Saltar al contenido

Noticias RGPD

¿Cómo actuar ante la suplantación de identidad en Internet?

  • por

En esta era tan tecnológica en la que todos los usuarios estamos activamente conectados es posible que se ocasionen situaciones nefastas como la suplantación de identidad online. De hecho, según los datos registrados por la Oficina de Seguridad del Internauta (OSI), las suplantaciones de identidad por Internet en España aumentaron, en 2015, hasta en un 178 %, respecto al ejercicio anterior.

Lo más importante es tener claro cómo actuar frente a este tipo de fraudes, que se ejecutan vulnerando la intimidad y la propia imagen de los ciudadanos. La suplantación de identidad online se puede producir de varias formas. Algunas son constitutivas de delito y otras no, pero siempre se están infringiendo las bases de la LOPD.

Registrar un perfil falso en redes sociales o en cualquier otro servicio online, en el que se detalle nombre o imagen de un tercero es una vulneración clara de la Ley de Protección de Datos. Pero si en ese perfil no se están usando datos relativos a la información personal, no será tenido en cuenta como delito.

Por otra parte, en el caso de que se incluyan datos personales, como el correo electrónico, número de teléfono, dirección, etc. estaríamos ante un caso constitutivo de delito. Además, si el usurpante usa la identidad de un tercero para acceder a numerosos servicios estaríamos ante graves casos de usurpación de identidad online. Según el artículo 18 de la Constitución española, las penas de cárcel para estos sujetos podrían llegar a los tres años.

Cómo prevenir la suplantación de identidad online

La prevención de la suplantación de identidad por Internet es clave para evitar disgustos mayores. Para ello es importante tener en cuenta los consejos que ofrecen organismos como la AEPD o la OSI.

  1. Contraseñas online: las contraseñas deben de ser complicadas, incluyendo números, signos, mayúsculas y minúsculas. Además, es conveniente cambiarlas cada cierto periodo de tiempo.
  2. Redes Wifi públicas: si se usa alguna conexión Wifi gratuita es importante evitar enviar datos relevantes, porque es posible que toda esa información esté siendo controlada.
  3. E-mails desconocidos: el banco jamás va a pedir claves y contraseñas a través de correos electrónicos. Por lo tanto, en caso de recibir e-mails solicitando información personal, es importante evitar enviarla.
  4. Contactos en Redes Sociales: existen perfiles en Redes Sociales que resultan fraudulentos y que solamente pretenden obtener datos personales de los usuarios. Por lo tanto, es importante proteger las Redes Sociales con elevadas medidas de seguridad y evitar añadir a contactos desconocidos.
  5. Política de privacidad: antes de rellenar formularios de inscripción a determinados servicios digitales es fundamental leer bien la política de privacidad. Esta es la única forma de entender qué se hará con los datos entregados.
  6. Pasarelas de pago: los datos de las tarjetas de crédito son especialmente sensibles. Por lo tanto, antes de abonar cualquier servicio online hay que asegurarse de que se trata de una pasarela de pago segura. En la barra de direcciones debe de aparecer un candado.

Actuar frente a la usurpación de identidad

En el caso de que ya se haya producido el fraude y la suplantación de identidad online es importante actuar de forma rápida. Si estamos ante la creación de un perfil falso en cualquier red social o página web, habrá que denunciar el hecho ante el propio servicio. Cada empresa cuenta con unos tiempos de respuesta concretos.

Si no se solventa satisfactoriamente el asunto con dicha empresa se puede recurrir a la Agencia Española de Protección de Datos, que está capacitada para actuar en estos casos. Además, la AEPD podrá interponer una multa económica si así lo considera oportuno.

En el caso de que la suplantación de identidad conlleve delito es primordial acudir inmediatamente a las Fuerzas y Cuerpos de Seguridad del Estado. Guardar cualquier prueba, como capturas de pantalla, mensajes, etc., es muy importante para que se pueda actuar de forma óptima.

Entrada en vigor del acuerdo Privacy Shield con Estados Unidos

Por fin el pasado 12 de julio de 2016 Europa y estados Unidos llegaron a un acuerdo sobre la transferencia de datos entre empresas digitales de ambos países, que pondría fin al bloqueo económico que ya duraba algunos meses. De hecho, muchas empresas tuvieron que paralizar sus actividades con USA debido a esta situación. Privacy Shield es el sustituto legal del antiguo Safe Harbour.

El Tribunal de Justicia de la Unión Europea derogó el anterior acuerdo, conocido como Safe Harbour, al entender que el nivel de protección de los datos de los ciudadanos europeos no era lo suficientemente elevado. Desde ese momento y hasta el pasado día 12 de julio se ha estado trabajando en la adecuación de un nuevo acuerdo, que lograra garantizar las transferencias de datos internacionales y se acercara al nuevo acuerdo europeo de protección de datos de carácter personal. De esta forma se finiquita el vacío legal que tenía paralizada a la economía digital entre ambos países.

A modo de resumen, lo que hace Privacy Shield es garantizar la ciberseguridad internacional, aportando mucha más transparencia en la gestión de los datos, así como varias obligaciones nuevas por parte de los agentes que intervienen en esas transferencias internacionales. Además, el ciudadano europeo tendrá en su haber más garantías en este sentido.

Las claves de Privacy Shield

Repasar el acuerdo de forma exhaustiva nos obligaría a alargar este artículo demasiado. Por este motivo, vamos a hablar de las claves más importantes y las novedades que ofrece Privacy Shield en materia de ciberseguridad. Es muy importante tener claro que cualquier empresa puede acogerse de forma voluntaria al nuevo acuerdo, pero respetarlo es totalmente obligatorio. Es decir, todo aquel que trabaje con datos de ciudadanos europeos deberá asumir los puntos del acuerdo, haya firmado y suscrito el mismo o no.

  1. Más obligaciones para las empresas

Cada empresa, participe o no en el acuerdo, se someterá a revisiones periódicas por parte del Departamento de Comercio de Estados Unidos. Esto se hace con el fin de garantizar que se está respetando Privacy Shield en todos sus puntos. El no cumplimiento de la norma puede desembocar en sanciones severas.

  1. Transparencia por parte de EE.UU.

El gobierno estadounidense ya no podrá acceder y vigilar de forma indiscriminada los datos de los ciudadanos europeos.  En este sentido, el departamento de seguridad nacional americano tendrá muchas más cortapisas para realizar estas acciones y, además, se someterá también a una supervisión.

  1. Derechos del ciudadano protegidos

Algo novedoso y muy importante es que Privacy Shield permitirá a cualquier ciudadano de la Unión Europea tener acceso a opciones de resolución de incidencias, si considera que sus datos no están siendo utilizados de forma correcta y segura. Cada queja se podrá interponer de varias formas: con la propia empresa o a través de la Agencia Española de Protección de Datos (en el caso de España). En el caso de que el conflicto no obtenga resolución por estas vías se podrá recurrir a un juicio de arbitraje dentro de la UE.

Sanciones por infringir la LOPD en el sector sanitario

Tanto el sector sanitario público como el privado están obligados a garantizar el cumplimiento de la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD). Los datos que se manejan en estos sectores de actividad deben de estar supeditados a una protección de nivel alto, ya que se trata de información relevante que afecta de forma personal a los pacientes.

Según un informe emitido hace unos meses por la Agencia Española de Protección de Datos, las infracciones en el ámbito sanitario se han incrementado de forma extrema. Este informe analiza los resultados de todos los sectores durante el año 2015, en comparación con el ejercicio anterior. Y lo que se desvela es que, en la sanidad, se han incrementado las infracciones en más de un 230 por ciento. Si en el año 2014 hubo cuatro sanciones por infracciones, en el año 2015 esta cifra ha subido hasta diez casos.

Pese a todo esto, no se trata del sector que más incumplimientos de la LOPD alberga, ya que las telecomunicaciones ganan la batalla de forma histórica. También cabe destacar que estos otros sectores en los que los casos de infracciones son muy elevados, van reduciendo el número de faltas de forma notable. Según el informe de la AGPD, son los partidos políticos los que mejor cumplen con las normas establecidas en la Ley Orgánica de Protección de Datos, ya que no se ha abierto ningún procedimiento sancionador durante el pasado año.

Consecuencias de infringir la LOPD en sanidad

Además de que el sector sanitario alberga un amplio incremento de procedimientos infractores, también han aumentado las advertencias que emite la Agencia Española de Protección de Datos para apercibir ante cualquier tipo de infracción o violación de la LOPD. Asimismo, también se han visto incrementadas las consultas ante la Agencia para conocer mejor algunos entresijos de la Ley.

Las consecuencias más graves que conlleva el no respeto de la LOPD por parte del sector sanitario, o cualquier otro, es la posibilidad de tener que hacer frente a sanciones bastante elevadas. Al tratarse de datos de protección alta, las sanciones pueden ser mucho más importantes. Para evitarlas es primordial adecuar el centro de trabajo a la Ley.

Gran parte de las denuncias interpuestas ante la AGPD se basan en el acceso injustificado a las historias clínicas de algunos pacientes. Incumplir las medidas de seguridad puede conllevar un proceso declarativo de infracción grave.

En el sector privado, las sanciones también han aumentado de forma significativa, posicionando a la sanidad en la tasa sectorial más elevada de infracciones ante la LOPD. Durante el 2015 las infracciones en este ámbito han aumentado en más de un 260 por ciento, respecto al año anterior.

No obstante, la inscripción de ficheros de protección de datos en el sector sanitario privado también ha aumentado de forma notable durante el periodo estudiado. Esto, sin duda, es un importante paso de concienciación. Adecuar cualquier negocio a la LOPD es el primer paso para conseguir respetar la legalidad vigente en esta materia. Para ello, hay que seguir los pasos establecidos por la AGPD.

¿Deben adecuarse los blogs a la LOPD?

Una de las dudas más frecuentes que surgen frente a la Ley de Protección de Datos de Carácter Personal, se basan en averiguar la necesidad que tienen los blogs a adecuarse a la LOPD. La realidad es que cualquier entidad que maneje datos personales debería estar adecuada a esta Ley. Pero hay algunos matices a tener en cuenta.

Un blog solamente debe obviar la LOPD en el caso de que no maneje datos de carácter personal. Esto ocurre cuando la web en cuestión simplemente se dedica a publicar posts o noticias. Pero, lo habitual es que los blogs recojan datos a través de formularios de suscripción o de contacto. En estos casos, es obligatorio que se tomen las medidas de seguridad que establece la Ley Orgánica de Protección de Datos.

¿Por qué un blog recoge datos personales?

Vamos a explicar todo esto de la forma más sencilla para evitar errores. Para ello es importante saber qué se entiende por “dato personal”. Cualquier información sobre una persona física identificada o posiblemente identificable tendrá el tratamiento de dato personal. Si tenemos en cuenta que través de los formularios de suscripción de cualquier blog se recoge (generalmente) el nombre y apellidos, así como el correo electrónico del usuario, es fácil comprender que se están tratando datos de carácter personal.

Si el blog simplemente recoge correos electrónicos la duda que se plantea es la siguiente: ¿es el e-mail un dato personal? Bien, la respuesta es afirmativa si a través de los caracteres, símbolos y signos de la dirección de correo se puede identificar a la persona que hay detrás de la dirección.

Por ejemplo: si nos encontramos una dirección como “perroverde@yo.com” no se está identificando al usuario que está detrás. Pero, supongamos que la dirección es “pacolopez@yo.com”, en este caso los datos personales del propietario del correo electrónico se identifican de forma sencilla.

Como este tipo de direcciones de correo electrónico son muy habituales, será primordial que el blog esté perfectamente adecuado a la LOPD. Además, el uso de una dirección de e-mail sin consentimiento del titular de la misma estaría vulnerando la normativa establecida por la LOPD. Obviamente, esto podría provocar una denuncia frente a la Agencia de Protección de Datos (AGPD).

¿Cómo adecuar un blog a la LOPD?

En el caso de que el blog esté en cualquiera de los supuestos detallados anteriormente es importante que cumpla los requisitos establecidos por la LOPD en cuanto a comunicación, tratamiento y seguridad de los datos de carácter personal. Si bien es cierto que en la actualidad las cosas están cambiando al entrar en vigor el Nuevo Reglamento Europeo de Protección de Datos, no será hasta el 25 de mayo de 2018 cuando se instaure definitivamente. De esto ya hemos hablado en otros artículos.

Los datos que se recogen a través de los formularios de un blog deben organizarse óptimamente en ficheros. Estos ficheros se tienen que comunicar a la AGPD, indicando su finalidad y quién será el encargado del tratamiento de los mismos.

A la hora de recabar datos de carácter personal es muy importante que el usuario esté debidamente informado del uso que se les va a dar a los mismos. En este sentido, los textos legales adquieren una importancia extrema. Además, hay que informar al usuario de los derechos que tiene sobre sus datos. Y como responsables del fichero, los bloggers están obligados a mantener los mismos actualizados y a borrar aquellos que ya no cumplan la función para la que fueron solicitados.

Características del nuevo Reglamento Europeo de Protección de Datos

Europa por fin ha alcanzado un acuerdo en cuanto a la Protección de Datos de Carácter Personal de todos los ciudadanos miembros de la Unión. Tras un tedioso proceso que comenzó en el año 2012, el pasado 27 de abril se logró llegar al esperado acuerdo. Este nuevo Reglamento Europeo de Protección de Datos entró en vigor el pasado 25 de mayo de 2016. No obstante, debido a la complejidad del texto y las necesidades de informar debidamente a las empresas y ciudadanos, no será hasta el 25 de mayo de 2018 de aplicación obligatoria.

Durante estos dos años, las entidades gubernamentales de cada país deberán informar debidamente a todos los ciudadanos, así como a las empresas de las nuevas normas en materia de protección de datos que incumben a todos los europeos por igual.

Novedades importantes del Reglamento Europeo de Protección de Datos

Una de las novedades más importantes y características de este nuevo Reglamento Europeo de Protección de Datos es el reconocimiento de dos nuevos derechos. Si hasta la fecha, cualquier persona tiene el derecho de cancelación, rectificación u oposición. A partir de la entrada en vigor de este documento, también se reconoce el “derecho al olvido” y el derecho a la portabilidad de los datos.

Según las autoridades en materia de protección de datos, este reglamento cuenta con un enfoque mucho más preventivo que sancionador. Algo que no ocurría con la anterior Ley Orgánica.

El acceso a los datos personales propios se facilitará sobremanera. De esta forma, cualquier ciudadano europeo podrá contar con mucha más información sobre el tratamiento de sus datos.

Por otra parte, cualquier empresa que gestione datos personales deberá de informar a la mayor brevedad a las autoridades nacionales de los pirateos a sus bases de datos. Con esto se podrá garantizar la toma de medidas eficaces a los usuarios, para evitar cualquier contratiempo sobre su intimidad.

Toda la norma comprendida en el Reglamento Europeo de Protección de Datos será aplicable a toda la Unión Europea. Pero, además, cualquier empresa extranjera que opere dentro de la Unión tendrá la obligación de acogerse a este reglamento.

También se establece la ventanilla única. Es decir, los empresarios solamente tendrán que dirigirse a un supervisor europeo.

Las empresas podrán reducir gastos en esta materia ya que se evitan muchísimos pasos burocráticos, como la eliminación de las notificaciones por parte de cualquier empresa o pyme. Tampoco estarán obligadas a inscribir sus ficheros. A su vez, las pymes no estarán obligadas a contar con la figura del responsable de protección de datos, en el caso de que su actividad comercial no se centre en el tratamiento de los datos. Y, por último, estas pequeñas empresas no estarán obligadas a efectuar la evaluación a no ser que exista un riesgo claro y conciso.

Directiva Europea de Protección de Datos

Además de la aprobación del nuevo reglamento Europeo de Protección de Datos, esta comisión ha aprobado la nueva Directiva Europea en el mismo sentido. De esto hablaremos detenidamente más adelante, pero se trata de una norma aplicable a los ámbitos de la justicia y las fuerzas de seguridad de los Estados miembros. De esta forma se podrá tener una mayor protección sobre los datos de cualquier ciudadano implicado en un proceso judicial, ya sea como sospechoso, víctima o testigo. La finalidad será poder luchar de forma conjunta contra el crimen y el terrorismo en el ámbito de la Unión.

La situación de la LOPD en 2016

[fusion_builder_container hundred_percent=»yes» overflow=»visible»][fusion_builder_row][fusion_builder_column type=»1_1″ background_position=»left top» background_color=»» border_size=»» border_color=»» border_style=»solid» spacing=»yes» background_image=»» background_repeat=»no-repeat» padding=»» margin_top=»0px» margin_bottom=»0px» class=»» id=»» animation_type=»» animation_speed=»0.3″ animation_direction=»left» hide_on_mobile=»no» center_content=»no» min_height=»none»][fusion_text]Sin lugar a dudas, el año 2016 va a ser el de los cambios en materia de protección de datos de carácter personal. El pasado 15 de diciembre de 2015 se aprobó el nuevo Reglamento Europeo de Protección de Datos, lo que implica que la adecuación al mismo sea estrictamente necesaria para cualquier empresa que opera en el marco europeo.

Obviamente este es el principal pilar de los cambios que se van a suceder durante todo el año en curso. Aunque, si somos fieles a la realidad actual, podremos observar como la protección de datos personales adquiere una mayor importancia en diferentes ámbitos de actuación.

La LOPD en 2016: principales cambios

Uno de los aspectos más llamativos de cara a los cambios de la LOPD en 2016, tiene que ver con el papel del asesor en dicha materia. Para ello, tanto abogados como informáticos o ingenieros pueden convertirse en expertos que ofrezcan sus servicios de asesoramiento para evitar sanciones por parte de la Agencia Española de Protección de Datos.

Gracias al citado Reglamento Europeo, que ya ha entrado en vigor, los responsables de empresas que manejan datos personales van a necesitar estar perfectamente asesorados para adecuarse debidamente a la nueva directiva. En este sentido, la LOPD en 2016 alcanzará nuevos retos y metas.

Cabe destacar que, si hasta hace bien poco solamente los abogados podían convertirse de manera oficial en asesores para la LOPD, este nuevo reglamento liberaliza la profesión, incluyendo otros perfiles profesionales en un ámbito novedoso. Esto hará que los asesores de las empresas en cuestiones de protección de datos se profesionalicen cada vez más, ofreciendo experiencias y soluciones cada vez más exhaustivas.

Por otra parte, el mercado digital marcará las tendencias de la LOPD en 2016. Europa ha establecido una estrategia en común para que el flujo de datos personales por Internet sea el más adecuado y la gestión de los mismos se ejecute de forma correcta.

La anulación del acuerdo Safe Harbor y su sustituto

Además, ha habido un hecho histórico que ha logrado modificar el panorama internacional respecto a la protección de datos de carácter personal. Se trata de la cancelación del acuerdo Safe Harbor que se aplicaba en Estados Unidos para la transferencia internacional de datos personales. El TJUE, en una sentencia del 6 de octubre de 2015, anuló definitivamente este régimen.

Este hecho hizo que muchas empresas quedaran totalmente bloqueadas al no encontrar una solución para el tratamiento de los datos internacionales. No obstante, desde el pasado 12 de julio de 2016 se puso en funcionamiento el nuevo acuerdo de transferencia de datos internacionales con Estados Unidos. Se trata del “Privacy Shield”, del que hablaremos detenidamente en otro artículo. No obstante, este nuevo marco ha posibilitado que se pueda volver a funcionar con normalidad.

Reglamento europeo de Protección de Datos

Como comentábamos, el principal cambio de la LOPD en 2016 es la necesaria adecuación de las empresas a este nuevo acuerdo que, también trataremos de forma individualizada en próximos artículos. Como datos importantes cabe destacar que el consentimiento del titular de los datos se convertirá en algo de extrema importancia. Además, se incluyen los “identificadores online” o “cookies” entre la denominación de datos personales.

En este sentido, la evolución tecnológica continuará marcando la LOPD en 2016. Además de la necesidad de proteger la intimidad de los usuarios de Internet, también debe garantizarse que estos puedan tener total libertad para disponer de sus datos de forma sencilla.

Uno de los restos más importantes se basa en evitar la proliferación de los paraísos digitales que comercializan con datos de carácter personal de los usuarios que navegan habitualmente por Internet.[/fusion_text][/fusion_builder_column][/fusion_builder_row][/fusion_builder_container]