Entradas

NEWS 10/Octubre/2012

INTECO Publica Estudio sobre la protección de datos en las empresas españolas:

El INSTITUTO NACIONAL DE TECNOLOGÍAS DE LA COMUNICACIÓN acaba de publicar este estudio cuyo objeto es “establecer un diagnóstico de la percepción de cumplimiento de la normativa vigente en materia de protección de datos personales por parte de la pequeña y mediana empresa española en 2012” según se recoge en su resumen ejecutivo.

Del estudio cabe destacar lo siguiente:

Respecto al Conocimiento de la LOPD.- Casi todas las pequeñas y medianas empresas la conoce (86%). Siendo conscientes de estar sujetas a la misma cerca del 80%.

Sobre la existencia de ficheros.- 3 de cada 4 empresas trabajan habitualmente con ficheros con datos personales, siendo los más frecuentes los de clientes (94%) y proveedores (80%). Otros ficheros usados con menor frecuencia son: nóminas, los archivos para la seguridad social y de candidatos.

En cuanto a la percepción de adopción de las obligaciones sobre protección de datos:

  • La mitad de las pequeñas y medianas empresas dicen cumplir con todas las obligaciones de la LOPD. 
  • El 57% de las empresas afirma haber inscrito los ficheros (siendo la estimación de INTECO, que solo el 31,8% los han inscrito)

Percepción de adopción de medidas de seguridad:

  • La percepción es irregular entre las empresas españolas.
  • Un 57% de pequeñas y medianas con ficheros con datos personales manifiesta tener un Documento de Seguridad. 
  • El 48% de las empresas afirma haber organizado sesiones de formación específica sobre protección de datos.
  • Solo un 30% de las empresas dice disponer de un registro de incidencias.
  • casi el 62% de las empresas españolas afirma que realiza copias de respaldo con periodicidad semanal.

Finalmente el informe también establece una serie de recomendaciones y los perfiles de empresas según su cumplimiento de la normativa sobre protección de datos:

  1. Empresas despreocupadas-indiferentes
  2. Empresas previsoras-estratégicas
  3. Empresas desinformadas
  4. Empresas cumplidoras

Recortes en la LOPD: Madrid elimina su Agencia

Aunque ya de vuelta a la completa realidad hace ya tiempo, teníamos pendiente asomarnos nuevamente al BLOG para compartir nuestras inquietudes, las noticias y los comentarios que en el mundo de la Privacidad y la protección de datos se vienen produciendo y que no son pocas.

Hoy nos hemos despertado con la noticia que indica que la Comunidad de Madrid eliminará (veremos hasta que punto) la Agencia de Protección de Datos de la Comunidad de Madrid (APDCM), entre otros organismos, en su afán por eliminar-recortar gastos.

Desde EUROVIMA, no entraremos a valorar, la necesidad de contar con un Organismo que siendo autoridad independiente de control tiene como objeto garantizar y proteger el derecho fundamental a la protección de datos personales, es decir, un objeto muy loable.

Sus competencias versan sobre los ficheros de titularidad pública creados o gestionados por la Comunidad Autónoma de Madrid y entre sus compromisos creo que se podría destacar su contribución en la difusión de los derechos y deberes que la legislación reconoce a los ciudadanos, en lo que respecta al tratamiento de datos de carácter personal y desarrollar una labor divulgativa a través de Sesiones Informativas, Jornadas, Convenios con Universidades y acciones formativas con el fin de difundir la normativa vigente sobre protección de datos.

EUROVIMA ha asistido a algunos de estos actos y ciertamente, aunque en ocasiones sean algo repetitivos, siempre deparan algún elemento a destacar e incorporar a los que tenemos el gusto de dedicarnos a esta profesión. De igual manera también hemos tenido ocasión de rescatar de la Agencia Vasca y Catalana, artículos, informes, y recomendaciones que merecen la pena.

Larga vida a la protección de datos, a la LOPD, venga “asistida” desde donde venga.

NEWS 20/septiembre/2012

Nuevo comunicado de la Fundación Tripartita señalando que posiblemente se estén produciendo casos de fraude en la impartición de curso sobre blanqueo de capitales y financiación del terrorismo.

La Fundación recuerda y advierte sobre la necesidad de acreditar la participación de los trabajadores, es decir, de estar ante un nuevo caso del llamado “coste 0” (ofrecer un curso financiado con fondos y “regalar” un asesoramiento vinculado al contenido del curso).

La Fundación recuerda, advierte  y previene sobre la inadecuada utilización de los créditos de  formación y evitar que se produzcan errores que supongan la devolución de las cantidades bonificadas por los costes de los mismos, ya que está recibiendo numerosas consultas sobre la posibilidad de bonificar los costes de los cursos indicados.

NEWS 18/junio/2012

En el día de hoy, la AEPD (Agencia Española protección Datos) ha publicado en su página web 2 documentos elaborados por la AEPD y CGAE (Consejo General de la Abogacía Española), acerca del uso del CLOUD COMPUTING en los despachos de abogados.

Este informe puede servir perfectamente para los prestadores del servicio de CLOUD, dándole la vuelta, es decir, desde su óptica del prestador del servicio.

  1. Utilización del Cloud Computing por los despachos de abogados y el derecho a la protección de datos de carácter personal
  2. Díptico resumen

Bienvenidos. No olviden su ración vitamínica LOPD…

bkg_fondowebmeeting_1024x768En estos tiempos presentes, en los que parece que todo está un tanto oscuro, nos gustaría poner un poco de luz, cuando menos en lo que podamos y nos corresponde; La Privacidad y la Protección de Datos de carácter personal.

Hemos actualizado nuestra web, la hemos puesto más o menos al día en cuanto a su contenido “2.0” (que no sé muy bien que significa, pero todo el mundo habla de ello) ya que deseábamos ofrecer a nuestros Clientes y Visitantes un lugar en el que poder encontrar información, contenido y actualidad en lo referente a la LOPD, LSSI y en general al mundo de las nuevas tecnologías desde una perspectiva jurídica y de aplicación en nuestra Organizaciones.

Aunque hemos tardado, esperamos que os guste el resultado, que iremos completando y mejorando en la medida que el trabajo lo permita. Si encontráis algo que os llame la atención esperamos vuestros comentarios, si tenéis alguna duda o sugerencia también.

La dirección y el equipo colaborador de EUROVIMA CONSULTING, os dan las gracias por vuestra fidelidad y desea agradecer de manera especial a nuestro equipo webmaster que ha diseñado la presente web y con su experiencia nos ha ayudado a ponerla en marcha, al igual que a nuestro proveedor INFORMATICOS.CO que ha sido paciente, nos aloja y cuida. Por último y no menos importante, agradecer a Pablo Valenzuela que desde MYEGOO también ha participado en la primera puesta en escena de EUROVIMA en la red y a la Dirección y Personal de BITAM por sus múltiples aportaciones.

“Nube” o Cloud Computing. Seamos diligentes…

cloudParece que los servicios de Cloud Computing se van imponiendo en nuestra sociedad, que ya nadie puede vivir sin sus ventajas, que es el futuro en el presente, que gracias al desarrollo de las telecomunicaciones, a la mayor velocidad en la transmisión de información, a la posibilidad de aplicar costes reducidos en nuestro negocio, pero sobre todo que los servicios de Cloud Computing los puedo utilizar desde donde, cómo y cuando lo necesite, ya que está disponible “en la nube de Internet” sin conocimientos (o al menos sin ser expertos) y pagando únicamente por el consumo efectuado o pactado.

En definitiva un servicio económico, flexible, 100% disponible y 100% seguro; ¿SEGURO?…

Hagamos una primera aproximación al Cloud Computing, pues creo que nos conviene conocer las implicaciones que desde el punto de vista LOPD suponen estos servicios. 

A lo largo del último año ha acaparado jornadas, talleres y conferencias, como la Sesión Anual de la Agencia Española de Protección de Datos que le dedicó parte de su tiempo, la reciente organizada por la Asociación Profesional Española de Privacidad, a la que como Asociado de APEP asistí y que contó con la participación especial de la AEPD o en la recientemente celebrada por la Agencia de Protección de Datos de la Comunidad de Madrid, en la que se abordó cuestiones muy cercanas como las Transferencias internacionales de datos y ámbito territorial de aplicación.

Primero vamos a “definir” el servicio de Cloud Computing o computación en la nube, como el suministro de servicios facilitados por un tercero (prestador del servicio), para el alojamiento de información de datos, aplicaciones, infraestructura y demás recursos para poder acceder, tratar y operar con la información y datos almacenados.

Los servicios de Cloud Computing, vienen suscitando discusiones sobre tres cuestiones, entre otras, que afectan al servicio frente a la Ley de Protección de Datos:

  1. La poca claridad respecto al lugar de almacenamiento de los datos en servicios de hosting.
  2. Las dudas en las garantías de seguridad de los mismos (cifrado, disociación y fragmentación)
  3. La subcontratación de los servicios (identificar y autorizar).

Para la LOPD, es determinante establecer en qué ubicación física concreta (no digamos ya si la ubicación cambia) se van a alojar los datos personales alojados en “la nube”, pues dependiendo de se encuentren en España o en otro país, habrá que establecer si la cesión de los mismos constituye una “transferencia internacional de datos” (TID) o no, y por tanto de sus consecuencias legales. Caramba¡¡¡¡¡ y eso como lo voy a saber?.

Tranquilos, la TID jurídicamente es de las situaciones más complejas de regular, ello suscita que el Cloud sea considerado en materia LOPD un modelo a regular de manera especialmente cuidadosa, sobre todo si como se vislumbra será la forma predominante que adoptarán las empresas para organizar sus sistemas de información almacenados directamente en los servidores del prestador del servicio.

Esperaremos a que las Autoridades Europeas de Protección de Datos (G. Trabajo del Artículo 29) se pronucie o a que caigan las primeras sanciones de la AEPD y con ello se nos irán disipando las dudas (aunque parece que por la AEPD existe voluntad en buscar soluciones que garanticen los derechos, con medidas alternativas y equivalentes a las que exige la Ley).

Recordemos que este servicio supone que dicho prestador se convierta en Encargado del Tratamiento del cliente, debiendo suscribirse el contrato conforme el artículo 12 de la LOPD. Contrato recogerá que el Encargado deberá adoptar las medidas de seguridad que exige la normativa con motivo del procesamiento de los datos responsabilidad del cliente (medidas establecidas en el artículo 82 Reglamento de Desarrollo de la LOPD). Caramba¡¡¡¡¡ y eso me lo firmarán a mí, a medida?.

Si esto les parece poco, señores, recuerden que la normativa establece que hemos de ser “diligentes” a la hora de elegir nuestro proveedor de servicios y por tanto es nuestra responsabilidad elegir al prestador adecuado, si bien será difícil demostrar/argumentar dicha diligencia, es decir, aunque exista incumplimiento de contrato, tendré que demostrar que he sido diligente al elegir al prestador. Caramba¡¡¡¡¡ y eso como lo sé o demuestro.

Por no hablar del consejo de incluir en el contrato la posibilidad de solicitar la realización de auditorías al Encargado (cuestión muy debatida sobre su posibilidad de aplicación “real”) o sobre el lugar de almacenamiento físico de los datos y su presunta opacidad, siendo importantísimo que, de manera previa al inicio del servicio de Cloud Computing el proveedor ponga en conocimiento del cliente la ubicación física del mismo (que puede no ser única), o sobre que a menos que el Responsable lo autorice, el Encargado del Tratamiento no podrá comunicar los datos a un tercero ni subcontratar los servicios…

En definitiva, para qué me pregunto esto, si todo el mundo está en la nube y la usa, SI ES EL FUTURO¡¡¡¡¡…

A medida que haya pronunciamientos por parte del Grupo de Autoridades Europeas de Protección de Datos o vea la luz el futuro Reglamento de la UE, iremos saliendo de dudas y valorando los mismos. Mientras recuerden ser “diligentes”.

Jornada: Proyecto del Reglamento “LOPD” de UE

jornadasDesde Eurovima hemos asistido a la jornada recientemente celebrada por la Agencia de Protección de Datos de la Comunidad de Madrid, en la que se ha debatido sobre el Proyecto de Reglamento general de protección de datos de la Unión Europea.

Con el aforo  completo y con un alto interés por escuchar que aportaciones se podían presentar, interés que se plasma en que el primer día de solicitud se cerraron ya las inscripciones, a mí entender, la jornada cubrió parte de esas expectativas aunque como suele ser habitual muchas cuestiones quedan en el “limbo interpretativo” pero quizás esta vez la excusa perfecta es que hablamos de un proyecto en discusión y análisis, del que se espera que sobreviva un 80% del mismo.

Quiero destacar la intervención del Presidente de la Asociación Profesional Española de Privacidad, no solo como asociado de APEP, ya que en mi opinión, D. Ricard Martínez entró a analizar las cuestiones no únicamente desde un punto de vista jurídico-normativo, que también, sobre todo de aplicación, de cómo afectarán o se prevé implementar dicho reglamento en nuestro país, en nuestra organizaciones, cuestiones que aportan algo de “realidad” a tanta normativa, Directiva, Autoridad de Control, etc.

De modo esquemático, lo más destacable ha sido:

  • La pretensión real de homologar la protección de datos en toda la Comunidad Europea, aunque parece que podrán coexistir normativas puntuales, cuestión que contradice a la pretensión principal.
  • Se prevé un tránsito largo hasta su aprobación y por supuesto su posterior exigencia, que en nuestra opinión puede hacer que el reglamento nazca en parte “obsoleto”, eso sí, parece que los Españoles hemos hecho los deberes ya que somos una referencia en la materia, o eso es lo que el Secretario General Supervisor Europeo de Protección de Datos vino a decir.
  • Exigir un consentimiento explícito (el silencio ya no vale). Veremos hasta qué punto el consentimiento tácito sobrevive o no y que modalidades emplearán aquellos que nos envían sus cartas diciéndonos que cederán nuestros datos a una nueva empresa del grupo y que si en 30 días no contestamos (moléstense) entonces entenderemos otorgado su consentimiento.
  • Sobre los derechos ARCO y los buscadores, en lo referente al derecho al olvido, parece que la cancelación será exigible pero será una cuestión de trasladar la petición y que cada cual cancele. Por tanto el buscador hará de “correveidile”
  • Parece que el consentimiento tácito se “muere”, veremos. Y es que la exigencia de un consentimiento explícito para el que tenga que recabar datos personales, basado en una “clara acción afirmativa” veremos hasta donde se aplica, ya que el término “clara” valga la redundancia no está nada claro.
  • La jornada contó con una amena y locuaz presentación sobre la Seguridad y los Sistemas de Información pero que desde el punto de vista del reglamento no aportó nada concreto.

Veremos cómo se desarrollan los acontecimientos y plazos, mientras continuaremos con nuestra LOPD y su querido reglamento.