Autor: TecnoLOPD

Fa uns dies va veure la llum una notícia que molt té a veure amb la destrucció de fitxers amb dades de caràcter personal. Concretament, la Agència Espanyola de Protecció de Dades (AEPD), ha sancionat a Institucions Penitenciàries per l’abandonament de fitxers amb dades personals dels reclusos en una antiga presó de Huelva.

Aquesta presó es va tancar l’any 2008 i avui dia l’edifici està en total estat d’abandó. Pel que sembla, pel terra d’algunes de les estances de la presó es van trobar nombrosos documents amb dades i informes sobre reclusos. L’AEPD ha estipulat que es tracta d’una falta greu .

La investigació sobre aquest cas part del passat mes de febrer, quan l’Agència decideix actuar d’ofici per solucionar l’assumpte. Després de realitzar les indagacions pertinents i comprovar la gravetat de l’assumpte, s’ha imposat una sanció a Institucions Penitenciàries per que no torni a succeir un fet d’aquestes característiques. No obstant això, cal destacar que l’AEPD no imposa sanció econòmica a les administracions públiques . Per tant, és merament un toc d’atenció.

Malgrat que Institucions Penitenciàries no estigui obligada a fer front al pagament d’una multa econòmica, no passaria el mateix si la sanció hagués estat interposada a una empresa privada . Per tant, ens sembla important i necessari ressaltar la importància de la destrucció de fitxers amb dades personals antics.

La LOPD sobre la destrucció de fitxers

La Llei Orgànica de Protecció de Dades de Caràcter Personal és clara enfront d’aquest punt. Tots els fitxers, de qualsevol suport, que continguin dades de persones han de ser destruïts de forma eficaç. És a dir, és primordial que la informació sigui irrecuperable .

En aquest sentit, la LOPD estableix diferents tipus de fitxers, concretament 6. Entre ells destaquen els documents en paper , en suports òptics, suports magnètics o electrònics .

En el cas dels documents en paper, com els trobats a la presó de Huelva, deuen ser perfectament destruïts. Per a això, les trituradores de paper són una bona eina. Tot i que en cas de necessitar eliminar quantitats ingents de documents, recórrer a empreses específiques per a això és una bona solució. La crema de papers ens sembla una opció poc pràctica i perillosa, pel que a nosaltres la desaconsellem.

Si estem davant CD amb dades , DVD, discs durs , USBs, etc. És important realitzar un esborrat d’informació. No obstant, en el cas que això no sigui possible, caldrà inutilitzar els dispositius . Un martell és una bona eina per aconseguir-ho.

L’objectiu principal és evitar que un tercer pugui tenir accés a la informació personal emmagatzemada en qualsevol tipus de suport. I, òbviament, evitar les possibles sancions per part de l’Agència Espanyola de Protecció de Dades.

Les xarxes socials formen part de la nostra vida quotidiana i això fa que les grans companyies s’afanyin a buscar noves tècniques i mètodes per treure el màxim rendiment que es pot donar a aquest tipus de serveis. En aquest sentit, des que la gran xarxa social, Facebook , es va fer amb les accions del sistema de missatgeria instantània més utilitzat en el món, WhatsApp , les accions i canvis sobre la privacitat no han deixat de succeir-se.

El cas més recent és l’últim canvi sobre les polítiques de privacitat i termes de servei que tots els usuaris de WhatsApp han hagut d’acceptar per continuar gaudint de l’aplicació. Si bé és cert que la companyia va oferir un termini de trenta dies als usuaris per dir que «NO» als seus noves polítiques , han estat moltíssims els clients d’aquest sistema els que han acceptat les noves bases sense conèixer exactament l’ús que tindran les seves dades.

El que has de conèixer sobre les noves polítiques de privacitat de WhatsApp

A finals del passat mes d’agost, WhatsApp va anunciar un canvi important en els seus termes de servei. El que es pretén és aconseguir una col·laboració més gran i estreta amb Facebook. Això s’aconsegueix connectant el número de telèfon de cada usuari amb la xarxa social. Les explicacions de la companyia de Zuckerberg passen per assegurar que el que es pretén és millorar l’experiència dels usuaris a tots els nivells.

Un dels objectius principals d’aquesta acció és que els usuaris de les dues aplicacions puguin comunicar-se activament amb marques comercials , a més de amb els seus contactes habituals. Òbviament, per aconseguir això ha estat necessari gestionar un important canvi en les polítiques de privacitat de l’empresa.

Segons Facebook, malgrat que WhatsApp col·labori de forma activa amb la xarxa social, les dades dels quals mai es vendran ni seran compartides amb tercers, ni tan sols amb el propi Facebook. El principal ús que es donaran a aquestes dades té la seva explicació en les estadístiques que obtindrà la companyia de cara a oferir una experiència personalitzada . D’aquesta manera, els anuncis que mostren a través de la xarxa social seran molt més acords a les necessitats i gustos de cada client.

D’altra banda, cal destacar que tots els missatges que es difonen a través de WhatsApp compten amb un sistema de xifrat , que evita que cap tercer tingui accés. És a dir, cada missatge és totalment confidencial.

Malgrat totes les explicacions de WhatsApp i Facebook, que asseguren que la confidencialitat de les dades personals dels seus usuaris està totalment garantida, la Agència Espanyola de Protecció de Dades està analitzant tots els canvis en els termes de servei de l’aplicació de missatgeria per conèixer quin impacte tindrà això sobre la seguretat i la privacitat.

Les noves tecnologies evolucionen a passos de gegant. Això fa que moltes de les lleis vigents en matèria de protecció de dades hagin quedat totalment obsoletes. De fet, el nou Reglament Europeu de Protecció de Dades, s’ha dut a terme per poder assumir totes les novetats digitals i tecnològiques. Aquest reglament deroga la directiva europea de l’any 1955, que havia quedat totalment desfasada. Tanmateix, la nova norma no compta amb cap apartat específic per a les dades personals que poden demanar els drons.

Els experts en protecció de dades asseguren que no és el moment de crear lleis més específiques, ja que el nou reglament europeu ja contempla diverses situacions i els drets i obligacions que cada ciutadà té davant de les dades de caràcter personal.

Dades captades per drons

Un dron és una aeronau de mida reduïda, capaç d’obtenir tot tipus de dades. Vídeo, àudio i imatges poden ser arxivades per aquests petits aparells, que són capaços de passar desapercebuts davant l’ull humà. De fet, el que més preocupa les autoritats i als ciutadans és això. En moltes ocasions, un dron pot estar actuant sense que ningú ho hagi detectat i, òbviament, s’estaria generant una intromissió en la intimitat i els drets d’aquells que estiguin sent gravats.

A Espanya ja són gairebé 2.000 els drons registrats. Però el més important és que estem davant xifres que creixen de manera vertiginosa. S’espera que, en menys de quatre anys, les vendes de drons es quadrupliquin. Des de l’Agència Espanyola de Protecció de Dades (AEPD) asseguren que poder protegir les dades dels ciutadans s’ha convertit en una prioritat extrema.

En aquest sentit, des de les autoritats competents en aquesta matèria, s’explica clarament que qualsevol persona que piloti 1 dron a control remot ha d’informar del que està fent. Exactament igual que en tot espai, públic o privat, en el qual hi ha col·locades càmeres de seguretat és imprescindible informar al ciutadà que les seves imatges estan sent preses i gravades, els usuaris de drones haurien de fer el mateix.

El problema, en aquest sentit, recau en la forma en què els responsables han d’informar la ciutadania. Per això, l’AEPD ha establert la necessitat de fer-ho a través de vies com els cartells, les xarxes socials o el lliurament de fullets aclaridors. Si el ciutadà ha estat degudament informat, podrà exercir els seus drets d’accés, cancel·lació o oposició, en el cas que desitgi que les seves dades siguin eliminats de qualsevol arxiu que generin els drons.

Els organismes encarregats de la protecció de dades de caràcter personal asseguren que és molt important que els mateixos ciutadans sàpiguen que s’està realitzant un ús fraudulent d’aquestes aeronaus, ho posin en coneixement de les autoritats competents. Segons l’Agència Espanyola de Protecció de Dades, en poc més d’un any es van denunciar 150 usuaris de drons, que no estaven complint amb la normativa vigent en qüestions de seguretat i protecció de dades.

Amb l’entrada en vigor del nou Reglament Europeu de Protecció de Dades, apareixen algunes novetats d’obligat compliment. Una d’elles és la nova figura del delegat de protecció de dades. Tenint en compte que el Reglament està en aquest període transitori de dos anys perquè totes les empreses i organismes de la UE ho posin en pràctica, és important comprendre quines novetats caldrà anar implementant per evitar futures sancions.

Cal destacar que aquest nou Reglament deroga la directiva europea de 1995 en matèria de protecció de dades. A més, és d’obligat compliment per a totes les empreses, organitzacions i organismes públics de la Unió Europea. De fet, no cal que a escala nacional es redacti una llei per posar-lo en marxa, ja que no es tracta d’una directiva.

En els articles 37 a 39 d’aquest nou Reglament Europeu de Protecció de Dades es detalla la incorporació de la figura del delegat de protecció de dades. Però, sabem realment quines són les seves funcions?
Les funcions del delegat de protecció de dades

El delegat de protecció de dades o DPO (per les seves sigles en anglès) ha d’estar especialitzat en dret de protecció de dades i estarà per sobre del responsable de tractament i l’encarregat de tractament de les dades. Les seves funcions són variades i molt importants:

Assessorament als encarregats del tractament de les dades personals sobre les seves obligacions davant el nou Reglament, així com les que s’esdevenen de la normativa nacional.
En el cas que les dades que es manegen siguin d’alt risc, haurà de realitzar un estudi d’impacte, assessorant els responsables sobre cada qüestió. A més, haurà de comprovar el seu compliment.
Tasques de supervisió a tots els nivells per assegurar-se que s’està posant en pràctica el nou Reglament Europeu en Protecció de Dades (tant en organismes públics com en empreses privades).
Funcionarà com a nexe d’unió entre els organismes públic i empreses amb l’Agència de Protecció de Dades.

A més, el delegat de protecció de dades podrà ser requerit pels titulars de les dades personals per a solucionar qualsevol dubte respecte al tractament de les seves dades.

És obligatori comptar amb aquesta figura?

La resposta és «sí». El delegat de protecció de dades és una nova figura que ha de constar, de forma obligatòria, en tots els organismes públics. A més, les empreses que es dediquin al tractament de dades massiu també hauran d’incorporar a un delegat en el seu organigrama.

D’altra banda, malgrat que el Reglament recomana incorporar aquesta nova figura a totes les empreses, no és obligatori per a aquelles PYMEs i altres organismes que la seva activitat principal no comporti un tractament de dades personals que requereixin un nivell de protecció alt.
Nomenament del delegat

És important tenir en compte que no cal que cada empresa o organització compti amb un delegat de protecció de dades independent. De fet, les administracions públiques poden tenir un mateix delegat per a diversos organismes. El mateix passa amb els grups empresarials. A més, aquells organismes que representin diferents empreses tindran la potestat de nomenar un delegat per a totes.

Òbviament, el delegat de protecció de dades pot formar part o no de la plantilla del negoci. Encara que és important que la independència d’aquesta figura estigui totalment garantida i no podrà ser destituït del seu càrrec per motius que pertoquin a l’acompliment de la seva tasca.

En aquesta era tan tecnològica en què tots els usuaris estem activament connectats és possible que s’ocasionin situacions nefastes com la suplantació d’identitat en línia. De fet, segons les dades registrades per l’Oficina de Seguretat de l’Internauta (OSI), les suplantacions d’identitat per Internet a Espanya van augmentar, el 2015, fins a un 178%, respecte a l’exercici anterior.

El més important és tenir clar com actuar davant d’aquest tipus de fraus, que s’executen vulnerant la intimitat i la pròpia imatge dels ciutadans. La suplantació d’identitat en línia es pot produir de diverses formes. Algunes són constitutives de delicte i altres no, però sempre s’estan infringint les bases de la LOPD.

Registrar un perfil fals en xarxes socials o en qualsevol altre servei en línia, en el qual es detalli nom o imatge d’un tercer és una vulneració clara de la Llei de Protecció de Dades. Però si en aquest perfil no s’estan fent servir dades relatives a la informació personal, no serà tingut en compte com a delicte.

D’altra banda, en el cas que s’incloguin dades personals, com el correu electrònic, número de telèfon, adreça, etc. estaríem davant d’un cas constitutiu de delicte. A més, si la persona usurpant fa servir la identitat d’un tercer per accedir a nombrosos serveis, estaríem davant greus casos d’usurpació d’identitat en línia. Segons l’article 18 de la Constitució espanyola, les penes de presó per aquests subjectes podrien arribar als tres anys.
Com prevenir la suplantació d’identitat en línia

La prevenció de la suplantació d’identitat per Internet és clau per evitar disgustos grans. Per a això és important tenir en compte els consells que ofereixen organismes com l’AEPD o l’OSI.

Contrasenyes online: les contrasenyes han de ser complicades, incloent-hi nombres, signes, majúscules i minúscules. A més, és convenient canviar-les cada cert període de temps.
Xarxes Wifi públiques: si es fa servir alguna connexió Wifi gratuïta, és important evitar enviar dades rellevants, perquè és possible que tota aquesta informació estigui sent controlada.
E-mails desconeguts: el banc mai demanarà claus i contrasenyes a través de correus electrònics. Per tant, en cas de rebre e-mails demanant informació personal, és important evitar enviar-la.
Contactes en Xarxes Socials: hi ha perfils en Xarxes Socials que resulten fraudulents i que només pretenen obtenir dades personals dels usuaris. Per tant, és important protegir les Xarxes Socials amb elevades mesures de seguretat i evitar afegir a contactes desconeguts.
Política de privacitat: abans d’omplir formularis d’inscripció a determinats serveis digitals és fonamental llegir bé la política de privacitat. Aquesta és l’única manera d’entendre què es farà amb les dades lliurades.
Passarel·les de pagament: les dades de la targeta de crèdit són especialment sensibles. Per tant, abans d’abonar qualsevol servei en línia cal assegurar-se que es tracta d’una passarel·la de pagament segura. A la barra d’adreces deu aparèixer un cadenat.

Actuar davant de la usurpació d’identitat

En el cas que ja s’hagi produït el frau i la suplantació d’identitat en línia és important actuar de forma ràpida. Si estem davant la creació d’un perfil fals en qualsevol xarxa social o pàgina web, caldrà denunciar el fet davant del propi servei. Cada empresa compta amb uns temps de resposta concrets.

Si no se soluciona satisfactòriament l’assumpte amb aquesta empresa, es pot recórrer a l’Agència Espanyola de Protecció de Dades, que està capacitada per actuar en aquests casos. A més, l’AEPD podrà interposar una multa econòmica si així ho considera oportú.

En el cas que la suplantació d’identitat comporti delicte és primordial acudir immediatament a les Forces i Cossos de Seguretat de l’Estat. Guardar qualsevol prova, com captures de pantalla, missatges, etc., és molt important perquè es pugui actuar de forma òptima.