(16 de marzo de 2017). El 25 de mayo de 2018 comenzará a aplicarse el Reglamento General de Protección de Datos y, en consecuencia, desaparece la primera de las obligaciones del responsable que trata datos de carácter personal: la notificación gratuita de ficheros ante el Registro General de Protección de Datos de la AEPD.

Las dos normas de aplicación en España en materia de protección de datos de carácter personal desde 1992, la derogada LORTAD y la actual LOPD, habían previsto como primera obligación del responsable  comunicar a la Agencia los ficheros empleados en su actividad y que contengan datos de carácter personal, describiendo qué datos se recogen, con qué fin, de quién se recogen, qué medidas de seguridad se van tomar sobre los mismos, si el fichero es automatizado, manual o mixto y si esos datos van a cederse a terceros o si van a transferirse fuera del Espacio Económico Europeo.

La obligación, que en el caso de ficheros de titularidad pública comenzaba por la publicación en el correspondiente Diario Oficial de la descripción del fichero por parte del responsable, se convirtió en  la puerta de entrada a la protección de datos para buena parte de las entidades. Los empresarios y las administraciones empezaban a ser conscientes ante qué estaban cuando se encontraban frente a un formulario de notificación y tenían la necesidad de describir los puntos antes mencionados. Tras esta obligación, la primera pero no la única como la misma resolución de inscripción recuerda al responsable, debe observar el resto de  obligaciones que la legislación impone.

El Registro General de Protección de Datos atiende al responsable del fichero en sus obligaciones, entre otras, de inscripción de ficheros y es el responsable de dar publicidad a los mismos  a través de la página web de la Agencia. El objetivo es que el ciudadano pueda  conocer de la forma más exacta posible qué se está realizando con sus datos de carácter personal cuando los aporta a una administración pública o a una entidad privada, y dónde puede ejercer  sus derechos en protección de datos.

La inscripción de ficheros en el Registro General de Protección de Datos creció de manera exponencial a partir del año 2006 con la aparición del formulario electrónico NOTA y la posibilidad de emplear un procedimiento de administración electrónica completo para este proceso. Las  estadísticas de inscripción de ficheros muestran además el impulso que, en enero de 2008, supuso la aparición del Reglamento de desarrollo de la LOPD (RLOPD).

En la actualidad el Registro de Ficheros mantiene  un crecimiento anual de un 9% y sobre él se realizan una media de 2.754 operaciones diarias (datos de 2016), observándose una evolución en el tipo de operaciones que sobre él se ordenan. Se ha pasado de una masiva inscripción de alta de ficheros a la recepción de un número importante de operaciones de inscripción de modificación y de supresión que atiende a la necesidad de mantener la inscripción actualizada y que aparece estipulada en el artículo 58 del RLOPD. Los ficheros evolucionan, cambian su finalidad, se recogen otros datos de las personas que forman el colectivo objeto del mismo y hay que suprimirlos si deja de existir la razón por la que fueron creados o la entidad que se declaraba responsable.

La aplicación del nuevo Reglamento General de Protección de Datos a partir del 25 de mayo de 2018 supone al responsable  obligaciones distintas en materia de protección de datos. El artículo 30 estipula que cada responsable y, en su caso, su representante llevarán un registro de actividades de tratamiento efectuadas bajo su responsabilidad. El responsable se encuentra por tanto, nuevamente, ante la necesidad de describir qué datos recoge, con qué fin los trata, a quién o quiénes los comunica, si los transfiere a terceros países, qué medidas técnicas y organizativas aplicará para preservar su seguridad, y cuándo podrá suprimirlos.

Es en este punto donde la existencia del Registro de Ficheros puede convertirse en  una herramienta de ayuda y un punto de partida ante la tarea que será obligatoria a partir del 25 de mayo de 2018.

El responsable con los ficheros actualmente inscritos en la Agencia ya hizo en su día un ejercicio de descripción de los tratamientos de datos de carácter personal que llevaba a cabo cuando se vio en la obligación de realizar la Notificación de sus ficheros. En este punto, será evidente el paso de ese conjunto de ficheros a la elaboración del Registro de las actividades del tratamiento y la puesta al día de sus obligaciones en materia de protección de datos.

En un artículo anterior nos referíamos a  las tiendas de apps y qué implicaciones podían tener para la seguridad de nuestros datos. En esta ocasión nuestro examen se va a centrar en los permisos que solicita la aplicación.

En los dispositivos móviles populares, las aplicaciones y los juegos se ejecutan en espacios aislados (los llamados sandboxes o areneros) junto con los datos y la configuración. El sistema operativo, por su parte, se encarga de gestionar los permisos para que puedan comunicarse y usar los distintos servicios del dispositivo. Los permisos que solicitan las aplicaciones pueden variar de unos sistemas a otros pero los más habituales son el acceso al almacenamiento, a los contactos, a la cámara, al micrófono, a los SMS, a las llamadas, a la ubicación geográfica, a los dispositivos externos conectados, o a los perfiles en redes sociales.

Cada vez que añadimos una aplicación o un juego nuevo a nuestro dispositivo, este le pedirá al sistema operativo los permisos que necesita. Por ejemplo, las aplicaciones de mensajería y redes sociales requieren muchas veces acceso a la cámara, a los contactos y a nuestra colección multimedia; o un antivirus puede pedir acceso a los ficheros del sistema para analizarlos. A veces no es fácil imaginar para qué necesita realmente una aplicación todos los permisos que pide: algunos juegos quieren permiso para acceder a las llamadas, simplemente para interrumpir la partida cuando entra una llamada; o algunas aplicaciones solicitan conocer la ubicación geográfica para enviar ofertas o anuncios según dónde estemos.  Una app que requiera unos permisos excesivos debería hacernos sospechar sobre sus intenciones, ya que podría obtener datos del sistema o de nuestra actividad y enviarlos a un tercero. También deberíamos ser prudentes si al actualizar una aplicación nos piden permisos nuevos.

La buena noticia es que nosotros podemos participar en la gestión de los permisos que les damos a las aplicaciones; la mala es que no siempre es fácil. El proceso es distinto en cada sistema operativo, y a veces no tenemos la información o el tiempo necesario para tomar una buena decisión. Los fabricantes buscan un equilibrio entre la precisión que demandan los usuarios más avanzados y la sencillez para usuarios más confiados, y entre los sistemas más populares y sus versiones encontramos todas las tendencias.

También son varios los momentos en que podemos gestionar los permisos. En un sistema muy conocido, cuando elegimos una app o un juego que nos gusta, la tienda de aplicaciones ya nos informa de los permisos requeridos, y nos pide que aceptemos su concesión antes de dejarnos descargarla; en otro sistema igualmente popular, la aplicación se descarga primero y después, durante la instalación es cuando nos enteramos de los permisos que quiere que le concedamos. Algunos permisos en ciertos dispositivos soportan más opciones que el simple ‘Aceptar’ o ‘Rechazar’, y permiten, por ejemplo, que la aplicación acceda a servicios como la ubicación geográfica o la red, pero solamente cuando el usuario realmente la está usando. Con tanta diversidad de opciones no nos queda otro remedio que explorar en los ajustes de nuestro dispositivo y ver las opciones que ofrece.

Además de en la descarga y en la instalación,  en cualquier momento podemos revisar y cambiar los permisos de aplicación. Desgraciadamente, aquí nos encontramos también que los ajustes son distintos en cada teléfono o tableta. Algunas plataformas prefieren agrupar las aplicaciones bajo los permisos, con lo que podemos ver o limitar, por ejemplo, qué aplicaciones están usando la ubicación geográfica o una red social; mientras que otras prefieren poner los permisos bajo las aplicaciones, mostrando por ejemplo una fila de selectores de permisos que requiere determinado juego.

Obviamente, si denegamos un permiso a una aplicación su comportamiento puede variar, e incluso la aplicación completa puede dejar de funcionar. Sin embargo, también puede seguir funcionando adecuadamente para lo que necesito, y asegurarme un poco de privacidad.

Es posible controlar parcialmente los permisos en dispositivos que usan otras personas: por un lado, en el ámbito de los móviles de trabajo, las organizaciones pueden gestionar de forma muy detallada e incluso dinámicamente muchos de los permisos de aplicación, usando un gestor de dispositivos móviles o MDM. En el lado doméstico las distintas plataformas permiten habilitar mecanismos de control parental y perfiles de usuario. En el extremo opuesto, un dispositivo  rooteado o desbloqueado puede tener un gestor de permisos en su sistema diferente al que estableció el fabricante, por lo que de nuevo hay que recordar el riesgo que supone si no se controla adecuadamente.

En resumen, los permisos son una parte importante de nuestro examen de aplicaciones porque nos permiten, en primer lugar,  tener un mayor control sobre la información que facilitamos a terceros y, además,  limitar los riesgos de la actividad de una aplicación presuntamente dañina en nuestro dispositivo. Por eso, la revisión o incluso el ajuste de los permisos de cualquier app o juego nuevo o actualizado es una actividad muy recomendable. Y puesto que los mecanismos de gestión de permisos son distintos en cada sistema, es importante que dediquemos unos minutos a revisar los ajustes y conocer así las posibilidades que ofrece.

La Agencia Española de Protección de Datos ha lanzado una  

Guía sobre la privacidad y la seguridad en internet

 elaborada junto al INCIBE que incluye algunas fichas para concienciar (que no asustar) a los usuarios de los riesgos de las apps.

La Agencia Española de Protección de Datos ha lanzado en los últimos meses diferentes materiales que tratan de concienciar a los usuarios sobre la importancia de proteger su privacidad en los entornos digitales. La  

Guía sobre la privacidad y la seguridad en internet

, los vídeos tutoriales que enseñan a gestionar  quién puede ver los datos que publicamos en las redes sociales, las  guías para niños, padres y profesores o la publicación de diferentes contenidos de carácter práctico son algunas de las iniciativas puestas en marcha.

En la Agencia estamos convencidos de que el uso de los datos personales que hacen empresas, organismos públicos y organizaciones debe de ser compatible con el derecho a la protección de datos y la privacidad de los ciudadanos. En este sentido, la Asociación de Usuarios de Internet (AUI) ha lanzado la iniciativa  TestdePrivacidad.org, en la que la AEPD participa como embajadora, para difundir, informar y sensibilizar sobre la importancia de la privacidad en el entorno digital y dar a conocer iniciativas que permitan una mejor gestión de la misma.

La presentación de este proyecto se realizará en Madrid el próximo jueves 16 de marzo, y la AEPD participará en ella. Si quieres asistir a la presentación de esta iniciativa,  en este enlace puedes inscribirte. La entrada es libre, pero es necesario registrarse. Además de presentar las herramientas, a la jornada acudirán instituciones, reguladores, empresas, partidos políticos y sociedad civil para exponer sus reflexiones en esta materia.

Jornada sobre PRIVACIDAD y CIUDADANÍA DIGITAL

Cuándo: Jueves, 16 de marzo (11:30 – 14:00 horas)
Dónde: Auditorio Espacio Telefónica (C/ Fuencarral 3, Madrid)

El objetivo de esta iniciativa es aportar a los ciudadanos información, conocimiento, consejos y herramientas para que puedan encontrar respuesta a cuestiones básicas que afectan a sus datos personales en los entornos digitales. ¿Qué es la dirección IP? ¿Qué son las cookies, qué implicaciones tienen en nuestra privacidad y cómo bloquearlas o eliminarlas? ¿Qué es la huella digital y cómo cambiarla? ¿ Quién recoge datos tuyos cuando visitas otras webs? o ¿ Cómo mejorar tu privacidad? son algunas de las preguntas para las que podrás encontrar respuesta en esta web. Además, cada respuesta se complementa con consejos, informaciones de interés y acciones que puede llevar a cabo para mejorar la privacidad en relación con la cuestión o tema de la pregunta.

Hace algunos años, cuando queríamos comprar una aplicación o un juego para nuestro ordenador, pagábamos una cantidad de dinero y a cambio recibíamos un CD. En la actualidad, el precio de las aplicaciones no siempre es tan evidente. Ahora, descargamos las apps en nuestros teléfonos y tabletas a través de internet y empezamos a utilizarlas. Proponemos la realización de un examen de apps en el que hay cuatro temas: la tienda (I), los permisos (II), los términos y condiciones (III), y los datos personales (IV).

En este primer artículo nos centraremos en el primero de ellos y en entradas posteriores abordaremos los siguientes para superar la prueba con seguridad.

La tienda de aplicaciones

Cuando descargamos la app o el juego de la tienda “oficial” del fabricante del dispositivo o del sistema operativo, podemos confiar en que los responsables de este canal han tomado ciertas medidas: por un lado, las aplicaciones han pasado unas mínimas pruebas de seguridad sobre un sistema de características equivalentes al nuestro; también han formalizado un contrato con el desarrollador; y además han identificado sus productos mediante un certificado. No es una garantía absoluta, pero es un primer paso de seguridad.

Algunos colectivos, como grandes corporaciones empresariales y centros gubernamentales, con miles de dispositivos móviles de sus empleados, tienen sus propias tiendas exclusivas de aplicaciones. En ellas solamente se publican aquellas que tienen interés para su misión y que además han superado pruebas de sus propios departamentos de seguridad. En estos colectivos los permisos de descarga de otras tiendas y otras políticas de seguridad de los móviles de los empleados están restringidos. Esto sucede porque cada vez las organizaciones son más conscientes del valor de los datos almacenados en los móviles y tabletas de sus empleados, y empiezan a tomar medidas de seguridad específicas como ya se toman para los PCs y los equipos en red.

Los particulares, si además de la confianza que nos da la propia tienda de aplicaciones queremos garantías adicionales sobre la bondad de una app, tenemos que fijarnos en algunos detalles: por ejemplo, la página de la app en la tienda proporciona información sobre si la aplicación contiene publicidad o ventas, lo que puede ser una pista de por qué se ofrece la app o el juego; el apartado con las demás aplicaciones del mismo desarrollador puede darnos pistas sobre sus intenciones al ofrecer una aplicación gratuita; y las opiniones de otros usuarios que han descargado la aplicación y escriben sobre ella nos pueden dar señales sobre sus problemas o los riesgos que han detectado.

Esta información puede ser verídica, pero hay que tener en mente que en algunos casos puede haberse falseado. Existen incluso servicios profesionales que se encargan de dar buena reputación a aplicaciones dañinas, descargándola o puntuándola miles de veces como si tuviera miles de usuarios entusiastas. También existen mecanismos por los que los usuarios solamente pueden descargar o acceder a funcionalidades de una aplicación tras haberla votado positivamente o haberla recomendado en redes sociales. Las tiendas persiguen este tipo de trampas, pero aun así se dan muchos casos.

Las dudas sobre la reputación de una aplicación o juego no solamente afectan a las descargas nuevas, sino también a las actualizaciones. Tras una nueva versión de un programa o un juego ya instalado puede haber un cambio de proveedor y un cambio de finalidad: puede darse el caso de organizaciones que compran a los desarrolladores sus aplicaciones publicadas en las tiendas con el objetivo de aprovechar la comunidad de usuarios existente para introducir algún tipo de malware en las actualizaciones del código o introducir en ellas su publicidad.

Un caso delicado de tratar son las tiendas que de manera abierta proporcionan aplicaciones no aprobadas por los fabricantes. Si bien es posible que una aplicación no pudiera distribuirse desde una tienda oficial por una simple cuestión de política comercial, en ocasiones las tiendas no oficiales albergan aplicaciones que representan verdaderos agujeros de seguridad y que nunca superarían los controles de otros proveedores. Para ahondar en el riesgo, las aplicaciones ofrecidas por estas tiendas requieren en muchas ocasiones que el móvil o la tableta hayan sido desbloqueados. El desbloqueo o  rooteo de un móvil es un proceso por el cual se proporciona al usuario y a las aplicaciones la llave maestra para acceder a ficheros restringidos, o incluso para modificar partes del propio sistema operativo.

El desbloqueo de un móvil y el uso de aplicaciones de tiendas no oficiales pueden proporcionar a determinados usuarios avanzados unas funcionalidades mayores que las que ofrecía el dispositivo de fábrica. Sin embargo, el coste que asumen es un riesgo para la seguridad de sus datos, los sensores de su teléfono o tableta, y para las redes que utilizan y comparten con nosotros. Es un proceso que vulnera las garantías de los fabricantes y deja sin valor las pruebas de seguridad de las aplicaciones instaladas. Es también una alteración de un sistema certificado, equivalente a la manipulación del motor de un coche o de un electrodoméstico, que nunca debe hacerse sin conocer bien las implicaciones que tiene.

En la era de las aplicaciones móviles no debemos andar con miedo, pero sí tomar decisiones conscientes y ser selectivos con la tienda de aplicaciones que nos provee. Solamente así podremos responder con acierto en el primer tema de nuestro examen.

La Agencia Española de Protección de Datos ha lanzado una  

Guía sobre la privacidad y la seguridad en internet

 elaborada junto al INCIBE que incluye algunas fichas para concienciar (que no asustar) a los usuarios de los riesgos de las apps.