.

    • ¿Qué es un Plan de Seguridad del Operador (PSO)?
    • Art. 22. 1:

    “1. Los Planes de Seguridad del Operador son los documentos estratégicos definidores de las políticas generales de los operadores críticos para garantizar la seguridad del conjunto de instalaciones o sistemas de su propiedad o gestión.”

    • ¿Qué debe contener dicho Plan?
    • Política general y marco de gobierno.
    • Relación de servicios esenciales.
    • Metodología de AARR (amenazas físicas y lógicas).
    • Criterios de aplicación de medidas de seguridad integral.
    • Documentación complementaria.
    • ¿Cuánto tiempo tenemos para presentarlo?
    • Art. 22. 2:

    “2. En el plazo de seis meses a partir de la notificación de la resolución de su designación, cada operador crítico deberá haber elaborado un Plan de Seguridad del Operador y presentarlo al CNPIC, que lo evaluará y lo informará para su aprobación, si procede, por el Secretario de Estado de Seguridad u órgano en el que éste delegue.”

    • ¿Cada cuánto tiempo se revisa
    • Artículo 24:

    “1. Los Planes de Seguridad del Operador deberán ser revisados cada dos años por los operadores críticos y aprobados por el CNPIC. Éste podrá requerir en cualquier momento información concreta sobre el estado de implantación del Plan de Seguridad del Operador.”

    • ¿Y un Plan de Protección Específico (PPE)?
    • Art. 25:

    “Los Planes de Protección Específicos son los documentos operativos donde se deben definir las medidas concretas ya adoptadas y las que se vayan a adoptar por los operadores críticos para garantizar la seguridad integral (física y lógica) de sus infraestructuras críticas.”

    Deben estar alineados con el PSO y contener:

    • Organización de la seguridad.
    • Descripción de la infraestructura.
    • Resultado del AARR: medidas de seguridad (existentes y por implementar) permanentes, temporales y graduales, para las diferentes tipologías de activos a proteger y según los diferentes niveles de amenaza declarados a nivel nacional.
    • Plan de acción propuesto (por cada activo evaluado en el AARR).
    • Art. 25:

    “En el plazo de cuatro meses a partir de la aprobación del Plan de Seguridad del Operador, cada operador crítico deberá haber elaborado un Plan de Protección Específico por cada una de sus infraestructuras críticas así consideradas por la Secretaría de Estado de Seguridad y presentarlo al CNPIC. Igual procedimiento y plazos se establecerán cuando se identifique una nueva infraestructura crítica.”

    • Art. 27:

    “1. Los Planes de Protección Específicos deberán ser revisados cada dos años por los operadores críticos”

    Mencionar, que para ambos planes existen unas guías de buenas prácticas donde se desarrollan todas las actividades necesarias.

    Y para finalizar con este RD, destacar nuestro punto de contacto:

    • Art. 7. El Centro Nacional para la Protección de las Infraestructuras Críticas.

    “El CNPIC del Ministerio del Interior, orgánicamente dependiente de la Secretaría de Estado de Seguridad, tendrá el nivel orgánico que se determine en la correspondiente relación de puestos de trabajo, y desempeñará las siguientes funciones:

    1. a) Asistir al Secretario de Estado de Seguridad en la ejecución de sus funciones en materia de protección de infraestructuras críticas, actuando como órgano de contacto y coordinación con los agentes del Sistema.»

    Como hemos mencionado al principio, existen otras dos leyes que hay que tener en cuenta. 

    El 6 de julio del 2016, el Parlamento Europeo aprobó la Directiva 2016/1148, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión, conocida como la Directiva NIS (Security of Network and Information Systems).

    Este Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, es la transposición de la citada Directiva NIS al ordenamiento jurídico español.

    • ¿Y qué tiene que ver con la Ley 8/2011 de Infraestructuras Críticas?
    • Lo vemos en su Art. 1:

    “1. El presente real decreto-ley tiene por objeto regular la seguridad de las redes y sistemas de información utilizados para la provisión de los servicios esenciales y de los servicios digitales, y establecer un sistema de notificación de incidentes.”

    De esta ley destacamos dos puntos cruciales:

    • Art.16.3:

    “Responsable de Seguridad de la Información: Persona, unidad u órgano colegiado responsable de la seguridad de la información»

    Este rol es diferente de los dos anteriores.

    • Título VII, Régimen Sancionador. Art. 37:

    Infracción Grave o Muy Grave (hasta 1.000.000 €)»

    Este régimen sancionador se suma a los ya aplicables, como son:

    • L.O. DE SEGURIDAD CIUDADANA: Art. 35 – Infracción Grave (hasta 600.000 €)
    • LEY DE SEGURIDAD PRIVADA: Art. 59 – Infracción Grave o Muy Grave (Hasta 100.00 €)

    Y no solo sanciones administrabas, también podemos tener sanciones penales:

    • Hasta 3 años de Cárcel (CP). Art. 264: Daños informáticos en Infraestructuras Críticas. Arts. 263-267: Daños por negligencia, falta de diligencia u omisión
    • Hasta 5 años de Cárcel (CP). Art 325: Contra el medio ambiente y el entorno

    Y, por último, tenemos el Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información.

    Este Real Decreto profundiza en un punto primordial de la gestión de la seguridad, como es la Gestión de Incidentes. 

    Ya no se habla de si habrá o no habrá un incidente. Hoy en día, de lo que se habla es de cuándo se producirá un incidente y de cómo responderemos a dicho incidente.

    Espero que este breve resumen os ayude a afrontar el reto de ser nombrado Servicio Esencia.

    Tomás González

    Equipo Govertis

    KEEP READING

    Compliance penal: información básica a tener en cuenta por las empresas

    8 octubre, 2021 |by Macarena Rodriguez | 0 Comments | GDPR Legal | , ,

    El objeto de este artículo es informar de los aspectos esenciales y la conveniencia de elaborar e implantar un Plan de Prevención de Delitos (PPD) (COMPLIANCE). Aplica al sector privado y a sociedades mercantiles públicas

    1. PLAN DE PREVENCIÓN DE DELITOS Y COMPLIANCE

    La nueva legislación, el criterio de la Fiscalía General del Estado y las recientes sentencias del Tribunal Supremo que ya empiezan a condenar empresas por los delitos cometidos en su seno, hacen necesarios este tipo de Planes de Prevención de Delitos.

    Por muy pequeña que sea, nuestra empresa no se halla exenta de responsabilidad penal, de modo que deberemos organizarnos para implementar una gestión basada en comportamientos saludables, con el objetivo de cumplir las normas y gestionar el riesgo de forma más segura, pero también más rentable.

    El compliance penal redunda en un Plan de Prevención de Delitos que nace para garantizar el respeto a la normativa y la alineación de las organizaciones con la cultura del cumplimiento, y es además un requisito indispensable para acogerse a la exención de responsabilidad que prevé el código penal en caso de comisión de un delito en el seno de entidad.

    1. ¿POR QUÉ NECESITO UN PLAN DE PREVENCIÓN DE DELITOS?

    El Código Penal establece penas muy importantes para las empresas que sean condenadas por algún delito cometido por sus administradores, directivos o empleados y, para poder estar exentas de responsabilidad penal, las empresas deben implantar un Plan de Prevención de Delitos.

    1. ¿A QUÉ PENAS SE PUEDE ENFRENTAR MI EMPRESA?

    Las penas a las que se enfrenta la empresa son: multas, que pueden llegar hasta los 9 millones de euros; inhabilitación para recibir subvenciones o contratar con el sector público; prohibición temporal para realizar actividades y otras penas que pueden llegar hasta el cierre de actividades, es decir, la muerte legal de la empresa.

    1. ¿QUÉ DELITOS SE PUEDEN COMETER EN MI EMPRESA?

    Los delitos que se pueden cometer por parte de los empleados, directivos o administradores y que tienen responsabilidad penal en su empresa son muy variados, entre otros, los siguientes:

    • 156 BIS, Tráfico de Órganos;
    • 177 BIS, trata de seres humanos;
    • 187 a 189 BIS prostitución y corrupción de menores;
    • 197 quiniquies: acceso ilícito a datos y procesos informáticos;
    • 251 Estafa;
    • 257 a 261 BIS: Insolvencias Punibles;
    • 264 Delitos informáticos; 270 y 272: Delitos relativos a la propiedad Intelectual;
    • 273: Delitos relativos a la propiedad Industrial;
    • 274 delitos contra el derecho de marcas;
    • 275 delitos por utilización indebida de “denominación de origen»;
    • 278: Delitos relativos al mercado y los consumidores;
    • 284: Alteración de precios de productos, títulos, instrumentos financieros;
    • 285 Utilización de información privilegiada; 286 Acceso a servicios de comunicación sin permiso del prestador de servicios;
    • 298 a 302.2: Receptación y blanqueo de capitales;
    • 304 BIS 5: Financiación ilegal de Partidos políticos;
    • 305 a 310 BIS: Delitos contra la Hacienda Pública y la Seguridad Social;
    • 318 BIS Tráfico ilegal de personas, e inmigración clandestina;
    • 319: Delitos contra la ordenación del territorio;
    • 325 a 331 Delitos contra el medio ambiente y los recursos naturales;
    • 341 a 345: Vertidos nucleares o radiactivos;
    • 348 a 350: Delitos de riesgo por manipulación de explosivos y otros agentes;
    • 366: Delitos contra la salud pública y despacho ilegal de medicamentos o adulteración de alimentos y bebidas;
    • 368 y 369: actos de cultivo y elaboración de drogas tóxicas para consumo ilegal;
    • 386: Falsificación de moneda y efectos timbrados;
    • 399 BIS: Falsificación de tarjetas de crédito;
    • 419 a 427 Cohecho;
    • 428 a 430: Tráfico de influencias;
    • 445: Corrupción en transacciones comerciales e internacionales;
    • 510: Incitación al odio y la discriminación; 570: Promover y constituir organizaciones criminales;
    • 576: Financiación del terrorismo; y
    • Art. 2.6 LO 6/2011: Contrabando.
    1. ¿CUÁLES SON LOS BENEFICIOS DE IMPLANTAR UN PLAN DE PREVENCIÓN DE DELITOS?

    El más importante; evitar la imputación de la empresa en el caso de que se cometa un delito en su seno por un comportamiento inadecuado de sus directivos o empleados. Pero también produce ventajas importantes:

    • Detecta riesgos y evita incidencias que podrían ocasionar sanciones administrativas o indemnizaciones civiles.
    • Evita responsabilidades penales en el órgano de administración de la entidad por hechos cometidos por los empleados
    • Mejora la gestión ya que nos permite encontrar áreas de mejora, detectar a tiempo errores o vicios de comportamiento
    • Mejora la reputación al involucrar a toda la organización en la consecución de un comportamiento ético que se reflejará en la percepción que de nosotros tiene la sociedad y particularmente nuestros clientes y proveedores.
    • Mejora la contratación al transmitir esa confianza a nuestros proveedores financieros, de seguros, Hacienda, Seguridad Social, organismos públicos, etc. Y nos permitirá acceder a productos y contrataciones en mejores condiciones y precios.
    • Mejora la seguridad al poder detectar fraudes, la utilización indebida de los medios de la empresa, robos y actitudes impropias en los mandos intermedios, empleados y proveedores.
    1. ¿QUÉ DEBO HACER PARA IMPLANTAR UN PROGRAMA DE CUMPLIMIENTO NORMATIVO PENAL?

    La empresa:

    i. Identificará las actividades en cuyo ámbito puedan ser cometidos los delitos que deban ser prevenidos.

    Se trata de determinar, en cada empresa, cuáles son los riesgos delictivos más frecuentes, no sólo determinar qué delitos sean los más usuales en la rama de actividad a que se dedica la empresa, sino también las actividades donde se cometen o pueden cometerse los delitos a prevenir.

    Ha de considerarse como un indicador positivo el análisis de los bloques normativos que impactan en la actividad de la organización y los riesgos eventuales que de los mismos puedan derivarse, fijando una probabilidad del riesgo en cada uno de los bloques normativos y de actividades. La participación de expertos independientes, ajenos a la organización es, qué duda cabe, un aspecto positivo a valorar en el Programa de prevención

    ii. Establecerán los protocolos que concreten el proceso de formación de la voluntad de la persona jurídica y la adopción de acuerdos.

    El Programa de cumplimiento y prevención debe prever esos procesos de formación de la voluntad de la persona jurídica que afecten a las actividades de la empresa potencialmente peligrosas o de riesgo, señalando qué personas (con el perfil adecuado) deben intervenir, a quien debe reportarse la información sobre los riesgos y, en todo caso, debe asegurarse que la decisión adoptada tiene el mínimo riesgo posible en la comisión de los delitos que pretenden prevenirse.

    iii. Dispondrán de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos.

    Está claro que un Programa de prevención de los delitos necesita disponer de recursos financieros suficientes para poder atender a las necesidades del plan.

    iv. Impondrán la obligación de informar de posibles riesgos e incumplimientos al órgano encargado de vigilar y velar por el buen funcionamiento del modelo de prevención.

    Dicha obligación engarza directamente con el reporte de cumplimiento. Los cometidos de reporte no sólo se entienden como una función del órgano encargado del cumplimiento hacia el órgano de administración, sino también como una actividad hacia la función de cumplimiento, es decir, desde los empleados hacía el encargado de cumplimiento. Esto se traduce en un canal de denuncias

    v.- Establecerán un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que establezca el modelo.

    Sin el establecimiento de un sistema disciplinario que corrija los incumplimientos del programa de compliance perdería todo su sentido la propia función de compliance. Como establece la Fiscalía General del Estado, la obligación de establecer un sistema disciplinario adecuado que sancione el incumplimiento de las medidas adoptadas en el modelo presupone la existencia de un código de conducta en el que se establezcan claramente las obligaciones de los directivos y los empleados. Y lleva consigo, como correlato de la obligación, el deber de garantizar la confidencialidad en las denuncias, para lo cual son esenciales los canales de denuncia protectores para con el denunciante (Circ FGE 1/2016).

    En este sentido, las acciones correctoras de los fallos detectados son esenciales y entre las medidas correctoras destacan las medidas disciplinarias oportunas en el ámbito laboral y contractual. No es admisible, por inconcebible, que un incumplimiento significativo que ponga o pueda poner en riesgo a la compañía quede impune.

    Una política de tolerancia cero por parte de la organización demuestra el grado de implicación y el compromiso de la empresa con el compliance. El establecimiento de una guía disciplinaria básica, dirigida a los empleados, puede ser útil para prevenir el delito habida cuenta de que los empleados de la organización conocerán las consecuencias de la vulneración del corporate compliance.

    El sistema disciplinario que sancione el incumplimiento de las normas contenidas en el programa de prevención debe contar con una protección del “delator”. Quiere decirse con ello que, si el empleado está obligado a denunciar las conductas irregulares de la empresa, debe protegerse al empleado que cumple su obligación, siendo así que una de las formas más interesantes en la protección del delator (empleado cumplidor-denunciante) será, sin duda, la confidencialidad de la denuncia. En definitiva, establecer canales de denuncia que garanticen la confidencialidad de las mismas es una de las piezas claves del sistema de compliance de una compañía, siendo aconsejable la externalización de los sistemas o canales de denuncia, lo que incidirá positivamente en la garantía de anonimato en el denunciante.

    vi.- Realizarán una modificación periódica del modelo.

    Como es lógico se trata de detectar los fallos y corregirlos, de adaptarse a las circunstancias de cada momento. Es lo que se conoce con el término «monitoreo», que exige una revisión periódica para valorar la eficacia del plan; adaptarse a las novedades que se vayan produciendo dentro de la organización (por ejemplo, la presencia en nuevos mercados) y fuera de ella (fundamentalmente cambios de normativa); y salir al paso de los fallos que se hayan producido, lo que requiere una adaptación a los mismos del Programa.

    En definitiva y a modo de conclusión, podemos decir que «el sello distintivo de un programa eficaz es que la organización ejerza la diligencia debida para tratar de prevenir y detectar la conducta criminal de sus empleados y otros agentes», de suerte tal que, para poder hablar de un programa eficaz, es preciso acreditar una cultura de cumplimiento dentro de la persona jurídica, dentro de la organización. Ahora bien, la existencia de la comisión de un delito pese a la implementación del Programa de cumplimiento no convierte al programa en ineficaz; la eficacia ha de ser medida por la razonabilidad del mismo en relación con las actividades de riesgo de la organización, en definitiva, el programa ha de ser eficaz para prevenir el delito, no siendo preciso que sea infalible.

    Todo ello se complementa con la ISO 19601 que aglutina dichas obligaciones del Código Penal y establece un modelo de gestión que complementa las ya mencionadas exigencias legales.

    Elías Vallejo

    Equipo Govertis

     

    KEEP READING

    Propietarios no empadronados: acceso a datos de residentes

    1 octubre, 2021 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal | , ,

    El presente artículo pretende promover una reflexión sobre una de las cuestiones que surgen en la práctica con las Administraciones locales, y para ello recordar antes un par de conceptos.

    El Padrón municipal es el registro administrativo donde constan los vecinos de un municipio. Sus datos constituyen prueba de la residencia en el municipio y del domicilio habitual. Las certificaciones que de dichos datos se expidan tienen carácter de documento público y fehaciente para todos los efectos administrativos. El padrón municipal, por una parte, está sujeto al ejercicio, por parte de los vecinos, de los derechos que otorga la legislación en protección de datos y, por otra parte, como información pública (en tanto obra en poder de la Administración) entra en el ámbito objetivo de la legislación de transparencia.

    Como es sabido, al darnos de alta en el Padrón municipal, nuestros datos pasar a ser accesibles por el resto de las personas inscritas en la misma vivienda (mediante el certificado o volante colectivo). Si bien, puede darse el caso de que el propietario del inmueble no esté empadronado en el mismo. Entonces, ¿podría acceder a los datos de las personas empadronadas en su propiedad?

    Durante la época en la que regía la LOPD, se ha establecido una suerte de consenso –lamentablemente indiscutido– sobre que la condición de propietario, sin que concurra la circunstancia de estar empadronado en la vivienda, no otorga ningún derecho a consultar quién está empadronado en la finca de la que es titular.

    Uno de los comentarios más difundidos al respecto corresponde a la edición El Consultor de los Ayuntamientos (núm. 4, Editorial La Ley, 14 de marzo de 2013) y reza así: “está claro que deben denegar la petición del propietario del inmueble, pues la información solicitada de los datos del padrón afecta a la intimidad de las personas que viven en el inmueble”.

    Esta postura surgió de traer a colación el que “el domicilio [¿el domicilio?] es una de las facetas más singularmente reservadas de la vida de la persona”, enfocando así los derechos fundamentales a la intimidad y a la privacidad. La norma sectorial de referencia es el art. 53.3 del Real Decreto 1690/1986 (Reglamento de Población y Demarcación Territorial de las Entidades Locales) que dispone que los datos del padrón son confidenciales y el acceso a los mismos se regirá por lo dispuesto en la LOPD, la cual, a su vez, establecía que solo podrán ser comunicados a un tercero con el previo consentimiento de los afectados; es decir, de todos los inscritos en la vivienda.

    Considerar al propietario del inmueble como “tercero”, por el mero hecho de no estar empadronado en la vivienda, es lo que debía de haber generado ya entonces algún tipo de contestación, toda vez que uno de los presupuestos para cursar alta en el Padrón es que el futuro vecino aporte la autorización de ese mismo propietario. El trasfondo problemático del asunto es que, una vez empadronado, el vecino puede autorizar según le plazca nuevas altas en la vivienda sin conocimiento del propietario.

    Hoy en día, con la entrada en vigor del RGPD, la expedición de certificaciones y/o volantes sobre de la totalidad de las personas inscritas en un mismo domicilio, deberá estar fundamentada en alguno de los supuestos del artículo 6.1 del RGPD.

    La AEPD, respondiendo a una pregunta frecuente sobre esto mismo (“¿Se puede comunicar información sobre la inscripción padronal de todas las personas inscritas en un inmueble al propietario del mismo?”) en su guía sectorial Protección de datos y Administración local (2019), limita –de manera aparentemente errónea– la posible legitimación a un único supuesto cuando dice así:

    La comunicación de datos del Padrón municipal queda limitada por el citado artículo 16.3 de la LBRL a las Administraciones públicas, por lo que atendiendo al principio de legitimación de datos del artículo 6 del RGPD, y puesto que el solicitante no ostenta tal condición, únicamente cabrá el consentimiento del afectado para el acceso a los datos del padrón en el supuesto de hecho planteado.

     Afortunadamente, el debate sigue abierto gracias a que la Autoridad Catalana de Protección de Datos emitió en 2018 su “Dictamen sobre la consulta formulada por el Delegado de protección de datos de un ayuntamiento en relación con una solicitud de un certificado de convivencia histórico de una vivienda presentada por un propietario no empadronado” (CNS 38/2018).

    En ese caso concreto, el solicitante interesaba un certificado de convivencia histórico de una vivienda de la que es propietario, pero en la que nunca ha estado empadronado, para un procedimiento de desahucio. La opinión emitida por la APDCAT concluye lo siguiente:

    “La normativa de protección de datos no impediría el acceso a los datos del padrón relativos a la convivencia histórica en un domicilio a petición del propietario del mismo emparado en la Ley 19/2014, de 29 de diciembre, de transparencia, acceso a la información pública y buen gobierno, siempre y cuando, una vez ponderados los derechos en juego, concurra un interés directo en el solicitante de la información y esta comunicación de información no suponga un prejuicio significativo para el derecho a la protección de datos de las personas afectadas.”

    Lo que ocurre es que este dictamen suscita cuestiones adicionales.

    Por un lado, opta por salir del ámbito del RGPD, cuando este permite la posibilidad de argumentar una base de legitimación distinta al consentimiento, del art. 6.1: “f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño”.

    Por otro lado, además del juicio de ponderación, en este dictamen se advierte, en relación con la afectación de derechos o intereses de terceros, “la importancia de que el ayuntamiento dé traslado de la solicitud a estas personas afectadas (la persona o personas que estarían empadronadas en el domicilio), tal y como prevén los artículos 31.1 y 42 de la LTC, de modo que se pueda saber si concurre alguna circunstancia personal concreta que justifique la limitación del derecho de acceso”. Esta salvaguarda, en la práctica, podría perjudicar los intereses legítimos invocados, cuando menos por los tiempos, y en todo caso no se entiende si partimos del presupuesto lógico de que el propietario de una vivienda debería tener derecho a saber quien está inscrito en la misma.

    En lo que no cabe duda del dictamen es que, para el caso de menores empadronados, “habría que valorar la posibilidad de no incluir sus datos personales en la comunicación de la información correspondiente ya que estos no parecen necesarios para lograr la finalidad del acceso”, sugiriendo incluir solo el número de menores empadronados y sus edades. Pero esto, una vez más, nos devuelve al art. 6.1.f) del RGPD.

    Mientras tanto, como también señala el citado dictamen, la Ley de Bases del Régimen Local y el consecuente régimen específico de acceso a los datos del padrón municipal de habitantes no prevé, con carácter general, el acceso de los particulares no empadronados a los datos padronales de otras personas.

    Andreu Yakubuv-Trembach

    Equipo Govertis

    KEEP READING

    Responsabilidad compartida en la Nube

    2 agosto, 2021 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal | , ,

    A la hora de realizar una migración a la nube, las organizaciones deben establecer una estrategia y establecer una serie de factores para tener en cuenta en este proceso, como pueden ser, las necesidades organizativas y los riesgos que se asumen al subir o trasladar cargas de trabajo a la nube. Por esta razón, es importante que en una primera fase de planificación se respondan a preguntas como:

    • la motivación que lleva a emprender una migración
    • los objetivos empresariales que se quieren alcanzar o
    • decidir qué elementos o recursos migrar.

    Ya sea por una decisión estratégica, ventajas tecnológicas o económicas, la seguridad es piedra angular de todo el proceso de migración. Partiendo desde la planificación, durante la propia migración y una vez que los datos, aplicaciones o procesos estén migrados. Para alcanzar el nivel de seguridad que demanda la organización y poder desplegar buenas prácticas de seguridad en la nube con garantías, uno de los aspectos más importantes a tener en cuenta es comprender las obligaciones bajo el modelo de responsabilidad compartida, es decir, conocer qué tareas de seguridad administra el proveedor de servicios en la nube y cuales son responsabilidad del cliente.

    Además, normalmente se piensa que las empresas contratan solo un proveedor de servicios en la nube y por norma general ocurre todo lo contrario, en la gran mayoría de las organizaciones el modelo que optan es el de multi nube, con lo cual toma mayor relevancia tener muy claro cuáles son las responsabilidades y obligaciones del cliente y proveedor, que permita definir una estrategia de seguridad y de cumplimiento que contemple las diferentes variables del entorno.

    Por otro lado, tampoco existe un modelo de responsabilidad compartida que sea común a todos los proveedores de servicios en la nube y este modelo de responsabilidad dependerá del tipo de servicio que se adopte, es decir las responsabilidades varían en función de si la carga de trabajo está hospedada en una implementación de software como servicio (SaaS), plataforma como servicio (PaaS) o infraestructura como servicio (IaaS).

    Figura 1: Modelo de responsabilidad compartida de Microsoft

    Figura 1: Modelo de responsabilidad compartida de Microsoft

    Como se observa en la Figura 1 cuanto más se tienda a un servicio tipo SaaS menos responsabilidad recae en una organización cliente y más sobre el proveedor de servicios, este modelo de responsabilidad es análogo a los distintos proveedores.

    En un entorno IaaS el cliente tiene una responsabilidad o responsabilidad compartida de proteger y administrar el sistema operativo, la configuración de red, las aplicaciones, identidad y los datos. Para el caso que se observa en la Figura 2 de manera similar, con este proveedor de servicios en la nube, los clientes también serían responsables de la administración del sistema operativo (incluyendo parches de seguridad y actualizaciones), de cualquier utilidad o software de aplicaciones que el cliente haya instalado y de la configuración del firewall. El proveedor, en cambio, descargará la carga y responsabilidad al cliente de toda la administración de la infraestructura conformada por el hardware, software, las redes.

    Figura 2: Modelo de responsabilidad compartida de AWS

    Figura 2: Modelo de responsabilidad compartida de AWS

    En un entorno SaaS que es donde menos responsabilidad recae en el cliente, y a menudo suele ser el modelo más simple y seguro. No obstante, en este tipo de modelo el cliente sigue siendo el responsable de asegurarse de administrar los datos y clasificarlos correctamente, administrar los usuarios y los dispositivos finales.

    Los proveedores de servicios en la nube ofrecen una serie de medidas de seguridad, disponibilidad y de cumplimiento, pero estos beneficios que nos proporciona el proveedor no eximen a los clientes de la responsabilidad de proteger a sus usuarios, información, aplicaciones y los servicios ofrecidos.

    Es fundamental comprender los modelos de responsabilidad compartida por parte de las organizaciones que están planificando migrar a la nube, este análisis permitirá aplicar de manera eficaz las medidas y controles de seguridad y de esta manera aprovechar al máximo los servicios ofrecidos por el proveedor.

    Referencias

    https://aws.amazon.com/es/compliance/shared-responsibility-model/

    https://docs.microsoft.com/es-es/azure/security/fundamentals/shared-responsibility

    https://cloud.google.com/blog/products/containers-kubernetes/exploring-container-security-the-shared-responsibility-model-in-gke-container-security-shared-responsibility-model-gke

    Augusto Angulo

    Equipo Govertis

    KEEP READING

    Redes Sociales y Procesos de Selección

    16 julio, 2021 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal | , , , , ,

    Recientemente la Agencia Española de Protección de Datos (en adelante AEPD) ha publicado una nueva y esperada Guía sobre las Relaciones Laborales y su impacto en la protección de datos. Esta nueva Guía hace un análisis exhaustivo de cada uno de los tratamientos de datos que podrían darse en las relaciones laborales y como abordar cada uno de los mismos: base de legitimación, deber de información, plazos de conservación etc.

    Entre uno de los aspectos destacados de la Guía, la AEPD se ha pronunciado sobre cómo actuar en los procesos de selección respecto al acceso y uso de las redes sociales de los posibles candidatos a un puesto de trabajo. El objetivo de este artículo será conocer este apartado de la Guía para conocer los criterios de la autoridad de control y, de esta forma, dar pautas concretas de cómo deben actuar los responsables del tratamiento en este tema.

    ¿Puede acceder el empleador a las redes sociales de una persona candidata a un empleo?

    Aunque el perfil en las redes sociales de una persona candidata a un empleo sea de acceso público el empleador no puede efectuar un tratamiento de los datos obtenidos por esa vía sino cuenta para ello con una base de legitimación

    La posición de la AEPD sobre este punto es que la indagación en los perfiles de redes sociales de las personas candidatas a un empleo, sólo se justifica si está relacionada con fines profesionales, es decir, el tratamiento de los datos obtenidos por esta vía únicamente será posible cuando se demuestre que es necesario y pertinente, y por lo tanto, existe un interés legítimo suficiente para tratar estos datos. Por lo tanto, la empresa podría utilizar información de redes sociales como pudiera ser LinkedIn para evaluar la idoneidad del puesto de trabajo, pero, sin embargo, no estaría legitimado en revisar redes sociales como Facebook o Instagram destinadas a un uso más personal e íntimo.

    ¿Se debe informar a los interesados sobre estos extremos?

    La persona trabajadora tiene derecho a ser informada sobre ese tratamiento

    Por lo tanto, el responsable del tratamiento deberá encontrar un mecanismo adecuado para informar a los interesados sobre este tratamiento. Por ejemplo, podría incorporar el deber de información recogido en los arts. 13 y 14 del RGPD en el contenido de la publicación de la convocatoria, de modo transparente puede explicar que se comprobarán los perfiles en redes sociales profesionales para ver si cumple con los requisitos que se piden en la convocatoria, y siempre con fines profesionales.

    ¿Se puede solicitar amistad a un candidato de un puesto de trabajo?

    La empresa no está legitimada para solicitar <<amistad>> a personas candidatas para que estas, por otros medios, proporcionen acceso a los contenidos de sus perfiles

    Por lo tanto, en los casos en los que el interesado no tenga su perfil público, la empresa no estará legitimada para solicitar amistad a personas candidatas para que se pueda acceder al contenido de sus perfiles. Asimismo, la empresa tampoco está legitimada para solicitar a una persona trabajadora o candidata, a un empleo la información que éste comparta con otras personas a través de redes sociales.

    ¿Qué hacer con estos datos una vez finalizado el proceso de selección?

    Una vez concluido el proceso de selección, si la persona candidata no es contratada, desaparece la base jurídica para el tratamiento de los datos”.

    Por lo tanto, si la persona candidata no es contratada, una vez finalizado el proceso de selección, desaparece la base jurídica para el tratamiento de los datos, por lo que será necesario su consentimiento para un tratamiento futuro, salvo que el empleador pueda demostrar un interés legítimo. En caso contrario deberá destruir el curriculum y proceder a la supresión y bloqueo de los datos personales.

    Marcos Rubiales. 

    Equipo Govertis

    KEEP READING

    Obligaciones en la nueva Guía de Gestión del Riesgo y la Evaluación de Impacto en los tratamientos de datos personales

    7 julio, 2021 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal | , , , , , , ,

    La Agencia Española de Protección de Datos ha publicado la nueva Guía para la gestión del riesgo y evaluación de impacto en tratamiento de datos personales, cuyo objetivo es actualizar conforme a nuevos los nuevos criterios e interpretaciones de la AEPD, el Comité europeo de Protección de Datos y el Supervisor Europeo de Protección de Datos y unificar las guías “Guía práctica de análisis de riesgo para el tratamiento de datos personales” y la “Guía práctica para la evaluación de impacto en la protección de datos personales” publicadas por la AEPD hace tres años.

    Esta Guía comienza explicando el concepto de riesgo, primero de forma genérica y luego focalizada en la protección de los datos personales, indicando que el RGPD da total libertad para la gestión del riesgo, ya que debe integrarse con el resto de los recursos de la organización de gestión de riesgos, políticas y gobernanza.

    Se especifica que la gestión del riesgo no puede, en ningún caso, sustituirse por el cumplimento normativo, o por una póliza de seguros que cubra la responsabilidad de la organización en caso de que haya una infracción de la normativa de protección de datos, sino que, ante cualquier tratamiento, la organización tiene adoptar medidas técnicas y organizativas que protejan los derechos y libertades de las personas, tanto a nivel individual como social y aunque el riesgo sea escaso. Por ello esta Guía indica que “Si una entidad pretende abordar un tratamiento y no tiene la capacidad para hacer la necesaria la gestión del riesgo, estará obligada a buscar algún tipo de ayuda, como recurrir a la consultoría externa, para realizarlo de la forma apropiada”, ya que el objetivo no es sólo poder actuar ante un hecho que ocasione un perjuicio para los derechos y libertades del interesado, sino haber implementado las medidas adecuadas para poder prevenirlo.  En Govertis podemos ayudarte con el cumplimiento de todas las obligaciones de la normativa de protección de datos.

    La Guía analiza las fases que debe tener un proceso de gestión del riesgo, haciendo hincapié en la importancia de detallar el tratamiento que se quiere llevar a cabo, describiendo su propósito, su naturaleza, su alcance y su contexto.

    Una nueva referencia que se hace en esta Guía, y que no se hacía en las anteriores de forma expresa, es la importancia que tiene la gestión de la seguridad de la información. En concreto se indica que la implementación en la organización de modelos de gestión, como el Sistema de Gestión de la Seguridad de la Información (SGSI) y de directrices como las normas ISO 27000 o el Esquema Nacional de Seguridad, además de políticas de información de la entidad y las políticas de seguridad, son medios para poder gestionar los riesgos de forma efectiva y eficaz y, de esta forma, poder considerar que los sistemas de información de la entidad cumplen con unos mínimos de seguridad que exigen estos modelos, directrices, estándares y políticas. Pero no es suficiente con esto, sino que las medidas de seguridad que se implementen en la organización tienen que revisarse continuamente dado que la actividad de tratamiento, y por ende el riesgo, puede evolucionar por diversos factores como un cambio en el contexto, factores externos, nuevas necesidades, la modificación de los medios tecnológicos utilizados etc.

    Otro punto importante que aparece en esta nueva Guía, es el concepto de la “Gobernanza de los riesgos para los derechos y libertades” relacionado con el cumplimiento del principio de responsabilidad proactiva en el que la organización debe implementar políticas de protección de datos que se apliquen de una forma efectiva, práctica y ejecutiva en toda la organización y no se reduzcan a una mera declaración de voluntad de compromiso. Estos documentos relativos a la gestión del riesgo han de estar documentados y deberán contener unos elementos mínimos descritos en la Guía.

    En el segundo capítulo se expone una metodología, en concreto unos mínimos, para la descripción del tratamiento, ya esto se considera el punto más importante para poder gestionar los riesgos de forma eficaz. Se propone realizar el estudio del tratamiento para realizar la gestión del riesgo sobre el mismo, hasta en tres niveles de detalle:

    • Estudio a alto nivel del tratamiento: en este nivel se ofrece una tabla que incluye la información mínima que se tiene que analizar para poder realizar un análisis del riesgo.
    • Análisis estructurado del tratamiento: en el caso de que el estudio del punto 1) no sea suficiente para gestionar el riesgo, es necesario que se realice un análisis estructurado del tratamiento, es decir, “identificar en el tratamiento las distintas operaciones que lo forman y la relación que existe entre ellas”.
    • Descripción del ciclo de vida de los datos: en caso de encontrarnos con tratamientos complejos, se deberá realizar asimismo este análisis que supone estudiar las distintas etapas de la vida de un conjunto o categorías de datos, desde que se procede a la recogida de los datos personales hasta su destrucción.

    Además, se introducen dos nuevos conceptos para el cálculo del nivel del riesgo cuando hay dos o más factores de riesgo que apunten a un determinado nivel de impacto, y cuando haya dos o más indicios que apunten a un determinado nivel de probabilidad: el coeficiente de impacto acumulado y el coeficiente de probabilidad acumulado.

    Al igual que la Guía de Evaluaciones de Impacto, la Guía expone una tabla de ejemplos de controles para afrontar los riesgos. Estos controles resultan muy útiles a la hora de determinar qué controles son los más adecuados en nuestro tratamiento.

    La tercera sección se reserva para explicar la Evaluación de Impacto: quien la realiza, en qué momento y las excepciones a su realización por no ser legalmente necesario, así como la excepción a su realización antes del inicio de las actividades de tratamiento, por ser necesaria la revisión y adaptación en el ciclo de vida de este. Centrándonos en esta última excepción, la pregunta lógica es: si antes de la entrada en aplicación del RGPD no tenía la obligación de hacer una Evaluación de Impacto sobre un tratamiento que ya venía realizando, ¿lo tengo que hacer ahora? La propia Guía contesta a esto afirmando que, como parte de las obligaciones de responsabilidad proactiva del responsable del tratamiento, es necesario que se realice esta Evaluación de Impacto si fuera necesaria.

    Además, se desarrolla la exigencia relativa a la evaluación de la necesidad y proporcionalidad del tratamiento, haciendo una ponderación del juicio de proporcionalidad, del juicio de necesidad y del juicio de proporcionalidad en sentido estricto. Es importante tener en cuenta que el hecho de realizar esta evaluación no sustituye a la realización de la Evaluación de Impacto, ya que el objetivo de ambas es diferente. Lo que si es cierto es que, si no se puede demostrar la necesidad y la proporcionalidad de un tratamiento de alto riesgo, no se recomienda continuar con la Evaluación de Impacto o plantear una consulta previa del artículo 36 RGPD.

    Un apunte que realiza la Guía, es que en los casos en los que se realice un análisis de necesidad, y la justificación se base en la exigencia de responder a una situación concreta de urgencia, el responsable tiene que vigilar que esta situación concreta de urgencia sigue estando vigente, ya que, en caso contrario, no estaría justificado seguir realizando este tratamiento.

    Por último, se aborda la cuestión de las consultas previas a la AEPD cuando, tras haber realizado una EIPD, el riesgo residual resultante podría poner en riesgo los derechos y libertades de los interesados.

    Como se puede observar, la AEPD ha querido compilar toda la información relativa a la gestión de los riesgos y las Evaluaciones de Impacto en una completa Guía.

    Si quieres aprender más sobre la gestión de los riesgos y la evaluación de impacto, o en refrendar tus habilidades, la AEC ofrece el siguiente curso de especialización para que puedas fortalecer tus conocimientos, Taller práctico de análisis de riesgos y evaluaciones de impacto en protección de datos. 

    Ana Vicente Cuesta

    Equipo Govertis.

    KEEP READING

    Mejorar la seguridad con una planificación estratégica

    1 julio, 2021 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal | , ,

    La seguridad de la información y su gestión desempeñan una función especialmente relevante y estratégica para muchas organizaciones. La transformación de las tecnologías y el avance con las comunicaciones ha permitido automatizar y mejorar las actividades de negocio convirtiéndose en unos de los ejes centrales que lo sustentan.

    Debido a la situación de pandemia, podemos destacar diferentes aspectos relevantes desde una posición tecnológica, por un lado, la aceleración de la transformación digital de las empresas para poder instaurar el teletrabajo, abordar la continuidad de negocio y continuar con la prestación de los servicios y, por otro lado, el aumento exponencial de ciberataques aprovechando la débil estrategia de seguridad de las organizaciones.

    Es una realidad, que las compañías destinan menos recursos de los que deberían en impulsar la ciberseguridad de manera proactiva. Extraña paradoja, considerando que España es el noveno país más atacado del mundo analizando los datos proporcionados por el mapa en tiempo real de ciberamenazas de Kaspersky y que constantemente, aparecen publicaciones de empresas que sufren fuertes ciberataques de gran impacto porque el cibercrimen es un negocio muy lucrativo, con una tendencia creciente en los últimos años debido a que obtienen muchos beneficios, con lo que consiguen evolucionar los ataques a medida y consiguen nuevos “modus operandi” más agresivos.

    Sin embargo, se sigue reduciendo el coste destinado a la mejora de seguridad quizás porque el campo de inversión es tan amplio que se pierde el foco de que aspectos concretos en seguridad se deben mejorar. Una posible manera de identificar las potenciales deficiencias de los sistemas de seguridad, sería invertir en la ejecución de un Plan Director de Seguridad, en adelante PDS.

    Los PDS tienen como objetivo analizar el estado de la seguridad y su correspondiente nivel de madurez de las medidas de seguridad implantadas para detectar las deficiencias y proponer una planificación estratégica de seguridad en el tiempo, teniendo en cuenta los objetivos de la empresa a través de proyectos para garantizar un nivel de seguridad más adecuado a las necesidades del negocio y con ello, reducir los riesgos a los que está expuesta la organización. Este plan va a marcar las prioridades, los responsables y los recursos que se van a emplear para realizar una mejora de la seguridad.

    Se destacan las siete fases principales para abordar el plan:

    • Identificar el alcance y los objetivos estratégicos de la empresa. El alcance determinará la magnitud de los trabajos y también cuál será el foco principal de la mejora tras la aplicación del PDS. En esta fase será necesario el apoyo de la Dirección para que el proyecto esté alineado con estrategia de la empresa y se pueda disponer de suficientes recursos para poder garantizar el éxito del PDS.
    • Identificar la situación actual mediante un análisis diferencial tomando como referencia un marco normativo de referencia, por ejemplo, para empresas privadas es muy recomendable seguir el estándar internacional ISO/IEC 27002 y para empresa pública en Esquema Nacional de Seguridad. La elección del marco de referencia será una decisión de Dirección sin verse influido los resultados del PDS. En esta evaluación inicial, se evaluarán aspectos técnicos, organizativos, regulatorios y normativos, entre otros y se identificará que controles o medidas de seguridad están implantados y el grado de madurez de estos.
    • Realizar un análisis de riesgos mediante una metodología conocida como puede ser la marcada por la norma ISO/IEC 27005. Este análisis nos mostrará los riesgos más relevantes de la entidad y se buscará un plan de tratamiento acorde a los resultados obtenidos.
    • Definir proyectos de Mejora de la Seguridad según los resultados que se hayan obtenido de los puntos anteriores, incluyendo para ello las tareas o acciones a realizar, que subsanen los hallazgos y riesgos detectados.
    • Clasificar y priorizar los proyectos. Una vez identificadas las acciones, iniciativas y proyectos, se deben clasificar y priorizar estableciendo propósitos a corto, medio y largo plazo.
    • Aprobar el plan director de seguridad. Este plan debe ser comprobado con los distintos departamentos que intervienen en los diferentes proyectos, de cara a comprobar si son viables las implementaciones, comprobar la mejor planificación para ellos, y también debe de ser revisado y aprobarlo por la Dirección de la organización.
    • Implantar los proyectos en el tiempo marcado.

    Siguiendo estas fases se obtiene el PDS, el cual marcará el camino personalizado a seguir para alcanzar el nivel de seguridad que la organización necesita, centrando los recursos y los esfuerzos en aquellos aspectos relevantes que han sido identificados a lo largo de las fases y que realmente necesitan una mejora de la seguridad.

    Amparo Romero

    Equipo Govertis

    [1] Plan Director de Seguridad

    [2] Ciberamenazas mapa en tiempo real

     

    KEEP READING

    Ecuador y su primera Ley Orgánica de Protección de Datos Personales

    16 junio, 2021 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    Introducción
    Luego de un arduo trabajo que inició en el año 2017 y que fue dirigido por la Dra. Lorena Naranjo Godoy en su calidad de Directora de la Dirección Nacional de Registro de Datos Públicos (DINARDAP) con la participación de entidades públicas, privadas y de la sociedad civil, desde mayo del 2021 el Ecuador cuenta con su primera Ley Orgánica de Protección de Datos Personales (LOPDP), una normativa que permitirá el desarrollo de la innovación y el uso de la tecnología considerando el tratamiento de los datos personales como su eje central de protección.

    La Constitución del Ecuador reconoce y garantiza en el artículo 66 numeral 19 a las personas: “El derecho a la protección de datos carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos personales requerirán la autorización del titular o el mandato de ley”, sin embargo, no se tenía una regulación de tipo específico, que permita garantizar el desarrollo de este derecho fundamental de los ecuatorianos y ecuatorianas.

    Resumen de antecedentes
    La LOPDP se presentó como una iniciativa de proyecto de ley el 19 de septiembre de 2019 por parte del entonces Presidente de la República del Ecuador Lic. Lenin Moreno, esto debido a las noticias de la mayor filtración de datos que había ocurrido en el Ecuador y que posiblemente involucró a ex funcionarios de Gobierno (Instituciones Públicas) de lo cual, hasta la fecha de esta publicación, se tiene conocimiento únicamente de una denuncia en fiscalía; una vez que el ex Presidente entregó el proyecto de ley este fue tratado al interior de la Comisión de Relaciones Internacionales y Movilidad Humana de la Asamblea Nacional, para el 10 de mayo de 2021, ser tratado su informe de segundo debate y ser aprobado por la Asamblea, finalmente la LOPDP fue sancionada por el mismo ex Presidente el 21 de Mayo de 2021.

    Estructura y breve introducción a la Ley Orgánica de Protección de Datos Personales

    A continuación, se describe la estructurada y los componentes que considero relevantes de la normativa.

    CAPÍTULO I: ÁMBITO DE APLICACIÓN INTEGRAL
    Está formado por 9 artículos, en este capítulo se describen componentes como el objeto y la finalidad de la LOPDP, se abordan temas como el ámbito de aplicación material y la territorialidad de la ley, los términos y definiciones de la ley, se señala también a los integrantes del sistema de protección de datos personales del Ecuador, y se abordan directivas conocidas como las bases de legitimación del tratamiento de datos personales, las cuales son el consentimiento y el interés legítimo, que si bien se constituyen como base de legitimación, contienen características especiales que debían abordarse por separado en la LOPDP.

    Uno de los aspectos que me gustaría resaltar es la incorporación del concepto de extraterritorialidad para el tratamiento de datos personales.

    CAPÍTULO II: PRINCIPIOS
    Tiene un único artículo pero en su desarrollo se contemplan 13 principios de la LOPD, que se constituyen en sí mismo en principios del tratamiento de datos personales, por ello desde el punto de vista técnico, al cual pertenezco, son los principios de Seguridad de Datos Personales y Responsabilidad Proactiva y Demostrada en los cuales se podrán desarrollar las habilidades de los profesionales en materia de Seguridad de la Información, con esto no quiero decir que es lo único, pero si, que se podría convertir en nuestro punto focal de participación.

    CAPÍTULO III: DERECHOS
    Mediante 14 artículos se detalla las relaciones entre ciudadanos y responsables del tratamiento de datos personales, regulando las vías de interacción que podremos hacer uso para lograr que los principios definidos en el capítulo anterior se puedan materializar.

    CAPÍTULO IV: CATEGORÍAS ESPECIALES DE DATOS
    Recordemos que esta ley busca proteger los datos de nosotros los ciudadanos, y que estos datos tienen un ciclo de vida en las empresas o instituciones a las cuales nosotros permitimos y entregamos esa información, este capítulo se conforma de 8 artículos y adicionalmente aborda esas características adicionales de datos que, en atención de su naturaleza, deben ser protegidos con un nivel adicional de cuidado ya que requieren de lo que podríamos llamar una tutela reforzada.

    CAPÍTULO V: TRANSFERENCIA O COMUNICACIÓN Y ACCESO A DATOS PERSONALES POR TERCEROS
    En este capítulo formado por 4 artículos se establecen las definiciones que permitirán, conforme al mundo interconectado en el que vivimos, la transferencia de datos personales a terceros claro está que las reglas están definidas y por lo tanto tendremos la capacidad identificar si nuestros datos se han proporcionado a un tercero siguiendo las definiciones de la LOPDP.

    CAPÍTULO VI: SEGURIDAD DE DATOS PERSONALES
    Como especialista en el área de Seguridad de la información me gustaría extender el detalle de este componente de la LOPDP que se forma de 10 artículos; debo resumir indicando que las medidas de control deben estar destinadas a fortalecer a las organizaciones procurando la protección de los datos en los pilares de Confidencialidad, Integridad y Disponibilidad identificando los riesgos a los que las organizaciones se pueden exponer y determinando tratamientos que permitan mantener el riesgo en niveles aceptables, sin duda el componente que da vida al tratamiento de datos personales, ya que la gestión continua del riesgo permitirá entender quién si y quien no, gestiona adecuadamente el riesgo.

    Otro de los componentes importantes de los artículos de este capítulo, es la responsabilidad de notificar los eventos que pueden causar variaciones en la seguridad de la información y que compromete datos de carácter personal.

    Finalmente reforzar los equipos de respuesta a incidentes de seguridad de la información, debo remarcar que en caso un evento que comprometa a los datos de carácter personal, las medidas de control implementadas para la respuesta serán consideradas atenuantes por ello es importante como se involucrará al responsable de protección de datos personales en la organización.

    CAPÍTULO VII: DEL RESPONSABLE Y EL DELEGADO DE PROTECCIÓN DE DATOS PERSONALES
    Un grupo de 5 artículos en los que se especifica los roles y responsabilidades en materia de protección de Datos Personales y se muestra la relación que existe entre los diferentes los roles, en esta sección que me atrevería a decir, recaen en el mayor responsable de las empresas, ya que son los mayores interesados en la prestación de los servicios, la recolección de los datos y desde ahora como resultado de entrada en vigor de la LOPDP en la protección de los datos de carácter personal que utilicen.

    En este grupo de artículos me gustaría resaltar adicionalmente el nuevo rol del Delegado de Protección de Datos Personales, que deberá ser implementado en las instituciones de la Administración Pública conforme a lo indicado en la siguiente cita del Art. 48, numeral 1 “Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República”, desde luego no serán los únicos ya que instituciones privadas, conforme al volumen de datos, la necesidad de control y el tipo de datos personales (especiales) deberán considerar tener o externalizar este rol en sus organizaciones.

    CAPÍTULO VIII: DE LA RESPONSABILIDAD PROACTIVA
    Considero no únicamente desde el punto de vista técnico y del control uno de los componentes importantes a reflexionar por los responsables del tratamiento de datos personales, este capítulo contiene 3 artículos, pero permite implementar la definición de mejora continua de la normativa de protección de datos personales, definiciones como la autorregulación permitirán que las organizaciones busquen implementaciones de normativas o estándares de referencia como la ISO/IEC 27701:2019, o que se fomente la confianza en el tratamiento de datos personales mediante “sellos” que se generarán por directivas de control mediante Entidades de Certificación.

    CAPÍTULO IX: TRANSFERENCIA O COMUNICACIÓN INTERNACIONAL DE DATOS PERSONALES
    Capítulo compuesto por 6 artículos y conforme lo había señalado anteriormente, esta normativa busca dar apertura al uso adecuado y el flujo de datos entre empresas nacionales con internacionales, estos apartados normativos específicamente definen los lineamientos para la transferencia internacional de datos de carácter personal, pero sustentando una base legal y ético de los involucrados.

    CAPÍTULO X: DE LOS REQUERIMIENTOS DIRECTOS Y DE LA GESTIÓN DEL PROCEDIMIENTO ADMINISTRATIVO
    Mediante 3 artículos la normativa presenta las vías con las que cuenta el Titular de Datos Personales, para de manera progresiva, hacer de uso de sus derechos.

    CAPÍTULO XI: MEDIDAS CORRECTIVAS, INFRACCIONES Y RÉGIMEN SANCIONATORIO
    Sección que considero generó algunos los principales y más interesantes debates en el tratamiento de proyecto de la LOPDP, este capítulo contiene 2 artículos los mismos que definen las multas o sanciones por el incumplimiento o tratamiento inadecuado de datos de carácter personal.

    El régimen entrará en vigor una vez que pase el periodo de 2 años, pero esto no implica que el resto de la LOPDP puede incumplirse en este periodo, por lo contrario, debe cumplirse todo lo demás, pero solo posterior a los 2 años la autoridad de control podrá sancionar por el incumplimiento en el tratamiento de datos personales.

    CAPÍTULO XII: AUTORIDAD DE PROTECCIÓN DE DATOS PERSONALES
    Finalmente 3 artículos que norman a la entidad que, con nivel de Superintendencia, tendrá la responsabilidad de dar vida a la LOPDP del Ecuador, se opta por el rol de superintendencia por ubicarse en la función de control, conforme la normativa del Ecuador y eso le da independencia suficiente para supervisar y controlar a entidades públicas y privadas.

    Como se puede apreciar, la primera y reciente LOPDP del Ecuador consta de 12 capítulos y 77 artículos que sin lugar a duda generarán un impacto positivo en el Ecuador, en la forma de hacer negocios y en la manera en las que las organizaciones utilizan los datos de carácter personal de los ecuatorianos.

    Jorge Guerrón Eras (Quito – Ecuador)

    Equipo Govertis

    KEEP READING

    Conociendo la propuesta de Reglamento de ePrivacy

    14 mayo, 2021 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    En el artículo Hacia un Reglamento para la protección de los datos personales en el sector de las comunicaciones electrónicas (e-Privacy) publicado en el Blog de GOVERTIS , os contábamos cómo se ha llegado a una posición común, dentro del seno de las instituciones europeas, para avanzar en la aprobación del Reglamento sobre la privacidad y las comunicaciones electrónicas ( conocido como e-Privacy) que derogará la directiva de ePrivacy existente, Directiva 2002/58/CE, así como cuáles son sus principales puntos.

    Aunque todavía está en fase de borrador y queda aún un largo recorrido hasta su aprobación (además, tras su publicación en el Diario Oficial de la U.E., comenzaría a aplicarse dos años después), por lo que el texto puede sufrir variaciones,  es hora de que vayamos conociendo poco a poco esta propuesta de e-Privacy .

    ¿Por qué un Reglamento sobre la privacidad y las comunicaciones electrónicas?

    El requerimiento de aprobación de un Reglamento  e-Privacy surge por la necesidad de atender los nuevos desarrollos tecnológicos y de mercado, como el uso generalizado actual de Voz sobre IP, servicios de mensajería y correo electrónico basados ​​en la web, y la aparición de nuevas técnicas, no reguladas por la Directiva 2002/58/CE, que permiten rastrear los comportamientos en línea de los usuarios finales,  tal como señala el propio Consejo Europeo.

    Teniendo en cuenta el alto grado de desarrollo de estas tecnologías en la última década, los avances en materia de telecomunicaciones y comunicaciones electrónicas, es necesario buscar un equilibrio entre la protección de la vida privada y el desarrollo de las nuevas tecnologías.

    ¿Cuál es el objeto del Reglamento  e-Privacy?

    El objeto del Reglamento e-Privacy es establecer normas relativas a la protección de los derechos y las libertades fundamentales de las personas físicas y jurídicas en el ámbito de la prestación y utilización de servicios de comunicaciones electrónicas. Con el Reglamento de Privacidad Electrónica, e-Privacy, la Unión Europea pretende reforzar la privacidad de los ciudadanos en Internet y regular la protección de los datos de un modo más estricto, por ejemplo, en el uso de dispositivos de almacenamiento (cookies) en sus terminales, regulando de forma más detallada su uso.

    ¿Cuál va a ser el ámbito de protección? 

    El e-Privacy protegerá tanto a personas físicas como a las personas jurídicas. En este sentido hay que tener en cuenta que las comunicaciones electrónicas contienen información, con datos personales, en ocasiones categorías especiales de datos, como por ejemplo información de salud o convicciones religiosas o filosóficas, y también pueden contener información confidencial, de gran importancia para las entidades por su valor económico o carácter secreto. Es por ello que, la protección abarca tanto a personas físicas como a jurídicas.

    ¿Qué impacto puede tener en el Reglamento (UE) 2016/679 (RGPD)?

    El Reglamento e-Privacy es una “lex specialis” en relación con el RGPD, precisándolo y completándolo en lo que respecta a los datos de comunicaciones electrónicas que se consideran datos personales. Ello supone que en el momento en que entre en vigor el e-Privacy, este prevalecerá, teniendo en cuenta que no supondrá reducir el nivel de protección que depara a las personas físicas el Reglamento (UE) 2016/679.

    Por otra parte, cabe indicar que a lo largo del borrador del Reglamento sobre la privacidad y las comunicaciones electrónicas nos encontramos con referencias al RGPD, así a título de ejemplo:

    • En relación a las definiciones aplicarán las recogidas en el RGPD.
    • En concreto en relación al consentimiento, señala que serán aplicables la definición y también las condiciones relativas al consentimiento previstas en el Es decir, la recogida del consentimiento deberá ser expreso, libre, informado e inequívoco. Prevé también la posibilidad de retirada el consentimiento conforme a lo previsto en el  RGPD.
    • El Reglamento se basa en el mecanismo de coherencia del Reglamento (UE) 2016/67. La autoridad o las autoridades de control independientes encargadas de supervisar la aplicación del RGPD también serán responsables de supervisar la aplicación del Reglamento e-Privacy.
    • En el caso de que se recojan datos personales se informará conforme al artículo 13 RGPD y se prevé la aplicación de medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado en relación con los riesgos, según lo establecido en el artículo 32 RGPD.

    Por último, comentar que el Reglamento sobre la privacidad y las comunicaciones electrónicas, será de aplicación directa a todos los estados miembros y una norma que deberemos integrar en nuestros sistemas de gestión. Por ello, iremos trasladando cualquier actualización del borrador y avance en su aprobación, así como conocimientos que podamos ir ya asentando.

    Nieves Chaveli

    Equipo Govertis

    KEEP READING

    Los reyes de los “dark patterns” en términos de privacidad: los banners de las cookies

    9 abril, 2021 |by Blog AEC GOVERTIS | 0 Comments | GDPR Legal

    Como se puede observar casi en cada sitio web que visitamos, los banners de las cookies están diseñados para que no te molestes en llegar más allá del “Acepto todas” o el botón de “OK”. En consecuencia, el proceso de prestación del consentimiento está concebido para que sea opaco, impráctico y que consuma tanto tu tiempo como para que tomes la decisión de hacer clic en “Aceptar”.

    En el caso de que te importe mínimamente tu privacidad, desafortunadamente vas a tener que pasar por un largo y tedioso proceso, saltando de un enlace a otro y al menú de configuración, siempre acompañado por un botón verde gigante de “acepto todas” por si desistes en el intento. Si quieres poner a prueba tu paciencia y habilidad para configurar tu privacidad, accede al juego frustrante sobre los banners RGPD, un irónico reto creado por el diseñador de servicios alemán Fred Wordie que cronometra cuánto tardas en rechazar todas las cookies[1].

    Resulta muy interesante la clasificación de las prácticas de diseño potencialmente engañosas que la CNIL desarrolla en su informe[2]. Las más utilizadas para la aceptación del uso de rastreadores son las siguientes:

    • “Improving the experience”: Usar el argumento de la personalización y la mejora de la experiencia de usuario para alentar a los usuarios a compartir más datos personales.
    • “Default sharing”: Pre-marcar las casillas y opciones que suponen compartir más datos personales.
    • “Blaming the individual”: Hacer que el usuario se sienta culpable por sus elecciones. Esto se usa muy a menudo por los proveedores de servicios cuyo modelo de negocio se basa esencialmente en la publicidad, cuando un usuario rechaza ser rastreado por cookies o usa un bloqueador de anuncios.
    • “Impenetrable wall”: Bloquear el acceso a un servicio usando una “cookie wall” o la creación de una cuenta cuando no es necesario para la funcionalidad del servicio (también llamado “take it or leave it” -o lo tomas o lo dejas-).
    • “Making it fastidious to adjust confidential settings”: Facilitar el consentimiento mediante una simple acción y hacer que la elección de una opción más respetuosa con nuestra protección de datos sea más larga y complicada. Por ejemplo, permitiendo continuar aceptando todas las opciones con un botón de “continuar” o “aceptar todas” mientras que las opciones y ajustes avanzados implican un tortuoso camino “scrolleando” y saltando de menú en menú.

    De acuerdo con el estudio “Do cookie banners respect my choice?” que analizó los diseños de los banners de cookies de 560 sitios webs, el 47% empujan a los usuarios hacia la aceptación de opciones pre-seleccionadas, mientras que el 38% de las webs no proporciona ningún medio para rechazar el consentimiento. También concluyó que el formato de prestación del consentimiento utiliza una semántica poco clara, lo que dificulta su interpretación[3].  Además, otro estudio llevado a cabo por investigadores de la Universidad de Aarhus (Dinamarca), el MIT (EE.UU) y el University College de Londres (Reino Unido), si la web no incluye un botón de rechazar las cookies en la primera ventana, sube un 23% el número de usuario que dan su consentimiento y si existe dicho botón, baja entre un 8 y un 20% el número de usuarios que acepta los archivos de seguimiento[4].

    Con toda esta información sobre la mesa, toca plantearse la pregunta que da sentido a este artículo:

    ¿Disponemos de los mecanismos suficientes para acabar con el uso extendido de los “dark patterns”?

    Solamente tenemos que mirar hacia nuestro querido RGPD.

    Los “dark patterns” suponen una amenaza para el concepto mismo de consentimiento dado por el RGPD: “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. El Considerando 32 también establece que el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento.

    La prestación de un consentimiento libre es un arma que tenemos los usuarios para proteger nuestros derechos, por lo que el abuso de técnicas de manipulación que nos empujan a la toma de decisiones contrarias a nuestros intereses no puede considerarse una prestación de consentimiento libre ni mucho menos informada en aquellos casos en los que se oculta, confunde o proporciona información sesgada.

    Además, para el tratamiento de los datos personales se requiere cumplir con ciertos principios de protección de datos, como el de limitación de la finalidad y el de minimización de datos, sin olvidarnos de los principios de protección de datos desde el diseño y por defecto.

    La observancia de la protección de datos desde el diseño supone que tanto la arquitectura de las aplicaciones y plataformas, como la UX (experiencia de usuario) habrían de diseñarse alineadas con la privacidad de los usuarios y de acuerdo con unos principios éticos desde el inicio y en todos los procesos donde existan flujos de datos personales. Por otro lado, la protección de datos por defecto requiere un alto nivel en la salvaguarda de la información personal de los consumidores, incluso si no renuncian activamente al tratamiento y procesamiento de sus datos personales[5].

     

    Los “dark patterns” ante la justicia

    Recientemente el Tribunal del Distrito de Rostock (Alemania) decidió en su sentencia ref. 3 O 762/19, que los banners de las cookies deben ser diseñados de tal manera que tanto la declinación como la aceptación del consentimiento sean presentadas de forma equivalente una al lado de la otra.

    Por el momento, EPIC (The Electronic Privacy Information Center), interpuso una reclamación[6] el pasado 23 de febrero de 2021 ante el Fiscal General de Washington D.C., alegando que Amazon utiliza ilícitamente “dark patterns” en la cancelación de su servicio de suscripción de Amazon Prime, obstaculizando deliberadamente esta decisión y continuando con el tratamiento y retención de los datos personales de sus usuarios.

    Y es que abandonar una plataforma o servicio premium puede ser una auténtica carrera de obstáculos.

    Precisamente en enero de este mismo año, el Consejo Noruego de Consumidores (Forbrukerrådet) publicó el informe “You can log out but you can never leave”[7] (ya citado con anterioridad) sobre cómo Amazon manipula a los consumidores para mantenerlos suscritos a Amazon Prime. Incluso elaboraron un breve vídeo[8] en el que se explica el proceso.

    Esta misma organización, junto con otras plataformas como noyb (capitaneada por Max Schrems), han presentado a comienzos de este mismo año una reclamación ante la Autoridad Noruega de Protección de Datos (Datatilsynet) contra Grindr, debido al uso de una serie de “dark patterns” (consentimiento forzado o take it or leave it) que implican la cesión indiscriminada de datos personales de los usuarios a terceros, entre los cuales se incluye la orientación sexual. La app de citas alega que ha reforzado sus mecanismos de consentimiento, pero la propuesta de sanción alcanza los 10 millones de euros -el 10% de su facturación global-, la mayor cantidad impuesta por dicha autoridad de control[9].

    ¿Supone esto que a partir de ahora vamos a ver más reclamaciones en las autoridades de control y tribunales europeos? Todo apunta a que va a ser así.

    Pero, en definitiva, proteger nuestra privacidad no debería ser un trabajo a tiempo completo que requiera un avanzado conocimiento de la materia. O lo que es lo mismo, “Privacy should not be an ‘advanced setting’ – it should be the default setting”[10].

     

    Lidia Bergua

    Equipo Govertis

     

    [1] Juego Cookie Consent Speed.Run: Fred Wordie en colaboración con Big Data Girl https://cookieconsentspeed.run/ (2021).

    [2] Shaping Choices in the Digital World: From dark patterns to data protection: the influence of ux/ui design on user empowerment. CNIL. (2019).

    [3] Do Cookie Banners Respect my Choice?: Measuring Legal Compliance of Banners from IAB Europe’s Transparency and Consent Framework. C. Matte, N. Bielova y C. Santos. (2020).

    [4] Dark Patterns after the GDPR: Scraping Consent Pop-ups and Demonstrating their Influence: M. Nouwens, I. Liccardi, M. Veale, D. Karger y L. Kagal (2020).

    [5] “EDPS calls for workable technology which serves the interests of society”. Press Release EDPS. (2018)

    [6] Complaint and Request for Investigation, Injunction, and Other Relief Submitted by The Electronic Privacy Information Center (EPIC) In the Matter of Amazon.com, Inc. (2021).

    [7] YOU CAN LOG OUT, BUT YOU CAN NEVER LEAVE: How Amazon manipulates consumers to keep them subscribed to Amazon Prime: FORBRUKERRADET- Norwegian Consumer Council- (2021).

    [8] How Amazon manipulates customers to stay subscribed: https://www.youtube.com/watch?v=GpEQ4OWNO4Y (2021).

    [9] IAPP The Privacy Advisor Podcast: Finn Myrstad on privacy case against Grindr, ‘dark patterns’ https://iapp.org/news/a/finn-myrstad-on-privacy-case-against-grindr-dark-patterns/ (2021).

    [10] Privacy in the EU and US: Consumer experiences across three global platforms, jointly published by Heinrich-Böll-Stiftung Brussels European Union and the Transatlantic Consumer Dialogue (TACD), London, England. (2019).

    KEEP READING