Aprobación de medidas urgentes en materia de protección de datos

Todos estábamos pendientes del Proyecto de Ley Orgánica de Protección de Datos (podéis ver el seguimiento de la iniciativa parlamentaria pinchando aquí), que este Real Decreto-ley que vamos a comentar nos ha pillado casi por sorpresa.

El pasado martes saltaba la noticia [1] [2] de que el gobierno modificaría con urgencia el régimen sancionador de la Ley de protección de datos. El pasado viernes día 27, el Consejo de Ministros aprobaba el Real Decreto Ley que finalmente ha sido hoy publicado en el Boletín Oficial del Estado (BOE). El Real Decreto Ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos adapta aquellos preceptos en los que el Reglamento General de Protección de Datos (en adelante, RGPD) remitía su desarrollo a los Estados miembros, y que no requieren rango de ley orgánica. Este Real Decreto Ley entra en vigor el 31 de julio de 2018. La vigencia de esta norma queda supeditada a la aprobación de la nueva legislación orgánica de protección de datos que tenga por objeto adaptar el ordenamiento jurídico español al RGPD, y completar sus disposiciones.

La norma recientemente aprobada regula los siguientes aspectos: [Read more…]

He descubierto un delito… ¿y ahora qué?

Imaginemos que María es una analista forense que está trabajando en un caso de espionaje corporativo. Mientras está analizando unos ficheros comprimidos con unos nombres extraños, descubre horrorizada que están repletos de imágenes de pornografía infantil.

Imaginemos que Pepe es un pentester que tiene como objetivo hacerse con el control de un servidor de correo, teniendo que presentar como prueba correos de media docena de altos cargos. Una vez logrado su objetivo extrae varios correos al azar de las cuentas de correo, pero comprueba con indignación que contienen información sobre el soborno a un funcionario para la concesión de una importante contratación pública.

Tanto María como Pepe han firmado un estricto acuerdo de confidencialidad con la empresa en la que trabajan, en el que se especifica claramente que “toda la información de la que tengan conocimiento durante su actividad laboral debe ser mantenida en el más estricto secreto”. [Read more…]

El RGPD no es cosa de un día

Por fin ha llegado el día 25 de mayo. El día D donde todos los datos personales pasan a estar protegidos. Donde ya no se van a producir incidentes de seguridad. Donde todos los tratamientos de datos personales pasan a ser legítimos. Donde los datos ya no van a ser conservados sine díe. Donde los usuarios tenemos todo el control de nuestros datos. Donde el derecho al olvido es una realidad. Donde todo el mundo ha sido informado de que todas las políticas de privacidad del planeta han sido actualizadas (sí, la nuestra también). El día más esperado ha llegado. Y una vez llegado a este grado de regocijo, ¿y ahora qué?

Pues siento deciros que el RGPD no es cosa de un día. Hoy, 25 de mayo de 2018, entra en aplicación el Reglamento General de Protección de Datos, conocido por RGPD o GDPR por sus siglas en inglés. Pero que entre hoy en aplicación (lleva en vigor desde 2016) no quiere decir que todo lo que no hayamos hecho no hace falta hacerlo, o que si ya hemos hecho una adecuación no tengamos que hacer nada más. ¿Por qué?
[Read more…]

Publicación del Reglamento de ejecución NIS (para proveedores de servicios digitales)

(Esta entrada ha sido elaborada en colaboración con Ana Marzo, de Equipo Marzo, que proporcionó buena parte de la información).

Hace apenas un par de semanas se ponía en contacto conmigo Ana Marzo, de Equipo Marzo, una abogada por la que tengo un gran respeto profesional, para comentarme acerca de la publicación, no esperada (al menos por mí), de un nuevo reglamento de la Comisión relacionado con la Directiva NIS, que he llamado en un alarde de originalidad Reglamento de ejecución NIS.

En efecto, el pasado 30 de enero se publicó el Reglamento de Ejecución (UE) 2018/151 de la Comisión, de 30 de enero de 2018, por el que se establecen normas para la aplicación de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo en lo que respecta a la especificación de los elementos que han de tener en cuenta los proveedores de servicios digitales para gestionar los riesgos existentes para la seguridad de las redes y sistemas de información, así como de los parámetros para determinar si un incidente tiene un impacto significativo.

Al menos a mí me pilló por sorpresa (y estoy seguro de que a algunos de nuestros lectores les pasará lo mismo), ya que esperaba una transposición de la directiva, no un reglamento que emanara directamente de la Comisión (lo que no quita que, por supuesto, vayamos a disfrutar de nuestra propia legislación NIS-compliant, que al legislador hay que tenerlo ocupado…). Dado que, aunque en ambitos diferentes, ambos habíamos coincidido en un mismo cliente que encajaba en el concepto de proveedor de servicios digitales y por tanto podría verse afectado, nos preguntamos por la aplicabililidad del reglamento a este cliente en concreto. Por ejemplo, ¿está afectado un periódico online? ¿Y una web de venta online? ¿Un bingo online? ¿Y la compra-venta entre particulares? Derimir la respuesta a estas preguntas es el objeto de esta entrada.

[Read more…]

Facebook y la protección de datos: una de cal y una de arena

Hemos de admitirlo: hace tiempo que se sabe que los datos personales son el petróleo de la sociedad 2.0, y en este sentido Facebook es el emporio de la información de personal; sin duda es la red social que más datos almacena, gestiona y monetiza en la red.

Lo supo hace tiempo y por eso no es casual que en 2014 desembolsaran nada menos que 22.000 millones de dólares para adquirir WhatsApp. Los registros obtenidos con esa adquisición convirtieron a la red social en todo un coloso monopólico en el mercado de la información personal, y hemos de recordar que Facebook también es el dueño de Instagram.

Todos recordamos aquellas vehementes promesas de nuestro ilustre amigo de Palo Alto Marc Zuckerberg, garantizando públicamente que ambas plataformas no intercambiarían los datos de los usuarios ni habría sesiones de datos entre ambas. No sé si coincidirían con el día de los inocentes, pero inocente el que lo creyó. ¿Cómo se justificaría una inversión de 22.000 millones de dólares por una aplicación gratuita sin la explotación de la única fuente clara de ingresos?

También dijeron entonces que no tenían una forma “fiable” y automática de relacionar las cuentas de WhatsApp y Facebook de sus usuarios, y claro, como no le íbamos a creer…

El caso es que WhatsApp no tardó en cambiar las condiciones de uso para que debiéramos aceptar sin rechistar y sin opción al pataleo el intercambio de información con Facebook, no hubo alternativa, ni siquiera, desmarcando la opción de dar permiso a Facebook para obtener nuestros datos. El plazo para aceptar estas nuevas condiciones fue de treinta días, en caso de no ser aceptadas, se desactivaría la cuenta de WhatsApp. Toda una declaración de principios.

Para más inri, el texto legal correspondiente a la cesión de datos a Facebook aparecía junto a una casilla premarcada, algo que contradice de forma flagrante los requisitos del consentimiento legítimo que exige el nuevo reglamento.

[Read more…]

¿Cómo acreditar el consentimiento? Aterrizando el RGPD


Ya hemos comentado anteriormente que uno de los cambios más significativos que introduce el nuevo reglamento está en la transformación del consentimiento. Una nueva visión que refuerza la voluntad del usuario para que su determinación no arroje dudas ni se preste a ambigüedades, no se sobreentienda ni se pueda abusar de ella haciéndola extensiva a otros aspectos no informados.

También se pide que el consentimiento sea acreditable, y esto gracias al principio de “accountability” o “responsabilidad proactiva”.
[Read more…]

Protección de datos 2.0

Hace unos meses participé en una jornada de twitter chat gracias a SoMEChatES en dónde hablamos fundamentalmente sobre el impacto que tendrá en Nuevo reglamento de Protección de datos sobre los profesionales digitales. Esta nueva regulación en materia de protección de datos ligada a entornos digitales es lo que me motiva a hablar de Protección de datos 2.0.

Queda solo un año para acometer todos los cambios que introduce en nuevo reglamento de protección de Datos y mucha pedagogía por hacer al respecto, por esta razón, si tienes una web, un e-commerce o un blog, deberás conocer cómo impactará este nuevo reglamento en tu página y ponerte manos a la obra cuanto antes, el tiempo corre y la reforma está a la vuelta de la esquina.

Protección de datos a medida de la trasformación digital

El nuevo reglamento plantea nuevos retos para todos los profesionales del mundo digital, recordemos que se trata de un marco legal de protección de datos para todos los estados miembros de la UE cuya finalidad es armonizar las diferentes legislaciones en esta materia para que los derechos y las obligaciones sean las mismas en todos los países de UE.

[Read more…]

Privacidad electrónica, el nuevo reglamento europeo

Ya queda menos para  asistir a la transformación de dos grandes regulaciones que nos han estado ayudando a proteger importantes derechos y libertades fundamentales, como el derecho a la intimidad y al honor, y también el derecho a no ser atropellados publicitariamente y a la autodeterminación informativa.

Me refiero lógicamente a la LOPD (Ley Orgánica 15/1999 de Protección de datos)  y a la LSSI-CE (Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y del Comercio Electrónico).

Ambas se transformarán para dar paso a sus dos homólogas europeas: el Reglamento General de Protección de Datos del que ya he hablado aquí en numerosas ocasiones y el Reglamento de Privacidad y Comunicaciones Electrónicas (que abreviaremos como RPCE).

Hoy le voy a dedicar a unas líneas a este último y a intentar resumir alguno de sus principios  a modo de guía para contemplar finalmente alternativas de adecuación.

[Read more…]

Un consentimiento reforzado en el RGPD

El nuevo reglamento europeo de protección de datos nos impone un cambio de paradigmas y fundamentalmente, un cambio de visión.

Entre los cambios de visión que introduce el RGPD se encuentra el relativo al Consentimiento.

Sabemos el consentimiento es la muestra de voluntad y conformidad del ciudadano con un determinado tratamiento de su información personal.

Hasta ahora, estábamos bastante acostumbrados a la mecanización del consentimiento, y pocos valientes se atrevían a leerse farragosas cláusulas informativas o textos legales, tan incomprensibles como interminables y esto propiciaba que muchas empresas y plataformas obtuvieran y trataran nuestra información a discreción. Nadie se preocupaba en conocer el destino de sus datos, era mucho más sencillo aceptar y continuar.

[Read more…]

Nuevos requisitos informativos: qué, quién, cuándo, dónde y cómo informar según el RGPD

Ya hemos visto que en nuevo reglamento de protección de datos conlleva nuevos retos para empresas y organizaciones en la gestión de información de carácter personal.

Pues bien, entre estos retos, se encuentran las nuevas exigencias informativas que es necesario abordar puesto que estos nuevos requisitos amplían y no contradicen la obligación de informar establecida en la LOPD.

Estos nuevos requisitos tienen como objetivo intensificar la transparencia, la claridad y la accesibilidad relativa a la información que debe suministrarse al interesado respecto al tratamiento de la información personal que le concierne.

[Read more…]