Responsabilidad Proactiva

2 agosto, 2018 | GDPR Legal | , , , ,

A lo largo de distintos post publicados en nuestro Blog del DPD/DPO hemos tratado la responsabilidad en el tratamiento de los datos personales, sin embrago en estas líneas queremos centrarnos en la Responsabilidad Proactiva o accountability.

Antes de entrar a ver el principio de responsabilidad proactiva en el Reglamento General de Protección de Datos (RGPD), cabe indicar que el Grupo de Trabajo del Artículo 29 (GT29), que fue sustituido tras la plena aplicación del RGPD (el 25 de mayo) por el Comité Europeo de Protección de Datos (CEPD), publicó en 2010 el Dictamen 3/2010 sobre el principio de responsabilidad, WP 173, en el que explicaba  su significado y alcance.

El GT29 señalaba que “proviene del mundo anglosajón donde es de uso general y donde se da una comprensión ampliamente compartida de su significado, aunque la definición exacta de «responsabilidad» resulta compleja en la práctica.” Y también que “el término apunta sobre todo al modo en que se ejercen las competencias y al modo en que esto puede comprobarse.”

Como señala la AEPD (Principio Responsabilidad Proactiva) el RGPD, en su artículo 24,  describe este principio como la necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento.

Para ello las organizaciones han de analizar qué datos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo, para pasar a realizar el Análisis de Riesgos. Pasos que se están dando en la adecuación al Reglamento General de Protección de Datos y que les llevará a determinar la forma en que aplicarán las medidas que el RGPD prevé, asegurándose de que esas medidas son las adecuadas para cumplir con el mismo y, como indica el  RGPD,  que pueden demostrarlo ante los interesados y ante las autoridades de supervisión.

Así pues al hablar de Responsabilidad proactiva o accountability nos centrados en dos elementos:

  1. La necesidad de que el responsable del tratamiento adopte medidas adecuadas y eficaces para aplicar los principios de protección de datos.

¿Qué medidas encontramos en el RGPD cuya aplicación supone que las organizaciones están siendo proactivas en la adopción de medidas de seguridad?

Medidas técnicas y organizativas que serán revisadas y actualizadas, es decir, el responsable del tratamiento tendrá que evaluar o analizar en todo momento el riesgo, atendiendo también a cualquier cambio en el mismo ya sea, por ejemplo, por nuevos tratamientos de datos personales.

  1. La necesidad de demostrar, si así se requiere, que se han adoptado medidas adecuadas y eficaces. En este caso se consigue recabando evidencias, documentando actuaciones que podrán ser de prueba ante incidentes

Por último señalar que la responsabilidad proactiva se exige al responsable del tratamiento con independencia de que trate los datos personales por sí mismo o a través de un encargado del tratamiento o subencargados de tratamiento.

El equipo de profesionales de Govertis

Logotipo de Govertis

 

KEEP READING

Análisis de Riesgos

29 junio, 2018 | GDPR Legal | , ,

El análisis de riesgos es, por definición, el estudio de las causas de las posibles amenazas y probables eventos no deseados y los daños y consecuencias que éstas puedan producir.

Históricamente se ha utilizado como una herramienta de decisión en entornos financieros y de seguridad, si bien, es una herramienta que utilizamos de forma inconsciente en nuestra vida cotidiana: desde que nos despertamos, la elección de nuestras acciones viene determinada en función de los riesgos, desde elegir la ropa que nos ponemos (cogemos el abrigo si sabemos que va a hacer frio, o el paraguas si está nublado, ¿Pero por qué? Porque la probabilidad de pasar frío o mojarnos es alta y si se confirma el hecho, las consecuencias no son deseables), hasta la elección de movernos en coche o coger transporte público, dependiendo del tráfico.

Existen diferentes metodologías que desarrollan un método formal para realizar este estudio, algunas reconocidas internacionalmente como Magerit v.3 o la ISO 31000:2018. Es importante seleccionar un método, ya que también por definición un análisis de riesgos formal debe reunir tres condiciones: deber ser objetivo, repetible y comparable.

Independientemente de la metodología escogida se debería  comenzar por conocer qué es lo que nos preocupa o sobre qué queremos hacer el estudio (en el entorno de una EIPD, en el ámbito del Reglamento General de Protección de Datos, sería el tratamiento de datos personales), para posteriormente identificar qué posibles eventos podrían suceder que lo pusieran en peligro (identificación de escenarios de riesgos).

Dichos escenarios de riesgos deberán ser analizados en dos sentidos: por un lado estimar la frecuencia de ocurrencia de dicho escenario, y por otro, supuesta la materialización del escenario, qué posibles daños podría ocasionar. Para ello, se deberán establecer criterios de impacto (en el caso de las EIPD, en el ámbito del  RGPD, cómo se ven afectados los derechos y las libertades de los individuos) y escalas del daño (por ejemplo: bajo, medio y alto).

La fórmula del riesgo es sencilla: Riesgo = Frecuencia  x Impacto. Para ello, normalmente se suelen establecer matrices de riesgo, donde se representa gráficamente dicha relación.

Ejemplo de matriz de riesgo

El siguiente paso, es evaluar los riesgos e indicar qué riesgos son aceptables y cuáles no lo son, y por lo tanto van a requerir de un tratamiento.

En el siguiente punto, se propondrán posibles acciones para tratar el riesgo. Existen diferentes opciones: acciones dirigidas a reducir el riesgo, ya sea reduciendo la probabilidad o el daño, para evitar el riesgo, trasladar el riesgo a un tercero o, en última instancia, asumir el riesgo.

Esta última acción, debería ser por defecto la última opción, debe ser una decisión de la alta dirección y debe estar justificada.

El último paso consiste en estimar cómo de efectivo se estima que sea el tratamiento, para finalmente calcular el riesgo residual, el cual, debe ser comunicado a la alta dirección y debe ser aprobado por la misma.

 

El equipo de profesionales de GovertisLogotipo de Govertis

KEEP READING

Nuevos retos en privacidad: IoT

4 mayo, 2018 | DPD DPO | , , , ,

Al hablar de IoT nos referimos a la llamada “Internet of Things –  Internet de las Cosas”. Esencialmente se trata de la interconexión de objetos en red, mediante la asignación a cada uno de ellos de un “identificador único”, constituyendo así un dominio en el que pueden interactuar e intercambiar información de forma identificada, lo que supone una comunicación máquina a máquina. Estos tratamientos requieren de la designación obligatoria de Delegado de Protección de Datos- DPO-, quien deberá asesorar al responsable o encargado de tratamiento sobre los retos que plantean estos tratamientos para la privacidad.

Los principales riesgos para la privacidad de estos tratamientos son:

Rastreo. Consiste en el seguimiento en tiempo real de los movimientos de una persona, a partir de objetos que tiene asignados. Permite conocer la completa trazabilidad de los mismos. Ello puede provocar que esa información sobre hábitos de conducta en manos de cibercriminales pueda ser utilizada por ejemplo para efectuar un robo cuando estamos fuera de casa (trabajando o de vacaciones).

Elaboración de perfiles. A partir de los datos almacenados del seguimiento de una persona, mediante técnicas analíticas, permite inferir unos patrones de conducta y llegar a conocer sus hábitos y preferencias, posibilitando elaborar su perfil. Por ello se deberá estar a lo previsto en el RGPD para la elaboración de perfiles y, en su caso, decisiones individuales automatizadas.

Seguridad. Los ataques de DoS (Denegación de Servicio) / DDoS (Distributed Denial of Service) que ya están actualmente presentes en Internet. La IoT también es susceptible a este tipo de ataques por lo que se deben establecer mecanismos de resistencia a este tipo de ataques.

Por otro lado, al tratarse de dispositivos conectados son susceptibles de recibir malware (virus o programas que cifran la información – ransomware) por lo que deben ser protegidos de la misma manera que otros dispositivos conectados como ordenadores o smartphones.

Estos tratamientos en la mayoría de los casos requerirán una Evaluación de Impacto en Protección de Datos a tenor del artículo 35.3. a) del RGPD:

Evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar”.

En la elaboración de la EIPD se deberán tener muy presentes las causas de legitimación del tratamiento, la información facilitada a los interesados, en su caso, el modo de obtención del consentimiento, así como las medidas técnicas y organizativas que reduzcan el alto riesgo para los derechos y libertades de los interesados. El Delegado de Protección de Datos DPO, tendrá un papel relevante en la elaboración de la misma debiendo liderarla y tomar parte activa en todas las fases de la misma.

Finalizaremos nuestra exposición haciendo referencia a la “Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO sobre el respeto de la vida privada y la protección de los datos personales en el sector de las comunicaciones electrónicas y por el que se deroga la Directiva 2002/58/CE (Reglamento sobre la privacidad y las comunicaciones electrónicas)” que entre otras cuestiones pretende regular la IoT.

En relación con las comunicaciones máquina a máquina realizadas por la IoT, la Propuesta de Reglamento indica que estará prohibido recopilar la información emitida por un equipo terminal para poder conectarse a otro dispositivo o a un equipo de red, salvo cuando se cumpla alguna de las siguientes excepciones:

  1. a) cuando se lleve a cabo con el fin exclusivo de establecer una conexión y solamente durante el tiempo necesario para ello, o
  2. b) cuando se muestre una advertencia clara y destacada que informe, como mínimo, de las modalidades de recopilación, su finalidad, las personas responsables de ella y la información restante requerida de conformidad con el artículo 13 del Reglamento (UE) 2016/679 en caso de que se recojan datos personales, así como de cualquier medida que pueda adoptar el usuario final del equipo terminal para interrumpir o reducir al mínimo la recopilación. La información podrá proporcionarse en combinación con el uso de iconos normalizados que ofrezcan, de forma fácilmente visible, inteligible y claramente legible, una adecuada visión de conjunto.

La recopilación de esta información quedará supeditada a la aplicación de medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado en relación con los riesgos, según lo establecido en el artículo 32 del Reglamento (UE) 2016/679.

El equipo de profesionales de Govertis

Logotipo de Govertis

KEEP READING