Entradas

Motivos para adecuarnos a la Ley de Protección de datos y LSSI; ¿Elige el tuyo? - Eurovima Consulting

Motivos para adecuarnos a la LOPD y LSSI; ¡elige el tuyo!

/0 Comentarios/en /por

Motivos para adecuarnos a la Ley de Protección de datos y LSSI; ¿Elige el tuyo? - Eurovima Consulting

Veamos: ¿A quién afecta?  y  ¿Por qué es importante?

Primero hagámonos ésta pregunta, ¿a qué empresas/organizaciones/ profesionales afecta?

A TODAS; empresas, profesionales y también a entidades que tengan o no ánimo de lucro; fundaciones, asociaciones, comunidades de vecinos, etc.

De tal manera que las que tengan empleados/clientes/asociados/etc. estarán afectas por la Ley de Protección de Datos de Carácter Personal (LOPD) y las que actúen por Internet –aunque sólo tengan una página informativa-, por la LSSI.

En segundo lugar, veamos y busquemos motivos, legales o no, para adecuarnos; ¿por qué es importante? Entre otros motivos podemos señalar:

  • Ser un requerimiento legal, desde hace ya muchos, muchos, muchos años.
  • Se trata de uno de los derechos fundamentales reconocidos por la Constitución: “garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”.
  • Su aplicación compete a toda la Organización (dirección, empleados, comerciales, etc).
  • Su incumplimiento puede originar sanciones y problemas de imagen y confianza.
  • Permite implementar y revisar las medidas técnicas y organizativas que garantizan la confidencialidad, integridad, disponibilidad y un correcto tratamiento de la información que nuestros Clientes/Usuarios/Asociados/Miembros/Colaboradores nos han confiado.
  • Debemos garantizar la continuidad de nuestro negocio. Invertir en seguridad supone ganar en rapidez y eficacia, adquiriendo un compromiso con la calidad y ética empresarial.
  • Ofrecer al cliente de Internet la misma imagen, seguridad, garantías y confianza que tienen de nuestra empresa de manera presencial.
  • Los servicios, comunicaciones en Internet, Redes Sociales, etc. se han convertido en canales de comunicación y marketing importantes para las empresas, grandes y pequeñas; donde ofrecer servicios, productos, imagen y filosofía, sin limitaciones geográficas y a una multitud de visitantes.
  • Recordemos que no estamos ante un proceso estático ya que es necesario que se encuentre actualizado siendo necesario establecerlo como un proceso de mejora continua.

¿A qué estamos obligados? Entre otras cuestiones a:

  • Declarar que datos tratamos, su finalidad, usos, cesiones, etc. y que los medios usados (captación, tratamiento y difusión) en el tratamiento de datos de carácter personal, sean adecuados y que los datos sean proporcionales a su finalidad, veraces y obtenidos legítimamente
  • Mantener actualizadas las medidas seguridad y procedimientos que garanticen el cumplimiento de los requerimientos legales de la información con datos de carácter personal que gestionamos.
  • Revisar o formalizar los contratos, con aquellos que nos prestan un servicio con acceso o tratamiento de nuestros datos (asesorías, mantenimiento informático, etc.).
  • Informar/implicar a los intervinientes (empleados, colaboradores, empresas externas), y facilitar y garantizar derechos de oposición, acceso, rectificación y cancelación a los clientes.
  • A la adaptación de nuestra página web, desde el punto de vista LOPD como LSSICE (Boletín de Novedades o Newsletter, registros de usuarios, Ventas, etc.).

Busca tu motivo para cumplir con la protección de datos y la LSSI

Habitualmente nos encontramos que muchos de estos aspectos las empresas los cumplen simplemente por el interés de salvaguardar su propio negocio y la información que lo sustenta.

Puede que también tengan implementadas medidas técnicas y organizativas que garantizan la seguridad, confidencialidad y un correcto tratamiento de la información que gestionan aun cuando no se encuentran gestionados, documentados o controlados tal y como establece la normativa.

Por todo lo dicho, busca tu motivo para cumplir con la protección de datos y la LSSI y llámanos, te informaremos en detalle.

Redes Sociales II; Riesgos y aspectos a tener en cuenta por las empresas

/4 Comentarios/en /por

Hace poco más de un mes, os prometimos un segundo post en el que hablásemos de cómo Internet genera por sí misma, situaciones de riesgo, desde el punto de vista de la seguridad y privacidad, que provocan un impacto reputacional y económico para la organización y de cómo los llamados community manager, nos pueden ayudar o no.

Pensemos que la «finalidad», el sentido o lo que perseguimos estando en una Red Social y lo que pensamos hacer en la misma, serán cuestiones que marcarán nuestra exposición al riesgo y un posible impacto reputacional.

Podemos definir la identidad online de la empresa como el conjunto de información que aparece en Internet sobre la misma: datos, imágenes, registros, comentarios, etc. Información que engloba los comentarios y opiniones que los demás vierten en la red, vengan o no, a partir de aquellos contenidos que activamente genera la organización.

Pero antes, analicemos algunos estudios como el documento publicado por Panda Security: “Índice Anual de riesgo de las Redes Sociales para PYMES” (acceso al artículo completo) cuyo objetivo de la encuesta es descubrir las preocupaciones que tienen las PYMEs sobre el uso de las redes sociales y presentar la relación entre la incidencia actual del malware (software malicioso, hostil, intrusivo o molesto) y las pérdidas económicas. El estudio se realizó en base a una encuesta realizada a 315 empresas americanas, de entre 15 y 1.000 empleados y las conclusiones principales fueron:

  1. Casi un tercio de las PYMEs se han infectado con malware a través de redes sociales
  2. El 35% de las empresas infectadas han sufrido pérdidas económicas, y de éstas, más de un tercio reporta unos 5.000$ de pérdidas
  3. Facebook es la fuente principal de infecciones así como de violaciones de privacidad de los empleados
  4. Más de la mitad de las PYMES han adoptado una política de uso de las redes sociales

Otro ejemplo, nos llega desde la Fundación Banesto que en octubre de 2011 publicó el “Observatorio sobre el uso de las redes sociales en las PYMEs españolas” (acceso al artículo completo), que a modo de resumen enumera 15 puntos clave, de los que destacamos aspectos como:

  1. El 50% de las PYMEs en España usan redes sociales para desarrollarse profesionalmente.
  2. Del 50,2% de las PYMEs españolas que aún no utilizan plataformas sociales, el 60% tiene intención de hacerlo en el futuro.
  3. La mayoría de estas empresas se concentran en el sector servicios.
  4. Facebook es la red más utilizada, con un 38,7%.
  5. Los 3 objetivos principales por los que las PYMEs entran en redes sociales son: promocionar el producto; mejorar las vías de difusión y comunicación con clientes; y, en menor medida, ganar conocimiento de mercado.
  6. Un 82% de compañías piensan que es un canal en ascenso claro, solo un 2% auguran un descenso.
  7. El 90% de las empresas que piensan entrar en redes empezará por Facebook

Por tanto, si las pymes españolas están interesadas en las redes sociales y, ese interés va en aumento, y como hemos visto, las redes sociales tienen una incidencia directa en la infección por malware y en las pérdidas económicas que produce, será cuestión de preocuparnos por nuestra identidad digital y nuestra reputación online, y por establecer estrategias que permitan a las organizaciones alcanzar una determinada posición en los medios sociales y comunicarse mejor con sus clientes, proveedores, seguidores y público en general, minimizando los riesgos y los costes derivados de los mismos.

Estas estrategias hoy en día están en manos o son dirigidas por los Community Manager que no sólo deben aportar sus conocimientos técnicos y de marketing, sino que también conviene que tengan en cuenta los aspectos legales (LOPD-LSSI) que afectan a su actividad en relación con el medio en el que se desenvuelven, ya que hablamos de obtener la información que la audiencia social transmite y aplicarla en nuestra marca, servicios, productos, clientes y seguidores.

Cuando menos, la empresa deberá estar alerta para que su labor de comunicación no tenga efectos dañinos desde el punto de vista de reputación social para la empresa que le paga, pero también de los aspectos legales en los que pueda incurrir.

Pensemos a quién le damos el poder de expresarse de la manera que quiera, en nuestro nombre, o de cómo actuará cuando surja algún conflicto, ya que sabemos que hay meteduras de pata tontas que cuestan más que dinero.

El CM tiene que saber estar, mantenerse en el papel de la empresa, no será una simple persona que “chatea”, será la imagen y voz de la empresa, con comunicación bilateral y por tanto deberá escuchar, recabar y obtener la información que la audiencia social le transmite y aplicarla en nuestro beneficio.

Redes Sociales I; Aspectos Normativos

/2 Comentarios/en /por

Redes-LOPDSabiendo que nos adentramos en temas de profundo calado o amplio espectro, o más bien de constante evolución, hemos considerado que vamos a abordar este tema por capítulos, aunque de momento no tengamos claro cuántos vamos a necesitar para comentarlo.

Podríamos enfocar el tema desde el punto de vista de las Redes Sociales más reconocidas, pero lo cierto es que el medio no tiene por qué ser determinante (o no es determinante).

Lo importante y que realmente tiene implicación para escribir este post, es la «finalidad», el sentido o lo que perseguimos estando en una Red Social y qué pensamos hacer en la misma. Cuestiones que marcan aspectos en los que las LEYES, como la LOPD y/o la LSSI, van a estar presentes.

En este primer post, hablaremos del uso de los datos que hacen las empresas, de la finalidad (comercial o doméstica) para la que crean sus perfiles en redes sociales, para valorar sí estarán sometidas a la Normativa vigente y cómo.

Partiremos de la máxima de que todo Usuario personal o individual que se registra en una Red Social recibe y recopila información personal de los contactos que establece, pero lo hace en un entorno “doméstico”, que la LOPD establece como excepción, por tanto no sujeta a la LOPD. Pero cuando una empresa crea sus perfiles en redes sociales sí está sometida a su regulación, ya que su entorno no lo podemos calificar como “doméstico”, en su actividad interactúan personas jurídicas y/o físicas y a estas últimas le es de aplicación la LOPD.

Además hay que considerar el medio, es decir, que una Red Social se desarrolla en un medio que es un Servicio de la Sociedad  de la Información. Por ello a las empresas que tienen presencia en una Red Social les será de aplicación la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico o LSSICE. No obstante, en función de las acciones que emprenda esta afección será mayor o menor, entrando en juego un nuevo factor que llamaremos “riesgo”.

Este factor está marcado por la visibilidad que la empresa desea alcanzar y que irá acompañada de un riesgo mayor, a medida que su visibilidad y acciones, normalmente comerciales, le hagan estar cada vez más presente en la Red con el objetivo de garantizar la presencia de sus productos o servicios en Internet.

En el camino nos creamos lo que se conoce como identidad digital, que indefectiblemente viene acompañada de su reputación online, es decir, la valoración que el público hace de la Empresa en la Red, que puede provocar y provoca un impacto reputacional. Que sea negativo o no, dependerá de factores internos y externos . Estos últimos la propia Empresa no puede, y en ocasiones no sabe, controlar.

[pullquote]Pero cuando una empresa crea sus perfiles en redes sociales sí está sometida a su regulación, ya que su entorno no lo podemos calificar como “doméstico”, en su actividad interactúan personas jurídicas y/o físicas y a estas últimas le es de aplicación la LOPD.[/pullquote]

Las organizaciones difunden su imagen en Internet mediante su web corporativa, blogs empresariales, perfiles o en redes sociales y son los usuarios y clientes los que generan opinión sobre ellas, aunque  ni siquiera es necesario que la organización esté en Internet para que existan y se generen todo tipo de opiniones sobre ella.

Por tanto lo primero de lo que ha de ocuparse la Organización es de garantizar y hacer ver a sus potenciales clientes que cumple con las garantías legales establecidas, de tal manera que clientes, usuarios o seguidores, perciban las mismas garantías que si entrasen en contacto de manera presencial con nuestros productos o servicios.

En un próximo post hablaremos de cómo Internet genera por sí misma, situaciones de riesgo desde el punto de vista de la seguridad y privacidad que provocan un impacto reputacional y económico para la organización o de cómo las figuras emergentes, los llamados community manager, nos pueden ayudar o no.

Bienvenidos. No olviden su ración vitamínica LOPD…

/0 Comentarios/en /por

bkg_fondowebmeeting_1024x768En estos tiempos presentes, en los que parece que todo está un tanto oscuro, nos gustaría poner un poco de luz, cuando menos en lo que podamos y nos corresponde; La Privacidad y la Protección de Datos de carácter personal.

Hemos actualizado nuestra web, la hemos puesto más o menos al día en cuanto a su contenido “2.0” (que no sé muy bien que significa, pero todo el mundo habla de ello) ya que deseábamos ofrecer a nuestros Clientes y Visitantes un lugar en el que poder encontrar información, contenido y actualidad en lo referente a la LOPD, LSSI y en general al mundo de las nuevas tecnologías desde una perspectiva jurídica y de aplicación en nuestra Organizaciones.

Aunque hemos tardado, esperamos que os guste el resultado, que iremos completando y mejorando en la medida que el trabajo lo permita. Si encontráis algo que os llame la atención esperamos vuestros comentarios, si tenéis alguna duda o sugerencia también.

La dirección y el equipo colaborador de EUROVIMA CONSULTING, os dan las gracias por vuestra fidelidad y desea agradecer de manera especial a nuestro equipo webmaster que ha diseñado la presente web y con su experiencia nos ha ayudado a ponerla en marcha, al igual que a nuestro proveedor INFORMATICOS.CO que ha sido paciente, nos aloja y cuida. Por último y no menos importante, agradecer a Pablo Valenzuela que desde MYEGOO también ha participado en la primera puesta en escena de EUROVIMA en la red y a la Dirección y Personal de BITAM por sus múltiples aportaciones.

“Nube” o Cloud Computing. Seamos diligentes…

/2 Comentarios/en /por

cloudParece que los servicios de Cloud Computing se van imponiendo en nuestra sociedad, que ya nadie puede vivir sin sus ventajas, que es el futuro en el presente, que gracias al desarrollo de las telecomunicaciones, a la mayor velocidad en la transmisión de información, a la posibilidad de aplicar costes reducidos en nuestro negocio, pero sobre todo que los servicios de Cloud Computing los puedo utilizar desde donde, cómo y cuando lo necesite, ya que está disponible «en la nube de Internet» sin conocimientos (o al menos sin ser expertos) y pagando únicamente por el consumo efectuado o pactado.

En definitiva un servicio económico, flexible, 100% disponible y 100% seguro; ¿SEGURO?…

Hagamos una primera aproximación al Cloud Computing, pues creo que nos conviene conocer las implicaciones que desde el punto de vista LOPD suponen estos servicios. 

A lo largo del último año ha acaparado jornadas, talleres y conferencias, como la Sesión Anual de la Agencia Española de Protección de Datos que le dedicó parte de su tiempo, la reciente organizada por la Asociación Profesional Española de Privacidad, a la que como Asociado de APEP asistí y que contó con la participación especial de la AEPD o en la recientemente celebrada por la Agencia de Protección de Datos de la Comunidad de Madrid, en la que se abordó cuestiones muy cercanas como las Transferencias internacionales de datos y ámbito territorial de aplicación.

Primero vamos a “definir” el servicio de Cloud Computing o computación en la nube, como el suministro de servicios facilitados por un tercero (prestador del servicio), para el alojamiento de información de datos, aplicaciones, infraestructura y demás recursos para poder acceder, tratar y operar con la información y datos almacenados.

Los servicios de Cloud Computing, vienen suscitando discusiones sobre tres cuestiones, entre otras, que afectan al servicio frente a la Ley de Protección de Datos:

  1. La poca claridad respecto al lugar de almacenamiento de los datos en servicios de hosting.
  2. Las dudas en las garantías de seguridad de los mismos (cifrado, disociación y fragmentación)
  3. La subcontratación de los servicios (identificar y autorizar).

Para la LOPD, es determinante establecer en qué ubicación física concreta (no digamos ya si la ubicación cambia) se van a alojar los datos personales alojados en “la nube”, pues dependiendo de se encuentren en España o en otro país, habrá que establecer si la cesión de los mismos constituye una “transferencia internacional de datos” (TID) o no, y por tanto de sus consecuencias legales. Caramba¡¡¡¡¡ y eso como lo voy a saber?.

Tranquilos, la TID jurídicamente es de las situaciones más complejas de regular, ello suscita que el Cloud sea considerado en materia LOPD un modelo a regular de manera especialmente cuidadosa, sobre todo si como se vislumbra será la forma predominante que adoptarán las empresas para organizar sus sistemas de información almacenados directamente en los servidores del prestador del servicio.

Esperaremos a que las Autoridades Europeas de Protección de Datos (G. Trabajo del Artículo 29) se pronucie o a que caigan las primeras sanciones de la AEPD y con ello se nos irán disipando las dudas (aunque parece que por la AEPD existe voluntad en buscar soluciones que garanticen los derechos, con medidas alternativas y equivalentes a las que exige la Ley).

Recordemos que este servicio supone que dicho prestador se convierta en Encargado del Tratamiento del cliente, debiendo suscribirse el contrato conforme el artículo 12 de la LOPD. Contrato recogerá que el Encargado deberá adoptar las medidas de seguridad que exige la normativa con motivo del procesamiento de los datos responsabilidad del cliente (medidas establecidas en el artículo 82 Reglamento de Desarrollo de la LOPD). Caramba¡¡¡¡¡ y eso me lo firmarán a mí, a medida?.

Si esto les parece poco, señores, recuerden que la normativa establece que hemos de ser “diligentes” a la hora de elegir nuestro proveedor de servicios y por tanto es nuestra responsabilidad elegir al prestador adecuado, si bien será difícil demostrar/argumentar dicha diligencia, es decir, aunque exista incumplimiento de contrato, tendré que demostrar que he sido diligente al elegir al prestador. Caramba¡¡¡¡¡ y eso como lo sé o demuestro.

Por no hablar del consejo de incluir en el contrato la posibilidad de solicitar la realización de auditorías al Encargado (cuestión muy debatida sobre su posibilidad de aplicación “real”) o sobre el lugar de almacenamiento físico de los datos y su presunta opacidad, siendo importantísimo que, de manera previa al inicio del servicio de Cloud Computing el proveedor ponga en conocimiento del cliente la ubicación física del mismo (que puede no ser única), o sobre que a menos que el Responsable lo autorice, el Encargado del Tratamiento no podrá comunicar los datos a un tercero ni subcontratar los servicios…

En definitiva, para qué me pregunto esto, si todo el mundo está en la nube y la usa, SI ES EL FUTURO¡¡¡¡¡…

A medida que haya pronunciamientos por parte del Grupo de Autoridades Europeas de Protección de Datos o vea la luz el futuro Reglamento de la UE, iremos saliendo de dudas y valorando los mismos. Mientras recuerden ser “diligentes”.