Brechas de seguridad de datos personales: qué son y cómo actuar

/en /por

Brechas de seguridad de datos personales: qué son y cómo actuar
dortega
Mié, 09/18/2019

En esta entrada del blog pretendemos aclarar qué es una brecha de seguridad de datos personales, cómo debe una organización prepararse para afrontarlas, qué hacer si sucede y en qué casos hay que notificar a la AEPD y a los afectados.

imagen

I. ¿QUÉ ES UNA BRECHA DE SEGURIDAD DE DATOS PERSONALES?

Para saber actuar ante una brecha de seguridad, lo primero es saber qué es y ser capaz de detectarlas e identificarlas.

Una brecha de seguridad es un incidente de seguridad que afecta a datos de carácter personal. Este incidente puede tener un origen accidental o intencionado y además puede afectar a datos tratados digitalmente o en formato papel. En general, se trata de un suceso que ocasione destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales.

II. ¿QUÉ HACER?

ANTES: el responsable de tratamiento debe estar preparado para esta posibilidad, debe establecer quién y qué acciones se ejecutarán en caso de producirse. Para ello, lo primero es ser consciente de qué datos personales se están tratando, con qué medios y los riesgos que puede haber. Así, una parte muy importante es implementar mecanismos que permitan detectar las brechas de seguridad de datos de carácter personal.

SI SUCEDE: el responsable de tratamiento debe poner en marcha el plan de actuación, concretando tareas específicas que permitan resolver la brecha, minimizar sus consecuencias y evitar que vuelva a suceder en el futuro.

Además, cuando se sufre una brecha de seguridad se debe recabar una serie de información que será muy útil para decidir qué medidas tomar y qué acciones se emprenderán para cumplir los objetivos anteriores y para valorar la necesidad de notificar a la autoridad de control y afectados.

  • Medio por el que se ha materializado la brecha, es decir, qué ha ocurrido: se ha perdido un dispositivo con datos personales, se ha producido un robo, se han publicado datos personales por error o se ha enviado a un destinatario equivocado, un ransomware ha cifrado un dispositivo, se ha producido una intrusión no autorizada en un sistema de información con datos personales, un empleado ha sido víctima de phishing, etc.
  • Origen de la brecha, si ha sido interna o externa y su intencionalidad.
  • Categorías de datos: si son datos básicos como credenciales o datos de contacto o si bien son categorías especiales como puedan ser datos de salud.
  • Volumen de datos afectados, tanto en número de registros afectados como en número de personas afectadas.
  • Categorías de afectados: clientes, empleados, estudiantes, abonados, pacientes, etc. Es importante identificar si se trata de colectivos vulnerables.
  • Información temporal de la brecha: cuándo se inició, cuándo se ha detectado y cuándo se resolvió o resolverá la brecha de seguridad.

III. NOTIFICACIÓN A LA AEPD Y COMUNICACIÓN A LOS AFECTADOS

Ante el suceso de una brecha de seguridad, el responsable de tratamiento debe valorar las posibles consecuencias sobre los afectados y su severidad. Una brecha de seguridad puede producir daños en la reputación de los afectados, limitar sus derechos, producir pérdidas financieras, discriminación, etc. y además puede producir estos efectos con diferentes grados de severidad, por lo que debemos pensar en los beneficios que aporta el que los afectados sean conscientes que se esa brecha ha tenido lugar.

Para realizar esta valoración correctamente es de suma importancia tener el registro de actividades de tratamiento y el análisis de riesgo previamente elaborado y actualizado.

Si la brecha de seguridad constituye un riesgo para los derechos y las libertades de las personas se debe notificar ante la AEPD en un plazo máximo de 72 horas desde que se tenga constancia a través del enlace habilitado en la Sede electrónica.

En cualquier caso, en la línea de proactividad y transparencia que marca el RGPD siempre es recomendable notificar ante la AEPD una brecha de seguridad en los datos personales que sufra un responsable del tratamiento.

Para rellenar el formulario es muy útil tener de antemano clara la información relevante para la brecha que se ha destacado anteriormente.

Si además entraña un alto riesgo deberá comunicarse sin dilación indebida a los afectados a través del medio que se suela utilizar para comunicarse con ellos, con un lenguaje claro y sencillo. Esto permitirá que los afectados puedan reaccionar cuanto antes y tomar las medidas oportunas, porque en dicha comunicación se les deberá explicar claramente lo sucedido y las medidas recomendadas para que puedan minimizar o eliminar las consecuencias negativas que pueda tener la brecha sobre ellos.

En el caso que la brecha la sufra un encargado del tratamiento, este debe informar al responsable del tratamiento, que tendrá que valorar si notifica ante la AEPD y comunicar a los afectados. En todo caso, los detalles sobre las responsabilidades de responsable y encargado ante una brecha de seguridad deben quedar expresamente detalladas en el contratomediante el cual se establece el encargo del tratamiento.

Independientemente de si se ha notificado a la AEPD o no, o si se ha informado a los afectados, debemos llevar un registro de las brechas de seguridad que suframos, en el que se justifique las decisiones que se han tomado. Este documento puede ser exigible en cualquier momento por parte de la AEPD.

IV. CONCLUSIONES

Con el marco establecido por el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018 se promueve una cultura para la gestión diligente de los datos personales por parte de los encargados y responsables del tratamiento. Por un lado, esta nueva cultura de tratamiento de brechas de seguridad debe permitir minimizar el impacto sobre los afectados, estableciendo mecanismos para que puedan ser conscientes y puedan tomar medidas. Por otro lado, tan importante como solucionar una brecha de seguridad y minimizar las consecuencias sobre los afectados, es aprender de ella, y determinar qué ha fallado en los procedimientos de gestión de la información. Para ello, forma parte del principio de responsabilidad proactiva documentar en detalle la brecha y las acciones tomadas para gestionarla y prevenirla en el futuro.

Para ampliar información sobre cómo actuar ante una brecha de seguridad y qué aspectos deben estar planificados con anterioridad, puedes consultar nuestra Guía para la gestión y notificación de brechas de seguridad.

Ingeniería de la Privacidad

/en /por

Ingeniería de la Privacidad
dortega
Mar, 09/17/2019

2019-09-11-gears

La profesionalización del sector de la privacidad es necesaria para hacer efectivos nuestros principios constitucionales en la sociedad de la información. La privacidad es una materia particularmente compleja que, a la hora del desarrollo de nuevos productos o servicios, ha de contemplar múltiples aspectos organizativos, técnicos y de aplicación jurídica. De ahí que se haya acuñado un nuevo término para la especialización necesaria para implementación práctica de tratamientos respetuosos con la normativa de protección de datos: “Ingeniería de la Privacidad”.

El Instituto Nacional de Estándares y Tecnología (NIST) define la Ingeniería de la Privacidad como:

Una especialidad de la ingeniería de sistemas enfocada a proporcionar las directrices necesarias para disminuir los riesgos relativos a la privacidad y permitir a las entidades tomar decisiones fundamentadas con relación a la asignación de recursos y la efectiva implementación de controles en los sistemas de información.

Las organizaciones han sido conscientes durante décadas de la necesidad de prevenir el acceso no autorizado a sistemas y datos, y la ciberseguridad se ha desarrollado como disciplina enfocada a prevenirlo. La recogida de datos personales en aplicaciones tan complejas como las que involucran hiperconectividad, decisiones automatizadas, perfilado o monitorización masiva, puede provocar que algunos tratamientos, aun operando de la forma prevista por sus diseñadores, trasgredan la normativa de protección de datos o las expectativas de respeto a la privacidad de los ciudadanos. Si bien el conocimiento de principios jurídicos o la ingeniería de la seguridad son elementos esenciales para la implementación de cualquier tipo de política de la información en una organización, la Ingeniería de la Privacidad aparece como su complementario a la hora de gestionar los riesgos a la privacidad asociados con el funcionamiento planificado y autorizado de sistemas que recopilan, usan y divulgan datos personales.

La Ingeniería de la Privacidad es una disciplina que tiene el propósito de traducir los requisitos legales que establecen derechos y libertades de los ciudadanos en guías prácticas y herramientas que permitan aplicar de forma viable los principios de Privacidad desde el Diseño. Teniendo en cuenta que la implementación efectiva de un tratamiento involucra tanto los aspectos organizativos de la entidad como los más puramente técnicos, las disciplinas involucradas en la Ingeniería de la Privacidad incluyen la gestión de procesos, gestión del riesgo, calidad, ingeniería del software, seguridad de la información, ingeniería del conocimiento, y por supuesto, conocimiento práctico de la normativa de protección de datos.

Aunque el impulso a la Ingeniería de la Privacidad se remonta al menos a 2014 con la iniciativa IPEN (Internet Privacy Engineering Network), ha recibido a finales de 2018 el respaldo explícito del Instituto de Ingenieros Eléctricos y Electrónicos (IEEE Position “Statement In Support of Privacy Engineering”) como una especialidad diferenciada en la que es necesario realizar un importante trabajo de apoyo al desarrollo de métodos sistemáticos, estandarización, formación y compromiso de los profesionales. La realidad del mercado se impone con relación a la Ingeniería de la Privacidad y ya se está reclamando profesionales específicamente con dicho perfil (oferta de empleo publicada por Facebook, Google, HP). A raíz de dicha demanda se ha iniciado la oferta formativa en universidades tan prestigiosas como Carnegie Mellon o la universidad Johns Hopkins.

Todavía existe un largo camino para que la Ingeniería de la Privacidad alcance un nivel de madurez semejante a otras disciplinas. Por ello, están en marcha iniciativas como el NIST Privacy Engineering Program’s (PEP), cuya misión es la creación de entornos, modelos de riesgos, guía, herramientas y estándares, o como el proyecto PDP4e (Privacy Data Protection for Engineering), cuyo propósito es también desarrollar métodos y herramientas de ingeniería que incorporen los principios del RGPD, entre otros proyectos.

Con el mismo propósito, la Agencia Española de Protección de Datos creo la Unidad de Evaluación y Estudios Tecnológicos, donde no solo se desarrollan guías, estudios y herramientas para implementar el principio de Privacidad desde el Diseño establecidos en el RGPD en particular, sino también el resto de los principios de Responsabilidad Proactiva. La AEPD desarrolla esta iniciativa en colaboración con entidades nacionales, europeas e internacionales, promueve el desarrollo de los principios de Privacidad desde el Diseño, se realiza una labor de divulgación específica en estos temas, compilando información y resultados en la siguiente dirección dentro de su portal web:

https://www.aepd.es/areas/innovacion/index.html

https://www.aepd.es/en/areas/innovacion/index.html

Brechas de seguridad: protégete ante el ransomware

/en /por

Brechas de seguridad: protégete ante el ransomware
dortega
Mar, 09/17/2019

El ransomware es una ciberamenaza con gran impacto sobre datos de carácter personal tanto en el sector de las pymes como para grandes empresas. Te contamos cómo protegerte.

Ransomware

Desde la Agencia Española de Protección de Datos queremos concienciar sobre la necesidad de tomar medidas técnicas y organizativas para evitar que se produzcan brechas de seguridad. Este fomento de la concienciación se realiza en el marco del principio de responsabilidad activa de Reglamento General de Protección de Datos, especialmente en el caso de usuarios particulares y pymes que con frecuencia suelen disponer de menos recursos para dedicar a estas cuestiones.

Aún así, a pesar de aplicar las medias de seguridad oportunas, las brechas de seguridad pueden ocurrir, por lo que las organizaciones deben estar preparadas para ser capaces de detectarlas y actuar para minimizar y evitar el daño a los derechos y libertades de las personas. Con este objetivo la AEPD publicó la Guía para la Gestión y Notificación de Brechas de Seguridad.

Una de las medidas en las que se materializa el principio de responsabilidad activa del RGPD es en la obligación de notificar las brechas de seguridad a la autoridad de control, a menos que sea improbable que la quiebra suponga un riesgo para los derechos y libertades de los afectados, dentro de las 72 horas siguientes a que el responsable sea consciente de que el hecho se ha producido.

Además, en los casos en que sea probable un alto riesgo para los derechos o libertades de los afectados, también se les deberá comunicar la brecha a estos. El objetivo de la comunicación a los afectados es permitir que puedan tomar medidas para protegerse de las consecuencias.

Para la notificación de brechas de seguridad, la AEPD pone a disposición de los responsables de tratamiento un formulario en su Sede Electrónica.

Un 10% de las notificaciones de brechas de seguridad recibidas en la AEPD durante 2018 desde el 25 de mayo de 2018 (fecha de aplicación del RGPD) indican que el motivo de la brecha es el cifrado de equipos mediante algún tipo de ransomware, y en ocasiones el vector de ataque es el acceso mediante servicios de escritorio remoto.

Por eso, queremos mostrar el caso concreto de uno de los tipos de brecha de seguridad que se ha notificado a la AEPD con especial incidencia en el sector privado y dar recomendaciones para reducir el riesgo de sufrir una brecha de este tipo.

Es habitual que usuarios de pymes y grandes empresas necesiten tener acceso desde internet a un servidor o cualquier otro equipo de su red para ejecutar determinadas aplicaciones, realizar tareas de mantenimiento o de soporte. A veces, también necesitan proporcionar acceso a otras organizaciones que les prestan un servicio determinado.

Desde Windows NT 4.0, Microsoft incorpora el protocolo de escritorio remoto (Remote Desktop Protocol – RDP) que proporciona acceso remoto a la interfaz gráfica del equipo y permite resolver la necesidad anteriormente descrita. Es un servicio habitualmente usado en servidores que tienen instalado el sistema operativo Windows, aunque también se utiliza en otros sistemas operativos, para evitar tener que desplazarse físicamente donde se encuentra el equipo.

Conociendo la dirección de internet del equipo (IP o nombre DNS) y con unas credenciales válidas, se puede acceder a la interfaz gráfica del equipo que tenga habilitado el servicio y que por defecto utiliza el puerto de comunicaciones 3389 TCP. 

Una práctica no recomendada, pero muy habitual por su sencillez de implementación, es redirigir los puertos en el router del proveedor de internet para permitir ese acceso remoto a algún equipo de la organización. Al permitir esta conectividad se está exponiendo un servicio normalmente protegido sólo por usuario y contraseña.

En un entorno controlado de pruebas en el que se simulen las condiciones anteriormente descritas, se puede comprobar que en menos de una hora la exposición del servicio es detectada y se realizan cientos de ataques por fuerza bruta.

La forma  en la que se produce este ataque es tradicionalmente mediante phishing, en el que a través del envío de un correo suplantando al emisor se remite un malware como fichero adjunto que acabará cifrando los archivos del equipo.En los últimos años han cobrado una especial importancia los ataques de tipo ransomware en los que se busca cifrar información para posteriormente solicitar un rescate por la contraseña de descifrado. Aunque parezca una actividad en descenso, sigue siendo una gran amenaza a tener en cuenta especialmente en el caso de las pymes, uno de sus grandes objetivos.

Pero en la actualidad también se utilizan otras técnicas, como por ejemplo algunos ransomware como Crysis/Dharma o Matrix cuyo vector de entrada es precisamente el protocolo de escritorio remoto. Utilizando buscadores como SHODAN, encuentran equipos accesibles que tengan contraseñas débiles y usuarios por defecto habilitados como “invitado”, “backup”, etc. Una vez acceden al equipo proceden a deshabilitar sistemas de protección como instantáneas de volumen o puntos de restauración y cifran toda la información del sistema pidiendo un rescate para entregar la contraseña de descifrado.

Cuando se sufre un ataque de este tipo se suele pensar únicamente en que se ha sufrido una brecha de disponibilidad hasta que se consigue recuperar la información, habitualmente desde las copias de respaldo, si se dispone de ellas. Pero no siempre se tiene en cuenta que han sido comprometidos diferentes cuentas de usuario que pueden pertenecer a un dominio, que se ha podido acceder a otros equipos de la organización y conseguir credenciales diferentes a las del servidor afectado, además se desconoce si el malware ha podido enviar alguna información almacenada en nuestros sistemas hacia el exterior.

La primera medida preventiva a llevar a cabo para evitar estos ataques es no exponer los servicios de escritorio remoto directamente a internet mediante la redirección de puertos, al considerarse una práctica insegura.

Sería recomendable establecer al menos un servicio como Remote Desktop Gateway, o mejor aún implementar un sistema de red privada virtual (Virtual Private Network – VPN) en la que se consoliden los accesos desde el exterior. De esta manera tendremos un único sistema expuesto que es el que deberemos vigilar con mayor diligencia. Además, no debemos olvidar recomendaciones básicas como deshabilitar cuentas de usuario innecesarias o credenciales simples, tener los sistemas actualizados e implementar sistemas de doble autenticación.

Como medida correctiva, disponer de copias de seguridad de los datos es la medida más eficaz.

Para mayor información sobre medidas preventivas y cómo actuar ante un ransomware que haya cifrado tus dispositivos, desde la Agencia Española de Protección de Datos te recomendamos consultar la guía sobre Ransomware publicada por INCIBE, el informe de buenas prácticas  del CCN-CERT y las recomendaciones de medidas de seguridad ante ransomware también del CCN-CERT .

Otros enlaces de interés:

2018 Data Breach Investigations Report – Verizon

Ransomware: an enterprise perspective – ESET

El ‘ransomware’, otra gran amenaza para las pymes – Expansión

Matrix: A low-key tageted ransomware – Sophos

La AEPD publica el listado de tratamientos en los que no es necesario realizar una evaluación de impacto

/en , /por

La AEPD publica el listado de tratamientos en los que no es necesario realizar una evaluación de impacto
dortega
Lun, 09/09/2019

9 de Septiembre de 2019
La AEPD ha elaborado esta lista para ayudar a los responsables a identificar los tratamientos en los que no es obligatorio realizar una Evaluación de impacto en la protección de datos
El listado completo de estos tratamientos puede consultarse aquí

(Madrid, 4 de septiembre de 2019). La Agencia Española de Protección de Datos (AEPD) ha publicado el listado de tratamientos de datos personales en los que no es obligatoria la realización de una evaluación de impacto, con el objetivo de facilitar a los responsables la identificación de este tipo de tratamientos. El Reglamento General de Protección de Datos (RGPD) recoge en su artículo 35.1 que las organizaciones que traten datos están obligadas a realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD) antes de efectuar dichos tratamientos cuando sea probable que, en función de su naturaleza, alcance, contexto o fines, entrañen un alto riesgo para los derechos y libertades de las personas.

 Por otra parte, el apartado 5 del mismo artículo establece que las autoridades de control podrán publicar la lista de los tipos de tratamiento que no requieren una evaluación de impacto. Asimismo, y como contempla el RGPD, la Agencia ha comunicado al Comité Europeo de Protección de Datos (CEPD) el listado, que también se encuentra disponible en 

ingls

. Esta lista, que no exime de cumplir el resto de obligaciones establecidas en la normativa de protección de datos, complementa a la publicada con anterioridad por la Agencia donde figuran aquellos tratamientos en los que sí es obligatorio llevar a cabo una EIPD.

 La Agencia ha definido que no será necesario realizar una EIPD cuando se realicen tratamientos bajo directrices contenidas en circulares o decisiones emitidas previamente por las Autoridades de Control, en particular la AEPD, siempre y cuando el tratamiento no se haya modificado desde que fue autorizado.

 Tampoco se requiere si el tratamiento se realiza cumpliendo con códigos de conducta aprobados por la Comisión Europea o las Autoridades de Control, siempre que ya se hubiera llevado a cabo una EIPD para validar dicho código de conducta e incluyera las salvaguardas definidas en la Evaluación de Impacto.

 Dentro de los tratamientos que forman parte del listado también se encuentran, entre otros, aquellos que lleven a cabo los trabajadores autónomos que ejerzan de manera individual, en particular médicos, profesionales de la salud o abogados, sin perjuicio de que pueda requerirse cuando dichos tratamientos cumplan con dos o más criterios establecidos en la lista de tipos de tratamientos de datos que requieren EIPD; así como los obligatorios por ley y realizados con relación a la gestión interna del personal de las pymes con finalidad de contabilidad, gestión de recursos humanos y nóminas, seguridad social y salud laboral, pero nunca relativos a los datos de los clientes.

 Las Evaluaciones de impacto

El Reglamento establece que en aquellos casos en los que sea probable que los tratamientos entrañen un alto riesgo para los derechos y libertades de las personas físicas incumbe al responsable del tratamiento realizar una evaluación de impacto relativa a la protección de datos, que evalúe, en particular, el origen, la naturaleza, la particularidad y la gravedad del riesgo.

 La AEPD ha publicado con anterioridad distintos recursos para facilitar el cumplimiento de esta obligación, como la Guía para las evaluaciones de impacto en la protección de datos personales; la lista de tipos de tratamientos de datos que requieren EIPD; Gestiona, una herramienta para realizar análisis de riesgos y evoluciones de impacto, o el modelo de informe de EIPD para Administraciones Públicas.

La Agencia Española de Protección de Datos se suma a la Carta de Derechos Digitales de Niños, Niñas y Adolescentes promovida por la Fundación Anar

/en , /por

La Agencia Española de Protección de Datos se suma a la Carta de Derechos Digitales de Niños, Niñas y Adolescentes promovida por la Fundación Anar
dortega
Lun, 09/09/2019

9 de Septiembre de 2019
La ‘Carta de Derechos Digitales de Niños, Niñas y Adolescentes’ busca promover un entorno digital seguro para el pleno desarrollo de los menores de edad

(Madrid 29 de julio de 2019). , La Agencia Española de Protección de Datos (AEPD) se ha sumado a la ‘Carta de Derechos Digitales de los Niños, Niñas y Adolescentes’, un catálogo de Principios y Derechos promovido por Fundación ANAR en el que se recoge, de forma explícita, las garantías que deben amparar a los menores de edad en su relación con las tecnologías. 

Los niños/as y adolescentes están especialmente expuestos a los retos de la digitalización: aunque por sus habilidades digitales, están en una posición aventajada para beneficiarse de todas las oportunidades que la tecnología ofrece y ofrecerá en los próximos años, su vulnerabilidad frente a situaciones de riesgo se incrementa.

Así lo demuestran fenómenos sobre los que Fundación ANAR lleva tiempo actuando como el ciberacoso: ‘cyberbullying’, ‘grooming’ o sexting o el problema de los contenidos online que promueven autolesiones, ideación suicida, anorexia o bulimia o actividades de riesgo extremo, por citar solo algunos de los más preocupantes.

La AEPD ha puesto en marcha multitud de acciones en los últimos años para promover y fomentar la educación digital de los menores, con el lanzamiento de materiales y proyectos para concienciar sobre la importancia de la privacidad y el valor de los datos personales, la identidad digital, el uso de las redes sociales y las situaciones de riesgo como el ciberbullying, el grooming y el sexting. Además, la Agencia ha impulsado que se estableciera en la nueva Ley 3/2018 la enseñanza del uso responsable de las nuevas tecnologías en las escuelas, reforzando las obligaciones del sistema educativo para garantizar la plena inserción del alumnado en la sociedad digital y en el aprendizaje de un uso de seguro de los medios digitales, incluyendo una formación específica en los currículums académicos y exigiendo que el profesorado reciba formación adecuada.

«El apoyo institucional a la ‘Carta de Derechos Digitales de los Niños, Niñas y Adolescentes’ de la Fundación ANAR supone respaldar y apoyar a una organización que lleva 48 años defendiendo los derechos de los menores en diferentes ámbitos. La educación digital, en un momento en el que los jóvenes hacen un uso intensivo de la tecnología en muchos casos sin ser conscientes de los riesgos, es un elemento primordial”, destaca Mar España, directora de la Agencia Española de Protección de Datos.

“Según viene detectándose desde Fundación ANAR, la tecnología afecta de una forma transversal a la mayor parte de los problemas de la infancia y muchas veces los potencia”, alerta Benjamín Ballesteros, director de programas de Fundación ANAR.

La ‘Carta de Derechos Digitales de los Niños, Niñas y Adolescentes’ consta de un preámbulo y diez apartados en los que se abordan asuntos como el derecho a la privacidad, al borrado de la huella digital, a la seguridad de los dispositivos o a la protección frente a la violencia, y que traslada los Derechos de los Niños y Niñas reconocidos en Tratados Internacionales y en la legislación española al ámbito digital.

La ‘Carta de Derechos Digitales de los Niños, Niñas y Adolescentes’ está disponible en la página web de Fundación ANAR y está abierta a que cualquier persona o entidad pueda suscribirla con su firma.

La AEPD y ADiReLab firman un protocolo para fomentar el cumplimiento de la normativa de protección de datos entre las empresas

/en , /por

La AEPD y ADiReLab firman un protocolo para fomentar el cumplimiento de la normativa de protección de datos entre las empresas
dortega
Vie, 09/06/2019

6 de Septiembre de 2019
La Agencia facilitará a la Asociación de Directivos de Relaciones Laborales las herramientas, guías y publicaciones que puedan ayudar a las empresas en el cumplimiento de las obligaciones derivadas de la normativa
ADiReLab se compromete a difundir estos materiales entre sus asociados, así como a promover la adaptación al nuevo marco normativo

(Madrid, 6 de septiembre de 2019). La directora de la Agencia Española de Protección de Datos, Mar España, y el presidente de la Asociación de Directivos de Relaciones Laborales, Antonio de la Fuente, han suscrito un Protocolo General de Actuación entre la AEPD y ADiReLab para fomentar el cumplimiento del Reglamento General de Protección de Datos y la Ley Orgánica 3/2018, así como para ofrecer a las empresas recursos que les faciliten las obligaciones derivadas de esta normativa.

El Reglamento y la Ley Orgánica 3/2018 han establecido un nuevo escenario regulatorio para las empresas y organizaciones que hacen tratamientos de datos personales. Una de las consecuencias con mayor repercusión es la introducción del principio de ‘responsabilidad activa’, por el que las empresas deben adoptar las medidas necesarias en función del tipo de tratamientos que realicen tanto para cumplir con la normativa como para estar en disposición de demostrar que cumplen.

La AEPD considera una prioridad el fomento de la concienciación entre las empresas, contribuyendo a que el sector empresarial consiga un elevado cumplimiento de sus obligaciones, fomentando una cultura de la protección de datos que suponga una clara mejora de la competitividad y contribuya al desarrollo de una economía más innovadora.

Por su parte ADiReLab tiene como misión promocionar y desarrollar la función directiva de las relaciones laborales como valor estratégico para empresas y organizaciones; fomentar el diálogo social y facilitar a sus miembros el conocimiento especializado de las normas laborales y los criterios de interpretación de la Administración y los Tribunales, así como anticipar las tendencias de futuro y transformación de las relaciones laborales a nivel global por el impacto de la tecnología, la demografía o la globalización.

En virtud de este Protocolo la AEPD pondrá a disposición de ADiReLab aquellas herramientas, guías y publicaciones que puedan ayudar a las empresas para que esta última las difunda entre sus socios. Esto incluye, entre otras, la herramienta Facilita_RGPD para aquellas que realicen tratamientos de datos de bajo riesgo o Gestiona_EIPD, para aquellas que prevean realizar tratamientos de datos de alto riesgo. Asimismo, la Agencia pone a disposición de ADiReLab la celebración de un taller formativo anual sobre el impacto de la LOPDGDD en las relaciones laborales y el análisis y la difusión de la doctrina administrativa de la AEPD en materia de protección de los datos personales de los empleados.

El Protocolo suscrito recoge igualmente que la AEPD valorará y analizará las propuestas recibidas de ADiReLab que contribuyan a fomentar la difusión y conocimiento del nuevo marco jurídico y ADiReLab, por su parte, prestará especial atención a las iniciativas que le traslade la AEPD y que puedan aportar mejoras en el conocimiento de la normativa por parte de sus socios/as, utilizando sus canales para garantizar la difusión de los contenidos que les traslade la Agencia, de forma que sean conocidos y accesibles para sus miembros.

Inicio de las funciones del Consejo de la Transparencia y Protección de Datos de Andalucía

/en /por

El Consejo de Transparencia y Protección de Datos de Andalucía iniciará las funciones que tiene atribuidas en materia de protección de datos de carácter personal el día 1 de octubre de 2019, en los términos establecidos en la Ley 1/2014, de 24 de junio, de Transparencia Pública de Andalucía, en la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales y en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, en lo que le sean de aplicación. El ejercicio de las referidas funciones se llevará a cabo respecto de los tratamientos de los que sean responsables las instituciones autonómicas de Andalucía, la Administración de la Junta de Andalucía, la Administración Local en Andalucía y otras entidades dependientes de cualquiera de ellas, así como las universidades del sistema universitario andaluz.

El administrador de un sitio de Internet equipado con el botón «me gusta» de Facebook puede ser responsable conjuntamente con Facebook de la recogida y la transmisión a Facebook de los datos personales de los visitantes de su sitio.

/en /por

Fashion ID, una empresa alemana de comercio electrónico que se dedica a la venta de prendas de vestir, insertó en su sitio de Internet el botón «me gusta» de Facebook. Dicha inserción parece
tener como consecuencia que, cuando un visitante consulta el sitio de Internet de Fashion ID, se transmiten a Facebook Ireland datos personales de ese visitante. Parece ser que esa transmisión
se efectúa sin que dicho visitante sea consciente de ello y con independencia de si es miembro de la red social Facebook o de si clicó en el botón «me gusta».

LEER NOTICIA COMPLETA EN SU FUENTE ORIGINAL

FUENTE ORIGINAL: TJUE

Protección de datos en vacaciones

/en /por

Protección de datos en vacaciones
dortega
Mié, 07/24/2019

Durante las vacaciones de verano no podemos bajar la guardia y debemos seguir siendo activos en la protección de datos, afrontando las situaciones de riesgo que se presentan en la época estival.

verano aepd

Con la llegada de las vacaciones de verano cambiamos muchas de nuestras rutinas, viajamos, salimos más, visitamos lugares nuevos y disfrutamos de nuestro tiempo libre junto a familiares y amigos. En esta entrega de nuestro blog os presentamos algunos consejos sobre cómo afrontar situaciones de riesgo para la protección de nuestros datos personales en época estival.

Piensa dos veces antes de compartir una foto o vídeo

La actividad estival hace que la cámara de nuestro teléfono móvil tenga más trabajo del habitual: detalles de los lugares que hemos visitado, gente con la que hemos estado, fiestas a las que hemos asistido, etc. Compartir parte de esas fotografías (o todas) en una red social es algo habitual para algunas personas y entraña algunos riesgos.

Según datos del Centro de Investigaciones Sociológicas (CIS), una de cada cuatro personas (24.5%) se ha arrepentido alguna vez de haber colgado algo en una red social. Te recomendamos que pienses en quién podrá ver tus fotos antes de pulsar el botón de compartir en tus redes sociales. Si tu perfil es accesible para los buscadores, ten en cuenta que cualquiera podrá ver, por ejemplo, las fotos, vídeos o comentarios que publicas. La Agencia dispone de una serie de vídeo tutoriales explicativos elaborados junto a INCIBE en  los que explica cómo accceder a la configuración de privacidad y seguridad de algunos de los servicios más populares en Internet para que tu perfil no se muestre cuando, por ejemplo, introduzcan tu nombre en un buscador.

Una vez que tu perfil ya no sea accesible para los buscadores, piensa también en que las personas a las que das acceso a tu información eligen a su vez quien puede tener acceso a su perfil: amigos, amigos de amigos o todo el mundo. Si compartes una foto con tus seguidores o amigos en una red social y uno de ellos indica que algo le gusta, un amigo de amigo, al que no tienes por qué conocer, puede terminar viendo esa imagen. Y es posible que haya situaciones que quizás no quieres compartir con desconocidos.

Siguiendo con los datos del CIS, un 12.2% de los encuestados afirma haber tenido problemas por contenidos que otros han colgado en una red social. Debemos recordar que necesitamos consentimiento de las personas que aparecen en las fotos que tomamos antes de compartirlas en Internet o de sus padres o tutores en el caso en que aparezcan menores.

Evita decir dónde estás

Compartir en Internet fotografías de tus viajes o tu geolocalización a través de una aplicación puede dar información a los delincuentes para saber cuándo no estás en casa. Ten cuidado también con compartir imágenes de tus billetes o tarjetas de embarque, ya que sus códigos pueden ser utilizados para acceder a tus datos personales y conocer el destino y fechas de tu viaje.

Desconfía de las WiFis abiertas y ordenadores compartidos

En verano pasamos mucho tiempo lejos de la WiFi de nuestra casa o del trabajo. Esto hace que consumamos los datos contratados rápidamente y andemos a la caza de WiFi gratuito. Las redes abiertas en ocasiones pueden ser utilizadas por ciberdelincuentes para robarte tus datos personales y contraseñas. Si las utilizas, no introduzcas tus contraseñas, no intercambies información sensible, no te conectes a tu servicio de banca, y no compres por Internet con ellas.

Del mismo modo, cuando estamos de viaje, pueden surgir situaciones en las que nos vemos obligados a hacer un trámite y conectarnos desde un ordenador público de un hotel o un locutorio. En estos casos te recomendamos utilizar la opción de navegación privada del navegador, no guardar tus contraseñas en el dispositivo compartido y, después de utilizarlo, cerrar todas las sesiones que hayas abierto (correo electrónico, webs, chats, etcétera).

Adelántate al robo o pérdida de tus dispositivos

 Cuando viajas o realizas actividades veraniegas como ir a la piscina, la playa o visitar lugares turísticos, aumentan los riesgos de perder o que nos roben nuestro móvil o tableta. No solemos ser conscientes de la cantidad de datos e información personal que contienen. Te recomendamos que hagas una copia de seguridad de la información que almacenas y no olvides añadir un sistema de clave o patrón para bloquear los dispositivos.

Aquí encontrarás más información sobre cómo poner en práctica todos estos consejos y en nuestro Youtube puedes ver vídeos tutoriales para configurar la privacidad de tus cuentas en redes sociales.

Ante todo, disfruta de las vacaciones

Por último, si te pasas el día pegado a tu teléfono móvil, en Internet y compartiendo todo lo que haces en tus redes sociales, te perderás muchas cosas buenas de tus vacaciones. Si puedes, desconecta, mira a tu alrededor, comparte tiempo con tus seres queridos y disfruta de las vacaciones.

La aplicación práctica de la nueva Ley de Protección de Datos y el Reglamento centran el curso que la Agencia imparte en la UIMP

/en , /por

La aplicación práctica de la nueva Ley de Protección de Datos y el Reglamento centran el curso que la Agencia imparte en la UIMP
dortega
Mié, 07/17/2019

17 de Julio de 2019

El curso ‘La Ley Orgánica de protección de datos personales y garantía de derechos digitales: orientaciones para su aplicación’, bajo la dirección de Mar España, tendrá lugar del 17 al 19 de julio en el marco de las Actividad

El curso ‘La Ley Orgánica de protección de datos personales y garantía de derechos digitales: orientaciones para su aplicación’, bajo la dirección de Mar España, tendrá lugar del 17 al 19 de julio en el marco de las Actividades de Verano de la Universidad Internacional Menéndez Pelayo
Acceso al programa

(17 de julio de 2019). La Agencia Española de Protección de Datos (AEPD) imparte durante los días 17, 18 y 19 de julio el curso ‘La Ley Orgánica de Protección de Datos Personales y garantía de derechos digitales: orientaciones para su aplicación’ bajo la dirección de Mar España, directora de la Agencia.

El encuentro tiene lugar durante las Actividades de Verano 2019 de la Universidad Internacional Menéndez Pelayo (UIMP) en el Palacio de La Magdalena de Santander y en él se analiza en profundidad la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, así como la aplicación práctica del Reglamento General de Protección de Datos (RGPD) cuando acaba de cumplirse un año de su aplicación.

UIMP
El programa incluye conferencias en las que se abordan cuestiones generales como los principios de la protección de datos, las bases jurídicas, las disposiciones aplicables a tratamientos concretos, las medidas de responsabilidad activa o los procedimientos para la tramitación de reclamaciones.

 A ellas se suman mesas redondas de temáticas especializadas, como la que tratará la protección de datos personales y la investigación en salud, las tecnologías de seguimiento y perfilado o la experiencia práctica de los delegados de protección de datos.

 La experiencia práctica de los delegados de protección de datos, el tratamiento de datos personales en las Administraciones Públicas o el balance del trabajo realizado por el Comité Europeo de Protección de Datos completan los contenidos del encuentro.

 El curso se dirige fundamentalmente a empresas, Administraciones Públicas, expertos en protección de datos y tecnologías de la información y, en general, a todos los profesionales interesados en la protección de datos de carácter personal.