Noticies RGPD

En el primer lliurament sobre la Avaluació d’Impacte en Protecció de Dades (EIPD) ens dediquem a definir el concepte i les claus bàsiques per dur-la a terme. Avui anem a endinsar-nos una mica més davant la obligatorietat d’establir una EIPD adequada per a les empreses o organitzacions.

Les fases de l’Avaluació d’Impacte en Protecció de Dades són diverses. En primer lloc, cal tenir en compte quins aspectes hem de tractar i com arribar-hi. En el document que la AEPD ha establert per orientar les empreses sobre aquesta EIPD es poden llegir totes les claus per crear una avaluació d’impacte òptima. No obstant això, aquí anem a repassar els aspectes fonamentals.

Fases per a l’Avaluació d’Impacte en Protecció de Dades

1. Anàlisi de la necessitat

A la lliurament anterior sobre EIPD especifiquem quines empreses o organitzacions han de acollir-se a l’Avaluació d’Impacte en Protecció de Dades. En aquesta fase inicial cal realitzar una petita reflexió per tenir clara la necessitat de comptar amb una EIPD. En el cas que el tractament de les dades no sigui massiu o l’empresa no necessiti explotar les dades de tercers, és possible que l’avaluació d’impacte no hagi de ser tan exhaustiva.

2. Descripció del projecte

En una segona instància és important comprovar quins són els riscos que podran en escac la privacitat de les dades de tercers. Aquí cal estudiar bé els objectius del negoci, qui seran actors implicats , què categories de dades es tracten, les tecnologies que es fan servir per a això i les comunicacions amb tercers, entre d’altres aspectes.

Una descripció detallada dels riscs és fonamental per tenir clars els aspectes que afectaran a la privacitat.

3. Definir els riscos

Amb la informació aportada en la fase anterior, és el moment d’identificar clarament els riscos en el tractament de les dades als quals s’exposa l’empresa. Segons el document que presenta l’AEPD , aquests riscos poden ser de dos tipus:

– Els que afecten persones : riscos que puguin vulnerar els seus drets.

– Els que afecten la empresa : aquells que es deriven de no implementar una correcta política de protecció de dades, en funció del que dicta la legalitat vigent.

4. Gestió dels riscos

Després d’identificar els riscos, el pas següent per garantir la correcta avaluació d’impacte en Protecció de Dades, serà la gestió dels mateixos. Per a això és imprescindible recórrer a consultes internes i externes amb els actors implicats. Després d’això caldrà determinar quins tipus de controls i mesures es van a implementar.

5. Analitzar el compliment de la norma

En aquesta fase de la EIPD cal verificar que tot el contingut que s’està desenvolupant compleix degudament amb la legalitat . En aquest punt cal tenir en compte el sector per al qual s’està creant l’avaluació d’impacte, ja que és possible que els requisits legals pel que fa al tractament de dades siguin de major o menor nivell.

6. Creació de l’informe final

En aquest informe cal detallar degudament els riscos que s’han trobat, així com les recomanacions perquè la seva gestió i eliminació sigui dràstica. Aquest informe s’ha d’enviar a l’adreça de l’empresa o organització. A més, la difusió , total o parcial, és important.

7. Implantar recomanacions

Després que la direcció de l’empresa hagi revisat completament l’informe elaborat, haurà de prendre les mesures oportunes per al seu compliment. A més, és fonamental que designi a responsable de l’avaluació d’impacte , perquè garanteixi el compliment de tot el detallat en l’informe final.

8. Revisió constant

Després tot el procés de l’Avaluació d’Impacte, cal analitzar degudament el resultat final . D’aquesta manera es podrà comprovar l’efectivitat de tot el treball, així com si han aparegut riscos nous . L’actualització constant d’aquesta EIPD és fonamental per garantir la protecció de dades de tercers.

 

* Avís legal: aquest article és propietat en exclusiva de TecnoLOPD. No està permesa la seva reproducció total o parcial sense el consentiment previ del propietari.

Amb la recent aprovació del Nou Reglament Europeu de Protecció de Dades , s’han sumat algunes obligacions que, fins ara, no estaven contemplades en la nostra Llei Orgànica de Protecció de dades. Una d’aquestes novetats és la necessària realització d’una Avaluació d’Impacte en Protecció de Dades . Parell explicar què és això i com ha de posar-se en pràctica realitzarem una sèrie d’articles que ens facilitin les claus bàsiques per a això.

La pròpia Agència Espanyola de Protecció de Dades (AEPD) ha dissenyat un manual , disponible en línia, per dur a terme una Avaluació d’Impacte (EIPD) consensuada i encertada. La base d’aquesta necessitat rau en els canvis a què ens enfrontem, amb l’alta participació de les noves tecnologies a la vida quotidiana. Les dades de caràcter personal assoleixen valors econòmics mai abans vistos i això obliga les empreses i institucions a no sortir-gens ni mica del marc legal establert.

Definició de l’Avaluació d’Impacte en Protecció de Dades

Per deixar clar què és això de l’Avaluació d’Impacte és interessant començar per definir el concepte . Segons la pròpia AEPD, es tracta d’una anàlisi exhaustiva dels riscos que pot aportar un servei o producte pel que fa a la protecció de dades personals dels usuaris. Però la cosa no queda aquí, ja que a més d’analitzar aquest impacte és important crear tips per a una gestió òptima, que permetin identificar els riscos i prendre les mesures oportunes per eliminar de soca-rel.

Un dels avantatges de realitzar una EIPD rau en l’estalvi econòmic. Òbviament, realitzar l’Avaluació d’Impacte prèvia evitarà haver de realitzar un procés tediós sobre un negoci ja creat. A més, en el marc del nou Reglament europeu de Protecció de Dades això és obligatori, per la qual cosa anticipar pot evitar sancions i multes per part de l’AEPD.

L’obligació de realitzar una EIPD

L’article 35 del famós Reglament Europeu , d’obligada aplicació a tota la UE, parla precisament d’aquesta obligació de realitzar una Avaluació d’Impacte en Protecció de Dades personals. Però, qui està obligat a això? Bé, ja que qualsevol empresa o negoci que compti amb un tractament de les dades que presentin un risc elevat pel que fa a drets i llibertats de les persones.

El responsable de tractament , en col·laboració amb el delegat de protecció de dades , serà l’encarregat de realitzar aquesta EIPD i garantir les gestions oportunes per a salvaguardar les dades personals. A més, un dels punts clau és l’obligatorietat de seguir un sistema d’observació de forma constant, que garanteixi que les dades estan degudament protegits.

El resultat final de l’Avaluació d’Impacte deu ser un complet document en el qual es detallin totes les especificitats exigides pel nou reglament, que l’AEPD dóna suport completament. Aquest document ha de distribuir-se i publicitar-perquè els usuaris tinguin ple coneixement del tractament que es donarà a les seves dades personals.

& Nbsp;

* Avís legal: aquest article és propietat en exclusiva de TecnoLOPD. No està permesa la seva reproducció total o parcial sense el consentiment previ del propietari.

Fa uns dies va veure la llum una notícia que molt té a veure amb la destrucció de fitxers amb dades de caràcter personal. Concretament, la Agència Espanyola de Protecció de Dades (AEPD), ha sancionat a Institucions Penitenciàries per l’abandonament de fitxers amb dades personals dels reclusos en una antiga presó de Huelva.

Aquesta presó es va tancar l’any 2008 i avui dia l’edifici està en total estat d’abandó. Pel que sembla, pel terra d’algunes de les estances de la presó es van trobar nombrosos documents amb dades i informes sobre reclusos. L’AEPD ha estipulat que es tracta d’una falta greu .

La investigació sobre aquest cas part del passat mes de febrer, quan l’Agència decideix actuar d’ofici per solucionar l’assumpte. Després de realitzar les indagacions pertinents i comprovar la gravetat de l’assumpte, s’ha imposat una sanció a Institucions Penitenciàries per que no torni a succeir un fet d’aquestes característiques. No obstant això, cal destacar que l’AEPD no imposa sanció econòmica a les administracions públiques . Per tant, és merament un toc d’atenció.

Malgrat que Institucions Penitenciàries no estigui obligada a fer front al pagament d’una multa econòmica, no passaria el mateix si la sanció hagués estat interposada a una empresa privada . Per tant, ens sembla important i necessari ressaltar la importància de la destrucció de fitxers amb dades personals antics.

La LOPD sobre la destrucció de fitxers

La Llei Orgànica de Protecció de Dades de Caràcter Personal és clara enfront d’aquest punt. Tots els fitxers, de qualsevol suport, que continguin dades de persones han de ser destruïts de forma eficaç. És a dir, és primordial que la informació sigui irrecuperable .

En aquest sentit, la LOPD estableix diferents tipus de fitxers, concretament 6. Entre ells destaquen els documents en paper , en suports òptics, suports magnètics o electrònics .

En el cas dels documents en paper, com els trobats a la presó de Huelva, deuen ser perfectament destruïts. Per a això, les trituradores de paper són una bona eina. Tot i que en cas de necessitar eliminar quantitats ingents de documents, recórrer a empreses específiques per a això és una bona solució. La crema de papers ens sembla una opció poc pràctica i perillosa, pel que a nosaltres la desaconsellem.

Si estem davant CD amb dades , DVD, discs durs , USBs, etc. És important realitzar un esborrat d’informació. No obstant, en el cas que això no sigui possible, caldrà inutilitzar els dispositius . Un martell és una bona eina per aconseguir-ho.

L’objectiu principal és evitar que un tercer pugui tenir accés a la informació personal emmagatzemada en qualsevol tipus de suport. I, òbviament, evitar les possibles sancions per part de l’Agència Espanyola de Protecció de Dades.

Les xarxes socials formen part de la nostra vida quotidiana i això fa que les grans companyies s’afanyin a buscar noves tècniques i mètodes per treure el màxim rendiment que es pot donar a aquest tipus de serveis. En aquest sentit, des que la gran xarxa social, Facebook , es va fer amb les accions del sistema de missatgeria instantània més utilitzat en el món, WhatsApp , les accions i canvis sobre la privacitat no han deixat de succeir-se.

El cas més recent és l’últim canvi sobre les polítiques de privacitat i termes de servei que tots els usuaris de WhatsApp han hagut d’acceptar per continuar gaudint de l’aplicació. Si bé és cert que la companyia va oferir un termini de trenta dies als usuaris per dir que “NO” als seus noves polítiques , han estat moltíssims els clients d’aquest sistema els que han acceptat les noves bases sense conèixer exactament l’ús que tindran les seves dades.

El que has de conèixer sobre les noves polítiques de privacitat de WhatsApp

A finals del passat mes d’agost, WhatsApp va anunciar un canvi important en els seus termes de servei. El que es pretén és aconseguir una col·laboració més gran i estreta amb Facebook. Això s’aconsegueix connectant el número de telèfon de cada usuari amb la xarxa social. Les explicacions de la companyia de Zuckerberg passen per assegurar que el que es pretén és millorar l’experiència dels usuaris a tots els nivells.

Un dels objectius principals d’aquesta acció és que els usuaris de les dues aplicacions puguin comunicar-se activament amb marques comercials , a més de amb els seus contactes habituals. Òbviament, per aconseguir això ha estat necessari gestionar un important canvi en les polítiques de privacitat de l’empresa.

Segons Facebook, malgrat que WhatsApp col·labori de forma activa amb la xarxa social, les dades dels quals mai es vendran ni seran compartides amb tercers, ni tan sols amb el propi Facebook. El principal ús que es donaran a aquestes dades té la seva explicació en les estadístiques que obtindrà la companyia de cara a oferir una experiència personalitzada . D’aquesta manera, els anuncis que mostren a través de la xarxa social seran molt més acords a les necessitats i gustos de cada client.

D’altra banda, cal destacar que tots els missatges que es difonen a través de WhatsApp compten amb un sistema de xifrat , que evita que cap tercer tingui accés. És a dir, cada missatge és totalment confidencial.

Malgrat totes les explicacions de WhatsApp i Facebook, que asseguren que la confidencialitat de les dades personals dels seus usuaris està totalment garantida, la Agència Espanyola de Protecció de Dades està analitzant tots els canvis en els termes de servei de l’aplicació de missatgeria per conèixer quin impacte tindrà això sobre la seguretat i la privacitat.

Les noves tecnologies evolucionen a passos de gegant. Això fa que moltes de les lleis vigents en matèria de protecció de dades hagin quedat totalment obsoletes. De fet, el nou Reglament Europeu de Protecció de Dades, s’ha dut a terme per poder assumir totes les novetats digitals i tecnològiques. Aquest reglament deroga la directiva europea de l’any 1955, que havia quedat totalment desfasada. Tanmateix, la nova norma no compta amb cap apartat específic per a les dades personals que poden demanar els drons.

Els experts en protecció de dades asseguren que no és el moment de crear lleis més específiques, ja que el nou reglament europeu ja contempla diverses situacions i els drets i obligacions que cada ciutadà té davant de les dades de caràcter personal.

Dades captades per drons

Un dron és una aeronau de mida reduïda, capaç d’obtenir tot tipus de dades. Vídeo, àudio i imatges poden ser arxivades per aquests petits aparells, que són capaços de passar desapercebuts davant l’ull humà. De fet, el que més preocupa les autoritats i als ciutadans és això. En moltes ocasions, un dron pot estar actuant sense que ningú ho hagi detectat i, òbviament, s’estaria generant una intromissió en la intimitat i els drets d’aquells que estiguin sent gravats.

A Espanya ja són gairebé 2.000 els drons registrats. Però el més important és que estem davant xifres que creixen de manera vertiginosa. S’espera que, en menys de quatre anys, les vendes de drons es quadrupliquin. Des de l’Agència Espanyola de Protecció de Dades (AEPD) asseguren que poder protegir les dades dels ciutadans s’ha convertit en una prioritat extrema.

En aquest sentit, des de les autoritats competents en aquesta matèria, s’explica clarament que qualsevol persona que piloti 1 dron a control remot ha d’informar del que està fent. Exactament igual que en tot espai, públic o privat, en el qual hi ha col·locades càmeres de seguretat és imprescindible informar al ciutadà que les seves imatges estan sent preses i gravades, els usuaris de drones haurien de fer el mateix.

El problema, en aquest sentit, recau en la forma en què els responsables han d’informar la ciutadania. Per això, l’AEPD ha establert la necessitat de fer-ho a través de vies com els cartells, les xarxes socials o el lliurament de fullets aclaridors. Si el ciutadà ha estat degudament informat, podrà exercir els seus drets d’accés, cancel·lació o oposició, en el cas que desitgi que les seves dades siguin eliminats de qualsevol arxiu que generin els drons.

Els organismes encarregats de la protecció de dades de caràcter personal asseguren que és molt important que els mateixos ciutadans sàpiguen que s’està realitzant un ús fraudulent d’aquestes aeronaus, ho posin en coneixement de les autoritats competents. Segons l’Agència Espanyola de Protecció de Dades, en poc més d’un any es van denunciar 150 usuaris de drons, que no estaven complint amb la normativa vigent en qüestions de seguretat i protecció de dades.

Amb l’entrada en vigor del nou Reglament Europeu de Protecció de Dades, apareixen algunes novetats d’obligat compliment. Una d’elles és la nova figura del delegat de protecció de dades. Tenint en compte que el Reglament està en aquest període transitori de dos anys perquè totes les empreses i organismes de la UE ho posin en pràctica, és important comprendre quines novetats caldrà anar implementant per evitar futures sancions.

Cal destacar que aquest nou Reglament deroga la directiva europea de 1995 en matèria de protecció de dades. A més, és d’obligat compliment per a totes les empreses, organitzacions i organismes públics de la Unió Europea. De fet, no cal que a escala nacional es redacti una llei per posar-lo en marxa, ja que no es tracta d’una directiva.

En els articles 37 a 39 d’aquest nou Reglament Europeu de Protecció de Dades es detalla la incorporació de la figura del delegat de protecció de dades. Però, sabem realment quines són les seves funcions?
Les funcions del delegat de protecció de dades

El delegat de protecció de dades o DPO (per les seves sigles en anglès) ha d’estar especialitzat en dret de protecció de dades i estarà per sobre del responsable de tractament i l’encarregat de tractament de les dades. Les seves funcions són variades i molt importants:

Assessorament als encarregats del tractament de les dades personals sobre les seves obligacions davant el nou Reglament, així com les que s’esdevenen de la normativa nacional.
En el cas que les dades que es manegen siguin d’alt risc, haurà de realitzar un estudi d’impacte, assessorant els responsables sobre cada qüestió. A més, haurà de comprovar el seu compliment.
Tasques de supervisió a tots els nivells per assegurar-se que s’està posant en pràctica el nou Reglament Europeu en Protecció de Dades (tant en organismes públics com en empreses privades).
Funcionarà com a nexe d’unió entre els organismes públic i empreses amb l’Agència de Protecció de Dades.

A més, el delegat de protecció de dades podrà ser requerit pels titulars de les dades personals per a solucionar qualsevol dubte respecte al tractament de les seves dades.

És obligatori comptar amb aquesta figura?

La resposta és “sí”. El delegat de protecció de dades és una nova figura que ha de constar, de forma obligatòria, en tots els organismes públics. A més, les empreses que es dediquin al tractament de dades massiu també hauran d’incorporar a un delegat en el seu organigrama.

D’altra banda, malgrat que el Reglament recomana incorporar aquesta nova figura a totes les empreses, no és obligatori per a aquelles PYMEs i altres organismes que la seva activitat principal no comporti un tractament de dades personals que requereixin un nivell de protecció alt.
Nomenament del delegat

És important tenir en compte que no cal que cada empresa o organització compti amb un delegat de protecció de dades independent. De fet, les administracions públiques poden tenir un mateix delegat per a diversos organismes. El mateix passa amb els grups empresarials. A més, aquells organismes que representin diferents empreses tindran la potestat de nomenar un delegat per a totes.

Òbviament, el delegat de protecció de dades pot formar part o no de la plantilla del negoci. Encara que és important que la independència d’aquesta figura estigui totalment garantida i no podrà ser destituït del seu càrrec per motius que pertoquin a l’acompliment de la seva tasca.

En aquesta era tan tecnològica en què tots els usuaris estem activament connectats és possible que s’ocasionin situacions nefastes com la suplantació d’identitat en línia. De fet, segons les dades registrades per l’Oficina de Seguretat de l’Internauta (OSI), les suplantacions d’identitat per Internet a Espanya van augmentar, el 2015, fins a un 178%, respecte a l’exercici anterior.

El més important és tenir clar com actuar davant d’aquest tipus de fraus, que s’executen vulnerant la intimitat i la pròpia imatge dels ciutadans. La suplantació d’identitat en línia es pot produir de diverses formes. Algunes són constitutives de delicte i altres no, però sempre s’estan infringint les bases de la LOPD.

Registrar un perfil fals en xarxes socials o en qualsevol altre servei en línia, en el qual es detalli nom o imatge d’un tercer és una vulneració clara de la Llei de Protecció de Dades. Però si en aquest perfil no s’estan fent servir dades relatives a la informació personal, no serà tingut en compte com a delicte.

D’altra banda, en el cas que s’incloguin dades personals, com el correu electrònic, número de telèfon, adreça, etc. estaríem davant d’un cas constitutiu de delicte. A més, si la persona usurpant fa servir la identitat d’un tercer per accedir a nombrosos serveis, estaríem davant greus casos d’usurpació d’identitat en línia. Segons l’article 18 de la Constitució espanyola, les penes de presó per aquests subjectes podrien arribar als tres anys.
Com prevenir la suplantació d’identitat en línia

La prevenció de la suplantació d’identitat per Internet és clau per evitar disgustos grans. Per a això és important tenir en compte els consells que ofereixen organismes com l’AEPD o l’OSI.

Contrasenyes online: les contrasenyes han de ser complicades, incloent-hi nombres, signes, majúscules i minúscules. A més, és convenient canviar-les cada cert període de temps.
Xarxes Wifi públiques: si es fa servir alguna connexió Wifi gratuïta, és important evitar enviar dades rellevants, perquè és possible que tota aquesta informació estigui sent controlada.
E-mails desconeguts: el banc mai demanarà claus i contrasenyes a través de correus electrònics. Per tant, en cas de rebre e-mails demanant informació personal, és important evitar enviar-la.
Contactes en Xarxes Socials: hi ha perfils en Xarxes Socials que resulten fraudulents i que només pretenen obtenir dades personals dels usuaris. Per tant, és important protegir les Xarxes Socials amb elevades mesures de seguretat i evitar afegir a contactes desconeguts.
Política de privacitat: abans d’omplir formularis d’inscripció a determinats serveis digitals és fonamental llegir bé la política de privacitat. Aquesta és l’única manera d’entendre què es farà amb les dades lliurades.
Passarel·les de pagament: les dades de la targeta de crèdit són especialment sensibles. Per tant, abans d’abonar qualsevol servei en línia cal assegurar-se que es tracta d’una passarel·la de pagament segura. A la barra d’adreces deu aparèixer un cadenat.

Actuar davant de la usurpació d’identitat

En el cas que ja s’hagi produït el frau i la suplantació d’identitat en línia és important actuar de forma ràpida. Si estem davant la creació d’un perfil fals en qualsevol xarxa social o pàgina web, caldrà denunciar el fet davant del propi servei. Cada empresa compta amb uns temps de resposta concrets.

Si no se soluciona satisfactòriament l’assumpte amb aquesta empresa, es pot recórrer a l’Agència Espanyola de Protecció de Dades, que està capacitada per actuar en aquests casos. A més, l’AEPD podrà interposar una multa econòmica si així ho considera oportú.

En el cas que la suplantació d’identitat comporti delicte és primordial acudir immediatament a les Forces i Cossos de Seguretat de l’Estat. Guardar qualsevol prova, com captures de pantalla, missatges, etc., és molt important perquè es pugui actuar de forma òptima.

Per fi el passat 12 juliol 2016 Europa i Estats Units van arribar a un acord sobre la transferència de dades entre empreses digitals de tots dos països, que posaria fi al bloqueig econòmic que ja durava alguns mesos. De fet, moltes empreses van haver de paralitzar les seves activitats amb USA causa d’aquesta situació. Privacy Shield és el substitut legal de l’antic Safe Harbour.

El Tribunal de Justícia de la Unió Europea va derogar l’anterior acord, conegut com Safe Harbour, en entendre que el nivell de protecció de les dades dels ciutadans europeus no era prou elevat. Des d’aquest moment i fins al passat dia 12 de juliol s’ha estat treballant en l’adequació d’un nou acord, que aconseguís garantir les transferències de dades internacionals i s’acostés al nou acord europeu de protecció de dades de caràcter personal. D’aquesta manera es liquida el buit legal que tenia paralitzada a l’economia digital entre els dos països.

A manera de resum, el que fa Privacy Shield és garantir la ciberseguretat internacional, aportant molta més transparència en la gestió de les dades, així com diverses obligacions noves per part dels agents que intervenen en aquestes transferències internacionals. A més, el ciutadà europeu tindrà en el seu haver-hi més garanties en aquest sentit.
Les claus de Privacy Shield

Repassar l’acord de forma exhaustiva ens obligaria a allargar aquest article massa. Per aquest motiu, parlarem de les claus més importants i les novetats que ofereix Privacy Shield en matèria de ciberseguretat. És molt important tenir clar que qualsevol empresa pot acollir-se de forma voluntària al nou acord, però respectar-és totalment obligatori. És a dir, tot aquell que treballi amb dades de ciutadans europeus haurà d’assumir els punts de l’acord, hagi signat i subscrit el mateix o no.

 Més obligacions per a les empreses

Cada empresa, participi o no en l’acord, se sotmetrà a revisions periòdiques per part del Departament de Comerç dels Estats Units. Això es fa per tal de garantir que s’està respectant Privacy Shield en tots els seus punts. El no compliment de la norma pot desembocar en sancions severes.

Transparència per part dels EUA

El govern nord-americà ja no podrà accedir i vigilar de forma indiscriminada les dades dels ciutadans europeus. En aquest sentit, el departament de seguretat nacional americà tindrà moltes més traves per realitzar aquestes accions i, a més, se sotmetrà també a una supervisió.

 Drets del ciutadà protegits

Una cosa nou i molt important és que Privacy Shield permetrà a qualsevol ciutadà de la Unió Europea tenir accés a opcions de resolució d’incidències, si considera que les seves dades no estan sent utilitzats de manera correcta i segura. Cada queixa es podrà interposar de diverses formes: amb la mateixa empresa o mitjançant l’Agència Espanyola de Protecció de Dades (en el cas d’Espanya). En el cas que el conflicte no obtingui resolució per aquestes vies es podrà recórrer a un judici d’arbitratge dins de la UE.

Tant el sector sanitari públic com el privat estan obligats a garantir el compliment de la Llei Orgànica de Protecció de Dades de Caràcter Personal (LOPD). Les dades que es manegen en aquests sectors d’activitat han d’estar supeditats a una protecció de nivell alt, ja que es tracta d’informació rellevant que afecta de forma personal als pacients.

Segons un informe emès fa uns mesos per l’Agència Espanyola de Protecció de Dades, les infraccions en l’àmbit sanitari s’han incrementat de forma extrema. Aquest informe analitza els resultats de tots els sectors durant l’any 2015, en comparació de l’exercici anterior. I el que es desvetlla és que, en la sanitat, s’han incrementat les infraccions en més d’un 230 per cent. Si l’any 2014 hi va haver quatre sancions per infraccions, l’any 2015 aquesta xifra ha pujat fins a deu casos.

Malgrat tot això, no es tracta del sector que més incompliments de la LOPD alberga, ja que les telecomunicacions guanyen la batalla de forma històrica. També cal destacar que aquests altres sectors en què els casos d’infraccions són molt elevats, van reduint el nombre de faltes de forma notable. Segons l’informe de l’AGPD, són els partits polítics els que millor compleixen amb les normes establertes en la Llei Orgànica de Protecció de Dades, ja que no s’ha obert cap procediment sancionador durant el passat any.

Conseqüències d’infringir la LOPD en sanitat

A més de que el sector sanitari hi ha un ampli increment de procediments infractors, també han augmentat les advertències que emet l’Agència Espanyola de Protecció de Dades per advertir davant de qualsevol tipus d’infracció o violació de la LOPD. Així mateix, també s’han vist incrementades les consultes davant l’Agència per conèixer millor alguns secrets de la Llei.

Les conseqüències més greus que comporta el no respecte de la LOPD per part del sector sanitari, o qualsevol altre, és la possibilitat d’haver de fer front a sancions bastant elevades. En tractar-se de dades de protecció alta, les sancions poden ser molt més importants. Per evitar-les és primordial adequar el centre de treball a la Llei.

Gran part de les denúncies interposades davant l’AGPD es basen en l’accés injustificat a les històries clíniques d’alguns pacients. Incomplir les mesures de seguretat pot comportar un procés declaratiu d’infracció greu.

En el sector privat, les sancions també han augmentat de forma significativa, posicionant a la sanitat en la taxa sectorial més elevada d’infraccions davant la LOPD. Durant el 2015 les infraccions en aquest àmbit han augmentat en més d’un 260 per cent, respecte a l’any anterior.

No obstant això, la inscripció de fitxers de protecció de dades en el sector sanitari privat també ha augmentat de forma notable durant el període estudiat. Això, sens dubte, és un important pas de conscienciació. Adequar qualsevol negoci a la LOPD és el primer pas per aconseguir respectar la legalitat vigent en aquesta matèria. Per a això, cal seguir els passos establerts per l’AGPD.

Un dels dubtes més freqüents que sorgeixen davant de la Llei de Protecció de Dades de Caràcter Personal, es basen a esbrinar la necessitat que tenen els blogs a adequar-se a la LOPD. La realitat és que qualsevol entitat que manegi dades personals hauria d’estar adequada a aquesta Llei. Però hi ha alguns matisos a tenir en compte.

Un blog només d’obviar la LOPD en el cas que no manegi dades de caràcter personal. Això passa quan la web en qüestió simplement es dedica a publicar posts o notícies. Però, el més habitual és que els blogs recullin dades a través de formularis de subscripció o de contacte. En aquests casos, és obligatori que es prenguin les mesures de seguretat que estableix la Llei Orgànica de Protecció de Dades.
Per què un blog recull dades personals?

Expliquem tot això de la manera més senzilla per evitar errors. Per a això és important saber què s’entén per “dada personal”. Qualsevol informació sobre una persona física identificada o possiblement identificable tindrà el tractament de dada personal. Si tenim en compte que través dels formularis de subscripció de qualsevol blog es recull (generalment) el nom i cognoms, així com el correu electrònic de l’usuari, és fàcil comprendre que s’estan tractant dades de caràcter personal.

Si el blog simplement recull correus electrònics el dubte que es planteja és la següent: ¿és l’e-mail una dada personal? Bé, la resposta és afirmativa si a través dels caràcters, símbols i signes de l’adreça de correu es pot identificar la persona que hi ha darrere de la direcció.

Per exemple: si ens trobem una adreça com “perroverde@yo.com” no s’està identificant a l’usuari que està darrere. Però, suposem que la direcció és “pacolopez@yo.com”, en aquest cas les dades personals del propietari del correu electrònic s’identifiquen de forma senzilla.

Com aquest tipus d’adreces de correu electrònic són molt habituals, serà primordial que el blog estigui perfectament adequat a la LOPD. A més, l’ús d’una adreça de correu electrònic sense consentiment del titular de la mateixa estaria vulnerant la normativa establerta per la LOPD. Òbviament, això podria provocar una denúncia davant de l’Agència de Protecció de Dades (AGPD).
Com adequar un blog a la LOPD?

En el cas que el blog estigui en qualsevol dels supòsits detallats anteriorment és important que compleixi els requisits establerts per la LOPD pel que fa a comunicació, tractament i seguretat de les dades de caràcter personal. Si bé és cert que en l’actualitat les coses estan canviant en entrar en vigor el Nou Reglament Europeu de Protecció de Dades, no serà fins al 25 maig 2018 quan s’instauri definitivament. D’això ja hem parlat en altres articles.

Les dades que es recullen a través dels formularis d’un blog s’han d’organitzar òptimament en fitxers. Aquests fitxers s’han de comunicar a l’AGPD, indicant la seva finalitat i qui serà l’encarregat del tractament d’aquests.

A l’hora de demanar dades de caràcter personal és molt important que l’usuari estigui degudament informat de l’ús que se’ls donarà. En aquest sentit, els textos legals adquireixen una importància extrema. A més, cal informar l’usuari dels drets que té sobre les seves dades. I com a responsables del fitxer, els bloguers estan obligats a mantenir els mateixos actualitzats i a esborrar aquells que ja no compleixin la funció per a la qual van ser sol·licitades.