TecnoLOPD

Amb l’auge de les noves tecnologies i la creixent globalització tecnològica que estem vivint, protegir les dades dels usuaris que accedeixen a qualsevol pàgina web esdevé una prioritat. La Llei Orgànica de Protecció de Dades de caràcter personal (LOPD), així com la Llei de Serveis de la Societat de la Informació (LSSI) estableixen unes condicions necessàries i d’obligat compliment per a tot aquell que reculli informació d’usuaris a través de qualsevol servei digital. A més, amb la recent aprovació del Reglament Europeu a protecció de Dades , la normativa es torna molt més restrictiva.

Tenir una pàgina web és molt comú avui dia. Gairebé qualsevol empresa que ofereix productes o serveis compta amb un portal en línia, a través del qual es dóna a conèixer. Això ha obligat a les administracions a establir alguns requisits indispensables per a garantir la privacitat dels usuaris que accedeixen a aquestes pàgines.

Adaptar una pàgina web a la LOPD pot resultar una feina tediosa, però és necessària si es volen evitar les sancions que l’Agència Espanyola de Protecció de Dades (AEPD) pot establir. Per això, a vegades és convenient contractar professionals externs que realitzin l’adaptació de forma segura. En aquest sentit, el programari de TecnoLOPD és una solució econòmica, fiable i ràpida per a l’adaptació i manteniment de qualsevol mitjà a la LOPD.

La finalitat de l’adaptació de la pàgina en línia a la LOPD

La finalitat última a l’hora de adaptar una web a la Llei de protecció de dades de Caràcter Personal és, com el seu propi nom indica, la protecció de les dades dels usuaris. Aquestes dades es basen en informació personal , que pot servir a l’empresa a l’hora de fer les seves vendes o oferir els seus productes o serveis mitjançant comunicacions electròniques de diversa índole.

La simple recollida del correu electrònic dels usuaris, molt habitual en els formularis de subscripció, requereix que es prenguin les mesures oportunes per salvaguardar tota la informació de tot aquell que accedeix a la pàgina web. Òbviament, si el portal en línia és un ecommerce , que realitza vendes a través d’Internet , el nivell de protecció ha de ser molt més elevat. Cal tenir en compte que, en aquest tipus de negocis, es realitzen transaccions econòmiques i això comporta unes obligacions per part del propietari de la pàgina. Per això, qualsevol botiga online està obligada a prestar especial atenció a l’adaptació del seu negoci a la LOPD, protegint sempre les dades dels seus clients de la forma més exhaustiva possible.

Totes les dades que es recullen dels usuaris han de ser degudament arxivats en els fitxers oportuns que, òbviament, s’han de comunicar a la AEPD de forma òptima. A més, la pàgina web tindrà l’obligació de seguir tota la normativa vigent pel que fa a tractament de dades i, per descomptat, ha d’informar i avisar a l’usuari que la seva informació s’està emmagatzemant per tal concret que tinguin. Per tant, és important que s’informi correctament dels drets ARCO , és a dir, els drets d’accés, rectificació, cancel·lació o oposició.

En el proper article explicarem detalladament els passos a seguir per adaptar una pàgina web a la Llei Orgànica de Protecció de Dades (LOPD).

* Avís legal: aquest article és propietat en exclusiva de TecnoLOPD. No està permesa la seva reproducció total o parcial sense el consentiment previ del propietari.

El passat mes de juliol, l’operador turístic britànic Low Cost Travel Group va trencar irremeiablement, deixant a milers d’usuaris afectats. Més de 120.000 viatgers que havien escollit aquesta agència de viatges per emprendre les seves vacances es van trobar amb reserves que no podien ser assumides, pel fet que l’agència no va poder fer front als pagaments de les mateixes.

Amb un procés de fallida dràstic, els administradors concursals han hagut de buscar solucions per a poder fer front als milers de creditors que s’han quedat sense cobrar. Per això, van buscar opcions per vendre els seus actius . El problema és que no compten amb molts que siguin vendibles. A finals de setembre la notícia més destacable era que la Llei Orgànica de Protecció de Dades espanyola els impedia vendre les seves bases de dades de clients a altres operadors turístics.

Els administradors de Low Cost Travel Group atribueixen això a les àmplies restriccions d’una llei, que impedeix aquestes pràctiques, poc ètiques per a la Agència de Protecció de Dades . Cal tenir en compte que aquesta agència de viatges operava majoritàriament a Balears, per la qual cosa gran part dels clients de les seves bases de dades estaven a Espanya. Aquest fet els obliga a contractar la LOPD , per tal d’evitar sancions per part de l’AEPD.

El cas de Low Cost Travel Group va tornar a obrir la polèmica sobre la venda de bases de dades de clients i aquest tipus de pràctiques. Això no obstant, navegant per Internet podem ser testimonis del que és habitual que resulta trobar empreses que venen bases de dades d’e-mails . Però, és importantíssim tenir clar que això no és per res legal.

La venda de bases de dades de clients: un negoci opac

En primer lloc, és important tenir clara quina és la procedència d’aquestes bases de dades d’e-mails que s’ofereixen a tort ia dret a través de La Xarxa. Com s’han aconseguit aquests correus ?, ¿Els usuaris han donat el seu consentiment? Malgrat que les respostes garanteixin que tot s’ha dut a terme seguint les normes estrictes que estableix la LOPD, mai podran ser traspassades o venudes a altres empreses.

El nostre consell és que mai es compri una base de dades de clients. Aquesta és l’única forma de evitar les sancions de l’Agència Espanyola de Protecció de Dades. Si un únic client denuncia el fet davant l’AEPD, el expedient sancionador s’obrirà i en comprovar la procedència de les dades, la sanció estarà garantida.

Per dur a terme campanyes de email màrqueting és essencial comptar amb el consentiment exprés del client en qüestió. A més, aquest ha d’estar perfectament informat de l’ús i tractament que s’ha de donar a les dades. Com és d’esperar, si has obtingut un consentiment per enviar ofertes del teu negoci de fruites i verdures, mai podràs enviar un correu des d’una empresa de cotxes a aquest client.

Vulnerar la normativa que estableix la Llei Orgànica de Protecció de Dades comporta sancions importants . Per tant, l’única forma de comptar amb una base de dades de clients legal és apostant per crear-la en l’entorn apropiat. Per a això, és essencial que l’usuari del seu consentiment i estigui perfectament informat dels seus drets i obligacions, segons dictamina la LOPD. Aquestes bases de dades han d’estar registrades davant l’AEPD .

 

* Avís legal: aquest article és propietat en exclusiva de TecnoLOPD. No està permesa la seva reproducció total o parcial sense el consentiment previ del propietari.

L’entrada en vigor del nou Reglament Europeu de Protecció de Dades de caràcter personal ja està deixant les primeres reaccions per garantir el seu compliment. Si bé és cert que l’obligatorietat del seu compliment no es farà efectiva fins d’aquí a uns mesos, ja podem parlar del primer codi de conducta d’empreses que proveeixen de serveis en el núvol per satisfer el nou marc europeu .

Va ser el passat mes de setembre quan CISPE ( Cloud Infrastructure Services Provides in Europe ) va mostrar a l’opinió pública aquest codi de conducta en matèria de protecció de dades , al qual s’han acollit ja vint de les empreses que formen aquesta associació. El compromís que adquireixen aquestes empreses és el de no utilitzar les dades dels seus clients amb fins lucratius , ni crear perfils amb ells. És a dir, es comprometen a no comercialitzar-les de cap manera per obtenir rèdits propis.

El Reglament europeu de Protecció de Dades deixa clar que l’usuari sempre serà el propietari final de la seva informació personal . O sigui, ell serà el que tingui la decisió última sobre què es pot fer i què no es pot fer amb les seves dades personals. A més, aquesta nova norma és especialment sensible amb les dades que s’aporten a través d’Internet . Per aquest motiu aquest codi de conducta sigui un pas en ferm molt important per al seu compliment.

Claus del codi de conducta de Protecció de Dades

Anticipant-a l’obligat compliment del reglament europeu, CISPE possibilita un entorn segur per a les dades personals . D’aquesta manera, els clients de cada empresa poden processar les seves dades i exigir que s’emmagatzemin exclusivament en els servidors en països de la Unió Europea . Òbviament, això suposa una garantia de protecció , ja que hauran de sotmetre al marc europeu en tot moment.

Les empreses que ofereixen infraestructures en el núvol asseguren que no volen tenir accés a les dades dels seus clients, per això facilitaran en tot moment la ubicació de les instal·lacions en què s’emmagatzemen aquesta informació. Així el client tindrà constància en tot moment de quina és la normativa que s’ha d’aplicar en el tractament de les dades de caràcter personal.

No obstant això, CISPE assegura que no depèn únicament d’ells el compliment del nou reglament, ja que són els seus clients els que, en última instància, deuen garantir el correcte ús de les dades personals que es faciliten en línia.

Per això, les xarxes socials, aplicacions o empreses que fan servir aquests serveis en el núvol s’hauran de comprometre per evitar allunyar-se de les bases de protecció que estableix el nou marc. El que sí que poden assegurar aquestes empreses és que la infraestructura que es posa al servei del client és completament segura i està òptimament adequada al que estableix el reglament europeu. Sens dubte, aquest nou codi de conducta de protecció de dades és només una de les primeres reaccions davant la nova situació legal

En el primer lliurament sobre la Avaluació d’Impacte en Protecció de Dades (EIPD) ens dediquem a definir el concepte i les claus bàsiques per dur-la a terme. Avui anem a endinsar-nos una mica més davant la obligatorietat d’establir una EIPD adequada per a les empreses o organitzacions.

Les fases de l’Avaluació d’Impacte en Protecció de Dades són diverses. En primer lloc, cal tenir en compte quins aspectes hem de tractar i com arribar-hi. En el document que la AEPD ha establert per orientar les empreses sobre aquesta EIPD es poden llegir totes les claus per crear una avaluació d’impacte òptima. No obstant això, aquí anem a repassar els aspectes fonamentals.

Fases per a l’Avaluació d’Impacte en Protecció de Dades

1. Anàlisi de la necessitat

A la lliurament anterior sobre EIPD especifiquem quines empreses o organitzacions han de acollir-se a l’Avaluació d’Impacte en Protecció de Dades. En aquesta fase inicial cal realitzar una petita reflexió per tenir clara la necessitat de comptar amb una EIPD. En el cas que el tractament de les dades no sigui massiu o l’empresa no necessiti explotar les dades de tercers, és possible que l’avaluació d’impacte no hagi de ser tan exhaustiva.

2. Descripció del projecte

En una segona instància és important comprovar quins són els riscos que podran en escac la privacitat de les dades de tercers. Aquí cal estudiar bé els objectius del negoci, qui seran actors implicats , què categories de dades es tracten, les tecnologies que es fan servir per a això i les comunicacions amb tercers, entre d’altres aspectes.

Una descripció detallada dels riscs és fonamental per tenir clars els aspectes que afectaran a la privacitat.

3. Definir els riscos

Amb la informació aportada en la fase anterior, és el moment d’identificar clarament els riscos en el tractament de les dades als quals s’exposa l’empresa. Segons el document que presenta l’AEPD , aquests riscos poden ser de dos tipus:

– Els que afecten persones : riscos que puguin vulnerar els seus drets.

– Els que afecten la empresa : aquells que es deriven de no implementar una correcta política de protecció de dades, en funció del que dicta la legalitat vigent.

4. Gestió dels riscos

Després d’identificar els riscos, el pas següent per garantir la correcta avaluació d’impacte en Protecció de Dades, serà la gestió dels mateixos. Per a això és imprescindible recórrer a consultes internes i externes amb els actors implicats. Després d’això caldrà determinar quins tipus de controls i mesures es van a implementar.

5. Analitzar el compliment de la norma

En aquesta fase de la EIPD cal verificar que tot el contingut que s’està desenvolupant compleix degudament amb la legalitat . En aquest punt cal tenir en compte el sector per al qual s’està creant l’avaluació d’impacte, ja que és possible que els requisits legals pel que fa al tractament de dades siguin de major o menor nivell.

6. Creació de l’informe final

En aquest informe cal detallar degudament els riscos que s’han trobat, així com les recomanacions perquè la seva gestió i eliminació sigui dràstica. Aquest informe s’ha d’enviar a l’adreça de l’empresa o organització. A més, la difusió , total o parcial, és important.

7. Implantar recomanacions

Després que la direcció de l’empresa hagi revisat completament l’informe elaborat, haurà de prendre les mesures oportunes per al seu compliment. A més, és fonamental que designi a responsable de l’avaluació d’impacte , perquè garanteixi el compliment de tot el detallat en l’informe final.

8. Revisió constant

Després tot el procés de l’Avaluació d’Impacte, cal analitzar degudament el resultat final . D’aquesta manera es podrà comprovar l’efectivitat de tot el treball, així com si han aparegut riscos nous . L’actualització constant d’aquesta EIPD és fonamental per garantir la protecció de dades de tercers.

 

* Avís legal: aquest article és propietat en exclusiva de TecnoLOPD. No està permesa la seva reproducció total o parcial sense el consentiment previ del propietari.

Amb la recent aprovació del Nou Reglament Europeu de Protecció de Dades , s’han sumat algunes obligacions que, fins ara, no estaven contemplades en la nostra Llei Orgànica de Protecció de dades. Una d’aquestes novetats és la necessària realització d’una Avaluació d’Impacte en Protecció de Dades . Parell explicar què és això i com ha de posar-se en pràctica realitzarem una sèrie d’articles que ens facilitin les claus bàsiques per a això.

La pròpia Agència Espanyola de Protecció de Dades (AEPD) ha dissenyat un manual , disponible en línia, per dur a terme una Avaluació d’Impacte (EIPD) consensuada i encertada. La base d’aquesta necessitat rau en els canvis a què ens enfrontem, amb l’alta participació de les noves tecnologies a la vida quotidiana. Les dades de caràcter personal assoleixen valors econòmics mai abans vistos i això obliga les empreses i institucions a no sortir-gens ni mica del marc legal establert.

Definició de l’Avaluació d’Impacte en Protecció de Dades

Per deixar clar què és això de l’Avaluació d’Impacte és interessant començar per definir el concepte . Segons la pròpia AEPD, es tracta d’una anàlisi exhaustiva dels riscos que pot aportar un servei o producte pel que fa a la protecció de dades personals dels usuaris. Però la cosa no queda aquí, ja que a més d’analitzar aquest impacte és important crear tips per a una gestió òptima, que permetin identificar els riscos i prendre les mesures oportunes per eliminar de soca-rel.

Un dels avantatges de realitzar una EIPD rau en l’estalvi econòmic. Òbviament, realitzar l’Avaluació d’Impacte prèvia evitarà haver de realitzar un procés tediós sobre un negoci ja creat. A més, en el marc del nou Reglament europeu de Protecció de Dades això és obligatori, per la qual cosa anticipar pot evitar sancions i multes per part de l’AEPD.

L’obligació de realitzar una EIPD

L’article 35 del famós Reglament Europeu , d’obligada aplicació a tota la UE, parla precisament d’aquesta obligació de realitzar una Avaluació d’Impacte en Protecció de Dades personals. Però, qui està obligat a això? Bé, ja que qualsevol empresa o negoci que compti amb un tractament de les dades que presentin un risc elevat pel que fa a drets i llibertats de les persones.

El responsable de tractament , en col·laboració amb el delegat de protecció de dades , serà l’encarregat de realitzar aquesta EIPD i garantir les gestions oportunes per a salvaguardar les dades personals. A més, un dels punts clau és l’obligatorietat de seguir un sistema d’observació de forma constant, que garanteixi que les dades estan degudament protegits.

El resultat final de l’Avaluació d’Impacte deu ser un complet document en el qual es detallin totes les especificitats exigides pel nou reglament, que l’AEPD dóna suport completament. Aquest document ha de distribuir-se i publicitar-perquè els usuaris tinguin ple coneixement del tractament que es donarà a les seves dades personals.

& Nbsp;

* Avís legal: aquest article és propietat en exclusiva de TecnoLOPD. No està permesa la seva reproducció total o parcial sense el consentiment previ del propietari.

Fa uns dies va veure la llum una notícia que molt té a veure amb la destrucció de fitxers amb dades de caràcter personal. Concretament, la Agència Espanyola de Protecció de Dades (AEPD), ha sancionat a Institucions Penitenciàries per l’abandonament de fitxers amb dades personals dels reclusos en una antiga presó de Huelva.

Aquesta presó es va tancar l’any 2008 i avui dia l’edifici està en total estat d’abandó. Pel que sembla, pel terra d’algunes de les estances de la presó es van trobar nombrosos documents amb dades i informes sobre reclusos. L’AEPD ha estipulat que es tracta d’una falta greu .

La investigació sobre aquest cas part del passat mes de febrer, quan l’Agència decideix actuar d’ofici per solucionar l’assumpte. Després de realitzar les indagacions pertinents i comprovar la gravetat de l’assumpte, s’ha imposat una sanció a Institucions Penitenciàries per que no torni a succeir un fet d’aquestes característiques. No obstant això, cal destacar que l’AEPD no imposa sanció econòmica a les administracions públiques . Per tant, és merament un toc d’atenció.

Malgrat que Institucions Penitenciàries no estigui obligada a fer front al pagament d’una multa econòmica, no passaria el mateix si la sanció hagués estat interposada a una empresa privada . Per tant, ens sembla important i necessari ressaltar la importància de la destrucció de fitxers amb dades personals antics.

La LOPD sobre la destrucció de fitxers

La Llei Orgànica de Protecció de Dades de Caràcter Personal és clara enfront d’aquest punt. Tots els fitxers, de qualsevol suport, que continguin dades de persones han de ser destruïts de forma eficaç. És a dir, és primordial que la informació sigui irrecuperable .

En aquest sentit, la LOPD estableix diferents tipus de fitxers, concretament 6. Entre ells destaquen els documents en paper , en suports òptics, suports magnètics o electrònics .

En el cas dels documents en paper, com els trobats a la presó de Huelva, deuen ser perfectament destruïts. Per a això, les trituradores de paper són una bona eina. Tot i que en cas de necessitar eliminar quantitats ingents de documents, recórrer a empreses específiques per a això és una bona solució. La crema de papers ens sembla una opció poc pràctica i perillosa, pel que a nosaltres la desaconsellem.

Si estem davant CD amb dades , DVD, discs durs , USBs, etc. És important realitzar un esborrat d’informació. No obstant, en el cas que això no sigui possible, caldrà inutilitzar els dispositius . Un martell és una bona eina per aconseguir-ho.

L’objectiu principal és evitar que un tercer pugui tenir accés a la informació personal emmagatzemada en qualsevol tipus de suport. I, òbviament, evitar les possibles sancions per part de l’Agència Espanyola de Protecció de Dades.

Les xarxes socials formen part de la nostra vida quotidiana i això fa que les grans companyies s’afanyin a buscar noves tècniques i mètodes per treure el màxim rendiment que es pot donar a aquest tipus de serveis. En aquest sentit, des que la gran xarxa social, Facebook , es va fer amb les accions del sistema de missatgeria instantània més utilitzat en el món, WhatsApp , les accions i canvis sobre la privacitat no han deixat de succeir-se.

El cas més recent és l’últim canvi sobre les polítiques de privacitat i termes de servei que tots els usuaris de WhatsApp han hagut d’acceptar per continuar gaudint de l’aplicació. Si bé és cert que la companyia va oferir un termini de trenta dies als usuaris per dir que “NO” als seus noves polítiques , han estat moltíssims els clients d’aquest sistema els que han acceptat les noves bases sense conèixer exactament l’ús que tindran les seves dades.

El que has de conèixer sobre les noves polítiques de privacitat de WhatsApp

A finals del passat mes d’agost, WhatsApp va anunciar un canvi important en els seus termes de servei. El que es pretén és aconseguir una col·laboració més gran i estreta amb Facebook. Això s’aconsegueix connectant el número de telèfon de cada usuari amb la xarxa social. Les explicacions de la companyia de Zuckerberg passen per assegurar que el que es pretén és millorar l’experiència dels usuaris a tots els nivells.

Un dels objectius principals d’aquesta acció és que els usuaris de les dues aplicacions puguin comunicar-se activament amb marques comercials , a més de amb els seus contactes habituals. Òbviament, per aconseguir això ha estat necessari gestionar un important canvi en les polítiques de privacitat de l’empresa.

Segons Facebook, malgrat que WhatsApp col·labori de forma activa amb la xarxa social, les dades dels quals mai es vendran ni seran compartides amb tercers, ni tan sols amb el propi Facebook. El principal ús que es donaran a aquestes dades té la seva explicació en les estadístiques que obtindrà la companyia de cara a oferir una experiència personalitzada . D’aquesta manera, els anuncis que mostren a través de la xarxa social seran molt més acords a les necessitats i gustos de cada client.

D’altra banda, cal destacar que tots els missatges que es difonen a través de WhatsApp compten amb un sistema de xifrat , que evita que cap tercer tingui accés. És a dir, cada missatge és totalment confidencial.

Malgrat totes les explicacions de WhatsApp i Facebook, que asseguren que la confidencialitat de les dades personals dels seus usuaris està totalment garantida, la Agència Espanyola de Protecció de Dades està analitzant tots els canvis en els termes de servei de l’aplicació de missatgeria per conèixer quin impacte tindrà això sobre la seguretat i la privacitat.

Les noves tecnologies evolucionen a passos de gegant. Això fa que moltes de les lleis vigents en matèria de protecció de dades hagin quedat totalment obsoletes. De fet, el nou Reglament Europeu de Protecció de Dades, s’ha dut a terme per poder assumir totes les novetats digitals i tecnològiques. Aquest reglament deroga la directiva europea de l’any 1955, que havia quedat totalment desfasada. Tanmateix, la nova norma no compta amb cap apartat específic per a les dades personals que poden demanar els drons.

Els experts en protecció de dades asseguren que no és el moment de crear lleis més específiques, ja que el nou reglament europeu ja contempla diverses situacions i els drets i obligacions que cada ciutadà té davant de les dades de caràcter personal.

Dades captades per drons

Un dron és una aeronau de mida reduïda, capaç d’obtenir tot tipus de dades. Vídeo, àudio i imatges poden ser arxivades per aquests petits aparells, que són capaços de passar desapercebuts davant l’ull humà. De fet, el que més preocupa les autoritats i als ciutadans és això. En moltes ocasions, un dron pot estar actuant sense que ningú ho hagi detectat i, òbviament, s’estaria generant una intromissió en la intimitat i els drets d’aquells que estiguin sent gravats.

A Espanya ja són gairebé 2.000 els drons registrats. Però el més important és que estem davant xifres que creixen de manera vertiginosa. S’espera que, en menys de quatre anys, les vendes de drons es quadrupliquin. Des de l’Agència Espanyola de Protecció de Dades (AEPD) asseguren que poder protegir les dades dels ciutadans s’ha convertit en una prioritat extrema.

En aquest sentit, des de les autoritats competents en aquesta matèria, s’explica clarament que qualsevol persona que piloti 1 dron a control remot ha d’informar del que està fent. Exactament igual que en tot espai, públic o privat, en el qual hi ha col·locades càmeres de seguretat és imprescindible informar al ciutadà que les seves imatges estan sent preses i gravades, els usuaris de drones haurien de fer el mateix.

El problema, en aquest sentit, recau en la forma en què els responsables han d’informar la ciutadania. Per això, l’AEPD ha establert la necessitat de fer-ho a través de vies com els cartells, les xarxes socials o el lliurament de fullets aclaridors. Si el ciutadà ha estat degudament informat, podrà exercir els seus drets d’accés, cancel·lació o oposició, en el cas que desitgi que les seves dades siguin eliminats de qualsevol arxiu que generin els drons.

Els organismes encarregats de la protecció de dades de caràcter personal asseguren que és molt important que els mateixos ciutadans sàpiguen que s’està realitzant un ús fraudulent d’aquestes aeronaus, ho posin en coneixement de les autoritats competents. Segons l’Agència Espanyola de Protecció de Dades, en poc més d’un any es van denunciar 150 usuaris de drons, que no estaven complint amb la normativa vigent en qüestions de seguretat i protecció de dades.