Aportación de documentación por parte de los ciudadanos a las AAPP: la modificación del artículo 28 de la Ley 39/2015

11 febrero, 2019 | GDPR Legal | , , , ,

Tras la entrada en vigor de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPD y GDD), una de las labores que va a tener que acometer el legislador español es la modificación de las leyes sectoriales que, a día de hoy, hacen referencia a lo largo de su articulado a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD).

Sin duda, se trata de un trabajo laborioso pero que, en este sentido, se traducirá en una interpretación de la aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, Reglamento general de protección de datos o RGPD) en cada una de las leyes sectoriales que hagan mención de la normativa sobre protección de datos.

En este sentido, encontramos la modificación de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, publicada el día 6 de diciembre de 2018, y que entró en vigor a partir del 7 de diciembre de 2018. La Ley 39/2015 ha sido una de las primeras en sufrir modificaciones como consecuencia de la nueva normativa sobre protección de datos. Es curioso que la modificación referida se realizase un día después de publicar la LOPD y GDD en el Boletín Oficial del Estado (en adelante, BOE).

Más en concreto, vamos a analizar el artículo 28 de la Ley 39/2015, relativo a la aportación de documentación por parte de los ciudadanos a las Administraciones Públicas, que ha resultado afectado por la modificación mencionada.

La redacción original del art. 28 de la Ley 39/2015 establecía que los interesados no estaban obligados a aportar documentación en un procedimiento administrativo, siempre y cuando la misma ya obrase en poder de cualquier Administración Pública o hubiese sido elaborada por esta. En virtud de ello, para habilitar la consulta de documentación entre administraciones, el interesado debía haber expresado su consentimiento, que se podía entender otorgado siempre y cuando no constara la oposición expresa del ciudadano.

Es decir, la consulta de documentación entre administraciones se habilitaba a través del consentimiento tácito del interesado, que se otorgaba mientras no mostrase una oposición expresa a la realización de la consulta.

Actualmente, la Ley 39/2015 sigue conservando este derecho de los interesados, a no aportar documentación siempre que se encuentre en poder de la Administración actuante o haya sido elaborada por cualquier otra Administración. No obstante, la relevancia de la modificación introducida se centra en que se elimina la necesidad de recabar el consentimiento, ya sea expreso o tácito, del ciudadano.

El Reglamento Europeo define el consentimiento del interesado como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. En definitiva, la nueva normativa ya no permite el consentimiento “tácito” del interesado, sino que este siempre deberá ser expreso.

Por otra parte, el mismo Reglamento señala en uno de sus considerandos que, cuando se trate de relaciones entre ciudadanos y autoridades públicas el fundamento jurídico válido para el tratamiento de datos de carácter personal no será, en la mayoría de los supuestos, el consentimiento del interesado, dado que puede existir un desequilibro claro entre este y el responsable del tratamiento. La normativa europea entiende que resulta improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular. En este sentido, el RGPD a lo largo de su articulado, establece que existen otras bases de legitimación del tratamiento que son consideradas lícitas, como pueden ser el cumplimiento de una obligación legal o el ejercicio de poderes públicos, no siendo la única base legitimadora el consentimiento del interesado.

En estos términos, se ha pronunciado recientemente la Agencia Española de Protección de Datos (en adelante, AEPD), en el documento “Ley Orgánica 3/2018, de 5 De diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. Nuevas Obligaciones para el Sector Público”. También se ha pronunciado la misma Agencia en el los expedientes 108/2018 y 155/2018.

En la actualidad, con el Reglamento General de Protección de Datos y la nueva Ley Orgánica, la consulta de documentación por parte de la Administración no encuentra su legitimación en el consentimiento del propio interesado, sino que, la base legitimadora es el cumplimiento de una misión realizada en interés público o, particularmente, en el ejercicio de poderes públicos.

De este modo, la Administración Pública podrá consultar la documentación de un procedimiento administrativo, pero, en todo caso, la Ley reconoce al interesado la posibilidad de oponerse a que órganos de la Administración Pública consulten o recaben los citados documentos. En todo caso, cuando el interesado se oponga expresamente, deberá aportar necesariamente la documentación con objeto de que la administración gestione correctamente el procedimiento administrativo en cuestión, ya que, de no aportarla, se deberá desestimar su solicitud.

En suma, si trasladamos esta modificación a la práctica, en el momento en que un interesado presente la iniciación de un procedimiento administrativo ante una Administración Pública, se deberá habilitar un medio que posibilite la oposición expresa de la consulta de documentación entre administraciones. En este sentido, en caso de no existir oposición por el interesado, se entenderá legitimada la consulta en base al cumplimiento de una misión realizada en interés público o, particularmente, en el ejercicio de poderes públicos, y no, como ocurría anteriormente, en base al consentimiento tácito del interesado.

Equipo de Govertis.

Logotipo de Govertis

KEEP READING

Camino al “GDPR Readiness”: los cinco factores que impactan significativamente a las empresas

1 febrero, 2019 | GDPR Legal | , , ,

Desafíos para cumplir  con los requisitos de cumplimiento

Las labores para cumplir con ciertas normativas son, sin duda, tediosas y desalentadoras para algunas empresas. De hecho, el cumplimiento se ve como un objetivo en constante movimiento que puede volverse abrumador si las empresas lo permiten. A pesar de la necesidad de negocio y normativa, las empresas pueden verse inclinadas a evitar proyectos de cumplimiento, dada la compleja combinación de actividades, requisitos cambiantes y expectativas diversas. Por lo tanto, no es sorprendente que una parte importante de las organizaciones todavía estén luchando para cumplir con los requisitos de cumplimiento del RGPD y la reciente LOPD y GDD.

En este sentido, de acuerdo con el resultado de una encuesta realizada por  ISACA en 2018 a 600 profesionales legales, de tecnología de la información y privacidad en los Estados Unidos, el Reino Unido y algunos otros países de la UE, solo el 20 por ciento de estas organizaciones se consideraban compatibles con el RGPD. Aunque se espera que esta cifra mejore en 2019, la encuesta subraya la complejidad para comprender los requisitos de la nueva normativa y también para cumplirlos posteriormente.

Hay varios factores que pueden afectar al camino para cumplir con los requisitos del RGPD, y en particular los más significativos son:

La complejidad de la legislación: Comprender los requisitos y su impacto en el negocio requiere una combinación de competencias tecnológicas, de privacidad y legales que no siempre están disponibles dentro de la organización.  Es por ello que se requiere en muchos casos asesoramiento experto en la materia para encajar los requisitos de la normativa en la propia organización y entender el alcance pero principalmente se requiere un cambio de mentalidad que suponga tener conciencia de la importancia de la materia, así como de las consecuencias que pueden derivarse ante un incumplimiento en materia de protección de datos.

Escasez de recursos: las organizaciones tienen que invertir una gran cantidad de tiempo y de recursos humanos, técnicos, financieros y de infraestructura para implementar, ejecutar y mantener el cumplimiento en materia de protección de datos. Hace poco se publicaba el dato que las compañías de “Fortune Global 500” gastarán aproximadamente 7.8 mil millones de dólares (entre todas ellas) para cumplir con la nueva normativa RGPD. Si bien esta cifra para las organizaciones más pequeñas es menor, el coste para movilizar sus recursos y administrar las actividades para el cumplimiento (como ejemplo la revisión de contratos de terceros, el desarrollo de nuevos formularios de consentimiento, o la adquisición de nuevas herramientas de software), sigue siendo significativo.

Baja madurez previa en materia de privacidad: Antes del RGPD, la gran mayoría de entidades carecían de ciertas medidas que estuviesen ya implantadas en sus operaciones, procesos, políticas o procedimientos, y que ahora son requisitos obligatorios. De hecho, se vio que la mayoría de los proyectos de adecuación de muchas organizaciones aún estaban desarrollando sus avisos y políticas de privacidad, formularios de consentimiento y otros documentos requeridos días antes de la fecha límite del 25 de mayo de 2018. Y como resultado de dejar las cosas para ultima hora, tenemos el bajo nivel de adecuación en las medidas implantadas.

Concienciación y comprensión. Las organizaciones pueden haber leído y/o escuchado mucho sobre el RGPD, pero a menudo carecen de conocimientos clave y de un entendimiento al detalle de los requisitos necesarios para lograr su total adecuación. En esta tarea, las compañías deben desarrollar las responsabilidades de concienciación y capacitación de aquellos de los que depende el éxito de su cumplimiento.

Adjudicación de la responsabilidad. La adecuación al RGPD no sólo compete al departamento de IT y no solo consiste en una única o varias soluciones informáticas mágicas sino a la implantación de una serie de medidas técnicas, legales y organizativas que hacen necesario el uso de una metodología que no pierda de vista toda la complejidad del proyecto.

En definitiva, podemos decir que el RGPD  está transformando la forma en que operan las organizaciones y la forma en que se realizan las transacciones comerciales.

La legislación impacta el ecosistema organizacional al completo. A pesar del desafío, las organizaciones deben adoptar un programa de cumplimiento sólido que tenga en cuenta las personas, los procesos, los procedimientos, las políticas, los sistemas y los servicios que interactúan o se relacionan con el procesamiento de datos personales. Para la adecuación es necesario un programa de cumplimiento marcando los hitos de la ruta para alcanzar los objetivos requeridos de evaluar la preparación del RGPD e implementar medidas técnicas y organizativas adecuadas para garantizar el cumplimiento. Y de esta manera superar los obstáculos de cumplimiento y adecuarse a los requisitos de la normativa, con la plena comprensión de que es un viaje continuo y no un destino. Además, durante este proceso, las organizaciones experimentan una serie de beneficios al adoptar un programa de cumplimiento sólido, como mejorar la confianza del cliente, tener mayores oportunidades comerciales y una postura de privacidad saludable.

Equipo Govertis.

Logotipo de Govertis

KEEP READING

Riesgos en el uso del “Whatsapp” en el ámbito profesional de las relaciones entre clínica y paciente o contacto

11 enero, 2019 | GDPR Legal | , , ,

Si bien podríamos nombrar el amplio elenco de ventajas que, en general, aportan las nuevas tecnologías de la información y comunicación en el desempeño de la labor profesional, en este caso, queremos hacer eco del dictamen que emitió en su día la Agencia de Protección de Datos de Cataluña (en adelante, APDCAT), en relación a la consulta de la Agrupación de Jóvenes Abogados del Ilustre Colegio de Abogados de Sabadell, en el que se ponía de manifiesto expresamente los riesgos que puede implicar el uso de las aplicaciones (apps) de mensajería instantánea “Whatsapp” y “Spotbros” en la relación abogado y cliente, y por analogía, en las comunicaciones mantenidas entre las clínicas y sus pacientes o contactos.

De este modo, a continuación, señalamos una serie de riesgos en el uso del “Whatsapp”, así como el grado de adecuación de estas aplicaciones a la legislación de protección de datos de carácter personal, según el análisis hecho por la APDCAT.

En primer lugar, cabe decir que el tratamiento de datos personales que efectúa la clínica, en la llevanza y seguimiento de las consultas y tratamientos confiados por sus pacientes o contactos, obviamente, no puede comprenderse en el ámbito de los tratamientos de datos relativos a las actividades del médico que se inscriben en el marco de su vida privada o familiar, esto es, de sus actividades personales o domésticas. Claro está, que el dispositivo de telefonía móvil puede ser utilizado para las comunicaciones con la familia y amistades, sin embargo, el uso en el ámbito profesional es en el que se ha de incidir en preservar privacidad a las comunicaciones. Así, el tratamiento de datos de carácter personal que se hiciera a través del “Whatsapp” está sujeto a las prescripciones de confidencialidad y seguridad del Reglamento 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (en adelante, RGPD). Por tanto, no sería de aplicación lo establecido en el artículo 2.2.c) del RGPD.

Es por esto que, la clínica tiene un grado de responsabilidad específico respecto al tratamiento de los datos personales de sus pacientes o contactos, que incluye la elección de los canales de comunicación más apropiados con los mismos.

Desde el momento que es incluido el paciente o el posible paciente en la “lista de contactos” de la agenda telefónica, el uso de estas aplicaciones por parte de la clínica conlleva, de inicio, el tratamiento de unos datos que pueden considerarse de carácter personal. Así, se considera información de carácter personal los datos relativos al Nombre y/o Apellidos, Correo Electrónico, Teléfono Móvil, Foto de perfil,  Estado del perfil, e incluso la información sobre la fecha y hora en que se conecta un usuario. Por supuesto, si a esto se añade que, en el contenido de los mensajes pueden constar datos personales del propio cliente o de otra/s persona/s física/s involucradas en el asunto confiado, se amplía el espectro de datos a proteger, conforme a la normativa.

Además, ha de tenerse en cuenta que, por la propia naturaleza de la relación entre la clínica y sus pacientes o contactos, es posible que algunas de las informaciones personales que se transmiten a través de las apps, es decir, de los contenidos de algunos mensajes, incorporen datos especialmente sensibles (entre otros, datos relativos a la salud, física o mental).

En este caso, tal y como se manifiesta en el análisis hecho por la APDCAT, estas apps no garantizan la seguridad de las comunicaciones electrónicas. Así, “Whatsapp” no puede asegurar ni garantizar la seguridad de la información que el usuario transmite, y que el usuario asume el riesgo de dicha transmisión. “Whatsapp” no ​​recomienda el uso de redes wifi no seguras u otras redes desprotegidas ni garantiza la seguridad de la información del usuario, cuando ésta se encuentra en sus sistemas, si bien añade que informará de posibles ataques a la seguridad de dichos sistemas.

Puesta la seguridad en entredicho, se mencionan además una serie de vulnerabilidades que, desde la puesta en marcha de “Whatsapp” han sido detectadas y analizadas; si bien, como cita la APDCAT, la compañía ha ido corrigiendo vulnerabilidades, de modo que sólo se hace referencia a aquellas que no se tiene constancia que hayan sido resueltas:

Contraseñas.- Esta app dispone de un sistema de contraseñas débil, de manera que era relativamente sencillo suplantar un usuario y enviar y recibir mensajes de forma fraudulenta. Si bien se ha mejorado la seguridad de la contraseña de acceso a la plataforma, se sigue constatando como vulnerabilidad el hecho de que esta contraseña se encuentra almacenada en un archivo no cifrado del terminal.

Cifrado.- Se constata que “Whatsapp” ha introducido el cifrado de los mensajes. Por tanto, actualmente todos los mensajes que se envían a través de la app son cifrados. Con esto, podríamos decirse que atiende a la prescripción del artículo 32.1.a) RGPD, que se refiere a la opción del cifrado como medida técnica apropiada para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta factores como el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento.

Ahora bien, aunque las conversaciones se transmitan en forma segura (cifrada), quedan almacenadas en el terminal en una base de datos, incluida en la tarjeta de memoria (en el caso del sistema operativo de telefonía móvil Android). Esta base de datos, a pesar de estar cifrada, tiene una contraseña que puede ser fácilmente conocida por terceros, de modo que si se tiene acceso en la tarjeta de memoria, se podría acceder a las conversaciones o comunicaciones.

Además, “Whatsapp” afirma, en las condiciones y términos de uso,  que ni se copia ni se guarda ni se archiva el contenido de los mensajes que se envían. Los mensajes de los usuarios de esta herramienta son almacenados en los servidores de “Whatsapp”, para que puedan remitirse a los destinatarios de los mismos, siempre y cuando sean usuarios de la app. Cuando el destinatario del mensaje no está conectado, dicho mensaje se almacena durante un periodo de 30 días, fecha a partir de la cual se borra en el caso de que no pueda ser entregado. De este modo, y a la vista de las debilidades del sistema, relacionadas con la ausencia de medidas de seguridad aceptables por la normativa española, la información contenida en esos mensajes puede quedar desprotegida, de manera que terceros puedan acceder inconsentidamente a esos contenidos, en los cuales pueden obrar datos de carácter personal.

Como señala la APDCAT “Que los propios responsables del tratamiento desaconsejen la comunicación de datos sensibles a través de la app, resulta especialmente relevante a la hora que el usuario -el abogado, en este caso-,valore la conveniencia de utilizarlas, desde la perspectiva de la protección de datos, ya que las comunicaciones entre abogado y clientes pueden incluir habitualmente datos sensibles, las cuales podrían quedar desprotegidas, como parecen admitir las propias empresas responsables”.

Por todo cuanto se ha expuesto y adhiriéndose a las consideraciones jurídicas del dictamen que emitió en su día la APDCAT, se desaconseja el uso del “Whatsapp”, o medio de comunicación semejante, en el contexto de la relación entre la clínica y sus contactos o pacientes, ya que al ser habitual la comunicación y tratamiento de categorías especiales de datos, la utilización de estas aplicaciones no resulta adecuada desde un punto de vista técnico, en relación con la seguridad exigida por la legislación en materia de protección de datos de carácter personal.

 

KEEP READING

Protección de Datos en Operaciones Societarias

21 diciembre, 2018 | GDPR Legal | , , ,

El Reglamento (UE) 2016/679 General de Protección de Datos (en adelante RGPD o GDPR) establece los requisitos, obligaciones y derechos relativos al tratamiento de datos de carácter personal.

Teniendo en cuenta que el RGPD define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento”.

En el contexto en que una sociedad mercantil sea el Responsable del tratamiento, se plantea la cuestión sobre la forma en que una modificación estructural (por ejemplo una fusión) que afecte al Responsable y cambie la situación de la persona jurídica influye en los derechos de los interesados.

Las sociedades pueden verse afectadas por diversas operaciones societarias de acuerdo con el Real Decreto Legislativo 1/2010 por el que se aprueba el texto refundido de la Ley de Sociedades de Capital y la Ley 3/2009 sobre modificaciones estructurales de las sociedades mercantiles. Entre estas operaciones se encuentran: (i) Transformación de la sociedad (ii)Fusión (iii)Absorción (iv)Escisión (v) Cesión global de activo y pasivo.

En todas ellas, se produce una modificación de la estructura del responsable del tratamiento por lo que cabe preguntarse ¿Qué ocurre con los datos de carácter personal cuando se lleva a cabo una de estas operaciones? ¿Hay una cesión/comunicación de datos entre la sociedad anterior y la resultante del proceso de modificación estructural?

El artículo 19 de Real Decreto 1720/2007 por el que se aprobó el Reglamento de desarrollo de la Ley Orgánica 15/1999 de protección de datos de carácter personal, si preveía esta cuestión al indicar, que no se producía cesión de datos en estos casos, sin perjuicio de la obligación del responsable de cumplir con el deber de información

El mismo criterio se mantiene en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en cuyo art. 21 se recoge:

  1. Salvo prueba en contrario, se presumirán lícitos los tratamientos de datos, incluida su comunicación con carácter previo, que pudieran derivarse del desarrollo de cualquier operación de modificación estructural de sociedades o la aportación o transmisión de negocio o de rama de actividad empresarial, siempre que los tratamientos fueran necesarios para el buen fin de la operación y garanticen, cuando proceda, la continuidad en la prestación de los servicios.

En conclusión, la sociedad resultante de la operación de modificación estructural que hubiera afectado al Responsable del tratamiento, puede continuar realizando el tratamiento que llevaba a cabo el Responsable, ocupando dicha posición.

Este nuevo responsable, debe cumplir con el deber de información de acuerdo con lo indicado en los artículos 13 y 14 del RGPD y con el resto de obligaciones que le sean de aplicación.

Equipo de Govertis

Logotipo de Govertis

KEEP READING

Publicación de la nueva LOPD y GDD

14 diciembre, 2018 | GDPR Legal | , , ,

Tras su aprobación por el Pleno del Senado, el pasado jueves, 6 de diciembre, se publicó en el BOE la nueva la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD y GDD), norma que deroga a la anterior Ley Orgánica de Protección de Datos de 1999, y enlaza con el Reglamento General de Protección de Datos (RGPD). Puedes acceder a la norma aquí.

Una de las novedades principales incorporada en la nueva norma ha sido la introducción de un nuevo Título, que se incluye en el nombre a la Ley, el de “Garantía de los derechos digitales”, en el que se incorporan diecisiete nuevos derechos, entre los que podríamos destacar el derecho a la neutralidad de Internet, derecho de acceso universal a Internet, derecho a la seguridad digital, derechos relativos a los menores en el ámbito digital, ciertos derechos como la rectificación, olvido etc.  en el entorno digital, la regulación de derechos digitales en el ámbito laboral (entre los que destaca el derecho a la desconexión) así como el reconocimiento específico del derecho de acceso y, en su caso, de rectificación o supresión por parte de quienes tuvieran vinculación con personas fallecidas por razones familiares o de hecho y a sus herederos.

Además, La Ley facilita que los ciudadanos puedan ejercitar sus derechos al exigir, en particular, que los medios para hacerlo sean fácilmente accesibles. En el ámbito de internet se podrá optar, específicamente, por un sistema de información por capas, como venía haciéndose hasta ahora, pero eso sí, se permite que sólo se informe en la información básica de la identidad del responsable del tratamiento, las finalidades del tratamiento y la manera de ejercitar los derechos ARSOPL.

En el caso del sector privado, uno de los puntos más novedosos, es la posibilidad de denunciar de forma anónima dentro de los sistemas internos de denuncias y que hasta ahora no había sido permitido por la AEPD.

También existen novedades relacionadas con el sector público. De un lado, se ha incorporado una disposición adicional relativa a las medidas de seguridad en el sector público, relativa al Esquema Nacional de Seguridad, mediante la cual el cumplimiento del ENS equivale a una gestión de la seguridad adecuada al riesgo, cumpliéndose con ello la obligación de implantar medidas de seguridad adecuadas, en cumplimiento del art 32 de RGPD. En lo que respecta al registro de actividades de tratamiento, se establece la obligación para las Administraciones Públicas de hacerlo público por medios electrónicos.

Otra novedad es la referida a la regulación de los sistemas de información crediticia (los conocidos como ficheros de morosos), que reducen de 6 a 5 años el periodo máximo de inclusión de las deudas y en los que se exige una cuantía mínima de 50 euros para la incorporación de las deudas a dichos sistemas.

Equipo de Govertis 

Logotipo de Govertis

KEEP READING

El DPD y el Responsable de Seguridad de la información del ENS ¿figuras compatibles?

5 diciembre, 2018 | GDPR Legal | , , , ,

En artículos anteriores hemos hablado sobre las concretas  funciones que debe desempeñar un  Delegado de Protección de Datos. Sin embargo hoy haremos referencia  a las diferencias e incompatibilidades entre la figura del DPD y el Responsable de Seguridad (RS) en relación al informe recientemente publicado por la Agencia Española de Protección de Datos al respecto,  disponible a través del siguiente enlace:

 

 ¿Cuáles son las principales diferencias entre ambas figuras?

  1. Principio de Independencia de la figura del DPD. Así lo establece en su artículo 38.3 RGPD que determina que el responsable y el encargado del tratamiento garantizarán que el DPD no reciba instrucciones respecto a sus funciones.

Sin embargo, el responsable de seguridad, al poder desempeñar funciones encomendadas por el responsable y el encargado del tratamiento, no goza de esta independencia.

  1. El DPD informa y asesora al responsable del tratamiento y coopera con la autoridad de control con independencia del resto de figuras implicadas en la seguridad de la información, y garantiza los derechos de las personas en materia de protección de datos.

El RS sin embargo, debe velar por garantizar la seguridad de la información de la  organización.

  1. Otra diferencia reseñable es en el ámbito de actuación de ambas figuras por cuanto respecta a la realización de los análisis de riesgos: mientras que el DPD se centrará en el análisis de riesgos sobre los derechos y libertades de las personas, el  RS realizará un análisis de riesgos en relación con las tecnologías de la información y las comunicaciones.
  2. El DPD supervisará la labor que realiza el responsable de seguridad en sus tres vertientes: información, servicio y seguridad, porque el ENS focaliza y limita las funciones de estos responsables de seguridad, mientras que el RGPD amplía las funciones del DPD.

En este sentido,  unificar la figura del DPD con la del RS generaría un conflicto de intereses al vulnerar el principio de independencia asignado al DPD, y en definitiva no es recomendable que  el DPD sea “juez y parte” en el ámbito interno de una organización.

Respecto a los conflictos de intereses el Grupo de Trabajo sobre Protección de Datos del Artículo 29, revisadas por última vez y adoptadas el 5 de abril de 2017 señala para el DPD:  3.5. Conflicto de intereses. “No obstante, requiere que la organización garantice que «dichas funciones y cometidos no den lugar a conflicto de intereses». La ausencia de conflicto de intereses está estrechamente ligada al requisito de actuar de manera independiente. Aunque los DPD puedan tener otras funciones, solamente podrán confiárseles otras tareas y cometidos si estas no dan lugar a conflictos de intereses”.

No obstante, y dicho lo anterior, cabría la posibilidad de centralizar ambas figuras  en una sola persona siempre y cuando contara con la formación adecuada para el desempeño de ambas, debiendo separarse claramente las funciones que desempeña como DPD, y evitando cualquier conflicto de intereses.

Para terminar, indicar que en grandes organizaciones lo más recomendable es constituir un Comité de Seguridad que integre ambas figuras independientes. Así lo manifiesta también la norma ISO/IEC 29151:2017 Information technology – Security techniques – Code of practice for personally identifiable information protection.

Equipo de Govertis 

Logotipo de Govertis

 

KEEP READING

Novedades de la nueva Ley Orgánica de Protección de Datos y garantías de los derechos digitales

27 noviembre, 2018 | DPD DPO, GDPR Legal | , , , , , ,

Después de casi un año de trámite parlamentario, el Pleno del Senado aprobó el pasado miércoles día 21 de noviembre, por 221 votos a favor, 21 en contra y ninguna abstención, la nueva Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales, que desarrolla en España algunos contenidos del Reglamento General de Protección de Datos, tal y como habilita esta norma al legislador nacional.

Hay diversos aspectos que ya se conocían en versiones anteriores y se han consolidado y otros que se han modificado. A continuación recogemos algunos de los  aspectos más destacables si bien próximamente podremos el zoom en la nueva regulación de materias concretas.

Una de las novedades principales incorporada en la nueva norma ha sido la introducción de un nuevo Título, que se incluye en el nombre a la Ley, el de “Garantía de los derechos digitales”, no exento de controversia. Estos derechos podríamos destacar los siguientes:  El derecho a la neutralidad de Internet, derecho de acceso universal a Internet, derecho a la seguridad digital, derechos relativos a los menores en el ámbito digital, ciertos derechos como la rectificación, olvido etc.  en el entorno digital, la regulación de derechos digitales en el ámbito laboral (entre los que destaca el derecho a la desconexión) así como el mal denominado “testamento digital”.

De otro lado, se introducen, respecto a la figura del Delegado de Protección de Datos (DPD), una lista de entidades que deberán designar obligatoriamente DPD: centros docentes que ofrezcan enseñanzas reguladas, en las universidades públicas y privadas, colegios profesionales, en las federaciones deportivas, cuando traten datos de menores de edad, o en los centros sanitarios, salvo en el caso de profesionales de la salud que ejerzan su actividad a título individual.

El DPD cobra especial protagonismo en los procedimientos de investigación y sanción. Así, las reclamaciones que los interesados deseen interponer ante la Agencia Española de Protección de Datos, podrán primero presentarse al DPD. En el supuesto que esto no ocurra, la Agencia Española de Protección de Datos podrá remitir la reclamación al DPD para que en el plazo de un mes pueda resolver la reclamación, por ello la LOPDyGDD apostando por la mediación.

De la misma manera, el hecho de designar un DPD cuando no fuera obligatorio, se incluye como un criterio para graduar las sanciones, además de otros como la afectación a los derechos de los menores o el sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos.

También existen novedades relacionadas con el sector público. De un lado, se ha incorporado una disposición adicional relativa a las medidas de seguridad en el sector público, relativa al Esquema Nacional de Seguridad, mediante la cual el cumplimiento del ENS equivale a una gestión de la seguridad adecuada al riesgo, cumpliéndose con ello la obligación de implantar medidas de seguridad adecuadas, en cumplimiento del art 32 de RGPD. En lo que respecta al registro de actividades de tratamiento, se establece la obligación para las Administraciones Públicas de hacerlo público por medios electrónicos.

En el caso del sector privado, uno de los puntos más novedosos, es la posibilidad de denunciar de forma anónima dentro de los sistemas internos de denuncias y que hasta ahora no había sido permitido por la AEPD. A partid de ahora, el denunciante que desee poner de manifiesto unos hechos concretos por considerarlos contrarios a la normativa aplicable, podrá hacerlo sin que la expresión de su identidad sea condición para el tratamiento de su denuncia.

También se regulan otros tratamientos sectoriales como, entre otros, videovigilancia, sistemas de información crediticia, sistemas de exclusión publicitaria o monitorización de empleados.

Por último, destacaremos que la información por medios electrónicos puede realizarse en doble capa como venía haciéndose hasta ahora, pero eso sí, se permite que sólo de informe en la información básica de la identidad del responsable del tratamiento, las finalidades del tratamiento y la manera de ejercitar los derechos de acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento.

KEEP READING

Del registro de incidencias en la LOPD a las notificaciones de violaciones de seguridad en el RGPD

8 noviembre, 2018 | GDPR Legal | , , ,

En el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante, RDLOPD) se recogía la obligación de llevar un registro de incidencias interno, a diferencia de las obligaciones que introduce el RGPD, que además de disponer de un registro interno, establece la necesidad de analizar  si  la misma constituye un riesgo para los derechos y libertades de las personas físicas para en su caso, notificarla a la Autoridad de Control y/o a los interesados.

Lo que ocurre es que el contenido que debe incluir dicha notificación que debe hacerse a la Agencia Española de Protección de Datos, es muy similar a lo que incluía el contenido del registro de incidencias del RDLOPD. Esto, unido a que actualmente se debe documentar lo relacionado con las violaciones de seguridad, hace que en la práctica deba existir un registro de dichas incidencias/violaciones/brechas, a disposición de la autoridad de control.

A continuación resumimos  las diferencias del contenido  del registro de incidencias LOPD y el contenido de la notificación a la Agencia de las violaciones de seguridad del actual RGPD

1.- Descripción de la incidencia

El RDLOPD  mencionaba que se debe establecer un registro en el que se haga constar el tipo de incidencia y el momento en el que se ha producido y detectado. No entraba en detalle del contenido de la incidencia, pero se entendía que era una explicación de la misma.

Con el RGPD se debe describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados.

2.- Datos de personas que participan en el registro

Con la LOPD se tenía que registrar la persona que realizaba la notificación y la persona a la que se le comunicaba dentro de la Organización (normalmente era el Responsable de Seguridad).

Con el RGPD se debe comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información.

3.- Consecuencias derivadas

Con la LOPD se debían registrar los efectos derivados de la incidencia.

Con el RGPD, en términos distintos pero el mismo trasfondo, deben comunicarse las “posibles consecuencias de la violación de seguridad”.

4.- Actuaciones posteriores

Con la LOPD se debían registrar las medidas correctoras y para datos de nivel medio, se debían indicar también, en su caso, los procedimientos realizados de recuperación de los datos, indicando la persona que ejecutó el proceso, los datos restaurados y, en su caso, qué datos ha sido necesario grabar manualmente en el proceso de recuperación

Con el RGPD se debe informar a la Agencia de las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

De todo lo mencionado, se deduce que en el contenido del antiguo registro de incidencias y el contenido que debe incluirse en la notificación a la Agencia actualmente, hay diferencias terminológicas y muy puntuales, pero en la práctica se sigue registrando lo mismo.

Por otro lado, hay que destacar que el registro de incidencias de la LOPD, era un registro interno (a disposición de la autoridad de control, pero interno), las notificaciones de violaciones de seguridad implican “una salida” de esa información; de la organización a la Autoridad de Control o a los interesados, según el caso.

Un tercer punto diferenciador es que en la LOPD el registro de incidencias (como el resto de obligaciones) recaía sobre los Responsables de Ficheros.

Con el RGPD, la obligación de notificación de violaciones de seguridad afecta, tanto a Responsables como a Encargados.

Finalmente, la LOPD no establecía un plazo para el registro de incidencias, mientras que para la notificación de la existencia de una violación de seguridad a la autoridad de control se establece actualmente un plazo de 72 horas (con sus excepciones) desde que se tuvo constancia de la violación de seguridad.

 

KEEP READING

Políticas BYOD y MDM

2 noviembre, 2018 | GDPR Legal | , , , ,

¿Qué es una política BYOD? Estas siglas en inglés responden a “Bring Your Own Device”. Se denomina así al uso de dispositivos personales en el ámbito corporativo. Esta práctica empresarial conlleva unos riesgos que deben ser localizados y recogidos en un protocolo de actuación o política BYOD.

¿Cuáles son algunos de los principales elementos de esta política de seguridad?

  • Generar en la empresa las normas de uso de TIC y prácticas formativas a los trabajadores en el manejo de los dispositivos en un entorno BYOD.
  • Limitar el uso de aplicaciones y generar perfiles de acceso con restricción de permisos para evitar la instalación de archivos de origen desconocido.
  • No cargar el móvil en los ordenadores de la empresa.
  • Establecer el proceso de destrucción o borrado de información de estos dispositivos cuando el trabajador cesa la relación laboral.
  • Revisar correctamente la política de contraseñas y revisar los roles y perfiles de cada usuario para que accedan a los datos sólo aquellos usuarios con esos perfiles.
  • Revisar el contenedor donde esté ubicado las contraseñas esté cifrado, para evitar el acceso a la información e implementar un sistema de contraseñas de 2 o más factores que nos permita un sistema más robusto y seguro.
  • Actualización de los parches de seguridad y del sistema operativo continúo con antivirus.
  • Conexión VPN con firewall implementado que permita activar el sistema de intrusión de amenazas.

Este ejemplo de política BYOD se habrá establecido una vez valorados los posibles riesgos al realizar una evaluación de impacto a un determinado tratamiento como el uso de dispositivos personales en el ámbito laboral, conforme al art. 35 del nuevo Reglamento Europeo de Protección de Datos (RGPD), en cuyo caso la organización valorará si el riesgo es asumible o por el contrario, hay que adoptar algún tipo de control que lo mitigue.

Una posibilidad para minimizar estos riesgos consiste en implementar  sistemas de gestión de dispositivos móviles (Mobile Device Management o MDM) que se encargan de monitorear, integrar y administrar los dispositivos móviles, como smartphones, tabletas y computadoras portátiles, en el lugar de trabajo. Así, se puede cumplir con el principio de minimización de datos que recoge el RGPD en el artículo artículo 5.1.c) al garantizar la seguridad de los datos corporativos almacenados en dispositivos móviles, redes inalámbricas y aplicaciones de la compañía. La intención del MDM es optimizar la funcionalidad y la seguridad de los dispositivos móviles dentro de la empresa, a la vez que protege la red corporativa para evitar cualquier tipo de fuga de datos o intromisión por parte de terceros.

Las principales ventajas relacionadas con la seguridad IT y privacidad que se puede conseguir con la implementación de una solución MDM son:

  1. Instalar aplicaciones en forma masiva reduciendo el tiempo de respuesta en la empresa.
  2. Localización y rastreo de equipos, permitiendo localizar los equipos conectados a través de Wifi, 3G/4G en caso de pérdida o robo.
  3. Sincronización de ficheros instalados en los dispositivos móviles con el servidor.
  4. Reportar datos al permitir generar reportes incluyendo KPIs de seguridad que nos permiten mejorar en la gestión de la seguridad y privacidad.
  5. Bloqueo de funciones al controlar funciones específicas de los dispositivos, pudiendo activar o desactivar sistemas del dispositivo como la cámara, el micrófono y acceder a la configuración de dispositivo
  6. Selección de aplicaciones al permitir aplicar políticas de control sobre las aplicaciones en la empresa.
  7. h) Aplicar contraseñas de bloqueo a los dispositivos desde el servidor MDM y borrado remoto cuando el dispositivo está extraviado, robado o perdido para evitar la fuga de los datos.

Por último, el Grupo de Trabajo del 29 señala la importancia de implementar y comunicar políticas de uso aceptable de las TIC y se refiere, en particular, a la monitorización del trabajo en casa y remoto, indicando que la clave en este caso es gestionar cualquier riesgo que implique el trabajo a distancia de manera proporcional, considerando en particular, a la hora de utilizar tecnologías de monitorización, los límites entre uso profesional y privado, incluyendo ejemplos como (Bring Your Own Device, BYOD) y la gestión de dispositivos móviles (Mobile Device Management, MDM).

Equipo de Govertis 

Logotipo de Govertis

 

 

KEEP READING

Blockchain y RGPD: ¿Son compatibles?

26 octubre, 2018 | GDPR Legal | , , ,

El blockchain, o cadena de bloques, es una tecnología destinada a tener un impacto enorme en todos los ámbitos de nuestras vidas. Conocida por ser la base tecnológica del bitcoin, este sistema es una base de datos compartida que registra en un libro mayor todas las operaciones entre todos sus usuarios, desde transacciones económicas hasta operaciones de compra-venta. Una de sus características es la inmutabilidad de la información que consta en los bloques ya que garantiza la seguridad y fiabilidad de la información. Precisamente es en sus cualidades donde se encuentran las incompatibilidades con el Reglamento General de Protección de Datos.

A continuación, analizaremos algunos de los puntos que desafían el cumplimiento de la blockchain con el RGPD:

  • Derecho de cancelación: La información en la cadena de bloques permanece inalterable y esa es una de las piezas fundamentales de su funcionamiento. El artículo 17 del RGPD regula el derecho a la supresión de los datos personales, pudiendo el interesado solicitar al Responsable del Tratamiento la supresión de los datos personales que le conciernan. Es por esto, que el derecho a la supresión se presenta como un desafío para la tecnología blockchain.
  • Plazos de conservación de los datos de carácter personal: El RGPD establece que los datos del interesado serán conservados únicamente durante el tiempo necesario para los fines previstos. Los datos almacenados en la blockchain se almacenan de manera indefinida en su red y por lo tanto resulta imposible cumplir con este aspecto definido en el RGPD.
  • Principio de exactitud: Los datos del interesado deberán ser exactos y estar actualizados. Por lo tanto, debido a su inalterabilidad, será un desafío poder modificar la información de la red blockchain en base a este principio.

Son cada vez más las voces discordantes que prevén la incompatibilidad de la Blockchain con el RGPD y abogan por dejar fuera del alcance de la normativa europea a esta nueva tecnología. El pasado 1 de febrero la Comisión Europea puso en marcha el Observatorio y Foro de Blockchain de la Unión Europea con el objetivo de promover su uso y destacar sus avances más significativos. Dado el interés del legislador europeo por la privacidad y la protección de los datos de los ciudadanos, es fácil imaginar que encontrarán una solución a lo que parece una incompatibilidad entre el RGPD y la blockchain.

El equipo de profesionales de Govertis

Logotipo de Govertis

KEEP READING