A lo largo de estas últimas semanas estamos viendo cómo muchas empresas van volviendo poco a poco a su rutina, y adaptando sus espacios a esta “nueva normalidad”, que está provocando importantes cambios en nuestra manera de comunicarnos y relacionarnos en nuestro día a día. Es en esta nueva realidad donde estamos asistiendo a una importante aceleración en la implantación de nuevas tecnologías en la lucha contra la Covid-19: cámaras termográficas, uso de drones, tecnologías que permiten el conteo de personas para controlar el distanciamiento social y de aforo, sistemas de certificación de salud mediante códigos QR, controles de acceso para detección de equipos de protección y mascarillas entre otras constituyen el nuevo escenario en la transición a esta “nueva normalidad”.

Pues bien, entre todas estas soluciones tecnológicas están irrumpiendo con mucha fuerza las técnicas de reconocimiento facial que multitud de empresas de seguridad privada están ofertando en sus catálogos de productos y servicios. Estos sistemas cuentan con la ventaja de que se pueden integrar en los terminales de control horario y de accesos de las empresas e incluso en los propios sistemas de videovigilancia, y es precisamente en estos últimos donde se han suscitado muchas dudas en cuanto su uso y licitud en lo que a protección de datos se refiere.

Recientemente, el Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) ha venido a publicar un informe en el que resuelve algunas cuestiones en relación con los sistemas de reconocimiento facial integrados en sistemas de videovigilancia, empleados en la seguridad privada al amparo del art. 42 de la Ley de Seguridad Privada (en adelante LSP), que a juicio de la consultante estaría permitido por el artículo 9.2.g) del Reglamento Europeo de Protección de Datos, (en adelante RGPD) siendo suficiente a estos efectos que el usuario del servicio de seguridad sea titular del espacio a protegerse por la empresa de seguridad y que se trate de un dispositivo homologado por el Ministerio del interior.

Pues bien, para poder entender las conclusiones a las que llega la AEPD y que difieren radicalmente de las alegadas por la consultante debemos hacernos una serie de preguntas:

Publicado en Blog

El pasado 1 de junio, la Agencia Española de Protección de Datos (AEPD) público el Plan de inspección de oficio en la atención sociosanitaria. Dicho documento se centra por primera vez en analizar los tratamientos de datos de carácter personal que se realizan en el ámbito sociosanitario, además de llevar a cabo una investigación en cuanto al cumplimiento normativo en materia de protección de datos de dicho ámbito.

Iniciamos el análisis de dicho plan clarificando el concepto de atención sociosanitaria, aquella que viene a coordinar la asistencia sanitaria y social centrándose en colectivos especialmente vulnerables como, entre otros, la tercera edad, enfermos crónicos, personas con alguna discapacidad física, psíquica o sensorial, y en riesgo de exclusión social.

Sentadas las bases conceptuales, estimamos conveniente referirnos a la estructura del “Plan de inspección de oficio en la atención sociosanitaria”:

  • Resumen ejecutivo
  • Introducción
  • Objetivos
  • Concepto de atención sociosanitaria
  • Situación del espacio sociosanitario en España
  • Metodología y actuaciones realizadas en el plan
  • Conclusiones y recomendaciones
  • Preguntas frecuentes
  • Retos futuros
  • Anexos

En concreto, en nuestro articulo veremos de una forma concisa los puntos relativos a la metodología y actuaciones realizadas, así como las conclusiones y recomendaciones que la AEPD realiza al respecto.

¿Qué actuaciones ha realizado la AEPD a lo largo del plan de inspección?

  1. Planificación de la auditoría: fase en la que se determinan los objetivos, las fases y el calendario de actuaciones. Asimismo, se lleva a cabo un estudio sobre el ámbito sociosanitario en España. Como parte final de esta planificación se realiza una reunión con el IMSERSO, en aras de conocer inquietudes y dudas respecto del tratamiento de datos de carácter personal efectuados en residencias y centros sociosanitarios.
  2. Solicitudes de información y documentación: en esta actuación se procedió a solicitar la información pertinente a las Consejerías de Asuntos Sociales de todas las Comunidades Autónomas, a excepción de Cataluña y País Vasco, así como al Ministerio de Sanidad. Esta solicitud se realiza en vistas a poder conocer el abanico de tratamientos de datos de carácter personal que aplica a la atención sociosanitaria en España.
  3. Realización de Inspecciones: durante los meses de septiembre a diciembre de 2018 se realizaron inspecciones presenciales en distintos centros sociosanitarios preseleccionados. En estas inspecciones se ha procedido a auditar los procedimientos en materia de protección de datos establecidos en cada centro, para lo cual se han mantenido reuniones tanto con responsables como con encargados del tratamiento.
  4. Fase Final: una vez que la AEPD disponía de toda la información necesaria procedió a la elaboración del documento de plan de inspección sobre el que versa el presente artículo.

De las solicitudes de información y documentación realizadas en el plan de inspección, la AEPD ha determinado que la tipología de datos de carácter personal que se suelen tratar en los centros sociosanitario es la siguiente:

  • Datos básicos personales y bancarios (Nombre y apellidos, teléfono, etc.)
  • Datos sanitarios (Historia clínica, tratamientos, etc.)
  • Historia social (Informes sociales, sociofamiliares, etc.)
  • Informes psicopedagógicos
  • Datos de evaluación de autonomía (pruebas de evaluación, diagnostico, etc.)
  • Registro de incidencias ocurridas durante la estancia en el centro.
  • Contrato de convivencia firmado con el centro.
  • Plan de atención personalizada del usuario.
  • Datos de contacto de familiares o responsables del usuario.

Siendo la mayoría de estos datos considerados como categorías especiales, la AEPD recuerda la necesidad de seguir garantías específicas, estableciendo las medidas adecuadas para proteger los derechos de los usuarios y, en concreto, que los tratamientos sean realizados por profesionales sujetos al secreto profesional, o bajo su responsabilidad. Así, la observancia del principio de minimización es esencial, y con ella el tratamiento de datos adecuados, pertinentes y limitados al objetivo perseguido, aplicándose las medidas técnicas y organizativas que así lo garanticen.

¿Cuáles son las conclusiones más relevantes del plan?

Publicado en Blog

Hoy, acceder a Internet se ha convertido en una parte esencial de nuestra vida diaria. Desde una edad temprana, los niños viven en un entorno digital y crecen utilizando una amplia gama de dispositivos interconectados para diversas actividades (aprendizaje, entretenimiento, comunicación con familiares y amigos, pasatiempos, etc.). A pesar de los beneficios que nos está aportando a día de hoy la conectividad a internet, desde que comenzamos el confinamiento ha aumentado considerablemente el tiempo que los menores pasan conectados y en muchos casos sin la supervisión de un adulto.

Debemos ser conscientes de que existen una serie de riesgos que no podemos olvidar, especialmente en los colectivos más vulnerables como es el caso de los menores, y no es casual que en estos tiempos que corren, hayan aumentado considerablemente los delitos que se cometen vía Internet y redes sociales, precisamente por esa mayor dedicación a las nuevas tecnologías durante este confinamiento. 

Uno de los riesgos más importantes es la exposición de los menores a contenido inapropiado como imágenes de índole sexual, violentas, sobre juego y apuestas, etc. Esta exposición puede producir importantes efectos negativos sobre los menores, que van desde daños emocionales o psicológicos hasta el establecimiento de conductas peligrosas y socialmente inapropiadas o daños para su salud física.

Por lo tanto, si bien el acceso a Internet debe ser tomado como una gran oportunidad para el desarrollo de los menores, no sólo los padres o tutores deben tomar medidas para protegerlos de las amenazas del entorno digital al igual que se hace en el mundo físico, la industria también ha de proporcionar en este sentido herramientas para ayudar a salvaguardar su intimidad y bienestar.

La Agencia Española de Protección de Datos (AEPD) ha elaborado recientemente una nota técnica sobre protección del menor en Internet, que tiene como objetivo poner de manifiesto el daño que puede producirse a un menor cuando accede a contenido no adecuado para su edad.

Si bien es cierto que esta nota técnica está dirigida principalmente a padres y tutores de menores que desean fomentar un uso seguro de la tecnología, en este post nos vamos a centrar especialmente en las recomendaciones dirigidas a entidades y desarrolladores de herramientas de protección del menor. Dichas entidades deben aplicar las medidas técnicas y organizativas necesarias para proteger los derechos y libertades de los menores, así como las implicaciones de privacidad de las mismas y consejos en cuanto a su uso responsable.

Entre las distintas opciones que pone el mercado a disposición de padres y tutores, para controlar y limitar la exposición de los menores a contenido inapropiado, nos encontramos las aplicaciones de control parental, que ofrecen los propios desarrolladores de sistemas operativos, operadores de telefonía y otras empresas. Adicionalmente al final de este post incluimos una tabla de análisis comparativo de las principales herramientas de control parental que existen actualmente en la industria.

¿Qué entendemos por controles parentales?

Los controles parentales son herramientas que permiten a los padres o tutores poner límites a la actividad en línea de un menor y por lo tanto mitigar los riesgos de que el menor puede estar expuesto.

¿Por qué son importantes?

Son importantes porque pueden ser utilizados para apoyar a los padres en la protección y promoción de los mejores intereses de sus hijos, un papel reconocido en la propia Convención de los derechos del niño firmado en 1989 (en adelante CDN). Sin embargo, debemos valorar también el impacto sobre el derecho del menor a su propia privacidad tal y como se reconoce en el artículo 16 de la CDN. El hecho de que los menores estén sujetos a un bloqueo excesivo puede resultar contraproducente -por lo que es importante mantener abierta la posibilidad de desbloquear contenido a petición del menor- y estar abierto a acordar con ellos los filtros y restricciones, entre otras medidas.

Estas herramientas de control parental resultan muy útiles para vigilar y controlar la actividad de nuestros menores en Internet, pero deben ser utilizadas como medidas de seguridad complementarias y no como herramientas de reemplazo a las labores de formación y concienciación que debemos mantener con nuestros hijos en materia de ciberseguridad consideradas fundamentales para educarles, guiarles y apoyarles en el uso seguro de Internet.

¿Qué funcionalidades ofrecen las herramientas de control parental?

Publicado en Blog

A raíz de la situación actual de nuestro país surgen distintas controversias en lo que respecta a la protección de datos. Tras la aprobación de la Orden ministerial SND/297/2020, de 27 de marzo (en adelante Orden ministerial u Orden), se han hecho virales noticias en las que se ha hablado de dos polémicas principalmente: en primer lugar, qué dicha Orden derogaba la normativa en materia de protección de datos durante el estado de alarma y, en segundo lugar, que la APP ASISTENCIACOVID-19 tendría geolocalizados y controlados en todo momento a los ciudadanos españoles. Es por este motivo por lo que hemos considerado necesario dedicar un artículo en nuestro Blog para realizar determinadas aclaraciones al respecto.

¿Qué finalidad tiene la Orden ministerial?

Nos encontramos ante una norma de rango reglamentario que puede emanar de cualquiera de los ministros del Gobierno de España, en este caso en concreto del Ministerio de Sanidad. Tal y como podemos encontrar en la exposición de motivos de la mencionada Orden, su principal finalidad es «proteger la salud y seguridad de los ciudadanos, contener la progresión de la enfermedad y reforzar el sistema de salud pública».

Para conseguir dicha finalidad lo que se va a intentar es contar con información real sobre la movilidad de las personas en los días de confinamiento que estamos atravesando en la actualidad:

  • El Instituto Nacional de Estadística (INE) está realizando un estudio impulsado por la Orden ministerial con DATAcovid. En relación con este estudio, el escollo a nivel protección de datos, podría surgir en definir cómo y  cuándo se van a tratar estos datos para conseguir información de los ciudadanos, pero en este caso concreto, en la orden se aclara que solamente: emplea datos de posicionamiento de los dispositivos móviles, anónimos y agregados, proporcionados directamente por los operadores y eliminando cualquier información personal, sin identificar ni realizar seguimientos de números de teléfono o titulares de forma individual”.A este respecto, merece la pena recordar que en octubre de 2019 el INE utilizó la misma técnica para realizar un estudio sobre cuántos ciudadanos se mueven de un municipio dormitorio a una ciudad; qué número de personas trabaja en el mismo barrio donde vive o en uno distinto; de dónde viene la gente que trabaja en una zona, o cómo fluctúa la población en un recuadro a lo largo del día. En esta ocasión también fue criticada la utilización del posicionamiento en los teléfonos móviles, pero a posteriori se pudo comprobar que se cumplía con todas las garantías normativas en materia de protección de datos por parte del INE.
  • Asimismo, el gobierno ha impulsado una App denominada AsistenciaCOVID-19, disponible por el momento en las siguientes Comunidades Autónomas: Canarias, Cantabria, Castilla-La Mancha, Extremadura y Principado de Asturias.Como hemos comentado en la introducción del presente artículo, esta aplicación ha sido muy criticada en los medios de por el uso de la geolocalización de los ciudadanos, diciéndose que el acceso al GPS de los teléfonos móviles sería “conditio sine qua non” para utilizar la App. Valoraremos más adelante este hecho.

¿Cómo puede afectar esto al derecho fundamental a la protección de datos?

Pues bien, a pesar de que como indicábamos anteriormente, ha habido noticias en las que se indicaba que esto podría afectar a la normativa en materia de protección de datos y por tanto a nuestro derecho fundamental reconocido en el artículo 18.4 de Constitución Española (CE), en la Orden no se establece ninguna excepción al derecho fundamental ni a la normativa. Tanto es así, que en la propia Orden se indica expresamente que será de aplicación:

El Reglamento General de Protección de Datos (RGPD).

Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

El hecho de que se haya podido llegar a pensar que se derogaba la normativa en materia de protección de datos, puedehaber sido consecuencia de un error interpretativo/lectura, tanto por la propia denominacion del Reglamento (UE) 2016/679 que deroga la Directiva 95/46/CE, como el no haber un “punto y aparte” ha creado confusión en lecturas rápidas.

Además, el Ministerio de Sanidad ha comunicado que, para hacer cumplir dicha Orden, velará por llevar a cabo los criterios interpretativos dados por la Agencia Española de Protección de Datos. En este sentido, contamos con muchos comunicados en la página web de la AEPD tratando estas cuestiones, pero el más vinculado al tema actual es el Comunicado de la AEPD sobre apps y webs de autoevaluación del Coronavirus.

Deberemos distinguir el análisis del impacto en materia de protección de datos,como derecho fundamental ,en cada uno de los puntos indicados:

Publicado en Blog

La sociedad en la que vivimos posee un marcado carácter tecnológico, y por consiguiente los avances en las nuevas tecnologías son habituales protagonistas en los paneles de actualidad.

Es en este contexto de transformación digital en el que aparecen los dispositivos IoT, siglas con las que se hace referencia al “Internet of Things”, un concepto que se refiere a la interconexión digital de objetos comunes a través de internet y cuya irrupción en la sociedad supone, por su naturaleza, un cambio de enfoque a la hora entender nuestro entorno. Durante este 2020, se esperan alrededor de 20.400 millones de dispositivos conectados, y se prevé que, en los próximos años, en la mayoría de los países, más de la mitad de la población activa tendrá una ocupación que de una forma u otra dependerá de la informática.

Todo ello constituye un arma de doble filo, pues si bien trae consigo mejoras en la eficiencia, así como un incremento en la participación de las personas, a su vez supone un reto: el de afrontar las nuevas amenazas, especialmente aquellas con incidencia sobre la privacidad de las personas.

Los dispositivos IoT funcionan como canal de entrada y salida de datos empleados para definir comportamientos y usuarios tipo, lo cual pone de manifiesto que la parte del IoT relativa a las tecnologías de identificación es la que parece elevar al máximo exponente los riesgos para la privacidad de los usuarios, pues permite que a través de la conexión entre dispositivos se cree una única identidad de usuario, un único perfil personalizado elaborado en base al comportamiento del usuario y las deducciones que de ese comportamiento los dispositivos inteligentes vinculados entre sí puedan extraer.

Son herramientas inteligentes que hacen posible que las empresas que tienen acceso a los datos recabados por los IoT vinculados a un perfil de usuario, puedan utilizarlos para fines distintos para los que inicialmente fueron recabados, encontrándose el interesado en una situación de vulnerabilidad y desconocimiento absoluta en relación al alcance del tratamiento. Es por esto que, de acuerdo con el RGPD, como normativa vigente y aplicable en la materia, la seguridad de la información y la privacidad de los usuarios debería ser una de las principales preocupaciones de cualquier proyecto IoT.

Por desgracia, el aumento en la seguridad en el marco de desarrollo de cualquier proyecto es directamente proporcional al incremento en costes y complejidad, por lo que si bien es cierto que, con la norma en la mano, el funcionamiento adecuado y regulado de los dispositivos IoT pasaría por un sistema con la capacidad de gestión suficiente para llevar a cabo un buen uso de la información, siendo capaz de recoger solamente aquella que resulte necesaria para la finalidad establecida, almacenarla de forma segura y hacer un análisis de la misma, no siempre es así.

El enfoque de la normativa se encuentra claramente direccionado hacia la idea de “la soberanía del usuario sobre sus datos”, esto es, la máxima de control del interesado (que en este caso es el usuario del dispositivo) sobre sus datos de carácter personal; sin embargo, y teniendo en cuenta todo lo anterior, ¿sabemos todo lo necesario sobre el uso que se hace de nuestros datos cuando utilizamos este tipo de dispositivos?

Publicado en Blog

Hoy en este post nos hacemos eco de la fuerte campaña de difusión que en estas últimas semanas ha puesto en marcha la Agencia Española de Protección de Datos (AEPD) de su nueva herramienta canal prioritario, para aquellos casos de violencia digital en Internet.

La proliferación de dispositivos móviles y el acceso generalizado a Internet, están propiciando la difusión, en muchas ocasiones de manera ilegítima e incontrolada, de nuestros datos personales a través de perfiles en redes sociales y otros sitios web.

En este contexto, toda persona, hombre o mujer, de cualquier edad, puede llegar a verse afectada por este tipo de situaciones.

Para evitar la difusión masiva de esta clase de contenidos, la AEPD pone a disposición de los ciudadanos un canal específico para la atención prioritaria de estos casos.

¿Pero en qué supuestos se puede acudir a este canal?

Este canal se ha habilitado para la atención de situaciones excepcionalmente delicadas, cuando los contenidos de las fotografías o vídeos tengan carácter sexual o muestren actos de agresión y se estén poniendo en alto riesgo los derechos y libertades de los afectados, especialmente si se trata de menores de edad o de víctimas de violencia por razón de género.

En este sentido, debemos tener en cuenta que, con carácter general, la actividad de los ciudadanos en las redes sociales está excluida de la aplicación de la normativa de protección de datos, siempre que se trate de actividades exclusivamente personales o domésticas.

Por ello, podrás acudir a este canal sólo en casos excepcionales en los que, por tratarse de datos especialmente sensibles, la privacidad de la persona afectada se esté poniendo en grave peligro.

¿Entonces, podremos acudir a este canal cuando la difusión se lleve a cabo a través de Whatsapp o Telegram, o por medio de correo electrónico?

Publicado en Blog

En nuestros tiempos una parte esencial del mundo de las comunicaciones son las Redes Sociales (RRSS), en las que todo se comparte. Tanto es así, que hay muchos usuarios que no son conscientes de los riesgos a los que quedan expuestos una vez que publican su información en las plataformas sociales, tales como Facebook, Instagram, etc. Uno de los riesgos de esta sobreexposición actual es el hecho de que tanto ciberdelincuentes como las propias multinacionales que se encargan de la gestión de las plataformas intenten aprovechar esos datos de carácter personal y explotarlos en beneficio propio.

Precisamente algo similar ocurrió en el año 2015 cuando un grupo de ciudadanos de la ciudad de Illinois comenzaron a cuestionar las prácticas utilizadas por Facebook. En concreto, en este caso, la red social estaba utilizando una nueva técnica de reconocimiento facial, a través de la cual se identificaba de forma automática a las personas que aparecen en las fotografías como "sugerencias para etiquetar".

¿Cómo funciona esta técnica?

En primer lugar, cuando un usuario de Facebook subía una fotografía gracias al reconocimiento facial se le indicaban las sugerencias de las personas con las que aparecía para poder etiquetarlas directamente, siempre y cuando estas fuesen amigos suyos en la red o amigos de sus amigos.

Una vez que la persona que sube la fotografía decide etiquetar a los usuarios sugeridos éstos recibían una notificación en su perfil de esa etiqueta y de la publicación en su biografía.

Hasta aquí, seguramente esta información resulte muy común dado que es una funcionalidad que todos los usuarios de Facebook conocen y puede resultar hasta “cómoda” y práctica a la hora de etiquetar a las personas con las que compartes tus momentos y fotografías.

Es en este punto donde nos preguntamos: ¿Dónde queda la privacidad de esas personas? ¿Qué normativa se encarga de regularlo?

Para una correcta respuesta, lo primero es determinar qué tipo de datos de carácter personal está tratando Facebook en el supuesto de estudio de este artículo, y tal y como hemos indicado con anterioridad al tratarse de una técnica basada en el reconocimiento facial, estamos por tanto ante un tratamiento de datos biométricos.

Establecido lo anterior, analizaremos brevemente la normativa que nos protege a nosotros junto con la aplicada en el caso concreto de estudio:

  • Normativa a nivel europeo:

El Reglamento General de Protección de Datos europeo (RGPD), define los datos biométricos de la siguiente forma (artículo 4.14):

Datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirme la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos

A mayor abundamiento, el RGPD, concretamente en su artículo 9, eleva estos datos personales a la característica de “especialmente protegidos”, por lo que se si se quiere realizar el tratamiento de éstos, el responsable ha de cumplir con una de las bases jurídicas indicadas a lo largo del punto 2, que realmente se identifican como excepciones a la prohibición del tratamiento de este tipo de datos.

En el caso que nos atañe y en base a la normativa europea solamente se podría  haber aplicado la excepción del artículo 9.2.a), esto es, contar con el consentimiento explícito del interesado.

  • Normativa de Illinois:

En concreto, en el Estado de la controversia, cuentan con la Ley de Protección de Datos Biométricos (BIPA), que fue aprobada en 2008, precisamente para luchar contra la recogida y almacenamiento ilegal de información biométrica.

La ley referenciada requiere un consentimiento explícito para que las empresas recopilen marcadores biométricos de sus clientes, incluidas las huellas dactilares y los modelos de reconocimiento facial.

En base a la indicada normativa, los usuarios de Facebook y ciudadanos del Estado de Illinois presentaron una demanda colectiva alegando que la plataforma violó la BIPA cuando estaba escaneando imágenes de sus caras, sin su consentimiento, con el fin de utilizarlas para su herramienta de sugerencias para etiquetar.

Finalmente, después de una disputa judicial de casi cinco años, hace unas semanas la compañía que dirige Mark Zuckerberg informó de que se había llegado a un pacto con los demandantes. En dicho acuerdo extrajudicial se les ofrece pagarles 550 millones de dólares por haber usado sus datos biométricos sin permiso para sistemas de reconocimiento facial.

Pero ¿qué está haciendo Facebook actualmente con el reconocimiento facial?

Publicado en Blog

En nuestra última publicación del blog (ver aquí), hemos analizado los informes mensuales emitidos por la Agencia Española de Protección de Datos (AEPD), respecto a las notificaciones de brechas de seguridad que ha recibido hasta el mes de noviembre del ya pasado año 2019. De tal análisis, hemos concluido que, de las 1296 notificaciones de brechas de seguridad recibidas, sólo 79 se llegaron a trasladar a la Subdirección General de Inspección de Datos para el esclarecimiento de los hechos y que, no obstante, se llegaron a archivar la mayor parte de las actuaciones, al haberse analizado tanto la diligencia de responsables y encargados, como las medidas que han sido aplicadas para evitar los posibles incidentes de seguridad (principio de responsabilidad proactiva).

La AEPD vuelve a reafirmarse en esta postura en una reciente resolución (PS/00305/2019), en la que, por el contrario, impone una sanción a una entidad la cual ha sufrido una brecha de seguridad, por considerar en este caso, que se ha producido una infracción del artículo 32 del Reglamento  General Europeo de Protección de Datos (RGPD), al no haberse aplicado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.

En concreto, la brecha de seguridad a la que nos referimos consistió, en la pérdida de seis pendrives sin cifrar, que contenían datos personales de aproximadamente once mil personas. Este incidente tuvo lugar en la sede uno de los sindicatos más representativos, que se situaba dentro del edificio de la empresa, y le ocurrió precisamente a un Delegado de sección sindical, que por tal condición, tenía acceso a la oficina, y cuya propiedad de los pendrives ostentaba. Por ello, pese a que se trate de un trabajador de la empresa, la información no se ha visto afectada dentro de sus funciones como trabajador, sino como Delegado Sindical.

En primer lugar, debemos hacer referencia a que la empresa ha alegado que, la pérdida de los dispositivos de almacenamiento no ha sido en ningún caso consecuencia de una actitud negligente por su parte puesto que, la comunicación de los datos a los sindicatos está legitimada en el artículo 6.1 c) del RGPD, siendo el tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento (Ley Orgánica 11/1985, de 2 de agosto, de Libertad Sindical). Además, hace hincapié en que, en dicha remisión, se han guardado todas las medidas de seguridad necesarias y que, de todas formas, ella no tiene ninguna potestad para decidir acerca de cómo tratar los datos, ni les da instrucciones a los sindicatos acerca de cómo tratar los mismos, puesto que precisamente se trata de una comunicación y no de un acceso a datos por cuenta de un tercero, propio de una relación responsable – encargado del tratamiento.

No obstante, pese a las alegaciones formuladas por la entidad y, tratarse de dos responsables del tratamiento totalmente independientes la AEPD ha sancionado únicamente a la empresa, considerando a ésta la única responsable de la infracción, resultando curiosa esta decisión de la AEPD a la hora de sancionar únicamente a la entidad, principalmente por no justificar o entrar a valorar sus alegaciones, y determinar realmente quien es el responsable del tratamiento en este caso, máxime cuando la brecha ha sido notificada tanto por la empresa como por el sindicato.

En segundo lugar, respecto a la imposición de la multa administrativa en sí misma, la AEPD en virtud del artículo 83.2 del RGPD y atendiendo al caso concreto, ha tenido en cuenta dos factores agravantes y uno atenuante a la hora de determinar la cuantía de la misma:

Publicado en Blog

Recién estrenado el 2020 y como en años anteriores la Unidad de Evaluación y Estudios Tecnológicos de la Agencia Española de Protección de Datos emite un informe anual en el que se resumen las características principales de las notificaciones de brechas de seguridad recibidas por la Agencia Española de Protección de Datos (AEPD) en virtud del artículo 33 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE ( en adelante RGPD).

Pues bien, a la espera de que la AEPD publique el correspondiente informe anual y en base a los datos extraídos de los informes mensuales emitidos hasta el mes de noviembre de este último año tan sólo 79 de las 1296 notificaciones de brecha de seguridad han sido trasladadas a la Subdirección General de Inspección de Datos (en adelante SGID) para el esclarecimiento de los hechos al apreciar la existencia de riesgo alto para los derechos y libertades de los ciudadanos o que se requiere una investigación adicional para determinar la existencia de dicho riesgo.

 
 BRECHAS NOTIFICADAS ANTE LA AEPD    TRASLADADAS A SGID
 Enero 78  8
 Febrero 101  13
 Marzo 113  3
 Abril 95  7
 Mayo 84  0
 Junio 92  15
 Julio 83  14
 Agosto 42  0
 Septiembre 133  8
 Octubre 266  7
Noviembre 209  4
TOTAL 1296  79

¿Pero cómo determinar si existe un riesgo alto para los derechos y libertades de los ciudadanos?

Publicado en Blog

En la actualidad, todos estamos acostumbrados a realizar compras a través de internet, pero en el periodo navideño en el que nos encontramos éstas se incrementan. Debido a lo anterior, es importante que seamos conscientes de que cuando tenemos un negocio online (e-commerce) estamos expuestos a sufrir ataques y violaciones de seguridad mediante nuestros sistemas informáticos.

Actualmente, la figura del ciberdelincuente, entendido como: aquella persona experta en alguna rama tecnológica que accede a un sistema informático o a informaciones ubicadas en dicho sistema o en la red de comunicaciones, no es desconocida para nadie.

Si bien es cierto que existen muchos más delitos, ataques y violaciones informáticas a las que nuestro negocio online puede estar expuesto, en el presente artículo nos vamos a centrar en el denominado E-Skimming.

Pero ¿qué es el E-Skimming?

El objetivo de los ciberdelincuentes con esta técnica no es otro que conseguir información tanto bancaria como personal de tiendas online legítimas, de tal manera que una vez que consiguen dicha información pasarán o bien a venderla en el mercado negro, o bien a utilizarla en su propio beneficio.

¿Cómo se produce el E-Skimming?

Lo primero que necesitan los ciberdelincuentes es poder acceder a la tienda online, para lo cual se aprovechan de las propias vulnerabilidades del gestor de contenidos, como puede ser el no tener una contraseña lo suficientemente robusta o no contar con las últimas actualizaciones de los sistemas utilizados, o a través de las ya más que conocidas campañas phishing. Una vez que se ha conseguido tener acceso a la tienda online, realizan las modificaciones necesarias de tal manera que cuando el cliente final realiza una compra e introduce sus datos, estos se visualicen tanto por el banco, como por el ciberdelincuente.

Este tipo de técnica afecta tanto a los comercios online que tienen la pasarela de pago integrada en su tienda, como a los que trabajan a través de la pasarela de pago de un tercero. La diferencia principal es que, en el primero de los supuestos, la información personal y bancaria de los clientes es gestionada internamente por el responsable de la tienda online, en el segundo de los supuestos, aunque la información bancaria no es gestionada directamente por el responsable, los datos de carácter personal pueden ser robados igualmente.  

¿Cómo podemos evitar o minimizar los riesgos de sufrir un ataque e-Skimming?

Publicado en Blog
Página 1 de 8

Nuestros Servicios

lopd

Protección de Datos

ver más +
Adec. web

Web, Apps, e-commerce

ver más +
compliance

Compliance

ver más +
mantenimiento

Seguridad de la información

ver más +
formacion

Formación

ver más +
play

prodat securityperson

DPD/DPO EXTERNALIZADO PRODAT EXTERNALIZACION DE LA FIGURA DEL DELEGADO DE PROTECIÓN DE DATOS

Prodat pone a su disposición el servicio de “DPO externalizado”. Prodat DPO realiza todas las funciones de obligado cumplimiento en algunas organizaciones públicas y privadas para que puedan concentrase en su negocio , con la tranquilidad de un servicio especializado...

prodatnou

NUEVA PLATAFORMA DE GESTION DE LA PRIVACIDAD PRODAT PRIVACY COREBOS

Como evolución natural de su anterior plataforma software de privacidad , surge para cumplir con las nuevas exigencias del RGPD Europeo
Con tecnología CoreBos y adaptada a las ventajas de los servicios en la nube. Esta herramienta constituye desde hace más de una década el corazón tecnológico de Prodat...

prodat securityformation

FORMACIÓN LA MEJOR HERRAMIENTA DE CUMPLIMIENTO RGPD

La finalidad esencial de la FORMACIÓN RGPD-PRODAT es difundir entre el personal de su organización la puesta en práctica de las reglas y procedimientos necesarios para el cumplimiento de lo establecido por la legislación vigente en materia de protección de datos principalmente adaptado a su sector de actividad...

Delegación  Galicia Delegación  Asturias Delegación Cantabria Delegación Euskadi Delegación Navarra Delegación  La Rioja Delegación Aragon Delegación Cataluña Delegación  Valencia Delegación Alicante Delegación Baleares Delegación Murcia Delegación  Castilla y León Delegación  Madrid Delegación  Castilla la Mancha Delegación  Extremadura Delegación Huelva Delegación  Cádiz Delegación Sevilla Delegación Málaga Delegación de Tenerife Delegación Las Palmas Delegación Portugal