Guía de privacidad y seguridad en internet, con consejos y recomendaciones prácticas para el ciudadano

Guía de privacidad y seguridad en internet, con consejos y recomendaciones prácticas para el ciudadano

La Agencia Española de Protección de Datos (AEPD) y el Instituto Nacional de Ciberseguridad (INCIBE), entidad dependiente del Ministerio de Industria, Energía y Turismo, han presentado en la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI) la ‘‘Guía sobre Privacidad y seguridad en internet’’.

Esta iniciativa es el resultado de una apuesta conjunta de ambos organismos para concienciar a los usuarios de la importancia de proteger su información personal, ofreciendo consejos y recomendaciones prácticas. El proyecto cuenta con la colaboración de la Agencia Española de Consumo, Seguridad Alimentaria y Nutrición (AECOSAN) del Ministerio de Sanidad, Servicios Sociales e Igualdad; Policía; Guardia Civil; y Telefónica.

La directora de la AEPD, Mar España, ha destacado la importancia ofrecer herramientas prácticas para fomentar e impulsar la cultura de protección de datos entre los ciudadanos, y el director general del INCIBE, Miguel Rego, ha insistido en la necesidad de que los ciudadanos adopten una actitud proactiva en cuanto al hábito de actualizar y ampliar sus conocimientos sobre seguridad, como medida preventiva para usar las nuevas tecnologías con confianza.

Buena parte de los servicios más populares de la Red se prestan utilizando gran cantidad de información y datos personales que aportan los propios usuarios. La Agencia e INCIBE consideran que la privacidad y la seguridad son aspectos fundamentales que deben tenerse en cuenta para minimizar los riesgos que pueden llegar a producirse en un mundo hiperconectado.

El objetivo de la ‘Guía sobre Privacidad y seguridad en Internet’ es ofrecer información práctica sobre cómo reducir esos riesgos a los que pueden exponerse cuando utilizan determinados servicios. Con un total de 18 fichas prácticas, en ellas se abordan temas como la importancia de proteger los dispositivos portátiles; generar y gestionar contraseñas; en qué consiste la verificación en dos pasos; cómo realizar copias de seguridad o proteger el correo electrónico; configurar el navegador para que no almacene todos los pasos que se dan mientras se navega por internet; gestionar la información que se almacena en la nube; configurar el perfil en las redes sociales o dónde recurrir para educar a los menores en un uso seguro de internet, sin olvidar temas como el phishing o la protección de redes WIFI.

Los distintos temas prácticos planteados en cada una de las fichas se complementan además con enlaces a contenidos que se encuentran desarrollados en las webs de la Oficina de Seguridad del Internauta de INCIBE y la Agencia Española de Protección de Datos.

La publicación, disponible tanto en versión web como en PDF, se acompaña de seis vídeo tutoriales explicativos en los que se muestra cómo acceder a las configuraciones de privacidad y seguridad de algunos de los servicios más populares de internet.

La AEPD e INCIBE esperan que esta iniciativa sea de utilidad a los usuarios de Internet y permita un acercamiento práctico a los contenidos desarrollados por ambas instituciones, que tienen como fin prevenir, concienciar y ofrecer soluciones prácticas.

Fuente: AEPD

La AEPD inicia actuaciones de investigación por la comunicación de datos entre Whatsapp y Facebook

La AEPD inicia actuaciones de investigación por la comunicación de datos entre Whatsapp y Facebook

Las actuaciones previas de investigación examinarán si las comunicaciones de datos personales realizadas entre Whatsapp y Facebook, y los tratamientos que dicha comunicación genera, respetan la legislación española de protección de datos.

La Agencia Española de Protección de Datos ha iniciado de oficio actuaciones previas de investigación para examinar las comunicaciones de datos personales realizadas entre Whatsapp y Facebook, así como los tratamientos que dicha comunicación genera. Estas actuaciones tienen por objeto estudiar si los extremos mencionados respetan la legislación española de protección de datos así como determinar, en su caso, las responsabilidades correspondientes.

La investigación se centrará, entre otros aspectos, en qué información de los usuarios de Whatsapp se recoge y envía a Facebook, los fines para los que se utiliza, los plazos de conservación, o las opciones que se ofrecen a los usuarios para oponerse a los tratamientos de su información personal.

El pasado mes de agosto WhatsApp actualizó los términos de su servicio y la política de privacidad, introduciendo cambios sobre la forma en la que maneja la información personal de sus usuarios. La AEPD, como hace habitualmente cuando surgen inquietudes con respecto al impacto que determinados productos o servicios pueden tener sobre la privacidad y la protección de datos de los ciudadanos, ya anunció entonces que estaba estudiando los cambios introducidos por la compañía.

Esta actuación de la Agencia española está en línea y se coordinará con iniciativas similares de Autoridades de Protección de Datos como Alemania, Italia o Reino Unido, si bien cada una actúa ejerciendo las potestades que le confieren sus respectivos ordenamientos nacionales.

Fuente: AEPD

Implicaciones prácticas del Reglamento General de Protección de Datos para entidades en el periodo de transición.

Implicaciones prácticas del Reglamento General de Protección de Datos para entidades en el periodo de transición.

La Agencia Española de Protección de Datos recomienda a las organizaciones que vayan adaptando sus procesos, ya que la nueva normativa supone una gestión distinta de la que se viene empleando.

El 25 de mayo de 2016 entró en vigor el Reglamento General de Protección de Datos (RGPD). Aunque no comenzará a aplicarse hasta dos años después, es importante que las organizaciones vayan adaptando sus procesos, ya que la nueva normativa supone una gestión distinta de la que se viene empleando.

La Agencia Española de Protección de Datos (AEPD), en su faceta preventiva, quiere fomentar que las entidades puedan conocer las posibles dificultades en su aplicación para tomar medidas que permitan solventarlas. A continuación se analizan algunas de las implicaciones prácticas que conviene que las entidades conozcan para afrontar el momento en el que el Reglamento sea aplicable. La AEPD está comprometida con conseguir que la aplicación del RGPD se produzca con pleno respeto a sus disposiciones y, al mismo tiempo, con ofrecer la mayor flexibilidad posible.

1. Consentimiento

El Reglamento requiere que las personas cuyos datos se tratan presten su consentimiento mediante una manifestación inequívoca o una clara acción afirmativa. Esto excluye la utilización del llamado consentimiento tácito, que actualmente permite la normativa española. Los consentimientos obtenidos con anterioridad a la fecha de aplicación del RGPD sólo seguirán siendo válidos como base de tratamiento si se obtuvieron respetando los criterios fijados por el propio Reglamento.

La Agencia aconseja que las organizaciones que en estos
momentos utilizan el llamado consentimiento tácito como base para los tratamientos comiencen tanto a revisar los consentimientos ya obtenidos para adecuarlos al Reglamento como a utilizar mecanismos acordes con la nueva legislación. A partir de mayo de 2018, sólo tendrán legitimación suficiente los tratamientos basados en el consentimiento inequívoco, con independencia de cuándo se haya obtenido ese consentimiento.

2. Información

En materia de información el RGPD incluye cuestiones adicionales que actualmente no son requeridas por la normativa española. Cabe plantearse, por tanto, qué va a suceder con todas las cláusulas informativas utilizadas con anterioridad a mayo de 2018 una vez que el Reglamento sea de aplicación.

Este periodo transitorio debería ser utilizado por las organizaciones para realizar una adaptación progresiva por varias vías. Por una parte, muchas organizaciones pueden proporcionar esa información adicional sin costes o esfuerzos excesivos utilizando para ello sus páginas web o aprovechando los canales de comunicación regulares que puedan mantener con sus clientes. Estas buenas prácticas contribuirían a reducir el número de casos en que las cláusulas informativas presenten carencias cuando el Reglamento sea de aplicación.

Al mismo tiempo, es aconsejable que las organizaciones adapten sus políticas informativas a lo dispuesto por el Reglamento. Hay algunas cuestiones donde esa información dependerá de la adopción de otras decisiones, como puede ser el proporcionar los datos del Delegado de Protección de Datos. Esos datos no podrán trasladarse a los interesados hasta que ese Delegado no sea designado en los casos en que el Reglamento lo hace obligatorio o cuando las organizaciones decidan voluntariamente nombrarlo pero otros elementos sí pueden ya anticiparse y, en la medida de lo posible, incorporarse sin dilación a las informaciones que se proporcionan a los interesados.

3. Evaluaciones de impacto sobre la protección de datos

La realización de Evaluaciones de Impacto sobre la protección de datos –aplicables de forma obligatoria en ciertos tratamientos- tiene carácter previo a la puesta en marcha de los mismos y tiene como objetivo minimizar los riesgos que un tratamiento de datos plantea para los ciudadanos. Por ello, posiblemente no sería acorde con el espíritu del Reglamento exigir que todo tratamiento que pueda potencialmente suponer un alto riesgo para los derechos de los interesados deba ser objeto de una Evaluación de Impacto pese a haber comenzado antes de que resulte aplicable.

Sin embargo, en la medida en que esos tratamientos incorporen, a partir de mayo de 2018, nuevos datos, debe entenderse que, pese a que el tratamiento siga siendo el mismo, se estaría aplicando a nuevos interesados cuyos derechos y libertades podrían estar en riesgo a partir de la fecha en que sus datos comienzan a ser tratados. Por ello, en esos casos sí sería necesario que se llevara a cabo una EIPD en los supuestos a los que se refiere el RGPD.

En los demás casos en que las evaluaciones puedan ser obligatorias, la Agencia considera que no debería esperarse a la fecha de aplicación del Reglamento para comenzar a utilizar esta herramienta, ya que requiere de preparación, elección de la metodología adecuada, identificación de los equipos de trabajo y otra serie de condiciones que no pueden improvisarse.

Comenzar a incorporar este sistema a la actuación de las organizaciones no sólo va a permitirles estar en mejores condiciones en el momento en que resulte obligatorio para algunas de ellas, sino que también les permitirá asegurar el cumplimiento no ya del futuro Reglamento, sino incluso de la actual normativa.

4. Certificación

El Reglamento concede una atención especial a la implantación de esquemas de certificación y abre diversas posibilidades para su gestión. Las certificaciones pueden ser otorgadas por las Autoridades de protección de datos, tanto individual como colectivamente desde el Comité Europeo, o por entidades debidamente acreditadas. Al mismo tiempo, en el caso de optarse por esta última alternativa, la acreditación pueden llevarla a cabo las propias Autoridades o encargarlo a las entidades de acreditación previstas en la normativa europea sobre normalización y certificación. En todo caso, en la elaboración de los criterios tanto para acreditar entidades como para certificar a las organizaciones tienen diferentes grados de participación las autoridades de supervisión y el Comité Europeo.

La AEPD entiende que, de entre estas posibilidades, la que mejor responderá a las necesidades de las entidades al tiempo que es compatible con la configuración y posibilidades de actuación de la Agencia es la de encomendar la certificación a entidades especializadas debidamente acreditadas y dejar que se ocupe de la acreditación de éstas la Entidad Nacional de Acreditación (ENAC), contando para ello con la participación de la Agencia.

5. Delegados de protección de datos. Certificación

El Reglamento requiere que los Delegados de Protección de Datos (DPD) sean nombrados en función de sus cualificaciones profesionales, en especial su conocimiento en materia de protección de datos, y su capacidad para el desempeño de sus funciones. Sin embargo, no establece específicamente cuáles han de ser esas cualificaciones profesionales ni tampoco el modo en que podrán demostrarse ante las organizaciones que deban incorporar esta figura. De hecho, el Reglamento indica en uno de sus considerandos que la valoración de estas aptitudes y conocimientos deberá realizarse no tanto en función de criterios externos como de las necesidades de los tratamientos concretos que cada organización lleve a cabo.

La Agencia considera que no es oportuno establecer un sistema de certificación de Delegados de Protección de Datos que opere como requisito para el acceso a la profesión.

En este momento, ya existe una oferta de certificaciones y titulaciones que respaldan conocimientos, experiencia o práctica en el ámbito de la protección de datos. Esas titulaciones están llamadas a jugar un papel relevante en el desarrollo de las profesiones relacionadas con la protección de datos en la medida en que pueden servir como un elemento más, aunque no sea necesariamente único, para que la organización que tiene que designar un DPD pueda tener constancia de la formación o cualificaciones de los posibles candidatos.

Para que la oferta de certificaciones y titulaciones funcione de manera rigurosa es necesario que estas reúnan unos requisitos que permitan que las entidades que los reciban puedan tener un razonable grado de certeza sobre lo que reflejan.

La Agencia está valorando la posibilidad de promover la aplicación de la acreditación de entidades de certificación de profesionales con arreglo a estándares ya establecidos. Esta acreditación, que llevaría a cabo la Entidad Nacional de Acreditación (ENAC) de acuerdo con lo previsto en esos estándares y con las peculiaridades propias del sector, serviría para constatar que la entidad que expide los títulos, certificados o certificaciones lo hace con arreglo a unos determinados procedimientos y requisitos. La acreditación no se pronuncia sobre la calidad de los contenidos de la formación o de los aspectos que se certifican.

El hecho de que algunas entidades se acrediten no implicará necesariamente que otras que no lo hagan no apliquen los mismos criterios ni tampoco que la posesión de la titulación o certificación sea la única vía para acceder a un puesto de Delegado de Protección de Datos.

La Agencia considera que estas cuestiones tendrían un carácter instrumental orientado a ofrecer apoyo a las organizaciones a la hora de designar a un DPD. No obstante, en ningún caso excluyen que profesionales con formaciones procedentes de centros no acreditados o sin una formación específica pero con experiencia profesional puedan desempeñar las funciones de Delegado si su currículo muestra que reúnen los requisitos de conocimiento y cualidades profesionales que el Reglamento establece.

6. Relación entre responsables y encargados

El Reglamento describe un contenido mínimo de los contratos de encargo de tratamiento que excede las previsiones contempladas en la Directiva. En el caso español, la LOPD ya contempla la inclusión de algunos de esos contenidos en los contratos, aunque hay diferencias entre esta y en RGPD en relación a los requisitos fijados.

El contrato es el documento que determina las obligaciones de las partes ante la prestación del servicio de encargo que se acuerda. Por ello, debe respetar en todo caso el contenido fijado por el Reglamento ya que, en caso contrario, no se estarían trasladando a los encargados las obligaciones que el Reglamento específicamente prevé.

Este momento de transición entre la entrada en vigor y la aplicación del RGPD debería aprovecharse para llevar a cabo dos acciones paralelas. En primer lugar, para abordar la revisión de los contratos ya existentes y que se refieran a encargos con vocación de prolongarse en el tiempo, de forma que en mayo de 2018 sean compatibles con las disposiciones del Reglamento. En segundo lugar, para comenzar a incluir en las nuevas cláusulas contractuales todos los elementos que el Reglamento considera necesarios.

La Agencia, en colaboración con las Agencias autonómicas, está trabajando en la preparación de unas recomendaciones para los contratos de encargo. No se trata de los modelos de contrato a que se refiere el Reglamento debido a que esos modelos requieren de aprobación por parte del Comité Europeo de Protección de Datos -que aún no se ha establecido-, si bien tienen el objetivo de servir de orientación en esta primera etapa para que las organizaciones respondan a los nuevos requerimientos.

7. Herramientas para pymes y herramientas sectoriales

La Agencia está trabajando en la preparación de herramientas que ayuden a responsables y encargados al entendimiento y cumplimiento del Reglamento. Entre ellas, hay que destacar un recurso online orientado a las pymes que realicen tratamientos de bajo o muy bajo riesgo, de forma que puedan constatar de una manera sencilla que se encuentran en esa situación y, a la vez, disponer de una lista de las medidas que tienen que implantar en función de ese bajo nivel de riesgo.

Está previsto que este recurso se complemente con otros más avanzados, orientados a las pymes que desarrollan tratamientos que conllevan un nivel de riesgo algo mayor como consecuencia de alguna circunstancia concreta -como puede ser el manejo de datos sensibles- y que incluirá un apartado dedicado a las medidas de seguridad que deben implantarse.

La AEPD está trabajando junto a las Agencias autonómicas en cláusulas informativas adaptadas al nuevo Reglamento para sectores o tratamientos diferenciados. Así, está previsto ofrecer una serie de recomendaciones o criterios para ayudar a reflejar los distintos puntos que el Reglamento exige en la información.

Fuente: AEPD

No te enredes en internet

No te enredes en internet

La AEPD publica nuevas guías orientadas a jóvenes, padres y profesores para concienciar sobre la importancia de proteger la privacidad en internet.

La Agencia Española de Protección de Datos presenta la nueva versión de su web Tú decides en internet, que incorpora nuevos contenidos entre los que se encuentran las guías ‘’No te enredes en internet’’, orientada a menores, y ‘‘Guíales en internet’’, para padres y profesores.

  • Presenta nuevos materiales didácticos y rediseña y amplía su proyecto online Tú decides en internet
  • La web incluye, entre otras mejoras, dos nuevas guías: ‘No te enredes en internet’, orientada a jóvenes, y ‘Guíales en internet’, para padres y profesores
  • El proyecto Tú decides, orientado principalmente a jóvenes de entre 10 y 14 años, tiene como objetivo ofrecer una plataforma de consulta y apoyo tanto a menores como a padres y profesores
  • El Instituto Nacional de Tecnologías Educativas y de Formación del Profesorado (INTEF) contribuye a su difusión alojando los contenidos en su plataforma y poniéndolos a disposición de todos los profesores
  • Los materiales se han facilitado el 6 de noviembre de 2015 a las Administraciones educativas del Estado y de las CCAA, solicitando su colaboración para poder llegar a los más de 8 millones de alumnos escolarizados.

 

Derecho al olvido

Derecho al olvido

El Tribunal de Justicia de la Unión Europea hizo pública el 13 de mayo de 2014 una sentencia que establece, que el tratamiento de datos que realizan los motores de búsqueda está sometido a las normas de protección de datos de la Unión Europea y que las personas tienen derecho a solicitar, bajo ciertas condiciones, que los enlaces a sus datos personales no figuren en los resultados de una búsqueda en internet realizada por su nombre.

La  Agencia Española de Protección de Datos (AEPD), ha publicado recientemente en su canal del ciudadano “Cinco puntos clave para ejercer el derecho al olvido”

Cinco puntos clave para ejercer el ‘derecho al olvido’

¿Qué es el ‘derecho al olvido’?

El denominado ‘derecho al olvido’ es la manifestación de los tradicionales derechos de y cancelación y oposición aplicados a los buscadores de internet. El ‘derecho al olvido’ hace referencia al derecho a impedir la difusión de información personal a través de internet cuando su publicación no cumple los requisitos de adecuación y pertinencia previstos en la normativa. En concreto, incluye el derecho a limitar la difusión universal e indiscriminada de datos personales en los buscadores generales cuando la información es obsoleta o ya no tiene relevancia ni interés público, aunque la publicación original sea legítima (en el caso de boletines oficiales o informaciones amparadas por las libertades de expresión o de información).

¿Puedo ejercerlo frente al buscador sin acudir previamente a la fuente original?

Sí. Los motores de búsqueda y los editores originales realizan dos tratamientos de datos diferenciados, con legitimaciones diferentes y también con un impacto diferente sobre la privacidad de las personas. Por eso puede suceder, y de hecho sucede con frecuencia, que no proceda conceder el derecho frente al editor y sí frente al motor de búsqueda, ya que la difusión universal que realiza el buscador, sumado a la información adicional que facilita sobre el mismo individuo cuando se busca por su nombre, puede tener un impacto desproporcionado sobre su privacidad.

Si lo ejerzo frente a un buscador, ¿la información desaparecerá de internet?

No. La sentencia del Tribunal de Justicia de la UE de 13 de mayo de 2014 declara expresamente en este sentido que el ejercicio de los derechos de cancelación y oposición realizado frente a los buscadores sólo afecta a los resultados obtenidos en las búsquedas hechas mediante el nombre de la persona y no implica que la página deba ser suprimida de los índices del buscador ni de la fuente original. El enlace que se muestra en el buscador sólo dejará de ser visible cuando la búsqueda se realice a través del nombre de la persona que ejerció su derecho. Las fuentes permanecen inalteradas y el resultado se seguirá mostrando cuando la búsqueda se realice por cualquier otra palabra o término distinta al nombre del afectado.

¿Cómo puedo ejercerlo?

La legislación española establece que para ejercer los derechos de cancelación y oposición (y, por tanto, el ‘derecho al olvido’) es imprescindible que el ciudadano se dirija en primer lugar a la entidad que está tratando sus datos, en este caso al buscador. Los buscadores mayoritarios han habilitado sus propios formularios (GoogleBing o Yahoo) para recibir las peticiones de ejercicio de derechos en este ámbito. Si la entidad no responde a la petición realizada o el ciudadano considera que la respuesta que recibe no es la adecuada, puede solicitar que la Agencia Española de Protección de Datos tutele su derecho frente al responsable. En función de las circunstancias de cada caso concreto, la Agencia determinará si lo estima o no. Esta decisión de la Agencia, a su vez, es recurrible ante los Tribunales.

¿Limita el ‘derecho al olvido’ el derecho a recibir información?

No. En el caso de los buscadores, la sentencia señala que es necesario realizar una ponderación caso por caso para alcanzar un equilibrio entre los diferentes derechos e intereses. Dado que es imprescindible valorar las circunstancias de cada solicitud y que se debe tener en cuenta sistemáticamente el interés de los usuarios en acceder a una información, aquellas que resulten de interés para el público por su naturaleza o por afectar a una figura pública no serán aceptadas.

Mas información en la AEPD